Curs Securitate Cibernetica (5707)
Curs Securitate Cibernetica (5707)
Curs Securitate Cibernetica (5707)
Capitolul 1
1. INTRODUCERE
1
cibernetice utilizate în sectoare economice diferite, proprietari diferiți și, nu în ultimul rând,
atribuții împărțite între mai multe autorități naționale.
La nivelul UE sunt întreprinse demersuri în privința adoptării unei strategii europene
pentru securitatea cibernetică, care să armonizeze eforturile statelor membre în abordarea
provocărilor de securitate din spațiul cibernetic și protecția infrastructurilor informatice
critice. Totodată, la nivelul UE, s-a conturat necesitatea adoptării unei politici privind lupta
împotriva criminalității informatice. Inițiativele subsecvente au pornit de la constatarea
creșterii numărului de infracțiuni informatice, a tot mai amplei implicări a grupurilor de
criminalitate organizată în criminalitatea informatică, precum și a necesității unei coordonări
a eforturilor europene în direcția combaterii acestor acte. Având în vedere că atacurile
cibernetice pe scară largă, bine coordonate și direcționate către infrastructurile cibernetice
critice ale statelor membre, constituie o preocupare crescândă a UE, întreprinderea de acțiuni
pentru combaterea tuturor formelor de criminalitate informatică, atât la nivel european, cât și
la nivel național, a devenit o necesitate stringentă.
Statul Român, în concordanță cu demersurile inițiate la nivelul Uniunii Europene și
NATO, „își asumă rolul de coordonator al activităților desfășurate la nivel național pentru
asigurarea securității cibernetice”. Mai mult, România recunoaște existența amenințărilor
cibernetice și „susține o abordare comună, integrată și coordonată, atât la nivelul NATO, cât
și la nivelul UE, pentru a putea oferi un răspuns oportun la atacurile cibernetice”.
2
ilegală care implică utilizarea tehnologiilor digitale în spatial cibernetic. Prin urmare, acest
concept poate include infracțiuni informatice precum lansarea de atacuri cu viruși informatici
sau fraudele cu mijloace de plată fără numerar și poate viza atât sistemele, cât și conținutul,
cum se întâmplă de exemplu în cazul diseminării online a materialelor care conțin abuzuri
sexuale asupra copiilor. De asemenea, securitatea cibernetică poate să acopere campaniile de
dezinformare care urmăresc să influențeze dezbaterile pe internet, precum și acțiunile
suspectate de ingerință în alegeri. Pe lângă aceasta, Europol consideră că există o convergență
între criminalitatea informatică și terrorism.
Există diferiți actori – inclusiv state, grupuri infracționale și hacktiviști – care, din diferite
motive, instigă incidente cibernetice. Efectele acestora se resimt la nivel național, european și
chiar mondial. În același timp, natura intangibilă și în mare măsură fără frontiere a
internetului, precum și instrumentele și tacticile utilizate complică adesea identificarea
autorului unui atac (așa-numita „problemă a atribuirii”).
Numeroasele tipuri de amenințări cibernetice pot fi clasificate în funcție de efectele lor asupra
datelor (divulgare, modificare, distrugere sau refuzul accesului) ori în funcție de principiile de
bază privind securitatea informațiilor care sunt încălcate, astfel cum se arată în figura 1. Pe
măsură ce gradul de sofisticare al atacurilor asupra sistemelor informatice crește,
mecanismele noastre de apărare devin mai puțin eficace.
3
Odată cu trecerea spre prelucrarea masivă a datelor cu ajutorul calculatoarelor
electronice, ca urmare a volumului mare al investiţiilor şi a transferării „grijii” informaţiei
către sistemele electronice de calcul, s-a pus într-un alt context problema protejării noilor
averi, fizice şi informaţionale. Totul trebuie pornit de la schimbarea opticii privind gestiunea
fizică a noilor averi, dar şi de la valorificarea pe multiple planuri a datelor memorate,
încercându-se să se obţină alte dimensiuni ale funcţiei de informare a conducerii, prin
utilizarea informaţiilor arhivate şi păstrate în alte condiţii.
În vederea obţinerii noilor performanţe, datele prelucrate sunt supuse unor operaţiuni
suplimentare în faza de culegere, astfel încât să poată fi valorificate ulterior pe mai multe
planuri. Preluarea datelor din două sau mai multe documente operative în unul sau mai multe
fişiere, având suportul de înregistrare specific noii variante de prelucrare, constituie o
îndepărtare vizibilă de modul tradiţional de păstrare a documentelor primare, de gestionare a
lor, şi duce la apariţia mai multor persoane care pot accesa aceleaşi date. Mai mult, prin
agregarea înregistrărilor anterioare, pot rezulta chiar noi informaţii.
Cum noile resurse fizice ale sistemelor de calcul sunt destul de scumpe, se constată o
tendinţă de centralizare a prelucrărilor de date, din motive de economie, dar, în acelaşi timp,
sporeşte grija asigurării securităţii lor, întrucât riscul pierderii lor sau al consultării
neautorizate este şi mai mare. Într-un astfel de caz, nu trebuie uitat principiul dominant al
prelucrării automate a datelor, GIGI (Gunoi la Intrare, Gunoi la Ieşire), conform căruia o
eroare strecurată într-un sistem integrat se propagă cu o viteză inimaginabilă, în zeci sau sute
de locuri din sistem, generând, la rândul ei, o multitudine de erori în rapoartele ce se vor
obţine ulterior.
Alt element, deosebit de important, îl constituie factorul uman. Dacă în vechile
sisteme erau uşor de controlat locurile de păstrare a informaţiei, acum, într-un mediu puternic
informatizat, persoanele cu atribuţii de urmărire a modului de realizare a securităţii datelor au
o misiune mult mai dificilă. Se pot înregistra două cazuri: fie că nu pot intui căile prin care
datele pot fi accesate pe ascuns, în vederea sustragerii sau modificării lor, fie că nu reuşesc să
descopere de unde şi cine, cu ajutorul unui calculator aflat la distanţă de locul păstrării
datelor, are acces neautorizat în sistem. Surpriza poate veni tocmai de la persoanele care
lucrează cu cea mai mare asiduitate la anumite aplicaţii. Loialitatea excesivă, în acest caz,
poate da de gândit.
4
Prin trecerea la prelucrarea automată a datelor (p.a.d.) s-au schimbat şi suporturile
informaţiei, precum şi mijloacele de lucru, situaţie în care apar noi aspecte, şi anume:
• Densitatea informaţiei este mult mai mare în mediul informatic decât în sistemele clasice,
bazate pe hârtie. Prin utilizarea discurilor optice sau a stick-urilor USB, zeci de volume,
însumând zeci de mii de pagini de hârtie, pot fi introduse cu multă uşurinţă într-un
buzunar. CD-urile, DVD-urile, cardurile, memoriile flash, hard-discurile portabile şi alte
suporturi moderne pot fi astfel subtilizate discret, cu eforturi minime dar cu efecte
distructive majore.
• Obscuritatea sau invizibilitatea constituie o altă problemă, întrucât conţinutul
documentelor electronice şi al rapoartelor derivate stocate pe suporturile enumerate mai
sus nu poate fi sesizat pe cale vizuală la un control de rutină. De multe ori, cei puşi să
controleze nu au pregătirea informatică şi nici echipamentele necesare pentru a observa o
eventuală sustragere de fişiere.
• Accesibilitatea datelor din sistemele de calcul este mai mare, cel puţin pentru o nouă
categorie de infractori, catalogaţi „hoţi cu gulere albe”, făcându-se trimitere vădită la
nivelul de cultură, în primul rând informatică, al acestora.
• Lipsa urmelor eventualelor atacuri criminale constituie un alt element îngrijorător al
noului mediu de lucru. Ştersăturile din vechile documente pentru schimbarea sumelor,
precum şi adăugările de noi înregistrări „cu creionul” nu mai există, modificările în
fişierele electronice sunt efectuate cu multă lejeritate şi foarte greu de depistat ulterior.
• Remanenţa suporturilor, după ce au fost şterse, poate constitui o cale sigură de intrare în
posesia informaţiilor memorate anterior. Se cunosc numeroase programe de restaurare a
fişierelor şterse.
• Agregarea datelor. Puse laolaltă, datele capătă altă valoare decât cea avută prin păstrarea
lor în mai multe locuri separate unele de altele. Uneori, informaţiile de sinteză sunt
valorificate prin programe speciale în vederea obţinerii, tot cu ajutorul calculatorului, a
strategiei şi tacticii firmei într-un anumit domeniu. Edificator este cazul benzilor
magnetice ale firmei IBM, care conţineau direcţiile de cercetare pe următorii 15 ani,
intrate în posesia unei firme dintr-o ţară concurentă.
• Necunoaşterea calculatoarelor. Pentru foarte multe persoane, îndeosebi de vârstă
înaintată, calculatorul este investit cu forţe supraomeneşti, ceea ce le conferă o încredere
oarbă în datele obţinute prin intermediul lui. De asemenea, din motive de nepricepere,
aceşti anagajaţi pot fi victime uşoare ale corupătorilor informatizaţi.
5
• Progresul tehnologic. Rezultatele cercetărilor tehnico-ştiinţifice se transformă zi de zi în
tehnologii din ce în ce mai performante de accesare a datelor. Nu acelaşi lucru se poate
spune şi despre progresele înregistrate în domeniul securităţii datelor.
• Comunicaţiile şi reţelele, devenind tot mai performante, au extins aria utilizatorilor, atât
din punct de vedere numeric, cât şi al dispersiei în teritoriu, întregul spaţiu terestru fiind
accesibil reţelelor foarte mari. Odată cu noile progrese, şi aria utilizatorilor rău
intenţionaţi s-a mărit, precum şi variantele de furt informatizat.
• Integrarea puternică a sistemelor apare ca o consecinţă a îmbunătăţirii formelor de
comunicaţie şi a proliferării reţelelor de calculatoare. Pe acelaşi canal de comunicaţie
sunt transmise tot felul de date. În plus, introducând o dată eronată în sistem, de la un
banal punct de vânzare, ea pătrunde cu rapiditate în zeci de fişiere şi, implicit, aplicaţii
ale firmei. Comerţul şi afacerile electronice au deschis şi mai mult apetitul
„specialiştilor” în fraudă.
• Apariţia utilizatorilor finali informatizaţi constituie un veritabil succes, dar sporeşte şi
riscul pierderii datelor importante din calculatorul principal al companiilor.
1.2.VULNERABILITATEA MICROCALCULATOARELOR
6
calculatoare mari să fie accesate din sute sau mii de locuri, afectând substanţial integritatea,
confidenţialitatea şi accesibilitatea datelor.
Datorită microcalculatoarelor, se poate spune că s-a înregistrat un progres colosal pe linia
domeniilor de aplicabilitate ale informaticii. Ele rezolvă rapid şi ieftin o mulţime de probleme
de planificare tehnico-economică, de exploatare, de administrare, procesare de texte,
comunicaţii şi alte facilităţi de lucru în reţea. În aceste condiţii, microcalculatoarele aduc şi
noi forme de manifestare a slăbiciunii sistemelor electronice de calcul şi a vulnerabilităţii lor.
Hazardul joacă un rol din ce în ce mai mare, astfel:
1. De la bun început ele au fost concepute mult mai prietenoase decât vechile sisteme,
deci destul de tentante în a fi utilizate şi de copiii şi de funcţionarii fără prea multe
cunoştinţe tehnice, aceasta concretizându-se în:
a. apariţia numeroaselor eşecuri sau erori în operaţiunea de creare a copiilor de
siguranţă – de exemplu, realizarea lor pe suportul intern de memorare al
aceluiaşi microcalculator, chiar pe aceeaşi partiţie de disc;
b. eşecuri în controlul accesului sistemului. Sistemele de protecţie prin parole nu
se folosesc la toate microcalculatoarele, iar când există nu sunt folosite
corespunzător, parolele fiind cunoscute de mai mulţi utilizatori, şi nu numai
atât, ele aflându-se scrise pe o bucată de hârtie, lipită pe colţul monitorului sau
pe masa de lucru;
c. tratarea tuturor datelor la fel, omiţându-se cele de o importanţă deosebită, care
ar trebui să aibă cu totul alt regim;
d. greşeli în păstrarea şi utilizarea resurselor sistemului. Discurile de orice tip,
casetele, benzile sunt împânzite prin toată unitatea, prin toate birourile, putând
fi folosite sau sustrase cu multă uşurinţă de alte persoane. Un suport din afară
poate fi introdus printre cele deja existente, strecurându-se astfel şi viruşii
distructivi. Hârtia de imprimantă (de regulă cea care conţine mici greşeli sau a
doua copie a unei lucrări efectuate în două exemplare), benzile tuşate ale
acesteia (riboanele), celelalte „resturi” sunt accesibile noilor „scormonitori în
gunoaie informatice”, cu scopul de a găsi „un colţ de pâine” printre
informaţiile conţinute de aceste materiale;
e. scrutarea cu uşurinţă a sistemului. Deseori, din pură curiozitate, un coleg, un
prieten, un copil venit în vizită la biroul părinţilor, având cunoştinţe limitate
despre calculatoare, încep să „se joace” cu tastele unui microcalculator pornit,
7
situaţie în care se pot distruge date foarte importante. Mai periculos este cazul
în care „joaca” are un scop anume;
2. Calculatoarele nu mai sunt doar la dispoziţia specialiştilor, ci şi a altor persoane, care
nu cunosc prea multe lucruri despre alte tipuri de sisteme. Odată cu apariţia
Microcalculatoarelor, problemele de instruire informatică se pun într-un alt mod;
3. Prin politica de instaurare a unor restricţii în utilizare, apelându-se la sistemul
parolelor multiple, din faza de iniţializare a sistemului până la accesul la căi şi fişiere,
se reduce dramatic viteza de prelucrare, deci scade productivitatea sistemului;
4. Fiind plasate în aproape toate birourile, iar condiţiile de păstrare puternic
diversificate, riscul defectării este diferit de la un birou la altul;
5. Resursele întregului sistem fiind împrăştiate prin toate colţurile unităţii, securitatea
tradiţională a sălii calculatorului unic dispare, aceasta având ca rezultat:
a. documentaţia sistemului, softul, manualele de utilizare sunt ineficient folosite
sau în condiţii de risc sporit;
b. pierderea cheilor de deschidere a PC-urilor le poate face inutilizabile o
perioadă de timp;
c. softul de aplicaţii se realizează în mod haotic, ducând uneori la lucrul în
paralel la aceeaşi problemă, neexistând o evidenţă centralizată a preocupărilor;
d. parolele nu se înregistrează, deci nu poate fi vorba de un control al lor;
e. manualele de utilizare sunt păstrate neglijent, iar când sunt necesare nu mai
sunt de găsit;
6. Actele cu scop de fraudă pot fi săvârşite cu mai multă uşurinţă şi de către mai multe
persoane, ceea ce diminuează eficienţa controlului;
7. Prin preluarea de către calculator a activităţilor prestate anterior de mai multe
persoane, posibilitatea de furt, fără complotul mai multor angajaţi, devine mult mai
lejeră;
8. Persoanele care în condiţiile prelucrării clasice aveau grija şi posibilitatea de a lucra
doar într-un domeniu, destul de limitat, pot să-şi extindă aria „cunoaşterii” asupra
întregii baze de date a unităţii;
9. Pe suporturile cu capacitate de memorare foarte mare, fiind ascunse datele deosebit de
importante, acestea erau mai greu de găsit, în schimb, pe un disc optic sau video disc
operaţiunea este mult mai uşoară;
8
10. Sistemele de operare ale microcalculatoarelor nu dispun de aceleaşi performanţe de
protecţie precum sistemele mari;
11. Slaba securitate, însoţită de facilităţile de lucru în reţea, conduce la sporirea
posibilităţilor de accesare neautorizată a sistemului;
12. Datele pot fi preluate pe un PC fie din reţea, fie din calculatorul mare şi tipărite sau
transferate pe diverse tipuri de discuri, cu scopul sustragerii lor;
13. Resursele locale ale unui PC pot fi folosite de către utilizatorii lor pentru a ataca
reţeaua sau calculatorul central;
14. Prin dimensiunile lor reduse şi greutatea mică, PC-urile sunt uşor de mutat dintr-un
loc în altul, ceea ce sporeşte riscul defectării lor;
15. Posibilitatea defectării sau întreruperii temporare a sursei de alimentare cu energie
electrică este mult mai mare decât în cazul unei singure săli a calculatoarelor.
9
sistemele de stocare a datelor, fiind cele mai sensibile componente hardware. Din acest punct
de vedere se recomandă salvările de siguranță atât la nivelul informațiilor, cât și la
nivelul sistemului de operare, pentru repunerea rapidă a acestuia și a serviciilor
configurate în caz de defecțiune. Comunicațiile prin rețeaua Internet sunt nesigure.
Oricine se poate conecta la linia de comunicație și poate intercepta, altera sau chiar devia
traficul de date. Pentru a înlătura aceste vulnerabilități se recomandă folosirea metodelor
moderne de criptare astfel încât, în cazul în care sunt interceptate, datele să nu poată fi
decriptate.
10
este total ocupat, informațiile ce depășesc spațiul alocat sunt stocate la o altă adresă din
memorie.
Prin manevrarea acestor adrese, un atacator poate executa diverse comenzi cu aceleași
drepturi ca ale programului respectiv. Cum programul de regulă are drepturi de administrator
în sistemul de operare, atacatorul care exploatează vulnerabilitatea buffer overflow poate
executa comenzi în sistem cu drepturi de administrator. Vulnerabilitățile de clasă B sunt
considerate vulnerabilități grave deoarece pot permite accesul unor utilizatori neautorizați la
informații importante din sistem.
Vulnerabilitățile de tip A, cele mai grave pe scara consecințelor, permit utilizatorilor externi
accesul la sistemul informatic. Prin atacuri cu troieni sau viermi informatici se pot deschide
breșe în securitatea sistemului informatic prin care un utilizator extern se poate conecta
în mod neautorizat la sistem. Sunt considerate vulnerabilități deosebit de grave deoarece
permit accesul utilizatorilor la sistemul de operare și la baza de date a sistemului, aceștia
putând fura sau chiar șterge datele importante.
Cauzele apariției vulnerabilităților într-un sistem informatic sunt multiple, câteva dintre
acestea fiind:
• erorile existente la nivelul sistemelor de operare sau al aplicațiilor;
• configurarea necorespunzătoare a sistemului de operare sau a aplicațiilor;
• cunoștințele limitate ale administratorilor de sistem sau de rețea;
• lipsa suportului dezvoltatorilor de software în rezolvarea erorilor identificate
în aplicațiile software.
Nu în ultimul rând, cele mai mari vulnerabilități sunt cele umane, date de personalul
ce se ocupă de configurarea și administrarea sistemelor informatice. Prin lipsa experienței sau
printr-o documentare inadecvată privind anumite configurări ale sistemului de operare sau ale
aplicațiilor instalate, securitatea cibernetică poate fi total compromisă. Un tip aparte îl
reprezintă vulnerabilitățile de tip zero-day, necunoscute dezvoltatorilor și furnizorilor de
software și care potfi exploatate de criminalii cibernetici.Orice sistem informatic are
vulnerabilități, astfel că putem spune că nu există un sistem 100% sigur. Aceste
vulnerabilități sunt folosite de multe tipuri de atacuri ce vizează un sistem informatic în
mod direct, cum ar fi atacurile de tip malware, sau indirect, în cazul implicării
sistemului informatic într-un atac de tip DDoS.
11
1.3. CONTROLUL ACCESULUI ÎN SISTEMELE INFORMAŢIONALE
De regulă, controalele sunt introduse pentru diminuarea riscurilor la care sunt expuse
sistemele şi pentru reducerea potenţialelor pierderi. Controalele pot fi preventive, detective
sau corective.
Controalele preventive, după cum sugerează şi numele lor, au ca scop preîntâmpinarea
apariţiei unor incidente în sistem; cele detective vizează descoperirea unor apariţii ciudate în
12
sistem, iar controalele corective sunt folosite pentru readucerea la normalitate a sistemului
după anumite incidente la care a fost expus.
Ca să poată fi atinse obiectivele enumerate, controalele pot fi administrative, logice sau
tehnice şi fizice.
Controalele administrative sunt exercitate prin politici şi proceduri, instruire cu scop
de conştientizare, verificări generale, verificări la locurile de muncă, verificarea pe timpul
concediilor şi o supraveghere exigentă.
Controalele logice sau tehnice cuprind restricţiile de accesare a sistemului şi măsurile
prin care se asigură protecţia informaţiilor. Din această categorie fac parte sistemele de
criptare, cardurile inteligente, listele de control al accesului şi protocoalele de transmisie.
Controalele fizice încorporează, în general, gărzile de protecţie şi pază, securitatea
clădirilor,cum sunt: sistemele de încuiere a uşilor, securizarea camerelor cu servere şi laptop-
uri, protecţia cablurilor, separarea atribuţiilor de serviciu, precum şi realizarea copiilor de
siguranţă a fişierelor.
Controalele vizează responsabilizarea persoanelor care accesează informaţii sensibile.
Responsabilizarea este înfăptuită prin mecanisme de control al accesului care necesită, la
rândul lor, exercitarea funcţiilor de identificare, autentificare şi auditare. Controalele trebuie
să fie în deplină concordanţă cu politica de securitate a organizaţiei, iar procedurile de
asigurare au scopul de a demonstra că prin mecanismele de control se implementează corect
politicile de securitate pentru întregul ciclu de viaţă al sistemului informaţional.
Prin combinarea controlului preventiv şi detectiv cu mijloacele celorlalte tipuri de
control – administrativ, tehnic (logic) şi fizic – se obţin următoarele perechi:
• preventiv/administraitv;
• preventiv/tehnic;
• preventiv/fizic;
• detectiv/administrativ;
• detectiv/tehnic;
• detectiv/fizic.
Schematic, aceste perechi sunt redate în figura 2.
