SIGURNOST SIGURNOST INFORMACIJSKIH INFORMACIJSKIH SUSTAVA Pitanja i odgovori za ispit
1. Što je sigurnost, te t e koji je razlog za implementaciju sustava sigurnosti u poduzeću SIGURNOST – niz mjera i postupaka koji se poduzimaju u cilju osiguranja funkcionalnosti poslovnog sustava u produkcijskim uvjetima Pošto se funkcionalnost poslovnih sustava sve više oslanja na informacijsku potporu, ta velika ovisnost o podacima, informacijama i komunikaciji traži odgovarajuću razinu osiguranja temeljnih pretpostavki organizacijskog djelovanja sustava. U tome leži temeljeni r azlog potrebe izgradnje sustava sigurnosti informacijskog sustava čija funkcionalnost ovisi o integritetu informacijskog sadržaja, njegovoj točnosti, nepromjenjivosti upisanog sadržaja, ali i stalnoj dostupnosti. Zato je potrebno izgraditi sustav sigurnosti koji će odgovoriti na sve postavljene zahtjeve, a istovremeno neće biti prepreka primjeni primj eni u pretpostavljenim uvjetima.
2. Koji je odnos sigurnosti i zaštite informacijskog sustava ZAŠTITA – je čitav niz mjera i postupaka koji se poduzimaju kako bi se smanjila razina prijetnji kod pretpostavljenih rizika 3. Što je računalni kriminal, te koje radnje se mogu opisati kao računalni kriminal Računalni kriminal, u najširem smislu, shvaćen je kao nedozvoljena djelatnost vezana uz funkcioniranje računalskih sustava. Računalno prisluškivanje, neovlašteno prodiranje u računalne sustave, manipulacije bankovnim automatima, krivotvorenja različitih isprava, neovlašteno kopiranje komercijalnih korisničkih programa. Manipulacije s računalom najčešće su usmjerene na stjecanje protupravne imovinske koristi. Vrlo je čest slučaj krađe softvera, tj. neovlaštenog kopiranja korisničkih programa svih vrsta, čime se zakidaju prihodi autora takvih programa. 4. Navedite nekoliko primjera računalnog kriminala? Računalno prisluškivanje, neovlašteno prodiranje u računalne sustave, manipulacije bankovnim automatima, krivotvorenja različitih isprava, neovlašteno kopiranje komercijalnih korisničkih programa. 5. Što govori Hrvatski zakon o računalnom kriminalu? Zakon o računalnom kriminalu u RH još uvijek ne postoji niti ima kakvih naznaka da će uskoro biti donesen. Odredbe koje su vezane za računalni kriminal disperzirane su u različitim zakonima. Postoji međunarodna «Konvencija o računalnom kriminalu» koju je Hrvatska potpisala pa ju obvezuje. Konvencija je prva međunarodna prekretnica u sprečavanju računalnog kriminala i kriminala posredstvom interneta. Konvencija se naročito fokusira na probleme autorskog prava, računalnih prijevara, dječje pornografije, narušavanja mrežne sigurnosti sigurnosti i sl. Glavni cilj konvencije je baviti se općenitim računalnim politikama koje se fokusiraju na zaštitu društva od računalnog kriminala i to to posebno između zemalja potpisnicama. Članci Kaznenog zakona koji u nas inkriminiraju ponašanja specificirana kao kaznena djela u člancima 2. do 6. Konvencije o kibernetičkom kriminalu su čl. 223, Oštećenje i upotreba tuđih podataka, koji pokriva kaznena djela Neovlaštenog pristupa i Oštećenja, izmjene i uništenja podataka (čl. 2 i 4. Konvencije).
Što se tiče čl. 3 i Kazneno djelo neovlaštenog presretanja podataka (Illegal Interception) u teoriji se smatra smatra da premda čl. 223. ne sadrži sadrži odredbe odredbe o kompjutor kompjutorskoj skoj špijunaži, špijunaži, postoji postoji dovoljno dovoljno postojećih postojećih inkriminacija kojima se može sankcionirati ovakvo ponašanje u svojim pojavnim oblicima. Tako npr. inkrimi inkriminac nacije ije o izdav izdavanj anju u i neovla neovlašte štenom nom pribav pribavlja ljanju nju poslov poslovne ne tajne tajne (čl. (čl. 295 KZ) ili odava odavanju nju službene tajne (čl. 132 KZ), odavanju državne tajne (čl. 144 KZ). Tu je i čl.133 i Nedozvoljena upotreba osobnih podataka, čime se pokriva kako prikupljanje, obrađivanje i korištenje osobnih podataka građana, tako i njihovo korištenje suprotno zakonom dozvoljenoj svrsi njihovog prikupljanja. Naravno, i glava kaznenih djela protiv imovine nadopunjena je inkriminacijama koje mogu poslužiti i za sankcioniranje nekih zloporaba Interneta. Tako su tu navedena kao inkriminacije slijedeća djela: - Povreda prava autora ili umjetnika izvođača - Neovlaštena upotreba autorskog djela ili izvedbe umjetnika izvođača - Oštećenje i upotreba tuđih podataka
6. Nabrojite i opiše nekoliko zakona RH koji se odnose na sigurnost IS? 1. Zakon o informacijskoj sigurnosti - Ovim se Zakonom utvrđuje pojam informacijske sigurnosti, mjere i standardi informacijske sigurnosti, područja informacijske sigurnosti, te nadležna tijela za donošenje, provođenje i nadzor mjera i standarda informacijske sigurnosti. 2. Zakon o elektroničkom potpisu - Ovim se Zakonom uređuje pravo fizičkih i pravnih osoba na uporabu elektroničkog potpisa u upravnim, sudskim i drugim postupcima, poslovnim i drugim radnjama, te prava, obveze i odgovornosti fizičkih i pravnih osoba u svezi s davanjem usluga certificiranja elektroničkog potpisa, ako posebnim zakonom nije drukčije određeno 3. Zakon o zaštiti tajnosti podataka - Ovim se Zakonom propisuju pojam, vrste i stupnjevi tajnosti te mjere i postupci za utvrđivanje, uporabu i zaštitu tajnih podataka. 4. Zakon o zaštiti osobnih podataka - Ovim se Zakonom uređuje zaštita osobnih podataka o fizičkim osobama te nadzor nad prikupljanjem, pri kupljanjem, obradom i korištenjem osobnih podataka u Republici Hrvatskoj. 7. Što je pojam digitalnog integriteta? Integritet predstavlja zaštitu podataka od namjernog ili slučajnog neovlaštenog neovlaštenog mijenjanja. Dodatni element integriteta jest zaštita procesa ili programa kako bi se onemogućilo neovlašteno mijenjanje podataka. Glavni zahtjev komercijalnih i državnih institucija jest osigurati integritet podataka kako bi se izbjegle zlouporabe i greške. To je imperativ kako korisnici ne bi mogli mijenjati podatke na način da ih izbrišu, promjene ili učine ključne podatke nesigurnima. Primjeri gdje je integritet i ntegritet podataka od ključne važnosti su sustav za kontrolu leta, sustavi u medicinskim ustanovama, sustavi u financijskim ustanovama itd. Ključni elementi za postizanje integriteta podataka su identifikacija i dentifikacija i provjera autentičnosti korisnika. Budući integritet ovisi o kontroli pristupa, važno je pozitivno i jedinstveno utvrditi identičnost svih korisnika prijavljenih na sustav
8. Što sve može imati digitalni identitet? Digitalni identitet - potreba identifikacije i autentifikacije dokumenata, osobe, poslovnog subjekta i računala. 9. Što je klasifikacija i deklasifikacija sadržaja, te koje su razine tajnosti definirane prema zakonu o zaštiti tajnosti podataka • Klasifikacija podatka je postupak utvrđivanja utvrđivanja jednog od stupnjeva tajnosti tajnosti podatka s obzirom na stupanj ugroze • Deklasifikacija - prestanak postojanja razloga zbog kojih je podatak klasificiran – postaje neklasificirani s ograničenom uporabom samo u službene svrhe
Propisuje vrste tajni – državna – službena – vojna – profesionalna – poslovna stupnjeve tajnosti – vrlo tajno – tajno – povjerljivo Za klasificirane podatke određuje samo stupnjeve tajnosti – Vrlo tajno – Tajno – Povjerljivo – Ograničeno 10. O čemu govori norma ISO 27002 i koji su koraci implementacije norme ISO 27002 Međunarodna norma ISO 17799/27002 definira zahtjeve za uspostavljanje, implementaciju, rad, nadziranje, provjeru, održavanje i unaprjeđivanje dokumentiranog sustava upravljanja sigurnošću informacija u kontekstu cjelokupnog rizika poslovanja organizacije. Ona definira zahtjeve za implementaciju sigurnosnih kontrola prilagođenih potrebama svake pojedine organizacije ili njenog dijela. Koraci implementacije norme: 1) početak projekta (administartivna faza) 2) definiranje definiranje ISMS-a ISMS-a (Information (Information Security Security Managment Managment System System – sustav sustav za upravljanje upravljanje informacijskom sigurnošću) 3) proc procje jena na rizi rizika ka 4) upra upravl vlja janj nje e rizik rizikom om 5) obuka obuka i info informi rmiran ranje je kadro kadrova va 6) prip pripre rema ma za za revi revizi ziju ju 7) rev revizi izija 8) periodičke provjere (redovito provjeravanje i poboljšavanje poboljšavanje sustava za upravljanje sigurnošću) Međunarodna organizacija za standardizaciju je promijenila naziv norme ISO/IEC 17799:2005 u ISO/IEC 27002:2005. 11. Područja regulative standarda ISO 27001 i 27002? ISO 27001 znači za informacijsku sigurnost isto ono što ISO 9001 znači za kvalitetu – to je norma koju su pisali najbolji svjetski stručnjaci u polju informacijske sigurnosti, i svrha joj je da pruži metodologiju na koji način uvesti informacijsku sigurnost u neku organizaciju. Ona isto tako pruža mogućnost da organizacija dobije certifikat što znači da je nezavisni auditor potvrdio da je informacijska sigurnost na najbolji način provedena u dotičnoj organizaciji. Norma ISO 27001 je zapravo postavila temelj za informacijsku sigurnost, pa su tako razni propisi pisani na osnovu iste – Odluka o primjerenom upravljanju informacijskim sustavom, Uredba o načinu pohranjivanja i posebnim mjerama tehničke zaštite posebnih kategorija osobnih podataka, kao i provedbeni akti Zakona o informacijskoj sigurnosti. Drugim riječima, ova norma daje idealnu metodologiju kako provesti sve navedene propise. Osim norme ISO 27001 (nekadašnja norma BS 7799-2), postoji i norma ISO 27002 (nekadašnja norma ISO 17799), koja je „pomoćna“ norma i detaljnije opisuje na koji način provesti pojedine mjere zaštite iz ISO 27001. Korisne su i norma BS 7799-3 (detaljno propisuje proces procjene rizika), te norme BS 25999-1/BS 25999-2 (detaljno opisuju upravljanje kontinuitetom poslovanja).
