Problemy bezpieczeństwa systemów

Piotr Witczak - audyt bezpieczenstwa informacji, systemów IT
Problemy bezpieczeństwa systemów informatycznych organizacji
Autor: Piotr Brudło, Tadeusz Ratajczak
22.05.2007.
Zmieniony 22.05.2007.
Sieci komputerowe stały się integralną częścią infrastruktury współczesnej organizacji. Właściwie trudno
sobie dziś wyobrazić instytucję nie posiadającą komputerów połączonych w sieć lokalną oraz nie
korzystającej z zasobów i usług Internetu. Technologie informacyjne i telekomunikacyjne, w tym sieci
komputerowe, są obecne w życiu prywatnym i zawodowym.
Kierowanie kadrami, finansami czy inwestycjami wymaga od menedżera użycia wyspecjalizowanych
programów komputerowych operujących na dużych bazach danych, często rozproszonych. Szybko
rozwijające się technologie informacyjne i telekomunikacyjne zmieniają warsztaty pracy prawie we
wszystkich dziedzinach. W konsekwencji, efektywność pracownika zależy w dużym stopniu od
umiejętności posługiwania się środkami i narzędziami technologii informacyjnej i telekomunikacyjnej.
Szczególną rolę odgrywają zasoby i usługi sieci Internet. Dla każdej organizacji Internet jest źródłem
informacji, w tym o najnowszych technologiach, środkiem wymiany informacji, platformą dla działalności
handlowej i finansowej, areną kooperacji między firmami. Sieć Internet jest również dobrym miejscem na
reklamę. W takiej sytuacji szczególnej wagi nabiera problematyka bezpieczeństwa. Wszyscy chcemy, aby
operacje, usługi czy serwisy funkcjonowały właściwie oraz były odporne na wszelkiego rodzaju efekty
niepożądane. Chcemy, aby informacje poufne nie zostały odczytane przez osoby do tego nieupoważnione.
Zabezpieczenia sieci komputerowych od zawsze stanowiły integralną część infrastruktury informatycznej
organizacji. Od zawsze też istniało wiele metod na pokonanie zabezpieczeń systemu informatycznego w
celu nieuprawnionego dostępu do danych. Toteż organizacje borykają się z olbrzymimi problemami
starając się zapewnić sieciom bezpieczeństwo.
Bezpieczeństwo sytemu informatycznego może
zostać naruszone zdalnie z wykorzystaniem specjalnie do tego celu przygotowanych programów. Do
najbardziej znanych należą: skanery - narzędzia wykrywające słabe punkty systemu, exploity - programy
umożliwiające przejęcie kontroli nad systemem informatycznym i zdalne nim administrowanie, trojany programy destrukcyjne dołączane do popularnych programów użytkowych, zazwyczaj ściąganych przez
użytkowników z sieci Internet. Trojany aktywują się po pewnym czasie. Często programy te powodują
wysyłanie zwrotnych e-maili, ażeby włamywaczowi przesłać określone informacje.
Bezpieczeństwo systemu informatycznego może zostać naruszone bezpośrednio, fizycznie, np. przez
ładunek wybuchowy, pożar, powódź, trzęsienie ziemi. Zagrożeniem są też nieuczciwi administratorzy
sieci, nieuczciwi pracownicy, kontrahenci, którzy mając dostęp do zasobów sieciowych przekazują dane
osobom nieuprawnionym. Zagrożeniem wreszcie są zwykli złodzieje, którzy dokonują fizycznych włamań
do ośrodków informatycznych, kradną dane, oprogramowanie i sprzęt, często dodatkowo dokonując
zniszczeń. Ostatnio mamy do czynienia z cyberterroryzmem. Przez cyberterrorystów rozumiemy osoby
atakujące ośrodki informacyjne, którzy próbują wywołać zagrożenie w celu osiągnięcia korzyści
politycznych. Najczęściej występują dwiema formami cyberterroryzmu. Jedną z nich jest prowadzenie za
pośrednictwem sieci Internet działalności propagandowej oraz dokonywanie włamań do serwerów swoich
przeciwników. Inną, o wiele groźniejszą formą, jest dokonywanie ataków na struktury teleinformatyczne
zarządzające ważnymi strukturami państwa. Najczęściej jednak cyberterroryści dokonują ataków na
serwery w celu manifestacji swoich poglądów politycznych.
