SIGURNOST INFORMACIJSKIH SUSTAVAPitanja i odgovori za ispit

1. Što je sigurnost, te koji je razlog za implementaciju sustava sigurnosti u poduzećuSIGURNOST – niz mjera i postupaka koji se poduzimaju u cilju osiguranja funkcionalnosti poslovnog sustava u produkcijskim uvjetima

Pošto se funkcionalnost poslovnih sustava sve više oslanja na informacijsku potporu, ta velika ovisnost o podacima, informacijama i komunikaciji traži odgovarajuću razinu osiguranja temeljnih pretpostavki organizacijskog djelovanja sustava. U tome leži temeljeni razlog potrebe izgradnje sustava sigurnosti informacijskog sustava čija funkcionalnost ovisi o integritetu informacijskog sadržaja, njegovoj točnosti, nepromjenjivosti upisanog sadržaja, ali i stalnoj dostupnosti. Zato je potrebno izgraditi sustav sigurnosti koji će odgovoriti na sve postavljene zahtjeve, a istovremeno neće biti prepreka primjeni u pretpostavljenim uvjetima.

2. Koji je odnos sigurnosti i zaštite informacijskog sustavaZAŠTITA – je čitav niz mjera i postupaka koji se poduzimaju kako bi se smanjila razina prijetnji kod pretpostavljenih rizika

3. Što je računalni kriminal, te koje radnje se mogu opisati kao računalni kriminalRačunalni kriminal, u najširem smislu, shvaćen je kao nedozvoljena djelatnost vezana uz funkcioniranje računalskih sustava. Računalno prisluškivanje, neovlašteno prodiranje u računalne sustave, manipulacije bankovnim automatima, krivotvorenja različitih isprava, neovlašteno kopiranje komercijalnih korisničkih programa. Manipulacije s računalom najčešće su usmjerene na stjecanje protupravne imovinske koristi. Vrlo je čest slučaj krađe softvera, tj. neovlaštenog kopiranja korisničkih programa svih vrsta, čime se zakidaju prihodi autora takvih programa.

4. Navedite nekoliko primjera računalnog kriminala?Računalno prisluškivanje, neovlašteno prodiranje u računalne sustave, manipulacije bankovnim automatima, krivotvorenja različitih isprava, neovlašteno kopiranje komercijalnih korisničkih programa.

5. Što govori Hrvatski zakon o računalnom kriminalu?Zakon o računalnom kriminalu u RH još uvijek ne postoji niti ima kakvih naznaka da će uskoro biti donesen. Odredbe koje su vezane za računalni kriminal disperzirane su u različitim zakonima. Postoji međunarodna «Konvencija o računalnom kriminalu» koju je Hrvatska potpisala pa ju obvezuje.Konvencija je prva međunarodna prekretnica u sprečavanju računalnog kriminala i kriminala posredstvom interneta. Konvencija se naročito fokusira na probleme autorskog prava, računalnih prijevara, dječje pornografije, narušavanja mrežne sigurnosti i sl. Glavni cilj konvencije je baviti se općenitim računalnim politikama koje se fokusiraju na zaštitu društva od računalnog kriminala i to posebno između zemalja potpisnicama.

Članci Kaznenog zakona koji u nas inkriminiraju ponašanja specificirana kao kaznena djela u člancima 2. do 6. Konvencije o kibernetičkom kriminalu su čl. 223, Oštećenje i upotreba tuđih podataka, koji pokriva kaznena djela Neovlaštenog pristupa i Oštećenja, izmjene i uništenja podataka (čl. 2 i 4. Konvencije).

Što se tiče čl. 3 i Kazneno djelo neovlaštenog presretanja podataka (Illegal Interception) u teoriji se smatra da premda čl. 223. ne sadrži odredbe o kompjutorskoj špijunaži, postoji dovoljno postojećih inkriminacija kojima se može sankcionirati ovakvo ponašanje u svojim pojavnim oblicima. Tako npr. inkriminacije o izdavanju i neovlaštenom pribavljanju poslovne tajne (čl. 295 KZ) ili odavanju službene tajne (čl. 132 KZ), odavanju državne tajne (čl. 144 KZ). Tu je i čl.133 i Nedozvoljena upotreba osobnih podataka, čime se pokriva kako prikupljanje, obrađivanje i korištenje osobnih podataka građana, tako i njihovo korištenje suprotno zakonom dozvoljenoj svrsi njihovog prikupljanja.Naravno, i glava kaznenih djela protiv imovine nadopunjena je inkriminacijama koje mogu poslužiti i za sankcioniranje nekih zloporaba Interneta. Tako su tu navedena kao inkriminacije slijedeća djela:

