Przypisy

[1] Liderman K.: Bezpieczeństwo informacyjne. WN PWN, Warszawa 2012.

[2] Podane we Wstępie odwołania dotyczą Literatury po rozdziale 1.

[3] Odbył się 15-16 czerwca 2011 r. w Wyższej Szkole Policji w Szczytnie; organizatorami były: Wydział Prawa i Administracji UWM w Olsztynie oraz Wydział Bezpieczeństwa i Administracji WSPol w Szczytnie.

[4] W rozporządzeniu MNiSW w sprawie obszarów wiedzy, dziedzin nauki i sztuki oraz dyscyplin naukowych (Dz.U. Nr 179 z 08.08.2011, poz. 1065) nauki o bezpieczeństwie zaliczono do obszaru i dziedziny nauk społecznych.

[5] Zainteresowanym polecam książkę Adama Ziaji: Praktyczna analiza powłamaniowa. Aplikacja webowa w środowisku Linux. WN PWN, Warszawa 2017.

[6] Przykładem może być dynamicznie rozwijający się rynek kryptowalut (których przedstawicielem jest np. bitcoin) oraz walut wirtualnych, które są chętnie wykorzystywane przez przestępców działających za pośrednictwem Internetu. W 2016 r. Minister cyfryzacji powołała w ramach programu Od papierowej do cyfrowej Polski grupę ekspertów do zajęcia się tematem Strumień Blockchain i kryptowaluty.

[7] TAPT - Techniczne Aspekty Przestępczości Teleinformatycznej.

[8] Ta informacja też oczywiście powinna być dobrej jakości - pojawia się tutaj problem kto kontroluje kontrolera. Przykładem takich kontrolerów dla danych są kody detekcyjno-korekcyjne oraz podpis cyfrowy.

[9] W dalszej części książki termin przetwarzanie (informacji) jest używany w znaczeniu wykonywania różnych operacji na zasobie informacyjnym, takich jak wytwarzanie, przesyłanie, przechowywanie, zmiana, niszczenie.

[10] Jakie działania w jakich okolicznościach są dozwolone, określają odpowiednie reguły (sformułowane np. w ramach modelu Biby, patrz podrozdz. 2.5).

[11] Na przykład tajność = POUFNE, integralność = TAK, dostępność = 99,999%, rozliczalność = NIE, autentyczność = TAK, niezaprzeczalność = TAK. Wymagane wartości kryteriów będą rzutowały na obligatoryjne rozwiązania techniczne. Na przykład wartości dla integralności, autentyczności i niezaprzeczalności, jak w tym przypisie, wymagają stosowania podpisów cyfrowych.

[12] W dalszej części książki termin informatyczny będzie używany zamiennie z terminem teleinformatyczny dla podkreślenia faktu, że obecnie systemy informatyczne są łączone za pomocą sieci telekomunikacyjnych w bardziej złożone struktury.

[13] Należy zwrócić uwagę, że wprowadzone określenie informacje wrażliwe ma szerszy zakres niż takie samo określenie stosowane zwyczajowo do informacji wymienionych w art. 27 Ustawy o ochronie danych osobowych [29] i o których w tym samym kontekście mówi p. 51 Rozporządzenia UE [21].

[14] Na przykład Ustawa o ochronie danych osobowych, Ustawa o ochronie informacji niejawnych oraz przepisy, w których zdefiniowano tzw. tajemnice, np. tajemnicę przedsiębiorstwa.

[15] Czasami jednak może być oczywiste, np. po oszustwie, szantażu lub przelaniu środków z konta organizacji.

[16] W polskiej wersji przetłumaczone jako Uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych (art. 25 Rozporządzenia [21]).

[17] Art. 23: Dobra osobiste człowieka, jak w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, pozostają pod ochroną prawa cywilnego niezależnie od ochrony przewidzianej w innych przepisach.

[18] Ilekroć w rozporządzeniu [19] jest mowa o: (...) 9) poufności, należy przez to rozumieć właściwość określającą, że informacja nie jest ujawniana podmiotom do tego nieuprawnionym (...).

[19] W oryginale: Personally Identifiable Information (PII) - Information that can be used to distinguish or trace an individual's identity, either alone or when combined with other information that is linked or linkable to a specific individual.

[20] Na przykład: ISO/IEC 29134: Information technology - Security techniques - Guidelines for privacy impact assessment. W czerwcu 2017 r. miała status under preparation.

[21] Wyznaczonymi np. przez odpowiednie zapisy w [20] lub zapisy art. 5 (ustępy 1a-f i 2) w [21]: Zasady dotyczące przetwarzania danych osobowych:

- zgodność z prawem, rzetelność i przejrzystość,

- minimalizacja danych,

- ograniczenie przechowywania,

- ograniczenie celu (przetwarzania),

- prawidłowość,

- rozliczalność.

[22] Brak jednoznacznej definicji wymagań zarówno dla inżyniera, jak i prawnika oznacza spór przy odbiorze pracy, tyle, że dla inżyniera to oznacza straty - bo może nie dostać swoich pieniędzy, dla prawnika zaś wręcz przeciwnie - dopiero wtedy otwierają się świetlane perspektywy zarobku!

[23] Inna definicja, podana na https://www.isaca.org/Pages/Glossary.aspx?tid=1923&char=T (dostęp: 29.04.2017) przez ISACA: Threat - anything (e.g., object, substance, human) that is capable of acting against an asset in a manner that can result in harm. Scope Notes: A potential cause of an unwanted incident (ISO/IEC 13335).

[24] Tak samo postąpiono w podstawowej publikacji NIST z tego zakresu: SP-800-53 Rev.4: Recommended Security Controls for Federal Information System. April 2013.

[25] Siły wyższe to coś, na co konkretny podmiot nie ma wpływu, np. trzęsienie ziemi, krach na giełdzie, ale też uchwalenie złego prawa przez sejm i zatwierdzenie go przez senat i prezydenta (przykładem mogą być długoletnie starania o zmianę zapisów artykułu 269b kodeksu karnego).

[26] Przestępstwem jest to, na co jest odpowiedni paragraf w kodeksie karnym. Wszystkie inne działania intruzów będą w tej książce nazywane nieuprawnionymi - w rozumieniu braku zgody właściciela zasobu, którego takie działania dotyczą.

[27] Czyli obserwacja za pomocą specjalnego oprogramowania ruchu sieciowego i zawartości przesyłanych pakietów.

[28] Przy projektowaniu systemu ochrony i analizie ryzyka należy brać pod uwagę wszystkie wymienione klasy zagrożeń. Powszechnym błędem jest patrzenie na zagrożenia wyłącznie przez pryzmat ataków (czyli jednego ze sposobów ich realizacji - omówione dalej w tym rozdziale).

[29] We wszystkich krajach badania bezpieczeństwa emisji mają charakter niejawny, np. w USA ten zakres badań i wdrożeń objęty jest niejawnym programem rządowym realizowanym od ponad sześćdziesięciu lat pod kryptonimem TEMPEST.

[30] Zwykle koszt tzw. komputera tempestowego jest ok. 10 razy większy od jego komercyjnego odpowiednika.

[31] Czy incydent, będący wynikiem realizacji zagrożenia, musi mieć negatywne skutki w postaci szkód? Uważam, że bezpośrednie szkody nie są konieczną cechą incydentu - np. zdarzenie takie jak nieuprawnione wejście do pomieszczenia nie spowodowało szkód, bo osoba która takiego wejścia dokonała, niczego nie zabrała, nie zniszczyła itp. Ale nie oznacza to, że nie zostaną poniesione szkody pośrednie, np. na wizerunku firmy ochraniającej obiekt. Reasumując, incydent zawsze jest szkodliwy, nawet gdy incydent nieprzynoszący strat zostanie zignorowany i ukryty, tj. nie będzie przeprowadzona analiza, nie zostaną wprowadzone udoskonalenia w systemie ochrony itd.

[32] Jak łatwo zauważyć, narzędzia będą wchodziły w skład zasobów niezbędnych do realizacji scenariusza z rys. 1.1.

[33] Definicja przyjęta w UE (za [23]): (...) przechowywanie, przetwarzanie i wykorzystywanie danych, do których dostęp uzyskuje się przez Internet, na znajdujących się w innej lokalizacji komputerach. Oznacza to, że użytkownicy mogą na życzenie dysponować niemal nieograniczonymi mocami obliczeniowymi, nie muszą dokonywać znacznych inwestycji kapitałowych w celu zrealizowania swoich potrzeb oraz mogą uzyskiwać dostęp do swoich danych z każdego miejsca, w którym mają połączenie z Internetem. Przykłady wykorzystania chmury to: opracowywanie dokumentów za pomocą Google Docs, udostępnianie plików przez Dropboksa, przechowywanie plików multimedialnych na iCloud Apple, uruchomienie serwera na Amazon Cloud itp.

[34] Przy tej okazji powstał nowy model biznesowy - CASB (ang. Cloud Access Security Broker) oznaczający element włączony między użytkownika usługi chmurowej a chmurę, mający za zadanie wymuszenie stosowania zasad polityki bezpieczeństwa organizacji przy dostępie do zasobów umieszczonych w chmurze. W praktyce może to być połączenie CloudSOC z zaawansowanymi mechanizmami bezpieczeństwa z zakresu DLP, kryptografii czy zarządzania tożsamością i dostępem do zasobów oferowane jako kolejna usługa użytkownikom chmury przez dostawców rozwiązań z zakresu bezpieczeństwa.

[35] Problematyka dobrze opisana w NIST SP 800-82: Guide to Industrial Control Systems (ICS) Security [33]. Patrz też rozdz. 3 w [6].

[36] Termin używany od ok. 1999 r. Internet rzeczy to koncepcja, wg której jednoznacznie identyfikowalne przedmioty mogą pośrednio albo bezpośrednio gromadzić, przetwarzać lub wymieniać dane za pośrednictwem sieci komputerowej. Do tego typu przedmiotów zalicza się m.in. urządzenia gospodarstwa domowego, artykuły oświetleniowe i grzewcze, pojazdy, technologie (urządzenia) ubieralne (ang. wearables).

[37] Według Gartnera Big Data to zbiory informacji o dużej objętości, dużej zmienności lub dużej różnorodności, które wymagają nowych form przetwarzania w celu wspomagania podejmowania decyzji, odkrywania nowych zjawisk oraz optymalizacji procesów (Laney Douglas: The Importance of 'Big Data': A Definition (ang.). Gartner (dostęp: 21.06.2012).

[38] Zagadnienie to jest jednak dostrzegane (przynajmniej na szczeblu UE) z perspektywy ochrony infrastruktury krytycznej jako tzw. efekt kaskadowy. (...) Innego rodzaju katastrofalna awaria mogłaby mieć miejsce, gdyby jedna część infrastruktury powodowała uszkodzenie innych części, wywołując szeroko zakrojony efekt kaskadowy. Tego typu awaria mogłaby się wydarzyć na skutek efektu synergii między poszczególnymi gałęziami przemysłu (za: Komunikat Komisji Rady i Parlamentu Europejskiego. Ochrona infrastruktury strategicznej w walce z terroryzmem. COM(2004) 702 końcowy).

[39] Każda z wymienionych sieci może być w taki sam sposób formalnie opisana przy użyciu pojęć z teorii grafów i sieci, takich jak: graf, łuk, gałąź, wierzchołek, funkcja opisująca. Różnice dotyczą wyłącznie interpretacji praktycznej opisu formalnego, np. funkcja opisująca na gałęziach może opisywać przepływ pakietów w sieci teleinformatycznej lub ruch samochodów w sieci dróg krajowych.