Odrębną grupę stanowią techniki,
nazywane w języku angielskim "Social Engineering", które dla zdobycia określonych informacji
wykorzystują ludzkie słabości, takie jak lenistwo, chęć upraszczania sobie wszelkich zadań czy
bezkrytyczna wiara w uczciwość kolegów. Intruz aranżuje, a następnie przeprowadza rozmowę,
bezpośrednią lub telefoniczną, w trakcie, której uzyskuje od rozmówcy poufne informacje. Innym
sposobem uzyskania poufnych informacji jest przeglądanie papierów w śmietnikach, do którego
pracownicy często wrzucają niezniszczone dokumenty.
Cele działań
włamywaczy mogą być
różne. Najczęściej spotykanymi są:
- modyfikacja zasobów (programów, danych, dokumentów WWW). Może ona służyć różnym celom:
doprowadzenie do kompromitacji zaatakowanego celu przed osobami z niego korzystającymi,
wprowadzenie w błąd osób korzystających z zasobów, przygotowanie sobie platformy, która będzie w
przyszłości stanowiła element kolejnego ataku itd.;
- handel danymi, czyli włamywanie się do sieci, kradzież danych, a
następnie ich sprzedawanie;
- szpiegostwo przemysłowe, tj. zdobywanie poufnych informacji poprzez
włamanie się do sieci
konkurencji;
- działania nieuczciwej konkurencji przejawiające się umieszczaniem niewłaściwych informacji o
konkurencji, utrudnianiem dostępu do informacji konkurencji;
http://www.witczak.priv.pl
Kreator PDF
Utworzono 2 March, 2017, 13:27
Piotr Witczak - audyt bezpieczenstwa informacji, systemów IT
- niszczenie zasobów jest zazwyczaj dokonywane przez niedoświadczonych włamywaczy lub osoby
działające w destrukcyjnych pobudkach. Odtworzenie zniszczonego obiektu może być kłopotliwe i
kosztowne;
- produkcja narzędzi pozwalających na swobodne korzystanie z komercyjnego oprogramowania.
Zazwyczaj wykorzystuje się Internet do dystrybucji nielegalnego oprogramowania pozwalającego na
obchodzenie zabezpieczeń oprogramowania.
Wyżej zasygnalizowane zagadnienia możemy
traktować jedynie jako wstęp do problematyki bezpieczeństwa systemów informatycznych. Żeby
skutecznie przeciwdziałać aktom bezprawia, narażającym instytucje na duże straty, należy
usystematyzować działania, czyli jasno określić politykę bezpieczeństwa organizacji.
Polityka
bezpieczeństwa organizacji
Zagadnienie bezpieczeństwa organizacji jest podobne do
problematyki obronności kraju - wymaga opracowania polityki bezpieczeństwa organizacji, metod
realizacji polityki bezpieczeństwa, czyli strategii bezpieczeństwa oraz metod realizacji strategii
bezpieczeństwa, czyli taktyk bezpieczeństwa organizacji.
Polityka bezpieczeństwa systemu
informatycznego definiuje sposoby korzystania z kont użytkowników i danych przechowywanych w
systemie, zapewniające właściwą ochronę informacji instytucji. W każdej organizacji istnieją informacje
chronione, np. dane osobowe, informacje finansowe oraz informacje jawne, np. informacje
marketingowe. Dlatego też przedmiotem polityki bezpieczeństwa organizacji powinna być informacja
znajdująca się w systemie informatycznym. Celem polityki bezpieczeństwa jest opracowanie procedur i
wymagań niezbędnych dla zapewnienia właściwej ochrony informacji w organizacji. Swoim zakresem
polityka bezpieczeństwa obejmuje sprzęt i oprogramowanie, za pomocą, których informacje są
przetwarzane oraz ludzi, którzy te informacje przetwarzają. Określaniem polityki bezpieczeństwa
organizacji zajmuje się zarząd organizacji, menedżerowie odpowiedzialni za bezpieczeństwo i
administratorzy systemów informatycznych.