12. Koji su koraci izgradnje sustava sigurnosti 1. definiranje i donošenje politike sigurnosti 2. procjena sigurnosnih rizika a) procjena značaja podatkovnog sadržaja b) inventura informacijske imovine : 1)čimbenici izvan poslovnog sustava 2) čimbenici unutar poslovnog sustava c) identifikacija prijetnji pojedinom sadržaju 3. Odabir mjera za smanjenje rizika 4. izjava o primjenjivosti 5. Praćenje efikasnosti (funkcionalnosti) postavljenog sustava 6. dogradnja sustava ISMS (Information Security Management System) 13. Što je sigurnosna politika, na koji način je implementiramo, od kojih elementa se sastoji te kada je važeća? Sigurnosna politika je skup pravila, smjernica i postupaka koja definiraju na koji način informacijski sustav učiniti sigurnim i kako zaštititi njegove tehnološke i informacijske vrijednosti. Ona govori korisnicima što smiju raditi, što ne smiju raditi, što moraju raditi i koja je njihova odgovornost. Politikom ne određujemo na koji način zaštiti informacijski sustav već samo što zaštititi. Svakodnevnim razvojem tehnologija otkrivaju se i nove metode kojima je moguće ugroziti sustav. Stoga definiranje općenite sigurnosne politike za informacijske sustave nije moguće i jednom napisana politika mora m ora se redovito pregledavati, mijenjati i nadopunjavati kada se za tim ukaže potreba a) krovni dokument – to je izjava uprave o provođenju ISMS-a b) uža i šira politika c) provedbeni akt STRATEGIJA može biti: 1) prihvaćanje rizika – zna se za rizik ali se ne radi ništa 2) podjela – popisuju se kritični procesi i gradi se sustav sigurnosti, a ostatak procesa se osigura 3) prenošenje – zna se da postoji rizik, ali se ne radi ništa nego se prenosi na osiguravajuće društvo 4) reduciranje rizika – uvode se mjere za procese koje treba štititi i sustav se dalje dograđuje
14. Koje su strategije izgradnje sustava sigurnosti? - samostalno preuzimanje rizika (opredjeljenje poslovnog sustava da samostalno brine o razini sigurnosti IS-a te da se brine o mjerama za smanjivanje rizika na prihvatljivu razinu) - podjela rizika (strategija osiguravanja dijela rizika kod osiguravatelja, a za dio sustava se samostalno gradi sustav sigurnosti. Na dijelu IS-a se ne postavlja razina zaštite (ili se dovoljno ne ulaže u nju) pa se rizik pokriva osiguranjem). - prenošenje rizika (strategija koja je prisutna kod manjih poslovnih sustava pri čemu je poslovodstvo procijenilo da destrukcija nad podacima ne povlači za sobom velike poslovne gubitke. Sav se rizik prenosi na osiguravatelja koji u slučaju velikog rizika sam ulaže u izgradnju sigurnosnog sustava kako bi smanjio vlastiti poslovni rizik) - negiranje rizika (temelji se na odluci o nepoduzimanju nikakvih aktivnosti zaštite IS-a. Poslovanje nije oslonjeno na IS podržan računalom, ali prijetnje nisu isključene nego je samo smanjen broj izvora i oblika prijetnje)
15. Što sve smatramo informacijskom imovinom, i zašto je bitna inventura informacijske imovine a) informacijska imovina – baze podataka i datoteke s podacima, sistemska dokumentacija, korisnički priručnici, materijal za treninge, procedure za operativu i podršku, planovi oporavka i kontinuiteta rada sustava, sporazumi o oporavku, arhivirane informacije b) softverska imovina – aplikacijski softver, sistemski softver, razvojni i pomoćni alati c) fizička imovina – računalna oprema, komunikacijska oprema, magnetski mediji, ostala tehnička oprema, namještaj, smještaj d) servisi – računalni i komunikacijski servisi, opći pomoćni pogoni (grijanje, osvjetljenje, struja, klimatizacija) e) ljudi -
mate materij rijal alni ni dio dio – rač račun unal ala, a, mre mrežn žna a opre oprema ma… … soft softwa ware re – lic lice encir ncira ani… ni… organi organiza zacija cija – razmj razmješ eštaj taj rač računa unala, la, stru struktu ktura ra mrež mreža… a… ljudi podac podacii – popis popis dokume dokumena nata ta i njih njihovi ovih h vlas vlasnik nika a
Inventure imovine trebaju pomoći u osiguranju provođenja efikasne zaštite. Organizacija mora biti u stanju identificirati svoju imovinu i njenu relativnu vrijednost i važnost. Temeljem te informacije određuje se razina zaštite imovine u skladu s vrijednošću i važnošću imovine. Potrebno je sastaviti i održavati popis važnog inventara u svakom informacijskom sustavu. Svaki dio imovine treba biti jasno definiran, sa dogovorenim i dokumentiranim vlasništvom i sigurnosnim klasifikacijama (stavak 5.2), te mora imati svoju lokaciju (važno prilikom oporavka od štete ili gubitka).
16. Što je procjena značaja podatkovnog sadržaja temeljem čega i zašto se provodi? Procjenom značaja podatkovnog sadržaja utvrđuje se s kojim sve podacima raspolaže poslovni sustav i koji je značaj tih podataka za njegovu funkcionalnost. U tu svrhu se radi inventura informacijske imovine. 17. Koji su unutarnji a koji vanjski čimbenici koji utječu na procjenu značaja podatkovnog sadržaja? Vanjski čimbenici: Zakonski i podzakonski akti država u kojoj djeluje poslovni sustav Zakonski i podzakonski akti država u kojima djeluju poslovni sustavi s kojima se ostvaruje poslovna komunikacija Poslovni običaju i norme koji se odnose na granu djelatnosti Trenutna situacija u okruženju u odnosu na stabilnost djelovanja poslovnog sustava sukladno izvorima i oblicima prijetnji. Unutrašnji: Statut poslovnog sustava i drugi akti na nižim razinama Procjena poslovodstva o važnosti pojedinog sadržaja za funkcionalnost sustava Poslovni običaju Stanje u poslovnom okruženju
18. Nabrojite i opišite izvore i zvore prijetnji informacijskog sadržaja! Prijetnje se identificiraju po vrsti i intenzitetu, zbog čega treba imati evidenciju učestalosti pojedinih prijetnji. Ako se prvi puta uvodi sustav sigurnosti, takve evidencije nema i treba se osloniti na procjenu vjerojatnih prijetnji, a nakon uvođenja mjera sigurnosti pratiti i procjenjivati u kojoj mjeri je procjena bila realna ili ne. Izvori mogu biti prirodni (poplave, potresi), ljudi (namjerno – uništenje, sabotaža, špijunaža, krađa, virusi.. nenamjerno- nepažnja, nemar, neznanje..), oprema (tehnička pogreška opreme, prestanak napajanja, prekidi komunikacije, zračenja..). 19. Nabrojite i opišite oblike prijetnji informacijskom sustavu? a) neautorizirano korištenje b) uništenje c) neidentificirano korištenje i neregistrirana promjena sadržaja 20. Što je procjena rizika, te koje metode procjene rizika poznajete? Kvalitativne i kvantitativne metode. Dobre strane kvantitativne analize: rezultati se baziraju na objektivnim procesima i mjerenjima, statistička vjerojatnost se računa matematičkim formulama, procjena potrebnih ulaganja j e precizna, rezultati analize mogu se prikazati menadžerskom menadžerskom terminologijom (cijene, postupci, vjerojatnost). Loše strane: računanje je kompleksno treba dobro poznavati statističke pojmove dobri rezultati dobivaju se ako je poznata baza znanja odnosno ako postoje podaci o rizicima koji će se procijeniti primjena analize je kompleksna treba više vremena za procjenu rizika vjerojatnost nije potpuno ispravna računa se i odstupanje vjerojatnosti od stvarnih vrijednosti pogodna je za procjenu rizika u statičnoj okolini Kvalitativna Ne zadaje numeričke vrijednosti objektivne analize (što god to značilo), bazira se na odgovorima pitanja "što ako?" Dobre strane: računanje je jednostavno, ne treba definirati cijenu procjene objekata analize, ne računa se učestalost rizika, nije potrebno mnogo m nogo vremena za procjenu rizika, cijena implementacije je manja, fleksibilnog je karaktera. Loše strane: subjektivne je prirode (rezultat ovisi o kvaliteti tima koji je izrađuje), procjena troškovnika ovisi o mjerama zaštite 21. Što su sigurnosne kopije te koje strategije izrade sigurnosnih kopija poznajete? Sigurnosno kopiranje ili backup je kopiranje sadržaja promjenom materijalnog nositelja i njegovim prostornim dislociranjem izvan produkcijskog okruženja Potpuno kopiranje ( full full backup ) – metoda kojom se pohranjuju sve datoteke bez obzira na to
jesu li označene za pohranu pohranu ili nisu. Pod oznakom za pohranu pohranu podrazumijevamo postavljeni postavljeni atribut datoteke A (archive). Glavna prednost prednost je u tome što je lako pronaći datoteku datoteku i vratiti ju u računalni sustav jer su sve datoteke na jednom mediju. Nedostatak je što se svaki puta na medij kopiraju sve datoteke, bez obzira na to jesu li promijenjene ili ne. Diferencijalno kopiranje (differential backup ) – pohranjuje nove datoteke i one datoteke koje su označene kao nearhivirane ("spušteni archive"), odn. čiji je sadržaj promijenjen od zadnjeg potpunog kopiranja. Diferencijalni backup kopira archive i nearhivirane datoteke, te nove datoteke. Inkrementalno kopiranje ( Incremental Incremental backup )- pohranjuje nearhivirane datoteke i mijenja im atribut u archive, kako bi kod sljedećeg inkrementalnog backupiranja znao da im je sadržaj mijenjan ako im je atribut nearhiviran.
