астоящата глава започва с разглеждане на международните закони и етични принципи в информационната сигурност, след което се разглеждат различните политики, стандарти, насоки и процедури по информационна сигурност.
Международни закони и етика в информационната сигурност
Разгледани са три международни закона: Конвенцията за киберпрестъпления на Съвета на Европа, Споразумението за търговско ориентираните аспекти на правата за интелектуална собственост /TRIPS/ на СТО и Закон за авторските права в дигиталното хилядолетие.[1]
Политики и стандарти за киберсигурност | Институт SANS
1) Конвенция за киберпрестъпления на Съвета на Европа е приета през 2001 г. Тя създава международна работна група, която се стреми да подобри ефективността на международните разследвания при нарушаване на закони, свързани с технологиите и да наблюдава различни дейности в интернет. Въвежда контрол при придобиване на информация от правоприлагащи агенции при определен тип международни престъпления.
2) Споразумението за търговско ориентираните аспекти на правата за интелектуална собственост /TRIPS/ осигурява минимални нива на защита за интелектуалната собственост в международен план.
3) Закон за авторските права (DCMA-Digital Millennium Copyright Act) в дигиталното хилядолетие е американския принос към международните усилия на Световната организация по интелектуална собственост /WIPO-World Intellectual Properties Organization/. Цели да намали влиянието на нарушаването на авторски права, търговски марки и личната неприкосновеност на частния живот особено когато са премахнати мерките за защита на технологичните авторски права. Законът е създаден в отговор на приемането през 1995г. на Директива 95/46/ЕС от ЕС, която се отнася до защита на гражданите при обработката на лични данни и нейната употреба. През юни 2016г. САЩ и ЕС подписват споразумение, което заема мястото на предишното споразумение, служи за защита на личните данни на европейските граждани и позволява сътрудничество при криминални разследвания между американски и европейски агенции за правоприлагане.
За разлика от медицината и правото, областите на информационна технология и сигурност нямат обвързващи етични кодове.[2] Вместо това професионалните асоциации като ACM /Association for Computing Machinery/- американската асоциация за изчислителни машини и ISSA /Information Systems Security Association/ -асоциацията по сигурност на информационните системи както и сертифициращите агенции като (ISC)2 /International Information System Security Certification Consortium/-международен консорциум по сертифициране по сигурност на информационните системи и ISACA /Information System Audit and Control Association/-асоциацията по одит и контрол на информационните системи, поддържат етични кодове за поведение на техните членове.
Тези професионални организации могат да предписват етично поведение, но нямат властта да осъждат нарушителите. Много от етичните правила в информационната сигурност са засегнати в Десетте заповеди на компютърната етика, създадени от Института по компютърна етика. Те са:
1) да не се използва компютъра във вреда на други хора,
2) да не се извършва намеса в работата на други хора,
3) да не се рови във файловете на други хора,
4) да не се използва компютър за кражба,
5) да не се използва компютър за лъжесвидетелстване,
6) да не се копира или използва лицензиран софтуер, за който не е платено,
7) да не се използват компютърни ресурси на други хора без оторизация или компенсация,
8) да не се присвоява интелектуалния труд на други хора,
9) да се мисли за социалните последствия на програмата, която се пише или на системата, която се създава,
10) винаги да се използва компютъра по начин, който зачита и уважава другите хора.
В различните култури има различни етични стандарти. Например азиатските традиции на колективна собственост приличат на софтуерно пиратство и са в конфликт със западната култура. Около 90% от софтуера е създаден в САЩ, а според изследване на Алианса за бизнес софтуер от 2016г., през 2015г. 39% от софтуера инсталиран глобално на компютрите не е лицензиран. Нарушаването на софтуерните лицензи или пиратство както и незаконното използване на системата под формата на вируси или хакерство са сред най-честите престъпления. За да се развие образованието, свързано с компютърната етика се използват сценарии за изучаване на компютърната етика, при които се задават въпроси кое поведение е правилно и кое не.