Nie można opracowywać polityki bezpieczeństwa
organizacji tylko na podstawie funkcjonujących standardów w tej dziedzinie. Każda organizacja ma swoją
specyfikę i powinna mieć odrębną politykę bezpieczeństwa. Podobnie nie można sądzić, że raz
opracowana polityka bezpieczeństwa organizacji będzie w niej zawsze funkcjonowała poprawnie.
Organizacja zmienia się w czasie; zmienia się jej struktura, zatrudniani są nowi pracownicy, zmienia się
system informatyczny w niej funkcjonujący, zmienia się otoczenie systemu informatycznego. Dlatego też
polityka bezpieczeństwa powinna być ciągle dostosowywana do zmieniających się warunków
wewnętrznych i zewnętrznych organizacji. Niemniej, można wskazać typowe elementy, które powinna
posiadać każda polityka bezpieczeństwa systemu informatycznego. Najczęściej wymienianymi są:
- określenie listy osób, które mogą mieć konto w systemie,
- określenie
czy z jednego konta może korzystać tylko jedna osoba czy kilka osób,
np.
rodzina użytkownika,
- określenie w jakich sytuacjach odbierane
jest prawo do korzystania z konta,
- określenie zasad przyłączania się
i korzystania z globalnej sieci komputerowej,
- określenie wymagań dotyczących
haseł,
- określenie metod ochrony informacji o finansach i pracownikach
firmy,
- określenie zasad sporządzania i przechowywania wydruków zawierających
informacje o
organizacji,
- określenie zasad ochrony systemu informatycznego
przed wirusami,
- zobligowanie pracowników do wyrażenia zgody na wykonywanie przez administratorów czynności
związanych z bezpieczeństwem organizacji.
W realizacji polityki bezpieczeństwa bardzo
ważną rolę odgrywa świadomość zagrożeń i znajomość zasad bezpieczeństwa wśród wszystkich
pracowników organizacji. Biorąc pod uwagę tezę, że najsłabszym ogniwem w polityce bezpieczeństwa
jest człowiek, wszyscy pracownicy muszą być świadomi zagrożeń bezpieczeństwa organizacji i muszą
wspólnie realizować politykę bezpieczeństwa.
Strategie realizacji polityki bezpieczeństwa
Strategie bezpieczeństwa, czyli metody realizacji polityki bezpieczeństwa systemu informatycznego
organizacji, są adaptacjami metod stosowanych w szeroko pojętej problematyce bezpieczeństwa życia
społecznego. Dlatego też metody te są efektywne i akceptowane przez pracowników organizacji. Kilka z
nich jest obecnie uznawanych jako standard w problematyce bezpieczeństwa systemów informatycznych.
Poniżej zwięźle je charakteryzujemy.
Wielowarstwowa kontrola dostępu do systemu
informatycznego - zakłada, że uwierzytelnianie użytkownika będzie przebiegać w kilku etapach, zwanych
warstwami ochrony systemu informatycznego. Pierwszą warstwę ochrony tworzą fizyczne urządzenia
zabezpieczające, a więc zakratowanie okien w pomieszczeniach ze sprzętem komputerowym,
wyposażanie tych pomieszczeń w drzwi z metalowymi okuciami, zainstalowanie alarmu na drzwiach,
zainstalowanie w drzwiach zamków otwieranych za pomocą kart magnetycznych lub kart elektronicznych.