13
Fig. 2. Perechile formelor de control
Controlul preventiv/administrativ:
În această variantă, accentul se pune pe resposabilităţile administrative care contribuie
la atingerea obiectivelor controlului accesului. Aceste mecanisme cuprind politicile şi
procedurile organizaţionale, verificările de fond înainte de angajare, practicile de încetare a
contractului de muncă în condiţii normale şi anormale, planificarea plecărilor în concediu,
etichetarea sau marcarea materialelor speciale, supravegherea mai exigentă, cursuri de
instruire în scopul conştientizării importanţei securităţii, conştientizarea modului de
comportare, precum şi procedurile de semnare a contractului în vederea obţinerii accesului la
sistemul informaţional şi la reţea.
Controlul preventiv/tehnic:
Împerecherea preventiv-tehnic vizează utilizarea tehnologiilor pentru consolidarea
politicilor de control al accesului. Controlul tehnic se mai numeşte şi control logic şi poate fi
realizat prin sistemele de operare, prin aplicaţii sau printr-o componentă suplimentară
hard/soft. Dintre controalele preventive/tehnice fac parte protocoalele, criptarea, cardurile
inteligente, biometria (cu scopul de autentificare), pachetele software pentru realizarea
controlului accesului local sau de la distanţă, parolele, meniurile, softul de scanare a viruşilor
Controlul preventiv/fizic:
În cea mai mare parte, măsurile de control preventiv/fizic sunt de tip intuitiv. Ele
vizează restricţionarea accesului fizic în zonele ce conţin informaţii sensibile ale sistemului.
14
Zonele respective sunt definite printr-un aşa-zis perimetru de securitate, aflat sub controlul
accesului.
În această categorie intră împrejmuirile cu gard, ecusoanele, uşile multiple (după trecerea
printr-o uşă, aceasta se blochează automat, iar la următoarea trebuie cunoscut sistemul de
deschidere, persoana fiind captivă între două uşi, motiv pentru care se numesc şi uşi-
capcană), sistemele de intrare pe bază de cartelă magnetică, aparatura biometrică (pentru
identificare), servicii de pază, câini de pază, sisteme de controlare a mediului (temperatură,
umiditate ş.a.), schiţa clădirii şi a căilor de acces, locurile special amenajate pentru
depozitarea suporturilor de informaţii.
Controlul detectiv/administrativ:
Câteva dintre controalele detective/administrative se suprapun controalelor
preventive/administrative pentru că ele pot fi exercitate cu scopul prevenirii posibilelor
violări ale politicilor de securitate sau pentru detectarea celor în curs. Din această categorie
fac parte procedurile şi politicile de securitate, verificările de fond, planificarea plecărilor în
concediu, marcarea sau etichetarea materialelor speciale, o supraveghere mai exigentă,
instruiri cu scopul conştientizării importanţei securităţii. În plus, cu scop
detectiv/administrativ sunt controalele ce vizează rotirea personalului la locurile de muncă,
exercitarea în comun a unor responsabilităţi, precum şi revizuirea înregistrărilor cu scop de
auditare.
Controlul detectiv/tehnic:
Măsurile controlului detectiv/tehnic vizează scoaterea în evidenţă a violării politicii de
securitate folosindu-se mijloace tehnice. Aceste măsuri se referă la sistemele de detectare
a intruşilor şi la rapoartele privind violările securităţii, generate automat, pe baza
informaţiilor colectate cu scopul de a fi probă în auditare. Rapoartele pot evidenţia abaterile
de la funcţionarea „normală” sau pot detecta semnături cunoscute ale unor episoade de acces
neautorizat.
Datorită importanţei lor, informaţiile folosite în auditare trebuie să fie protejate la cel mai
înalt nivel posibil din sistem.
Controlul detectiv/fizic:
De regulă, aceste controale necesită intervenţia omului pentru evaluarea a ceea ce
oferă senzorii sau camerele pentru a stabili dacă există un pericol real pentru sistem. În acest
caz, controlul se exercită prin camere video, detectoare termice, de fum, de mişcare.
15
1.3.2. Identificarea şi autentificarea
În orice sistem de bariere fizice, sistemul de securitate trebuie să discearnă care sunt
persoanele autorizate şi care sunt vizitatorii şi alte categorii neautorizate. Autentificarea poate
să o facă corpul de pază, alte persoane care se ocupă de controlarea accesului sau sistemele
automate investite cu această funcţie.
De regulă, identificarea şi autentificarea persoanelor se efectuează prin analiza a patru
elemente:
1. Ceva aflat în posesia persoanei. De regulă, se posedă lucruri cum sunt: chei, cartele
magnetice, cartele speciale, echipamente de identificare personală şi jetoane. Ele permit un
prim pas de accesare a sistemului. Există marele pericol al pierderii lor sau de dare spre
folosinţă altor persoane.
2. Ceva care individualizează persoana. Identificările biometrice sunt o altă variantă
de condiţionare a accesului. Ele pot fi: amprentele degetelor, buzelor, semnătura, vocea,
forma mâinii, imaginea retinei, venele de pe faţa externă a mâinii, liniile din palmă, imaginea
feţei ş.a. Toate aceste tehnici sunt foarte scumpe, în comparaţie cu cele clasice, şi deseori sunt
incomode sau neplăcute la utilizare. Există suficiente tehnici eficiente care să fie folosite până
când cele enumerate vor fi mai ieftine.
3. Ceva ce persoana ştie. O parolă, de exemplu, numai că ea se află la discreţia
oamenilor şi, de modul de păstrare a secretului ei sau de uşurinţa cu care poate fi aflată,
depinde soarta întregului sistem.
4. Locul geografic unde este înregistrat calculatorul.
Metodele de controlare a accesului trebuie să se bazeze pe cel puţin două dintre cele
patru căi enumerate; deseori se apelează la combinaţiile cartelă-parolă, cheie-parolă, jeton-
parolă. În ultimul timp se recomandă ca în sistemele de protecţie să se folosească tot mai mult
un al treilea element, cel biometric.
16
Un al doilea principiu arată că atunci când valorile patrimoniale sunt deosebit de importante
şi mecanismul de protecţie trebuie să fie pe măsură, iar persoanele cu drept de acces să fie cât
mai puţine, deci de principiul „trebuie să ştie” să beneficieze cât mai puţine persoane.
Al treilea principiu, de regulă aplicat informaţiilor secrete, este acela că nici unei persoane nu
trebuie să i se garanteze accesul permanent, gestiunea sau cunoaşterea informaţiilor secrete
numai pe motivul poziţiei ierarhice pe care o deţine. Este o replică la principiul „trebuie să
ştie”.
Fiecare centru de prelucrare automată a datelor cu mai mult de 25 angajaţi trebuie să apeleze
la sistemul ecusoanelor şi la biometrie, ca măsuri suplimentare faţă de protecţiile realizate
prin alte metode privind accesul în clădire. Ecusoanele trebuie să fie purtate prinse pe rever
sau la gât. La modă sunt ecusoanele inteligente, care, de la distanţă, oferă informaţii despre
posesor.
Locurile care nu dispun de uşi ce pot fi încuiate trebuie să aibă intrările supravegheate, iar o
persoană, ofiţer de serviciu, să răspundă de această operaţiune, punându-i-se la dispoziţie şi
un sistem de comunicaţie cu forţele de ordine. Cu acelaşi scop, poate fi folosită şi
televiziunea cu
circuit închis, utilizată de forţele de ordine, cu condiţia ca o persoană să nu supravegheze mai
mult de trei monitoare. Similar pot fi folosite camerele de luat vederi cu supraveghere
continuă a principalelor încăperi ale clădirii, îndeosebi unde pătrund vizitatori.
Pentru vizitatori vor fi camere special amenajate, fără ca aceştia să aibă acces în zona
prelucrării automate a datelor.
Controlul accesului prin obiecte:
Pentru a pătrunde într-o clădire sau o sală a ei, deseori se apelează la mai multe metode de
autentificare, folosite alături de o cartelă de plastic sau un jeton. Cu acestea se oferă
informaţii suplimentare despre purtător, cum ar fi numele, adresa, contul bancar, contul
cardului de debit sau credit, informaţii medicale, drepturi de acces ş.a. Toate informaţiile
menţionate pot fi codificate prin coduri bară, peliculă magnetică, microprocesoare. Unele
dintre carduri conţin şi o fotografie a proprietarului, realizată, prin noile tehnologii, direct pe
card.
Există şi carduri inteligente care se utilizează pentru criptarea şi decriptarea datelor, semnarea
mesajelor şi introducerea sistemelor de plăţi electronice. Se pot folosi carduri care să aibă
fotografia deţinătorului şi două microprocesoare folosite în scopuri diferite. Primul, pentru
sisteme de plată, prin implementarea Master sau Euro sau Visa Cash, şi pentru aplicaţii de
17
protejare a datelor cu care lucrează angajatul respectiv. Al doilea microprocesor este folosit
pentru înlesnirea accesului în clădire şi la locurile de parcare. În ultimul timp, prin carduri
inteligente se controlează accesul în organizaţie, în sălile ei, la calculator, la datele personale
din clasicele buletine de identitate, din paşapoarte, din carnetul de şofer şi la datele medicale.
Practica oferă şi ecusoane-active, care apelează la identificarea prin frecvenţe radio (RFID -
Radio-frequency identification), fără să fie nevoie de trecerea cartelei prin faţa unui cititor
special. De asemenea, prin tehnologiile infraroşu se poate realiza citirea conţinutului unei
cartele de la câţiva metri.
Cele mai multe carduri sunt auto-expirante; prin tehnologii termice speciale se realizează
carduri cărora li se anulează scrisul după o anumită perioadă de expunere la lumină. Altele
folosesc cerneluri ce-şi schimbă culoarea după un timp bine controlat, astfel încât să nu mai
poată fi
Primele forme de identificare s-au bazat pe descrieri din memorie, făcute de alte
persoane, enumerându-se anumite trăsături sau semne particulare ale celui identificat, de cele
mai multe ori reperarea făcându-se prin descrierea feţei persoanei sau a vocii. După mii de
ani s-au menţinut aceste forme de identificare, întrucât şi astăzi portretele-robot sunt realizate
tot pe această cale, dar cu ajutorul calculatoarelor.
Un moment important l-a constituit inventarea fotografiei. Ea încă se foloseşte la identificarea
şi autentificarea persoanei prin plasarea pe buletinele de identitate, paşapoarte, legitimaţii ş.a.
Sistemul este util poliţiei, lucrătorilor de la frontieră, organizaţiilor comerciale, bancare,
diverselor instituţii ş.a.
Invenţia amprentelor digitale a condus la apariţia altui mod de identificare şi autentificare,
prin culegerea probelor de pe obiectele constatate la locul înfăptuirii unui delict.
Până la 11 septembrie 2001 metodele de identificare biometrică erau respinse cu duritate de
potenţialii beneficiari direcţi supuşi unor metode de identificare ce le-ar fi afectat sănătatea
sau intimitatea. Cum invenţiile şi inovaţiile din domeniu nu au ţinut cont de părerile lor, au
apărut o mulţime de tehnologii biometrice în sistemele de securitate a organizaţiilor. Unele
dintre realizări sunt de-a dreptul stranii, deşi nu au nimic în comun cu biometria. Ne referim
la viitoarele camere de luat vederi presărate peste tot: pe străzi, pe holurile instituţiilor, acasă,
în mijloacele de transport
18
Revenind la biometrie, am putea face referire şi la angajaţii Microsoft, care depind de o
cartelă inteligentă, cu elemente biometrice incluse, de la intrarea în campusul unde se află
locul de muncă, până la pătrunderea în birou, în restaurantul companiei, în orice loc unde îi
este permis accesul persoanei, dar cu ea se poate realiza şi identificarea celui ce doreşte să
lucreze la un calculator. Sistemul a cam bulversat angajaţii lui Bill Gates, dar se pare că s-au
obişnuit cu el.
Se preconizează că vor avea un demaraj foarte puternic tehnologiile bazate pe recunoaşterea
feţei şi a amprentelor digitale, cărora li se va alătura, într-o mai mică măsură, recunoaşterea
irisului. Oricum acestea sunt şi cele trei elemente biometrice recomandate de Organizaţia
Internaţională de Aviaţie Civilă, cu sediul la Montreal, din care fac parte peste 188 de ţări.
Prin progresele înregistrate în domeniul realizării noilor chipuri, ele pot fi plasate pe filele
tuturor documentelor personale.
Consiliul de Conducere al Asociaţiei Internaţionale a Industriei Biometrice, după 11
septembrie 2001, făcea următoarele remarci:
• biometria şi intimitatea nu se exclud reciproc; de fapt, tehnologiile, în mod inerent,
protejează identitatea împotriva dezvăluirilor neautorizate;
• nici o tehnologie nu este mai bună decât celelalte în cazul tuturor domeniilor de
aplicaţii în care este folosită. În funcţie de aplicaţie, există mai multe opţiuni pentru
soluţia biometrică optimă, astfel încât să fie diminuate ameninţările la care este supus
sistemul;
• în ceea ce priveşte problema complexă a securităţii informaţionale, cercetările în
dezvoltare vor oferi soluţii ce vor fi supuse testelor, ele constituind variante
biometrice integrate pentru asigurarea protecţiei şi securităţii noilor sisteme;
• tot pe linia preocupărilor internaţionale, se vor realiza standarde şi produse biometrice
care să acopere o cât mai largă paletă a cerinţelor beneficiarilor şi ale aplicaţiilor.
Toate cele de mai sus sunt puse la dispoziţia statelor sau organizaţiilor publice şi private
pentru a diminua cât mai mult posibil efectul distructiv al actelor de vandalism şi terorism.
Principiul parolelor, cunoscut din lumea basmelor, într-o oarecare măsură este
asemănător întrebuinţat şi în lumea calculatoarelor. Uneori, dintr-o dragoste excesivă faţă de
trecut, utilizatorii greşesc, rămânând în aceeaşi lume, şi, ca atare, apelează şi în acest caz la
19
arhicunoscutele cuvinte magice ale copilăriei. Un astfel de comportament este intuit şi de
spărgătorii de sisteme, care, nu de puţine ori, reuşesc să le acceseze pe această cale. Multe
„uşi informatice” s-au deschis la aflarea parolei „SESAM”, dar, oricât de drag ne-ar fi
cuvântul, utilizarea lui este total neinspirată.
Aşadar, parolele sunt utilizate pentru a ni se permite accesul la un calculator, fie ca
utilizatori, fie sub forma grupurilor de utilizatori, fie ca personal al sistemului de prelucrare
automată a datelor. După identificarea sau „legitimarea” persoanei, prin metodele amintite
anterior, şi, eventual, oferirea unui jeton de acces, cei interesaţi prezintă sistemului propria lor
parolă, fie prin tastarea de la un terminal, fie prin introducerea într-un echipament special al
unui document care să conţină parola. Calculatorul compară parola cu o listă aprobată a
acestora, aflată în softul sistemului, permiţându-i-se accesul şi garantându-i-se respectarea
privilegiilor predefinite la anumite resurse ale sistemului, astfel:
• Execuţie. Poate lansa în execuţie un program, dar nu i se permite să umble la structura
acestuia, prin adăugarea sau modificarea unor linii.
• Citire. Se poate citi un fişier, dar nici o altă operaţiune nu mai este permisă.
• Scriere. Se oferă posibilitatea de scriere a datelor în fişierul deschis, dar se interzic
alte operaţiuni.
• Citire-Scriere. Se poate citi fişierul şi, de asemenea, se oferă dreptul de scriere în el.
• Adăugare. Dreptul este mai limitat, constând numai în posibilitatea de adăugare a noi
date la cele existente, dar nu se pot citi sau schimba datele fişierului deschis.
• Ştergere. Utilizatorul poate efectua ştergerea unor date din fişier.
20
importante în conducerea firmei. În cazul sistemelor ce conţin informaţii speciale, parolele se
atribuie de ofiţerul cu securitatea sistemului. A da astfel de parole în folosinţa unor persoane
echivalează cu permisiunea acestora de a accesa cele mai importante averi ale firmei.
Parolele pot fi create şi de utilizatori pentru datele mai puţin importante, dar există unele
probleme care se repetă în numeroase cazuri, şi anume:
1. utilizatorii nu-şi schimbă la timp parolele, iar dacă o fac nu aduc modificări de
substanţă în structura lor;
2. utilizatorii îşi păstrează parolele, din precauţia de a nu le uita, pe bucăţi de hârtie
lăsate în văzul tuturor;
3. pentru o memorare uşoară se apelează la formele, amintite anterior, de atribuire a
cuvintelor-parolă, ceea ce le face deosebit de vulnerabile.
Printr-un recent studiu efectuat în Anglia, s-a constatat că, totuşi, cele mai uzuale
parole date după celebrul mesaj al sistemului PASSWORD, ceea ce înseamnă parola sau
cuvântul de trecere, sunt ... PASSWORD (ceea ce în româneşte ar însemna folosirea
cuvântului PAROLA) şi SECRET.
În rândul specialiştilor români, deseori s-a constatat că parolele reprezintă numele
copiilor, ale soţiilor, numele lor citite de la sfârşit la început, nume istorice, cuvinte
bombastice din limba engleză (SMART, CLEVER, DUMMY, CRAZY ş.a.) sau banalul
cuvânt GHICI.
Din cele relatate, rezultă că o parolă este şi o cheie şi trebuie să i se poarte de grijă ca
şi obiectelor sau valorilor protejate prin ea. Din această cauză se impun câteva reguli de
controlare a parolelor:
1. parolele trebuie să fie schimbate cam la şase luni, dar pentru datele deosebit de
importante se impun termene şi mai scurte;
2. parolele comune trebuie schimbate imediat ce o persoană părăseşte grupul sau nu mai
are dreptul utilizării lor;
3. parolele trebuie să fie schimbate imediat ce se constată unele bănuieli privind
cunoaşterea lor de persoane neautorizate sau atunci când, din motive de forţă majoră,
secretul lor a trebuit să fie dezvăluit pentru redresarea unei stări anormale temporare;
4. parolele trebuie să fie ţinute minte şi nu scrise pe oriunde, cu excepţia următoarelor
cazuri:
a. trebuie să fie scrise pentru intervenţii de urgenţă;
21
b. fiecare parolă scrisă va fi introdusă într-un plic sigilat şi marcat în exterior cu
scurte detalii privind calculatorul la care poate fi folosită şi numele celor
autorizaţi a le folosi;
c. plicul respectiv are tratamentul asemănător averilor protejate sau al categoriei
de informaţii accesate prin parolă. După ruperea sigiliului, pe plic vor fi scrise
data şi numele celor ce au aflat-o;
d. plicurile cu parole se păstrează de către responsabilul cu securitatea
sistemului;
5. dacă parolele-duplicat se păstrează prin intermediul calculatorului, astfel de fişiere
trebuie să fie protejate împotriva accesului neautorizat şi create copii de siguranţă.
Accesul la acest fişier trebuie să fie înlesnit doar persoanelor autorizate, respectându-
se principiul „niciodată singur”. Listele cu parole vor fi memorate în formă criptată;
6. parolele nu vor fi afişate niciodată pe echipamentele din configuraţia sistemului, iar la
introducerea lor de la tastatură nu trebuie să se afle persoane străine în preajmă;
7. parolele, în cele mai multe cazuri, au cel puţin opt caractere. Ele sunt caractere
alfanumerice - litere (mari şi mici), cifre şi spaţii, folosite în ordine aleatoare, ceea ce
ar însemna câteva mii de cuvinte de opt sau mai puţine caractere, care pot fi testate cu
ajutorul calculatorului, în doar câteva minute, deci sunt suficient de vulnerabile pentru
„profesioniştii” în spargeri de sisteme;
8. pentru blocarea operaţiunilor de încercare repetată, de ordinul miilor, calculatoarele
trebuie să permită un număr limitat de încercări de introducere a acestora, uzual trei.
Dacă limita a fost depăşită de către utilizator, intenţia trebuie să fie raportată
conducătorului sistemului sau responsabilului cu securitatea, însoţită de un semnal
sonor specific de avertizare. În acest timp trebuie să se blocheze terminalul de la care
s-au efectuat prea multe încercări eşuate. Repunerea lui în funcţiune stă la îndemâna
conducătorului sistemului. În cazul sistemelor speciale, se recomandă şi blocarea sălii
sau a locului de unde s-a încercat accesarea prin parole eronate repetate, pentru
identificarea persoanei respective;
9. odată ce au pătruns în sistem, utilizatorilor nu trebuie să li se permită să-şi schimbe
identitatea cu care au efectuat deschiderea sesiunii şi nici să nu poată pătrunde în
partiţiile alocate altor utilizatori;
10. dacă un terminal funcţionează o perioadă lungă de timp, procesul de autentificare
trebuie să aibă loc la intervale regulate de timp pentru a se asigura că nu foloseşte
22
altcineva sistemul. Dacă terminalul rămâne neutilizat, dar deschis, el trebuie să se
închidă automat după un anumit interval de timp, de exemplu, 10 minute;
11. la deschiderea unei noi sesiuni de lucru, utilizatorului trebuie să i se aducă la
cunoştinţă ultimul timp de accesare a sistemului cu parola respectivă, pentru a se
verifica dacă altcineva a folosit-o între timp.
În cazul accesării bazelor de date deosebit de importante, cum sunt sistemele de operare,
listele cu parole, se impune controlul dual al parolei, pe principiul „niciodată singur”. Dar,
cele două persoane nu trebuie să fie tot timpul aceleaşi şi ambele să fie la fel de bune
cunoscătoare ale consecinţelor declanşării unor operaţiuni de la calculator.
Pentru preîntâmpinarea unor aspecte vulnerabile din sistemul de protecţie prin parole, se
recomandă apelarea la un semn special sau la o dovadă de recunoaştere a utilizatorului. Ele
pot fi: o cheie de descuiere a consolei, o cartelă magnetică bazată pe microprocesor, astfel
încât să poată stabili cine, cum, când şi de unde să o folosească. Doar costul foarte mare nu
duce la generalizarea acestui sistem.