Има три универсални причини за неетично и незаконно поведение:
1) невежество,
2) случайност и
3) злонамереност.
Образованост в тази насока се постига чрез професионалните организации.
Политики, стандарти, насоки, процедури
Политиката по сигурност се определя като твърдение на високо ниво относно организационните цели и общите средства за тяхното постигане във връзка със защитата на авоарите на организацията.[3] Тази политика е кратка и никога не казва как да се постигнат целите. Тъй като е написана на високо ниво, организациите трябва да разработват стандарти, насоки и процедури, които да предлагат методи за прилагане на политиката и се съобразяват с бизнес целите и мисията на организацията.
Международната организация по стандартизация е основана през 1947 г. и е федерация от органи по национални стандарти от приблизително 100 държави. Сред стандартите тя насърчава и референтен модел за протоколите за комуникация наречен OSI (Open Systems Interconnection) или взаимовръзка на отворените системи. През 2000г. се публикува и нов стандарт по информационна сигурност ISO 17799. ISO не е съкращение, а идва от гръцкото „isos”, което значи „равен”. ISO е краткото означение на международната организация по стандартизация (International Organization for Standardization). ISO 17799 осигурява насоки за системите за управление в информационната сигурност и насърчава управленска система за защита на информацията, нейната конфиденциалност и интегритет.
Стандартите, процедурите и насоките осигуряват по-ясна насока от политиките и дават по-детайлен подход за прилагане на политиките.
Фиг.23: Политики, стандарти, насоки и процедури
Източник: p.179 in Principles of Information Security…
Стандартите и насоките специфицират технологиите и методологиите, които да се използват за осигуряване на системите. Процедурите са детайлни стъпки, необходими за извършване на определена задача или процес. Докато стандартите са задължителни, насоките са пожелателни и посочват алтернатива за засилване нивата на контрол, където е необходимо. Процедурите са детайлни стъпки, които подпомагат прилагането на политики, стандарти и насоки. Стандарти, насоки и процедури осигуряват гъвкавост и ефективност чрез предлагане на алтернативни подходи към процеса на изпълнение.
Фиг.24:Диаграма на политиките
Източник: p.27 in Information Security Policies, Procedures…
Стандартизация в информационната сигурност
Стандарти за информационна сигурност са известни като доброволни стандарти, рамки или „добри практики”, развити и публикувани от международно признати организации, в следствие възприети от професионалистите по информационна сигурност.[4]
Първите версии на стандартите са създадени главно въз основа на нуждите на отбраната и са насочени към осигуряване на секретността на информацията. С развитието на компютърните технологии и телекомуникациите възникна необходимостта от създаване на нови стандарти, отразяващи характеристиките на съвременното ниво на информационните технологии. Приложимите международни стандарти са насочени към прилагането на профили за защита, които са списък на функционалните изисквания за системи с определено предназначение.
Основното предназначение на международните стандарти е да се създаде на междудържавно ниво единна рамка за разработване на нови и подобряване на съществуващите системи за качество. Сътрудничеството в областта на стандартизацията има за цел да приведе в съответствие националната система за стандартизация с международната. Международните стандарти нямат статут на задължителни за всички страни-участнички. Всяка страна по света има право да ги прилага или не. Решението за прилагането на международния стандарт е свързано главно със степента на участие на страната в международното разделение на труда.
Стандарт COBIT
COBIT се публикува от ISACA /Асоциация за одит и контрол на информационните системи – широко разпозната, независима организация за IT управление, която обхваща мрежа от IT професионалисти от повече от 180 страни. COBIT е общ стандарт по информационни технологии и се структурира около четири концептуални области или домейна около т.нар. четири степенен цикъл на растеж за изграждане и подобряване на услугите /планиране, извършване, проверка, приспособяване или Plan, Do, Check, Adjust (PDCA). COBIT надгражда над тези четири области и добавя пета-управление.
Група международни стандарти 27000
Сериите ISO 27000 осигуряват рамка за развитие на програма за сигурност във всички етапи на жизнения цикъл. Разделена е на няколко части, като всяка част предписва серия от дейности, които са част от фази, съвместими с тези от цикъла PDCA в COBIT.
