Clasificarea informatiilor in functie de importanta lor

Clasificarea informatiilor in functie de importanta lor

Sistemul informatic proceseaza si stocheaza diferite tipuri de informatie. Acest lucru determina ca in cadrul politicii de securitate sa se realizeze o clasificare a informatiilor in functie de importanta lor si deci de nivelul de securitate pe care acestea il impun si stabilirea mecanismelor de securitate care trebuie asigurate prin sistemul

informatic. Datele sunt clasificate pe patru nivele si anume⁷:

https://www.boran.com/security/

1. Date publice (informatie neclasificata)
2. Date interne
3. Date confidentiale
4. Date secrete ("top secret').

În vederea clasificarii datelor nu se are in vedere doar continutul datelor si informatiilor din sistem ci si o serie de alte aspecte dintre care amintim:

Toate datele au un anume proprietar. Sistemul informatic recunoaste drept proprietar utilizatorul care a creat respectivele date in sistem;

Datele si prelucrarile pe care le proceseaza proprietarul lor vor prezenta acelasi nivel de securitate;

Proprietarul datelor nu poate stabili foarte precis la ce nivel trebuie clasificate datele sale:

Proprietarul datelor trebuie sa precizeze ce alti utilizatori au dreptul sa acceseze respectivele date;

Proprietarul are responsabilitatea asupra datelor sale si trebuie sa le asigure securitatea impreuna cu administratorul in conformitate cu nivelul de clasificare fixat;

Toate documentele generate de sistem trebuie sa fie la randul lor clasificate, iar nivelul de clasificare este recomandat sa fie inscris in antetul de pagina.

Fiecare nivel de clasificare este un superset al nivelului anterior. Daca sistemul este clasificat pe nivelul 3, atunci trebuie sa raspunda si directivelor de securitate aferente nivelelor 1 si 2.

Daca un sistem contine date care apartin mai multor niveluri de securitate va trebui clasificat in functie de cerintele impuse de datele cele mai confidentiale gestionate in sistem.

Nevoile de securitate ale sistemului trebuie sa se concentreze pe disponibilitate, confidentialitate si/sau integritate. Un sistem poate sa nu contina date confidentiale, dar trebuie sa fie disponibil 24 din 24 de ore -gestioneaza deci date putin sensibile dar care necesita disponibilitate inalta, sistemul de securitate trebuind sa fie pregatit sa previna atacuri de tip DoS (Denial of Service). Pentru alte sisteme confidentialitatea este mai importanta decat disponibitatea.

În functie de clasificarea informatiei intr-unul din nivelurile prezentate se poate aprecia ca sunt permise urmatoarele limite de toleranta:

Pentru fiecare clasa de informatii se stabilesc cerinte de securitate prin politica de securitate IT a organizatiei. Pe acest segment al cerintelor de securitate sunt unanim acceptate recomandarile inscrise in doua materiale de referinta si anume Orange Book elaborata de American DoD (Department of Defence) si respectiv European Orange Book (ITSEC).

Clasa 1: Date publice (informatie neclasificata)

Datele din acest nivel trebuie sa fie publice fara ca acest lucru sa genereze implicatii asupra organizatiei. Integritatea datelor nu este in acest caz vitala. Atacurile din exterior pot fi considerate riscuri acceptabile chiar daca afecteaza serviciile oferite de sistem.

Exemplu: servicii oferind informatie de interes public.

Pentru aceasta clasa cerintele de securitate nu au la baza un anumit standard, recomandarile fiind "de bun simt', urmare a experientei

practice. Recomandarile se rezuma la un minim de cerinte care trebuie respectate insa de orice organizatie. Acest lucru este impus de faptul ca si pentru aceasta clasa de informatii trebuie sa existe un nivel minim de securitate, in caz contrar existand bresa ce ar putea reprezenta punctul de intrare al atacurilor catre sistemele critice din organizatie. Cerintele minimale recomandate sunt:

Instalarea de snifere (software sau dispozitiv care captureaza pachetele de date transmise intr-o retea⁹)

Scanare antivirus

Deschiderea de conturi doar persoanelor autorizate, conturile avand in mod obligatoriu parole de acces.

Accesul la scriere pentru fisierele de sistem trebuie restrictionat la grupuri de utilizatori sau masini (calculatoare).

Software-ul de comunicatie (NFS - Neiwork File System, LanManager, RAS - Remote Access Service, PPP¹⁰, UUCP¹' - Unix-to-Unix Copy, Workgroups) trebuie sa fie corect instalat, cu optiuni de securitate.

Clasa 2: Date interne

Datele interne reprezinta date procesate in sistem in cadrul diferitelor compartimente functionale pentru care accesul direct, neautorizat trebuie prevenit. Accesul intern la aceste date trebuie sa fie selectiv. in masura in care, din diferite cauze, aceste date devin publice acest lucru nu va determina consecinte critice. Integritatea acestor date este importanta dar nu vitala.

Exemplu: anumite date privind clientii, informatii despre furnizorii firmei etc.