22. Što su sigurnosne kopije te koje materijalne nositelje i sustave za izradu sigurnosnih kopija poznajete? Sigurnosno kopiranje ili backup je kopiranje sadržaja promjenom materijalnog nositelja i njegovim prostornim dislociranjem izvan produkcijskog okruženja MATERIJALNI NOSITELJI: 1) Analogni a) papir b) mikr mikro ofil film 2) Digi Digita taln lnii a) Magnetsk Magnetskii (magnetska (magnetska vrpca, vrpca, magnetsk magnetskii disk) disk) b) Optičk Optičkii (CD, (CD, DVD, DVD, BLUE BLUE RAY) RAY) c) Flas Flash h mem memor orijije e 23. U koje se sve namjene u području sigurnosti može koristiti RAID tehnologija? t ehnologija? - u svrh svrhu u kont kontinu inuira irane ne zašt zaštite ite podat podatak aka a od od gubi gubitka tka - RAID1 (mirror ili identična kopija diska) – povećava pouzdanost i brzinu čitanja podataka 24. Što je to virus i od čega se on sastoji? Virus je programski kod čija je namjera samo kopiranje bez htijenja i znanja korisnika, te destruktivna aktivnost na sadržaju računala. Šire se preko zaraženih medija ili interneta. Računalni virus se obično sastoji od dva dijela. • •
Prvi dio je samokopirajući kod koji omogućava razmnožavanje razmnožavanje virusa Drugi dio je korisna informacija koja može biti bezopasna ili opasna.
25. Što sve podrazumijevamo pod pojmom malicioznog koda? Maliciozni programi su kompjutorski programi ili dijelovi programskog koda čije pokretanje dovodi do neželjenih posljedica po korisnika, odnosno njegov kompjutorski sustav, njegove podatke ili programe ili pak do uskraćivanja mrežnih servisa i usluga Oblici malicioznog softvera su crvi, logičke bombe, trojanski konji, zamke i virusi.
26. Koje oblike malicioznog softwarea poznajete, te na koji način vršimo detekciju i uklanjanje malicioznog softwarea? Oblici malicioznog softvera su crvi, logičke bombe, trojanski konji, zamke i virusi. Virus je dio programskog koda koji je sposoban izvršiti samokopiranje (infekciju) dodavanjem novog sadržaja u druge programe ili dijelove operativnog sustava Detekciju i uklanjanje vršimo pomoću antivirusnih alata: 1.programi koji prate aktivnosti -pokušavaju presresti infekciju prije nego se dogodi, prateći sve aktivnosti koje liče onima koje rade virusi 2. scanneri -svoj rad temelje na principu pri ncipu potrage za ključnim dijelovima programa, odnosno slijedom znakova koji su karakteristični za određeni virus. Prepoznaju samo viruse za koje imaju ranije definiran niz znakova. Pokreću se na zahtjev korisnika te pregledava dijelove, cijeli disk ili prenosivi medij 3. integrity checker ili detektori promjena -ova vrsta zaštite temelji se na checksumu. Za savku datoteku koju je moguće m oguće zarazit virusom izračunava se veličina u bajtovima. Za takvu datoteku pretpostavlja se da je bez virusa. Takve se sume kasnije uspoređuju s ponovno izračunatim vrijednostima, u slučaju da su vrijednosti različite znači da se datoteka mijenjala. To ne
mora ukazivati da je posrijedi virus, ali ovaj način zaštite štiti i od najnovijih virusa za razliku od scannera.
27. Što smatramo pod pojmom kriptografija te koja je razlika između simetrične i asimetrične kriptografije KRIPTOGRAFIJA – Kriptografija, odnosno kriptografke metode danas predstavljaju nezamjenjivo sredstvo zaštite podataka bez obzira nalaze li se oni pohranjeni unutar memorije kompjutora, na nekom drugom mediju ilii se prenose putem kompjutorske mreže ili udaljenih kompjutorskih sustava. Cilj je takvih mreža osiguravanje tajnosti podataka kako njihov sadržaj ne bi došao u ruke neovlaštenim osobama. SIMETRIČNA – jednom šifrom (ključem) zaključavamo i otključavamo poruku - mana mu je da pošiljatelj i primatelj prim atelj moraju imati isti ključ ASIMETRIČNA – uvijek se generira generira par ključeva, jednim se poruka zaključava, zaključava, a drugim se otključava (javni i tajni ključ) - javni se distribuira svim pošiljateljima (s njim se poruka zaključa), a tajni je kod nas i s njim otključavamo poruku - pošiljatelj je siguran, ali primatelj ne zna ko mu šalje (to rješavamo PKI-om, certifikacijom ključa)
28. Što je digitalni potpis, te kako realiziramo digitalni potpis? Digitalni potpis je tehnologija provjere vjerodostojnosti poruka primljenih u komunikaciji koja se odvija između udaljenih kompjutora. Takav «potpis» nalazi se u digitalnom obliku i sastavni je dio šifrirane poruke koja se šalje, a sadrži izračunati zbroj same poruke. Budući da je gotovo nemoguće izmijeniti sadržaj teksta , a da zbroj ostane isti, predstavlja vrlo siguran način provjere vjerodostojnosti samog teksta i sigurne komunikacije. Nakon što primatelj dešifrira primljenu poruku i digitalni potpis sam provjerava zbroj takve poruke i uspoređuje s primljenim. Svrha ove metode nije da osigura tajnost komunikacije pa se ona najčešće koristi u kombinaciji s kriptografskim metodama, uz pomoć kojih se može efikasno zaštititi sam sadržaj podataka koji se razmjenjuju. Bitno je naglasiti još da digitalni potpis potvrđuje vjerodostojnost teksta koji se šalje, odnosno prima, ali ne i identitet osobe koja ga šalje, često se koristi u kombinaciji s digitalnim certifikatom.
elektronički potpis - To je skup skup podata podataka ka u elektron elektroničkom ičkom obliku obliku koji koji su pridruž pridruženi eni ili su logički logički poveza povezani ni s drugim drugim podacima u elektroničkom obliku i koji služe za identifikaciju potpisnika njegova uloga je potvrđivanje vjerodostojnosti dokumenata u elektroničkom obliku i garancija identiteta pošiljatelja. elektronički potpis mora zadovoljavati i dodatne zahtjeve, a to su: - da je potpis jedinstven za korisnika koji ga koristi (ne smije postojati isti potpis za dva različita korisnika ili osobe) - mora biti pod isključivom kontrolom korisnika/osobe koji ga koristi (treba spriječiti zlouporabu) - mora omogućiti omogućiti provjeru identiteta identiteta korisnika (pomoću certifikata) certifikata) - mora postojati veza između i zmeđu potpisa i potpisane isprave – kada se ručno potpisuje isprava, potpis je smješten fizički na dokumentu - dok je kod elektroničkog potpisa potrebno vezu uspostaviti uspostaviti na poseban način npr. Hash Hash funkcijom kada je u pitanju digitalni potpis
Krip Kripto togr graf afija ija javn javnog og klju ključa ča (eng (engl.l. PKI PKI – Publ Public ic Key Key Infr Infras astr truc uctu ture re)) teme temelji lji se na paru paru komplementarnih ključeva koji obavljaju operacije enkripcije ili dekripcije, te je stoga poznata i kao asimetrična kriptografija. Jedan ključ u paru naziva se "javnim", a drugi "tajnim" ključem. Javni ključ slobodno se distribuira dok se tajni ključ čuva. 1 Enkripcija i dekripcija obavljaju se asimetričnim algoritmima koji su općenito definirani tako da koriste par ključeva od kojih se bilo koji može koristiti za kriptiranje. Ako je jedan ključ iz para upotr upotrije ijeblj bljen en za kripti kriptiran ranje je poruk poruke, e, onda onda se isk isklju ljučiv čivo o drugi drugi ključ ključ iz para para može može upotri upotrijeb jebiti iti za dekriptiranje. Uobičajeno je, međutim, da se kriptiranje obavlja javnim ključem, a dekriptiranje tajnim ključem. Na taj način, svatko može kriptirati poruku korištenjem javnog ključa, ali poruku može dekriptirati i pročitati samo vlasnik tajnog ključa. Javni ključevi stoga moraju biti javno dostupni. Dodatno, korisnici javnih ključeva moraju biti sigurni da taj ključ uistinu pripada onome tko to tvrdi. U tu svrhu postoje specijalizirana tijela, povjerljive agencije (tzv. certificate authorities) koje izdaju certifikate. Povjerljiva agencija certifikatom jamči da javni ključ zaista pripada pripada određenoj osobi. Svojstvo asimetričnih algoritama da je jednim ključem moguće obaviti enkripciju, a isključivo drugim ključem iz istog para uspješnu dekripciju iskorišteno je pri definiranju digitalnog potpisa.
