Pri snahe zaistiť bezpečnosť treba mať na pamäti, že žiadny počítačový systém nemôže byť úplne bezpečný. Väčšina ani nemusí byť a pri mnohých systémoch je vhodnejšie upustiť od reštriktívnych bezpečnostných opatrení v prospech použiteľnosti systému.
Pri systémoch obsahujúcich citlivé údaje je vhodné vytvoriť bezpečnostnú politiku, ktorá definuje, aký stupeň bezpečnosti je vyžadovaný a akým spôsobom sa kontroluje jej dodržiavanie.
Pred zabezpečením systému by mala byť vykonaná bezpečnostná analýza, pomocou ktorej je možné identifikovať možné hrozby pre daný systém. Pri analýze treba vziať do úvahy riziká, ohrozenia a výslednú zraniteľnosť systému.
Riziko predstavuje možnosť, že by útočník mohol získať prístup k systému. Je potrebné zistiť, aké možnosti zneužitia by sa tým útočníkovi otvorili a podniknúť kroky na ich minimalizáciu.
Ohrozenie pochádza od niekoho, kto má motiváciu získať neautorizovaný prístup k systému. Na tento faktor treba myslieť pri udeľovaní bezpečnostných oprávnení používateľom, ktoré by nemali byť zbytočne rozsiahle.
Zraniteľnosť udáva, ako dobre je systém chránený a aká je možnosť získať k nemu neautorizovaný prístup. Je nutné analyzovať možné dopady takéhoto prístupu a následne určiť primeraný stupeň zabezpečenia.
Väčšina bezpečnostných politík začína formuláciou „Čo nie je povolené, je zakázané.“ Výsledkom bezpečnostnej analýzy by teda mali byť pravidlá pre prípustné použitie systému a správanie používateľov. Všetka ostatná činnosť by mala byť považovaná za implicitne neprípustnú.
Za účelom objektívneho kvalitatívneho zhodnotenia zabezpečenia počítačových systémov vzniklo po celom svete viacero štandardov. Takéto hodnotenie je dôležité pri rozhodovaní, či je daný systém vhodný na nasadenie pri spracovaní určitého stupňa citlivých informácií.
V osemdesiatych rokoch dvadsiateho storočia ministerstvo obrany USA za týmto účelom zostavilo štandard TCSEC (Trusted Computer System Evaluation Criteria), tzv. oranžovú knihu.
V Európe sa v deväťdesiatych rokoch začal presadzovať štandard ITSEC (Information Technology Security Evaluation Criteria).
Z týchto štandardov vychádza nový jednotný medzinárodný štandard ISO/IEC 15408 vydaný v roku 2005.
Bezpečnosť je presadzovaná pomocou TCB (Trusted Computing Base), čiže množinou všetkého hardvéru a softvéru, ktorý je pre bezpečnosť systému kritický. Presadzovaním bezpečnosti sa zaoberá aj norma ISO/IEC 10181-1.
Podľa štandardu TCSEC je systém posudzovaný z viacerých hľadísk, ktoré sú zohľadnené v týchto hodnotiacich triedach:
-
Bezpečnostná politika (MAC, DAC, subjekty a objekty)
-
Označenia objektov
-
Identifikácia subjektov
-
Účtovateľnosť
-
Záruka
-
Kontinuálna ochrana
-
Dokumentácia
TCSEC delí systémy podľa bezpečnosti do skupín a tried. Definované sú tieto štyri skupiny:
-
Skupina D – minimálna ochrana
-
Skupina C – voliteľná ochrana (princíp „need to know“)
-
Skupina B – povinná ochrana (založená na bezpečnostnom označení)
-
Skupina A – verifikovaná ochrana
Jemnejšie rozdelenie systémov do siedmich inkrementálnych bezpečnostných tried je realizované na základe nasledujúcich pravidiel:
-
Bezpečnostná trieda D
-
produkt nesplnil kritéria pre žiadnu bezpečnostnú triedu
-
Bezpečnostná trieda C1 (voliteľná bezpečnostná ochrana)
-
používatelia spracovávajú údaje rovnakej úrovne integrity
-
aplikuje sa politika DAC (majitelia objektov prideľujú prístupy k objektom kontrolovaným spôsobom)
-
používatelia sú identifikovaní a autentifikovaní
-
Bezpečnostná trieda C2 (ochrana riadeným prístupom)
-
používatelia sú individuálne účtovateľní
-
politika DAC je presadzovaná s granularitou individuálneho používateľa
-
propagácia prístupových práv je kontrolovaná
-
subjekt nesmie získať prístup spravovaný TCB, ktorý obsahuje informáciu vytvorenú predchádzajúcim subjektom, tj. objekty nemôžu byť znovupoužiteľné
-
vytvárajú sa auditné záznamy
-
testovanie a dokumentácia musí pokrývať zavedené bezpečnostné črty
-
Bezpečnostná trieda B1 (označená bezpečnostná ochrana)
-
povinne je uplatňovaná politika MAC
-
subjekty a objekty majú bezpečnostné označenia
-
ochrana integrity je zabezpečená označením
-
identifikácia a autentifikácia prispieva na určenie bezpečnostného označenia subjektu
-
požaduje sa formálny a neformálny model bezpečnostnej politiky
-
musí byť analyzovaná dokumentácia návrhu, zdrojový aj cieľový kód
-
všetky chyby zistené pri testovaní musia byť odstránené
-
Bezpečnostná trieda B2 (štruktúrovaná ochrana)
-
MAC sa aplikuje aj pri prístupe k fyzickým zariadeniam
-
používatelia musia byť vyrozumení o zmenách ich bezpečnostných úrovní
-
musí existovať dôveryhodná cesta pre prihlásenie a iniciálnu autentifikáciu
-
požaduje sa formálny model bezpečnostnej politiky a opisná vysokoúrovňová špecifikácia systému
-
modulárny návrh architektúry
-
TCB zabezpečuje odlišné adresové priestory na izoláciu procesov
-
musí byť vykonaná analýza skrytých kanálov
-
bezpečnostné testovanie musí ukázať, že TCB je relatívne odolné proti penetrácii
-
Bezpečnostná trieda B3 (bezpečnostné systémy)
-
vysoká odolnosť voči penetrácii
-
musia byť monitorované auditné záznamy (automaticky alebo manuálne)
-
v prípade zlyhania systému musí byť zabezpečené dôveryhodné zotavenie
-
minimalizácia návrhu TCB
-
súlad formálneho modelu bezpečnostnej politiky a implementácie, resp. opisnej vysokoúrovňovej špecifikácie systému a implementácie
-
Bezpečnostná trieda A1 (verifikovaný návrh)
-
obsahuje najsilnejšie kritériá
-
v praxi sa nepoužíva
Štandard ISO/IEC 15408 delí systémy do siedmich inkrementálnych úrovní záruk hodnotenia („evaluation assurance levels“).
