Krzysztof Liderman

BEZPIECZEŃSTWO INFORMACYJNE

Projekt okładki:
Agnieszka Łydżba

Ilustracja na okładce:
Shutterstock

Wydawca:
Irena Puchalska

Redaktor:
Izabela Ewa Mika

EPUB został przygotowany
na podstawie wydania papierowego z 2012 r.
(wyd. I)

Copyright © by Wydawnictwo Naukowe PWN SA

Warszawa 2012

ISBN 978-83-01-17500-9

Wydawnictwo Naukowe PWN SA

02-460 Warszawa, ul. Gottlieba Daimlera 2

tel. 22 69 54 321; faks 22 69 54 288

infolinia 801 33 33 88

e-mail: pwn@pwn.com.pl

www.pwn.pl

Skład komputerowy: Bogusław Górecki, Sułkowice

Skład wersji elektronicznej:

Virtualo Sp. z o.o.

Podziękowania

Jest moim miłym obowiązkiem wyrazić podziękowania Panu prof. dr hab. inż. Włodzimierzowi Kwiatkowskiemu z Instytutu Teleinformatyki i Automatyki Wydziału Cybernetyki WAT za wiele wnikliwych i trafnych uwag do wersji roboczej tej książki, które wykorzystałem przy jej docelowym opracowaniu.

Dziękuję także zespołowi z Wydawnictwa Naukowego PWN za przygotowanie ostatecznej postaci publikacji.

Krzysztof Liderman

Warszawa, luty 2012

Wstęp - dlaczego „bezpieczeństwo informacyjne”

Chociaż kalkulator ENIAC jest wyposażony w 18 000 lamp i waży 30 ton, komputery w przyszłości mogą mieć tylko 1000 lamp i ważyć jedynie półtorej tony.

Popular Mechanics, Marzec 1949

Na pytanie, dlaczego książka ma tytuł „Bezpieczeństwo informacyjne”, najprostsza odpowiedź brzmi: bo jest to ta dziedzina działalności człowieka, której znaczenie w ostatnim czasie gwałtownie rośnie. Jest to jednocześnie dziedzina chyba tak stara, jak sam człowiek, który od zarania swojego istnienia był skazany na zdobywanie informacji (np. gdzie znajdują się zasoby pożywienia i wody), jej ocenę (czy członek plemienia, który podał taką informację, jest wiarygodny i czy ta informacja może być przydatna) oraz jej ochronę (przez tworzenie kręgów „wtajemniczonych” wojowników i szamanów, jej utrwalanie najpierw w przekazach ustnych, a potem także pisemnych itd.). Zatem informacja i działania mające na celu jej wykorzystanie i ochronę towarzyszyły człowiekowi od zawsze, ale w ostatnich latach wraz z coraz szybszym rozwojem techniki i związanymi z tym zmianami cywilizacyjnymi nabrały szczególnego znaczenia.

Po pierwsze, rozwój elektroniki spowodował, że pojawiła się „elektroniczna postać informacji”, która może być łatwo i szybko przetwarzana, przesyłana i przechowywana. Do przesyłania takiej informacji służą sieci teleinformacyjne ewoluujące obecnie w kierunku jednej homogenicznej sieci obejmującej cały glob – Internetu. Do przetwarzania i przechowywania – węzły sieci z ulokowanymi w nich zasobami przechowującymi i przetwarzającymi informację (od pojedynczych domowych komputerów po centra danych). Po drugie, z wymienionego powodu ilość dostępnej informacji gwałtownie rośnie i niezbędna staje się jej selekcja i ocena pod względem szeroko rozumianej jakości. Po trzecie, dostęp do właściwej informacji we właściwym czasie daje przewagę w wyścigu po dobra materialne, władzę i pieniądze.

Wymienione trzy czynniki w połączeniu z rozpowszechnieniem urządzeń dostępowych (takich jak telefony komórkowe różnej klasy i typów oraz przenośne komputery typu tablet czy notebook), powstaniem tzw. sieci społecznościowych (Facebook, Twitter itp.) oraz coraz częstszym wykorzystywaniem sieci publicznych jako medium do przesyłania informacji dla systemów przemysłowych (patrz rozdz. 3) spowodowały, że informacja stała się istotnym czynnikiem decydującym nie tylko o wiedzy, władzy czy bogactwie, ale także o bezpieczeństwie nie tylko pojedynczych ludzi czy organizacji, ale całych państw[1]. Dlatego czynione są wysiłki zarówno w skali ponadpaństwowej, jak Unia Europejska, jak i w skali pojedynczych państw, w tym także państwa polskiego, opanowania tej swoistej eksplozji informacyjnej, tak aby informację można było skutecznie kontrolować oraz aby zapewnić jej odpowiednią jakość. Osiągnięcie tych celów wymaga skoordynowanych działań legislacyjnych, organizacyjnych i technicznych.

Niestety, choć coraz więcej decydentów chyba dostrzega znaczenie bezpieczeństwa informacyjnego, a przynajmniej używa tego pojęcia i deklaruje działania mające na celu jego zapewnienie (patrz rozdz. 1), w rzeczywistości sprawa nie wygląda tak dobrze. W rozporządzeniu MNiSW w sprawie obszarów wiedzy, dziedzin nauki i sztuki oraz dyscyplin naukowych[2], nauki o bezpieczeństwie zaliczono do obszaru i dziedziny nauk społecznych[3].

Gremia kształtujące zawartość tematyczną nowej dyscypliny naukowej, jaką są nauki o bezpieczeństwie, zdają się nie dostrzegać potrzeby włączenia do niej, jako odrębnej specjalności naukowej, zagadnień bezpieczeństwa informacyjnego. Potwierdza to chociażby program I Ogólnopolskiego Zjazdu Przedstawicieli Nauki o Bezpieczeństwie[4], którego głównymi tematami były:

filozofia bezpieczeństwa wewnętrznego,

polityka bezpieczeństwa,

instytucje bezpieczeństwa wewnętrznego,

strategie bezpieczeństwa narodowego i ponadpaństwowego,

ochrona granic,

zarządzanie kryzysowe,

europejska współpraca policyjna,

formy i rodzaje zagrożeń,

terroryzm - wyzwanie dla współczesnego świata,

teoria bezpieczeństwa w aspekcie historycznym i współczesnym.

i w którym to spisie tematów nie ma bezpieczeństwa informacyjnego.