[40] Przykładem dobrze ilustrującym przedstawiony wniosek jest pożar mostu Łazienkowskiego w Warszawie z połowy lutego 2015 r. Nie był to najprawdopodobniej atak (nie są mi znane ustalenia prokuratury na ten temat), tylko ludzka niefrasobliwość i zbieg różnych okoliczności, niemniej skutek ataku mógłby być taki sam. Z powodu działania ognia został zniszczony element sieci drogowej. Ten element był także nośnikiem sieci teleinformatycznej (łączy światłowodowych). Skutkiem działania ognia było (do końca 2015 r.) uniedostępnienie części sieci drogowej oraz poważne perturbacje w ruchu drogowym na terenie Warszawy. Dodatkowym skutkiem była czasowa (w niektórych przypadkach do kilku godzin) przerwa w transmisji danych przez część sieci teleinformatycznych z terenu Warszawy - tych, których łącza światłowodowe były położone na moście Łazienkowskim.

[41] Na przykład w usługach świadczonych dla jej klientów.

[42] Czasami można spotkać się z poglądem, że to, co ujęto w definicji 1.4, to słabość (ang. weakness), która staje się podatnością dopiero wtedy, gdy będzie znany sposób jej wykorzystania (np. zostanie opracowany eksploit - patrz p. 1.2.2.2).

[43] Przy czym chodzi tu nie tyle o awarie sprzętowe (np. przepalenie kondensatora na płycie głównej komputera), co o błędy w konfiguracji sprzętu - podatności sprzętowe będą poszukiwane głównie w plikach konfiguracyjnych.

[44] PN-ISO/IEC 27000:2014-1: Technika informatyczna. Techniki bezpieczeństwa. Systemy zarządzania bezpieczeństwem informacji. Przegląd i terminologia.

[45] Na tej stronie są podane także aktualne ceny eksploitów.

[46] www.scap.nist.gov. Termin "protokół" jest tutaj użyty do nazwania zestawu specyfikacji związanych z formatami danych i nazewnictwem, a nie w znaczeniu nadanym przez Internet Engineering Task Force (IETF).

[47] W czasie przygotowywania tej książki, tj. na początku 2017 r.

[48] Asset Identification nie jest w zasadzie formatem raportowania, ale w SCAP jest używany jako podstawowy sposób identyfikacji zasobów, które są potem opisywane w odpowiednich raportach.

[49] Niestety, w języku polskim nie ma dobrego terminu na oddanie znaczenia angielskiego słowa enumeracja. Zbliżonymi znaczeniowo są wyliczanie i wymienianie.

[50] CCE dotyczy jedynie konfiguracji oprogramowania. Zalecenia dotyczące konfiguracji sprzętu nie są wspierane.

[51] Aktualna (2017 r.) wersja 3.0 - patrz: https://www.first.org/cvss. CVSS jest stosowany m.in. w katalogach błędów (CVE) oraz przez producentów komercyjnych skanerów podatności (np. Qualys).

[52] W styczniu 2017 r. było to 48 organizacji. Głównym podmiotem zarządzającym CVE jest korporacja MITRE działająca jako tzw. CVE Editor and Primary CNA.

[53] Błędy, omyłki, wady, usterki - dokładniejsze wyjaśnienia w podrozdz. 5.2.

[54] Często zachęconych do takich poszukiwań nagrodami fundowanymi przez producenta tego oprogramowania za każdą wykrytą i zgłoszoną mu podatność.

[55] Czyli jest to szantaż.

[56] Chyba, że są to grupy badawcze pracujące na rzecz wojska lub służb specjalnych - wtedy odkrycie nie jest ani zgłaszane, ani upubliczniane, a odkryta podatność może zostać wykorzystana np. do inwigilacji internautów.

[57] W CVE nazywanych prerequisities.

[58] Ale uwaga! Zdarzało się, że "ciemna strona mocy" podszywała się pod jasną, a poprawka okazywała się koniem trojańskim.

[59] Na przykład 11 kwietnia 2017 r. poinformowano o wykryciu podatności w Google Chrome. Podatność ta została oznaczona identyfikatorem CVE-2013-6647. Szczegóły techniczne są znane, ale exploit nie jest dostępny - oferowano za niego od 25 tys. do 100 tys. USD - https://vuldb.com/pl/ (dostęp: 25.04.2017).

[60] W przypadku eksploitów lokalnych wykrywaniem zajmują się programy AV na komputerach-celach: personal firewalls i monitory plików.

[61] Obecnie będących zwykle częścią IPS (ang. Intrusin Prevention Systems).

[62] W języku angielskim jako synonimy są używane określenia: safeguards, security controls i countermeasures.

[63] Nazywane dalej zabezpieczeniami organizacyjnymi.

Wstęp

Na pytanie, dlaczego książka ma tytuł "Bezpieczeństwo informacyjne" można przytoczyć wyjaśnienie zamieszczone we wstępie poprzedniczki tej książki[1], które nic nie straciło na aktualności:

"(...) bo jest to ta dziedzina działalności człowieka, której znaczenie w ostatnim czasie gwałtownie rośnie. Jest to jednocześnie dziedzina chyba tak stara, jak sam człowiek, który od zarania swojego istnienia był skazany na zdobywanie informacji (np., gdzie znajdują się zasoby pożywienia i wody), jej ocenę (czy członek plemienia, który podał taką informację, jest wiarygodny i czy ta informacja może być przydatna) oraz jej ochronę (przez tworzenie kręgów "wtajemniczonych" wojowników i szamanów, jej utrwalanie najpierw w przekazach ustnych, a potem także pisemnych itd.). A zatem informacja i działania mające na celu jej wykorzystanie i ochronę towarzyszyły człowiekowi od zawsze, ale w ostatnich latach wraz z coraz szybszym rozwojem techniki i związanymi z tym zmianami cywilizacyjnymi nabrały szczególnego znaczenia.

Po pierwsze, rozwój elektroniki spowodował, że pojawiła się "elektroniczna postać informacji", która może być łatwo i szybko przetwarzana, przesyłana i przechowywana. Do przesyłania takiej informacji służą sieci teleinformacyjne ewoluujące obecnie w kierunku jednej homogenicznej sieci obejmującej cały glob - Internetu, do przetwarzania i przechowywania - węzły sieci z ulokowanymi w nich zasobami przechowującymi i przetwarzającymi informację (od pojedynczych domowych komputerów po centra danych). Po drugie, z powodu wymienionego wyżej, ilość dostępnej informacji gwałtownie rośnie i niezbędna staje się jej selekcja i ocena pod względem szeroko rozumianej jakości. Po trzecie, dostęp do właściwej informacji we właściwym czasie daje przewagę w wyścigu po dobra materialne, władzę i pieniądze.

Wymienione trzy czynniki w połączeniu z rozpowszechnieniem urządzeń dostępowych (takich jak telefony komórkowe różnej klasy i typów oraz przenośne komputery typu tablet czy notebook), z powstaniem tzw. sieci społecznościowych (Facebook, Twitter itp.) oraz coraz częstszym wykorzystywaniem sieci publicznych jako medium do przesyłania informacji dla systemów przemysłowych spowodowały, że informacja stała się istotnym czynnikiem decydującym nie tylko o wiedzy, władzy czy bogactwie, ale także o bezpieczeństwie nie tylko pojedynczych ludzi czy organizacji, ale całych państw. Dlatego czynione są wysiłki zarówno w skali ponadpaństwowej, jak Unia Europejska, jak i w skali pojedynczych państw, w tym także Polski, opanowania tej swoistej eksplozji informacyjnej tak, aby informację można było skutecznie kontrolować i zapewnić jej odpowiednią jakość. Osiągnięcie tych celów wymaga skoordynowanych działań legislacyjnych, organizacyjnych i technicznych".

W tej książce nie będę się odnosił do skuteczności osiągania celów, o których mowa na końcu powyższego cytatu, przez administrację państwa polskiego. Czytelnikowi, który chce sobie wyrobić opinię na ten temat, można polecić raporty Najwyższej Izby Kontroli [24] i [25][2]. Co do działań legislacyjnych mogę polecić zapoznanie się ze zbiorem dokumentów [26]-[28]. Wnioski co do używanego nazewnictwa, spójności i jakości merytorycznej tych dokumentów pozostawiam Czytelnikom.

Niestety, mimo upływu sześciu lat od I Ogólnopolskiego Zjazdu Przedstawicieli Nauki o Bezpieczeństwie[3] zagadnienia bezpieczeństwa informacyjnego nadal nie doczekały się formalnego uznania - z perspektywy nauki polskiej nie są dostrzegane, a postulat włączenia bezpieczeństwa informacyjnego do dyscypliny naukowej "nauka o bezpieczeństwie"[4] jako odrębnej specjalności naukowej nie został zrealizowany.

Być może przyczyną trudności ze znalezieniem miejsca w formalnej nauce dla bezpieczeństwa informacyjnego jest fakt, że jest to problematyka interdyscyplinarna. Mogłoby się wydawać, że we współczesnym społeczeństwie informacyjnym wszyscy powinni być zainteresowani informacją dobrej jakości, w szczególności informacją bezpieczną. Jednak postrzeganie tego zagadnienia przez techników i nietechników jest znacząco różne.

Ta książka jest m.in. próbą wskazania, jakie zagadnienia bezpieczeństwa informacyjnego mogą i powinny być jednakowo rozumiane przez obie ww. grupy. Taka wspólna płaszczyzna może się przyczynić do lepszego zrozumienia zagadnień, z którymi borykają się przedstawiciele grupy przeciwnej. Przede wszystkim dotyczy to lepszego zrozumienia zagadnień technicznych przez nietechników, którzy zwykle są autorami różnych ustaw, rozporządzeń, polityk i strategii.

Podstawową trudnością przy pisaniu tej książki był wynikający z ww. przyjętych założeń dobór tematów oraz sposób ich opisu. Mam nadzieję, że udało mi się to zrobić dobrze, chociaż zawsze istnieje obawa, że wybór i opis był nietrafiony - nietechnicy uznają go za zbyt techniczny, technicy za zbyt powierzchowny. Uważam jednak, że książka ta może być przydatna dla specjalistów zajmujących się, z racji wykonywanej profesji, bezpieczeństwem informacyjnym oraz dla studentów specjalności mających w nazwach takie określenia, jak "bezpieczeństwo komputerowe", "bezpieczeństwo sieci i systemów", "inżynieria bezpieczeństwa" itp., które specjalności można znaleźć na kierunkach studiów nie tylko informatycznych, ale również takich, jak "bezpieczeństwo narodowe" czy "bezpieczeństwo wewnętrzne".

Wybrane tematy są ujęte w siedmiu rozdziałach.

Rozdział 1 to wprowadzenie w problematykę bezpieczeństwa informacyjnego. Zawarte są w nim obszerne wyjaśnienia podstawowych dla tego obszaru wiedzy terminów, takich jak zagrożenie, podatność, zabezpieczenie, incydent, bezpieczeństwo informacji oraz relacje między nimi. Rozdział ten zawiera także wprowadzenie do projektowania ochrony zasobów informacyjnych.

W rozdziale 2 są opisane podstawy formalne bezpieczeństwa informacji. Oprócz Podstawowego twierdzenia bezpieczeństwa zaprezentowano w nim wybrane modele formalne jako podstawę kształtowania polityki w zakresie bezpieczeństwa informacyjnego.

Rozdział 3, podstawowy w tej książce ze względu na obowiązujący obecnie paradygmat postrzegania działalności biznesowej przez pryzmat ryzyka z nią związanego, dotyczy zarządzania ryzykiem na potrzeby bezpieczeństwa informacyjnego. Zaprezentowano w nim metodę ilościową i jakościową szacowania ryzyka oraz propozycję sposobu komunikowania stanu bezpieczeństwa informacyjnego organizacji, uwzględniającego wyniki szacowania ryzyka.

W rozdziale 4, mając na względzie, że "to co nie jest spisane, nie istnieje", przedstawiłem podstawowy kanon dokumentacyjny systemu bezpieczeństwa informacji. Szczególną uwagę zwróciłem na dokumenty: polityki bezpieczeństwa i planów zapewniania informacyjnej ciągłości działania z tego względu, że ich znaczenie wykracza poza wąsko rozumianą ochronę informacji w systemach informacyjnych i, w szczególności, systemach teleinformatycznych.