Dostęp do pomieszczeń z systemami informatycznymi wymagającymi najwyższego poziomu
bezpieczeństwa powinien być dodatkowo nadzorowany przez pracowników ochrony organizacji. Kolejną
popularną warstwą ochrony jest procedura uwierzytelniania użytkownika przed rozpoczęciem pracy w
systemie. Identyfikacja użytkownika może obejmować sprawdzenie trzech podstawowych warunków
http://www.witczak.priv.pl
Kreator PDF
Utworzono 2 March, 2017, 13:27
Piotr Witczak - audyt bezpieczenstwa informacji, systemów IT
rejestracji: hasła (posiadanie przez użytkownika odpowiedniej wiedzy), żetonu (posiadanie przez
użytkownika odpowiedniego przedmiotu, np. karty magnetycznej lub elektronicznej) i danych
biometrycznych, np. linii papilarnych (posiadanie odpowiednich cech fizycznych). Połączenie tych
elementów umożliwia zastosowanie uwierzytelniania wieloetapowego, które jednoznacznie potwierdza
tożsamość użytkownika.
Hierarchizacja uprawnień użytkowników - zakłada, że użytkownicy
sytemu otrzymują różne uprawnienia. Administratorzy systemu otrzymują najszersze uprawnienia.
Administratorzy podsystemów otrzymują mniejsze uprawnienia od administratorów systemu. Zwykli
użytkownicy otrzymują najmniej uprawnień. Obowiązuje zasada przyznawania minimum uprawnień dla
stanowiska. W konsekwencji, jeśli wystąpi zagrożenie systemu, to dotyczyć ono będzie tylko fragmentu
systemu i zawężonego kręgu użytkowników.
Wskazywanie i monitorowanie miejsc wymiany
informacji systemu informatycznego z otoczeniem - zgodnie z tą strategią każda wymiana informacji
między systemem informatycznym organizacji a siecią globalną odbywa się przez wydzielony fragment
systemu, pracujący pod kontrolą specjalnego oprogramowania. Oprogramowanie to ma za zadanie
monitorować przesyłane informacje i sygnalizować wszelkie nieprawidłowości oraz fakty mogące grozić
bezpieczeństwu systemu organizacji. Przykładem realizacji tej strategii jest system CheckPoint FireWall1. Umożliwia on stworzenie rozproszonej architektury kontroli przesyłania informacji. W sieci można
zainstalować kilka modułów FireWall, z których każdy może pracować w innym systemie operacyjnym, a
wszystkie te moduły mogą być zarządzane centralnie, z jednego węzła sieci. Dzięki temu możliwe jest
opracowanie jednej polityki bezpieczeństwa dla dużej sieci komputerów. System CheckPoint FireWall-1
umożliwia zdefiniowanie polityki bezpieczeństwa sieci w postaci zbioru reguł, z których każda opisuje
sposób kontrolowania transmisji w ustalonym punkcie sieci. Moduły FireWall poza filtrowaniem
umożliwiają rejestrowanie i przeglądanie zdarzeń.
Automatyczne blokowanie systemu w
przypadku wykrycia włamania - poleca automatyczne blokowanie systemu informatycznego lub jego
części w przypadku wykrycia zagrożenia systemu. Blokowanie ma na celu uniemożliwienie intruzowi
wyrządzenia szkód. Ponadto w momencie wykrycia zagrożenia system powinien zapisać swój stan w
pamięci zewnętrznej. Ułatwia to znalezienie wyłomu w systemie bezpieczeństwa i likwidację
ewentualnych szkód.
Zasymulowanie i eksponowanie słabych miejsc systemu - zaleca
przygotowanie pewnych fragmentów systemu w taki sposób, aby na włamywaczach wywierały wrażenie
słabych punktów a następnie eksponowanie ich. Tak zasymulowane punkty powinny odwracać uwagę
włamywaczy od pozostałych fragmentów systemu. Wyróżnione punkty powinny być zaopatrzone w
dodatkowe środki ochrony, aby uniemożliwić intruzom przeprowadzenie udanego ataku.