De ultimă oră sunt produsele care apelează la echipamente ce acţionează pe principiul
calculatoarelor portabile. Ele sunt sisteme speciale de criptare, care generează valori (parole)
de autentificare personală a utilizatorilor şi care se preiau de la tastatura terminalelor, ca la
sistemul clasic, pentru a se compara cu ceea ce generează un echipament similar aflat în
calculator. Pe o astfel de cale nu mai sunt necesare cartele speciale de acces, totul fiind
controlat prin calculator, îmbunătăţindu-se substanţial principiul simplu al parolelor.
23
La fel trebuie să se întâmple şi cu deţinătorii şi utilizatorii de calculatoare, deoarece,
în prezent, multe acţiuni maliţioase se înfăptuiesc de persoane necunoscute, aflate în locuri
învăluite în mister.
Autentificarea bazată pe localizarea geodezică (location-based authentification) este o
metodă de autentificare a entităţilor din spaţiul cibernetic bazată pe localizarea geodezică
(latitudinea, longitudinea şi altitudinea unui loc geografic bine definit). Aceasta va avea ca
efect delimitarea porţiunii din spaţiul cibernetic de unde se declanşează un anumit eveniment.
Se face astfel breşă într-un sistem destul de întrebuinţat de atacatorii sistemelor aflaţi într-un
colţ al planetei, săvârşind fărădelegi în al colţ al acesteia, susţinând că se află în cu totul altul.
În literatură sunt prezentate realizările corporaţiei International Series Research, Inc.
din Boulder, Colorado, care a realizat tehnologia autentificării locaţiei. Ea se numeşte
CyberLocator, iar sistemul foloseşte semnalele bazate pe microunde transmise printr-o
constelaţie de 24 de sateliţi ai GPS (Global Positioning System) pentru calcularea şi validarea
unei semnături a locaţiei, care este unică pentru fiecare loc de pe pământ în fiecare moment
solicitat. Fiecare utilizator al unui sistem protejat are un senzor al semnăturii locaţiei (SSL),
care este un tip special al receptorului GPS. SSL interceptează semnalele GPS şi transmite
semnătura sa către o gazdă ce va face autentificarea. Gazda foloseşte semnalele GPS
colectate de propriul SSL, plus informaţiile despre fiecare utilizator memorate într-o bază de
date pentru a determina dacă acesta este conectat la un site aprobat anterior. Tehnologiile au
ajuns la performanţe de acurateţe până la nivelul câtorva metri sau chiar şi mai bune (zeci de
centimetri). Pentru că observaţiile GPS ale unui site anume sunt impredictibile prin simulări
anticipate, la un nivel cerut de acurateţe, schimbate constant, unice oriunde ar fi, este practic
imposibil de contrafăcut semnătura.
Autentificarea prin localizarea geodezică are câteva caracteristici esenţiale. Ea asigură
o protecţie continuă împotriva celor rău intenţionaţi aflaţi la distanţă. Semnătura locaţiei
poate fi folosită ca un mijloc comun de autentificare. Ştiindu-se reperele unui utilizator, se
poate identifica uşor un intrus, dar se pot oferi şi probe că o persoană nu a fost în locaţia
respectivă în momentul săvârşirii unei fapte condamnabile. O astfel de protecţie este
recomandată pentru site-urile fixe, în care se poate plasa un senzor pe acoperiş sau la
fereastră, cu condiţia orientării spre cer. Facem menţiunea că semnalele GPS nu trec prin
ziduri şi acoperişuri. Deocamdată sunt unele limite tehnologice ale utilizării senzorilor în
cazul utilizatorilor mobili.
24
Un dezavantaj al autentificării geodezice a locaţiei este acela al refuzului serviciului,
în cazul bruierii semnalului sau al furtului senzorului. Alt dezavantaj se referă la uşurinţa
localizării unei persoane în cazul unui război informaţional ofensiv, motiv pentru care accesul
la datele geodezice trebuie să fie strict limitat.
1.4.AMENINTARI
Securitatea cibernetică reprezintă starea de normalitate a informațiilor digitale, resurselor și
serviciilor oferite de către entitățile publice sau private în spațiul cibernetic. Această stare
presupune asigurarea următoarelor obiective:
• confidențialitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor
informatice să nu fie disponibile unor persoane sau procese neautorizate;
• integritatea - proprietatea de păstrare a acurateței informațiilor, serviciilor sau
resurselor sistemelor informatice;
• disponibilitatea - proprietatea ca informațiile, serviciile sau resursele sistemelor
informatice să fie accesibile persoanelor sau proceselor autorizate;
• autenticitatea - proprietatea de asigurare a identificării și autentificării
persoanelor, dispozitivelor și serviciilor sistemelor informatice și de comunicații;
• non-repudierea - proprietatea ca o acțiune sau un eveniment să nu poată fi repudiat
(negat, contestat) ulterior.
Starea de securitate cibernetică poate fi obținută prin aplicarea unor măsuri de securitate
proactive și reactive ce includ politici, standarde și modele de securitate, prin
managementul riscului și prin implementarea unor soluții pentru protecția rețelelor și
sistemelor informatice.
Tehnologia este omniprezentă și tot mai complexă pentru aproape fiecare aspect al societății
moderne. Progresul exponențial în ultima jumătate de secol în ceea ce privește puterea de
procesare și capacitatea de memorare a făcut hardware-ul IT nu numai mai rapid, dar și mai
mic, mai ușor, mai ieftin și mai ușor de utilizat. Industria IT inițială a convers tot mai
mult cu industria comunicațiilor într-un sector combinat, denumit în mod obișnuit
Tehnologia Informației și Comunicațiilor (TIC).
25
Dispozitivele și componentele TIC sunt, în general, complexe și interdependente, iar
întreruperea unuia poate afecta funcționarea celorlalte. În ultimii ani, experții și factorii de
decizie și-au exprimat îngrijorarea din ce în ce mai mare cu privire la protejarea sistemelor
TIC în fața atacurilor cibernetice, acțiuni deliberate ale unor persoane neautorizate de a
accesa sistemele în scopuri de furt, întrerupere, distrugere sau alte acțiuni ilegale.
Activitatea de protejare a sistemelor TIC și a conținutului acestora a devenit cunoscută sub
numele de securitate cibernetică. Un concept larg și, probabil, insuficient explicat,
securitatea
cibernetică poate fi un termen util, dar nu poate fi identificat printr-o definiție precisă.
De obicei se referă la unul sau mai multe din următoarele aspecte:
• un set de activități și măsuri menite să protejeze - de atacuri, întreruperi ale
funcționării
• sau alte amenințări - sistemele de calcul, rețelele de calculatoare,
componentele hardware/software aferente și informațiile pe care acestea le conțin
sau transmit (inclusiv aplicații software, date și alte elemente din spațiul
cibernetic);
• starea sau calitatea de a fi protejat împotriva acestor amenințări;
• domeniul extins de eforturi menite să pună în aplicare și să îmbunătățească
aceste activități și calitatea serviciilor.
26
de trei factori: amenințările (cine atacă), vulnerabilitățile (punctele slabe pe care le atacă) și
impactul (ceea ce face atacul).
Amenințările cibernetice pot proveni de la persoanele care practică sau ar putea
efectua atacuri cibernetice. Atacatorii se încadrează în una sau mai multe din următoarele
categorii:
• criminali care intenționează să obțină câștiguri financiare din activități precum furtul
sau extorcarea;
• spioni care intenționează să fure informații clasificate sau proprietare, utilizate de
entități guvernamentale sau private;
• războinici la nivel guvernamental, care dezvoltă capacități și realizează atacuri
cibernetice în sprijinul obiectivelor strategice ale unei țări;
• „hacktiviști” care realizează atacuri cibernetice din alte motive decât cele financiare;
• teroriști care se angajează în atacuri cibernetice ca o formă de război , susținut sau nu
la nivel de stat.
Securitatea cibernetică este în multe privințe o cursă între atacatori și apărători. Atacatorii
analizează constant punctele slabe, care pot apărea în diferite contexte. Apărătorii trebuie
să reducă punctele slabe, dintre acestea deosebit de importante și provocatoare fiind actele
(intenționate sau nu) produse de persoane din interiorul sistemului (insiders) și
vulnerabilitățile necunoscute anterior (zero-day vulnerability). Totuși, în cazul unora dintre
vulnerabilitățile cunoscute, la care există metode de rezolvare, acestea nu pot fi
implementate în multe cazuri din cauza constrângerilor bugetare sau operaționale.
Un atac reușit poate compromite confidențialitatea, integritatea și disponibilitatea unui
sistem TIC și ale informațiilor pe care acesta le gestionează. Fenomene precum furtul sau
spionajul cibernetic pot duce la obținerea unor informații financiare, personale sau
profesionale, adesea fără cunoștința victimei. Atacurile de tip DoS (Denial-of-Service) pot
încetini sau împiedica accesul utilizatorilor legitimi la un sistem informatic. Printr-un
malware de tip botnet, un atacator poate comanda un sistem pentru a fi utilizat în atacuri
cibernetice asupra altor sisteme. Atacurile asupra sistemelor de control industriale pot duce la
distrugerea sau întreruperea echipamentelor pe carele controlează (generatoare, pompe,
centrale), cu efecte grave la nivel regional sau statal.
Cele mai multe atacuri cibernetice au un impact limitat, însă un atac de succes asupra
anumitor componente ale infrastructurii critice ar putea avea efecte semnificative asupra
27
securității naționale, economiei, mijloacelor de subzistență și siguranței cetățenilor.
Reducerea acestor riscuri implică, de obicei, eliminarea surselor de amenin țare, abordarea
vulnerabilităților și diminuarea impactului.
Deși este recunoscut că atacurile cibernetice pot fi costisitoare pentru indivizi și organizații,
impactul economic poate fi dificil de măsurat, iar estimările acestor impacturi variază foarte
mult.
Dacă în 2004 piața produselor și a serviciilor în domeniul securității cibernetice la nivel
global a fost de 3,5 miliarde dolari, în 2017 se estimează la circa 120 miliarde dolari (o
creștere de aproape 35 ori în decursul a 13 ani). Cybersecurity Ventures estimează o sumă de
1000 miliarde dolari, cumulată pe perioada 2017 - 2021, alocată pieței securității
cibernetice. Se observă o creștere substanțială, datorată în special extinderii continue a
infrastructurii TIC prin intermediul IoT (Internet of Things) și al altor platforme noi și
emergente.
28
Aceste nevoi există în contextul provocărilor mai dificile pe termen lung legate de proiectare,
stimulente economice, consens și mediu:
• Proiectare: Experții consideră că o securitate eficientă trebuie să fie parte integrantă a
design-ului TIC. Cu toate acestea, din motive economice, dezvoltatorii se
concentrează în mod tradițional mai mult pe caracteristici și facilități și mai puțin pe
securitate. De asemenea, multe dintre nevoile viitoare de securitate nu pot fi estimate,
ceea ce reprezintă provocare dificilă pentru proiectanți.
• Stimulente: Structura stimulentelor economice pentru securitatea cibernetică este
distorsionată. Criminalitatea informatică este considerată ieftină, profitabilă și
relativ sigură pentru criminali. În schimb, securitatea informațiilor poate fi
costisitoare, este prin natura ei imperfectă, iar rentabilitatea economică a investițiilor
este adesea nesigură.
• Consens: Securitatea cibernetică înseamnă lucruri diferite pentru diferiții actori
interesați, adesea fără o înțelegere totală și comună asupra sensului,
implementării și riscurilor. Există și impedimente culturale importante, nu numai
între sectoare, ci și în interiorul aceluiași sector sau în cadrul organizațiilor.
Abordările tradiționale ale securității pot fi insuficiente în spațiul cibernetic, dar
consensul asupra alternativelor s-a dovedit evaziv.
• Mediu: Spațiul cibernetic a fost numit cel mai rapid spațiu tehnologic în
evoluție din istoria omenirii, atât ca scară, cât și ca proprietăți. Proprietățile și
aplicațiile noi și emergente - în special echipamentele mobile și concepte precum
social media, big data, cloud computing sau IoT - complică și mai mult mediul
amenințărilor cibernetice, dar pot reprezenta și posibile oportunități de îmbunătățire a
securității informatice, de exemplu prin economiile oferite de cloud computing și
analizele big data.
29
1.4.1. Tipuri de atacuri cibernetice
Ori de câte ori un dispozitiv nou se conectează online sau la alte dispozitive, crește și
așa-numita „suprafață de atac” în materie de securitate cibernetică. Dezvoltarea exponențială
a internetului obiectelor, a tehnologiilor de tip cloud, a sistemelor de tip big data și a
digitalizării industriei este însoțită de o creștere a expunerii vulnerabilităților, permițând
actorilor rău-intenționați să vizeze din ce în ce mai multe victime. Având în vedere varietatea
tipurilor de atacuri și gradul lor tot mai mare de sofisticare, a ține pasul cu noile evoluții este
o adevărată provocare.
30
Amenințările de tip APT sunt adesea asociate unui stat și vizează sectoare deosebit de
sensibile, cum ar fi tehnologia, apărarea și infrastructura critică. Se estimează că spionajul
cibernetic reprezintă cel puțin un sfert din numărul total de incidente cibernetice, fiind în
același timp responsabil de majoritatea costurilor.
În ultimii ani, întrucât spațiul cibernetic a devenit din ce în ce mai militarizat și este
transformat pe zi ce trece într-o armă, acesta a ajuns să fie considerat al cincilea câmp de
luptă. Apărarea cibernetică protejează sistemele, rețelele și infrastructurile critice din spațiul
cibernetic împotriva atacurilor militare și de alt tip. În 2014 a fost adoptat un cadru de
politici pentru apărarea cibernetică, care a fost actualizat în 2018. Cadrul actualizat în
2018 identifică șase priorități, printre care se numără dezvoltarea capabilităților de apărare
cibernetică și protecția rețelelor de comunicații și de informații din cadrul politicii de
securitate și apărare comună (PSAC) a UE. Apărarea cibernetică face parte, de asemenea, din
cadrul de cooperare structurată permanentă (PESCO) și din cooperarea UE-NATO.
31
CURS SECURITATE CIBERNETICĂ:
SECURITATEA REŢELELOR ŞI A SISTEMELOR INFORMATICE
Capitolul 2
2. LEGISLAȚIE
Începând din 2002, au fost adoptate diferite acte legislative cu grade variate de relevanță
pentru securitatea cibernetică.
În rolul său de principal pilon al strategiei din 2013 în materie de securitate cibernetică,
elementul central al cadrului juridic în materie este Directiva din 2016 privind securitatea
rețelelor și a informațiilor („Directiva NIS”), primul act legislative privind securitatea
cibernetică aplicabil la nivelul de ansamblu al UE. Directiva, care urma să fie transpusă până
în mai 2018, vizează atingerea unui nivel minim de capabilități armonizate, obligând statele
membre să adopte strategii naționale privind securitatea rețelelor și a informațiilor și să
creeze puncte unice de contact și echipe de intervenție în caz de incidente de securitate
informatică („echipe CSIRT”). Directiva stabilește totodată cerințe de securitate și notificare
pentru operatorii de servicii esențiale din sectoarele critice și pentru furnizorii de servicii
digitale.
În paralel, Regulamentul general privind protecția datelor (RGPD) a intrat în vigoare în 2016
și se aplică începând din mai 2018. Obiectivul acestui regulament este de a proteja datele cu
caracter personal ale cetățenilor europeni prin stabilirea de norme cu privire la prelucrarea și
la diseminarea acestora. Regulamentul acordă persoanelor vizate anumite drepturi și
stabilește obligații pentru operatorii de date (furnizorii de servicii digitale) în ceea ce privește
utilizarea și transferul de informații. Totodată, regulamentul impune cerințe de notificare în
caz de încălcare a securității datelor și, în unele cazuri, prevede aplicarea de amenzi.
32
În prezent, România nu dispune de o lege a securității cibernetice, însă în ultimii ani au fost
intensificate eforturile de adoptare a unei asemenea legi. Astfel, o primă inițiativă de adoptare
a unei legi a securității cibernetice a existat în anul 2014, însă aceasta a fost declarată
neconstituțională de către Curtea Constituțională a României. În anul 2015 au fost reluate
eforturile de elaborare a unei noi forme a legii securității cibernetice.
De asemenea, în România nu a fost încă desemnată o autoritate națională în domeniul
securității cibernetice. Se așteaptă ca noua formă a legii securității cibernetice să stabilească
inclusiv una sau mai multe autorități naționale în domeniul securității cibernetice, cum de
altfel s-a încercat și prin inițiativa de lege din anul 2014.
Cu toate acestea, multe aspecte referitoare la asigurarea securității cibernetice a României,
gestionarea incidentelor de securitate cibernetică și instituțiile cu atribuții în acest domeniu,
sunt reglementate prin:
- H.G. nr. 494 din 2011, privind înființarea Centrului Național de Răspuns la Incidente
de Securitate Cibernetică – CERT-RO și
- H.G. nr. 271 din 2013, prin care a fost aprobată “Strategia de securitate cibernetică a
României” și “Planul de acțiune la nivel național privind implementarea Sistemului național
de securitate cibernetică”.
33
principiilor și caracteristicilor Strategiei naționale de apărare și Strategiei naționale de
protecție a infrastructurilor critice.
Obiectivele Strategiei de securitate cibernetică a României sunt:
34
- spațiul cibernetic - mediul virtual, generat de infrastructurile cibernetice, incluzând
conținutul informațional procesat, stocat sau transmis, precum și acțiunile derulate de
utilizatori în acesta;
- securitate cibernetică - starea de normalitate rezultată în urma aplicării unui ansamblu
de măsuri pro-active și reactive prin care se asigură confidențialitatea, integritatea,
disponibilitatea, autenticitatea și non-repudierea informațiilor în format electronic, a
resurselor și serviciilor publice sau private, din spațiul cibernetic. Măsurile pro-active și
reactive pot include politici, concepte, standarde și ghiduri de securitate, managementul
riscului, activități de instruire și conștientizare, implementarea de soluții tehnice de protejare
a infrastructurilor cibernetice, managementul identității, managementul consecințelor;
- apărare cibernetică - acțiuni desfășurate în spațiul cibernetic în scopul protejării,
monitorizării, analizării, detectării, contracarării agresiunilor și asigurării răspunsului oportun
împotriva amenințărilor asupra infrastructurilor cibernetice specifice apărării naționale;
- operații în rețele de calculatoare - procesul complex de planificare, coordonare,
sincronizare, armonizare și desfășurare a acțiunilor în spațiul cibernetic pentru protecția
controlul și utilizarea rețelelor de calculatoare în scopul obținerii superiorității informaționale,
concomitent cu neutralizarea capabilităților adversarului;
- amenințare cibernetică - circumstanță sau eveniment care constituie un pericol
potențial la adresa securității cibernetice;
- atac cibernetic - acțiune ostilă desfășurată în spațiul cibernetic de natură să afecteze
securitatea cibernetică;
- incident cibernetic - eveniment survenit în spațiul cibernetic ale cărui consecințe
afectează securitatea cibernetică;
- terorism cibernetic - activitățile premeditate desfășurate în spațiul cibernetic de către
persoane, grupări sau organizații motivate politic, ideologic ori religios ce pot determina
distrugeri materiale sau victime, de natură să determine panică ori teroare;
- spionaj cibernetic - acțiuni desfășurate în spațiul cibernetic, cu scopul de a obține
neautorizat informații confidențiale în interesul unei entități statale sau non-statale;
- criminalitatea informatică - totalitatea faptelor prevăzute de legea penală sau de alte
legi speciale care prezintă pericol social și sunt săvârșite cu vinovăție, prin intermediul ori
asupra infrastructurilor cibernetice;
35
- vulnerabilitatea în spațiul cibernetic - slăbiciune în proiectarea și implementarea
infrastructurilor cibernetice sau a măsurilor de securitate aferente care poate fi exploatată de
către o amenințare;
- riscul de securitate în spațiul cibernetic - probabilitatea ca o amenințare să se
materializeze, exploatând o anumită vulnerabilitate specifică infrastructurilor cibernetice;
- managementul riscului - un proces complex, continuu și flexibil de identificare,
evaluare și contracarare a riscurilor la adresa securității cibernetice, bazat pe utilizarea unor
tehnici și instrumente complexe, pentru prevenirea pierderilor de orice natură;
- managementul identității - metode de validare a identității persoanelor când acestea
accesează anumite infrastructuri cibernetice;
- reziliența infrastructurilor cibernetice - capacitatea componentelor infrastructurilor
cibernetice de a rezista unui incident sau atac cibernetic și de a reveni la starea de
normalitate;
- entități de tip CERT - structuri specializate în înțelesul art. 2 lit. a) din Hotărârea
Guvernului nr. 494/2011 privind înființarea Centrului Național de Răspuns la Incidente de
Securitate Cibernetică - CERT-RO.
36
- protejarea valorilor - politicile de securitate cibernetică vor asigura echilibrul între
nevoia de creștere a securității în spațiul cibernetic și prezervarea dreptului la intimitate și alte
valori și libertăți fundamentale ale cetățeanului;
- asumarea responsabilității - toți deținătorii și utilizatorii de infrastructuri cibernetice
trebuie să întreprindă măsurile necesare pentru securizarea infrastructurilor proprii și să nu
afecteze securitatea infrastructurilor celorlalți deținători sau utilizatori;
- separarea rețelelor - reducerea probabilității de manifestare a atacurilor cibernetice,
specifice rețelei internet, asupra infrastructurilor cibernetice care asigură funcțiile vitale ale
statului, prin utilizarea unor rețele dedicate, separate de internet.
Conform strategiei, eforturile pentru asigurarea securității cibernetice la nivel național se vor
focaliza pe următoarele direcții de acțiune:
1. Stabilirea cadrului conceptual, organizatoric și de acțiune necesar asigurării securității
cibernetice
• constituirea și operaționalizarea unui sistem național de securitate cibernetică;
37
• creșterea nivelului de reziliență a infrastructurilor cibernetice;
• dezvoltarea entităților de tip CERT, atât în cadrul sectorului public, cât și în
sectorul privat;
3. Promovarea și consolidarea culturii de securitate în domeniul cibernetic
38
drept public sau privat, naționale ori internaționale, cu respectarea competențelor ce revin
celorlalte autorități și instituții publice cu atribuții în domeniu, potrivit legii.