Rozdział 5 obejmuje zagadnienia oceny stanu ochrony zasobów informacyjnych, przede wszystkim takich, które są przetwarzane w systemach teleinformatycznych. Ponieważ wpływ na taki zasób informacyjny ma nie tylko jego środowisko programowe (w postaci np. konkretnego systemu operacyjnego), ale także środowisko sprzętowe (stacje robocze, serwery, macierze dyskowe, łącza oraz urządzenia sieciowe, takie jak rutery i przełączniki), postanowiłem zaproponować podejście wywodzące się z diagnostyki technicznej, dające (moim zdaniem) bardziej kompleksowy pogląd na stan ochrony niż wyłącznie perspektywa programowa. W rozdziale znajduje się m.in. wprowadzenie do problematyki testów penetracyjnych oraz są przedstawione wyjaśnienia dotyczące audytu informatycznego.

Rozdział 6 zawiera przegląd uznanych norm i standardów z zakresu bezpieczeństwa informacyjnego. Wybór norm i standardów jest wyborem autorskim, mam nadzieję, że zyska uznanie Czytelników.

Rozdział 7 dotyczy oddziaływania przekazem informacji. Jest to zagadnienie bliskie nośnemu medialnie tematowi wojen informacyjnych i leży bardziej w obszarze nauk humanistycznych i socjologicznych niż technicznych. Jednak ze względu na jego oddziaływanie na poczucie bezpieczeństwa (patrz definicja w rozdz. 1) uznałem za stosowne przedstawić aktualne światowe trendy w tej dziedzinie oraz wskazać niektóre problemy techniczne związane z oddziaływaniem informacyjnym. Warto także zauważyć, że dla części osób, głównie z kręgów humanistów i socjologów, bezpieczeństwo informacyjne sprowadza się wyłącznie do zagadnienia formułowania i rozpowszechniania odpowiedniej informacji.

Na koniec wskażę zagadnienia dotyczące bezpieczeństwa informacyjnego, których w tej książce nie opisałem lub jedynie zasygnalizowałem. Te zagadnienia to:

- Przestępczość teleinformatyczna - zrezygnowałem z opisu tego zagadnienia (w tym tzw. analizy powłamaniowej jako tematyki zbyt technicznej[5]), bo jest to temat na odrębną, interdyscyplinarną książkę, obejmującą elementy prawa, kryminalistyki, socjologii, psychologii, finansów[6] oraz informatyki. Poza tym jest dostępna doskonała publikacja opisująca przestępczość w wydaniu cyber [4] oraz od 1998 r. w Wyższej Szkole Policji w Szczytnie jest organizowana coroczna konferencja dotycząca tej problematyki[7]. Jest także wydawana co roku, głównie na podstawie wygłoszonych na ww. konferencji referatów, publikacja książkowa dotycząca aktualnych zagadnień przestępczości teleinformatycznej i bezpieczeństwa informacji. Uzupełnienie zawartych w wymienionych publikacjach informacji o zapisy [34] stanowi dobrą podstawę do wyrobienia sobie poglądu na problemy związane ze współczesną przestępczością teleinformatyczną, nazywaną też cyberprzestępczością.

- Systematyczny przegląd przepisów prawa dotyczących informatyki i bezpieczeństwa informacyjnego - zrezygnowałem z opisu, bo jest to zagadnienie zbyt szybko się zmieniające i zbyt obszerne - w jego opisie należałoby uwzględnić nie tylko to, co dzieje się w prawie polskim, ale również różne wytyczne i zarządzenia Unii Europejskiej. Niemniej, w tej książce są odwołania do przepisów prawa, ale nie można tego traktować jako systematycznej analizy stanu prawnego zagadnienia "bezpieczeństwo informacyjne w RP".

- Infrastruktura krytyczna (państwa) - zrezygnowałem z opisu tego zagadnienia, bo sieci teleinformatyczne, w myśl przepisów o zarządzaniu kryzysowym, są tylko jednym z elementów takiej infrastruktury, a zasoby informacyjne, z poziomu infrastruktury krytycznej, w zasadzie nie są dostrzegane. Poza tym są dostępne dobre publikacje dotyczące tej tematyki - napisana z dużą swadą książka [9] oraz praca zbiorowa [12]. Uzupełnienie zawartych w nich informacji o zapisy [33] stanowi dobrą podstawę do wyrobienia sobie poglądu na problemy związane ze współczesną ochroną infrastruktury krytycznej państwa.

- Kryptografia, która zwykle jest łączona z bezpieczeństwem informacji - systematyczny opis tego zagadnienia wymagałby oddzielnej publikacji, a takich, napisanych przez znanych specjalistów, jest na rynku pod dostatkiem. Poza tym, z perspektywy bezpieczeństwa informacyjnego istotne są przede wszystkim zabezpieczenia kryptograficzne zasobów informacji, a nie kryptografia jako taka. Na uczelniach wyższych zagadnienia kryptografii są zwykle wykładane jako odrębny, specjalistyczny przedmiot, wymagający odpowiedniego przygotowania matematycznego studenta.

- Szczegóły techniczne związane z konfiguracją konkretnego sprzętu komputerowego i oprogramowania - nie omówiłem ich, ponieważ jest to tematyka zbyt zmienna i zbyt techniczna, żeby ją prezentować w książce, z której z założenia mają korzystać także Czytelnicy bez przygotowania technicznego. Poza tym natychmiast pojawiłby się problem, jaki konkretny sprzęt i oprogramowanie (jakiego producenta) wybrać do prezentacji.

Do książki dołączony jest opis autorskiej metodyki LP-A - metodyki wykonywania audytu bezpieczeństwa teleinformatycznego. Opis ten, w postaci załącznika, stanowi samodzielną całość i może być traktowany jako odrębny dokument. Autorzy metodyki LP-A udostępniają ją na warunkach licencji CC0 każdemu, kto zechce z niej skorzystać.

W książce zamieszczono wiele przykładów i definicji.

Z niniejszej książki można korzystać, czytając, w zależności od potrzeb, wybrane rozdziały - każdy stanowi zamkniętą całość, zakończoną spisem cytowanej lub pomocnej we własnych poszukiwaniach literatury. Niemniej moim zamierzeniem było, aby rozdziały te układały się w logiczną całość, dając Czytelnikowi, który zdecydował się ją przeczytać od pierwszej do ostatniej strony, w miarę spójną wiedzę na temat bezpieczeństwa informacyjnego.

Zdaję sobie sprawę z tego, że część zagadnień jest potraktowana powierzchownie, inna wybiórczo lub subiektywnie. Mimo to mam nadzieję, że zawarte w niej informacje będą przydatne, a czasu przeznaczonego na jej przeczytanie Czytelnik nie uzna za zmarnowany.

Na zakończenie tego wstępu chcę podziękować wszystkim osobom, z którymi dyskusje wpłynęły na ostateczną treść książki. I tak, w kolejności alfabetycznej, dziękuję:

- Panu dr. hab. inż. Andrzejowi Białasowi za konsultacje nt. standardu Common Criteria;

- Pani mgr inż. Joannie Karczewskiej, CISA, za dyskusje nt. standardu COBIT 5 i współczesnych trendów w audycie informatycznym;

- Panu prof. dr. hab. inż. Włodzimierzowi Kwiatkowskiemu za cenne rozmowy o ryzyku i sposobach przekazywania wiedzy;

- Panu pułkownikowi Andrzejowi Malikowi ze Sztabu Generalnego WP za wprowadzenie w zagadnienia Komunikacji Strategicznej;

- Panu dr. inż. Adamowi E. Patkowskiemu, współautorowi metodyki LP-A, za współpracę nad jej doskonaleniem i dyskusje o podstawach bezpieczeństwa informacyjnego.

Dziękuję również Recenzentowi za przychylną recenzję i Wydawnictwu PWN S.A. za edycję i wydanie tej książki.

Krzysztof Liderman

Warszawa, czerwiec 2017 rok

1.1. Prywatność, anonimowość, poufność, ...

Wymienione w tytule pojęcia dotyczą osób (podmiotów), o których informacja jest przetwarzana w systemach informacyjnych i najczęściej pojawiają się w powiązaniu z tzw. danymi osobowymi (w rozumieniu ustawy [29]). Maj 2018 roku to graniczny termin wprowadzenia do polskiego prawa Rozporządzenia [21] i Dyrektywy [22] - przepisów unijnych związanych z ochroną danych osobowych. Podczas opracowywania wspomnianych przepisów pojawiły się koncepcje privacy by design i privacy by default, ale dostrzeżono, że ustanawiane przepisy dotyczą ochrony danych osobowych, a nie prywatności i ostatecznie opisano to jako data protection by design and by default, czyli bez użycia słowa prywatność[16]. Jednak w trakcie różnych dyskusji, szkoleń i konferencji ww. nazwy koncepcji są powszechnie używane i mówi się o ochronie prywatności czy zapewnianiu prywatności. W kontekście tych wypowiedzi pojawiają się też często takie określenia, jak anonimowość czy poufność, zwykle w wariancie anonimizacji (np. danych osobowych) czy zapewniania poufności. Można z tego wnioskować, że obie te czynności (anonimizacja i zapewnianie poufności) są elementami zapewniania prywatności. Kłopot polega na tym, że w przepisach polskiego prawa nie ma definicji prywatności.

Przykład 1.1

W słownikach można znaleźć następujące definicje prywatności, anonimowości i poufności:

prywatny: dotyczący kogoś osobiście, czyichś spraw osobistych, stanowiący czyjąś osobistą własność; niezwiązany z żadną instytucją itp.; osobisty, niepaństwowy, nieurzędowy.

Słownik Języka Polskiego. PWN. T. 2. Warszawa. 1982

anonimowy

1. nieujawniający swego nazwiska lub nieznany z nazwiska

2. taki, którego autor lub sprawca nie jest znany

3. będący udziałem ludzi nieznanych lub niczym się niewyróżniających

- anonimowo - anonimowość

prywatny

1. stanowiący czyjąś osobistą własność

2. niepodlegający państwu ani żadnym instytucjom publicznym

3. dotyczący czyichś spraw osobistych i rodzinnych

- prywatnie - prywatność

poufny

1. udostępniany tylko niewielu osobom, wymagający dyskrecji

2. będący wyrazem zażyłości

- poufnie - poufność

Słownik PWN pod red. W. Doroszewskiego (www.sjp.pwn.pl)

Zapisy o ochronie pewnych dóbr, uważanych powszechnie za prywatne, są zawarte w przepisach polskiego prawa, m.in. w Konstytucji RP (patrz przykład 1.2) oraz kodeksie cywilnym[17]. Warto przy tym zwrócić uwagę, że w obu wymienionych dokumentach nie występuje ani nie jest zdefiniowane pojęcie prywatności - używane są natomiast takie określenia, jak dobra osobiste czy życie prywatne. Poufność z kolei występuje na przykład w rozporządzeniu [19][18] wydanym do ustawy o ochronie informacji niejawnych.

Przykład 1.2

Zapisy dotyczące ochrony życia prywatnego są zawarte w Konstytucji RP, w grupie artykułów Wolności i prawa osobiste. Najważniejsze z nich, dotyczące zagadnień z tego rozdziału, to:

Art. 47. Każdy ma prawo do ochrony prawnej życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym.

Art. 49. Zapewnia się wolność i ochronę tajemnicy komunikowania się. Ich ograniczenie może nastąpić jedynie w przypadkach określonych w ustawie i w sposób w niej określony.

Art. 51. 1. Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby.

2. Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym.

3. Każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Ograniczenie tego prawa może określić ustawa.

4. Każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą.

5. Zasady i tryb gromadzenia oraz udostępniania informacji określa ustawa.

 

Również w standardach NIST (ang. National Institute of Standards and Technology) nie ma definicji prywatności, chociaż termin ten jest używany, na przykład w wydanym w 2017 r. standardzie NISTIR 8062: An Introduction to Privacy Engineering and Risk Management in Federal Systems [39]. Nie ma w tych standardach także pojęcia danych osobowych w rozumieniu przyjętym w UE, są za to Personally Identifiable Information (PII), które to określenie należy rozumieć jako informację, która może być użyta albo samodzielnie, albo w powiązaniu z innymi informacjami, które są dowiązane lub mogą być dowiązane do określonej osoby, do zidentyfikowania tożsamości lub wyśledzenia tej osoby[19]. We wspomnianym standardzie zwraca się uwagę, że o ile konsekwencje nieautoryzowanego dostępu do PII są w miarę dobrze rozpoznane, to konsekwencje dostępu autoryzowanego (dostarczyciele usług, służby ochrony państwa, pracodawcy, podmioty administracji publicznej, takie jak służba zdrowia itp.) są gorzej rozpoznane i rozumiane. Te niewiadome w zakresie pojęć takich jak prywatność nie przeszkadzają jednak w tworzeniu norm wskazujących sposoby szacowania wpływu przyjętych rozwiązań w dziedzinie przetwarzania PII na prywatność[20].

W efekcie, w różnych gremiach dyskusyjnych mniej lub bardziej świadomie przyjmuje się, że zapewnianie ochrony danych osobowych znaczy to samo, co zapewnianie prywatności. To, co wydaje się nie budzić wątpliwości u dziennikarzy, prawników, socjologów, humanistów i specjalistów od obronności i bezpieczeństwa narodowego, może budzić wątpliwości u inżyniera, który dostał zadanie zabezpieczenia prywatności (np. pracowników jakiejś organizacji). Pytanie, które się tutaj natychmiast nasuwa, jest następujące: czy, jeżeli zabezpieczyłem zgodnie z regułami sztuki[21] dane osobowe tych pracowników, oznacza to, że zabezpieczyłem również prywatność tych osób?. Odpowiedź na to pytanie pozostawiam Czytelnikom[22].

1.2. Zagrożenia, podatności, zabezpieczenia, incydenty

Podstawowe terminy, którymi posługują się specjaliści od bezpieczeństwa informacyjnego, to: zagrożenie, podatność, zabezpieczenie i incydent. Te pojęcia są opisane w kolejnych podrozdziałach.

1.2.1. Zagrożenia

Przyjęta w tej książce definicja[23] zagrożenia (ang. threat) jest następująca:

DEFINICJA 1.2

Zagrożenie (dla bezpieczeństwa informacji) to materialny i/lub niematerialny czynnik mogący spowodować niepożądaną zmianę wymaganych wartości istotnych kryteriów jakości informacji.

W zakresie bezpieczeństwa informacyjnego tymi istotnymi kryteriami są najczęściej tajność, integralność oraz dostępność i te kryteria będą przede wszystkim uwzględniane w dalszej części książki[24]. Zagrożenia można sklasyfikować następująco:

1) siły wyższe - zjawiska i katastrofy naturalne, zmiany prawa itp.[25];

2) nieuprawnione i przestępcze[26] działania ludzi:

- podsłuchy: ruchu sieciowego (ang. sniffing[27]), emisji ujawniającej elektromagnetycznej i/lub akustycznej,

- nieuprawnione działania personelu (także: personelu zatrudnionego w ramach outsourcingu oraz praktykantów), w tym kradzieże i zagubienia nośników informacji - sprzętu i dokumentów,

- nieuprawnione działania osób postronnych (klienci, hakerzy), w tym kradzieże nośników informacji - sprzętu i dokumentów;

3) błędy ludzi uczestniczących w procesach przetwarzania informacji;

4) błędy w organizacji przetwarzania informacji;

5) awarie sprzętu i błędy w oprogramowaniu.

Przedstawiona klasyfikacja[28] nie jest oczywiście jedyną słuszną (w literaturze przedmiotu bez trudu można znaleźć inne klasyfikacje), ale taka do uporządkowania zagadnień jest przyjęta w tej książce.

Przykład 1.3

Przykładem zagrożenia z kategorii sił wyższych jest promieniowanie ujawniające (nazywane też emisją ujawniającą). Jest to niepożądana emisja elektromagnetyczna albo akustyczna urządzeń przetwarzających lub transmitujących informację, której sygnał jest skorelowany z informacją użyteczną i może być wykorzystany do jej odtworzenia. Działania potencjalnego intruza mające na celu wykorzystanie emisji ujawniającej do przejęcia informacji nazywa się infiltracją elektromagnetyczną. Promieniowanie ujawniające jest częścią szerszego problemu, tzw. kompatybilności elektromagnetycznej[29].

Kompatybilność elektromagnetyczna (ang. ElectroMagnetic Compatibility, EMC) jest to zdolność urządzenia elektrycznego lub elektronicznego do poprawnej pracy w określonym środowisku elektromagnetycznym i nieemitowanie zaburzeń pola elektromagnetycznego zakłócającego poprawną pracę innych urządzeń pracujących w tym środowisku. Oznacza to spełnienie trzech kryteriów:

1) urządzenie (system) nie powoduje zakłóceń w pracy innych urządzeń (systemów), czyli jest odporne na podsłuch emisji ujawniającej;

2) urządzenie (system) nie jest wrażliwe na zakłócenia emitowane przez inne urządzenia (systemy), czyli jest odporne na atak silnym impulsem elektromagnetycznym;

3) urządzenie (system) nie powoduje zakłóceń w swojej pracy.

Podstawowe sposoby przeciwdziałania przechwytowi emisji ujawniającej to:

1) odpowiednie rozwiązania konstrukcyjno-technologiczne urządzeń wchodzących w skład systemu (wykorzystywanie układów scalonych produkowanych do celów specjalnych, stosowanie odpowiednich obudów i specjalnych konstrukcji złączy oraz specjalnej konstrukcji oprogramowania systemowego itp.) - w wyniku powstają urządzenia o obniżonym poziomie emisji; jest to sposób kosztowny[30], stosowany wyłącznie tam, gdzie jest to niezbędne;

2) tłumienie emisji przez instalowanie urządzenia lub systemu w specjalnych kabinach lub pomieszczeniach ekranowanych (np. za pomocą specjalnych tapet);

3) wyznaczanie strefy bezpieczeństwa (tzw. podejścia lub strefy administracyjne) uniemożliwiające podejście potencjalnemu intruzowi na odległość pozwalającą na skuteczny podsłuch;

4) maskowanie elektromagnetyczne wskutek celowego wprowadzania dodatkowych sygnałów szumopodobnych lub sygnałów o strukturze podobnej do sygnałów emisji ubocznej (powoduje ona zwiększenie poziomu zakłóceń).

 

Żeby zagrożenie coś spowodowało (np. szkody w postaci zawalenia budynku, brak możliwości przetwarzania informacji), musi nastąpić jego realizacja w postaci określonego zdarzenia (np. trzęsienie ziemi, awaria komputera, zablokowanie serwera atakiem DDoS). Żeby realizacja się powiodła, musi istnieć zasób (szczegóły - patrz przykład 1.6) obarczony podatnością (szczegóły - patrz p. 1.2.2) odpowiadającą zagrożeniu (np. konstrukcja budynku nieodpowiednia dla obszaru o podwyższonej aktywności sejsmicznej, nieprawidłowa eksploatacja sprzętu komputerowego, brak monitorowania ruchu sieciowego i procedur reakcji na jego gwałtowne zwiększenie). Zdarzenie lub ciąg zdarzeń składający się na realizację zagrożenia jest nazywany zwykle scenariuszem realizacji zagrożenia, a wynikiem jest incydent[31] (z zakresu bezpieczeństwa informacyjnego - szczegóły patrz p. 1.2.4). W zwartej, procesowej formie powyższy opis ilustruje rysunek 1.1.

Rys. 1.1. Proces realizacji zagrożenia

Jedną z form realizacji zagrożenia (z klasy nieuprawnione i przestępcze działania ludzi) jest atak, który można zdefiniować następująco:

DEFINICJA 1.3

Atak na system informacyjny i informację w nim przetwarzaną to nieuprawnione, celowe działanie człowieka powodujące niepożądaną zmianę wymaganych wartości istotnych kryteriów jakości informacji.

Do wykonania ataku potrzebne są narzędzia - na przykład do ataku zdalnego przez sieć teleinformatyczną na zasoby informacyjne takim narzędziem może być botnet lub program albo kod złośliwy, do ataku fizycznego (np. kradzieży nośników informacji) być może wystarczy wytrych otwierający drzwi do pomieszczenia z kopiami bezpieczeństwa zasobów informacyjnych[32]. Niestety, częstym błędem jest utożsamianie ataku lub samego narzędzia z zagrożeniem, co może prowadzić (i zwykle prowadzi) do błędów w budowie systemu ochrony zasobów informacyjnych.

Przykład 1.4

Na jednej z wiodących stron internetowych z cyberbezpieczeństwa można było przeczytać komunikat, że ... zlikwidowano zagrożenie w postaci liczącego kilkaset tysięcy komputerów botnetu. Warto zauważyć, że większość z potrafiących czytać obywateli po przeczytaniu nagłówka z tabloidu Szaleniec poranił kobietę nożem i nadal pozostaje na wolności będzie obawiało się (tj. uzna za zagrożenie) pozostającego na wolności szaleńca, a nie noża (którego być może szaleniec już nie ma). Dlatego zlikwidowanie botnetu to tylko zabranie narzędzia komuś (ten ktoś to jest właśnie zagrożenie!), kto chce nam przysporzyć szkód. I tak jak szaleniec po wytrąceniu mu z ręki noża może sięgnąć po leżącą obok cegłę i kontynuować atak, tak były posiadacz botnetu może sobie kupić nowy lub go skonstruować albo przejść na inną formę ataku (np. za pomocą kodów i programów złośliwych). Wracając do analizy podanego na początku komunikatu - nie zlikwidowano zagrożenia, tylko uniemożliwiono wykorzystanie (i to tylko jednego, konkretnego) narzędzia. Należy dostrzec negatywne skutki takiego postrzegania rzeczywistości - zlikwidowano zagrożenie (co nie jest prawdą), więc jesteśmy bezpieczni (a to jest złudne poczucie bezpieczeństwa, spowodowane głoszeniem fałszywych informacji pod flagą specjalistów od bezpieczeństwa).

 

Należy mieć na uwadze, że w ramach przedstawionej ogólnej klasyfikacji zagrożeń przedstawionej na początku tego podrozdziału będą się pojawiały, wraz z rozwojem techniki, różne problemy, które można roboczo potraktować jako zagrożenia elementarne w ramach podanych klas. Przykłady takich współczesnych problemów to:

1) przetwarzanie w chmurze[33] (ang. cloud computing) i wykorzystanie maszyn wirtualnych - powoduje trudności z prawidłową lokalizacją i inwentaryzacją zasobów informacyjnych oraz wymuszaniem realizacji zasad polityki bezpieczeństwa organizacji przy dostępie do zasobów umieszczonych w chmurze[34];

2) łączenie sieci przemysłowych z klasycznymi informatycznymi[35] oraz łączenie sieci różnych typów - powoduje wzrost poziomu zagrożenia dla tzw. infrastruktury krytycznej;

3) pozwolenie pracownikom (przez pracodawców) korzystania, w celach służbowych, z prywatnego sprzętu komputerowego, w tym osadzania na prywatnym sprzęcie służbowych zasobów informacyjnych (ang. Bring Your Own Device, BYOD) - powoduje kłopoty z rozdzieleniem służbowego od prywatnego, trudności z nadzorem i trudności natury prawnej w przypadku sporu z pracownikiem;

4) Internet rzeczy (ang. Internet of Things, IoT)[36] - szybko rosnąca liczba obiektów włączonych w globalną sieć powoduje trudności z inwentaryzacją i nadzorem oraz związane z tym możliwości nadużyć (np. wykorzystanie elementów IoT do budowy botnetów);

5) Big Data[37] - olbrzymie ilości gromadzonych danych powodują trudności z wykonywaniem ich kopii bezpieczeństwa, z analizą śledczą oraz ochroną przed nieuprawnionym wnioskowaniem.