- Povreda prava autora ili umjetnika izvođača - Neovlaštena upotreba autorskog djela ili izvedbe umjetnika izvođača - Oštećenje i upotreba tuđih podataka

6. Nabrojite i opiše nekoliko zakona RH koji se odnose na sigurnost IS?1. Zakon o informacijskoj sigurnosti - Ovim se Zakonom utvrđuje pojam informacijske

sigurnosti, mjere i standardi informacijske sigurnosti, područja informacijske sigurnosti, te nadležna tijela za donošenje, provođenje i nadzor mjera i standarda informacijske sigurnosti.

2. Zakon o elektroničkom potpisu - Ovim se Zakonom uređuje pravo fizičkih i pravnih osoba na uporabu elektroničkog potpisa u upravnim, sudskim i drugim postupcima, poslovnim i drugim radnjama, te prava, obveze i odgovornosti fizičkih i pravnih osoba u svezi s davanjem usluga certificiranja elektroničkog potpisa, ako posebnim zakonom nije drukčije određeno

3. Zakon o zaštiti tajnosti podataka - Ovim se Zakonom propisuju pojam, vrste i stupnjevi tajnosti te mjere i postupci za utvrđivanje, uporabu i zaštitu tajnih podataka.

4. Zakon o zaštiti osobnih podataka - Ovim se Zakonom uređuje zaštita osobnih podataka o fizičkim osobama te nadzor nad prikupljanjem, obradom i korištenjem osobnih podataka u Republici Hrvatskoj.

7. Što je pojam digitalnog integriteta?Integritet predstavlja zaštitu podataka od namjernog ili slučajnog neovlaštenog mijenjanja. Dodatni element integriteta jest zaštita procesa ili programa kako bi se onemogućilo neovlašteno mijenjanje podataka. Glavni zahtjev komercijalnih i državnih institucija jest osigurati integritet podataka kako bi se izbjegle zlouporabe i greške. To je imperativ kako korisnici ne bi mogli mijenjati podatke na način da ih izbrišu, promjene ili učine ključne podatke nesigurnima. Primjeri gdje je integritet podataka od ključne važnosti su sustav za kontrolu leta, sustavi u medicinskim ustanovama, sustavi u financijskim ustanovama itd.

Ključni elementi za postizanje integriteta podataka su identifikacija i provjera autentičnosti korisnika. Budući integritet ovisi o kontroli pristupa, važno je pozitivno i jedinstveno utvrditi identičnost svih korisnika prijavljenih na sustav

8. Što sve može imati digitalni identitet?Digitalni identitet - potreba identifikacije i autentifikacije dokumenata, osobe, poslovnog subjekta i računala.

9. Što je klasifikacija i deklasifikacija sadržaja, te koje su razine tajnosti definirane prema zakonu o zaštiti tajnosti podataka• Klasifikacija podatka je postupak utvrđivanja jednog od stupnjeva tajnosti podatka s obzirom

na stupanj ugroze • Deklasifikacija - prestanak postojanja razloga zbog kojih je podatak klasificiran

– postaje neklasificirani s ograničenom uporabom samo u službene svrhe

Propisuje vrste tajni – državna– službena– vojna – profesionalna– poslovna

stupnjeve tajnosti– vrlo tajno– tajno– povjerljivo

Za klasificirane podatke određuje samo stupnjeve tajnosti– Vrlo tajno– Tajno– Povjerljivo– Ograničeno

10. O čemu govori norma ISO 27002 i koji su koraci implementacije norme ISO 27002Međunarodna norma ISO 17799/27002 definira zahtjeve za uspostavljanje, implementaciju, rad, nadziranje, provjeru, održavanje i unaprjeđivanje dokumentiranog sustava upravljanja sigurnošću informacija u kontekstu cjelokupnog rizika poslovanja organizacije. Ona definira zahtjeve za implementaciju sigurnosnih kontrola prilagođenih potrebama svake pojedine organizacije ili njenog dijela.Koraci implementacije norme:1) početak projekta (administartivna faza)2) definiranje ISMS-a (Information Security Managment System – sustav za upravljanje

informacijskom sigurnošću)3) procjena rizika4) upravljanje rizikom5) obuka i informiranje kadrova6) priprema za reviziju7) revizija8) periodičke provjere (redovito provjeravanje i poboljšavanje sustava za upravljanje

sigurnošću)Međunarodna organizacija za standardizaciju je promijenila naziv norme ISO/IEC 17799:2005 u ISO/IEC 27002:2005.