29. Što je digitalna omotnica (PGP postupak) i kako se realizira? (Pretty Good Privacy) je program (iako postoje i drugi programi koji isto r ade, npr. ) koji vam omogućava privatnost elektroničke pošte. Riječ je o programu koji šifrira (enkriptira) vašu poštu tako da je nitko ne može pročitati (dešifrirati, dekriptirati) osim upravo osobe kojoj je namijenjen. Tekst nakon takvog procesa šifriranja nekoj trećoj strani izgleda kao besmisleni niz slučajnih znakova, i takve kriptirane poruke su sposobne "izdržati" i najsloženije kriptografske analize. No, nije samo šifriranje jedina mogućnost zaštite e-maila: moguće je na proizvoljan tekst dodati i digitalni potpis, bez šifriranja. To se obično primjenjuje kad je sadržaj javnog tipa, ali se želi osigurati da drugi mogu provjeriti autentičnost takvog materijala - budući da nitko neće moći promijeniti sadržaj bez da se ista lako detektira putem digitalnog potpisa. PGP
•
GnuPG
koristi kriptografiju javnih ključeva – dva ključa - javni i tajni – javni ključ koristi se prilikom kriptiranja poruka i provjere potpisa potpisa – tajni ključ koristi se prilikim dekriptiranja i stvaranja potpisa – nije potrebna prethodna razmjena jedinstvenog tajnog ključa
30. Što je firewall i zašto je bitan? Firewall (vatrozid) je zaštita računala koja obavlja filtriranja, analizu i provjeru paketa podataka koji nose informacije sa i na Internet. Firewall je napravljen da bi zaštitio povjerljive korisničke podatke od neautoriziranih korisnika blokiranjem i zabranom prometa prema pravilima koje korisnik sam određuje. Firewall može biti softverski ili hardverski. Softverski firewall štiti jedno računalo, osim u slučaju kada je to računalo predodređeno za zaštitu čitave mreže. Hardverski firewall omogućuje zaštitu čitave mreže ili određenog broja računala. Za ispravan rad firewall-a, potrebno je precizno odrediti niz pravila koja određuju kakav promet je dopušten, a kakav zabranjen.
1
Firewall programi za osobna računala Firewall koji se nalazi na osobnom računalu korisnika ima zadatak kontrole i ograničavanja pristupa računalu sa Interneta ili lokalne mreže. Njegova je uloga da na osobnom računalu omogućava pristup samo onima kojima smo to i dopustili, a svi ostali su onemogućeni i njihovi pokušaji pristupa zabilježeni. Za razumijevanje rada firewall-a potrebno je poznavati dva stručna pojma, a to su IP adrese i TCP i UDP portovi. IP adresa: Sve što je povezano na Internet ima barem jednu jedinstvenu IP adresu. To može biti adresa Vašeg računala ili routera preko kojeg je Vaša lokalna mreža spojena na Internet. Svaki paket koji putuje Internetom u sebi sadrži svoju izvorišnu i svoju odredišnu IP adresu, tako da se zna od koga je paket poslan i kome je poslan 31. Što je sigurni perimetar, te koje metode fizičke zaštite poznajete? Sigurni perimetar je granica sigurne okoline. U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno.
32. Koje sustave za kontrolu pristupa poznajete? Biometrijske metode, 33. Što je biometrija i kako je koristimo za autentikaciju i identifikaciju? Biometrija (grč. bios – život, metron – mjera) predstavlja skup automatiziranih metoda za jedinstveno prepoznavanje prepoznavanje ljudi temeljeno na jednoj ili većem broju njihovih fizičkih i ponašajnih karakteristika. U informatičkoj tehnologiji se biometrijska autentikacija odnosi na tehnologije koje mjere i analiziraju fizičke (otisci prstiju, rožnica oka, prepoznavanje lica i sl.) i ponašajne karakteristike (rukopis, tipkanje, hod i sl.) čovjeka. 34. Koje mjere sigurnosti poznajete? Mjere: programske mjere, tehničke mjere, fizičke mjere, organizacijske mjere, mjere zaštite u oblasti prava. 35. Materijalni nositelji kao mjera povećanja otpornosti sustava!
36. Što sve čini programske mjere zaštite informacijskog sustava? Programske mjere zaštite su na razini operacijskog sustava i na razini korisničkih programa. Višekorisnički OS-i koordiniraju radom sustava s većim brojem korisnika. Radi odjeljivanja područja jednog korisnika, korisnička okolina se zaštićuje zaporkom. Ponekad se pojedina zaporka može autorizirati samo s uvjetovanih računala. Programske mjere zaštite na razini korisničkih programa su sigurnosna pohrana podataka, zaštita od malicioznog softvera i sustavi kriptozaštite.
37. Koje su tehničke mjere sigurnosti? 1. Protupoža Protupožarni rni detektor detektor – služe za automatsko automatsko aktivira aktiviranje nje raspršivač raspršivača a vode ili sustava sustava za primjenu plinova, mogu biti detektori topline i detektori dima 2. Detektori Detektori prekida prekida strujnog strujnog kruga – štite prostor prostore e od neautorizirano neautoriziranog g pristupa pristupa 3. Laseri Laseri i senzori senzori – koriste ultraljubič ultraljubičasti asti ili infracrveno infracrveno svjetlo svjetlo čije su frekven frekvencije cije iznad iznad ili ispod vidljivog spektra 4. Unutrašnja Unutrašnja televiz televizija ija i kamera – postavljaju postavljaju se na važnim važnim mjestima mjestima i prenose sliku sliku do kontrolne kontrolne ploče s čuvarima 5. Detektori Detektori zvuka zvuka i vibracije – služe za otkriva otkrivanje nje zvukova zvukova u nekom području području u vrijeme vrijeme kada oni nisu uobičajeni, zato se koriste vrlo osjetljivi mikrofoni 38. Koje su fizičke mjere sigurnosti IS? Fizička zaštita podatkovnog sadržaja obuhvaća zaštitu računalne opreme, programa i datoteka od uništenja, neovlaštenog mijenjanja sadržaja, požara, poplave, potresa, eksplozije, krađe i divljaštva i slično... U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno. 39. Što podrazumijevamo pod organizacijskim mjerama sigurnosti IS? Organizacijske mjere zaštite su mjere koje poduzima organizacija da bi osigurala željenu razinu funkcionalnosti sustava i integriteta podataka u uvjetima djelovanja pretpostavljenih oblika prijetnji. Oblici provedbe su: 1. Upravljanje računalnom mrežom poslovnih sustava 2. Kontrola pristupa djelovima sustava 3. Tehnike razvoja sustava 4. Planiranje nastavljenja poslovanja nakon nastupanja incidentne situacije 5. Postojanje više alternativnih sigurnosnih procedura za isti problem 6. nadzor i kontrola 40. Navedite barem 4 klasa norme ISO 27002 i objasnite jednu po izboru! Procjena i obrada rizika ; Politika sigurnosti ; Organizacija informacijske sigurnosti; Upravljanje imovinom Sigurnost ljudskog potencijala; Fizička sigurnost i sigurnost okruženja; Upravljanje komunikacijama i operacijama; Kontrola pristupa; Nabava, razvoj i održavanje informacijskih sustava; Upravljanje sigurnosnim incidentom; Upravljanje kontinuitetom poslovanja; Sukladnost. Procjena i obrada rizika predstavlja uvodnu klauzulu koja nas uvodi u normu predstavljanjem rizika, njegove procjene i obrade. Klauzula se sastoji od dvije glavne sigurnosne kategorije: Procjenjivanje sigurnosnih rizika i Obrada sigurnosnih rizika. Procjenjivanje rizika uključuje prepoznavanje, prepoznavanje, kvantificiranje i razvrstavanje rizika po prioritetima. Može se primijeniti više puta da bi se obuhvatili različiti dijelovi organizacije ili pojedinačni informacijski sustavi. Sadrži analizu rizika i vrednovanje rizika.
Prije nego što se krene na obradu rizika, organizacija treba odrediti kriterij za određivanje prihvatljivosti rizika. Rizik se može prihvatiti ukoliko je procijenjeno da je mali ili da trošak obrade nije isplativ za organizaciju. Neki od načina obrade rizika su: primjena odgovarajućih kontrola za smanjenje rizika, svjesno prihvaćanje rizika, izbjegavanje rizika na način da se ne dozvoljavaju akcije koje bi izazvale rizik i prijenos rizika na druge strane (osiguravatelji ili dobavljači)
41. Što sve smatramo pod pojmom „politika sigurnosti“IS Politika informacijske sigurnosti u kompaniji je dokument kojim kompanija izražava odlučnost i spremnost zaštite cjelokupne informacijske imovine u pogledu njezinog integriteta, povjerljivosti i raspoloživosti , te pravnih i poslovnih interesa organizacije. Načela Politika informacijske sigurnosti u kompaniji provodit će se kroz aktivnosti vezane za sigurnost (politike, standarde, pravilnike, postupke, upute, obrasce) kao i proces kontrole njihove primjene na svim razinama kompanije 42. Što su kontrole u okviru normi ISO 27002?