Sposoby
zwiększania bezpieczeństwa systemów
informatycznych
Podstawowym sposobem
zwiększania bezpieczeństwa systemów informatycznych jest szkolenie pracowników. Wydarzenia z 11
września 2001 roku przekonały ludzi, że:
- nie możemy czuć się bezpieczni,
- służby bezpieczeństwa, nawet bardzo liczne i bardzo dobrze wyszkolone, nie są w stanie zapewnić
nam bezpieczeństwo bez naszego udziału.
Z doświadczenia wiadomo, że najsłabszym
ogniwem w łańcuchu zabezpieczeń jest człowiek. Stosowane przez włamywaczy techniki z kategorii Social
engineering wykorzystują ludzkie słabości, takie jak lenistwo, niezdyscyplinowanie, łatwowierność, aby
wyłudzić od użytkownika potrzebne do włamania informacje. Fakty te przekonują, że organizacja jako
całość powinna nauczyć się bronić swoich zdobyczy. Istnieje, więc potrzeba szkolenia pracowników
organizacji, szkolenia ustawicznego, które zmieni mentalność pracowników. Docelową wizją szkolenia jest
organizacja, w której każdy pracownik będzie świadomy zagrożeń organizacji, będzie wiedział jak
postąpić w przypadku wystąpienia zagrożenia i będzie aktywnie uczestniczył w nieustannym odnawianiu
systemu zabezpieczeń firmy. Odpowiednią technologią wspomagającą tego typu szkolenie są systemy
eksperckie ze zbiorową pamięcią (ang. corporate memory). Wiele renomowanych firm, np. NEC,
Lockhead, zbudowało systemy informatyczne z bazą wiedzy o problemach, które wystąpiły w firmie i
sposobach ich rozwiązania. Jeśli więc pracownik firmy spotka się z pewnym problemem, wykorzystuje
system, aby dowiedzieć się czy w przeszłości nie wystąpił problem podobny i w jaki sposób został
rozwiązany.
Ocena środowiska informatycznego organizacji - to kolejny sposób zwiększania
bezpieczeństwa systemów informatycznych. Aby móc opracować i dobrze realizować określoną politykę
bezpieczeństwa organizacji trzeba być świadomym wszystkich rodzajów zagrożeń. Zagrożenia
bezpieczeństwa systemu informatycznego należy przewidywać, aby następnie stosować odpowiednie
środki zapobiegawcze. Lekceważenie potencjalnych zagrożeń może umożliwić intruzom przeprowadzenie
skutecznego ataku.
Najtrudniejszą sprawą w opracowywaniu polityki bezpieczeństwa
systemu informatycznego organizacji jest oszacowanie punktów słabości systemu. Istnieją firmy
specjalizujące się w przeprowadzaniu kompleksowych kontroli bezpieczeństwa (ang. Managed Security
Service Provider). Firmy te potrafią ocenić wszystkie aspekty środowiska informatycznego. Jednakże
koszty usług tych firm są bardzo wysokie a czas szacowania może trwać kilka miesięcy.
Niezwykle trudno oszacować wartość firmowych danych. Dlatego zamiast szacowania lepiej opracować
scenariusze, co należałoby zrobić, gdyby dane zostały skradzione lub wymazane, a następnie oszacować
koszt realizacji tych scenariuszy.
Doświadczenie poucza, że najbardziej zaniedbywaną
http://www.witczak.priv.pl
Kreator PDF
Utworzono 2 March, 2017, 13:27
Piotr Witczak - audyt bezpieczenstwa informacji, systemów IT
częścią procesu analizy bezpieczeństwa jest ustalanie i wdrażanie zasad. Zasady bezpieczeństwa powinny
zostać spisane w postaci dokumentu a wszyscy pracownicy organizacji powinni zostać zobligowani do
przeczytania tego dokumentu. Zasady bezpieczeństwa powinny akcentować, że wszyscy pracownicy są
odpowiedzialni za bezpieczeństwo organizacji. Dobrym pomysłem jest założenie anonimowej skrzynki
pocztowej dla pracowników organizacji, do której mogliby kierować swoje sugestie i wysyłać
spostrzeżenia o naruszaniu zagrożeń.