11. Područja regulative standarda ISO 27001 i 27002?ISO 27001 znači za informacijsku sigurnost isto ono što ISO 9001 znači za kvalitetu – to je norma koju su pisali najbolji svjetski stručnjaci u polju informacijske sigurnosti, i svrha joj je da pruži metodologiju na koji način uvesti informacijsku sigurnost u neku organizaciju. Ona isto tako pruža mogućnost da organizacija dobije certifikat što znači da je nezavisni auditor potvrdio da je informacijska sigurnost na najbolji način provedena u dotičnoj organizaciji. Norma ISO 27001 je zapravo postavila temelj za informacijsku sigurnost, pa su tako razni propisi pisani na osnovu iste – Odluka o primjerenom upravljanju informacijskim sustavom, Uredba o načinu pohranjivanja i posebnim mjerama tehničke zaštite posebnih kategorija osobnih podataka, kao i provedbeni akti Zakona o informacijskoj sigurnosti. Drugim riječima, ova norma daje idealnu metodologiju kako provesti sve navedene propise. Osim norme ISO 27001 (nekadašnja norma BS 7799-2), postoji i norma ISO 27002 (nekadašnja norma ISO 17799), koja je „pomoćna“ norma i detaljnije opisuje na koji način provesti pojedine mjere zaštite iz ISO 27001. Korisne su i norma BS 7799-3 (detaljno propisuje proces procjene rizika), te norme BS 25999-1/BS 25999-2 (detaljno opisuju upravljanje kontinuitetom poslovanja).

12. Koji su koraci izgradnje sustava sigurnosti1. definiranje i donošenje politike sigurnosti2. procjena sigurnosnih rizika

a) procjena značaja podatkovnog sadržajab) inventura informacijske imovine : 1)čimbenici izvan poslovnog sustava

2) čimbenici unutar poslovnog sustavac) identifikacija prijetnji pojedinom sadržaju

3. Odabir mjera za smanjenje rizika4. izjava o primjenjivosti5. Praćenje efikasnosti (funkcionalnosti) postavljenog sustava6. dogradnja sustava ISMS (Information Security Management System)

13. Što je sigurnosna politika, na koji način je implementiramo, od kojih elementa se sastoji te kada je važeća?

Sigurnosna politika je skup pravila, smjernica i postupaka koja definiraju na koji način informacijski sustav učiniti sigurnim i kako zaštititi njegove tehnološke i informacijske vrijednosti. Ona govori korisnicima što smiju raditi, što ne smiju raditi, što moraju raditi i koja je njihova odgovornost. Politikom ne određujemo na koji način zaštiti informacijski sustav već samo što zaštititi. Svakodnevnim razvojem tehnologija otkrivaju se i nove metode kojima je moguće ugroziti sustav. Stoga definiranje općenite sigurnosne politike za informacijske sustave nije moguće i jednom napisana politika mora se redovito pregledavati, mijenjati i nadopunjavati kada se za tim ukaže potreba

a) krovni dokument – to je izjava uprave o provođenju ISMS-ab) uža i šira politikac) provedbeni aktSTRATEGIJA može biti:

1) prihvaćanje rizika – zna se za rizik ali se ne radi ništa2) podjela – popisuju se kritični procesi i gradi se sustav sigurnosti, a ostatak procesa

se osigura3) prenošenje – zna se da postoji rizik, ali se ne radi ništa nego se prenosi na

osiguravajuće društvo4) reduciranje rizika – uvode se mjere za procese koje treba štititi i sustav se dalje

dograđuje

14. Koje su strategije izgradnje sustava sigurnosti?- samostalno preuzimanje rizika (opredjeljenje poslovnog sustava da samostalno brine o razini

sigurnosti IS-a te da se brine o mjerama za smanjivanje rizika na prihvatljivu razinu)- podjela rizika (strategija osiguravanja dijela rizika kod osiguravatelja, a za dio sustava se

samostalno gradi sustav sigurnosti. Na dijelu IS-a se ne postavlja razina zaštite (ili se dovoljno ne ulaže u nju) pa se rizik pokriva osiguranjem).