CERT-RO are următoarele atribuții:
39
r) identifică, analizează și clasifică incidentele de securitate din cadrul infrastructurilor
cibernetice, conform ariei de competență;
s) elaborează propuneri pe care le înaintează către MCSI sau Consiliului Suprem de
Apărare a Țării, denumit în continuare CSAT, privind modificarea cadrului legislativ în
vederea stimulării dezvoltării securității infrastructurilor cibernetice ce asigură funcționalități
de utilitate publică ori asigură servicii ale societății informaționale;
t) planifică și programează în proiectul de buget propriu resursele financiare necesare în
vederea realizării politicilor în domeniile sale de competență;
u) coordonează derularea proiectelor, ale căror beneficiari sunt MCSI și/sau instituțiile
din subordinea acestuia, cu finanțare națională sau internațională în domeniul securității
infrastructurilor cibernetice ce asigură funcționalități de utilitate publică, ori asigură servicii
ale societății informaționale, care vizează capacitatea instituțională operațională a CERT-RO;
v) asigură MCSI suportul tehnic și de specialitate pentru urmărirea și controlul aplicării
prevederilor cuprinse în actele normative în vigoare sau în acordurile internaționale în
domeniul de competență şi notifică organele competente pentru demararea procedurilor
legale în vederea cercetării și sancționării, după caz.
Una dintre atribuțiile importante CERT-RO este aceea de a stabili „criteriile și cerințele
minime pe care trebuie să le îndeplinească un centru de tip CERT pentru a fi inclus în
Comunitatea CERT din România, precum și procedurile de colaborare”, prin decizie a
directorului general CERT-RO, cu avizul Comitetului de coordonare.
Comitetul de coordonare al CERT-RO, al cărui președinte este chiar directorul instituției, este
format din reprezentanți ai următoarelor instituții:
a) Ministerul pentru Societatea Informațională;
40
f) Serviciul de Telecomunicații Speciale;
CERT-RO prezintă un raport anual în cadrul CSAT, în timp ce activitatea instituției este
analizată semestrial în Comitetul de coordonare, pe baza raportului elaborat în acest sens de
către directorul general.
41
- Ministerul Apărării Naționale,
- Ministerul Afacerilor Interne,
- Ministerul Afacerilor Externe,
- Ministerul pentru Societatea Informațională,
- Serviciul Român de Informații,
- Serviciul de Telecomunicații Speciale,
- Serviciul de Informații Externe,
- Serviciul de Protecție și Pază,
- Oficiul Registrului Național pentru Informații Secrete de Stat,
- secretarul Consiliului Suprem de Apărare a Țării.
La nivel strategic, activitatea SNSC este coordonată de Consiliul Suprem de Apărare a Țării
(CSAT) care avizează Strategia de securitate cibernetică a României și aprobă Regulamentul
de organizare și funcționare al Consiliului operativ de securitate cibernetică (COSC).
În figura de mai jos este reprezentată schematic procedura utilizată de SNSC pentru
investigarea atacurilor ce implică infrastructuri din spațiul cibernetic național.
42
Ministerul pentru Societatea Informațională are rolul de a coordona autoritățile publice care
nu sunt reprezentate în COSC, în vederea realizării coerenței politicilor și implementarea
strategiilor guvernamentale în domeniul comunicațiilor electronice, tehnologiei informației și
al serviciilor societății informaționale și societății bazate pe cunoaștere. În plus, prin Centrul
Național de Răspuns la Incidente de Securitate Cibernetică - CERT-RO, asigură elaborarea și
diseminarea politicilor publice de prevenire și contracarare a incidentelor din cadrul
infrastructurilor cibernetice, potrivit ariei de competență.
43
Procedura CERT-RO de gestionare a incidentelor de securitate cibernetică
Conform prevederilor H.G. nr. 494/2011 CERT-RO oferă o serie de servicii de tip pro-activ,
reactiv sau de suport printre care: gestiunea incidentelor de securitate cibernetică la nivel
național, transmiterea de alerte și atenționări privind apariţia unor activităţi premergătoare
atacurilor și diseminarea rezultatelor investigaţiilor incidentelor de securitate cibernetică.
La baza activității de răspuns la incidente de securitate cibernetică stau următoarele principii:
44
7. diseminarea de documente de natură tehnică referitoare la metode de detecție și
tratare ale incidentului/evenimentului de securitate, pentru alte entități ce pot fi
vizate de un incident similar;
8. dezvoltarea culturii de securitate a populației prin conștientizarea fată de
vulnerabilitățile, riscurile și amenințările provenite din spațiul cibernetic și
necesitatea asigurării protecției sistemelor informatice proprii.
Activitatea de răspuns la incidente de securitate cibernetică se bazează pe primirea de alerte
de către CERT-RO, respectiv semnalări asupra identificării unor incidente sau evenimente de
securitate cibernetică. Acestea pot fi transmise prin orice mijloc, de către orice entitate
(persoană fizică sau juridică), atât timp cât se asigură confidențialitatea comunicării, iar
datele transmise sunt coerente și complete.
O serie de etape sunt parcurse odată cu primirea alertei, astfel:
45
incidentului/evenimentului. Acesta poate folosi orice surse disponibile public pe internet
(servicii de tip whois, DNS lookup, ping, traceroute, reverse IP, diverse site-uri etc.) precum
și surse cu acces restricționat disponibile în baza parteneriatelor dezvoltate de CERT-RO.
În cadrul acestei etape, este obligatorie identificarea persoanelor fizice sau juridice ce trebuie
contactate pentru rezolvarea incidentului (ISP, deținători domenii .ro sau clase de adrese IP,
persoane fizice juridice etc.)
3. Determinarea probabilității impactului incidentului/evenimentului pentru
securitatea spațiului cibernetic național
46
Odată identificate sursa și victima incidentului/evenimentului se va stabili și tipul
incidentului de securitate precum și metodologia de atac. În baza acestor date se va stabili
dacă, pentru rezolvarea alertei, este desemnată o altă autoritate sau instituție publică. În cazul
în care este identificată o astfel de autoritate, iar rezolvarea incidentul/evenimentul cade în
responsabilitatea acesteia, va fi pregătită transmiterea unei alerte și către instituția
responsabilă.
5. Alertarea urgentă a entităților afectate precum și a instituțiilor cu responsabilități
În momentul în care sunt colectate date suficiente despre victimă, sursa atacului, entitățile
implicate, instituțiile publice responsabile, tipul de incident precum și date care să confirme
existența acestuia, personalul responsabil transmite urgent alerte de notificare către toate
părțile implicate.
În cadrul activității de notificare se aplică principiile enumerate mai sus, entitatea afectată
fiind prima alertată despre existența incidentului/evenimentului. În cazul în care
responsabilitatea rezolvării incidentului/evenimentului cade în sarcina altei
instituții/autorități, iar acea instituție/autoritate consideră necesar ca alerta să nu fie transmisă
către părțile afectate, pentru a nu perturba activitățile post-incident/eveniment, atunci
personalul responsabil va respecta întocmai decizia instituției/autorității.
Alertele transmise către părțile implicate trebuie să conțină următoarele informații:
47
6. Lansarea investigației detaliate (dacă este cazul)
Alerta de securitate este considerată închisă/clasată în momentul în care au fost alertate toate
părțile responsabile precum și cele afectate (sursă și victimă), acestea confirmând primirea
mesajelor și demararea activităților de remediere a problemelor. Pentru ca alerta să poată fi
considerată închisă/clasată trebuie ca toate posibilitățile de acțiune ale CERT-RO să fie
epuizate.
În cazul în care părțile notificate nu dau curs solicitării CERT-RO timp de o săptămână,
incidentul/evenimentul este considerat închis/clasat.
9. Automatizarea activității de răspuns la alerte de securitate cibernetică
Activitatea de răspuns la incidente de securitate cibernetică este automatizată pe cât mai mult
posibil. În cazul în care alertele sunt transmise, de către un partener, într-un format
standardizat, ușor accesibil, sunt dezvoltate aplicații automate care să identifice părțile
implicate cât și autoritățile competente și să le transmită notificări automate sub formă de
email.
48
Toate notificările automate transmise sunt înregistrate în cadrul sistemului de gestionare a
alertelor folosit în cadrul CERT-RO.
Din punct de vedere tehnic, gestionarea evenimentelor, alertelor și incidentelor de securitate
cibernetică se realizează prin intermediul unei aplicații de ticketing și a unei aplicații
dezvoltate intern pentru colectarea, procesarea, normalizarea, analizarea și diseminarea
informațiilor.
În spațiul cibernetic național, securitatea rețelelor și sistemelor informatice este asigurată prin
utilizarea unor tehnologii consacrate, prin implementarea de proceduri și politici de securitate
organizaționale și prin intermediul sistemelor implementate de autoritățile naționale cu
atribuții în acest sens.
49
Securitatea Sistemelor Informatice şi de Comunicaţii”, întocmit de Asociaţia Naţională
pentru Securitatea Sistemelor Informatice (ANSSI), cuprinzând o serie de măsuri
recomandate pentru asigurarea securităţii informatice, referindu-se la securitatea fizică,
securitatea logică şi controlul accesului (securitatea personalului).
Securitatea fizică
O practică frecventă a grupurilor infracționale constă în utilizarea tehnicilor de scanare
continuă a spațiilor de adrese IP ale organizațiilor țintă, urmărind conectarea sistemelor noi
și/sau neprotejate, ori laptop-uri cu definiții sau pachete de securitate (patch-uri) neactualizate
datorită faptului că nu sunt conectate frecvent la rețea. Unul din atacurile comune profită de
sistemele nou instalate și care nu sunt configurate și securizate din punct de vedere al
pachetelor de securitate decât în ziua următoare, fiind ușor de identificat și exploatat prin
intermediul Internetului de către atacatori. În ceea ce privește sistemele informatice aflate în
interiorul rețelelor protejate, atacatorii care au obținut deja acces pot viza și compromite acele
sisteme insuficient sau necorespunzător securizate.
O atenție deosebită trebuie acordată echipamentelor și sistemelor care nu sunt incluse în
inventarul organizațiilor, cum ar fi diversele dispozitive mobile personale, sisteme de test,
etc. și care nu sunt conectate în mod permanent la rețea. În general, aceste tipuri de
echipamente tind să nu fie securizate în mod corespunzator sau să nu aibă controale de
securitate care să răspunda cerințelor de securitate. Chiar dacă aceste echipamente nu sunt
utilizate pentru a procesa, stoca sau accesa date sau informații critice, odată introduse în rețea,
pot oferi atacatorilor o cale de acces spre alte resurse și un punct de unde pot fi lansate atacuri
avansate.
Conform ghidului publicat de SANS Institute, intitulat „Systems and Network
Documentation”, menținerea unui inventar precis și actual, controlat prin monitorizare activă
și managementul configurației, poate reduce șansele ca atacatorii să identifice și să exploateze
sistemele neprotejate. Procedurile de inventariere stabilesc proprietarii de informații și
sisteme informatice, documentând responsabilitățile pentru menținerea inventarului pentru
fiecare componentă a sistemelor. În funcție de complexitatea fiecărei organizații, se pot
utiliza instrumente specializate de monitorizare și inventariere a resurselor sistemelor
informatice, care pot efectua “descoperirea” de noi sisteme, odată conectate la rețeaua
sistemului informatic, prin intermediul datelor obținute de la echipamentele de rețea. De
asemenea, se pot utiliza instrumente de identificare pasivă a resurselor (care “ascultă” în mod
50
pasiv la interfețele de rețea echipamentele care își anunță prezența prin modificarea
traficului). Aceste instrumente de monitorizare și inventariere ar trebui să includă
funcționalități precum:
• Identificarea echipamentelor noi neautorizate conectate la rețea într-un interval de
timp predefinit;
• Alertarea sau transmiterea mesajelor de notificare către o listă predefinită cu
personal administrativ;
• Izolarea sistemului neautorizat;
51
Sistemele de monitorizare utilizate ar trebui să includă și funcționalități precum:
• Capacitatea de identificare a software-ului neautorizat prin detectarea tentativelor de
instalare sau executare a acestuia;
• Alertarea personalului administrativ într-un interval de timp predefinit;
• Blocarea instalării, prevenirea executării sau trecerea în carantină.
52
Măsurile de securitate, chiar bine implementate la nivelul sistemelor informatice, pot fi
eludate în rețele concepute deficitar. Fără o arhitectura de rețea atent planificată și
implementată în mod corespunzător, atacatorii pot ocoli măsurile de securitate din diferite
sisteme, pătrunzând în rețea pentru a obține acces către sistemele țintă.
Atacatorii vizează în mod frecvent hărțile rețelelor pentru a identifica conexiuni neutilizate
între sisteme, filtrare necorespunzătoare și rețele fără segregare. Prin urmare, o arhitectură de
rețea robustă și securizată poate fi realizată prin implementarea unui proces care să furnizeze
și măsurile de securitate necesare.
Pentru a se asigura un mediu robust și ușor de securizat, arhitectura fiecărei rețele trebuie să
se bazeze pe modele care descriu structura generală a acesteia și a serviciilor pe care le oferă.
Organizațiile trebuie să documenteze diagrame pentru fiecare rețea în care să fie evidențiate
componentele de rețea împreună cu grupurile semnificative de servere și sisteme client.
Capitolul 3
3.1. POLITICI, STANDARDE, NORME ŞI PROCEDURI DE SECURITATE
Orice organizaţie care doreşte să-şi apere valorile informaţionale trebuie să conceapă
o modalitate logică şi coerentă de protejare a acestora, ţinând seama de recomandările legale
în domeniu şi de realităţile specifice activităţii sale. Ea va analiza pe de o parte pericolele
interne şi externe, iar pe de altă parte metodele disponibile de contracarare a lor. Demersurile
sale se vor concretiza, printre altele, în politici, standarde, norme şi proceduri de securitate.
Obiectivele capitolului curent sunt:
• cunoaşterea principalelor modele ale politicilor de securitate;
• identificarea elementelor care trebuie să stea la baza dezvoltării programelor
de securitate;
• dobândirea cunoştinţelor necesare pentru a realiza politici de securitate pentru
diverse zone ale unei organizaţii.
53
Modele de politici de securitate
54
Când privim un sistem, din punct de vedere al securităţii lui, întregul este separat în
părţi, prin linii orizontale, realizându-se aşa-zisa securitate pe niveluri multiple (multinivel)
prin care se face o delimitare netă între categoriile de informaţii din sistem (publice,
confidenţiale, secrete, strict secrete). O astfel de delimitare asigură certitudinea citirii
informaţiilor dintr-o anumită clasificare numai de persoanele care au autorizarea cel puţin
egală cu clasificarea informaţiilor citite. Într-o formă schematică, sistemul este structurat ca
în figura 2.
55
• principiul * (se citeşte stea): nici un proces nu poate să scrie date pe un nivel
aflat sub el. Este cunoscut şi ca Nu scrie dedesubt (No Write Down, NWD);
• principiul securităţii discreţionare introduce o matrice de acces pentru a
specifica controlul accesului discreţionar. Este cunoscut şi ca Trusted Subject
(subiect de încredere). Prin acest principiu, subiectul de încredere violează
principiul *, dar nu se abate de la scopul său.
56
matricea de control al accesului, competenţele unui subiect sunt definite prin tripleta (obiect,
drepturi, număr aleator).
Modelul Biba:
În multe cărţi este amintit şi modelul Biba, al lui Ken Biba, ocupându-se doar de
integritatea sistemelor, nu şi de confidenţialitate. El se bazează pe observaţia că în multe
cazuri confidenţialitatea şi integritatea sunt concepte duale: în timp ce prin confidenţialitate
se impun restricţii celor ce pot citi un mesaj, prin integritate sunt controlaţi cei ce pot să scrie
sau să modifice un mesaj.
În unele organizaţii guvernamentale sau comerciale există aplicaţii în care integritatea
datelor este mult mai importantă decât confidenţialitatea, ceea ce a făcut să apară modele
formale ale integrităţii.
Integritatea vizează trei scopuri principale:
• protejarea datelor împotriva modificărilor efectuate de utilizatorii neautorizaţi;
• protejarea datelor împotriva modificărilor neautorizate efectuate de utilizatori
autorizaţi;
• asigurarea consistenţei interne şi externe a datelor.
Modelul a fost realizat în 1977 ca unul al integrităţii datelor, aşa cum modelul Bell-
LaPadula este cunoscut ca modelul confidenţialităţii datelor. Modelul Biba este unul de tip
reţea şi foloseşte relaţia mai mic sau egal. O structură a reţelei este definită ca un ansamblu
parţial ordonat cu cea mai mică limită superioară, LUB (Least Upper Bound), şi cea mai mare
limită inferioară, GLB (Greatest Lower Bound).
O reţea reprezintă un ansamblu de clase de integritate (CI) şi de relaţii ordonate între
aceste clase. Ea poate fi definită astfel:
(CI, <=, LUB, GLB).
57
Aşa cum Bell-LaPadula operează cu niveluri diferite de sensibilitate, modelul Biba
clasifică obiectele în diferite niveluri de integritate. Modelul enunţă trei axiome ale
integrităţii:
1. axioma integrităţii simple. Ea stabilişte că unui subiect aflat pe un anumit
nivel de integritate nu-i este permis să observe (citească) un obiect de o
integritate mai joasă (No Read Down, Nu citi dedesubt).
2. axioma integrităţii * (se citeşte stea) stabileşte că unui obiect situat pe un
anumit nivel de integritate nu-i este permis să modifice (scrie) alt obiect situat
pe un nivel mai înalt de integritate (No Write Up, Nu scrie deasupra);
3. un subiect de pe un anumit nivel de integritate nu poate solicita un subiect
situat pe un nivel de integritate superior.
Axiomele şi modelul Biba sunt redate în figura 5.
58
definindu-se politicile, standardele, normele şi procedurile. În acest context, programul de
securitate trebuie să se supună elementelor enunţate anterior.
Fără politici riguroase, programele de securitate vor fi aproape fără suport, ineficiente
şi nu se vor alinia strategiei şi obiectivelor organizaţiei. Politicile, standardele, normele şi
procedurile constituie fundaţia programului de securitate al organizaţiei. Politicile eficiente,
clar formulate, vor servi proceselor de auditare şi eventualelor litigii. Combinând elementele
specificate, o entitate poate implementa controale specifice, procese, programe de
conştientizare şi multe altele, tocmai pentru a-i aduce un plus de linişte.
3.2.1 Politicile
O politică, deseori, înseamnă mai multe lucruri, atunci când ne referim la securitatea
informaţională a unei organizaţii. Cineva poate să se rezume doar la firewall-urile folosite
pentru controlarea accesului şi a traseelor pe care circulă informaţiile, altcineva se gândeşte la
lacătele, cardurile de acces, camerele de luat vederi ce înregistrează totul din perimetrele
controlate. Dar, câte alte accepţiuni nu i se pot da!
Atunci când discutăm despre politici de securitate, trebuie pornit de la vârful
piramidei manageriale, unde se află top managerii. Ei au misiunea de a formula Declaraţia
politicii organizaţiei (Statement of Policy). Aceasta este o formulare generală, o declaraţie din
care să reiasă:
• importanţa resurselor informaţionale pentru atingerea obiectivelor strategice
ale organizaţiei;
• formularea clară a sprijinului acordat tehnologiilor informaţionale în unitate;
• angajamentul top managerilor de a autoriza sau coordona activităţile de
definire a standardelor, procedurilor şi normelor de securitate de pe nivelurile
inferioare.
În afara declaraţiei politicii de securitate la nivelul top managerilor, există şi politici
obligatorii, politici recomandate şi politici informative.
Politicile obligatorii sunt politici de securitate pe care organizaţiile sunt obligate să le
implementeze ca efect al acordurilor, regulamentelor sau al altor prevederi legale. De regulă,
aici se încadrează instituţiile financiare, serviciile publice sau orice alt tip de organizaţie care
serveşte interesului public. Aceste politici sunt foarte detaliate şi au elemente specifice, în
funcţie de domeniul de aplicare.
59
De regulă, politicile obligatorii au două scopuri de bază:
• asigurarea că o organizaţie urmează procedurile standard sau politicile de bază
din domeniul ei de activitate;
• de a oferi încredere organizaţiilor că ele urmează standardele şi politicile de
securitate din domeniul de activitate.
Politicile recomandate, prin definiţie, nu sunt obligatorii, dar sunt puternic susţinute,
cu prezentarea consecinţelor foarte dure în cazul înregistrării eşecurilor. O organizaţie este
direct interesată ca toţi angajaţii ei să considere aceste politici ca fiind obligatorii. Cele mai
multe politici se încadrează în această categorie. Ele sunt foarte clar formulate la toate
nivelurile. Cei mai mulţi angajaţi vor fi riguros controlaţi prin astfel de politici, definindu-le
rolurile şi responsabilităţile în organizaţie.
Politicile informative au scopul de a informa cititorii. Nu poate fi vorba de cerinţe
specifice, iar interesaţii de aceste politici pot să se afle în interiorul organizaţiei sau printre
partenerii ei.
După aceste descrieri, putem să facem o scurtă prezentare a elementelor comune
tuturor politicilor de securitate, astfel:
• domeniul de aplicare: declararea domeniului de aplicare înseamnă prezentarea
intenţiei vizate de politică şi ea va scoate în relief şi legăturile existente cu
întreaga documentaţie a organizaţiei. Formularea trebuie să fie scurtă şi se
plasează la începutul documentului;
• declararea politicii top managerilor se include la începutul documentului şi are
dimensiunea unui singur paragraf, specificând scopul global al politicii;
• responsabilităţile constituie conţinutul unei secţiuni distincte şi cuprind
persoanele implicate în asigurarea bunei funcţionări a politicii;
• consecinţele: printr-o astfel de formulare se prezintă pierderile posibile dacă
politica nu va fi respectată;
• monitorizarea: se specifică modul în care se monitorizează respectarea şi
actualizarea continuă a politicii;
• excepţiile: se menţionează cazurile în care apar excepţii şi modalităţile de
tratare a lor; de regulă, au o durată limitată de aplicare, de la un caz la altul.