43. Zašto je danas potrebna informacijska sigurnost? Pošto se funkcionalnost poslovnih sustava sve više oslanja na informacijsku potporu, ta velika ovisnost o podacima, informacijama i komunikaciji traži odgovarajuću razinu osiguranja temeljnih pretpostavki organizacijskog djelovanja djelovanja sustava. U tome leži temeljeni razlog potrebe izgradnje sustava sigurnosti informacijskog sustava čija funkcionalnost ovisi o integritetu informacijskog sadržaja, njegovoj točnosti, nepromjenjivosti upisanog sadržaja, ali i stalnoj dostupnosti. Zato je potrebno izgraditi sustav sigurnosti koji će odgovoriti na sve postavljene zahtjeve, a istovremeno neće biti prepreka primjeni u pretpostavljenim uvjetima. 44. Koje su obveze uprave prema informacijskoj sigurnosti Obveze uprave su često kritičan faktor. Uprava mora m ora brinuti o: • donošenju sigurnosne politike, • ostvarenju sigurnosnih planova i ciljeva, • dodjeljivanju uloga (engl. roles) i obveza, • komunikaciji o važnosti informacijske sigurnosti, • odlučivanju o razini prihvatljivog rizika, • ispitivanju upravljanja. Uprava treba : • osigurati uspostavu, implementaciju i održavanje ISMS-a, • osigurati poboljšanje efektivnosti ISMS-a, • osigurati da procedure ISMS-a ispunjavaju sigurnosne zahtjeve, • osigurati da se ispoštuju i spoštuju zakonske, zakonske, propisne i ugovorne obveze, • osigurati adekvatnu sigurnosnu razinu primjenom sigurnosnih kontrola, • brinuti o rezultatima ispitivanja sustava, te poduzimanju odgovarajućih mjera u skladu s rezultatima ispitivanja. Uprava mora upravljati ispitivanjem ISMS-a. Rezultati ispitivanja ISMS-a daju odgovor na pitanje o adekvatnosti adekvatnosti i efektivnosti sustava. Ulazne informacije pri ispitivanju sustava su obavljeni pregledi sustava, poduzete korektivne i preventivne mjere, preporuke za poboljšanje sustava, te nove tehnologije i procedure. Rezultati ispitivanja ISMS-a su napravljene korekcije i poboljšanja, te pribavljeni resursi, ukoliko su bili potrebni. Kontinuirani napori pri poboljšanju sustava (čak i ako nema novih zahtjeva) su ključ uspjeha sustava upravljanja.
45. Što je to sporazumi o povjerljivosti i s kim se sve mora potpisati? Sporazumi o povjerljivosti ili o neotkrivanju podataka koriste se kako bi se dalo do znanja da je neka informacija povjerljiva ili tajna. Uposlenici bi trebali potpisati takav sporazum kao dio ugovora o radu. Povremeno osoblje i korisnici s treće strane koji nisu obuhvaćeni takvim ugovorom, moraju potpisati sporazum o povjerljivosti prije nego što dobiju pristup računalnoj tehnologiji. Sporazume o povjerljivosti treba pregledavati kada nastupe promjene u uvjetima zapošljavanja ili sklapanja ugovora, naročito kada radnici napuštaju organizaciju ili kada ugovori ističu
46. Kada i zašto se mora provoditi nezavisna provjera informacijske sigurnosti?
47. Što sve čini rizike ri zike koji se odnose na vanjske suradnike? Iako mnoge kompanije imaju svoje interno odjeljenje za održavanje opreme, postoje situacije kada se pristup sustavu mora dopustiti osobama iz drugih tvrtki zbog servisiranja, održavanja, konzultacija ili obuke. Bitno je da u tom slučaju u ugovorima s vanjskim tvrtkama donesemo odredbe kojima se vanjski partneri obvezuju na poštivanje sigurnosnih pravila. Ako se podaci mogu klasificirati kao tajna, potrebno ih je privremeno ukloniti sa sustava prije nego osoblje koje nije zaposleno u kompaniji dobije pristup sustavu za obavljanje posla. Ukoliko se pokaže potreba za suradnjom s osobama koje nisu zaposlenici ustanove, administrator je dužan poduzeti sve potrebne mjere sigurnosti kako bi informacijski informacijski sustav ostao zaštićen. Ovisno o vrsti suradnje, administrator je dužan: •
Administrator Administrator prije suradnje mora provjeriti da li su potencijalni potencijalni suradnici, suradnici, tj. firma koju oni
predstavljaju, predstavljaju, imali u prošlosti incidente vezane za sigurnost informacijskih informacijskih sustava Ukoliko se sklopi ugovor o suradnji, suradnji, u ugovoru mora biti jasno definirano tko je odgovoran za bilo
•
kakvu štetu počinjenu radom suradnika U ugovoru također mora biti jasno definirano koje ovlasti imaju suradnici, tj. što smiju, a što ne
•
smiju raditi •
U ugovoru mora biti definirano na koji način će suradnici podmiriti eventualno nastalu štetu
•
Administrator Administrator je dužan voditi voditi bilješke o tome tko tko je i kada imao pristup pristup informacijskom informacijskom sustavu
•
Administrator Administrator je dužan provjeravati provjeravati da li suradnici suradnici poštuju svoje ovlasti, tj. da li obavljaju obavljaju radnje
koje nisu ugovorene
48. Što je to vlasnik informacijske imovine i kako ga definirati? Vlasnik je odgovorna osoba koja se mora ponašati prema opremi na propisani način 49. Kako se osigurava sigurnost ljudskog potencijala? Potencijalne uposlenike treba pažljivo provjeriti (stavak 6.1.2), naročito ako kandidiraju za osjetljive poslove. Svi radnici i treće stranke koje koriste informatičku opremu trebaju potpisati sporazum o čuvanju povjerljivosti informacija.
Provjeru stalnog osoblja treba načiniti već kod prijave za posao. U taj postupak treba uključiti sljedeće kontrole: a) dostupnos dostupnostt zadovoljava zadovoljavajućih jućih preporuk preporuka, a, poslovnih poslovnih i osobnih b) provjera provjera (zbog (zbog potpunosti potpunosti i točnosti) točnosti) životop životopisa isa kandidata kandidata c) potvrda potvrda stečenih stečenih akade akademskih mskih i profesio profesionalnih nalnih kvalifi kvalifikacij kacija a d) neovisna neovisna provjera provjera identitet identiteta a (putovnica (putovnica ili sličan sličan dokument) dokument) Organizacija treba istražiti i kreditnu sposobnost kandidata, ukoliko posao za kojeg se kandidira uključuje pristup računalnoj tehnologiji pomoću koje se rukuje osjetljivim informacijama. Tu vrstu provjere treba za osoblje na visokim pozicijama ponavljati u određenim razmacima Sporazumi o povjerljivosti ili o neotkrivanju podataka koriste se kako bi se dalo do znanja da je neka informacija povjerljiva ili tajna. Uposlenici Uposlenici bi trebali potpisati takav sporazum kao dio dio ugovora o radu U ugovoru o radu treba biti naznačena odgovornost radnika za sigurnost informacija. Gdje je prikladno i potrebno, te odgovornosti moraju vrijediti i neko vrijem nakon završetka ugovora o radu. Potrebno je navesti akcije koje će se poduzeti ako radnik zanemari sigurnosne zahtjeve
50. Kako definirati granice fizičkog sigurnosnog prostora? Fizička zaštita se može ostvariti stvaranjem nekoliko fizičkih fi zičkih barijera oko poslovnog prostora i jedinica za obradu informacija. informacija. Poslovni sustavi trebaju koristiti područja fizičke sigurnosti sigurnosti kako bi zaštitili područja koja sadrže računalnu tehnologiju (stavak 7.1.3). Potrebno je razmotriti slijedeće smjernice i kontrolne mehanizme, te ih implementirati prema potrebi: a) područje područje fizičke fizičke sigurno sigurnosti sti treba treba biti jasno jasno definiran definirano o b) područje područje fizičke fizičke sigurnost sigurnostii zgrade mora biti biti čvrsto i kontinuiran kontinuirano, o, tj. bez prekida prekida u barijeri, gdje su moguće m oguće lake provale (npr. kontrolnim mehanizmima, rešetkama, alarmima, bravama, …). c) potrebno potrebno je imati područje područje recepcije recepcije ili neki neki drugi način fizičke fizičke kontrole kontrole pristupa pristupa zgradi. zgradi. Pristup zgradama i lokacijama treba biti bi ti ograničen samo na ovlaštene osobe. d) fizičke fizičke barijere barijere se trebaju, trebaju, u slučajne potrebe potrebe,, protezati protezati od poda do stropa, stropa, kako bi se spriječilo neovlašteno ulaženje i kontaminacija iz okoline, kao u slučaju požara ili poplave e) sva požarna požarna vrata vrata u području fizičke fizičke sigurnos sigurnostiti moraju biti opremljen opremljena a alarmima i moraju moraju se čvrsto zatvarati 51. Na koje se sve načine može ostvariti kontrole fizičkog pristupa? Fizička zaštita podatkovnog sadržaja obuhvaća zaštitu računalne opreme, programa i datoteka od uništenja, neovlaštenog mijenjanja sadržaja, požara, poplave, potresa, eksplozije, krađe i divljaštva i slično... U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno. Iz područja građevinarstva moguće je napraviti 3 sloja fizičke zaštite: 1. građevins građevinske ke prepreke prepreke kao što su zid ili ili ograde ograde 2. zidov zidovi,i, prozor prozorii i vrata same same građe građevin vine e 3. odgovara odgovarajuće juće vitrine vitrine i trezori u koje se odlažu odlažu potrebni potrebni sadržaji sadržaji ili materijalni materijalni nositelji nositelji Kod kontrole fizičkog pristupa radi se o zaštiti sigurnosnih područja pomoću kontrola ulaza koje osiguravaju pristup samo ovlaštenim osobama. Potrebno je razmotriti sljedeće smjernice: 1. potrebno potrebno je zapisati zapisati datum i vrijeme vrijeme ulaza i odlaska odlaska posjetite posjetitelja lja i nadzirati nadzirati sve posjetitelje posjetitelje,, potrebno je dozvoliti pristup samo za ovlaštene namjene; 2. pristu pristup p područ područjima jima u kojima kojima se pohran pohranjuj juju u osjet osjetljiv ljive e informa informacij cije e treba treba ograni ograničit čitii samo samo na ovlaštene osobe i kontrolirati ih putem kontrolne kartice i PIN-a;
3. svi zaposleni zaposlenici ci i posjetitelji posjetitelji trebaju nositi nositi neki oblik oblik vidljive vidljive identifikacij identifikacije; e; 4. prava na pristup pristup treba treba sigurnosnim sigurnosnim područjima područjima trebaju trebaju se redovito redovito provjeravati provjeravati i obnavljati obnavljati itd. [Međunarodna norma ISO/IEC 17799, str. 33]
52. Kako odabrati i osigurati smještaj opreme? Računalni centar se može zaštititi zaštititi tako da se učini što nepristupačnijim. nepristupačnijim. Prostorija s ključnom opremom treba imati samo jedan ulaz koji mora biti zaključan i nadziran. Izlaz u nuždi treba moći otvoriti samo iznutra i treba uvijek biti zatvoren. Također treba nadzirati i otvore sustava za klimatizaciju,, te je potrebno udvostručiti vodove električne energije i komunikacije. Računala trebaju biti smještena na prvom katu zbog poplave ili eksplozija koje mogu pasti na krov, te mora biti smješten u središnjoj prostoriji koja nema vanjskih zidova, već je okružena npr. Uredima. 53. Kako ostvariti sigurno odbacivanje ili ponovno korištenje opreme? Jedinice za pohranu koje sadrže osjetljive informacije treba ili fizički uništiti ili na siguran način obrisati postojeće informacije, a ne koristiti standardne funkcije za brisanje. Sve dijelove opreme koji sadrže medije za pohranu (poput tvrdih diskova) treba provjeriti kako bi se osiguralo da se prije rashodovanja uklonilo sve osjetljive informacije i sav licencirani softver. Prilikom oštećenja uređaja za pohranu podataka s osjetljivim podacima treba kroz procjenu rizika odrediti da li će se uređaj uništiti, popraviti ili odbaciti.