W 2008 roku w Polskim Komitecie Normalizacyjnym powołano Komitet Techniczny nr 306[5] (Komitet bezpieczeństwa powszechnego i ochrony ludności) mający zapewnić wdrożenie w polskiej praktyce prawnej i zharmonizowanie w polskich normach wskazań dyrektyw UE związanych z bezpieczeństwem społecznym w warunkach kryzysu i zagrożeń[6], a wynikających pośrednio z regionalnej implementacji prac ISO/TC 223 „Societal Security”. Zakres tematyczny zagadnień do opracowania przez KT 306 jest następujący[7]:

– zintegrowane zarządzanie granicami,

– infrastruktura krytyczna (budynki, cywilna infrastruktura inżynieryjna, bezpieczeństwo zasilania w wodę oraz energię),

– ochrona i obrona przed bronią masowego rażenia,

– ochrona obywateli przed zjawiskami groźnymi dla życia i zdrowia lub powodującymi straty materialne, a także minimalizowanie ich skutków,

– przeciwdziałanie terroryzmowi,

– bezpieczeństwo łańcucha dostaw,

– zmniejszenie ryzyka popełniania przestępstw z wykorzystaniem produktów i usług,

– służby ratunkowe,

– likwidacja skutków użycia broni masowego rażenia i wystąpienia naturalnych kataklizmów.

Jak wynika z przytoczonej specyfikacji, również działania Komitetu (mającego w swojej nazwie „Bezpieczeństwo”) pomijają problematykę bezpieczeństwa informacyjnego. A przecież powodzenie wszelkich działań mających związek z szeroko rozumianym „bezpieczeństwem”, obejmującym obszary polityki, gospodarki, zdrowia itd., jest zależne od dostarczenia właściwej informacji we właściwe miejsce (lub do właściwych osób), we właściwym czasie. Dlatego zawartość niniejszej książki (w szczególności informacje przedstawione w rozdziałach 1–3) ma między innymi służyć uzasadnieniu postulatu włączenia zagadnienia bezpieczeństwa informacyjnego do dyscypliny naukowej „nauka o bezpieczeństwie” jako odrębnej specjalności naukowej.

Sprawę komplikuje dodatkowo fakt, że nie ma dotąd jednoznacznej wykładni pojęcia „bezpieczeństwo informacyjne” i związanego z nim pojęcia „bezpieczeństwo informacji”. Oba są często używane w różnych znaczeniach – propozycja interpretacji tych pojęć w niniejszej książce jest przedstawiona w rozdziale 1 i uszczegóło-wiona w 5.

Należy zaznaczyć, że książka ta nie jest pełnym i „jedynie słusznym” kompendium wiedzy o informacji i bezpieczeństwie informacyjnym w szczególności. Pominięto w niej całkowicie zagadnienia społecznego znaczenia „eksplozji informacyjnej”, tzw. „mass mediów” (telewizja, radio, prasa) oraz wojny informacyjnej w sensie militarnym[8], która, w mojej opinii, w mniej lub bardziej widocznej formie jest toczona cały czas. W książce przedstawiono tylko pewien fragment tej tematyki, obejmujący przede wszystkim zagadnienia zapewniania odpowiedniej jakości informacji przetwarzanej, przesyłanej i przechowywanej w systemach teleinformatycznych. Książka ta zatem może być co najwyżej przyczynkiem do szerszej dyskusji nad bezpieczeństwem informacyjnym, która to dyskusja, być może wsparta odpowiednimi regulacjami w dziedzinie prawa, doprowadzi do opracowania takiego „jedynie słusznego” kompendium.

Pomimo tych zastrzeżeń mam nadzieję, że książka będzie przydatna specjalistom zajmującym się, z racji wykonywanej profesji, bezpieczeństwem informacyjnym. Mam również nadzieję, że sięgną po nią studenci specjalności mających w nazwach takie określenia jak „bezpieczeństwo komputerowe”, „bezpieczeństwo sieci i systemów”, „inżynieria zabezpieczeń” itp., a specjalności te można znaleźć nie tylko na kierunkach studiów informatycznych, ale również coraz modniejszych kierunkach, takich jak „bezpieczeństwo narodowe” czy „bezpieczeństwo wewnętrzne”.

Niniejszą książkę można czytać, w zależności od potrzeb, wybranymi rozdziałami – każdy z nich stanowi zamkniętą całość zakończoną spisem cytowanej lub pomocnej we własnych poszukiwaniach literatury. Niemniej moim zamierzeniem było, aby rozdziały te układały się w logiczną całość, dając Czytelnikowi, który zdecydował się ją przeczytać od pierwszej do ostatniej strony, w miarę spójną wiedzę na temat bezpieczeństwa informacyjnego.

Zakres tematyczny książki obejmuje m.in. rozważania na temat definicji i znaczenia bezpieczeństwa informacyjnego oraz bezpieczeństwa informacji dla współczesnego społeczeństwa (rozdz. 1), nazywanego przecież często, nie tylko w środkach masowego przekazu, „społeczeństwem informacyjnym”[9]. Przy czym należy podkreślić, że dyskusja ta w książce jest prowadzona przede wszystkim z punktu widzenia inżyniera i współczesnych uwarunkowań technicznych (choć „nauki o bezpieczeństwie” włączono do nauk społecznych, a nie technicznych).