- prenošenje rizika (strategija koja je prisutna kod manjih poslovnih sustava pri čemu je poslovodstvo procijenilo da destrukcija nad podacima ne povlači za sobom velike poslovne gubitke. Sav se rizik prenosi na osiguravatelja koji u slučaju velikog rizika sam ulaže u izgradnju sigurnosnog sustava kako bi smanjio vlastiti poslovni rizik)

- negiranje rizika (temelji se na odluci o nepoduzimanju nikakvih aktivnosti zaštite IS-a. Poslovanje nije oslonjeno na IS podržan računalom, ali prijetnje nisu isključene nego je samo smanjen broj izvora i oblika prijetnje)

15. Što sve smatramo informacijskom imovinom, i zašto je bitna inventura informacijske imovine

a)     informacijska imovina – baze podataka i datoteke s podacima, sistemska dokumentacija, korisnički priručnici, materijal za treninge, procedure za operativu i podršku, planovi oporavka i kontinuiteta rada sustava, sporazumi o oporavku, arhivirane informacije

b)     softverska imovina – aplikacijski softver, sistemski softver, razvojni i pomoćni alatic)     fizička imovina – računalna oprema, komunikacijska oprema, magnetski mediji, ostala tehnička oprema, namještaj, smještajd)     servisi – računalni i komunikacijski servisi, opći pomoćni pogoni (grijanje, osvjetljenje,

struja, klimatizacija)e) ljudi

- materijalni dio – računala, mrežna oprema…- software – licencirani…- organizacija – razmještaj računala, struktura mreža…- ljudi- podaci – popis dokumenata i njihovih vlasnika

Inventure imovine trebaju pomoći u osiguranju provođenja efikasne zaštite. Organizacija mora biti u stanju identificirati svoju imovinu i njenu relativnu vrijednost i važnost. Temeljem te informacije određuje se razina zaštite imovine u skladu s vrijednošću i važnošću imovine. Potrebno je sastaviti i održavati popis važnog inventara u svakom informacijskom sustavu. Svaki dio imovine treba biti jasno definiran, sa dogovorenim i dokumentiranim vlasništvom i sigurnosnim klasifikacijama (stavak 5.2), te mora imati svoju lokaciju (važno prilikom oporavka od štete ili gubitka).

16. Što je procjena značaja podatkovnog sadržaja temeljem čega i zašto se provodi?Procjenom značaja podatkovnog sadržaja utvrđuje se s kojim sve podacima raspolaže poslovni sustav i koji je značaj tih podataka za njegovu funkcionalnost. U tu svrhu se radi inventura informacijske imovine.

17. Koji su unutarnji a koji vanjski čimbenici koji utječu na procjenu značaja podatkovnog sadržaja?Vanjski čimbenici:

Zakonski i podzakonski akti država u kojoj djeluje poslovni sustavZakonski i podzakonski akti država u kojima djeluju poslovni sustavi s kojima se ostvaruje poslovna komunikacijaPoslovni običaju i norme koji se odnose na granu djelatnostiTrenutna situacija u okruženju u odnosu na stabilnost djelovanja poslovnog sustava sukladno izvorima i oblicima prijetnji.

Unutrašnji: Statut poslovnog sustava i drugi akti na nižim razinamaProcjena poslovodstva o važnosti pojedinog sadržaja za funkcionalnost sustavaPoslovni običajuStanje u poslovnom okruženju

18. Nabrojite i opišite izvore prijetnji informacijskog sadržaja!Prijetnje se identificiraju po vrsti i intenzitetu, zbog čega treba imati evidenciju učestalosti pojedinih prijetnji. Ako se prvi puta uvodi sustav sigurnosti, takve evidencije nema i treba se osloniti na procjenu vjerojatnih prijetnji, a nakon uvođenja mjera sigurnosti pratiti i procjenjivati u kojoj mjeri je procjena bila realna ili ne.Izvori mogu biti prirodni (poplave, potresi), ljudi (namjerno – uništenje, sabotaža, špijunaža, krađa, virusi.. nenamjerno- nepažnja, nemar, neznanje..), oprema (tehnička pogreška opreme, prestanak napajanja, prekidi komunikacije, zračenja..).