Przedstawiona lista na pewno nie jest kompletna. Uważam jednak, że zawiera najważniejsze aktualne problemy, z którymi już obecnie specjaliści od bezpieczeństwa muszą się mierzyć. Za najbardziej istotny, ale chyba najmniej dostrzegany i rozpoznany, uważam problem wymieniony w punkcie 2 - łączenie sieci przemysłowych z klasycznymi informatycznymi oraz łączenie sieci różnych typów[38]. Zagadnienia bezpieczeństwa wynikające z łączenia sieci przemysłowych z sieciami informatycznymi, lepiej rozpoznane, zostały już opisane m.in. w rozdziale 3 w [6]. Dalej są krótko opisane zagadnienia zagrożeń i różnych form ich realizacji (ataków) związanych z łączeniem sieci różnych typów. Termin sieć jest tu rozumiany w znaczeniu potocznym, jako sieć transportowa (drogowa, kolejowa, rzeczna), sieć transportująca media (gazowa, elektroenergetyczna, wodociągowa, kanalizacyjna, ciepłownicza) czy też sieć telekomunikacyjna (telefonii stacjonarnej, telefonii komórkowej, radioliniowa, komputerowa).

Krajowe sieci drogowe, kolejowe, rzeczne, telekomunikacyjne itd. są od dawna połączone z odpowiednimi sieciami sąsiednich państw, tworząc sieci obejmujące nieraz całe kontynenty czy też, jak w przypadku sieci telekomunikacyjnych - cały glob. Nowością jest to, że są łączone w spójny mechanizm sieci różnych typów, przekraczając przy tym często granice poszczególnych państw. Na przykład na sieć drogową jest nałożona sieć monitoringu (kamer), automatycznych punktów poboru opłat, świateł sterujących ruchem, punktów alarmowania itp., a zatem to nie jest już tylko sieć asfaltowych i betonowych dróg, ale także sprzężona z nią sieć telekomunikacyjna i sterująca ruchem. Warto zauważyć, że o ile wspomniane sprzężenie w przypadku sieci dróg to nowość, dla sieci kolejowej jest faktem od wielu lat.

Z perspektywy użytkowników takich sieci istotne jest to, że błędy, awarie lub nadużycia popełnione w jednej ze sprzężonych sieci (np. sterowania) mogą spowodować katastrofę w sieci podstawowej (drogowej, kolejowej, elektroenergetycznej itd.). Poza tym integracja różnych koncepcyjnie sieci, na przykład wykorzystanie sieci telekomunikacyjnych przez pewne grupy ludzi (powiązane siecią znajomości) do wytworzenia nowej jakościowo sieci, jaką jest sieć społeczna typu Facebook, powoduje powstanie nowych, nieznanych dotąd zjawisk, w tym takich, które mogą nieść zagrożenia dla zbiorowości ludzkich korzystających z tych sieci. Wydaje się, że te nowe zjawiska i możliwości nie są dostrzegane w różnego rodzaju politykach i doktrynach oraz jako zadania dla zespołów reagujących.

Przykład 1.5

Zakładając, że celem atakującego jest uniedostępnienie całej sieci lub jej elementów, a tym samym uniemożliwienie świadczenia przez nią usług, do których jest przeznaczona, można sformułować następujący wniosek:

Wniosek_1: atakujący może osiągnąć cel, oddziałując na elementy konstrukcyjne sieci lub (o ile występują) bezpośrednio z nią związane elementy sieci nadzorczo-sterującej.

Wniosek 1 dotyczy sieci jednego typu (tego samego), na przykład sieci elektroenergetycznej i związanej z nią sieci SCADA (ang. Supervisory Control And Data Acquisition). Ale we współczesnym, osieciowanym świecie, są możliwości interakcji między sieciami różnych typów. Na przykład na sieć drogową jest nałożona: sieć poboru opłat na jej płatnych odcinkach, sieć monitoringu miejskiego, sieć elementów sterowania ruchem (światła i tablice informacyjne), sieć społecznościowa typu yanosik itd[39].

Wniosek_2: atakujący może osiągnąć cel, oddziałując na elementy sieci innego typu, o ile występują możliwości interakcji z siecią będącą głównym celem ataku[40].

Przedstawione wnioski wskazują na duże możliwości, jakie ma potencjalny atakujący, aby osiągnąć założone cele. Zwykle nie ma on zadane, jak ma cel osiągnąć, tylko co jest celem. Jeżeli celem będzie zakłócenie ruchu kolejowego na pewnym terenie, może to osiągnąć:

1) niszcząc elementy infrastruktury kolejowej (np. tory kolejowe - atak na elementy konstrukcyjne sieci kolejowej),

2) manipulując zautomatyzowanymi elementami sterowania ruchem (np. światłami i zwrotnicami - atak na elementy sterowania sieci kolejowej),

3) powodując katastrofy drogowe na wybranych przejazdach kolejowych lub dworcach (atak na sieć innego typu - drogową i spowodowanie szkód w będącej z nią w interakcji sieci kolejowej).

 

Współczesny świat coraz bardziej się globalizuje również przez sieci różnych typów. Państwa połączone są sieciami drogowymi, kolejowymi, lotniczymi, teletransmisyjnymi, transportowymi (np. rurociągami), elektroenergetycznymi itp. Te sieci często wchodzą w różnego rodzaju interakcje, które mogą stwarzać nowe możliwości w zakresie tzw. ataków kombinowanych. Ze względu na globalizację, skutki takich ataków mogą się ujawniać także w dużych odległościach od ich źródła, a zwalczanie zarówno źródeł zagrożeń, jak i związanych z nimi skutków może być utrudnione nie tylko przez odległości geograficzne, ale także przez bariery prawne, kulturowe i polityczne.

Przeciwdziałania wspomnianym zagrożeniom oraz ich potencjalnym skutkom wymagają działalności u podstaw: kształtowania świadomości, ujednolicenia terminologii, opracowania lub adaptacji norm i standardów, nowych (lub zmienionych) przepisów prawnych itp.

1.2.2. Podatności

Żeby zagrożenie spowodowało szkody, musi istnieć podatność (ang. vulnerability) odpowiadająca temu zagrożeniu (patrz rys. 1.1). Podatność, z perspektywy dowolnej organizacji, można zdefiniować następująco:

DEFINICJA 1.4

Podatności to wady lub luki w:

- strukturze fizycznej organizacji,

- sprzęcie i oprogramowaniu,

- zarządzaniu i administrowaniu,

- organizacji pracy,

- procedurach,

- obsadzie stanowisk pracy personelem,

które mogą być wykorzystane przez zagrożenia do spowodowania szkód w systemie informacyjnym organizacji lub w jej działalności[41].

Podana definicja jest definicją ogólną, obejmującą szerokie spektrum wad i luk - dotyczy zarówno dziury w płocie otaczającym na przykład przedsiębiorstwo produkcyjne (to ta wymieniona w definicja struktura fizyczna organizacji), jak i błąd w oprogramowaniu sterującym obrabiarką[42]. Jednak z perspektywy bezpieczeństwa informacji, co znajduje swój wyraz m.in. w różnych publikacjach dotyczących tematyki podatności, dostrzegane są przede wszystkim podatności związane z oprogramowaniem oraz sprzętem komputerowym[43], na którym to oprogramowanie działa. Informacje przedstawione w dalszej części rozdziału także dotyczą tylko tej perspektywy. Należy jednak pamiętać, że osoba odpowiedzialna za bezpieczeństwo, również to w wydaniu informacyjnym, powinna dostrzegać pełne, definicyjne spektrum podatności, a nie tylko te, które mają wpływ na powodzenie ataków zdalnych na zasoby informacyjne organizacji (nazywanych często cyberatakami). Przy takim zawężonym postrzeganiu łatwo przeoczyć na przykład ryzyko włamania do obiektów organizacji i kradzieży sprzętu komputerowego oraz nośników danych lub ryzyko sabotażu.

Przykład 1.6

W tej książce jest używane pojęcie zasobu. Pod tym terminem należy rozumieć:

- zasoby informacyjne (bazy danych i pliki z danymi, kontrakty i umowy, dokumentacje systemowe, informacje badawcze, podręczniki użytkownika, materiały szkoleniowe, procedury operacyjne i wspierające, plany ciągłości działania, plany odtworzeniowe, ślady audytowe oraz informacje zarchiwizowane),

- zasoby programowe (aplikacje, oprogramowanie systemowe, narzędzia rozwojowe itp.),

- zasoby fizyczne (sprzęt komputerowy, urządzenia komunikacyjne, nośniki wymienne i inne urządzenia oraz meble biurowe),

- zasoby infrastrukturalne (ogrzewanie, oświetlenie, zasilanie, klimatyzacja).

W normach serii ISO/IEC 270xx jest natomiast używany termin aktywa definiowany[44] następująco:

1) aktywa - wszystko, co ma wartość dla organizacji; istnieje wiele typów aktywów, w tym:

a) aktywa informacyjne;

b) oprogramowanie, takie jak program komputerowy;

c) fizyczne, takie jak komputer;

d) usługi;

e) personel oraz jego kwalifikacje, umiejętności i doświadczenie;

f) wartości niematerialne, takie jak reputacja i wizerunek;

2)  aktywa informacyjne - wiedza lub dane, które mają wartość dla organizacji.

Jak można zauważyć, termin aktywa ma szerszy zakres (punkty d-f) niż zasoby i w zasadzie odpowiada elementom wymienionym w definicji 1.4, które mogą być podatne.

 

W przypadku rozpoznawania środowiska analizy ryzyka na potrzeby bezpieczeństwa teleinformatycznego istotna jest identyfikacja podatności jako podstawa przyszłych działań w zakresie zmniejszania ryzyka. Podatności mogą być związane z:

1) systemem teleinformatycznym:

a) elementami sprzętowymi:

- składającymi się na system komputerowy,

- zapewniającymi komunikację między systemami a sieciami (tzw. urządzenia sieciowe);

b) elementami programowymi:

- systemem operacyjnym,

- oprogramowaniem użytkowym;

c) ludźmi eksploatującymi system komputerowy:

- operatorami,

- administratorami;

d) procedurami eksploatacji (w szczególności procedurami dostępu do systemu i do informacji przetwarzanej i przechowywanej w systemie);

2) systemem ochrony:

a) elementami ochrony fizycznej:

- elementami mechanicznymi i budowlanymi,

- personelem pełniącym funkcje ochronne (straż przemysłowa, portierzy),

- procedurami ochrony fizycznej;

b) elementami skomputeryzowanego systemu ochrony technicznej:

- elementami sprzętowymi,

- elementami programowymi,

- ludźmi eksploatującymi skomputeryzowany system ochrony technicznej;

c) systemem nadzoru:

- personelem pełniącym funkcje nadzorcze,

- procedurami nadzoru;

d) elementami sprzętowo-programowymi wbudowanymi lub dodanymi do systemu teleinformatycznego w celu zapewnienia należytej ochrony informacji, takimi jak: zapory sieciowe, IPS, systemy uwierzytelniania i autoryzacji w systemach dostępu logicznego, oprogramowanie antywirusowe, oprogramowanie i urządzenia kryptograficzne itp.;

3) środowiskiem eksploatacji (otoczeniem) systemu teleinformatycznego i związanego z nim systemu ochrony:

a) systemami zasilania w energię elektryczną,

b) systemami klimatyzacji,

c) budynkami i pomieszczeniami.

Prace nad klasyfikacją podatności były prowadzone od początku lat 90. ubiegłego wieku [5]. Jako kryteria klasyfikacji rozważano pochodzenie podatności, miejsce jej wprowadzenia w cyklu życia oraz miejsce występowania (sprzętowe/programowe). W kolejnych latach [10], [1] kryteria rozszerzono o skutki, stopień szkodliwości itp. oraz zaczęto wskazywać sposoby unikania podatności oraz techniki łagodzenia skutków ich wykorzystania, co doprowadziło do obecnego stanu opisu podatności w postaci SCAP (ang. Security Content Automation Protocol). Zainteresowanym aktualnym stanem podatności na świecie polecam stronę https://vuldb.com/pl/[45].