To, co najbardziej niepokoi specjalistów „od bezpieczeństwa”, to ataki terrorystyczne. Ten niepokój znajduje swoje odzwierciedlenie w aktach prawnych (patrz np. [3], [8]–[12] wymienione po rozdz. 1), które z kolei rzutują na świadomość urzędników zobligowanych do wdrażania odpowiednich przepisów. Ataki takie mogą być przeprowadzane na obiekty, których częścią są systemy teleinformatyczne, lub bezpośrednio na systemy teleinformatyczne i systemy sterowania. Rozdział 2 zawiera uzasadnienie pesymistycznej prognozy powodzenia takich ataków.

W rozdziale 3 są opisane nowego rodzaju zagrożenia związane z połączonymi systemami teleinformatycznymi i systemami sterowania oraz, w szerszej perspektywie, z infrastrukturą krytyczną państwa. W rozdziale 4, będącym w zasadzie kontynuacją tematyki z rozdziału 2 i 3 w zakresie tzw. „cyberterroryzmu”, jest przedstawione nietypowe zagrożenie związane z szerzącą się „nowomową”, która może istotnie utrudnić budowę skutecznych systemów bezpieczeństwa informacyjnego.

Rozdział 5 dotyczy podstaw formalnych bezpieczeństwa informacji. Oprócz podstawowego twierdzenia bezpieczeństwa są w nim zaprezentowane wybrane modele formalne jako podstawa właściwego kształtowania polityki bezpieczeństwa.

W rozdziale 6, zgodnie z zasadą, że „to co nie jest spisane, nie istnieje”, przedstawiono podstawowy kanon dokumentacji systemu bezpieczeństwa informacji. Szczególna uwaga została zwrócona na dokumenty: polityki bezpieczeństwa i planów zapewniania ciągłości działania, ponieważ ich znaczenie wykracza poza wąsko rozumianą ochronę informacji w systemach informacyjnych i, w szczególności, systemach teleinformatycznych.

Zagadnienia zapewniania informacyjnej ciągłości działania zostały rozwinięte w rozdziale 7, gdzie zwięźle zaprezentowano podstawowe zarówno organizacyjne, jak i techniczne przedsięwzięcia z tego zakresu dla systemów teleinformatycznych. Ponieważ obecnie podstawą projektowania systemów bezpieczeństwa jest właściwie przeprowadzona analiza ryzyka, dlatego w rozdziale 8 przedstawiono sposób przeprowadzenia analizy ryzyka w wariancie jakościowym[10] oraz zamieszczono uwagi o organizacji takiego przedsięwzięcia w szerszej skali, np. resortu czy państwa.

Krzysztof Liderman

Warszawa, luty 2012

[1] Należy jednak pamiętać, że według danych Międzynarodowej Unii Telekomunikacyjnej (ITU) obecnie dostęp do Internetu ma około 30% mieszkańców Ziemi, zatem przytaczane tutaj przyczyny „eksplozji informacyjnej” nie dotyczą przeważającej części ludzkości – ich problemy informacyjne są na innym poziomie.

[2] Dz.U. Nr 179 z dn.8.08.2011, poz.1065 (wejście w życie: 01.10.2011).

[3] Chociaż jeszcze w styczniu 2011 r., uchwałą Centralnej Komisji do spraw Stopni i Tytułów (M.P. z dnia 21 lutego 2011 r.) zmieniającej uchwałę w sprawie określenia dziedzin nauki i dziedzin sztuki oraz dyscyplin naukowych i artystycznych, nauki o bezpieczeństwie zaliczano do nauk humanistycznych!

[4] Odbył się w dn. 15–16 czerwca 2011 r. w Wyższej Szkole Policji w Szczytnie; organizatorami były: Wydział Prawa i Administracji UWM w Olsztynie oraz Wydział Bezpieczeństwa i Administracji WSPol w Szczytnie.

[5] W skrócie KT 306.

[6] M. Blim: Normalizacja w zarządzaniu bezpieczeństwem – nowe spojrzenie. W: Zabezpieczenia 4/2009.

[7] KT 306 jest sklasyfikowany według ICS jako: 01.040.03; 01.040.13; 03.080.20; 03.080.30; 03.100.01; 13.060.01; 13.200; 13.310; 13.340.10; 95.020.

[8] Istota operacji informacyjnych militarnych jest określona w dokumencie MC-422 „NATO Information Operations Policy” przyjętym w 1999 r., gdzie operacje informacyjne definiuje się jako „ ... działania wpływające na proces podejmowania decyzji w sferze politycznej i militarnej poprzez ochronę własnych systemów informacyjnych i destrukcyjne oddziaływanie na systemy informacyjne przeciwnika”.

[9] Dobitnym przykładem realnej siły „społeczeństwa informacyjnego” są wydarzenia z początku 2012 r. mające związek z podpisaniem przez Polskę ACTA (Anti-Counterfeiting Trade Agreement), których rozdział 2, sekcja 5: Dochodzenie i egzekwowanie praw własności intelektualnej w środowisku cyfrowym, dotyczy bezpośrednio działalności szerokiej rzeszy internautów w tzw. środowisku cyfrowym. Warto zauważyć, że „społeczeństwo informacyjne” użyło Internetu (czyli tegoż „środowiska cyfrowego”) zarówno do organizacji protestów, jak i bezpośrednich ataków na środowisko cyfrowe wybranych agencji rządowych i członków rządu.

[10] Więcej informacji na temat analizy ryzyka zainteresowany Czytelnik znajdzie w książce: Liderman K.: Analiza ryzyka i ochrona informacji w systemach komputerowych. PWN, Warszawa 2008.

1.
Wprowadzenie do bezpieczeństwa informacyjnego i bezpieczeństwa informacji

(...) I ten winien, co kijem bezpieczeństwo mierzył,

I ten, co bezpieczeństwa głupiemu powierzył.

„Kulawy i ślepy” Ignacy Krasicki

Współczesne, zaawansowane technologicznie społeczeństwa swój byt w dużym stopniu uzależniają od informacji i to głównie informacji przetwarzanej, przechowywanej i przesyłanej w systemach teleinformatycznych[1].