19. Nabrojite i opišite oblike prijetnji informacijskom sustavu?a) neautorizirano korištenjeb) uništenjec) neidentificirano korištenje i neregistrirana promjena sadržaja

20. Što je procjena rizika, te koje metode procjene rizika poznajete?Kvalitativne i kvantitativne metode. Dobre strane kvantitativne analize: rezultati se baziraju na objektivnim procesima i mjerenjima, statistička vjerojatnost se računa matematičkim formulama, procjena potrebnih ulaganja je precizna, rezultati analize mogu se prikazati menadžerskom terminologijom (cijene, postupci, vjerojatnost).Loše strane: računanje je kompleksno treba dobro poznavati statističke pojmove dobri rezultati dobivaju se ako je poznata baza znanja odnosno ako postoje podaci o rizicima koji će se procijeniti primjena analize je kompleksna treba više vremena za procjenu rizika vjerojatnost nije potpuno ispravna računa se i odstupanje vjerojatnosti od stvarnih vrijednosti pogodna je za procjenu rizika u statičnoj okoliniKvalitativnaNe zadaje numeričke vrijednosti objektivne analize (što god to značilo), bazira se na odgovorima pitanja "što ako?"Dobre strane: računanje je jednostavno, ne treba definirati cijenu procjene objekata analize, ne računa se učestalost rizika, nije potrebno mnogo vremena za procjenu rizika, cijena implementacije je manja, fleksibilnog je karaktera.Loše strane: subjektivne je prirode (rezultat ovisi o kvaliteti tima koji je izrađuje), procjena troškovnika ovisi o mjerama zaštite

21. Što su sigurnosne kopije te koje strategije izrade sigurnosnih kopija poznajete?Sigurnosno kopiranje ili backup je kopiranje sadržaja promjenom materijalnog nositelja i njegovim prostornim dislociranjem izvan produkcijskog okruženja

Potpuno kopiranje (full backup) – metoda kojom se pohranjuju sve datoteke bez obzira na to jesu li označene za pohranu ili nisu. Pod oznakom za pohranu podrazumijevamo postavljeni atribut datoteke A (archive). Glavna prednost je u tome što je lako pronaći datoteku i vratiti ju u računalni sustav jer su sve datoteke na jednom mediju. Nedostatak je što se svaki puta na medij kopiraju sve datoteke, bez obzira na to jesu li promijenjene ili ne.Diferencijalno kopiranje (differential backup) – pohranjuje nove datoteke i one datoteke koje su označene kao nearhivirane ("spušteni archive"), odn. čiji je sadržaj promijenjen od zadnjeg potpunog kopiranja. Diferencijalni backup kopira archive i nearhivirane datoteke, te nove datoteke.Inkrementalno kopiranje (Incremental backup)- pohranjuje nearhivirane datoteke i mijenja im atribut u archive, kako bi kod sljedećeg inkrementalnog backupiranja znao da im je sadržaj mijenjan ako im je atribut nearhiviran.

22. Što su sigurnosne kopije te koje materijalne nositelje i sustave za izradu sigurnosnih kopija poznajete?

Sigurnosno kopiranje ili backup je kopiranje sadržaja promjenom materijalnog nositelja i njegovim prostornim dislociranjem izvan produkcijskog okruženjaMATERIJALNI NOSITELJI:1) Analogni

a) papirb) mikrofilm

2) Digitalnia) Magnetski (magnetska vrpca, magnetski disk)b) Optički (CD, DVD, BLUE RAY)c) Flash memorije

23. U koje se sve namjene u području sigurnosti može koristiti RAID tehnologija?- u svrhu kontinuirane zaštite podataka od gubitka- RAID1 (mirror ili identična kopija diska) – povećava pouzdanost i brzinu čitanja podataka

24. Što je to virus i od čega se on sastoji?Virus je programski kod čija je namjera samo kopiranje bez htijenja i znanja korisnika, te destruktivna aktivnost na sadržaju računala. Šire se preko zaraženih medija ili interneta.Računalni virus se obično sastoji od dva dijela.

Prvi dio je samokopirajući kod koji omogućava razmnožavanje virusa Drugi dio je korisna informacija koja može biti bezopasna ili opasna.