1.2.2.1. Security Content Automation Protocol (SCAP)

Jednym z podstawowych problemów w skutecznym zarządzaniu bezpieczeństwem informacyjnym, w szczególności na poziomie technicznym, jest opisywanie w jednolity, znany i powszechnie akceptowany sposób podatności, zagrożeń, zabezpieczeń oraz sposobów realizacji zagrożeń. Rozwiązanie tego problemu umożliwia osiągnięcie interoperacyjności w zakresie komunikacji i narzędzi oraz pozwala szybciej reagować na naruszenia zasad bezpieczeństwa i nowe zagrożenia.

Taki sposób opisu w zakresie podatności dostarcza SCAP[46], który jest zestawem uznanych specyfikacji niezbędnych do organizowania, wyrażania i pomiaru informacji związanych z bezpieczeństwem (dotyczących zarówno sposobu zapisu danych, jak i unikalnych identyfikatorów podatności) w ustandaryzowany sposób. SCAP wykorzystuje wzorcowe dane dotyczące usterek oprogramowania i standardów bezpiecznej konfiguracji. Te wzorcowe dane są zamieszczane i upubliczniane przez National Vulnerability Database (NVD), która jest zarządzana przez NIST i sponsorowana przez Department of Homeland Security (DHS) z USA.

Podstawowym dokumentem opisującym SCAP[47] jest NIST SP 800-126 Rev.2: The Technical Specification for the Security Content Automation Protocol (SCAP): SCAP v.1.2. [37], zawierający jedenaście elementów (tzw. specyfikacji) w pięciu kategoriach:

1. Języki specyfikacji. Zalecane w SCAP języki dostarczają standardowe słowniki i sposoby opisu zasad bezpieczeństwa, techniczne mechanizmy sprawdzania poprawności oraz umożliwiają jednolitą ocenę uzyskanych rezultatów. Opisanymi w SCAP językami specyfikacji są Extensible Configuration Checklist Description Format (XCCDF), Open Vulnerability and Assessment Language (OVAL?) i Open Checklist Interactive Language (OCIL?).

2. Formaty raportów. Zalecane w SCAP formaty raportów dostarczają niezbędnych elementów do konstrukcji wyrażeń opisujących zebrane informacje w jednolity, ustandardowiony sposób. Opisanymi w SCAP formatami raportów są Asset Reporting Format (ARF) i Asset Identification[48].

3. Enumeracja[49] (ang. Enumerations). Każda zalecana w SCAP enumeracja podaje standard nazewnictwa i oficjalny słownik lub listę wyrażeń, które mogą być używane w tworzeniu nazw. Opisanymi w SCAP specyfikacjami enumeracji są Common Platform Enumeration (CPE?), Common Configuration Enumeration (CCE?)[50] i Common Vulnerabilities and Exposures (CVE?).

4. Pomiary i system ocen (ang. Measurement and scoring systems). W SCAP odpowiada to ocenie specyficznych charakterystyk słabości bezpieczeństwa (np. podatności w oprogramowaniu lub błędów konfiguracyjnych) i na podstawie tych charakterystyk wygenerowaniu oceny punktowej, która odzwierciedla ich względną szkodliwość. Opisanymi w SCAP specyfikacjami systemu ocen są Common Vulnerability Scoring System (CVSS)[51] i Common Configuration Scoring System (CCSS).

5. Integralność. Zalecana w SCAP specyfikacja integralności służy do wspomagania zabezpieczania zawartości i rezultatów SCAP. Opisaną w SCAP specyfikacją zabezpieczania integralności jest Trust Model for Security Automation Data (TMSAD).

Z kolei NIST SP 800-117: Guide to Adopting and Using the Security Content Automation Protocol (SCAP) [36] jest przeglądem SCAP w wersji 1.0, koncentrującym się na tym, jak organizacja może wykorzystać rozwiązania oferowane w ramach SCAP, aby osiągnąć wymagany stan bezpieczeństwa. W tej publikacji NIST rekomenduje się, żeby organizacja:

- w celu poprawy i monitorowania bezpieczeństwa systemu używała list sprawdzeń bezpiecznej konfiguracji skonstruowanych z uwzględnieniem zaleceń SCAP;

- wykorzystywała korzyści, jakie daje SCAP, do demonstrowania zgodności z wymaganiami bezpieczeństwa wysokiego poziomu pochodzącymi z regulacji prawnych, standardów i przewodników;

- używała standardowej enumeracji SCAP (identyfikatorów i nazw produktów);

- wykorzystywała zalecane w SCAP sposoby pomiaru i oceny podatności;

- pozyskiwała i użytkowała produkty zgodne ze SCAP.

Poza tym producenci oprogramowania i różnych list do sprawdzania zgodności powinni wykorzystywać w swoich produktach rozwiązania zalecane przez SCAP.

Trzecia z publikacji NIST - SP 800-51 Rev. 1: Guide to Using Vulnerability Naming Schemes [31] dostarcza rekomendacji w zakresie używania przez dostarczycieli oprogramowania i usług informatycznych dwóch konwencji nazewniczych: Common Vulnerabilities and Exposures (CVE) i Common Configuration Enumeration (CCE). Zawiera rekomendowane sposoby włączania tych konwencji w produkty i usługi informatyczne.

Przykład 1.7

Zgłoszenie podatności CVE zawiera unikalny identyfikator (CVE ID), krótki opis podatności oraz wskazania na publicznego konsultanta w zakresie tej podatności (przykładowo za [31]):

CVE ID:

CVE-2000-0001

Description:

RealMedia server allows remote attackers to cause a denial of service via a long ramgen request.

References:

BUGTRAQ: 19991222 RealMedia Server 5.0 Crasher (rmscrash.c)BID:888URL:http://www.securityfocus.com/bid/888XF:realserver-ramgen-dos

Zgłoszenie podatności nie oznacza automatycznego wprowadzenia jej do bazy CVE. Procedura wprowadzania jest następująca:

1. Zgłoszenie potencjalnej podatności do wybranego CNA (ang. Candidate Numbering Authority). Lista dostępnych CNA[52] jest na stronie http://cve.mitre.org/cve/request_id.html.

2. Nadanie jej przez CNA kandydackiego CVE ID (ang. reserved), następnie umieszczenie jej na stronie CVE jako propozycji.

3. Publiczna, internetowa dyskusja i głosowanie, czy tę podatność włączyć do CVE.

4. Jeśli kandydatura zostanie odrzucona, to powód odrzucenia jest ogłaszany na stronie CVE. Zaakceptowanie kandydatury oznacza nadanie jej statusu CVE i włączenie do bazy.

 

Przykład 1.8 (za [31])

Zgłoszenie CCE zawiera: unikalny identyfikator (CCE ID), krótki opis danego zagadnienia konfiguracji, parametry logiczne CCE, wskazanie towarzyszących mechanizmów technicznych związanych z tą konfiguracją oraz wskazanie dodatkowych źródeł informacji.

CCE ID:

CCE-3108-8

Description:

The correct service permissions for the Telnet service should be assigned.

Parameters:

(1) set of accounts (2) list of permissions

Technical Mechanisms:

(1) set via Security Templates (2) defined by Group Policy

References:

Listed at http://cce.mitre.org/lists/cce_list.html

 

W celu ujednolicenia szacowania wagi błędów opracowano CVSS (ang. Common Vulnerability Scoring System), który umożliwia wyliczenie bezwzględnej wagi błędu na podstawie jego cech podstawowych. Na końcową wagę CVSS mają wpływ trzy główne miary pośrednie:

1. Miara podstawowa (ang. Base CVSS) wynikająca z cech błędu niezmiennych w czasie i wspólnych dla wszystkich podatnych implementacji (np. możliwość zdalnego wykorzystania błędu, brak konieczności uwierzytelnienia).

2. Miara zmienna w czasie (ang. Temporal CVSS) uwzględniająca czynniki powstające po publikacji informacji o błędzie (np. początkowy brak eksploita i późniejsze jego ujawnienie).

3. Miara środowiskowa (ang. Environmental CVSS) ustalana indywidualnie przez każdą organizację, uwzględniająca lokalną specyfikę konkretnej organizacji i systemu teleinformatycznego.

Szczegółowa specyfikacja przedstawia się następująco:

1. Miary podstawowe (ang. Base Metrics):

1.1. Miary wykorzystania (ang. Exploitability Metrics):

1.1.1. Wektor ataku (ang. Attack Vector, AV)

1.1.2. Kompleksowość ataku (ang. Attack Complexity, AC)

1.1.3. Wymagane przywileje w atakowanym systemie (ang. Privileges Required, PR)

1.1.4. Działania użytkownika (ang. User Interaction, UI)

1.2. Zakres (ang. Scope, S)

1.3. Miary oddziaływania (ang. Impact Metrics):

1.3.1. Skutki dla tajności (ang. Confidentiality Impact, C)

1.3.2. Skutki dla integralności (ang. Integrity Impact, I)

1.3.3. Skutki dla dostępności (ang. Availability Impact, A)

2. Miary czasowe (ang. Temporal Metrics):

2.1. Dojrzałość eksploita (ang. Exploit Code Maturity, E)

2.2. Poziom zapobiegania (ang. Remediation Level, RL)

2.3. Utajnienie istnienia (ang. Report Confidence, RC)

3. Miary środowiskowe (ang. Environmental Metrics):

3.1. Wymagania bezpieczeństwa (ang. Security Requirements) (CR, IR, AR)

3.2. Zmodyfikowane miary bazowe (ang. Modified Base Metrics)

 

Przykład 1.9

W celu zwartego, przejrzystego przedstawienia zbioru wartości miar konkretnej podatności używa się zwykle tzw. wektora (ang. vector string). Na przykład podatność z bazowymi miarami o wartości:

Attack Vector: Network, Attack Complexity: Low, Privileges Required: High, User Interaction: None, Scope: Unchanged, Confidentiality: Low, Integrity: Low, Availability: None

bez podanych miar czasowych i środowiskowych, daje następujący wektor:

CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:N

Ten sam przykład z dodatkowymi:

Exploitability: Functional, Remediation Level: Not Defined

daje wektor:

CVSS:3.0/S:U/AV:N/AC:L/PR:H/UI:N/C:L/I:L/A:N/E:F/RL:X

 

1.2.2.2. Cykl życia podatności oprogramowania

Dotąd podałem w książce podstawowe informacje o podatnościach w oprogramowaniu, w tym uznane sposoby ich opisu. Przy obecnej złożoności oprogramowania nie ma możliwości wyprodukowania oprogramowania bezbłędnego - zawsze znajdą się w nim błędy, przy czym mogą one przejść przez etap testowania (w tym testy odbiorcze) i ujawnić się dopiero na etapie eksploatacji (patrz też przykład 1.10). Każdy taki błąd[53] podlega pokazanemu na rysunku 1.2 cyklowi życia, którego ogólny wykres będzie zawsze taki sam, a różnice (między różnymi błędami) będą dotyczyły długości poszczególnych odcinków wykresu oraz ich nachylenia w stosunku do osi X. Ryzyko, którym jest oznaczona oś Y na rysunku 1.2, oznacza ryzyko wykorzystania podatności do szkodliwych działań.

Rys. 1.2. Cykl życia błędu/podatności oprogramowania

Przykład 1.10

Przedsięwzięciem mającym na celu minimalizację ryzyka wyprodukowania wadliwego oprogramowania jest opracowany i wdrożony w firmy Microsoft? tzw. cykl projektowania zabezpieczeń (ang. Security Development Lifecycle, SDL) [2], [3]. Podstawowym celem stosowania SDL jest produkcja oprogramowania z minimalną liczbą błędów projektowych i kodowania, które mogłyby być wykorzystane do nieuprawnionych działań, oraz wdrożenie zabezpieczeń minimalizujących ryzyko wykorzystania nieujawnionych błędów.