Informacja:

jest przede wszystkim towarem, i to często o znaczeniu strategicznym (dla państwa, firmy, ale także konkretnej osoby);

Od zarania dziejów ci, którzy dysponowali właściwą informacją we właściwym czasie, wygrywali wojny oraz osiągali sukcesy rynkowe. Dlatego współcześnie, podobnie jak rudy uranu czy nowe technologie, informacja jest towarem, który można kupić, dzięki któremu można osiągnąć określone korzyści i który trzeba chronić, mając na względzie własne interesy.

jest podstawowym elementem procesów biznesowych;

Podstawą działania prawie wszystkich współczesnych firm i organizacji, w tym organizacji takiej jak państwo, jest poprawny obieg informacji. Przerwanie tego obiegu lub sfałszowanie informacji powoduje straty, dla firmy kończące się często bankructwem, a dla państwa – niepokojami społecznymi, zaburzeniami w gospodarce krajowej, gorszym postrzeganiem na forum międzynarodowym itd.

służy do sterowania procesami w zautomatyzowanych procesach wytwórczych i usługowych o kluczowym znaczeniu dla gospodarki i społeczeństwa;

Informacja może występować także w szczególnej postaci – informacji sterującej urządzeniami, zwykle czujnikami i mechanizmami wykonawczymi. Błędne sterowanie takimi systemami może powodować katastrofy (np. ekologiczne) i wywoływać kryzysy na skalę lokalną, ogólnokrajową lub międzynarodową.

bywa chroniona na mocy obowiązującego prawa lub zawartych umów;

Ze względów przedstawionych w punktach 1–3 oraz ze względu na ochronę dóbr osobistych obywateli wszystkie cywilizowane kraje mają przepisy prawne wymuszające ochronę informacji przed nieuprawnionym dostępem, zapewnienie właściwego jej przetwarzania, przechowywania i przesyłania oraz określające zasady zbierania niektórych kategorii informacji.

Aby informacja we właściwy sposób spełniała funkcje wymienione w punktach 1–3, powinna być odpowiedniej, tzn. dobrej jakości. Ogólnie uznanymi kryteriami jakości informacji są:

relewantność – określa, czy informacja jest istotna dla odbiorcy, związana z tym, czego odbiorca poszukuje;

dokładność – oznacza to, że jest ona precyzyjna oraz zaprezentowana w sposób odpowiedni do poziomu wiedzy jej użytkownika;

aktualność – co oznacza, że informacja jest zmieniana bez opóźnień odpowiednio do zmian przedmiotu opisu;

kompletność – co oznacza, że jest dostępna w ilości i stopniu szczegółowości zgodnym z wymaganiami jej użytkownika;

spójność – oznacza, że poszczególne fragmenty informacji są niesprzeczne, dotyczą zadanego tematu i są prezentowane i przekazywane w jednolitej formie;

odpowiedniość formy – oznacza, że jest prezentowana w sposób, który minimalizuje jej błędną interpretację;

wiarygodność – oznacza, że zawarte są w niej elementy upewniające co do rzetelności niesionego przez nią przekazu.

Jak widać, ocena jakości informacji jest oparta na trzech składowych: treści, formie i użytkowniku informacji. Waga branych pod uwagę kryteriów może się różnić w zależności od dziedziny wykorzystywania informacji: finanse, statystyka, prawo, ekonomia itp.

Żeby móc poprawnie ocenić jakość informacji, potrzebna jest dodatkowa informacja ją opisująca[2]. Przykładami takiej „informacji opisującej”, które stają się standardem dla informacji umieszczanej w Internecie, są:

informacje o interesariuszach (ang. transparency and honesty) – dane identyfikacyjne dostawców treści, administratorów strony, sponsorów, reklamodawców itd., a także określenie celów i zamiarów właściciela strony internetowej oraz grupy docelowej, do której skierowana jest zamieszczona na niej informacja;

informacje uwierzytelniające prezentowane treści (ang. authority) – status wykorzystanych źródeł informacji, dane i rekomendacje dotyczące podmiotów opracowujących treści, daty ich dostarczania;

informacje o stosowanej polityce zachowania prywatności i ochronie danych (ang. privacy and data protection) – wskazanie polityki zabezpieczania własności intelektualnej i prywatności oraz zgodności z obowiązującymi przepisami prawa;

informacje o aktualności treści (ang. updating of information) – daty wprowadzenia zmian, w tym uaktualniania linków;

informacje umożliwiające rozliczalność (ang. accountability) – dane identyfikacyjne i kontaktowe osób przygotowujących merytoryczną treść strony WWW oraz zasady edytowania stron i doboru materiału.

Poza wymienionymi na pierwszej z list atrybutami jakości informacji, mając na względzie techniczną stronę jej przesyłania, przechowywania i przetwarzania, wyróżnia się szereg atrybutów związanych z ochroną informacji, takich jak:

tajność – informuje o wymaganym stopniu ochrony informacji przed nieuprawnionym dostępem; stopień tajności jest uzgadniany przez osoby lub organizacje dostarczające i otrzymujące informację;

integralność – oznacza, czy dane i informacje są poprawne, nienaruszone i nie zostały poddane manipulacji;

dostępność – informuje, czy dane, procesy i aplikacje są dostępne zgodnie z wymaganiami użytkownika (lub wymaganiami na system);

rozliczalność – dotyczy możliwości identyfikacji użytkowników informacji i systemu teleinformatycznego oraz wykorzystywanych przez nich usług; atrybut ten decyduje także o możliwości prowadzenia skutecznej analizy powłamaniowej;

niezaprzeczalność – informuje o możliwości wyparcia się uczestnictwa przez podmiot uczestniczący w wymianie informacji;

autentyczność – oznacza możliwość jednoznacznego stwierdzenia, jaki podmiot przesłał dane.

Atrybuty wymienione na tej liście nie zależą wyłącznie od informacji jako takiej, ale również od przyjętych rozwiązań organizacyjnych i technicznych systemu, w jakim są przetwarzane, przechowywane lub przesyłane. Tajności i integralności, jako podstawowych atrybutów „bezpieczeństwa” informacji, dotyczą modele formalne opisane w rozdziale 5.