Te се приемат от Международната организация по стандартизация — ISO (International Organization for Standardization, ISO). ISO създаден през 1946 г. от представители на двадесет и пет индустриално развитите страни. Обхватът на ISO се отнася до стандартизацията във всички области, с изключение на електротехниката и електрониката, които са от компетенциите на Международната електротехническа комисия (IEC, IEC). В този случай в наименованието на стандарта се появява съкращението ISO / IEC.
Фиг. 25. Серия стандарти 27000
Стандартите ISO2700 са така построени, че да окуражават организации да разглеждат рисковете свързани с тяхната структура с цел, бъдещо подобряване и разбиране на последиците, от тези рискове. Анализа на тези рискове, в системата на една организация, спомага за предприемане на мерки, които да смекчат или елиминират всякакви негативни резултати в последствие от тях.
Стандартите се преглеждат от съответните организации и при необходимост се актуализират на всеки пет години, като новата версия отменя действието на предишната. За да се постигне относителна устойчивост на тази наредба и независимост от цикъла за преразглеждане на стандартите, в наредбата не се посочват годините на издаване на стандартите.
Стандарт ISO/IEC 17799 е наричан още „Практически кодекс по управление на информацията” и в него са дефинирани 11 точки за контрол на риска, съдържащи общо 39 вида основни категории сигурност и една точка, която дефинира оценка и третиране на риска.[5] Стандартът е организиран в 10 основни раздела, които са: политика на сигурност и защита, защита на организацията, класификация и контрол на активите, защита на персонала, физическа и екологична защита, управление на компютрите и операциите, система за контрол върху достъпа, разработване и поддържане на системата, непрекъснато бизнес планиране, съответствие.
Стандарта ISO 27001 се нарича ISMS /Information Security Management System/- система за управление на информационната сигурност и се отнася до отговорности на управлението като определяне на целите, измерване на резултатите и съобразяване с одита, подобно на понятието „планирай и организирай” на COBIT. Той представлява списък на изисквания, които са необходими за да се сертифицира дадена организация в областта на информационната сигурност.
Таблица 6: Структура/съдържание на ISO 27002:2013
ISO 27001 има за основна цел да бъде стандарт за придобиване на сертификати и изграждане на програма по информационна сигурност.[6]
Стандарта ISO 27002 са подробно описани контроли по информационна сигурност, които в идеалния си вариант се движат от крайния продукт на оценката на риска, изготвена като част от ISO 27001. Може да се разглежда като набор от добри практики и всяка организация решава кои да приложи в своята бизнес среда.
Стандартите ISO 27003 осигуряват препоръки и добри практики за прилагане на контролите по управление на ISMS, определени от ISO 27001- с други думи как да се предаде програмата по сигурност. Стандарта ISO 27004 покрива измерването на ефективността на ISMS, приложена от първите три стандарта на ISO 27000.
ISO 27004 – измерване и метрика на информационната сигурност
Стандартът ISO 27005 определя рамката за управление на риска за информационната сигурност, която може да се използва за информирани решения в рамките на ISO 27001, водещи до избор на контроли за ISO 27002. Той е въведен да служи за постигане на задоволителни резултати при рискови ситуации, свързани със сигурността на информация в организацията. Целта на този документ е да идентифицира основни проблеми и решения, свързани с управлението на риск, в контекст на информационна сигурност
Стандартът ISO 27006 осигурява насоки за акредитация за професионалните организации, издаващи сертификат. И така рамката на серията стандарти ISO 27000 комбинира популярната начална оценка на риска с основни контроли за съобразяване с регулации, както и с контроли, които се считат за добри практики в информационната сигурност. Примери за контроли, считани за добри практики са създаването на документ за политиката по информационна сигурност, разработването на организационен план с ясно определени отговорности по сигурността, образование и обучение по сигурност, докладване на инциденти и разработване на план за възстановяване при бедствия.