Usprawnianie metod identyfikowania użytkowników jako powszechnego sposobu kontroli dostępu do zasobów informatycznych. Od początku lat
dziewięćdziesiątych podstawą uwierzytelniania jest hasło. Metody uwierzytelniania oparte na hasłach nie
mają jednoznacznie pozytywnej opinii. Zmniejsza to zaufanie społeczeństwa w możliwość
przechowywania poufnych informacji w formie elektronicznej oraz w użyteczność nowych usług
internetowych, takich jak handel elektroniczny czy internetowe transfery finansowe. Opracowanie
mechanizmu jednoznacznie identyfikującego użytkownika systemu, niezwykle trudnego do podrobienia,
zmieniłoby diametralnie stosunek do korzystania z nowych technologii informacyjnych.
Obecnie użytkownika można identyfikować za pomocą trzech elementów: hasła żetonu, danych
biometrycznych. Poprzez połączenie tych elementów można stworzyć mechanizm uwierzytelniania
wieloetapowego, mającego szansę jednoznacznie potwierdzić prawdziwość użytkownika. W ostatnich
latach szybko rozwijają się metody uwierzytelniania wykorzystujące karty elektroniczne (plastikowe
kartoniki z pamięciami i mikroprocesorami) oraz techniki biometryczne pozwalające zidentyfikować
użytkownika na podstawie odcisku palca, kształtu dłoni, głosu lub rysów twarzy.
Zabezpieczenia danych - jest paradoksem, że dane systemu informatycznego powinny być łatwo
dostępne dla pewnej grupy użytkowników i niedostępne dla innych ludzi. Można zastosować dwie metody
zabezpieczania danych:
- uniemożliwienie nieupoważnionym osobom dostępu do danych,
- szyfrowanie danych przesyłanych.
Aby zrealizować pierwszą metodę, należy opracować
zasady kontroli dostępu użytkowników do poszczególnych woluminów, katalogów i plików systemu.
Doświadczenie poucza, że szyfrowanie danych skutecznie krzyżuje szyki złodziejom danych. Dlatego też
sugerowane jest szyfrowanie danych przesyłanych łączami sieciowymi oraz przechowywanych na dyskach
twardych.
Zabezpieczenia serwerów i stacji roboczych - niezwykle ważny element w
procesie podnoszenia bezpieczeństwa systemów informatycznych, gdyż przechowywanie danych na
dyskach lokalnych sieci stwarza dwa problemy:
- prawdopodobnie nie są tworzone kopie zapasowe danych,
- dane można z łatwością odczytać po kradzieży stacji roboczej
lub włamaniu się na nią.
Polityka bezpieczeństwa systemu informacyjnego powinna nakazywać sporządzanie zapasowych
kopii danych przechowywanych na stacjach roboczych i serwerach oraz określać sposób filtrowania
przesyłanych informacji na te komputery. Jeżeli sieć lokalną organizacji łączy się ze światem
zewnętrznym za pomocą zapory (ang. FireWall), to kontrolę przesyłanych informacji można powierzyć
oprogramowaniu zapory.
Zabezpieczenia dostępu do sieci Internet - zajmuje poczesne
miejsce w procesie zwiększenia bezpieczeństwa systemów informatycznych. Sieć Internet jest źródłem
wielu cenionych i chętnie wykorzystywanych zasobów informatycznych. Sieć Internet jest również
medium wykorzystywanym przez włamywaczy, szpiegów, cyberterrorystów. Problemem jest pogodzenie
tych dwóch właściwości.