60
Pe nivelul inferior politicilor se află trei elemente de implementare a politicii:
standardele, normele şi procedurile. Ele conţin detaliile politicii, cum ar fi posibilităţile de
implementare, ce standarde şi proceduri să fie întrebuinţate. Ele sunt făcute publice la nivel
de organizaţie, prin manuale, Intranet, cărţi, cursuri ş.a.
De cele mai multe ori, standardele, normele şi procedurile sunt tratate laolaltă, dar nu
este cea mai inspirată idee, fiindcă tratarea separată a lor este justificată de următoarele
argumente:
• fiecare dintre ele serveşte unei funcţii diferite şi are propria audienţă; chiar şi
distribuţia lor fizică este mai lejeră;
• controalele securităţii pe linia confidenţialităţii sunt diferite pentru fiecare tip
de politică;
• actualizarea şi întreţinerea politicii ar deveni mai anevoioase, prin prisma
volumului documentaţiei, dacă s-ar trata nediferenţiat.
Standardele:
Standardele specifică utilizarea anumitor tehnologii, într-o viziune uniformă. De
regulă, standardele sunt obligatorii şi sunt implementate la nivel de unitate, tocmai pentru
asigurarea uniformităţii.
Elementele principale ale unui standard de securitate informaţională sunt:
• scopul şi aria de aplicare, prin care se oferă o descriere a intenţiei standardului
(realizarea unui tip de server pe o anumită platformă);
• roluri şi responsabilităţi la nivel de corporaţie pe linia definirii, execuţiei şi
promovării standardului;
• standardele cadrului de bază, prin care sunt prezentate declaraţiile de pe cel
mai înalt nivel, aplicabile platformelor şi aplicaţiilor;
• standardele tehnologiei conţin declaraţiile şi descrierile aferente (configuraţia
sistemului sau serviciile nesolicitate de sistem);
• standardele administrării reglementează administrarea iniţială şi în timpul
exploatării platformei şi aplicaţiilor.
Normele:
Normele sunt oarecum asemănătoare standardelor, referindu-se la metodologiile
sistemelor securizate, numai că ele sunt acţiuni recomandate, nu obligatorii. Sunt mult mai
flexibile decât standardele şi iau în considerare naturile diverse ale sistemelor informaţionale.
61
Ele specifică modalităţile de dezvoltare a standardelor sau garantează aderenţa la principiile
generale ale securităţii.
Elementele principale ale unei norme de securitate informaţională sunt:
• scopul şi aria de aplicare, descriindu-se intenţia urmărită prin regula
respectivă;
• roluri şi responsabilităţi pe linia definirii, execuţiei şi promovării normei;
• declaraţii de orientare: este un proces pas-cu-pas de promovare a tehnologiilor
respective;
• declaraţii de exploatare: se definesc obligaţiile zilnice, săptămânale sau lunare
pentru o corectă exploatare a tehnologiei respective.
Procedurile:
Procedurile prezintă paşii detaliaţi ce trebuie să fie parcurşi pentru execuţia unei
activităţi. Se descriu acţiunile concrete pe care trebuie să le efectueze personalul. Prin ele se
oferă cele mai mici detalii pentru implementarea politicilor, standardelor şi normelor. Uneori
se foloseşte în locul acestui concept cel de practici.
Încă de la început, trebuie să spunem că nu există două organizaţii care să aibă politici
de securitate identice. Din multitudinea lor, vom prezenta, în continuare, o sinteză a formelor
existente, reunind ceea ce se regăseşte în mai multe locuri.
De regulă, se începe cu un program de securizare a sistemelor informaţionale, situaţie
în care se foloseşte conceptul de politica programului de securitate informaţională. Ea este
acoperişul sub care se vor realiza politici tehnice de securitate, standarde şi norme de
aplicare. Într-o unitate sunt necesare politici speciale pentru utilizarea Internetului şi a e-mail-
ului, pentru accesarea de la distanţă a sistemului, pentru modurile de utilizare a unui sistem
informatic, pentru protecţia informaţiilor ş.a. Aşadar, se poate spune că printr-o politică a
programului de securitate informaţională se defineşte politica de ansamblu a organizaţiei în
acest domeniu, precum şi responsabilităţile din sistem.
În aceste condiţii, politicile ce se vor emite sunt componente esenţiale ale programului
şi ele trebuie să răspundă la cinci obiective majore:
1. prevenire: abilitatea de prevenire a accesului neautorizat la valorile
patrimoniale ale organizaţiei;
62
2. asigurare: asigurarea că politicile, standardele şi normele sunt în concordanţă
cu intenţiile organizaţiei pe linia protejării valorilor patrimoniale
informaţionale;
3. detectare: abilitatea de a detecta intruşii din sistem şi de a lansa arsenalul de
contramăsuri corespunzătoare;
4. investigare: capacitatea de a folosi tehnici adecvate pentru obţinerea
informaţiilor despre posibilii intruşi din sistem;
5. continuitate: posibilitatea de a garanta funcţionarea neîntreruptă prin existenţa
unui plan de acţiune în cazul dezastrelor, dezvoltat şi testat în organizaţie.
În continuare, vom face o descriere succintă a câtorva politici. Politica utilizării
adecvate. O astfel de politică trebuie să analizeze şi să definească utilizarea corespunzătoare a
resurselor informatice din organizaţie. Utilizatorii trebuie să o citească şi semneze atunci când
îşi exprimă intenţia de deschidere a unui cont de utilizator. Responsabilităţile utilizatorului
pentru protejarea informaţiilor, memorate în conturile lor, trebuie să fie formulate explicit, ca
şi nivelurile de utilizare a Internetului şi e-mail-ului.
Politica, de asemenea, trebuie să răspundă următoarelor întrebări:
• Trebuie ca utilizatorii să citească şi copieze fişiere care nu sunt ale lor, dar la
care au acces?
• Trebuie ca utilizatorii să modifice fişierele la care au drept de scriere, dar nu
sunt ale lor?
• Trebuie ca utilizatorii să facă copii ale fişierelor de configurare a sistemului, în
scopul folosirii personale sau să le dea altora?
• Trebuie ca utilizatorii să folosească în comun conturile deschise?
• Trebuie ca utilizatorii să aibă dreptul de a face oricâte copii de pe softul care e
procurat cu licenţă de utilizare?
63
• Cui (angajaţilor, soţiilor/soţilor, rudelor, copiilor, vizitatorilor ş.a.) îi este
permis să folosească resursele informatice ale organizaţiei?
• Poate un utilizator să aibă mai multe conturi în acelaşi sistem?
• Pot folosi utilizatorii în comun aceleaşi conturi?
• Care sunt drepturile şi obligaţiile utilizatorilor?
• Când va fi dezactivat şi arhivat un cont?
Politica accesului de la distanţă:
Prin ea se definesc modalităţile de conectare de la distanţă la reţeaua internă a
organizaţiei. Ea este necesară în organizaţiile care au utilizatori şi reţele dispersate geografic.
Politica trebuie să răspundă următoarelor întrebări:
• Cine poate să aibă dreptul accesării de la distanţă?
• Ce metode sunt acceptate de organizaţie (dial-up, modem)?
• Este permis accesul din afară la reţeaua internă prin modem?
• Se impun anumite condiţii, cum ar fi soft antivirus şi de securitate, pentru
accesarea de la distanţă?
• Pot alţi membri ai familiei să acceseze reţeaua?
• Sunt restricţii privind tipul datelor ce pot fi accesate de la distanţă?
Politica protecţiei informaţiilor
Printr-o astfel de politică se aduc la cunoştinţa utilizatorilor condiţiile prelucrării,
stocării şi transmiterii informaţiilor sensibile. Scopul principal al acestei politici este
asigurarea că informaţiile sunt protejate, în mod corespunzător, împotriva modificărilor sau
dezvăluirii neautorizate. O astfel de politică trebuie semnată de toţi angajaţii. Ea trebuie să
dea răspuns cel puţin la următoarele întrebări:
• Care sunt nivelurile de sensibilitate ale informaţiilor?
• Cine poate să aibă acces la informaţiile sensibile?
• Cum sunt stocate şi transmise informaţiile sensibile?
• Ce niveluri de informaţii sensibile pot fi listate pe imprimante publice?
• Cum trebuie să fie şterse informaţiile sensibile de pe suporturi (tocarea şi
arderea hârtiilor, curăţirea discurilor ş.a.)?
64
Politica gestionării firewall-urilor descrie modul în care sunt gestionate hardul şi
softul şi cum sunt formulate şi aprobate cererile de schimbare din sistem. O astfel de politică
trebuie să dea răspuns la următoarele întrebări:
• Cine are acces la sistemele firewall?
• Cine trebuie să primească solicitările de efectuare a schimbărilor în
configuraţia firewall-urilor?
• Cine trebuie să aprobe efectuarea schimbărilor în configuraţia firewall-urilor?
• Cine poate să vadă normele şi listele de acces la configuraţia firewall-ului?
• Cât de des trebuie efectuată revizia firewall-urilor?
65
O astfel de politică stabileşte ce măsuri de securitate trebuie să respecte fiecare
companie parteneră. Ea este o politică cu atât mai necesară acum când organizaţiile oferă
reţeaua lor internă partenerilor, clienţilor, furnizorilor. Deşi o astfel de politică este diferită de
la o organizaţie la alta, ea, totuşi, trebuie să ofere răspunsuri la următoarele întrebări:
• I se cere fiecărei organizaţii să aibă scrisă o politică de securitate?
• Trebuie ca fiecare organizaţie să aibă un firewall sau alte echipamente de
securitate a perimetrului?
• Cum se vor realiza comunicaţiile (linie închiriată, VPN prin Internet ş.a.)?
• Cum se vor formula cererile pentru accesarea resurselor partenerului?
66
organizaţiei/ţării pentru a preveni personalul că foloseşte reţeaua organizaţiei în scopuri
ilegale.
Protocoalele specifice acoperite printr-o politică de utilizare a Internetului sunt
următoarele:
• Poşta electronică. Aceasta vizează toate formele de e-mail utilizate de o
organizaţie, definindu-se ceea ce se acceptă a se folosi, declarându-se softul
utilizat pentru filtrare şi scanare. Ea trebuie să sublinieze cerinţele specifice
referitoare la datele ce nu pot fi transmise prin e-mail şi procedurile de urmat
în cazul în care un utilizator primeşte mesaje cu date de acest gen. Prin această
politică trebuie prevăzute şi măsurile luate în cazul nerespectării condiţiilor de
utilizare a e-mail-ului;
• Web. Politica va prevedea condiţiile specifice de realizare a traficului Web.
Cât timp WWW (World Wide Web) foloseşte HTTP-ul (HyperText Transport
Protocol) pentru transferarea informaţiilor, prin politica de faţă vor fi definite
clar tipurile de site-uri Web care sunt strict interzise, de genul celor porno,
jocurilor de noroc ş.a.;
• FTP. Permiţând utilizatorilor accesul la FTP (File Transfer Protocol), se
deschide calea descărcării cu uşurinţă în sistemul organizaţiei a viruşilor, dar
şi transmiterea pe serverele din afara orgnizaţiei a unor informaţii
confidenţiale. Pentru specialiştii organizaţiei trebuie să se asigure un nivel de
acces FTP pentru efectuarea unor descărcări de fişiere în vederea actualizării
softului existent, dar politica de faţă trebuie să stabilească autorizările de
utilizare FTP;
În general, prin politica Internet se face referire la următoarele aspecte:
• acceptarea folosirii şi condiţiile de accept pentru:
• descărcările de fişiere;
• newsgroup-uri;
• comunicarea datelor sensibile;
• tipurile de fişiere ataşate;
• dimensiunea mesajelor;
• softul fără licenţă;
• pachete de aplicaţii soft neaprobate;
• exportul informaţiilor sensibile;
67
• protecţia fişierelor;
• protecţia împotriva viruşilor;
• managementul schimbărilor din sistem;
• practicile de stocare a datelor;
• siguranţă şi disponibilitate;
• protecţia informaţiilor prin clasificarea lor;
• controlul accesului;
• e-mail-ul şi datele ce pot fi reţinute/stocate în unitate;
• monitorizarea;
• excepţiile şi amendamentele.
68
precum și să se stabilească cerințele de securitate și de notificare a incidentelor care se
aplică operatorilor de servicii esențiale și furnizorilor de servicii digitale.
69
atacurilor cibernetice, identificarea bunelor practici privind prevenirea și limitarea efectelor
acestor atacuri, cercetarea gradului de pregătire a României pentru contracararea riscurilor și
provocărilor prezente în spațiul cibernetic, analiza cooperării dintre sectorul public și cel
privat în domeniul securității cibernetice Directiva (UE) 2016/1148 privind măsuri pentru un
nivel comun ridicat de securitate a rețelelor și a sistemelor informatice în Uniunea
Europeană.și propunerea unor politici de securitate cibernetică privind armonizarea cadrului
normativ din România cu recomandările europene în domeniu.
Actualitatea temei de cercetare este dată de analiza necesității transpunerii
prevederilor Directivei NIS în legislația națională, Ministerul Comunicațiilor și Societății
Informaționale lansând în dezbatere publică, la data de 3 octombrie 2017, Proiectul de Lege
privind asigurarea unui nivel comun ridicat de securitate a rețelelor și sistemelor informatice.
Cercetările realizate în cadrul acestui studiu au utilizat atât metode calitative, cât și metode
cantitative. Metodele folosite în cadrul cercetărilor calitative au fost observația participativă,
studii de caz, studii comparative și analiza bibliografiei de specialitate.Cercetările cantitative
au fost orientate spre verificarea teoriilor obținute prin intermediul cercetărilor calitative și
au utilizat sondajele ca metode de cercetare. Sondajul realizat în cadrul studiului (a se
vedea Anexa) a tratat stadiul de maturitate a proceselor din domeniul securității cibernetice
la nivelul instituțiilor din administrația publică din România având în vedere
următoarele direcții: responsabilități și sarcini în domeniul securității cibernetice,
managementul riscului de securitate (politici, planuri și proceduri), instrumente și
automatisme la nivelul infrastructurii, cadrul privind stabilirea obiectivelor, indicatorilor și a
mecanismelor de cooperare, cultura organizațională (dezvoltarea de expertiză la nivelul
organizațiilor prin programe de instruire, conștientizare și comunicare).
70
informatice să fie accesibile persoanelor sau proceselor autorizate;
• autenticitatea - proprietatea de asigurare a identificării și autentificării persoanelor,
dispozitivelor și serviciilor sistemelor informatice și de comunicații;
• non-repudierea - proprietatea ca o acțiune sau un eveniment să nu poată fi repudiat
(negat, contestat) ulterior.
Starea de securitate cibernetică poate fi obținută prin aplicarea unor măsuri de securitate
proactive și reactive ce includ politici, standarde și modele de securitate, prin
managementul riscului și prin implementarea unor soluții pentru protecția rețelelor și
sistemelor informatice.
Tehnologia este omniprezentă și tot mai complexă pentru aproape fiecare aspect al
societății
moderne. Progresul exponențial în ultima jumătate de secol în ceea ce privește puterea de
procesare și capacitatea de memorare a făcut hardware-ul IT nu numai mai rapid, dar și mai
mic, mai ușor, mai ieftin și mai ușor de utilizat. Industria IT inițială a convers tot mai
mult cu industria comunicațiilor într-un sector combinat, denumit în mod obișnuit
Tehnologia Informației și Comunicațiilor (TIC).
Dispozitivele și componentele TIC sunt, în general, complexe și
interdependente, iar întreruperea unuia poate afecta funcționarea celorlalte. În ultimii ani,
experții și factorii de decizie și-au exprimat îngrijorarea din ce în ce mai mare cu privire la
protejarea sistemelor TIC în fața atacurilor cibernetice, acțiuni deliberate ale unor persoane
neautorizate de a accesa sistemele în scopuri de furt, întrerupere, distrugere sau alte acțiuni
ilegale.
Activitatea de protejare a sistemelor TIC și a conținutului acestora a devenit cunoscută sub
numele de securitate cibernetică. Un concept larg și, probabil, insuficient explicat,
securitatea
cibernetică poate fi un termen util, dar nu poate fi identificat printr-o definiție precisă.
De obicei se referă la unul sau mai multe din următoarele aspecte:
• un set de activități și măsuri menite să protejeze - de atacuri, întreruperi ale
funcționării
71
• sau alte amenințări - sistemele de calcul, rețelele de calculatoare, componentele
hardware/software aferente și informațiile pe care acestea le conțin sau transmit
(inclusiv aplicații software, date și alte elemente din spațiul cibernetic);
• starea sau calitatea de a fi protejat împotriva acestor amenințări;
• domeniul extins de eforturi menite să pună în aplicare și să îmbunătățească
aceste activități și calitatea serviciilor.
72
• teroriști care se angajează în atacuri cibernetice ca o formă de război , susținut sau nu la
nivel de stat.
73
Se observă o creștere substanțială, datorată în special extinderii continue a
infrastructurii TIC prin intermediul IoT (Internet of Things) și al altor platforme noi și
emergente.
74
este prin natura ei imperfectă, iar rentabilitatea economică a investițiilor este adesea
nesigură.
• Consens: Securitatea cibernetică înseamnă lucruri diferite pentru diferiții actori
interesați, adesea fără o înțelegere totală și comună asupra sensului, implementării
și riscurilor. Există și impedimente culturale importante, nu numai între sectoare, ci și
în interiorul aceluiași sector sau în cadrul organizațiilor. Abordările tradiționale ale
securității pot fi insuficiente în spațiul cibernetic, dar consensul asupra alternativelor s-a
dovedit evaziv.
• Mediu: Spațiul cibernetic a fost numit cel mai rapid spațiu tehnologic în
evoluție din istoria omenirii, atât ca scară, cât și ca proprietăți. Proprietățile și
aplicațiile noi și emergente - în special echipamentele mobile și concepte precum
social media, big data, cloud computing sau IoT - complică și mai mult mediul
amenințărilor cibernetice, dar pot reprezenta și posibile oportunități de îmbunătățire a
securității informatice, de exemplu prin economiile oferite de cloud computing și
analizele big data.
75
echipamentelor de calcul prin plasarea acestora în zone sigure, restricționate
personalului
neautorizat. Accesul la aceste zone trebuie făcut prin folosirea interfoanelor, cardurilor de
acces
sau dispozitivelor de scanare a datelor biometrice pentru autentificarea utilizatorilor cu
permis de
intrare. O altă vulnerabilitate a sistemelor informatice o reprezintă dezastrele naturale
(cutremure, inundații, incendii) sau accidentele precum căderile de tensiune sau
supratensiunile ce pot duce la distrugerea fizică a echipamentelor de calcul. De aceea
trebuie avute în vedere și amplasarea echipamentelor pentru reducerea riscului față de
amenințările mediului înconjurător.
O atenție deosebită trebuie acordată componentelor hardware pentru ca acestea
să nu afecteze ulterior buna funcționare a sistemelor informatice. În cazul serverelor ce
furnizează servicii în Internet trebuie alese componente hardware tolerante la defectări
pentru a oferi disponibilitate serviciilor și datelor partajate în rețea și pentru a reduce riscul
vulnerabilităților de tip hardware. Aceste vulnerabilități sunt întâlnite cel mai des la
sistemele de stocare a datelor, fiind cele mai sensibile componente hardware. Din acest punct
de vedere se recomandă salvările de siguranță atât la nivelul informațiilor, cât și la
nivelul sistemului de operare, pentru repunerea rapidă a acestuia și a serviciilor
configurate în caz de defecțiune. Comunicațiile prin rețeaua Internet sunt nesigure.
Oricine se poate conecta la linia de comunicație și poate intercepta, altera sau chiar devia
traficul de date. Pentru a înlătura aceste
vulnerabilități se recomandă folosirea metodelor moderne de criptare astfel încât, în cazul în
care sunt interceptate, datele să nu poată fi decriptate.
76
pentru sistemul informatic supus atacului.
Vulnerabilitățile de clasă C, cele care permit atacuri prin refuzul serviciilor, sunt
vulnerabilități ale sistemului de operare, în special ale funcțiilor de rețea. Aceste
vulnerabilități
permit utilizatorilor externi să altereze serviciile de rețea ale unui sistem informatic,
sau, în anumite cazuri, transformă sistemul victimă într-un sistem zombie ce va putea fi
implicat ulterior într-un atac de tip DDoS. Aceste vulnerabilități, dacă sunt exploatate, duc la
încetinirea sau la oprirea temporară a serviciilor de rețea oferite, cum este cazul unor servere
HTTP, FTP sau de poștă electronică. Vulnerabilitățile de clasă C nu sunt considerate foarte
grave deoarece implică doar alterarea serviciilor, nu și a datelor. Cu toate acestea, în
anumite domenii în care se pune accent mare pe disponibilitatea datelor, aceste
vulnerabilități reprezintă un risc ridicat.Vulnerabilitățile ce permit utilizatorilor locali să-și
extindă privilegiile fără autorizație, vulnerabilitățile de clasă B, ocupă o poziție medie pe
scara consecințelor. Prin aceste vulnerabilități, un utilizator cu un cont limitat va putea obține
privilegii de administrator în sistemul informatic respectiv. Tipurile de atac care permit
mărirea privilegiilor unui utilizator într-un sistem informatic sunt atacurile buffer overflow.
În urma unor erori de programare, unele aplicații alocă un spațiu insuficient de memorie
pentru stocarea informațiilor. În momentul în care spațiul de memorie este total ocupat,
informațiile ce depășesc spațiul alocat sunt stocate la o altă adresă din memorie.
Prin manevrarea acestor adrese, un atacator poate executa diverse comenzi cu
aceleași drepturi ca ale programului respectiv. Cum programul de regulă are drepturi de
administrator în sistemul de operare, atacatorul care exploatează vulnerabilitatea buffer
overflow poate executa comenzi în sistem cu drepturi de administrator. Vulnerabilitățile
de clasă B sunt considerate vulnerabilități grave deoarece pot permite accesul unor utilizatori
neautorizați la informații importante din sistem.