ISO 27007- насоки за одит на ISMS, 27008-насоки за одит на информационната сигурност, 27009-прилагане на ISO/IEC 27001 в специфични сектори, 27010-управление на информационната сигурност за комуникации между секторите и организациите, 27011-насоки за управление на информационната сигурност за телекомуникационни организации, 27013-насоки за интегрирано прилагане на ISO/IEC 27001 и ISO/IEC 20000-1, 27014-управление на информационната сигурност, 27015-насоки за управление на информационната сигурност за финансови услуги, 27016-управление на информационната сигурност-организационна икономика, 27017-код на практика за контролите по информационна сигурност, базирани на ISO/IEC 27002 за облачни услуги, 27018-код за практика за защита на персоналната информация в облака, 27019-насоки за управление на информационната сигурност за обработващи контролни системи, специфични за енергийната индустрия, 27032-насоки за киберсигурност, 27033-мрежова сигурност, 27034-сигурност на приложенията, 27035-управление на инцидентите в информационната сигурност, 27036-доставчици и информационна сигурност, 27040-сигурност на паметта и др.
Стандарти за криптиране са от поредицата ISO/IEC 18033 Information technology – Security techniques – Encryption algorithms – Part 1: General (Информационни технологии – Методи за сигурност – Алгоритми за криптиране). ISO/IEC 11770– Information technology – Security techniques – Key management: Framework (Информационни технологии – Методи за сигурност – Управление на ключовете. ISO/IEC 24760– Information technology – Security techniques – A framework for identity management: Terminology and concepts (Информационнитехнологии – Методи за сигурност – Рамка за управление на идентичността). ISO/IEC 18370-1 – Information technology – Security techniques – Blind digital signatures – Part 1: General (Информационни технологии – Методи за сигурност – Невидими цифрови подписи).
Стандарти за оценка на сигурността са от поредицата ISO/IEC 15408– Information technology – Security techniques – Evaluation criteria for IT security (Информационни технологии – Методи за сигурност – Критерии за оценка на ИТ сигурността). ISO/IEC 18045 – Information technology – Security techniques – Methodology for IT security evaluation(Информационни технологии – Методи за сигурност – Методология за оценка на ИТ сигурността).
Стандарти NIST
Стандарти на NIST са създадени от нерегулаторна агенция на търговския департамент на САЩ. NIST осигурява набор от „специални публикации” в подкрепа на индустрията, правителството и академичните организации с последващи добри практики. Известни са като „серии 800”, които са много специфични за индивидуални технологии. Пример за технологични стандарти са: правила за осигуряване на безжични локални мрежи (WLANs), правила за защита на BIOS, правила за сигурност и защита на личното пространство при работа с публични облачни технологии, препоръки за генериране на криптографски ключ, наръчник по обща сигурност на сървъра, наръчник за защита на конфиденциалността на информация, свързана с личността, наръчник за сигурността на Bluetooth, наръчник по сигурност на електронната поща и др.
NIST SP 800-14 са общо възприети принципи и практики за осигуряване на системите на информационните технологии. По-важни принципи са: сигурността поддържа мисията на организацията, сигурността е неразделен елемент от управлението, сигурността трябва да е целево ефективна, собствениците на системи имат отговорности по сигурността извън своите организации, отговорностите и отчетностите по сигурността трябва да са изрични, сигурността изисква всеобхватен и интегриран подход, сигурността трябва периодично да се ревизира, сигурността е ограничена от обществени фактори.
През 2014г. NIST публикува нова рамка за киберсигурност в отговор на изпълнителна заповед на президента Обама.[7] Основите на рамката са пет дейности по информационна сигурност на организацията, която тя се предполага да изпълнява: идентификация (на рискове), защита, проследяване, отговор, възстановяване. Рамката има четири нива за оценка на зрелостта на програмите по сигурност на организацията и съответните мерки и функции: частична, информираност за риска, повторяемост, адаптивност. Профилът на рамката се използва в изграждането на план /препоръки за подобряване на програмите на организацията/ в съответствие със седем степенен подход:
1)приоритизиране и обхват,
2) ориентация,
3) създаване на текущ профил,
4) провеждане на оценка на риска,
5) създаване на целеви профил,
6) определяне, анализиране и приоритизиране на пропуските,
7) прилагане на план за действие.