Orange Book recomanda pentru aceste date un sistem de protectie - Discretionary Security Protection - impus in cazul grupurilor de utilizatori care coopereaza in realizarea atributiunilor lor lucrand cu date inscrise in acelasi nivel de senzitivitate.

Pentru aceasta categorie de date recomandarile vizeaza urmatoarele mijloace de protectie:

Documentare: testari, elaborarea unei filozofii de securitate, un ghid al utilizatorului cu caracteristici de securitate (descrierea mecanisme-lor de securitate din punctul de vedere al utilizatorului, ghid pentru administrarea securitatii).

⁹ Create pentru a fi folosite in operatiuni de management al retelei sunt folosite frecvent
de hackeri pentru a fura informatii transmise in cdrul unei retele. Aceste sniffere
neautorizate sunt greu de depistat, putand fi instalate aproape oriunde. Conceptul de
sniffing defineste operatiunea prin care se captureaza pachete de date, transmise intr-o
retea, prin intermediul unui sniffer.

PP reprezinta un standard Internet pentru transmisia pachetelor IP prin linii seriale. UUCP este un protocol care permite unui calculator sa trimita fisiere altui calculator in mod direct printr-o conexiune seriala sau prin intermediul unui modem si linie telefonica. in multe aplicatii pentru transferul fisierelor, UUCP a fost inlocuit cu alte protocoale cum ar fi FTP, SMTP, NNTP.

Siguranta Arhitectura sistemului: Se verifica daca TCB ruleaza in mod protejat. Trebuie sa existe functii pentru verificarea integritatii hardware si firmware. Se verifica daca au fost testate cu succes mecanismele de securitate.

Identificarea si autorizarea utilizatorilor si protejarea
informatiei privitoare la autorizari.

Calitatea controlului accesului : accesul este controlat intre utilizatori precizati (sau grupuri de utilizatori) sau obiecte precizate.

Clasa 3: Informatii confidentiale

Datele din aceasta clasa sunt confidentiale in cadrul organizatiei si protejate fata de accesul extern. Afectarea confidentialitatii acestor date ca urmare a unui acces neautorizat poate afecta eficienta operationala a organizatiei, poate genera pierderi financiare si oferi un avantaj competitorilor sau o scadere importanta a increderii clientilor. De data aceasta integritatea datelor este vitala.

Exemplu: date privind salariile, date de personal, date contabile, parole, informatii despre punctele slabe ale companiei, date despre clientii confidentiali etc.

Pentru aceasta clasa Orange Book recomanda protejarea accesului controlat si securizarea transmisiilor de date:

. Protejarea accesului controlat (Controlled Access Protection) presupune:

o Recomandarile precizate pentru clasa 2 de senzitivitate la care se adauga: manualul caracteristicilor de securitate, identificarea si autorizarea (nu se admite definirea de conturi la nivel de grup), calitatea controlului accesului (controlul atribuirii de privilegii) si testarea securitatii.

o Responsabilitatea utilizatorului: utilizatorii au responsabilitatea actiunilor lor. De aceea trebuie sa existe posibilitatea de audit trail impreuna cu functii de monitorizare si alerta. Jurnalele de audit (audit logs) trebuie sa fie protejate.

o Reutilizarea obiectelor: Obiectele folosite de o persoana trebuie sa fie reinitializate inainte de a fi utilizate de o alta persoana.

Securizarea transmisiei de date : in transmiterea de mesaje sau
in utilizarea de programe care comunica intre ele trebuie mentinute confidentialitatea si integritatea.

Pentru anumite aplicatii este necesara nerepudierea originii informatiilor. in egala masura poate fi necesara si confirmarea destinatarului informatiei (non repudiation of receipt).

Clasa 4: Informatie secreta

Accesul intern sau extern neautorizat la aceste date este critic. Integritatea datelor este vitala. Numarul de utilizatori care au drept de acces la aceste date este foarte limitat si pentru aceste date sunt fixate reguli foarte severe de securitate privind accesul.

Exemplu: informatii strategice ale companiei, contracte avand caracter secret, date privind anumite proiecte de cercetare desfasurate in cadrul companiei.

Orange Book recomanda pentru aceasta clasa de date urmatoarele masuri suplimentare de siguranta:

. Labelled Security Protection {Protejarea prin etichetare):

o Cerinte suplimentare privind identificarea si autentificarea (mentinerea securitatii informatiilor compartimentului), manualul facilitatilor de incredere , manualul de proiectare (descrierea modelului de securitate si a mecanismelor) si asigurarea (arhitectura sistemului: izolarea procesului, verificarea integritatii, testarea securitatii prin simularea atacurilor de penetrare si auditatea jurnalelor de securitate pe nivele de obiecte).

o Verificarea specificatiei si a proiectarii : se comporta sistemul in conformitate cu manualul ?

o Exportarea informatiei etichetate, exportarea catre device-uri multinivel sau mononivel.

Accesul controlului pentru obiecte si subiecti asa cum este
specificat in TCB nu de catre useri.

Securizarea transmisiilor de date (cerintele fiind prezentate intr-un
paragraf anterior).