25. Što sve podrazumijevamo pod pojmom malicioznog koda?Maliciozni programi su kompjutorski programi ili dijelovi programskog koda čije pokretanje dovodi do neželjenih posljedica po korisnika, odnosno njegov kompjutorski sustav, njegove podatke ili programe ili pak do uskraćivanja mrežnih servisa i usluga

Oblici malicioznog softvera su crvi, logičke bombe, trojanski konji, zamke i virusi.

26. Koje oblike malicioznog softwarea poznajete, te na koji način vršimo detekciju i uklanjanje malicioznog softwarea?

Oblici malicioznog softvera su crvi, logičke bombe, trojanski konji, zamke i virusi. Virus je dio programskog koda koji je sposoban izvršiti samokopiranje (infekciju) dodavanjem novog sadržaja u druge programe ili dijelove operativnog sustava

Detekciju i uklanjanje vršimo pomoću antivirusnih alata:1.programi koji prate aktivnosti

-pokušavaju presresti infekciju prije nego se dogodi, prateći sve aktivnosti koje liče onima koje rade virusi

2. scanneri-svoj rad temelje na principu potrage za ključnim dijelovima programa, odnosno slijedom znakova koji su karakteristični za određeni virus. Prepoznaju samo viruse za koje imaju ranije definiran niz znakova. Pokreću se na zahtjev korisnika te pregledava dijelove, cijeli disk ili prenosivi medij

3. integrity checker ili detektori promjena-ova vrsta zaštite temelji se na checksumu. Za savku datoteku koju je moguće

zarazit virusom izračunava se veličina u bajtovima. Za takvu datoteku pretpostavlja se da je bez virusa. Takve se sume kasnije uspoređuju s ponovno izračunatim vrijednostima, u slučaju da su vrijednosti različite znači da se datoteka mijenjala. To ne

mora ukazivati da je posrijedi virus, ali ovaj način zaštite štiti i od najnovijih virusa za razliku od scannera.

27. Što smatramo pod pojmom kriptografija te koja je razlika između simetrične i asimetrične kriptografijeKRIPTOGRAFIJA – Kriptografija, odnosno kriptografke metode danas predstavljaju nezamjenjivo sredstvo zaštite podataka bez obzira nalaze li se oni pohranjeni unutar memorije kompjutora, na nekom drugom mediju ilii se prenose putem kompjutorske mreže ili udaljenih kompjutorskih sustava. Cilj je takvih mreža osiguravanje tajnosti podataka kako njihov sadržaj ne bi došao u ruke neovlaštenim osobama.

SIMETRIČNA – jednom šifrom (ključem) zaključavamo i otključavamo poruku - mana mu je da pošiljatelj i primatelj moraju imati isti ključ

ASIMETRIČNA – uvijek se generira par ključeva, jednim se poruka zaključava, a drugim se otključava (javni i tajni ključ) - javni se distribuira svim pošiljateljima (s njim se poruka zaključa), a tajni je kod nas i s njim otključavamo poruku - pošiljatelj je siguran, ali primatelj ne zna ko mu šalje (to rješavamo PKI-om, certifikacijom ključa)

28. Što je digitalni potpis, te kako realiziramo digitalni potpis?

Digitalni potpis je tehnologija provjere vjerodostojnosti poruka primljenih u komunikaciji koja se odvija između udaljenih kompjutora. Takav «potpis» nalazi se u digitalnom obliku i sastavni je dio šifrirane poruke koja se šalje, a sadrži izračunati zbroj same poruke. Budući da je gotovo nemoguće izmijeniti sadržaj teksta , a da zbroj ostane isti, predstavlja vrlo siguran način provjere vjerodostojnosti samog teksta i sigurne komunikacije. Nakon što primatelj dešifrira primljenu poruku i digitalni potpis sam provjerava zbroj takve poruke i uspoređuje s primljenim.

Svrha ove metode nije da osigura tajnost komunikacije pa se ona najčešće koristi u kombinaciji s kriptografskim metodama, uz pomoć kojih se može efikasno zaštititi sam sadržaj podataka koji se razmjenjuju.