Тези стъпки са повтаряем процес, който цели да придвижи организацията към четвърто ниво на сигурност и води до по-добър подход към управлението на риска и защитата на информацията.
През 2014г. група организации, предлагащи кредитни услуги създават стандарт по сигурност на данните в индустрията на разплащателните карти /PCI DSS: Payment Card Industry Security Standard/. Стандартът се фокусира върху номерата на кредитните карти и се прилага от организации, които приемат кредитни карти за разплащане. Защитава сигурността на данните на притежателя на картата.
Регулаторна рамка на информационната сигурност в Р. България[8]
Осигуряването на информационна сигурност се осъществява в рамките на националната сигурност. Националната сигурност се постига провеждането на единна държавна политика в областта на сигурността, система от мерки за икономически, политически и друг характер, адекватни на заплахите на жизнените интереси на личността, обществото и държавата.
Изграждането на държавна система за защита на класифицираната информация, сертифицирането на средствата за нейната обработка и формирането на ефективни механизми за защитата й са неотделима част от информационната сигурност на страната. Това е свързано с разработването политики, правила и процедури за информационна сигурност.
Системата за сигурност, в частност и системата за защита на класифицираната информация, е комплекс от законови и подзаконови нормативни актове, административни, организационни, технически, оперативни и информационни процедури, механизми и действия, гарантиращи защитата на сигурността информацията на дадена организация и създаващи условия за надеждно изпълнение на функциите й.
В последните години в Р. България бяха създадени механизми за регламентиране на обществените отношения в информационната сфера[9] и по- конкретно в областта на защита на класифицираната информация. Беше формирана солидна основа за гарантиране на информационната сигурност на страната, основните сред които са:[10]
Закони
- Закон за защита на класифицираната информация (ЗЗКИ) (ДВ, бр.45/30.04.2002 г.). Представлява законовата рамка на защитата на класифицираната информация в Република България. Законовата уредба се доразвива с подзаконови нормативни актове, които формират в цялост регулаторната рамка на защитата на класифицираната информация.
- Закон за достъп до обществена информация (ЗДОИ). Обн., ДВ, бр. 55 от 7.07.2000г.
- Закон за защита на личните данни (ЗЗЛД). Обн., ДВ, бр.1 от 4.01.2002г.
- Закон за Държавна агенция „Национална сигурност” (ЗДАНС) – разпоредбите на този закон възлагат на Държавната агенция „Национална сигурност” (ДАНС) осъществяването на пряк контрол по отношение функционирането на националната система за защита на класифицираната информация. (ДВ, бр. 109/20.12.2007 г., поел. доп. и изм. ДВ, бр. 53/27.06.2014 г.).
- Закон за киберсигурност
Подзаконови актови
В изпълнение на законовата делегация за доразвиване на правната уредба са приети следните подзаконови актове:
- Правилник за прилагане на Закона за защита на класифицираната информация (ППЗЗКИ) (ДВ, бр. 115/10.12.2002 г.);
- Наредба за системата от мерки, способи и средства за физическата сигурност на класифицираната информация и за условията и реда за тяхното използване (ДВ, бр. 22/11.03.2003 г.);
- Наредба за задължителните общи условия за сигурност на автоматизираните информационни системи или мрежи, в които се създава, обработва, съхранява и пренася класифицирана информация (Наредба за АИС или мрежи) (обн. ДВ, бр. 46/20.05.2003 г.);
- Наредба за реда за извършване на проверките за осъществяване на пряк контрол по защита на класифицираната информация ( ДВ, бр. 19/28.02.2003 г.);
- Устройствен правилник на Държавната комисия по сигурността на информацията и на нейната администрация (ДВ, бр. 22 от 11.03.2003 г.);
- Наредба за криптографската сигурност на класифицираната информация (ДВ, бр. 102/21.11.2003 г.).