Na proces SDL składa się wiele działań przypisanych do etapów cyklu wytwórczego produktu programowego:

1. Przygotowanie do stosowania SDL - kształtowanie świadomości w zakresie bezpieczeństwa kadry menedżerskiej, analityków, architektów, projektantów i programistów firmy wytwarzającej oprogramowanie.

2. Definiowanie i zalecanie stosowania najlepszych metod projektowania - analiza i redukcja pola ataku w oprogramowaniu (w tym przygotowanie i zalecenie przestrzegania minimalnych standardów kryptograficznych).

3. Ocena i analiza ryzyka wykorzystania podatności wytwarzanego oprogramowania (modelowanie zagrożeń - por. przykład 3.12).

4. Przygotowanie dla klientów (użytkowników wytworzonego oprogramowania) dokumentów i narzędzi z zakresu bezpieczeństwa.

5. Kodowanie z zastosowaniem zasad (spisanych) bezpiecznego kodowania, takich jak:

- używać najnowszych wersji kompilatorów i narzędzi pomocniczych,

- używać zabezpieczeń oferowanych przez kompilatory,

- używać narzędzi do analizy kodu źródłowego,

- nie używać zakazanych funkcji,

- ograniczać stosowanie w projekcie lub kodzie konstrukcji narażonych potencjalnie na ataki,

- używać listy kontrolnej bezpiecznego kodowania.

6. Testowanie z zastosowaniem zasad (spisanych) bezpiecznego testowania, takich jak:

- testować metodą fuzzingu;

- wykonać testy penetracyjne oprogramowania;

- weryfikować wykonanie;

- sprawdzać i, w razie potrzeby, aktualizować modele zagrożeń;

- ponownie ocenić pole ataku w projektowanym oprogramowaniu.

7. Kampania bezpieczeństwa ("pospolite ruszenie") - celem kampanii jest wykrycie błędów, głównie w starym kodzie.

8. Końcowy przegląd bezpieczeństwa (ang. Final Security Review, FSR).

9. Planowanie reakcji na problemy z bezpieczeństwem, w tym zapewnienie łatwej aktualizacji produktu.

10. Publikacja produktu - stwierdzenie zgodności (z: SDL, przepisami prawa itp.) i zatwierdzanie produktu.

11. Reagowanie na problemy bezpieczeństwa w praktyce.

Podstawowe artefakty procesu SDL to:

1. Bezpieczny kod.

2. Wzorcowe drzewa zagrożeń. Mogą być używane jako pomoc przy przeglądzie kodu oraz przygotowywaniu testów.

3. Zalecane narzędzia wspomagające SDL.

4. Materiały szkoleniowe.

 

Początek układu współrzędnych na rysunku 1.2 (czyli Czas = 0) symbolizuje oddanie oprogramowania do eksploatacji. Wykres zaczyna się na poziomie Res, co z kolei symbolizuje ryzyko związane z nieujawnionymi błędami. Poziom Res można interpretować następująco: istniejące błędy mogą ujawnić swoje istnienie i szkodliwość, ale może to pozostać niezauważone i/lub zignorowane przez użytkownika tego oprogramowania, szczególnie jeżeli błąd będzie ujawniał się sporadycznie (np. podczas wprowadzania tylko określonej sekwencji znaków w pole logowania), a szkody będą niewielkie (np. czasami nastąpi zawieszenie systemu).

W chwili t0 ma miejsce faktyczne wykrycie błędu:

1) przez kompetentne osoby (tzn. takie, które wiedzą co znalazły) przypadkowo lub też na skutek ich celowych poszukiwań[54];

2) wskutek celowych poszukiwań przez grupy badawcze (akademickie, producentów oprogramowania, producentów AV, itp.) zajmujące się bezpieczeństwem oprogramowania;

3) wskutek celowych poszukiwań przez grupy przestępcze, zamierzające wykorzystać znalezione błędy do celów przestępczych.

To, co będzie się działo dalej, w dużej mierze zależy od etosu, jakim kierują się odkrywcy błędu:

Ad 1. Samotny strzelec, jeżeli działał dla nagrody, poinformuje producenta o swoim odkryciu i zgłosi się po nagrodę (jej wydanie będzie zwykle obwarowane zachowaniem milczenia o odkryciu do czasu opublikowania poprawki). Jeżeli odkrycie nastąpiło przypadkowo, to taki odkrywca może:

- zgłosić odkrycie producentowi i swojego odkrycia nie upubliczniać, tj. dać czas producentowi na opracowanie i udostępnienie poprawki;

- upublicznić swoje odkrycie natychmiast i bezwarunkowo;

- wystawić odkrycie na czarnym rynku lub zaoferować je służbom specjalnym swojego lub obcego państwa;

- upublicznić swoje odkrycie, o ile producent nie zapłaci określonej kwoty za zatajenie znaleziska[55].Trzy ostatnie przypadki powodują, że wiedza o błędach przez pewien czas będzie ogólnie dostępna, ale nie będą dostępne oficjalne poprawki je likwidujące.

Ad 2. Grupy badawcze zwykle zgłaszają odkrycie producentowi i go nie upubliczniają, tj. dają czas producentowi na opracowanie i udostępnienie poprawki (ang. responsible disclosure)[56].

Ad 3. Odkrycie nie jest ani zgłaszane, ani upubliczniane przez grupy przestępcze - zwykle natychmiast przystępuje się do opracowania sposobów wykorzystania znalezionego błędu do celów przestępczych.

W przedziale czasu t1-t0 odkrywcy próbują udowodnić, przez opracowanie odpowiedniego algorytmu (tzw. proof-of-concept, PoC), możliwość wykorzystania w sprzyjających okolicznościach[57] błędu do celów niezgodnych z intencjami projektanta oprogramowania.

O ile uda się taki algorytm skonstruować, błąd staje się podatnością i kolejną czynnością jest zwykle przerobienie algorytmu na program lub skrypt, nazywanych eksploitem. Nawet zakładając, że odkrywcy nie upublicznili swojego odkrycia, to i tak wiedza o nim będzie się upowszechniała w kręgach osób biorących udział w opracowaniu algorytmu i eksploita lub związanych z odkrywcami w inny sposób. Dlatego ryzyko wykorzystania podatności do szkodliwych działań rośnie, co symbolizuje niewielki wzrost nachylenia wykresu w przedziale czasu t1 - t0.

W chwili t1 następuje upublicznienie eksploita - wiedza o podatności i sposobie jej wykorzystania staje się ogólnodostępna, dostępne jest też (za darmo lub za odpowiednią opłatą) narzędzie - eksploit. Odcinek wykresu dla przedziału czasu t2 - t1 charakteryzuje gwałtowny wzrost ryzyka wykorzystania podatności do szkodliwych działań. Dzieje się tak z dwóch powodów:

1. Wiele osób marzących o karierze znanego hakera próbuje wykorzystać udostępnione możliwości do zdobycia takiej sławy. Ponieważ eksploity są opracowywane przez fachowców wysokiej klasy, ich użycie jest zwykle proste i umożliwia osiągnięcie celu także osobom bez wyrafinowanej wiedzy informatycznej. Problem wzrostu ryzyka sprowadza się zatem nie tyle do umiejętności informatycznych osób korzystających z eksploita, co do ich liczby.

2. Część zainteresowanych zagadnieniem programistów będzie próbowała przerobić eksploita na automat, na przykład na robaka sieciowego. Zwykle te próby kończą się powodzeniem, co skutkuje (po wypuszczeniu takiego automatu w sieć) dalszym wzrostem ryzyka.

W chwili t2 publikowana jest nieoficjalna poprawka przez "jasną stronę mocy" (czyli zwykle programistów skupionych w grupach badawczych), którą w oczekiwaniu na oficjalną poprawkę producenta część użytkowników zapewne zainstaluje[58]. Dlatego dla przedziału czasu t3 - t2 wzrost ryzyka nie jest już tak gwałtowny.

W chwili t3 publikowana jest oficjalna poprawka przez producenta oprogramowania. Od tego momentu ryzyko wykorzystania podatności maleje, ponieważ poprawki, najczęściej automatycznie, są instalowane.

Najciekawsze i najgroźniejsze dla bezpieczeństwa teleinformatycznego zdarzenia mają miejsce w początkowej części wykresu i są związane z tzw. podatnością zero-day (0-day). Wśród specjalistów nie ma zgodności, co dokładnie należy uważać za podatność 0-day. Ścierające się poglądy to:

1) jest to znany błąd, który nie wiadomo jak wykorzystać (brak PoC);

2) jest to znana podatność, którą wiadomo jak wykorzystać (jest już PoC), ale nie ma narzędzia, które to umożliwi (brak eksploita);

3) jest to podatność znana bardzo ograniczonej liczbie osób, o której nie wie producent i tym samym nie ma dla niej poprawki (czyli na rys. 1.2 w przedziale czasu t1 - t0);

4) jest to znana podatność, na którą nie ma poprawki;

5) jest to tylko określenie powagi zagrożenia, jakie stwarza znana podatność, na którą nie ma poprawki.

Wydaje się, że przeważający jest pogląd 3. Jeżeli dla takiej podatności jest już opracowany eksploit, to jest on nazywany 0-day eksploit. Takie eksploity osiągają wysokie ceny[59] (patrz też cennik na https://vuldb.com/pl/).

Obecnie pierwszą linię obrony przed zero-day stanowią zapory sieciowe (w tym tzw. personal firewalls). Producenci antywirusów (AV) i zapór sieciowych zasilanych dynamicznie regułami od producenta, dowiadują się zwykle o zero-day jednocześnie z producentem podatnego oprogramowania. Praktycznie natychmiast przesyłają do klientów reguły blokowania zawierające sygnatury ruchu stanowiącego nośnik ataku zanim producent podatnego oprogramowania opublikuje poprawkę[60]. W rezultacie, właściwie zaraz po ujawnieniu podatności klienci dobrych firm AV i systemów zaporowych[61] są chronieni - a zatem przynajmniej dla części użytkowników takiego oprogramowania już praktycznie od t1 ryzyko zaczyna się zmniejszać.

Związki między podatnościami a zagrożeniami można opisać następująco:

- na zagrożenia nie mamy wpływu, ale zagrożenie nie zawsze musi się zrealizować - warunkiem koniecznym jest istnienie podatności;

- na podatności mamy wpływ - możemy je minimalizować, stosując zabezpieczenia;

- na możliwość realizacji zagrożenia, w zależności od jego typu, oprócz podatności wpływ ma wiele innych czynników;

- szkody, które mogą powstać podczas realizacji zagrożenia, oraz możliwość jego realizacji określają ryzyko (ten związek jest opisany w rozdz. 3).

1.2.3. Zabezpieczenia

Jak już wspomniano, podatności można minimalizować, stosując zabezpieczenia[62].

DEFINICJA 1.5

Zabezpieczenia to środki:

- fizyczne (np. sejf, płot, przegroda budowlana),

- techniczne (np. system alarmowy, system ppoż.),

- osobowe (np. strażnik),

- programowe (np. oprogramowanie antywirusowe)

oraz działania organizacyjne[63] (np. szkolenia) stosowane w celu przeciwdziałania wykorzystaniu podatności przez zagrożenia.

Zaklasyfikowanie działań organizacyjnych do zabezpieczeń często budzi opory - jak kartka papieru, na której spisano na przykład politykę bezpieczeństwa, może coś zabezpieczyć? Należy wyraźnie podkreślić, że wymienione w definicji środki nie będą skuteczne, o ile nie zostaną wsparte odpowiednimi rozwiązaniami organizacyjnymi. Techniczne wyznaczenie strefy bezpieczeństwa nie zapewni właściwej ochrony, jeśli strażnik pilnujący jej wejścia nie zna wzorów przepustek. Podobnie zakupienie i zainstalowanie najlepszej zapory sieciowej nie ochroni skutecznie zasobów organizacji, o ile nie zostanie wyznaczony administrator, do którego obowiązków służbowych będzie należało dbanie o właściwą konfigurację reguł zapory. System ochrony wdrożony w organizacji (często drogi i skomplikowany) nie będzie skuteczny, o ile pracownicy tej organizacji nie będą przeszkoleni z jego poprawnego użytkowania. Takich przykładów każdy z Czytelników zapewne mógłby podać więcej.