Ze względu na popularność i powszechność używania nieco szerszego komentarza wymagają terminy „tajność” i „poufność”. Jak już wspomniano, tajność informuje o wymaganej sile ochrony informacji przed nieuprawnionym dostępem. Wielkość tego stopnia jest uzgadniana przez osoby lub organizacje dostarczające i otrzymujące informację. Pojawiają się zatem problemy (opisane szczegółowo w podrozdz. 5.1):

jednoznacznego oznakowania informacji jako „tajnej” (problem nadawania tzw. „klauzul tajności” i przyjęcia odpowiednich „gryfów tajności”);

„uprawniania” podmiotów (kto/co, według jakich zasad) do dostępu do informacji tajnej (problem tzw. „dopuszczenia”[3] i autoryzacji podmiotu-człowieka);

zapewnienia, że dostęp uzyskają tylko podmioty uprawnione i tylko w wymaganym zakresie (problem udostępnienia podmiotowi informacji na podstawie poprawnego uwierzytelniania i weryfikacji autoryzacji podmiotu oraz nadzorowania jego działań, czyli cała problematyka budowy systemu ochrony informacji zarówno w wymiarze organizacyjnym, jak i technicznym).

Potocznie pojęcie „tajności” jest rozumiane jako brak możliwości zapoznania się (czyli rozpatrując problem od strony technicznej – odczytu) z informacją uznaną za tajną przez podmioty (osoby) nieuprawnione. Sprawę komplikuje jednak język potoczny, a taki jest używany nie tylko przez zwykłych ludzi, ale także przez polityków, publicystów i dziennikarzy, czyli osoby kształtujące sposób rozumienia pewnych pojęć przez ogół obywateli. Najczęściej zamiast o tajności mówi się o poufności, ale pojawiają się też sformułowania takie jak „prywatność”, „anonimowość” czy „tajemnica”.

Poufność to prawo jednostki do decydowania o tym, jakimi informacjami i z kim chce się podzielić i jakie jest skłonna przyjąć. Poufność jest łączona z pojęciem „tajemnicy”, np. w ustawie z dn. 16.04.1993 o zwalczaniu nieuczciwej konkurencji można znaleźć:

Art.11 pkt. 4: Przez tajemnicę przedsiębiorstwa rozumie się nie ujawnione do wiadomości publicznej informacje techniczne, technologiczne, handlowe lub organizacyjne przedsiębiorstwa, co do których przedsiębiorca podjął niezbędne działania w celu zachowania ich poufności.

Zobowiązanie do zachowania poufności w relacji pomiędzy podmiotami, np. zleceniodawcą (klientem) a podmiotem wykonującym zlecenie, zwykle obliguje wykonawcę do:

– zachowania w tajemnicy wszelkich informacji poufnych, o których dowiedział się z przekazanych przez klienta dokumentów;

– niewykorzystywania uzyskanych informacji poufnych w celach innych niż wykonanie pracy;

– zachowania należytej staranności w celu zapewnienia, że osoba trzecia nie uzyska dostępu do dokumentów i materiałów będących w jego posiadaniu a stanowiących własność zleceniodawcy;

– niesporządzania kopii dokumentów bądź materiałów będących w jego posiadaniu, które zawierają bądź będą zawierały informacje poufne dotyczące zleceniodawcy;

– zwrotu, na żądanie klienta, wszystkich dokumentów bądź materiałów, które otrzymał w celu wykonania pracy.

Żeby wykonawca mógł wywiązać się z tak sformułowanych zobowiązań, zleceniodawca musi zatem wskazać, które informacje z dostarczonych podmiotowi są dla niego poufne.

Sprawę dodatkowo komplikuje fakt, że terminy „tajne” i „poufne” przyjęto jako nazwy etykiet wrażliwości informacji zgodnie z ustawą z dn. 05.08.2010 r. o ochronie informacji niejawnej[4]. A zatem używając takich słów jak „tajność” czy „poufność”, zawsze należy mieć na uwadze kontekst wypowiedzi, bo w zależności od niego mogą one oznaczać:

– informację etykietowaną na podstawie wymienionej ustawy („tajne”, „poufne”);

– zakaz odczytu tak oznakowanej informacji przez podmioty do tego nieuprawnione;

– brak zgody dysponenta informacji na jej bezwarunkowe udostępnianie (poufność);

– wymagany stopień ochrony informacji przed nieuprawnionym dostępem (tajność).

Ze względu na znaczenie dla użytkownika wszystkie wykorzystywane przez niego informacje, jak również te informacje, które go dotyczą, można podzielić na wrażliwe i niewrażliwe. Informacje wrażliwe dla określonego podmiotu to te, które mogą zostać wykorzystane przeciwko jego interesom poprzez ujawnienie, uniedostępnienie oraz zmanipulowanie.

Wrażliwe są te wszystkie informacje, które muszą być chronione, bo tak nakazują obowiązujące przepisy prawne (np. ustawa o ochronie danych osobowych), oraz takie, których nakaz ochrony nie jest zawarty w żadnych regulacjach prawnych, a które organizacjom wytwarzającym je i przetwarzającym są zwykle wskazywane przez kompetentne organy, np. służby ochrony państwa, wewnętrzne komórki bezpieczeństwa w danej organizacji, pełnomocnika ds. bezpieczeństwa informacji. Takimi informacjami mogą być też dane same w sobie niewrażliwe, ale które stają się takimi w powiązaniu z innymi informacjami, pozwalając wyciągnąć prawidłowe wnioski np. o strategii rynkowej firmy w kolejnym kwartale. Przykładem mogą być informacje dotyczące spotkań kierownictwa firmy, zamówionych przez nich analiz firm trzecich, planów wyjazdów służbowych itd. Informacjami wrażliwymi są też informacje dotyczące życia osobistego czołowych przedstawicieli kierownictwa firmy, których ujawnienie mogłoby posłużyć do wywołania skandalu (i w rezultacie np. do obniżenia notowań firmy na giełdzie, zerwania umów) czy też do szantażowania określonych osób, np. w celu ujawnienia przez nie innych informacji, tym razem strategicznych dla firmy.