Vulnerabilitățile de tip A, cele mai grave pe scara consecințelor, permit utilizatorilor
externi accesul la sistemul informatic. Prin atacuri cu troieni sau viermi informatici se pot
deschide breșe în securitatea sistemului informatic prin care un utilizator extern se
poate conecta în mod neautorizat la sistem. Sunt considerate vulnerabilități deosebit de
grave deoarece permit accesul utilizatorilor la sistemul de operare și la baza de date a
sistemului, aceștia putând fura sau chiar șterge datele importante.
77
Cauzele apariției vulnerabilităților într-un sistem informatic sunt multiple, câteva
dintre acestea fiind:
• erorile existente la nivelul sistemelor de operare sau al aplicațiilor;
• configurarea necorespunzătoare a sistemului de operare sau a aplicațiilor;
• cunoștințele limitate ale administratorilor de sistem sau de rețea;
• lipsa suportului dezvoltatorilor de software în rezolvarea erorilor identificate în
aplicațiile software.
Nu în ultimul rând, cele mai mari vulnerabilități sunt cele umane, date de personalul
ce se ocupă de configurarea și administrarea sistemelor informatice. Prin lipsa experienței sau
printr-o
documentare inadecvată privind anumite configurări ale sistemului de operare sau ale
aplicațiilor
instalate, securitatea cibernetică poate fi total compromisă. Un tip aparte îl reprezintă
vulnerabilitățile de tip zero-day, necunoscute dezvoltatorilor și furnizorilor de software și
care potfi exploatate de criminalii cibernetici.Orice sistem informatic are vulnerabilități,
astfel că putem spune că nu există un sistem 100% sigur. Aceste vulnerabilități sunt
folosite de multe tipuri de atacuri ce vizează un sistem informatic în mod direct, cum ar fi
atacurile de tip malware, sau indirect, în cazul implicăr implicării sistemului informatic
într-un atac de tip DDoS.
Capitolul 4
Cunoscută fiind importanţa securităţii fizice, în capitolul de faţă vor fi tratate iniţial
subcomponentele ei – amplasarea centrelor de prelucrare automată a datelor, securitatea
78
echipamentelor –, după care vor fi abordate aspecte ale securităţii softului şi personalului.
Sistemul, în integritatea sa, va avea un tratament special, într-un paragraf distinct, iar altul va
prezenta responsabilităţile dintr-o organizaţie pe linia prelucrării automate a datelor. Ca
obiective, ne dorim de la cititorii noştri:
• dobândirea de cunoştinţe privind securitatea locului de amplasare a centrelor
de prelucrare;
• cunoaşterea modalităţilor de asigurare a securităţii echipamentelor şi softului;
• familiarizarea cu măsurile ce vizează securitatea pe linia personalului;
• identificarea principalelor metode de asigurare a securităţii la nivelul
sistemului informatic;
• crearea suportului necesar pentru aplicarea măsurilor administrative pe linia
securităţii.
79
1. Locul de amplasare să fie pe un teren solid, fără riscul alunecărilor, nu deasupra
tunelurilor, a sistemelor principale de colectare a apei reziduale sau a altor
elemente de risc.
2. Nivelul faţă de cotele de inundaţie trebuie să fie evident.
3. Mediul de amplasare, de asemenea, nu trebuie să fie afectat de cutremure,
zgomote, vibraţii, câmpuri electromagnetice (ale radarelor) sau de poluare a
aerului. Zona trebuie să fie liniştită, şi nu una cunoscută pentru numeroasele
incidente sociale. Vecinii sunt liniştiţi? Cu ce se ocupă?
4. Cum funcţionează serviciile de utilităţi în zona de amplasare? Curentul şi apa au
un regim sigur de funcţionare? Drumurile în ce stare sunt? Serviciile speciale de
intervenţie (pompieri, salvare, poliţie) sunt amplasate în apropiere? Au experienţa
pentru a interveni în cazul unor incidente dintr-un centru de calcul?
5. Zona de amplasare trebuie să fie suficient de mare, astfel încât în preajma clădirii
să existe, pe orice latură, cel puţin 10 metri de spaţiu liber, iar parcările să nu fie
mai aproape de 30 de metri.
Dacă ar fi posibil, se recomandă ca întreaga clădire a centrului de calcul să fie
înconjurată din toate părţile de clădirile firmei, izolând-o, în acest mod, de lumea din afară.
După alegerea locului de amplasare, se poate trece la schiţarea machetei clădirii care
să găzduiască sistemul electronic de calcul. Cât ar fi de entuziaşti proiectanţii, îndeosebi
arhitecţii, uneori, în afara gustului lor deosebit pentru estetic, trebuie rugaţi să mai respecte şi
alte elemente, şi anume:
1. Clădirea trebuie să fie una solidă, realizată din materiale neinflamabile. Sala
calculatorului central (a serverelor) se recomandă să nu aibă ferestre şi pe absolut
toate părţile să fie înconjurată de alte săli ale centrului de prelucrare respectiv.
2. Numărul intrărilor şi ieşirilor din clădire trebuie să fie minim, respectându-se,
totuşi, normele pe linie de stingere a incendiilor. Pentru introducerea în clădire a
echipamentului şi a mobilierului mare se poate proiecta o intrare specială, dar ea
nu va fi folosită şi pentru persoane. Intrarea principală a acestora trebuie să
80
dispună şi de o aşa-zisă „zonă tampon”, unde să aibă loc procedurile de control şi
acceptare a intrării în unitate.
3. Cheile, îndeosebi cele ce înlesnesc accesarea mai multor puncte de intrare, trebuie
să fie tratate cu acelaşi interes ca şi lucrurile sau informaţiile protejate. Toate
cheile se dau numai sub semnătură persoanelor ce le primesc, întocmindu-se, în
acelaşi timp, şi un registru special al posesorilor de chei, care, la rândul lor, vor
prezenta şi autorizarea posesiei cheilor.
4. Parterul şi etajul întâi, pe cât posibil, nu trebuie să aibă ferestre externe pentru a
se evita intrarea prin forţarea lor, iar, dacă există, se recomandă ca ele să fie
realizate din cărămizi de sticlă, cărora li s-ar putea adăuga măsuri suplimentare
(cadre metalice) de protecţie.
5. Sălile cu calculatoare nu se recomandă să fie amplasate la demisolul clădirii.
Locul ideal de amplasare începe cu parterul, el fiind cel mai lejer mod de accesare
din punctul de vedere al personalului, dar şi de eventualii intruşi, motiv pentru
care etajul unu este cel mai sigur.
6. În interiorul centrului trebuie să se efectueze o judicioasă compartimentare a
spaţiului, nepermiţându-se accesul direct al nici uneia dintre camere. Este cazul
bibliotecii de suporturi, sălii calculatorului, celei de pregătire date, al zonei
imprimantelor, al birourilor administrative, al birourilor programatorilor ş.a. Se
recomandă ca accesul în astfel de zone să fie facilitat prin sisteme de chei
electronice.
7. Clădirile trebuie să fie prevăzute cu sisteme de alarmă în caz de incendiu sau de
pătrundere neautorizată. Sistemele de alarmă trebuie să fie amplasate în zona
intrării principale în clădire şi din motivul supravegherii continue a lor.
Supravegherea zonei exterioare a clădirii şi a principalelor locuri din interior se
va realiza prin sistemul de televiziune cu circuit închis sau prin monitoare de
supraveghere continuă. Lor li se adaugă şi corpuri speciale de pază.
8. Un rol deosebit îl vor avea procedurile de verificare a sistemelor de alarmă,
precum şi cele de răspuns în caz de incident, numindu-se comandamente speciale
în acest scop. Foarte importantă este descoperirea alarmelor false de incendiu,
produse numai cu scopul creării condiţiilor de derută în sistem, astfel încât acesta
să fie atacat cu uşurinţă de către intruşi.
81
9. Se impune crearea unui sistem sigur de control al securităţii transportului unor
resurse (suporturi magnetice, rapoarte, documentaţie ş.a.). Persoana care
efectuează transportul trebuie să aibă autorizare specială.
10. . Un control special se impune şi pentru preîntâmpinarea deplasării neautorizate a
unor componente din sistem.
11. Sistemele de asigurare a serviciilor de furnizare a apei, energiei electrice, gazului
şi facilităţile de comunicaţii trebuie să fie amplasate subteran. Canalele de acces
la ele trebuie să fie, de asemenea, încuiate şi supravegheate. Conductele de apă şi
sistemul de canalizare nu trebuie să traverseze spaţiile ce găzduiesc averile
informatice ale firmei, ci să le înconjoare. Dacă ocolirea nu este posibilă, se
impune montarea unor ventile suplimentare.
12. Copiile de siguranţă trebuie să fie păstrate în clădiri speciale, la cel puţin 100 de
metri de cea a centrului de prelucrare a datelor.
13. O atenţie deosebită se va acorda şi tablourilor de control căldură, aer condiţionat,
linii telefonice şi transformatoarelor de curent electric.
14. Hârtia va fi depozitată departe de sala calculatorului, iar resturile de hârtie trebuie
să aibă tratamentul descris anterior.
15. . În sala calculatorului sunt interzise fumatul şi consumul de lichide şi mâncare.
Pentru păstrarea ţigărilor, chibriturilor, brichetelor vor fi create locuri speciale, în
afara sălii calculatorului.
16. Sistemele de control al prafului sunt deosebit de importante, îndeosebi în sala
calculatorului, recomandându-se pardoseala electrostatică din policlorură de
vinil şi evitându-se lemnul din configuraţia sălii, precum şi covoarele şi perdelele.
Echipamentele, care prin funcţionare produc şi impurităţi, trebuie să fie amplasate
cât mai departe de echipamentele foarte sensibile.
82
1. Lumina. Comutatoarele şi tablourile electrice trebuie să fie numai sub controlul
personalului sistemului, iar generatoarele proprii de energie trebuie să intervină în
cazul căderii sistemului normal de furnizare a ei. Printre măsurile şi mai riguroase
figurează apelarea la acumulatoare sau baterii, folosite numai pentru iluminat, când
toate sursele de curent alternativ nu mai pot fi utilizate.
2. Căldura. Limitele de temperatură trebuie să fie respectate cu stricteţe, conform
recomandărilor producătorilor, de regulă între 19-24 grade Celsius.
3. Sistemul de aer condiţionat. Chiar şi sistemele foarte moderne funcţionează optim
numai în anumite condiţii de temperatură şi umiditate. Se recomandă un sistem
propriu de aer condiţionat pentru întreaga zonă de prelucrare automată a datelor.
4. Furnizarea energiei electrice. De regulă, sistemul energetic este destul de sigur, dar
se impune utilizarea unor generatoare suplimentare de energie, a UPS-urilor, a
filtrelor de tensiune ş.a.
83
2. Se va întocmi un plan de intervenţie în caz de incendiu, în care se vor cuprinde
condiţiile de evacuare, de stingere a incendiului şi de protejare a valorilor
deosebite din sistem. Personalul va fi instruit în acest sens.
3. Asigurarea cu echipamente şi materiale speciale pentru intervenţie în caz de
incendiu, un rol aparte avându-l stingătoarele de incendii electrice şi ne-
electrice. Personalul trebuie să le cunoască. De regulă, pentru incendiile la
instalaţiile electrice se recomandă stingătoarele bazate pe bioxid de carbon, iar
gazul se stinge cu apă.
4. Instalarea în toată clădirea a detectoarelor de fum şi de temperaturi foarte
ridicate. Ele au rol de semnalizare şi depistare a momentului în care să se
declanşeze sistemul de luptă împotriva incendiilor (în sala calculatorului este
cunoscut sistemul de stingere bazat pe gaz halogen, cu rol de protejare a
echipamentelor de prelucrare automată a datelor). Se recomandă şi
stingătoarele cu apă, dar numai atunci când incendiul ia proporţii şi nu mai
contează dacă echipamentele vor fi afectate mai mult sau mai puţin.
5. Orientarea preocupărilor şi spre celelalte zone importante ale centrului, nu
numai asupra sălii calculatorului. Uneori sursele de incendii sunt mai
numeroase în afara sălii calculatorului.
84
Echipamentele, în pofida reclamei făcute de producători, sunt predispuse la căderi, fie
datorită unor defecţiuni de fabricaţie, fie instalării greşite, fie datorită defectării în timpul
transportului. Dar, cel mai grav, echipamentele pot „cădea” în timpul exploatării lor,
devenind atât ele, cât şi datele conţinute în memorie inutilizabile. Uneori şi softul cu care se
lucrează poate fi pierdut.
Sunt dese cazurile când echipamentele nu au certificat de origine, fie în întregime, fie
numai pentru unele dintre miile de componente din structura lor. Incertitudinea aplanează
asupra a ceea ce s-a cumpărat şi consecinţele sunt şi mai grave atunci când distribuitorul este
un ilustru necunoscut.
Întreţinerea sau depanarea sistemului sunt asigurate, de regulă, de specialişti din afară.
Cu multă uşurinţă ei pot realiza toate operaţiunile menţionate anterior pentru paralizarea
sistemului.
Apărarea împotriva tuturor pericolelor descrise are un rol vital în buna funcţionare a
sistemului. Totuşi, trebuie pornit de la faptul că toate componentele sistemelor, la rândul lor,
pot dispune de elemente proprii de asigurare a securităţii.
85
Este posibil ca fiecare echipament periferic să aibă atribuit un număr unic de
identificare, interpretabil de către calculator la deschiderea sesiunii de lucru şi confirmat
ulterior când se solicită o operaţiune la/de la perifericul respectiv. Fiecare imprimantă,
terminal sau legătură din reţea trebuie să aibă definite categoriile de informaţii cu care pot
lucra sau funcţiile din sistem ce se realizează prin intermediul lor. Numerele unice de
identificare înlesnesc tratarea diferenţiată a perifericelor sau a celorlalte componente. De
exemplu, terminalele amplasate în diverse locuri din unitate, pentru a veni în sprijinul
oricărui utilizator comun al firmei, nu trebuie să aibă şi dreptul de accesare a sistemului de
operare al calculatorului central sau să restaureze date în scopul manipulării lor. De
asemenea, imprimantele din diverse birouri nu pot folosi datele secrete care au un regim sever
la tipărire.
O măsură suplimentară de control va consta în stabilirea momentelor din zi când un
echipament periferic sau un utilizator a accesat sistemul. Oricum nu este recomandat să se
permită angajaţilor firmei să lucreze peste program, iar când aceasta se impune va fi sub un
control riguros.
Calculatoarele pot să-şi verifice singure starea în care se află celelalte componente,
prin autodiagnoză, astfel încât să poată descoperi ce nu funcţionează cum trebuie. Printre
activităţile realizate de calculatoare vor fi verificarea modului de lucru, inclusiv urmărirea
funcţiilor de realizare a securităţii sistemului, precum şi facilităţile de control al accesului.
Autodiagnoza este utilă pentru:
• confirmarea cu precizie a identităţii echipamentelor, suporturilor şi
utilizatorilor -elementele de bază ale sistemului;
• verificarea dacă utilizatorii folosesc doar echipamentele, softul şi datele la care
ei au acces de drept şi preîntâmpinarea accesului neautorizat;
• asigurarea că orice tentativă de acces sau utilizare neautorizată a
echipamentelor, softului sau datelor este blocată şi că supraveghetorii
sistemului vor fi anunţaţi imediat.
Simpla realizare a funcţiilor de mai sus nu înseamnă neapărat şi perfecţiunea
sistemului de securitate, dar constituie suficiente măsuri de apărare a sistemului împotriva
atacurilor rău intenţionate.
86
Există şi producători de calculatoare care asigură facilităţi de diagnoză de la distanţă a
stării sistemului, ceea ce în mod normal se realizează de către echipele de service, pentru a se
asigura că totul funcţionează corect şi că nu se conturează posibilitatea apariţiei unor
defecţiuni. O astfel de metodă este benefică pentru unitate, întrucât duce la reducerea
costurilor şi se realizează mult mai rapid decât în varianta apelării la inginerii de întreţinere.
Totuşi, diagnoza de la distanţă este destul de periculoasă pentru securitatea sistemului,
intruşilor oferindu-li-se o şansă în plus să acceseze orice element din configuraţie, aceştia
având la dispoziţie o linie specializată. Aşadar, aparentul cost redus poate să însemne pierderi
mult mai mari.
87
realizeze întreţinerea fiecărei componente. Numai responsabilul sistemului poate accepta
efectuarea unor operaţiuni înainte de termen, precum şi repararea, înlocuirea sau înnoirea
unor elemente din sistem.
Se recomandă ţinerea evidenţei materialelor de rezervă, chiar a imprimantelor,
terminalelor sau monitoarelor, iar consumabilele să fie comandate la timp pentru a nu se
produce disfuncţionalităţi în sistem.
Testarea securităţii sistemului trebuie să se realizeze înainte ca acesta să înceapă
prelucrarea datelor reale ale unităţii.
Numele specialiştilor în întreţinere, precum şi al furnizorilor de utilităţi, trebuie să fie
afişate la vedere pentru o contactare a lor în orice moment, de către persoanele autorizate să
facă acest lucru.
Dacă inginerii de întreţinere solicită scoaterea din unitate a unor componente sau a
documentaţiei firmei, în primul rând, trebuie să ne asigurăm că ele nu conţin date importante
ale firmei. Este mult mai recomandat ca datele aflate pe unele suporturi să fie distruse, decât
să se mizeze pe discreţia specialiştilor. Costă mai mult, dar e mai sigur.
„Cârpirea” softului este o altă problemă importantă. Sunt cazuri când trecerea peste un
punct din program va duce la funcţionarea lui corectă în continuare, dar nimeni nu ştie exact
cum funcţionează. Şi încă ceva: depinde şi de cine face „cârpeala” programului şi cu ce scop.
Şi astfel de operaţiuni se scriu în registrul de întreţinere.
Cel mai cunoscut este sistemul din aviaţie care, în cazul când o componentă se
defectează, dispune de alta care să-i preia funcţia. Unele piese, cum sunt cele de control al
zborului sau a componentelor hidraulice, au câteva piese înlocuitoare, astfel încât o catastrofă
majoră ar putea să apară numai după ce toate aceste piese de siguranţă s-au defectat.
Toleranţa la cădere a avioanelor este asigurată astfel încât să nu aibă loc prăbuşirea lor.
În cazul calculatoarelor aceasta este o calitate foarte importantă, absolut vitală pentru
existenţa sistemelor performante. Toleranţa la cădere sau la defecte trebuie să contribuie la
prevenirea pierderilor sau denaturării datelor şi, pentru aceasta, orice apăsare de tastă trebuie
să fie înregistrată undeva, astfel încât să poată fi restaurată prin anumite proceduri. Toleranţa
la cădere trebuie să facă în aşa fel încât să permită funcţionarea sigură, controlată şi
supravegheată, în timpul reparării, asigurându-se astfel funcţionarea continuă a calculatorului
88
care a înregistrat o defecţiune, chiar şi una majoră, în timp ce se lucrează pentru îndepărtarea
ei. În practică, aşa-ceva este destul de greu de realizat, dar, dacă numărul componentelor cu
rol vital în existenţa sistemului s-ar reduce şi ar avea mai mulţi înlocuitori, operaţiunea este,
totuşi, posibilă.
În sensul celor spuse până acum, sunt tipuri de calculatoare care funcţionează cu două
unităţi centrale de prelucrare, în tandem, ambele prelucrând în acelaşi timp aceleaşi date şi
programe. Pe această cale, la eventuala cădere a uneia dintre ele, cealaltă va funcţiona singură
până când a doua va fi repusă în funcţiune. Echipamentele sunt amplasate în săli apropiate şi
folosesc aceleaşi condiţii de lucru, cum ar fi: aer condiţionat, linii de comunicaţie, tipuri de
unităţi de bandă şi de discuri, surse de energie electrică şi alte utilităţi. Cât timp majoritatea
sistemelor cad din cauza unei plăci de memorie sau de circuite logice sau din cauza unor mici
incidente înregistrate la softul de sistem sau de aplicaţii, funcţionarea în tandem evită căderea
sistemului în întregime.
Alte componente ale sistemelor electronice de calcul sunt astfel construite încât să-şi
exercite unele funcţii în formă dublă. Un exemplu îl oferă metoda înregistrării „în oglindă” pe
disc, prin care două discuri sunt scrise în acelaşi timp pentru prevenirea pierderilor de date,
dacă s-ar defecta capetele de citire-scriere ale unuia.
Echipamentele folosite în condiţii dificile, cum sunt cele mobile din domeniul militar,
sunt amplasate în containere speciale, deosebit de rezistente la şocuri, apă şi praf. Sistemul de
cablare va fi protejat prin ţevi metalice, iar căderile de energie vor fi suplinite de un sistem
energetic propriu.
Toate măsurile luate pentru eventualele căderi trebuie să fie în deplină concordanţă şi
cu importanţa întregului sistem de prelucrare automată a datelor.
4.2.5 Contractele
89
comercializează, imboldul venind de la producători, care îşi prezintă produsele ca fiind cele
mai bune, în raport cu ale concurenţilor de pe piaţă.
De vină sunt şi beneficiarii care, deseori, subestimează sau nu cunosc ceea ce vor. De
cele mai multe ori, vor sistemele cele mai ieftine, dar îşi schimbă părerea când le pun în
funcţiune, ajungând la concluzia că era mai bine dacă acesta ar dispune şi de nişte funcţii ale
căror beneficii le simte nevoia.
Totul s-ar termina cu bine dacă, din fazele incipiente ale procurării sistemului, s-ar
concepe contracte care să scutească toate părţile de discuţii interminabile.
Din prima fază, clientul trebuie să ofere distribuitorului de sisteme următoarele
elemente:
90
4. Cuantificarea, dacă este posibilă, a efectelor defectării totale a sistemului sau a
nefuncţionării lui la parametrii promişi. Furnizorii trebuie să ia cunoştinţă de aceste
efecte.