1Wprowadzenie do ochrony informacji

Współczesne, zaawansowane technologicznie społeczeństwa swój byt w dużym stopniu uzależniają od informacji i to głównie informacji przetwarzanej, przechowywanej i przesyłanej w systemach teleinformatycznych. Informacja:

1) jest towarem, i to często o znaczeniu strategicznym (dla państwa, firmy, ale także konkretnej osoby)

Od zarania dziejów ci, którzy dysponowali właściwą informacją we właściwym czasie, wygrywali wojny oraz osiągali sukcesy rynkowe. Dlatego obecnie, podobnie jak rudy uranu czy nowe technologie, informacja jest towarem, który można kupić, dzięki któremu można osiągnąć określone korzyści i który trzeba chronić, mając na względzie własny interes.

2) jest podstawowym elementem procesów biznesowych

Podstawą działania prawie wszystkich współczesnych firm i organizacji, w tym organizacji takiej jak państwo, jest poprawny obieg informacji. Przerwanie tego obiegu lub sfałszowanie informacji powoduje straty: dla firmy kończące się często bankructwem, a dla państwa - niepokojami społecznymi, zaburzeniami w gospodarce krajowej, gorszym jej postrzeganiem na forum międzynarodowym itd.

3) służy do sterowania procesami w zautomatyzowanych procesach wytwórczych i usługowych o kluczowym znaczeniu dla gospodarki i społeczeństwa

Informacja może występować także w szczególnej postaci - informacji sterującej urządzeniami, zwykle czujnikami i mechanizmami wykonawczymi. Błędne sterowanie takimi systemami może powodować katastrofy (np. ekologiczne) i wywoływać kryzysy na skalę lokalną, ogólnokrajową lub międzynarodową.

4) bywa chroniona na mocy obowiązującego prawa lub zawartych umów

Ze względów przedstawionych w punktach 1-3 oraz ze względu na ochronę dóbr osobistych obywateli wszystkie cywilizowane kraje mają przepisy prawne wymuszające ochronę informacji przed nieuprawnionym dostępem, zapewniające jej właściwe przetwarzanie, przechowywanie i przesyłanie oraz określające zasady zbierania niektórych kategorii informacji.

Aby informacja we właściwy sposób spełniała funkcje wymienione w punktach 1-3, powinna być dobrej jakości. Ogólnie uznanymi kryteriami jakości informacji są:

- relewantność - określa, czy informacja jest istotna dla odbiorcy, związana z tym, czego odbiorca poszukuje;

- dokładność - oznacza, że jest ona precyzyjna oraz zaprezentowana w sposób odpowiedni do poziomu wiedzy jej użytkownika;

- aktualność - oznacza, że informacja jest zmieniana bez opóźnień, odpowiednio do zmian przedmiotu opisu;

- kompletność - oznacza, że informacja jest dostępna w ilości i stopniu szczegółowości zgodnym z wymaganiami jej użytkownika;

- spójność - oznacza, że poszczególne fragmenty informacji są niesprzeczne, dotyczą zadanego tematu i są prezentowane i przekazywane w jednolitej formie;

- odpowiedniość formy - oznacza, że informacja jest prezentowana w sposób, który minimalizuje jej błędną interpretację;

- wiarygodność - oznacza, że informacja zawiera elementy upewniające co do rzetelności niesionego przez nią przekazu.

Jak widać, ocena jakości informacji jest oparta na trzech składowych: treści, formie i użytkowniku informacji, a waga branych pod uwagę kryteriów może się różnić w zależności od dziedziny (obronność, finanse, statystyka itp.) wykorzystywania informacji.

Do poprawnej oceny jakości informacji potrzebna jest dodatkowa informacja ją opisująca[8]. Przykładem takiej standardowej informacji opisującej, umieszczanej w Internecie, są:

1) informacje o interesariuszach (ang. transparency and honesty) - dane identyfikacyjne dostawców treści, administratorów strony, sponsorów, reklamodawców itd., a także określenie celów i zamiarów właściciela strony internetowej oraz grupy docelowej, do której jest skierowana zamieszczona na niej informacja;

2) informacje uwierzytelniające prezentowane treści (ang. authority) - status wykorzystanych źródeł informacji, dane i rekomendacje dotyczące podmiotów opracowujących treści, daty ich dostarczania;

3) informacje o stosowanej polityce zachowania prywatności i ochronie danych (ang. privacy and data protection) - wskazanie polityki zabezpieczania własności intelektualnej i prywatności oraz zgodności z obowiązującymi przepisami prawa;

4) informacje o aktualności treści (ang. updating of information) - daty wprowadzenia zmian, w tym uaktualniania linków;

5) informacje umożliwiające rozliczalność (ang. accountability) - dane identyfikacyjne i kontaktowe osób przygotowujących merytoryczną treść strony WWW oraz zasady edytowania stron i doboru materiału.

Poza wymienionymi na powyższej liście kryteriami jakości informacji, mając na względzie techniczną stronę jej przetwarzania[9], wyróżnia się kryteria jakości związane z ochroną informacji, takie jak:

1) tajność - informuje o wymaganym stopniu ochrony informacji przed nieuprawnionym dostępem; stopień tajności jest uzgadniany przez osoby lub organizacje dostarczające i otrzymujące informację;

2) integralność - oznacza, że na informacji nie zostały wykonane niedozwolone działania[10];

3) dostępność - oznacza wymagany przez użytkownika (lub zapisany w wymaganiach stawianych systemowi przetwarzania informacji) stopień dostępności danych, procesów i aplikacji;

4) rozliczalność - określa możliwości identyfikacji użytkowników informacji i systemu teleinformatycznego oraz wykorzystywanych przez nich usług; kryterium to decyduje także o możliwości prowadzenia skutecznej analizy powłamaniowej;

5) niezaprzeczalność - informuje o możliwości wyparcia się uczestnictwa przez podmiot uczestniczący w wymianie informacji;

6) autentyczność - oznacza możliwość jednoznacznego stwierdzenia, jaki podmiot przesłał dane.

Kryteria wymienione na tej liście nie zależą wyłącznie od informacji jako takiej, ale również od przyjętych rozwiązań organizacyjnych i technicznych systemu, w jakim są przetwarzane. Jak widać, wymienione kryteria są elementami bardziej ogólnego kryterium jakości - odpowiednia ochrona informacji, gdzie wzmiankowaną odpowiedniość wyznaczają wymagane wartości kryteriów elementarnych[11].

Do dalszych rozważań przyjmuje się, że system informacyjny to system przetwarzania informacji. Natomiast system informatyczny[12] to ta część systemu informacyjnego, w której do przetwarzania informacji są wykorzystywane środki techniki komputerowej. Ta definicja obejmuje wszystkie warianty praktycznej realizacji takiego systemu, wg różnych klasyfikacji, takie jak sieć komputerowa, system rozproszony, a także przemysłowy system sterowania (ang. Industrial Control System, ICS).

Bezpieczeństwo informacyjne dotyczy podmiotu (człowieka lub organizacji, również takiej jak państwo), który może być zagrożony utratą zasobów informacyjnych lub otrzymaniem informacji złej jakości. Bezpieczeństwo informacyjne oznacza zatem uzasadnione zaufanie podmiotu do jakości i dostępności pozyskiwanej oraz wykorzystywanej informacji. Ale warunkiem bezpieczeństwa informacyjnego jest bezpieczna informacja, której definicja jest następująca:

DEFINICJA 1.1

Bezpieczeństwo informacji oznacza uzasadnione (np. analizą ryzyka i przyjętymi metodami postępowania z ryzykiem) zaufanie, że nie zostaną poniesione straty wynikające z niepożądanej zmiany, na skutek realizacji zagrożenia, wymaganych wartości istotnych kryteriów jakości informacji.

Z powyższego wywodu wynika, że bezpieczeństwo informacji jest składową bezpieczeństwa informacyjnego - informację (dobrej jakości) najpierw trzeba pozyskać, a potem, w trakcie jej wykorzystywania przez podmiot, odpowiednio chronić. Kryteria jakości istotne dla poszczególnych kategorii informacji oraz konkretnych uwarunkowań jej przetwarzania zwykle określają, w przypadku organizacji biznesowej, w której takie informacje są przetwarzane i wykorzystywane, gremia kierownicze tej organizacji (podmiotu) przy pomocy odpowiednich służb. Należy także zauważyć, że bezpieczeństwo nie jest ani stanem, ani zdarzeniem, ani procesem - to imponderabilia z dziedziny psychologii, co swoje implikacje ma na przykład w możliwościach pomiaru bezpieczeństwa. Dokładniejsza dyskusja nad tym zagadnieniem jest przedstawiona w podrozdziale 2.9.

Ze względu na znaczenie dla podmiotu (w szczególności konkretnej osoby) wszystkie wykorzystywane przez niego i dotyczące go informacje można podzielić na wrażliwe i niewrażliwe. Informacje wrażliwe dla określonego podmiotu to te, które mogą zostać wykorzystane przeciwko jego interesom przez ujawnienie, uniedostępnienie oraz zmanipulowanie[13].

Do wrażliwych zaliczają się wszystkie informacje, które muszą być chronione, bo tak nakazują obowiązujące przepisy prawne[14]. Informacjami wrażliwymi są też takie, których nakaz ochrony nie jest zawarty w żadnych regulacjach prawnych, a które organizacjom je wytwarzającym i przetwarzającym są zwykle wskazywane przez kompetentne organy, na przykład służby ochrony państwa, wewnętrzne komórki bezpieczeństwa w danej organizacji, pełnomocnika ds. bezpieczeństwa informacji. Takimi informacjami mogą też być dane same w sobie niewrażliwe, ale które stają się takimi w powiązaniu z innymi informacjami, pozwalając wyciągnąć prawidłowe wnioski na przykład o strategii rynkowej firmy w kolejnym kwartale.

Identyfikacja informacji wrażliwej najczęściej ogranicza się do jej inwentaryzacji i przeglądu zasobów w ramach analizy ryzyka. Rzadko bierze się pod uwagę, że oprócz identyfikacji informacji wrażliwych w organizacji trzeba je zlokalizować także poza nią oraz uwzględnić informacje pośrednie, pozwalające na wnioskowanie. Powinno się także zidentyfikować obieg informacji wrażliwej - to pozwala m.in. na opracowanie procedury lokalizacji jej wycieków.

Dodatkowo sprawę komplikuje fakt, że:

- prawa własności w przypadku informacji są często trudne do określenia;

- ustalenie wartości strat w przypadku ataków informacyjnych bywa trudne lub wręcz niemożliwe - dotyczy to na przykład utraty spodziewanych korzyści, wizerunku, przewagi konkurencyjnej itp.[15];

- lokalizacja wartościowych informacji bywa trudna.

Podsumowując, osoby odpowiedzialne za ochronę informacji powinny dbać o ochronę informacji wrażliwych, a nie danych osobowych czy informacji niejawnych. Te kategorie informacji są tylko szczególnymi przypadkami informacji wrażliwej. Brak takiego podejścia do ochrony informacji jest podstawowym błędem organizacyjnym, którego nie zniwelują żadne środki techniczne.

Specjaliści od techniki komputerowej posługują się najczęściej pojęciem danych, a nie informacji. Przyjmuje się, że informacje jako przedmiot przetwarzania w systemach informatycznych nazywa się danymi. Jednak dla skutecznej ochrony danych/informacji, ze względu na przedstawione wcześniej zależności między systemem informacyjnym a informatycznym, ciągle aktualny paradygmat w dziedzinie bezpieczeństwa informacyjnego brzmi: chronimy informacje - dane są tylko ich szczególnym przypadkiem.