Problem w praktyce ochrony informacji polega na tym, że najczęściej wymagana identyfikacja informacji wrażliwej ogranicza się do jej inwentaryzacji i przeglądu zasobów w ramach analizy ryzyka. Rzadko bierze się pod uwagę, że:

– oprócz identyfikacji informacji wrażliwych w organizacji trzeba je zlokalizować także poza nią;

– należy uwzględnić informacje pośrednie, pozwalające na wnioskowanie;

– powinno się zidentyfikować obieg informacji wrażliwej – to pozwala m.in. na opracowanie procedury lokalizacji jej „przecieków”.

Sprawę komplikuje dodatkowo fakt, że:

– prawa własności co do informacji są często trudne do określenia;

– ustalenie wartości strat w wypadku ataków informacyjnych bywa trudne lub wręcz niemożliwe – dotyczy to np. utraty spodziewanych korzyści, wizerunku, przewagi konkurencyjnej[5];

– lokalizacja wartościowych informacji bywa trudna.

Podsumowując – osoby odpowiedzialne za ochronę informacji powinny dbać o ochronę informacji wrażliwych, a nie „danych osobowych” czy „informacji niejawnych”. Te kategorie informacji są tylko szczególnymi przypadkami informacji wrażliwej. Brak takiego podejścia do ochrony informacji jest podstawowym błędem organizacyjnym, którego nie zniwelują żadne środki techniczne. Ze względu na wagę ról informacji wymienionych na początku tego rozdziału, istotnego znaczenia nabiera tzw. bezpieczeństwo informacyjne obejmujące wszystkie formy (także werbalne) wymiany, przechowywania i przetwarzania informacji. Według ogólnie uznanych poglądów (por. np. [1]) bezpieczeństwo informacyjne dotyczy podmiotu (człowieka lub organizacji), który może być zagrożony utratą zasobów informacyjnych lub otrzymaniem informacji złej jakości. Zatem bezpieczeństwo informacyjne oznacza uzasadnione zaufanie podmiotu do jakości i dostępności pozyskiwanej oraz wykorzystywanej informacji.

Z kolei bezpieczeństwo informacji oznacza uzasadnione (np. analizą ryzyka i przyjętymi metodami postępowania z ryzykiem) zaufanie, że nie zostaną poniesione potencjalne straty wynikające z niepożądanego (przypadkowego lub świadomego) ujawnienia, modyfikacji, zniszczenia lub uniemożliwienia przetwarzania informacji przechowywanej, przetwarzanej i przesyłanej w określonym systemie jej obiegu.

Z przytoczonych definicji wynika, że bezpieczeństwo informacji jest składową bezpieczeństwa informacyjnego – informację trzeba najpierw pozyskać, a potem, w trakcie jej wykorzystywania przez podmiot (przechowywania, przetwarzania, przesyłania), odpowiednio chronić. Można także zauważyć, że „bezpieczeństwo” nie jest ani obiektem, ani zdarzeniem, ani procesem – to imponderabilia z dziedziny psychologii. Dokładniejsza dyskusja tego zagadnienia jest przedstawiona w rozdziale 5.

Do dalszych rozważań przyjmuje się, że system informacyjny to system przesyłania, przetwarzania i przechowywania informacji. Natomiast system informatyczny[6] to ta część systemu informacyjnego, w której do przesyłania, przetwarzania i przechowywania informacji wykorzystywane są środki techniki komputerowej. Ta definicja obejmuje wszystkie warianty praktycznej realizacji takiego systemu, według różnych klasyfikacji, takie jak sieć komputerowa, system rozproszony, a także przemysłowy system sterowania (ang. ICS – Industrial Control System).

Specjaliści od techniki komputerowej posługują się najczęściej pojęciem danych a nie informacji. Przyjmuje się, że informacje jako przedmiot przechowywania, przesyłania i przetwarzania w systemach informatycznych nazywa się danymi. Jednak dla skutecznej ochrony danych/informacji, ze względu na przedstawione wcześniej zależności pomiędzy systemem informacyjnym a informatycznym, obecnie obowiązujący paradygmat w dziedzinie bezpieczeństwa informacyjnego brzmi: chronimy informacje – dane są tylko ich szczególnym przypadkiem. Najogólniej, działania w dziedzinie ochrony informacji można sklasyfikować jako ochronę przed:

nieuprawnionymi działaniami ludzi przez:

ograniczenie dostępu fizycznego do elementów systemu informacyjnego (w tym teleinformatycznego) i wymaganie uwierzytelnienia oraz weryfikacji autoryzacji w celu dostępu do danych w systemie teleinformatycznym;

odpowiednie przedsięwzięcia (w tym procedury) organizacyjne;

stosowanie specjalistycznych narzędzi programowych i sprzętowych do wykrywania nieuprawnionego dostępu do zasobów informacyjnych w systemie teleinformatycznym;

skutkami katastrof i działań terrorystycznych przez:

przygotowanie planów zapewniania ciągłości działania, w tym planów odtwarzania;

szkolenia personelu;

redundancje sprzętowe, programowe i osobowe;

błędami ludzkimi i organizacyjnymi przez:

przygotowanie planów zapewniania ciągłości działania;

odpowiednie procedury organizacyjne;

nadzór i kontrole;

szkolenia personelu;

awariami sprzętu i wadami oprogramowania przez:

odpowiednią politykę zakupu sprzętu i oprogramowania;

odpowiednie procedury eksploatacyjne;

szkolenia personelu;

redundancje sprzętowe;

przygotowanie planów zapewniania ciągłości działania.

Zgodnie z obowiązującym aktualnie trendem wszystkie z wymienionych działań powinny być uzasadnione analizą ryzyka (patrz rozdz. 8) i dobrze udokumentowane (patrz rozdz. 6).