Najczęściej stosowaną strategią zabezpieczania jest umieszczenie
zapory (ang. FireWall) między siecią lokalną organizacji i siecią Internet. Zapora sprawdza pakiety
informacji przesyłanej z sieci Internet do sieci lokalnej oraz z sieci lokalnej do sieci Internet. Wspomniane
oprogramowanie daje możliwość filtrowania informacji, czyli przerwania transmisji, jeśli spełnione są
określone warunki. W ten sposób częściowo możemy wyeliminować przesyłki zawierające wirusy, trojany,
spamy a nawet nie dopuścić włamywaczy do zasobów sieci lokalnej. Wspomniane programy dają jeszcze
możliwość rejestrowania zaistniałych zdarzeń dla późniejszego prześledzenia ruch do/z sieci lokalnej.
Zasady bezpieczeństwa organizacji powinny jasno określać, które zasoby świata zewnętrznego
będą udostępniane pracownikom. Ponieważ wiele systemów jest opartych na komunikacji internetowej,
należy przeprowadzić identyfikację użytkowników za pośrednictwem interfejsu przeglądarki WWW.
Podsumowanie
Każda organizacja musi się liczyć z zagrożeniami, zarówno
zewnętrznymi jak i wewnętrznymi, jej bezpieczeństwa. Aby skutecznie przeciwstawiać się zagrożeniom
organizacja musi mieć opracowaną politykę bezpieczeństwa, dostosowaną do swojej specyfiki. Przyjęte
zasady bezpieczeństwa tworzą dokument zwany planem obrony. Plan obrony powinien zostać
zredagowany, a wszyscy pracownicy organizacji zobligowani do zapoznania się z nim. Dokument ten
powinien być napisany prostym, zrozumiałym językiem, aby wszyscy pracownicy organizacji mogli go
zrozumieć.
Przy projektowaniu zabezpieczeń specjaliści
ds. bezpieczeństwa
stosują trzy zasady, zakładające, że:
- o skuteczności zabezpieczeń decyduje najsłabsze ogniwo łańcucha zabezpieczeń,
- bezpieczeństwo nigdy nie jest pełne,
- komuś trzeba zaufać.
Najsłabszym ogniwem w łańcuchu zabezpieczeń jest człowiek.
Dlatego bardzo ważne dla bezpieczeństwa organizacji jest ustawiczne uświadamianie pracownikom o
http://www.witczak.priv.pl
Kreator PDF
Utworzono 2 March, 2017, 13:27
Piotr Witczak - audyt bezpieczenstwa informacji, systemów IT
możliwych zagrożeniach. Zasadę drugą potwierdziły wydarzenia z 11 września 2001 roku. Dlatego
zamiast mówić o bezpieczeństwie organizacji, lepiej postawić sobie za cel zmniejszanie ryzyka do
minimum.
Dbałość o bezpieczeństwo jest procesem ciągłym nie mającym końca.
Nieustannie należy uaktualniać systemy za pomocą najnowszych programów korygujących luki w
zabezpieczeniach, szukać słabości środowiska informatycznego oraz wdrażać najlepsze systemy
zabezpieczeń.
Literatura:
Brudło P.: The Concept of Smart and Secure
Laboratory. Materiały konferencyjne: Technologie Informacyjne (II). Gdańsk, maj 2004
Lorak G: Inwigilacja elektroniczna i bezpośrednia. Warszawa 2003
McNamara J.: Arkana szpiegostwa komputerowego. Warszawa 2003
Schetina E., Green K., J. Carlson J.: Bezpieczeństwo w sieci. Warszawa
2002
Stokłosa J., Bilski T., Pankowski T.: Bezpieczeństwo danych w systemach informatycznych. Warszawa
2001
http://www.bbn.gov.pl/
http://www.bezpieczeństwoit.pl
http://www.whitehouse.gov/homeland/
Po raz pierwszy ukazalo sie na
Pierwszym
Trzcianieckim Seminarium Naukowym - Edukacja dla bezpieczeństwa
http://www.witczak.priv.pl
Kreator PDF
Utworzono 2 March, 2017, 13:27