5. Se vor consemna toate elementele descrise anterior într-o comandă proforma sau într-
o cerere de ofertă, astfel încât furnizorul să ştie din timp ce trebuie să ofere sistemul şi
să facă promisiunea onorării tuturor cerinţelor.
6. De asigurat că serviciile garantate prin contract pot fi onorate într-un timp bine
determinat, stabilind cu exactitate ce misiuni revin specialiştilor, definind obligaţiile
contractuale, responsabilităţile şi termenele de plată. De toate aceste aspecte trebuie să
se ocupe o persoană ce va fi numită în acest sens.
Softul unui calculator cuprinde instrucţiunile sub care funcţionează întregul sistem.
Aceste instrucţiuni, sub formă de programe, îi vor spune calculatorului ce trebuie şi ce nu
trebuie să facă cu datele, cum să le păstreze, ce regim au ieşirile din prelucrările intermediare
sau finale. Întreaga activitate a calculatorului se va realiza prin intermediul programelor.
Calculatorul nu poate gândi nicidecum. Din această cauză în soft vor fi incluse şi unele
măsuri pe linia realizării securităţii.
Există trei funcţii principale pe care softul trebuie să încerce a le asigura. Ele se referă
mai de grabă la confidenţialitatea datelor, decât la integritatea sau disponibilitatea lor.
• Accesul. Softul trebuie să discearnă între utilizatorii autorizaţi şi intruşi, iar în
ultimul caz să le blocheze accesul.
• Delimitarea. Softul trebuie să delimiteze diversele activităţi ale utilizatorilor şi
să îi trateze după nivelul lor de autorizare la categoriile speciale de date ce
urmează a fi prelucrate. Ca atare, şi baza de date va fi compartimentată după
reguli foarte riguroase pe linia securităţii sistemului.
• Auditarea. Poate mai clar ar fi „proba auditării”, întrucât a treia funcţie se referă
la capacitatea sistemului de a reţine ce persoane, cât timp, cu ce date au lucrat şi
ce au urmărit.
91
Un soft de sistem eficient trebuie să blocheze relele intenţii, să prevină accesul neautorizat şi
să înregistreze tot ce efectuează pentru a avea ulterior forţă probantă.
92
persoane, măsurile de realizare a securităţii prin software pentru aceste sisteme
gigant sunt extrem de greu de realizat.
În aceste condiţii, când cheltuielile sunt foarte mari, când cu mare greutate se asigură
o oarecare doză de încredere în soft, apar ca fiind mai ieftine şi mai eficiente alte măsuri de
realizare a securităţii sistemelor de prelucrare automată a datelor. Chiar dacă softul joacă un
rol destul de important, nicidecum nu trebuie neglijate şi alte modalităţi. Până şi furnizorii
spun că virtuţile softului sunt relativ dependente de calităţile beneficiarului, dar că măsuri
sigure sunt cele de încuiere a uşilor, de urmărire a personalului ş.a.
Cât timp nici cele mai importante sisteme de prelucrare automată a datelor, cum sunt
cele din domeniul militar sau bancar, nu au protecţie de 100%, apare ca o necesitate
stringentă apelarea şi la alte metode. Şi încă un detaliu: cât timp hoţii au demonstrat că sunt
mai puternici decât producătorii softului de securitate, cum să existe o încredere mai mare în
ultimii, deci şi în produsele lor !?!
93
• realizarea programelor se va efectua pe calculatoare care nu execută şi alte
activităţi în acelaşi timp;
• programele trebuie să fie însoţite de numele realizatorilor lor sau ale celor ce
le-au adus unele modificări;
• benzile şi discurile ce conţin sistemul de operare trebuie să fie identificabile
dintr-o privire din multitudinea de suporturi de date, iar accesul la ele trebuie
să fie foarte limitat, conform principiului „trebuie să ştie”;
• o copie de bază a sistemului de operare trebuie să fie păstrată în condiţii sigure
de către responsabilul sistemului şi cel cu securitatea, sistemul de operare în
uz fiind o copie a
• acesteia, cu care, din când în când, se confruntă pentru a se depista eventualele
modificări neautorizate;
• se impune utilizarea a cât mai multor teste şi rutine de securitate pentru a
verifica integritatea sistemului de operare în folosinţă;
• nu trebuie să se permită crearea copiilor softului sistemului de operare de către
personalul care utilizează sistemul, îndeosebi cel ce lucrează la distanţă. În
acest scop, chiar sistemul de operare trebuie să conţină măsuri de autoprotecţie
la intenţiile de copiere;
• orice „fisură” a sistemului de operare trebuie să fie adusă la cunoştinţă
proiectanţilor sistemului, producătorilor de echipamente, utilizatorilor, iar
gradul de expunere la riscuri trebuie să fie adus la cunoştinţă conducerii
firmei;
• normele interne trebuie să prevadă ca mai mult de o persoană să se ocupe de
implementarea şi testarea sistemului de operare, pentru reducerea riscului
realizării unor activităţi subversive la nivel de persoană;
• iniţializarea sistemului de operare şi oprirea lui, de asemenea, presupun
proceduri foarte riguroase de respectat. La fel se va proceda şi la reîncărcarea
sistemului după o defecţiune;
• registrul sistemului trebuie să consemneze absolut toate operaţiunile la care
acesta este supus în timpul funcţionării (defecţiuni, erori, căderi, reluări,
pauze, timp lung de răspuns, semnale sonore neobişnuite ş.a.);
• nu trebuie lăsat sistemul să funcţioneze cu aşa-zisele „defecte acceptabile”.
94
Primele bariere ridicate prin softul calculatorului sunt cele concepute pentru
identificarea persoanelor care solicită permisiunea de utilizare a sistemului. Numai
persoanelor autorizate trebuie să li se faciliteze accesul în sistem şi numai la anumite
categorii de date. În acest context, un utilizator poate fi o persoană sau un grup de lucru la un
proiect comun sau cu drepturi de exercitare a aceloraşi funcţii, rutine sau programe pe
calculator.
4.4.1 Responsabilităţi manageriale pe linia personalului
95
serviciu, ea va efectua activităţi speciale numai în prezenţa unei persoane
autorizate. Aceasta nu înseamnă un membru al echipei de pază, ci o persoană
cu cel puţin aceleaşi cunoştinţe profesionale cu ale executantului de drept.
Activităţile speciale, neexecutabile de o singură persoană vor fi prezentate
ulterior. Pentru preîntâmpinarea „înţelegerilor” dintre cele două persoane, se
recomandă schimbarea lor cât mai des posibil.
4. Principiul schimbării obligaţiilor de serviciu consemnează că o persoană nu
trebuie să exercite o perioadă prea lungă de timp aceleaşi sarcini de serviciu.
În vederea asigurării unor măsuri deosebite pe linia securităţii din punct de vedere al
personalului, se impune parcurgerea unor stadii:
Stadiul 1: Identificarea locurilor de muncă cu regim special şi a calităţilor persoanelor
îndreptăţite a le ocupa
Stadiul 2: Selecţia personalului
Operaţiunea se va realiza înainte de angajare, în timpul procesului de recrutare de personal
nou, dar şi retroactiv.
Dacă actele la angajare sunt completate corect, unitatea poate să-şi găsească suficiente
elemente pentru filtrarea personalului. Documentele de angajare vor conţine date medicale şi
informaţii generale despre persoană. Date suplimentare pot fi oferite de referinţele obţinute de
la precedentul loc de muncă şi apoi de la o persoană care să reprezinte o instituţie credibilă
(şcoală, justiţie, poliţie, armată). Dacă se consideră necesar pot fi efectuate şi investigări prin
firme private.
Totuşi, multe elemente edificatoare se pot obţine prin intervievarea solicitanţilor de
locuri de muncă. Aspectele urmărite pot fi structurate astfel:
1. Descrierea locului de muncă anterior, funcţia deţinută, evoluţia profesională. Se
vor urmări, îndeosebi, eventualele întreruperi de activitate, altele decât concediile
sau diverse motive obiective. Spitalizările şi arestările vor fi urmărite cu mare
atenţie pentru aflarea cauzei acestora.
2. Verificarea referinţelor şi a diplomelor depuse la dosar. Sunt foarte dese cazurile
de declaraţii false despre o vechime avută la unităţi inexistente sau diplome de la
aşa-zisele „şcoli ale vieţii”. Nimic nu va fi crezut fără probe suplimentare.
96
Se va continua cu determinarea:
• competenţei. Diplomele ataşate, cu note foarte mari pe ele, nu au acoperire în
calităţile profesionale ale persoanei – constatare efectuată prin probe de lucru
asemănătoare ultimului loc de muncă, precum şi rezolvarea unor stări
imprevizibile.
• punctualitatea şi absenteismul vor scoate în relief câtă încredere i se poate acorda
individului.
• abaterile disciplinare vor încerca să evidenţieze posibilitatea încadrării persoanei în
legalitate, în normele de conduită socială (dacă a fost amendat, dacă a avut procese
civile sau penale).
• situaţia medicală va scoate la lumină stările de instabilitate mentală, bolile cronice
care pot să aibă o motivaţie socială sau financiară pentru solicitanţii posturilor.
• Calea prin care se pot obţine aceste informaţii constă în oferirea unei poliţe de
asigurare de viaţă, plătită de firmă, care necesită o examinare medicală.
• care este cauza părăsirii vechiului loc de muncă?
• fostul loc de muncă l-ar primi din nou pe solicitant sau i-ar cere referinţe
suplimentare?
• există obligaţii ale solicitantului faţă de fosta unitate?
• persoana a mai fost angajată la companii private şi, dacă da, când şi de ce le-a
părăsit?
• care au fost relaţiile cu foştii colegi de muncă - a fost posibilă integrarea în echipă?
Era agreat şi respectat? Avea conflicte cu reprezentanţii unor grupuri de persoane?
Dacă este programator, există cazuri când din cauza unui program de-al său să se fi
blocat activitatea întregului centru de prelucrare?
3. Originea individului, modul său de existenţă, persoanele cunoscute, legăturile sale
de familie au ceva în comun cu concurenţii firmei la care cere angajarea? Pentru străini se pot
solicita şi actele doveditoare ale naţionalităţii.
4. Există unele indicii ale consumului abuziv de alcool sau droguri?
5. Solicitantul este membru în asociaţii profesionale sau economice? Are puncte de
vedere politice foarte puternic susţinute, care? A exercitat anterior unele activităţi publice sau
funcţionăreşti (consultant, reprezentant sindical ş.a.) care să-i fi întrerupt preocupările
97
profesionale sau să-l determine să fie uşor influenţabil în rezolvarea unor posibile conflicte
viitoare?
6. Care îi este viaţa de familie? Ce activităţi sociale şi sportive îi plac? Dau ele semne
de sănătate excesivă sau chiar inexplicabilă, indică o extravaganţă ieşită din comun?
7. Comportamentul la volan, în ipostaza de conducător auto, poate să scoată în relief
stări emotive sau de maturitate, controlabilitate, judecată rapidă ş.a.
8. Dacă este posibil, se va studia situaţia financiară a solicitantului (dacă are
împrumuturi pe perioade lungi sau scurte, dacă are cartele de credit sau de debit, dacă face
parte din cercuri financiare). Sunt servicii speciale care pot oferi astfel de informaţii.
9. Dacă a lucrat în poliţie sau armată, trebuie urmărită (cu probe) cauza întreruperii
acestor activităţi.
98
sarcinile…” (în loc de critică sau „despre cei plecaţi numai de bine”). La astfel
de exprimări angajările aproape că nu au motivaţie.
În orice caz, altfel vor fi trataţi angajaţii cu vechime în unitate şi altfel cei angajaţi de
curând sau cu regim sezonier, sau cu jumătate de normă.
Stadiul 4: Proceduri la angajare
Într-un contract de angajare a unui salariat trebuie să se stipuleze cu claritate
următoarele: 1. responsabilităţile persoanei şi sarcinile pe linia asigurării securităţii valorilor
patrimoniale şi, bineînţeles, a informaţiilor, astfel încât:
a) să dispară orice dubiu privind persoana care trebuie să exercite o funcţie anume;
b) să aducă la cunoştinţa angajaţilor, din faza de asociere cu unitatea, ce probleme
caracterizează activitatea firmei;
c) să-i pregătească pentru dobândirea unor calităţi noi, cerute de unitatea care
angajează;
2. regulamentul de ordine interioară a unităţii şi condiţiile în care încetează contractul de
muncă;
99
3. restricţii privind comportamentul persoanei în cazul încetării contractului de muncă,
îndeosebi pe linia nedezvăluirii informaţiilor speciale competitorilor actualei firme,
respectându-se aşa-zisa „clauză a confidenţialităţii”;
4. aducerea la cunoştinţă a documentaţiilor de specialitate, a documentelor, a situaţiilor de
întocmit, care trebuie să aibă aprobarea în avans a şefului său.
Angajatul trebuie să semneze contractul, ceea ce înseamnă că l-a citit, l-a înţeles, inclusiv că a
luat cunoştinţă de problemele securităţii sistemului. După acest moment, de regulă, urmează
o perioadă de probă, de până la trei-şase luni, după care se va face pronunţarea privind
statutul definitiv al persoanei.
Stadiul 5: Instruirea şi conştientizarea personalului
Pentru atingerea obiectivului acestui stadiu se stabilesc programe speciale de instruire şi
conştientizare pentru asigurarea încrederii în personalul unităţii pe linia asigurării securităţii
sistemului de prelucrare automată a datelor În acest scop, se pot folosi numeroase modalităţi
de ducere la îndeplinire a obiectivului: de la cursuri cu durate şi termene fixe, până la
pavoazări la tot pasul a interiorului unităţii ş.a.
Stadiul 6: Supravegherea
Unităţile mai mari au în uz sisteme programate de evaluare a performanţelor
angajaţilor, astfel încât să-i poată orienta profesional cât mai corect şi pentru a face
promovările cele mai motivate. Tot printr-un astfel de sistem se va efectua şi urmărirea
aspectelor referitoare la încrederea în persoane şi poziţia lor faţă de securitatea sistemului,
evitându-se incidentele nefericite din sistemele de prelucrare automată a datelor.
Cu caracter neplanificat sunt urmăririle şi supravegherile zilnice ale personalului,
pentru descoperirea potenţialelor pericole din partea salariaţilor.
În caz de promovare, se vor face reevaluări ale sarcinilor pe linia securităţii
informaţiilor. Programul de educaţie privind securitatea îşi propune să contribuie la creşterea
vigilenţeipersonalului şi să declare orice vede ca fiind împotriva securităţii firmei, indiferent
de poziţia persoanei implicate în aşa-ceva.
100
dintre părţi în regim post-angajare a persoanei, îndeosebi raportul fostului angajat cu
concurenţii firmei.
După recuperarea cheilor de acces urmează anularea parolelor de intrare în sistemele
de prelucrare automată a datelor. În acelaşi timp, restul angajaţilor trebuie să fie anunţaţi că
persoana respectivă nu mai are statutul de salariat al firmei, deci relaţiile lor de serviciu sunt
anulate. Se recomandă, chiar, efectuarea unor schimbări ale posturilor de lucru din mediul din
care a plecat o persoană.
101
A. Securitatea verificată. Măsurile de securitate sunt consemnate în scris şi aprobate
ca fiind eficiente.
A1. Verificarea proiectării. De regulă, înseamnă controlul codurilor-sursă din
programele de sistem care au funcţii de securitate.
A2. Verificarea implementării. În acest caz sunt examinate programele de sistem
executabile şi se urmăreşte dacă ele coincid cu codul-sursă verificat.
102
• izolarea criptografică;
• restricţii la privilegiile sistemului.
103
• Privilegiul minim. Numai acele informaţii sau operaţiuni de prelucrare pe care
utilizatorul trebuie să le exercite şi îi revin ca sarcini de serviciu vor fi lăsate la
dispoziţia sa, iar ele vor fi stabilite de responsabilii de drept, şi nu de utilizator.
• Expunerea minimă. Din momentul în care un utilizator are acces la informaţii
speciale sau la alte materiale cu regim similar, acesta are responsabilitatea de a
le proteja. Nici o altă persoană, în timpul sesiunii de lucru, nu va trebui să ia
cunoştinţă de ceea ce se prelucrează, se memorează sau se transmite în altă
parte. Mai mult chiar, o atenţie deosebită se va acorda restricţiilor referitoare
la măsurile de securitate, îndeosebi la caracteristicile deosebit de performante
sau la slăbiciunile pe care le au. În acest caz nu este loc de publicitate.
În general, controlul accesului se poate realiza prin modalităţi de genul tabelelor de
autorizare, al listelor de control al accesului, al profilurilor de securitate.
Tabelele de autorizare, numite şi tabele de securitate, există în formatul cod-maşină;
ele sunt componente ale sistemului de operare, alături de alte programe de control, cu rol de
urmărire a bunei funcţionări a sistemului. Importanţa lor rezidă şi în faptul că au un nivel de
protecţie similar celor mai bine protejate programe de control.
Tabelele de autorizare se află sub directa preocupare a unor veritabili specialişti, iar
pentru utilizatori este important să se cunoască faptul că tabelele trebuie să reflecte, în acest
mediu de lucru, ceva identic listelor de control al accesului la valorile deosebite ale firmei în
varianta prelucrării manuale a datelor şi a profilelor de securitate ale utilizatorilor.
Listele de control al accesului. Responsabilul cu securitatea sistemului trebuie să
actualizeze permanent o listă de control al accesului pentru fiecare program executat pe
calculator şi pentru fiecare fişier de date. Ele trebuie să conţină:
• elementele de identificare a anumitor valori patrimoniale;
• identificarea fără echivoc a oricărui utilizator autorizat;
• ceea ce se permite fiecărui utilizator să facă cu o anumită valoare
patrimonială;
• condiţiile în care se garantează accesul.
Profilurile de securitate trebuie să fie în atenţia responsabilului cu securitatea pentru
fiecare utilizator autorizat. Profilul va fi definit prin patru elemente:
1. identificarea utilizatorului;
2. identificarea tuturor proiectelor pe utilizatorii care le posedă;
104
3. identificarea tuturor categoriilor în care se încadrează utilizatorii, inclusiv cele
referitoare la responsabilităţile pe linie de securitate a sistemului;
4. identificarea tuturor fişierelor la care utilizatorul poate să aibă acces şi ce anume
poate să efectueze asupra lor.
Deşi pare nepotrivită, dar nu lipsită de adevăr, afirmaţia că fraudele din mediile
informatizate ar putea fi detectate este destul de riscantă. Ca argumente sunt aduse
preocupările de urmărire cu atenţie a ameninţărilor sistemului, analiza anumitor tendinţe,
cercetarea incidentelor înregistrate şi auditarea.
105
informaţiile principale pe baza a ceea ce s-a înregistrat în format-maşină. Cât timp este destul
de greu de spus ce înseamnă ameninţare şi ce nu, toate operaţiunile care ar putea afecta
securitatea sistemului trebuie să fie înregistrate, inclusiv intrările în sesiunile de lucru,
solicitările de fişiere şi tranzacţiile de la terminale.
Când operaţiunile principale referitoare la securitatea sistemului sunt înregistrate automat de
către sistemele de prelucrare automată a datelor, registrul trebuie să fie protejat împotriva
intervenţiei neautorizate a utilizatorilor sau operatorilor. Aceasta se poate realiza prin
înregistrarea datelor speciale pe discuri optice de tip WORM (imposibil de modificat) sau pe
benzi magnetice pe care se poate scrie, fără posibilitatea derulării benzii înapoi, sau prin
apelarea la calculatoare cu rol special, sub directa supraveghere a responsabilului cu
securitatea sistemului.
Referitor la recunoaşterea potenţialelor ameninţări, un bun sistem trebuie să fie
capabil să depisteze următoarele şase condiţii:
• terminarea anormală a unor lucrări;
• o cădere anormală a sistemului;
• defectarea mecanismului de asigurare a securităţii echipamentelor şi softului;
• tentativele de intrare în dialog cu sistemul, dar care nu sunt încununate de
succes;
• tentativele de obţinere a accesului neautorizat la fişierele ce conţin date
speciale;
• tentativele de utilizare neadecvată a unor instrucţiuni sau seturi de instrucţiuni
privilegiate.
106
4. tentativa de depăşire a spaţiului de memorie alocat utilizatorului ce a deschis
sesiunea de lucru;
5. tentativa de folosire neautorizată a fişierelor cu date secrete;
6. defectarea oricărui mecanism de protecţie;
7. orice încercare de a citi mai întâi noua zonă de memorie care i-a fost alocată,
fără să fi scris ceva în ea;
8. incapacitatea sistemului de a încheia cu succes verificarea programelor
sistemului;
9. aceeaşi incapabilitate de a verifica tabelele de securitate ale sistemului;
10. tentativa eşuată de introducere a unui nivel mai mare al stării de exploatare
privilegiată.
În plus, responsabilul cu securitatea trebuie să încurajeze sistemul de întindere a
curselor
pentru eventualii intruşi, ceea ce ar însemna state de plată false, parole false şi altele
care să-i tenteze pe atacatori.
În acelaşi timp, din partea sistemului vor fi extrase cât mai variate tentative de înşelare
a sistemului de securitate, apelându-se la echipe speciale, numite „echipe de tigri”. Oricum şi
acestea vor fi urmărite îndeaproape, întrucât fără să se simtă supravegheate pot fi tentate să
săvârşească acte ilegale.
A căuta ceva ce nu este într-un loc, deşi ar trebui să fie sau ceva ce este şi n-ar trebui,
presupune folosirea instrumentelor statistice în cazurile suspecte.
Parametrii statistici principali sunt media sau valoarea aşteptată (scontată) a timpului
scurs între incidente sau a capacităţii de utilizare a resurselor şi deviaţia standard a oricăreia
dintre mediile amintite. O informaţie preţioasă se obţine şi prin compararea mediilor în mai
multe perioade de timp, dacă ele se măresc sau se micşorează ori au o comportare explicabilă
în ciclu.