Bezpieczeństwo informacyjne jest podstawą szeroko rozumianego bezpieczeństwa obejmującego bezpieczeństwo militarne, finansowe, gospodarcze, socjalne itd. zarówno w skali globalnej, jak i pojedynczych państw. Bez zapewnienia bezpieczeństwa informacyjnego osiągnięcie bezpieczeństwa „innoprzymiotnikowego” jest skazane na niepowodzenie. Niestety, jak wynika z faktów przytoczonych we Wstępie, wydaje się, że bezpieczeństwo informacyjne jest przez specjalistów z dziedzin bezpieczeństwa „innoprzymiotnikowego” (przynajmniej w Polsce) niedostrzegane, a w najlepszym przypadku marginalizowane.

Samo bezpieczeństwo informacyjne, ze względu na coraz większy udział w transmisji, przechowywaniu i przetwarzaniu informacji środków technicznych, jest podatne na różne formy tzw. cyberzagrożeń, w tym tych związanych z działaniami terrorystycznymi. Tezę tę można podbudować cytatami z przyjętej w 2010 r. koncepcji strategicznej NATO [3]:

[…] 12. Ataki cybernetyczne stają się coraz częstsze, lepiej zorganizowane i bardziej kosztowne, biorąc pod uwagę szkody, jakie wyrządzają administracjom rządowym, biznesowi, gospodarce, a potencjalnie także transportowi, sieciom dostaw i innej infrastrukturze krytycznej; mogą one osiągnąć poziom, którego przekroczenie zagraża narodowemu i euroatlantyckiemu dobrobytowi, bezpieczeństwu i stabilności. Źródłem takich ataków mogą być obce siły wojskowe i służby wywiadowcze, zorganizowane grupy przestępcze, terrorystyczne i/lub grupy ekstremistyczne.[…]

19. Zapewnimy, aby NATO dysponowało pełnym zakresem zdolności niezbędnych do odstraszania i obrony przed jakimkolwiek zagrożeniem bezpieczeństwa naszych społeczeństw. Dlatego będziemy: [...] Rozwijać dalej nasze możliwości zapobiegania, wykrywania, obrony przed atakami cybernetycznymi oraz odtwarzania zdolności po nich, w tym wykorzystując proces planowania NATO na rzecz wzmocnienia i koordynacji narodowych zdolności w dziedzinie obrony cybernetycznej, włączając instytucje NATO w scentralizowany system ochrony cybernetycznej oraz integrując system monitorowania, ostrzegania i reagowania cybernetycznego NATO z państwami członkowskimi; [...]

Jednym z kluczowych obszarów, na których działania terrorystyczne czy też „cyberprzestępcze” (patrz np. [12]) mogłyby być realizowane, są zatem sieci i systemy teleinformatyczne będące kluczowym elementem infrastruktury wszystkich rozwiniętych cywilizacyjnie państw. Temat możliwości takich działań podchwyciły mass media (bo temat jest nośny medialnie), przy okazji z zapałem tworząc wraz politykami nowe, bogate słownictwo, obfitujące w słowa z przedrostkiem cyber- (cyberterroryzm, cyberatak, cyberobrona, cyberprzestrzeń, cyberprzestępstwo itp. – patrz rozdz. 4). Wydaje się jednak, że ataki na systemy i sieci teleinformatyczne są skazane na powodzenie, co jest zresztą dobrą wiadomością dla mass mediów („dobra wiadomość to zła wiadomość”). Uzasadnienie tezy o niezawodnym powodzeniu takich ataków jest zawarte w rozdziale 3.

Na przedstawionym obszarze działania lokuje się inicjatywa z 2011 r. prezydenta B. Komorowskiego dotycząca zmian w polskim prawie. Celem bezpośrednim prezydenckiego projektu ustawy jest stworzenie podstaw prawnych do uwzględniania problematyki cyberprzestrzeni w przygotowaniu się państwa na ewentualność działania w takich sytuacjach szczególnych zagrożeń, w których konieczne byłoby wprowadzenie jednego ze stanów nadzwyczajnych: stanu klęski żywiołowej, stanu wyjątkowego lub stanu wojennego[7].

Wysiłek administracji państwa polskiego w zakresie bezpieczeństwa informacyjnego dobrze ilustrują dwa dokumenty: „Strategia Bezpieczeństwa Narodowego Rzeczypospolitej Polskiej” [10] i „Rządowy program ochrony cyberprzestrzeni RP na lata 2009–2011” [9]. W „Strategii” w podrozdziale 3.8 „Bezpieczeństwa informacyjne i telekomunikacyjne” (paragrafy 78–82[8]) oraz w podrozdziale 4.3 „Podsystemy wykonawcze”, gdzie znajduje się paragraf 114 „Informatyzacja i telekomunikacja”. Podstawową wadą przywołanych zapisów, moim zdaniem, jest brak usystematyzowania problemów do rozwiązania oraz przesadne akcentowanie znaczenia bezpieczeństwa telekomunikacyjnego – oprócz tytułu, sformułowanie „bezpieczeństwo informacyjne” nigdzie w paragrafach 78–82 się nie pojawia. Obszerne omówienie „Strategii” można znaleźć np. w [2].

Drugi z przywołanych dokumentów („Założenia”) zawiera zarys podstaw, na których ma być budowany system ochrony „cyberprzestrzeni”. W 2011 r. na etapie uzgodnień międzyresortowych znajdował się dokument „Rządowy program ochrony cyberprzestrzeni Rzeczypospolitej Polskiej na lata 2011–2016”, po których dokument ten został wycofany. Pomijając zasadniczą, dla sprawy skutecznej ochrony, ułomność definicji zamieszczonych na stronie 6 tego dokumentu (w tym kluczową definicję „cyberprzestrzeni”), w dokumencie proponuje się skoordynowanie przedsięwzięć natury legislacyjnej, organizacyjnej, edukacyjnej i technicznej obligatoryjnych dla organów władzy publicznej i operatorów infrastruktury krytycznej i dobrowolnych dla pozostałych podmiotów – użytkowników cyberprzestrzeni. Należy mieć nadzieję, że docelowa wersja tego programu (o ile taka będzie) zostanie dobrze dopracowana, ponieważ w obecnej postaci, oprócz rozrostu biurokracji, nie rokuje innych „sukcesów”.