54. Koje su mjere kontrole za zaštitu od zloćudnog koda? Zaštita od malicioznog softvera se treba temeljiti na sigurnosnoj svijesti, te na prikladnim kontrolama za pristup sustavu i upravljanje promjenama. Potrebno je razmotriti slijedeće kontrolne mehanizme: a) formalna politika koja zahtijeva poštivanje softverskih licenci i zabranjuje uporabu neovlaštenog softvera (stavak 12.1.2.2) b)
formalna politika za zaštitu od rizika (uključujući i zaštitne mjere koje treba poduzeti) povezanih sa pribavljanjem datoteka i softvera od ili preko vanjskih mreža, ili bilo kojeg drugog medija (stavak 10.5, posebno 10.5.4 i 10.5.5)
c)
instal instalac acija ija i redo redovit vita a nado nadogra gradnj dnja a anti antiviru virusni snih h soft softver vera a za detek detekcij ciju u i poprav popravak ak,, radi radi pregleda računala i medija – bilo kao mjera predostrožnosti, bilo kao dio svakodnevne rutine
d)
provođenje redovitih pregleda softvera i podatkovnih sadržaja u sustavima za podršku kritičnim poslovnim procesima. Prisutnost bilo koje neodobrene datoteke ili bilo kojeg neodobrenog dodatka treba formalno istražiti.
e)
provjera svih datoteka prije korištenja radi virusa na elektroničkim medijima sa nepoznatim ili neovlaštenim izvorom, ili datoteka primljenih preko nesigurnih mreža
f)
pregled svih pridodanih datoteka elektroničkoj pošti i svih datoteka skinutih sa mreža prije korištenja, radi provjere malicioznog softvera. Te provjere se mogu obavljati na različitim mjestima, npr. na serverima za elektroničku poštu, stolnim računalima ili na ulasku u organizacijsku mrežu
g)
postupci upravljanja i odgovornosti za zaštitu od virusa u sustavima, treniranje korištenja, izvješćivanje i oporavak od napada virusa (stavci 6.3 i 8.1.3)
h)
prikladni planovi poslovnog kontinuiteta za oporavak od napada virusa, uključujući sav potrebni backup podataka i softvera, te sporazume o oporavku (članak 11)
i)
postupci za provjeru svih informacija vezanih uz maliciozni softver, te za osiguravanje da su obavijesti o upozorenjima točne i informativne. Manageri trebaju osigurati da se za razlikovanje obmana i stvarnih virusa koriste kvalificirani izvori, poput uglednih časopisa, pouzdanih Internet stranica ili dobavljača antivirusnog softvera. Osoblje treba biti svjesno problema postojanja obmana i lažnih l ažnih opasnosti, te mora znati kako reagirati u takvim situacijama
55. Koje su smjernice norme ISO27002 u odnosu na elektroničku trgovinu? Potrebno je osigurati sigurno on-line poslovanje i korištenje elektroničkih povezanih usluga. Potrebno je zaštititi informacije uključene u elektroničku elektroničku trgovinu preko javnih mreža od prijevara, prijevara, osporavanja ugovora, neovlaštenog otkrivanja i promjene. Aktivnosti elektroničke trgovine između partnera trebaju biti podržane dokumentiranim sporazumom koji obvezuje obje strane na dogovorene uvjete prodaje. Elektronička trgovina može koristiti sigurne načine provjere vjerodostojnosti, npr. kriptografija javnim ključem i digitalni potpisi kako bi se smanjili rizici. 56. Koje su smjernice norme on-line transakcije? Važno je i zaštititi informacije u on - line transakcijama da bi se spriječio nekompletan prijenos, pogrešno usmjeravanje, neovlaštene neovlaštene promjene informacija itd. Također je potrebno osigurati cjelovitost informacija dostupnih na javno dostupnom mjestu radi sprečavanja neovlaštene promjene. 57. Koje su politika kontrole pristupa? Kako bi se spriječila bilo koja od mogućih štetnih radnji korisnika važno je osigurati da korisnik ima samo određene funkcije nad određenim podacima. U skladu sa svojim potrebama za obavljanje posla, korisnik dobiva prava od administratora informacijskog sustava na korištenje samo određenih podataka. Također mu se nad određenim podacima definiraju procedure koje smije koristiti (npr. korisnik smije pregledavati samo svoje podatke, zaposlenik kompanije smije čitati (ali ne i mijenjati odnosno brisati) samo one zapise koje je sam kreirao). Naravno da ovak ovako o rest restri rikt ktiv ivne ne mjer mjere e nisu nisu potr potreb ebne ne u svim svim komp kompan anijijam ama, a, ali ali u onim onima a gdje gdje je povj povjer erlji ljivo vost st,, inte integr grite itett i dost dostup upno nost st poda podata taka ka pres presud udna na za posl poslov ovan anje je,, svak svakak ako o su preporučljive. Budu Budući ći se ovo ovo prav pravililo o sigu sigurn rnos osne ne poli polititike ke ne odno odnosi si na kori korisn snik ike e sust sustav ava, a, već već na administratore, može biti stručno i vrlo detaljno opisano tko sve i na koji način smije imati pristup podacima.
58. Kako se provodi upravljanje korisničkim zaporkama? Sustav mora definirati kakvog oblika moraju biti lozinke (npr. određivanjem minimalne duljine lozinke, zatim da lozinka sadrži neki od posebnih znakova itd.). U nastojanju da se što više oteža otkrivanje lozinki, korisnici se moraju držati sljedećih sljedećih pravila:
Za lozinku se ne smije koristiti riječ iz rječnika. Sve takve riječi lako je pogoditi. Također se moraju izbjegavati imena, riječi iz drugih jezika itd. Za lozinku zabranjeno je koristiti imena iz obitelji, prijatelja, datuma obljetnica (npr. rođendani), telefonski telefonski brojevi, registracije automobila... automobila... Treba koristiti i velika i mala slova na operacijskim sustavima koja su na njih osjetljiva (Unix, Linux) U lozinkama umjesto nekih slova treba koristiti i brojeve. Primjer: umjesto i – 1, umjesto E – 3 itd. Po mogućnosti uvrstiti simbole poput %,&,#,?,+
Lozinku izvesti iz nečeg lako pamtljivog! Nije dobro koristiti lozinku tipa „ht5Ioa9&s2“ jer ju je teško zapamtiti i nužno ju je negdje napisati. Zato je potrebno odrediti lozinku u obliku nečeg pamtljivog, s tim da ju „kriptiramo“. Primjer: Odabere se hint automobil koji potom „kriptiramo“ u Aut0mOb1& Aut0mOb1& i to koristimo za lozinku. Nikad se nikome ne smije reći lozinka niti se smije dopustiti ikome da se prijavi s našom lozinkom na sustav.
Na korisn korisnici icima ma je takođ također er obave obaveza za provo provodit ditii potre potrebn bne e prom promjen jene e lozin lozinki ki jedno jednom m u određ određen enom om vremenskom razdoblju. Gdje je moguće, korisnici će automatski biti obaviješteni o potrebi promjene lozinke. Operacijski sustav potrebno je podesiti tako da ne dopušta mijenjanje samo jednog znaka unutar lozinke ili da za lozinku odredimo lozinku koja je već korištena na sustavu.