Bitno je naglasiti još da digitalni potpis potvrđuje vjerodostojnost teksta koji se šalje, odnosno prima, ali ne i identitet osobe koja ga šalje, često se koristi u kombinaciji s digitalnim certifikatom.

elektronički potpis- To je skup podataka u elektroničkom obliku koji su pridruženi ili su logički povezani s drugim

podacima u elektroničkom obliku i koji služe za identifikaciju potpisnika njegova uloga je potvrđivanje vjerodostojnosti dokumenata u elektroničkom obliku i garancija identiteta pošiljatelja.

elektronički potpis mora zadovoljavati i dodatne zahtjeve, a to su:- da je potpis jedinstven za korisnika koji ga koristi (ne smije postojati isti potpis za dva različita korisnika ili osobe)- mora biti pod isključivom kontrolom korisnika/osobe koji ga koristi (treba spriječiti zlouporabu)- mora omogućiti provjeru identiteta korisnika (pomoću certifikata)- mora postojati veza između potpisa i potpisane isprave – kada se ručno potpisuje isprava, potpis je smješten fizički na dokumentu - dok je kod elektroničkog potpisapotrebno vezu uspostaviti na poseban način npr. Hash funkcijom kada je u pitanju digitalni potpis

Kriptografija javnog ključa (engl. PKI – Public Key Infrastructure) temelji se na paru komplementarnih ključeva koji obavljaju operacije enkripcije ili dekripcije, te je stoga poznata i kao asimetrična kriptografija. Jedan ključ u paru naziva se "javnim", a drugi "tajnim" ključem. Javni ključ slobodno se distribuira dok se tajni ključ čuva. 1

Enkripcija i dekripcija obavljaju se asimetričnim algoritmima koji su općenito definirani tako da koriste par ključeva od kojih se bilo koji može koristiti za kriptiranje. Ako je jedan ključ iz para upotrijebljen za kriptiranje poruke, onda se isključivo drugi ključ iz para može upotrijebiti za dekriptiranje. Uobičajeno je, međutim, da se kriptiranje obavlja javnim ključem, a dekriptiranje tajnim ključem. Na taj način, svatko može kriptirati poruku korištenjem javnog ključa, ali poruku može dekriptirati i pročitati samo vlasnik tajnog ključa.

Javni ključevi stoga moraju biti javno dostupni. Dodatno, korisnici javnih ključeva moraju biti sigurni da taj ključ uistinu pripada onome tko to tvrdi. U tu svrhu postoje specijalizirana tijela, povjerljive agencije (tzv. certificate authorities) koje izdaju certifikate. Povjerljiva agencija certifikatom jamči da javni ključ zaista pripada određenoj osobi.

Svojstvo asimetričnih algoritama da je jednim ključem moguće obaviti enkripciju, a isključivo drugim ključem iz istog para uspješnu dekripciju iskorišteno je pri definiranju digitalnog potpisa.

29. Što je digitalna omotnica (PGP postupak) i kako se realizira?

PGP (Pretty Good Privacy) je program (iako postoje i drugi programi koji isto rade, npr. GnuPG) koji vam omogućava privatnost elektroničke pošte. Riječ je o programu koji šifrira (enkriptira) vašu poštu tako da je nitko ne može pročitati (dešifrirati, dekriptirati) osim upravo osobe kojoj je namijenjen. Tekst nakon takvog procesa šifriranja nekoj trećoj strani izgleda kao besmisleni niz slučajnih znakova, i takve kriptirane poruke su sposobne "izdržati" i najsloženije kriptografske analize. No, nije samo šifriranje jedina mogućnost zaštite e-maila: moguće je na proizvoljan tekst dodati i digitalni potpis, bez šifriranja. To se obično primjenjuje kad je sadržaj javnog tipa, ali se želi osigurati da drugi mogu provjeriti autentičnost takvog materijala - budući da nitko neće moći promijeniti sadržaj bez da se ista lako detektira putem digitalnog potpisa.

• koristi kriptografiju javnih ključeva– dva ključa - javni i tajni– javni ključ koristi se prilikom kriptiranja poruka i provjere potpisa– tajni ključ koristi se prilikim dekriptiranja i stvaranja potpisa– nije potrebna prethodna razmjena jedinstvenog tajnog ključa

30. Što je firewall i zašto je bitan?Firewall (vatrozid) je zaštita računala koja obavlja filtriranja, analizu i provjeru paketa podataka koji nose informacije sa i na Internet. Firewall je napravljen da bi zaštitio povjerljive korisničke podatke od neautoriziranih korisnika blokiranjem i zabranom prometa prema pravilima koje korisnik sam određuje. Firewall može biti softverski ili hardverski. Softverski firewall štiti jedno računalo, osim u slučaju kada je to računalo predodređeno za zaštitu čitave mreže. Hardverski firewall omogućuje zaštitu čitave mreže ili određenog broja računala. Za ispravan rad firewall-a, potrebno je precizno odrediti niz pravila koja određuju kakav promet je dopušten, a kakav zabranjen.