Z wysiłków innych państw w zakresie ochrony informacji (i ogólniej, cyberprzestrzeni) należy wymienić przede wszystkim działania USA. Podstawowe znaczenie mają: „Strategia działania w cyberprzestrzeni” [11] oraz wydany w lutym 2009 r. „techniczny” dokument „Consensus Audit Guidelines”[9] (CAG). W pierwszym z dokumentów są przedstawione inicjatywy dotyczące:

cyberprzestrzeni jako kolejnej domeny operacyjnej – obok ziemi, morza, powietrza i przestrzeni kosmicznej;

wdrożenia nowej koncepcji operacyjnej;

współpracy z instytucjami rządowymi i krajowymi agencjami oraz sektorem prywatnym;

budowania relacji z sojusznikami USA i innymi partnerami zagranicznymi;

działania na rzecz rozwoju technologii służących bezpieczeństwu cyberprzestrzeni.

Głównym założeniem tej strategii jest wzmocnienie zdolności obronnych w cyberprzestrzeni i zniechęcenie potencjalnych agresorów do „cyberataku” na USA.

W drugim z dokumentów (CAG), promowanym np. przez instytut SANS, wyspecyfikowano 20 przedsięwzięć niezbędnych (zdaniem autorów opracowania) do szybkiego zabezpieczenia systemu i sieci komputerowej przed „cyberatakami”. Każde z tych przedsięwzięć (nazwane Critical Control) składa się z trzech części:

– How do attackers export the lack of this control? – opisującej sposób wykorzystania niezabezpieczonej podatności;

– How can this control be implemented, automated, and its effectiveness measured? – podającej, w postaci czterech grup zaleceń, sposoby minimalizowania określonej podatności;

– Procedures and tools for implementing this control – zawierającej wskazówki na temat możliwości wspomagania procesu zabezpieczania wskazanymi narzędziami programowymi i przedsięwzięciami organizacyjnymi.

Dwadzieścia podstawowych przedsięwzięć zabezpieczających przed „cyberatakami” zdefiniowanych w CAG to:

Inventory of Authorized and Unauthorized Hardware (inwentaryzacja autoryzowanego i nieautoryzowanego sprzętu).

Inventory of Authorized and Unauthorized Software (inwentaryzacja autoryzowanego i nieautoryzowanego oprogramowania).

Secure Configurations for Hardware and Software on Laptops, Workstations, and Servers (utwardzająca konfiguracja sprzętu i oprogramowania na laptopach, stacjach roboczych i serwerach).

Secure Configurations of Network Devices such as Firewalls and Routers (utwardzająca konfiguracja urządzeń sieciowych, takich jak zapory sieciowe i rutery).

Boundary Defense (ochrona brzegowa).

Maintenance and Analysis of Complete Security Audit Logs (utrzymywanie i analiza dzienników bezpieczeństwa).

Application Software Security (bezpieczeństwo aplikacji).

Controlled Use of Administrative Privileges (kontrola używania uprawnień administracyjnych).

Controlled Access Based on Need to Know (kontrola dostępu na podstawie wiedzy koniecznej).

Continuous Vulnerability Testing and Remediation (ciągłe testowanie podatności i ich minimalizowanie).

Dormant Account Monitoring and Control (monitorowanie i kontrola nieaktywnych kont).

Anti-Malware Defenses (ochrona przed złośliwymi programami i kodami).

Limitation and Control of Ports, Protocols and Services (ograniczanie dostępu do portów, protokołów oraz usług i sprawowanie nad nimi kontroli).

Wireless Device Control (nadzór nad urządzeniami bezprzewodowymi).

Data Leakage Protection (przeciwdziałanie wyciekowi danych).

Dodatkowe przedsięwzięcia, dla których nie przewiduje się bezpośredniego zautomatyzowanego wsparcia, to: Secure Network Engineering (bezpieczna architektura sieciowa).

Red Team Exercises (ćwiczenia zespołów typu Red Team).

Incident Response Capability (reagowanie na incydenty).

Data Recovery Capability (odtwarzanie danych po katastrofie).

Security Skills Assessment and Training to Fill Gaps (szkolenia z zakresu bezpieczeństwa teleinformatycznego).

Na każde z przedsięwzięć głównych składa się szereg przedsięwzięć o mniejszym zakresie, pogrupowanych w części „How can this control be implemented, automated, and its effectiveness measured?” w następujące zbiory:

– Quick Wins – wskazówki, gdzie/jak można szybko i niskim kosztem starać się zminimalizować podatności, poprawiając tym samym ogólny stan ochrony organizacji przed „cyberatakami”.

– Improved Visibility and Attribution – wskazówki, jak uwidocznić/szukać potencjalnych celów ataków poprzez monitorowanie i strukturyzowanie (przypisywanie atrybutów do procesów i zasobów) organizacji.

– Hardened Configuration and Improved Information Security Hygiene – wskazówkidotyczące utwardzania programów, urządzeń i systemów.

– Advanced – zalecenia, co jeszcze może w przyszłości zrobić organizacja, np. gdy będzie dysponowała większym budżetem, żeby ochronić się przed „cyberatakami”.

Także gremia ponadpaństwowe poczyniły wysiłki mające na celu opracowanie standardów w dziedzinie zarządzania ochroną informacji. Należą do nich przede wszystkim normy serii ISO/IEC 27000, [4], [5], oraz standard Common Criteria (standardowi temu odpowiadają normy ISO/IEC oraz polskie normy [6], [7]), a także działania podejmowane na forum Unii Europejskiej (patrz np. [12]).