59. Što su politike praznog stola i praznog zaslona? Potrebno je razmotriti slijedeće kontrolne mehanizme: m ehanizme: a) ako je moguće, moguće, papiri i računalni računalni mediji mediji trebaju trebaju biti pohranjeni pohranjeni u ormarićima ormarićima na zaključa zaključavanje vanje kada se ne koriste, a naročito nakon radnog vremena b) kada nisu potrebne, osjetljive osjetljive i kritične poslovne informacije trebaju trebaju biti pod ključem (idealno (idealno – u vatro otpornom sefu ili ormaru), naročito kada su uredi prazni c) osobna računala, računala, terminali i pisači ne smiju ostati prijavljeni u sustav, sustav, ako nisu pod nadzorom, a kada nisu u uporabi, trebaju biti zaštićeni kroz mehanizme zaključavanja, zaključavanja, lozinke ili druge kontrole d) potrebno je zaštititi zaštititi nenadzirane uređaje za faks i teleks, teleks, te mjesta za prijem i slanje pošte e) uređaji za fotokopiranje trebaju trebaju biti zaključani zaključani (ili na neki drugi način način zaštićeni zaštićeni od neovlaštenog neovlaštenog korištenja) izvan uobičajenog radnog vremena f) osjetljive osjetljive ili ili povjerljiv povjerljive e informacije informacije treba pokup pokupiti iti iz pisača pisača odmah odmah po po ispisu ispisu
60. Koje su politike uporabe kriptografskih kontrola? Organizacija treba razviti politiku o korištenju kriptografskih kontrola za zaštitu svojih informacija. Takva je politika potrebna zbog maksimizacije koristi i minimizacije rizika korištenja kriptografskih tehnika, te zbog izbjegavanja neprikladne i pogrešne uporabe iste. Pri likom razvoja politike treba razmotriti slijedeće: a) managerski pristup prema prema korištenju kriptografskih kriptografskih kontrola kroz cijelu organizaciju, organizaciju, uključujući opće principe za zaštitu poslovnih informacija b) pristup upravljanju ključevima, ključevima, uključujući metode metode za postupanje postupanje pri oporavku enkriptiranih enkriptiranih informacija u slučaju gubitka, oštećenja ili kompromitacije ključeva c) uloge i odgovornosti, odgovornosti, npr. tko tko je odgovoran odgovoran za: 1) implementaciju politike 2) upravljanje ključevima 3) određivanje prikladne razine kriptografske zaštite d)
standa standarde rde za efek efektiv tivnu nu impl impleme ementa ntaciju ciju kroz kroz cijel cijelu u orga organiz nizac aciju iju (koj (koje e se se rješ rješenj enje e koris koristiti za koji poslovni proces)
61. Kako se ostvaruje upravljanje ključevima? Sustav upravljanja ključevima treba se temeljiti na dogovorenom skupu standarda, procedura i sigurnosnih metoda za: a) generiranje ključeva ključeva za različite različite sustave i aplikacije b) generiranje i pribavljanje pribavljanje certifikata za javne ključeve ključeve c) distribuciju ključeva korisnicima, korisnicima, uključujući i kako kako se ključevi ključevi moraju aktivirati po primitku d) pohranu ključeva, ključeva, uključujući i to kako kako ovlašteni korisnici pribavljaju pribavljaju ključeve e) promjene i nadogradnje ključeva, ključeva, uključujući pravila o tome kada i kako kako treba mijenjati ključeve f) postupanje sa kompromitiranim ključevima g) opozivanje ključeva, ključeva, uključujući i kako ih se mora povući povući i deaktivirati, npr. kada postanu kompromitirani ili kada korisnik napusti organizaciju (tada ključ treba biti i arhiviran) h) oporavak ključeva koji koji su izgubljeni ili oštećeni, i to kao dio planova poslovnog poslovnog kontinuiteta (npr. dijela koji se odnosi na oporavak enkriptiranih informacija) i) arhiviranje ključeva, npr. za arhivirane ili backupirane backupirane informacije j) uništavanje ključeva k) bilježenje i nadziranje nadziranje aktivnosti aktivnosti upravljanja ključevima ključevima Kako bi se smanjila vjerojatnost kompromitacije, ključevi moraju imati određene datume aktivacije i deaktivacije, tako da se mogu koristiti samo kroz određeno vremensko razdoblje. To razdoblje treba ovisiti o okolnostima pod kojima se kriptografske kontrole koriste i o percipiranim rizicima. Pored problema sigurnosnog upravljanja tajnim i privatnim ključevima, potrebno je razmotriti i zaštitu javnih ključeva. Postoji prijetnja da netko krivotvori digitalni potpis uz pomoć zamjene korisnikovog javnog ključa svojim javnim ključem. Taj problem se rješava korištenjem certifikata za javni ključ. Ovaj proces se najčešće najčešće obavlja od strane certifikacijskog certifikacijskog tijela, koje mora biti poznata organizacija, koja koristi prikladne kontrole i postupke kojima može dokazati traženu razinu povjerenja.
62. Procedure za kontrolu promjene elemenata IS! Kako bi se minimiziralo oštećivanje informacijskih sustava, moraju postojati stroge kontrole nad implementacijom promjena. Moraju se nametati formalne procedure za kontrolu promjena. One moraju osigurati da sigurnost i kontrolne procedure neće biti kompromitirane, da programeri koji pružaju podršku imaju pristup do samo onih dijelova sustava koji su im potrebni u poslu, te da se pribavlja formalno odobrenje za svaku promjenu. Promjene u aplikacijskom softveru mogu ostaviti posljedice na cjelokupnom operativnom okruženju. Gdje god je pr aktično, potrebno je integrirati aplikacije i procedure za kontrolu operativnih promjena (stavak 8.1.2). Taj proces mora uključiti slijedeće: a) održavanje popisa popisa dogovorenih dogovorenih razina ovlaštenja ovlaštenja b) osiguravanja da su su promjene dostavljene dostavljene ovlaštenim korisnicima korisnicima c) pregledavanje kontrola kontrola i procedura integriteta, integriteta, kako bi se osiguralo osiguralo da neće biti biti kompromitirane promjenama d) identifikacija svog računalnog računalnog softvera, informacija, informacija, entiteta u bazama podataka podataka i svog hardvera, koji zahtijevaju izmjene e) pribavljanje formalnog odobrenja odobrenja detaljnih prijedloga prije nego što se započne započne s radom na promjenama f) prije implementacije implementacije osigurati da ovlašteni korisnici prihvaćaju promjene g) osigurati provođenje implementacije implementacije tako da se se poslovanje minimalno minimalno prekine h) osiguravanje da je sistemska sistemska dokumentacija ažurirana nakon nakon završetka svake promjene, promjene, te da je stara dokumentacija arhivirana ili odbačena i) održavanje kontrole verzija verzija za za svaku svaku nadogradnju softvera
j) održavanje nadzornog nadzornog traga za sve zahtjeve za promjenama promjenama k) osiguravanje da se operativna operativna dokumentacija (stavak (stavak 8.1.1) i korisničke procedure promijene prema potrebi l) osiguranje da implementacija promjena promjena nastupi u pravo vrijeme i da ne ometa uključeni poslovni proces
63. Kako organizirati izvješćivanje o sigurnosnim događajima i slabostima? Kroz odgovarajuće kanale upravljanja potrebno je što prije i zvijestiti o sigurnosnim događajima (gubitak usluge, ljudske greške, nepravilnosti u radu hardvera ili softvera i sl.). Svi zaposlenici trebaju zabilježiti i izvijestiti o svakoj uočenoj sigurnosnoj slabosti u sustavima ili uslugama. [ Međunarodna norma ISO/IEC 17799, str. 87] U tu svrhu potrebno je utvrditi odgovornosti uprave i procedure za brz i učinkovit odgovor na sigurnosne incidente 64. Kako ostvariti upravljanje sigurnosnim incidentima i poboljšanjima? Kako bi se postigla imunost sustava na napade, važno je definirati načine postupanja u slučaju probijanja zaštite i napada na sustav. Dva su osnovna postupka u kontroliranju incidenata: 1. Vođenje Vođenje dnevnik dnevnika a (evidenc (evidencije) ije) pristup pristupa a sustavu sustavu 2. Definiranje Definiranje pravila pravila opravka opravka sustav sustava a u slučaju slučaju napada napada 65. Kako se ostvaruje prikupljanje dokaza o sigurnosnom incidentu?
66. Što je to kontinuitet poslovanja i procjena rizika u odnosu na ostvarivanje kontinuiteta poslovanja? Naime, informacijska sigurnost se brine o povjerljivosti, integritetu i dostupnosti (raspoloživosti) informacija u nekoj organizaciji. Međutim, i kontinuitet poslovanja se u prvom redu brine da su informacije dostupne onima koji ih trebaju – naime, suština kontinuiteta poslovanja jest da osigurava kontinuitet ključnih poslovnih procesa u nekoj organizaciji. Kako se svaki poslovni proces bazira na protoku informacija, tako je fokus kontinuiteta poslovanja na dostupnosti, odnosno očuvanju i oporavku vitalnih poslovnih informacija. 67. Što podrazumijevamo pod pojmom sukladnost sa zakonskim propisima? Izbjegavanje kršenja kaznenih i civilnih zakona, statutarnih, običajnih ili ugovornih obveza i sigurnosnih zahtjeva. Dizajn, operacionalizacija i korištenje informacijskih sustava mogu biti podložni statutarnim, običajnim ili ugovornim sigurnosnim zahtjevima. Potrebno je, od strane pravnih savjetnika organizacije ili kvalificiranih pravnika, potražiti savjet o specifičnim pravnim zahtjevima. Zakonske obveze variraju od zemlje od zemlje
68. Što je to penetracijsko testiranje sustava? Penetracijsko testiranje je jedna od metoda evaluacije sigurnosti r ačunalnih sustava simulirajući napad zlonamjernog korisnika (hakera). Proces uključuje aktivnu i detaljnu analizu računalnih sustava u potrazi za mogućim propustima u dizajnu, implementaciji i održavanju. Svi otkriveni propusti se na kraju testiranja navode u Izvještaju, uz ocjenu vjerojatnosti i mogućih posljedica, te prijedlozima za smanjivanje rizika. Nakon prezentacije Izvještaja ćemo odgovoriti na vaša pitanja, te zajedno sa vašim IT stručnjacima osmisliti strategiju unapređenja sigurnosti.