- Наредба за общите изисквания за мрежова и информационна сигурност (загл. изм. – дв, бр. 5 от 2017 г., в сила от 01.03.2017 г.) от 2008 г. https://www.lex.bg/laws/ldoc/2135606737
- Наредба за минималните изисквания за мрежова и информационна сигурност –https://www.mtitc.government.bg/sites/default/files/nar_minimalnite_iziskvaniq_mrejova_info_sigurnost-072019.pdf и Методика и правила за извършване на оценка за съответствието с мерките за МИС
Български стандарти за системи за управление на сигурността на информацията
1/ БДС ISO/IEC 27000:2010 Информационни технологии. Методи за сигурност. Системи за управление на сигурността на информацията. Общ преглед и речник.
2/ БДС ISO/IEC 27001:2006 Информационни технологии. Методи за сигурност. Системи за управление на сигурността на информацията. Изисквания.
3/ БДС ISO/IEC 27002:2008 Информационни технологии. Методи за сигурност. Кодекс за добра практика за управление на сигурността на информацията.
4/ БДС ISO/IEC 27003:2011 Информационни технологии. Методи за сигурност. Указания за внедряване на системи за управление на сигурността на информацията.
5/ БДС ISO/IEC 27004:2012 Информационни технологии. Методи за сигурност. Управление на сигурността на информацията. Измерване.
6/ БДС ISO/IEC 27005:2009 Информационни технологии. Методи за сигурност. Управление на риска за сигурността на информацията.
7/ БДС ISO/IEC 27006:2009 Информационни технологии. Методи за сигурност. Изисквания за органите, извършващи одит и сертификация на системи за управление на сигурността на информацията. (отменен).
[1] ch.3 Legal, Ethical, and Professional Issues in Information Security, p.123-169 in Principles of Information Security, 6th edition, Michael E. Whitman, Herbert J. Mattord, 2018 Cengage Learning, https://www.pdfdrive.com/principles-of-information-security-e158355751.html
[2] ch.3 Legal, Ethical, and Professional Issues in Information Security, p.123-169 in Principles of Information Security, 6th edition, Michael E. Whitman, Herbert J. Mattord, 2018 Cengage Learning, https://www.pdfdrive.com/principles-of-information-security-e158355751.html
[3] ch.3 Policy Development, p.21-52 in Information Security Policies, Procedures, and Standards, Guidelines for Effective Information Security Management, Thomas Peltier, 2002 by CRC Press LLC, USA, https://www.pdfdrive.com/information-security-policies-procedures-and-standards-guidelines-for-effective-information-security-management-e156635074.html
[4] ch.3. Compliance with Standards, Regulations, and Laws-p.65-84 in Information Security, The Complete Reference, Mark Rhodes-Ousley, 2nd edition, 2013 by The McGraw-Hill Companies, https://www.pdfdrive.com/information-security-the-complete-reference-e31242056.html
[5] Стр.72-75 в Управление на информационната сигурност, Учебно пособие, проф. Цветан Семерджиев, Софттрейд, София 2007г.
[6] Ch.4 Planning for Security, p. 171-252 in Principles of Information Security, 6th edition, Michael E. Whitman, Herbert J. Mattord, 2018 Cengage Learning, https://www.pdfdrive.com/principles-of-information-security-e158355751.html
[7] Ch.4 Planning for Security, p. 171-252 in Principles of Information Security, 6th edition, Michael E. Whitman, Herbert J. Mattord, 2018 Cengage Learning, https://www.pdfdrive.com/principles-of-information-security-e158355751.html
[8] Стр.105-107, Сигурност и защита на информацията, проф. Цветан Семерджиев, Софттрейд, София, 2012
[9] Виж точка „Състояние на информационната сигурност“ на стр. 109.
[10]http://www.dksi. Ьд/Ьд/Реди1а10|у+Ргате\лгагк/1.а\л/+апс)+Реди1а1к>п/Реди1а1огу+Ргате\люгк.1’|1т