Posudzované sú nasledujúce kritériá:
-
Manažment konfigurácií (komponent záruk ACM)
-
Dodávka a prevádzka (komponent záruk ADO)
-
Vývoj (komponent záruk ADV)
-
Sprievodná dokumentácia (komponent záruk AGD)
-
Podpora životného cyklu (komponent záruk ALC)
-
Testovanie (komponent záruk ATE)
Úrovne záruk hodnotenia sú definované takto:
-
EAL1 (funkčne testovaný)
-
porozumenie bezpečnostnému správaniu
-
analýza bezpečnostných funkcií
-
vykonáva sa na základe funkčnej špecifikácie, špecifikácií rozhrania a sprievodnej dokumentácie
-
nezávislé testovanie bezpečnostných funkcií
-
komponenty záruk:
-
ACM_CAP.1 – číslovanie verzií
-
ADO_IGS.1 – procedúry na inštaláciu, generovanie a štartovanie
-
ADV_FSP.1 – neformálna funkčná špecifikácia
-
ADV_RCR.1 – neformálna demonštrácia korešpondencie
-
AGD_ADM.1 – návod pre administrátora
-
AGD_USR.1 – návod pre používateľa
-
ATE_IND.1 – nezávislé testovanie
-
EAL2 (štrukturálne testovaný)
-
vysokoúrovňový návrh
-
nezávislé testovanie s podporou výsledkov testov od tvorcu systému
-
požaduje sa zoznam konfigurácií
-
testovanie u vývojára
-
komponenty záruk:
-
ACM_CAP.2 – položky konfigurácií
-
ADO_DEL.1 – procedúry dodávky
-
ADV_HLD.1 – vysokoúrovňový opisný návrh
-
ATE_COV.1 – dôkaz o pokrytí
-
ATE_FUN.1 – funkčné testovanie
-
ATE_IND.2 – vzorka nezávislého testovania
-
AVA_SOF.1 – hodnotenie sily bezpečnostných funkcií
-
AVA_VLA.1 – analýza slabín vývojárov
-
EAL3 (metodicky testovaný a kontrolovaný)
-
použitie ochrán v prostredí vývoja
-
správa konfigurácií
-
záruka, že systém nebude bezpečnostne poškodený počas vývoja
-
komponenty záruk:
-
ACM_CAP.3 – ochrana autorizáciou
-
ACM_SCP.1 – riadená konfigurácia
-
ADV_HLD.2 – vysokoúrovňový návrh presadzujúci bezpečnosť
-
ALC_DVS.1 – identifikácia bezpečnostných opatrení
-
ATE_COV.2 – analýza pokrytia
-
ATE_DPT.1 – testovanie vysokoúrovňového návrhu
-
AVA_MSU.1 – preverenie návodov
-
EAL4 (metodicky navrhnutý, testovaný a posúdený)
-
EAL5 (poloformálne navrhnutý a testovaný)
-
EAL6 (poloformálne verifikovaný návrh a testovaný)
-
EAL7 (formálne verifikovaný návrh a testovaný)
Počítačová etika je odvetvie aplikovanej psychológie, ktorá sa zaoberá otázkami, ako by sa mali informatici rozhodovať a ako by mali konať pri výkone svojho povolania. Okrem iného sa zaoberá aj otázkami „hackingu“, prístupu k cudzím údajom, či softvérového pirátstva. Pravidlá, ktoré vznikli na základe poznatkov tejto vedy, sú v mnohých profesných organizáciach považované za etické štandardy (napr. ACM Code of Ethics).
Bezpečnostný administrátor by sa nielenže týmito pravidlami mal riadiť, ale mal by ich zohľadňovať aj v bezpečnostnej politike systému tak, aby ich dodržiavali aj používatelia. Takisto by v najvyššej možnej miere mal dbať na ochranu súkromných údajov používateľov pred prípadnými útočníkmi.
V Slovenskej republike sa právnym otázkam súvisiacim s počítačovou bezpečnosťou venujú tieto zákony:
-
Zákon č. 428/2002 Zb. o ochrane osobných údajov
-
Zákon č. 52/1998 Zb. o ochrane osobných údajov v informačných systémoch
-
Zákon č. 195/2000 Zb. o telekomunikáciách
-
Zákon č. 610/2003 Zb. o elektronických komunikáciách
-
Zákon č. 275/2006 Zb. o informačných systémoch verejnej správy
-
Zákon č. 215/2002 Zb. o elektronickom podpise