69. Što je SSL i zašto nam je potreban? SSL (Secure Sockets Layer ) je tehnologija za kreiranje šifrirane veze između web servera i browsera. Na taj način zaštićuju se podaci koji se prenose između browsera i web servera. SSL se najčešće koristi kod on-line trgov ina ina kako bi se zaštitio prijenos podataka o kreditnim karticama i slično. Da biste mogli koristiti tu tehnologiju na vašem web stranici potreban vam je SSL certifikat. Prenose se nezaštićeni podaci kroz zaštićene zaštićene komunikacijske kanale. kanale. Upravo to radi SSL protokol. protokol. Zaštitu ostvaruje snažnim šifriranjem, a za identifikaciju koristi poznatu tehniku: sustav javnih ključeva (Public Key Criptography ). ). Prilikom stvaranja SSL-a postavljeni su sljedeći ciljevi (po prioritetima): 1. Kriptografska zaštita (Criptographic Security ). ). SSL ostvaruje zaštitu podataka za ostvarenje sigurne veze između dva sudionika u komunikaciji. 2. Neovisnost o softveru i hardveru (Interoperability ). ). Omogućiti programerima stvaranje softvera koji implementira SSL tako da dva različita softvera mogu razmijeniti parametre šifriranja, bez međusobnog poznavanja kôda. 3. Proširivost (Extensibility ). ). Kreirati okvir unutar kojeg se mogu uklopiti nove metode šifriranja javnim i simetričnim ključem ukoliko se se za to pojavi potreba. Time se istovremeno ostvaruju dva podcilja: • •
sprečava potrebu za stvaranjem novih protokola (uz rizik njihovih mogućih nedostataka) sprečava potrebu implementacije potpuno novih metoda šifriranja
4. Relativna efikasnost ( Relative efficiency ). ). Šifriranje zna biti vrlo zahtjevno za procesor računala, posebno kada se koristi asimetrično šifriranje. Zbog toga SSL pamti (cache) komunikacijske parametre ostvarenih veza kako bi smanjio broj veza koje m ora ispočetka stvarati, čime ujedno manje opterećuje mrežu.
70. Koji su zahtjevi vezani uz sigurnost radne stanice na razini operacijskog sustava 71. Što je Phishing? Kako možemo otkriti Phishing? Phishing je jedan od oblika prijevare koji podrazumijeva skup aktivnosti kojima neovlašteni korisnici korištenjem lažnih poruka elektroničke pošte i lažnih web stranica većinom financijskih organizacija pokušavaju pokušavaju korisnika navesti na otkrivanje povjerljivih osobnih podataka kao što su JMBG, korisnička imena i zaporke, PIN brojevi, brojevi kreditnih kartica i sl. Nažalost velik broj korisnika nije upoznat s ovim tipom prijevare. Jednom kad dođu do ovih informacija, zlonamjerni korisnici se ili sami njima koriste ili ih i h prodaju kako bi došli do podataka o drugim osobama. Elektroničke poruke se obično oslanjaju na lažna web odredišta koja izgledom sasvim odgovaraju web odredištima legitimnih tvrtki. Najčešći oblici phishinga U najčešće primjere phishinga spadaju: •
•
• • •
Lažna upozorenja banaka ili drugih financijskih organizacija u kojima se od korisnika traži upisivanje osobnih podataka kako u suprotnom ne bi došlo do ukidanja računa. Prijevare sa aukcijskim web stranicama (eBay), u kojima se korisnika nagovora na uplatu određene novčane svote kako bi se kupio neki proizvod, čime korisnik zapravo, misleći da kupuje proizvod, vrši uplatu na lažni račun. Lažne poruke od administratora u kojima se traže korisnički podaci kao što su lozinke. Razne obavijesti u kojima se pokušava iznuditi novac za lažne dobrotvorne akcije. Poruke u kojima se korisnika pokušava namamiti da uplati određenu svotu novaca na lažni račun (npr. poruka o drastičnom smanjenju cijene nekog proizvoda kojeg se može kupiti samo na Internetu).
•
•
Poruke koje se pozivaju na sigurnost i zahtijevaju od korisnika otkrivanje osobnih informacija (korisnički račun, lozinku itd.) ili zahtijevaju instalaciju programa za kojeg se tvrdi da je zakrpa za pronađeni sigurnosni propust Poruke koje vas obavještavaju da ste dobili na lutriji i da trebaju Vaše osobne podatke kako bi mogli podići dobitak
Kako prepoznati phishing poruku? Prevaranti često kopiraju vizualni izgled pravih e-mail poruka banaka i drugih kompanija. U posljednje vrijeme lažne poruke su u potpunosti identične s originalnima, međutim postoje određeni detalji koji odaju prijevaru: • • •
• • • • • • •
pravopisne i gramatičke pogreške u poruci zahtijevaju se osobni podaci zahtijeva se instalacija programa za kojeg se tvrdi da je zakrpa za pronađeni sigurnosni propust lažni linkovi u poruci nekorištenje SSL i digitalnih certifikata tijelo poruke je zapravo HTML obrazac nerealna obećanja pogreške u zaglavlju elektroničke poruke poruke zahtijevaju hitan odgovor poruke ne glase na određenu osobu
72. Što je DDoS, te kako se štitimo od njega? DoS dolazi od Denial of Service, odnosno napad uskraćivanjem usluga. Radi se o vrsti napada u kojem se obično namjernim generiranjem velike količine mrežnog prometa nastoji zagušiti mrežna oprema i poslužitelji. Isti postaju toliko opterećeni da više nisu u stanju procesirati legitimni promet što na kraju ima za posljedicu da legitimni korisnici ne mogu koristiti mrežne usluge poput maila weba i sl. DDoS dolazi od Distributed Denial of Service, a radi se o obliku napada uskraćivanjem usluga u kojem su izvori zagušujućeg mrežnog prometa distribuirani na više mjesta po Internetu. Najčešće se radi o računalima na koja je prethodno provaljeno kako bi ih se iskoristilo za napad na druge mreže ili računala r ačunala na Internetu. 73. Što je LDAP i zašto je bitan LDAP (Lightweight Directory Access Protocol) je standard na Internetu koji klijentu (engl. client ) ili radnoj stanici (engl. workstation), preko TCP/IP mreže, omogućuje pregledavanje i uporabu adrese elektroničke pošte (engl. e-mail ) na LDAP poslužitelju (engl. ). On je jednostavnija inačica X.500 protokola za pristup direktoriju u modelu za server ). povezivanje otvorenih sustava. Zahvaljujući jednostavnosti, jednostavnosti, fleksibilnosti i praktičnosti omogućava izradu brzih i točnih informacijskih servisa. LDAP pruža mogućnost registriranja klijenta, ili dokazivanja identiteta čime se može potpuno ili djelomično pristupiti podacima, ili brani pristup podacima
74. Zašto nam je potrebna računalna forenzika, te koji su glavni postupci prilikom forenzičkog rada? Za podršku akcijama protiv osoba ili organizacija je nužno imati odgovarajuće dokaze. U slučaju internih disciplinskih postupaka dokazi će biti opisani internim procedurama. U slučaju da akcija uključuje zakonske mjere, bilo prekršajne bilo krivične, tada prezentirani dokazi trebaju biti usklađeni sa pravilima za prikupljanje dokaza, određenima kroz relevantne zakone ili pravilima suda kod kojeg se provodi postupak. Ta pravila općenito uključuju: a) prihvatljivost dokaza – da li ili ne dokaz dokaz može biti korišten korišten na sudu b) težinu dokaza dokaza – kvalitetu kvalitetu i potpunost dokaza c) adek adekva vatn tne e doka dokaze ze da da su kon kontro trole le pro provo vođe đene ne kor korek ektn tno o i konz konzis iste tent ntno no (tj. (tj. dok dokaz azii o procesu kontrole) kroz razdoblje u kojem su dokazi bili pohranjivani i obrađivani od strane sustava Kvaliteta i potpunost dokaza
Radi postizanja kvalitete i potpunosti, potreban je snažan dokazni trag. Općenito, takav se snažan trag može uspostaviti pod slijedećim uvjetima: a) za papirnate dokumente dokumente – originali trebaju trebaju biti sigurno pohranjeni pohranjeni i mora biti zabilježeno tko ih je pronašao, kada i tko je tome svjedočio. Svaka istraga treba osigurati da se ne manipulira sa originalima. b) za informacije na računalnim računalnim medijima – potrebno potrebno je načiniti kopije izmjenjivih medija, te informacija na tvrdim diskovima i u memoriji, kako bi se osigurala dostupnost. Potrebno je sačuvati dnevnik svih aktivnosti poduzetih tijekom kopiranja, a samom postupku netko tr eba prisustvovati i posvjedočiti. Jedna kopija medija i dnevnika trebaju biti sigurno pohranjene. Kada se incident prvi puta otkrije, ne mora biti očito da će rezultirati sudskim postupkom. Stoga postoji opasnost nehotičnog uništenja potrebnih dokaza prije nego što je uočena ozbiljnost počinjenog incidenta. Preporučljivo je u ranoj fazi bilo kakve pravne akcije angažirati odvjetnika ili policiju i zatražiti savjete o potrebnim dokazima