Datele supuse analizei pot fi obţinute pe patru căi:
• registrele componentei de supraveghere a sistemului şi documentele
ajutătoare;
107
• registrele terminalelor sau datele consemnate în documentele întocmite
manual pentru o astfel de activitate, confirmate prin semnături;
• înregistrările contabile ale modului de utilizare a resurselor sistemului;
• date privind funcţionalitatea sistemului, inclusiv cele privind defectarea
hardului sau softului, precum şi măsurile luate sau reparaţiile efectuate.
În calculele de efectuat, media înseamnă însumarea valorilor observate şi împărţirea valorii
astfel obţinute la numărul valorilor observate.
Deviaţia standard este rădăcina pătrată a sumei diferenţelor la pătrat dintre medie şi
fiecare valoare observată, de împărţit la numărul valorilor observate minus unu.
Prin instrumentele statistice amintite pot fi descoperite cinci clase de deviaţii
relevante de la securitatea sistemului, după cum urmează:
1. pentru activitatea sistemului ca un tot;
2. activităţile utilizatorilor;
3. activitatea unor terminale anume;
4. operaţiunile cu fişierele ce conţin date secrete;
5. operaţiuni care implică utilizarea programelor cu regim special.
Prin reprezentarea grafică a valorilor obţinute se pot constata discrepanţe relevante privind:
1. timpul dintre două reparaţii ale sistemului;
2. timpul dintre două încercări eşuate de intrare în sistem;
3. timpul dintre întreruperi;
4. timpul scurs între erorile de comunicaţie;
5. folosirea timpului de prelucrare, măsurat în secunde, de înmulţit cu miile de cuvinte
ce au fost folosite (kilo-cuvinte);
6. timpul de conectare pe lucrare ş.a.
Există sisteme capabile să-şi măsoare randamentul, prin raportarea timpului folosit în
mod productiv la cel neproductiv al sistemului. Scăderea randamentului poate să constituie
un semnal de alarmă pe linia securităţii sistemului.
Relevant este şi numărul de lucrări abandonate într-o perioadă de timp, ceea ce ar
scoate în evidenţă fie proasta funcţionare a sistemului de operare, fie o greşită utilizare a lui
în intenţia de a avea acces la fişierele secrete ale firmelor.
108
Pentru o uşoară controlabilitate a sistemului se recomandă constituirea unor aşa-zise
profiluri ale violatorilor sistemului. Ele sunt realizate pe utilizatori, tipuri de utilizatori
(ocazionali, moderaţi, puternici) şi lucrările foarte importante din sistem.
Profilul unui singur utilizator rezidă în evidenţierea unor aspecte ce pot să conducă la uşoara
descoperire a vinovatului. Ele se referă la înregistrarea codului de identificare a utilizatorului
şi tipul lui; numărul şi tipul actelor violente; identificarea fişierelor urmărite prin actele de
violenţă.
Tipurile utilizatorilor trebuie surprinse prin profiluri distincte, întrucât posibilităţile de
a greşi sunt direct proporţionale cu gradul de utilizare a sistemului, cu timpul în care
utilizatorul se află în legătură cu acesta.
Se poate porni de la ideea că numai cine nu munceşte nu greşeşte, deci dacă se înregistrează
mai multe greşeli la un utilizator deosebit al sistemului acesta ar fi un lucru normal. Din
cauza necesităţilor de efectuare a unor analize complexe, utilizatorii vor fi grupaţi pe tipuri,
ştiindu-se cam câţi aparţin fiecărui tip, iar violarea sistemului va fi urmărită prin numărul şi
tipul lor, precum şi atacurile la securitate pe fiecare utilizator.
Este de reţinut faptul că, dacă numărul atacurilor prin parole din cursul unei zile a
sporit, cauza o poate constitui schimbarea la termen a parolelor, când, firesc, mai multe
tentative de deschidere a sesiunii de lucru cu vechile parole vor fi sortite eşecului. Şi în acest
caz, dacă se ştie cam cât de multe erori s-au înregistrat în perioadele anterioare după
schimbarea parolelor, iar acum numărul lor este mult mai mare, s-ar putea trage concluzia că
intruşii consideră că acesta ar fi momentul propice să încerce vigilenţa sistemului.
Profilurile lucrărilor vor fi consemnate într-un registru special, în care se vor
înregistra:
1. identificatorul utilizatorului: pentru a se putea stabili responsabilităţile;
2. kilo-cuvintele-secundă esenţiale: pentru a se putea observa dacă s-au introdus
coduri neautorizate;
3. timpul de execuţie: pentru a ne asigura că nu au fost efectuate lucrări
neautorizate;
4. numele programelor apelate: pentru a se cunoaşte dacă s-au apelat numai
procedurile permise şi nici o altă acţiune n-a avut loc;
5. fişierele de date create şi accesate, precum şi numărul de citiri, scrieri sau
adăugări la sfârşit în fiecare fişier: se va urmări dacă s-au accesat fişiere
secrete;
109
6. ieşirile obţinute: pentru a ne asigura că nu s-au copiat sau listat cantităţi mari
de date din fişierele secrete.
4.5.3.3 Investigarea
110
13. diminuarea inexplicabilă a nivelului stocurilor;
14. creşterea inexplicabilă a frecvenţei tentativelor eronate de obţinere a
permisului de acces în sistem sau de violare a protocoalelor de securitate;
15. cererea excesivă a serviciilor de introducere sau extragere a datelor;
16. schimbarea inexplicabilă a căilor traficului de comunicare a datelor;
17. apariţia surprinzătoare a unor coduri noi în sistemul de operare sau în alte
programe, a noi nume în listele de control al accesului, în statele de plată a
salariilor, a furnizorilor de plătit sau în lista beneficiarilor;
18. schimbări inexplicabile în profilurile lucrărilor sau utilizatorilor;
19. accesul inexplicabil la fişierele speciale sau creşterea surprinzătoare a gradului
de utilizare a unor fişiere sau conturi inactive o lungă perioadă de timp;
20. creşterea surprinzătoare a incidentelor produse de defectarea echipamentelor,
softului sau de terminarea anormală a lucrărilor, a reluărilor exagerate de
execuţii de programe, a restaurărilor multiple ş.a.
111
Responsabilul cu securitatea sistemului trebuie să prevadă şi să construiască probe
pentru auditarea sistemului pentru fiecare incident încadrat în una din următoarele categorii:
1. evidenţa tuturor vizitelor centrului de prelucrare automată a datelor de către
persoane din afara sistemului;
2. istoricul tuturor elementelor privind controlul accesului în sistem;
3. evidenţa tuturor persoanelor ce activează în centrul de prelucrare automată a
datelor, de la angajare până în prezent, cu drepturile avute, retrase ş.a.;
4. cronologia experienţelor deosebite ale personalului în ultimul an, îndeosebi pe
linia a ceea ce a putut vedea, mânui sau a supravegheat activitatea de
contabilizare a operaţiunilor informatice;
5. descrierea cronologică a tuturor incidentelor privind actele contabile;
6. păstrarea tranzacţiilor pe ultimii cinci ani despre orice persoană care a
participat la derularea lor;
7. istoricul operaţiunilor privind negocierile, din faza anterioară şi următoare
acestora, dacă valoarea este mai mare decât o valoare dată;
8. istoricul evoluţiei oricărui program al sistemului de operare, de la
implementarea lui până în prezent, cu consemnarea tuturor modificărilor prin
care a trecut;
9. verificarea concordanţei tuturor tranzacţiilor cu orice înregistrare dintr-o serie
de trei generaţii de fişiere (bunic, tată, fiu), în format intern;
10. istoricul evoluţiei oricărui program de aplicaţii cu rol special în sistem, de la
implementare până în prezent, dar consemnând şi modificările, modul de
utilizare, de întreţinere;
11. o listă cronologică a tuturor incidentelor în ceea ce priveşte violarea protecţiei
sistemului;
12. o listă cronologică a tuturor dificultăţilor întâmpinate în timpul investigării
oricărui atac al securităţii sistemului.
112
sistemului. De regulă, astfel de acţiuni se numesc acţiuni de răspuns şi pot fi încadrate în
două categorii: acţiuni imediate şi acţiuni retroactive.
Acţiunile imediate. Îndată ce responsabilul cu securitatea sistemului sau o persoană
autorizată să presteze o astfel de activitate constată apariţia unui atac al securităţii, trebuie să
stopeze imediat componentele supuse acţiunii frauduloase şi să reţină operaţiunile ce au putut
fi afectate, pentru o cercetare minuţioasă ulterioară. Imediat vor fi informate persoanele
autorizate cu responsabilităţi pe linia securităţii.
Acţiunile retroactive. În cazul în care au intervenit situaţii clare sau numai suspiciuni
de compromitere a informaţiilor secrete, de pierdere a valorilor patrimoniale deosebite, de
modificare a informaţiilor, de folosire neautorizată a resurselor, probele reviziei şi alte
elemente edificatoare vor fi puse laolaltă şi aduse la cunoştinţa celor ce răspund de securitate.
Aceştia, pe baza informaţiilor obţinute, vor stabili amploarea pierderilor reale la nivelul
firmei, persoanele cărora să li se impute valoarea pierderilor, să determine cu exactitate
eficienţa măsurilor de securitate, să înveţe cum să fie prevenite pierderile asemănătoare în
viitor, acoperirea pierderilor dacă este posibil.
Deseori se vorbeşte şi despre efectuarea unor acţiuni speciale, care trebuie să fie
declanşate când se întâlneşte unul din următoarele patru tipuri de violare a securităţii:
1. orice îndepărtare de la regulile prescrise de deschidere a sesiunii de lucru;
2. o a treia tentativă, consecutivă, eşuată, de deschidere a sesiunii;
3. tentativa eşuată de a da răspunsul corect la acţiunea de reautentificare
declanşată de sistem;
4. orice intenţie a utilizatorilor de a obţine accesul neautorizat la fişiere sau de a
folosi instrucţiuni sau secvenţe de instrucţiuni nepermise.
Capitolul 5
113
Complexitatea tehnologică, aria largă de răspândire a datelor / informațiilor și
numărul mare de amenințări și incidente la adresa securității și funcționalității sistemelor
distribuite reprezintă factori care trebuie luați în considerare la dezvoltarea sistemelor
informatice. Scopul principal al procesului de management al riscului pentru o
organizație are în vedere protecția acesteia și capacitatea sa de a îndeplini misiunea. În
acest sens, procesul de management al riscului nu trebuie tratat ca o funcție tehnică efectuată
de experți care operează și gestionează sistemul informatic, ci ca un element esențial în
funcționarea unei organizații. Dezvoltarea unei strategii de protecție a resurselor organizației
este un proces complex și sensibil din punctul de vedere al componentelor pe care le implică
managementul riscului.
În literatura de specialitate, managementul riscului este definit ca „procesul de
identificare a vulnerabilităților și amenințărilor din cadrul unei organizații și de
elaborare a unor măsuri de minimizare a impactului acestora asupra resurselor
informaționale”. În general, majoritatea organizațiilor se concentrează pe protecția fizică (în
special pe vulnerabilitățile infrastructurii -rețea, sisteme de calcul) și nu reușesc să
stabilească efectele asupra celor mai importante resurse.
O abordare incompletă produce un decalaj între necesarul operațional și cel al
sistemului
informatic, lăsând bunuri valoroase sub incidența riscului. Abordările curente pentru
managementul riscului legate de securitatea informației tind să fie incomplete deoarece nu
reușesc să includă în cadrul analizei toate componentele riscului (bunuri, amenințări și
vulnerabilități).
Managementul riscului este procesul care permite nivelului managerial să asigure un
echilibru
între costurile operaționale, resursele financiare necesare pentru implementarea
măsurilor de protecție și atingerea obiectivelor privind protecția resurselor (infrastructura,
sistemele de calcul, aplicațiile, datele) care susțin activitatea.
Conform NIST, managementul riscului este „procesul care permite managerilor IT
echilibrarea costurilor operaționale și financiare ale măsurilor de protecție pentru a
realiza un câștig în raport cu capacitatea de protecție a sistemelor informatice și a datelor
care sunt suport pentru misiunea organizației”. Această definiție are la bază eventualitatea ca
un eveniment (neprevăzut sau anticipat de decident cu o anumită probabilitate) să se
materializeze și să afecteze negativ anumite aspecte ale activității operaționale.
114
Planificarea managementului riscului este procesul prin care se decide modul de abordare și
planificare a activităților de management al riscului. Înainte de inițierea oricăror
acțiuni de management al riscurilor trebuie să se evalueze existența unui potențial de risc
pentru sistemul
analizat cu privire la domeniul de activitate. Această evaluare trebuie să țină cont de
toate activitățile care implică sistemul și care ar putea să conțină un risc potențial. Se obține
astfel o listă de activități și o clasificare a riscurilor potențiale în activități fără risc, cu risc
scăzut și cu potențial de risc ridicat.
115
Figură 1. Procesul de management al riscului
116
În esență, analiza riscului reprezintă o metodă (calitativă și/sau cantitativă) utilizată pentru
evaluarea impactului riscului asupra deciziilor potențiale într-o situație dată. Scopul unui
astfel de demers este acela de a ghida decidentul pentru a soluționa mai bine probleme
decizionale marcate de un anumit grad de incertitudine.
Analiza calitativă a riscului reprezintă un proces de evaluare prin stabilirea unei
prioritizări a riscurilor în funcție de efectul lor potențial asupra sistemului (potențial de
pierdere). Analiza calitativă reprezintă o modalitate de determinare a importanței riscurilor
identificate și un ghid pentru măsurile de răspuns la acestea. Această metodă de abordare a
analizei riscului este cea mai răspândită, fiind utilizată doar valoarea pierderii potențiale
estimate. Cele mai multe metodologii pentru analiza calitativă a riscului folosesc un set de
elemente corelate: amenințări, vulnerabilități și controale, care trebuie să fie proporționale cu
gradul de criticitate al sistemului informatic și probabilitatea producerii unui eveniment
nedorit.
Analiza cantitativă a riscului este procesul prin care se urmărește evaluarea numerică
a probabilității și impactului fiecărui risc asupra obiectivelor sistemului și influența sa
în riscul general al sistemului. Acest model de analiză a riscului are ca element
central determinarea probabilității de producere a unui eveniment și estimarea pierderilor
probabile (impactul) pe care acesta le-ar produce. Analiza cantitativă face posibilă o
ierarhizare a evenimentelor în ordinea riscului, prin calculul valorii unui eveniment și
prin multiplicarea pierderilor potențiale cu probabilitatea de manifestare a evenimentului.
Analiza cost-beneficiu trebuie să fie inclusă în procesul de luare a deciziilor deoarece
face o estimare și o comparație între valorile relative și costurile asociate cu fiecare
control propus; practic reprezintă criteriul de eficiență folosit pentru alegerea controlului care
va fi implementat.
Utilizată ca instrument de fundamentare a deciziilor, analiza cost-beneficiu constă în
compararea costurilor totale cu beneficiile exprimate în termeni financiari. Costurile trebuie
să includă atât costul cu achiziția echipamentului, cât și costurile de operare (mentenanța,
instruirea utilizatorilor, consumabile etc.) și costul de oportunitate.
Metode de evaluare a riscurilor
Sistemele informatice actuale sunt esențiale pentru desfășurarea proceselor operaționale în
majoritatea organizațiilor. Deciziile cu privire la protecția infrastructurilor IT pentru
obținerea unui randament optim al investițiilor în securitate implică necesitatea ierarhizării pe
baza importanței în cadrul sistemului. În acest sens au fost dezvoltate o serie de
117
metode și instrumente pentru dezvoltarea domeniului managementului riscului. Astfel,
ENISA (Agenția Europeană pentru Securitatea Rețelelor Informatice și a Datelor)
propune o serie de criterii de evaluare a metodologiilor de management al riscului bazate
pe elemente esențiale ale domeniului: identificare, analiză, evaluare, estimare, acceptare,
tratare și comunicare.
În accepțiunea ENISA, separarea etapelor de identificare, analiză și evaluare a
riscurilorcontribuie la o mai bună coordonare a procesului consolidat de management al
riscului. Practic, managementul riscului se concentrează pe partea de tratare, acceptare și
comunicare a riscului, activități în general specifice managementului.
118
obstacol în calea desfășurării proceselor operaționale sau o protecție neadecvată care va
expune resursa cheie a organizației la diferite amenințări. NIST SP800-30 și OCTAVE
permit organizațiilor să evite aceste probleme prin definirea componentelor esențiale și oferă
un cadru de evaluare sistematică a riscurilor de securitate.
119
Conform termenilor folosiți în descrierea atacului asupra unei infrastructuri
cibernetice sau în spionarea traficului dintr-o rețea de calculatoare, etapele de mai sus constau
în:
• Recunoaștere - cercetarea, identificarea și selectarea țintelor - poate consta
în căutarea adreselor e-mail, a relațiilor sociale sau a datelor despre o anumită
tehnologie, informații afișate pe diverse site-uri Web;
• Înarmare - realizarea unei aplicații de tip malware care, combinată cu o breșă
de securitate exploatabilă, să permită accesul de la distanță. Mai mult, fișiere
de tip PDF sau specifice suitei Microsoft Office pot fi privite ca arme la
dispoziția atacatorului.
• Livrare - transmiterea armei în mediul vizat. Principalele căi de
transport sunt poșta electronică (atașarea unor fișiere infectate),
platformele Web (rularea unor scripturi malware) sau memoriile USB
detașabile.
• Exploatare - după ce arma este livrată victimei, urmează țintirea unei
aplicații sau vulnerabilități a sistemului de operare. Fișierul infectat se poate
folosi de facilitatea de auto-executare pentru a lansa codul malware sau poate
fi executat chiar de utilizator.
• Instalare - infectarea unui sistem victimă cu un troian, backdoor sau altă
aplicație malware de acest tip ce asigură prezența atacatorului în mediul vizat;
• Comandă și control - de obicei o gazdă infectată trebuie să fie accesibilă din
afara rețelei locale pentru a se putea stabili un canal de comandă și control
între victimă și atacator.
120
Principalele tipuri de atacuri cibernetice la ora actuală sunt realizate prin aplicații malware,
prin refuzul serviciilor (DoS, DDoS), prin afectarea poștei electronice și a aplicațiilor
Web, o
ultimă categorie fiind reprezentată de atacurile tip APT (Advanced Persistent Threat).
121
• Scareware este o aplicație ce cauzează utilizatorilor stări de frică, de anxietate,
cu scopul de a comercializa anumite aplicații false.
122
măsurile de securitate și de a accesa în mod neautorizat informațiile din bazele de date. Cele
mai întâlnite atacuri de acest tip sunt:
• SQLi: injecții cu cod sursă SQL (Structured Query Language), prin care un
atacator poate introduce anumite date într-o interogare SQL ce este transmisă
bazei de date, schimbând logica interogării. În acest fel, atacatorul poate evita
mecanismele de autentificare.
• XSS (Cross Site Scripting): atacatorul inserează în cadrul unui site
script-uri ce sunt executate în aplicațiile browser ale victimelor în
momentul în care aceștia vizitează site-ul infectat;
• CSRF (Cross-Site Request Forgery): atacatorul folosește relațiile de
încredere stabilite între aplicațiile Web și utilizatorii autentificați. Astfel,
atacatorul preia controlul asupra sesiunii victimei, având control complet
asupra contului utilizatorului.
• Man in the Middle: atacatorul interceptează comunicarea dintre utilizator
și website, putând prelua datele de acces dacă acestea nu sunt transmise
criptat.
CONCLUZII
123
Practicile de control recomandate pentru asigurarea operării de o manieră corectă şi
sigură, constau în documentarea procedurilor de operare, controlul modificărilor aduse
sistemului informatic, atât la nivel hardware cât şi software, formalizarea tratării incidentelor
de securitate şi separarea responsabilităţilor.
Protecţia împotriva software-ului maliţios este un aspect important întrucât cea mai
mare ameninţare a activelor informatice este dată de pierderea sau indisponibilitatea datelor
ca urmare a infestării cu viruşi informatici. În toate sondajele, viruşii se află printre primele
locuri ca sursă a incidentelor de securitate. Milioane de viruşi informatici sunt raportaţi anual.
Protecţia împotriva viruşilor nu o asigură doar administratorul sistemului, ci şi utilizatorul.
Aplicaţiile tip antivirus trebuie instalate pe toate calculatoarele din sistem iar
utilizatorii trebuie instruiţi cu privire la folosirea acestora.
124
- schimbul de aplicaţii şi date între organizaţii, pentru a preveni pierderea, alterarea
sau utilizarea improprie a informaţiei.
Trebuie dezvoltate proceduri specifice care să descrie acţiunile prin care se realizează
întreţinerea serviciilor şi echipamentelor IT. Întreţinerea sistemului trebuie să fie un proces
continuu care să includă obligatoriu instalarea corecţiilor de securitate a aplicaţiilor,
sistemelor de operare şi sistemelor de gestiune a bazelor de date, realizarea copiilor de
siguranţă, jurnalizarea activităţilor realizate în şi de către sistem.
Managementul reţelei are ca obiectiv asigurarea protecţiei datelor transmise prin reţea
şi a infrastructurii fizice a reţelei.
- filtru – set de reguli implementate la nivelul unui router sau firewall prin care
acesta permite tranzitarea sau nu a traficului către şi dinspre reţeaua unei
companii;
- firewall – dispozitiv prin care este controlat traficul dintre reţeaua companiei şi
reţelele externe acesteia;
- criptare comunicaţii – procesul prin care datele sunt aduse într-o formă
neinteligibilă persoanelor neautorizate;
- Reţea Virtuală Privată (VPN – Virtual Private Network) - o reţea care permite
comunicarea între două dispozitive prin intermediul unei infrastructuri publice
(nesigure)
- zona demilitarizată (DMZ) este o parte a reţelei care permite accesul controlat din
reţeaua Internet. Maşinile dependente de accesul direct la reţeaua Internet, cum ar
fi serverele de email şi cele de web sunt adesea plasate în astfel de zone, izolate de
reţeaua internă a organizaţiei.
125
stocare. Trebuie dezvoltate proceduri prin care este controlat accesul la orice mediu de
stocare şi la documentaţia sistemului.
126