1

Firewall programi za osobna računala Firewall koji se nalazi na osobnom računalu korisnika ima zadatak kontrole i ograničavanja pristupa računalu sa Interneta ili lokalne mreže. Njegova je uloga da na osobnom računalu omogućava pristup samo onima kojima smo to i dopustili, a svi ostali su onemogućeni i njihovi pokušaji pristupa zabilježeni. Za razumijevanje rada firewall-a potrebno je poznavati dva stručna pojma, a to su IP adrese i TCP i UDP portovi. IP adresa: Sve što je povezano na Internet ima barem jednu jedinstvenu IP adresu. To može biti adresa Vašeg računala ili routera preko kojeg je Vaša lokalna mreža spojena na Internet. Svaki paket koji putuje Internetom u sebi sadrži svoju izvorišnu i svoju odredišnu IP adresu, tako da se zna od koga je paket poslan i kome je poslan

31. Što je sigurni perimetar, te koje metode fizičke zaštite poznajete?Sigurni perimetar je granica sigurne okoline.

U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno.

32. Koje sustave za kontrolu pristupa poznajete?Biometrijske metode,

33. Što je biometrija i kako je koristimo za autentikaciju i identifikaciju?Biometrija (grč. bios – život, metron – mjera) predstavlja skup automatiziranih metoda za jedinstvenoprepoznavanje ljudi temeljeno na jednoj ili većem broju njihovih fizičkih i ponašajnih karakteristika.U informatičkoj tehnologiji se biometrijska autentikacija odnosi na tehnologije koje mjere ianaliziraju fizičke (otisci prstiju, rožnica oka, prepoznavanje lica i sl.) i ponašajne karakteristike(rukopis, tipkanje, hod i sl.) čovjeka.

34. Koje mjere sigurnosti poznajete?Mjere: programske mjere, tehničke mjere, fizičke mjere, organizacijske mjere, mjere zaštite u oblasti prava.

35. Materijalni nositelji kao mjera povećanja otpornosti sustava!

36. Što sve čini programske mjere zaštite informacijskog sustava?Programske mjere zaštite su na razini operacijskog sustava i na razini korisničkih programa. Višekorisnički OS-i koordiniraju radom sustava s većim brojem korisnika. Radi odjeljivanja područja jednog korisnika, korisnička okolina se zaštićuje zaporkom. Ponekad se pojedina zaporka može autorizirati samo s uvjetovanih računala.

Programske mjere zaštite na razini korisničkih programa su sigurnosna pohrana podataka, zaštita od malicioznog softvera i sustavi kriptozaštite.

37. Koje su tehničke mjere sigurnosti?1. Protupožarni detektor – služe za automatsko aktiviranje raspršivača vode ili sustava za

primjenu plinova, mogu biti detektori topline i detektori dima2. Detektori prekida strujnog kruga – štite prostore od neautoriziranog pristupa3. Laseri i senzori – koriste ultraljubičasti ili infracrveno svjetlo čije su frekvencije iznad ili ispod

vidljivog spektra4. Unutrašnja televizija i kamera – postavljaju se na važnim mjestima i prenose sliku do kontrolne

ploče s čuvarima5. Detektori zvuka i vibracije – služe za otkrivanje zvukova u nekom području u vrijeme kada oni

nisu uobičajeni, zato se koriste vrlo osjetljivi mikrofoni

38. Koje su fizičke mjere sigurnosti IS?Fizička zaštita podatkovnog sadržaja obuhvaća zaštitu računalne opreme, programa i datoteka od uništenja, neovlaštenog mijenjanja sadržaja, požara, poplave, potresa, eksplozije, krađe i divljaštva i slično...U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno.

39. Što podrazumijevamo pod organizacijskim mjerama sigurnosti IS?Organizacijske mjere zaštite su mjere koje poduzima organizacija da bi osigurala željenu razinu funkcionalnosti sustava i integriteta podataka u uvjetima djelovanja pretpostavljenih oblika prijetnji.Oblici provedbe su:

1. Upravljanje računalnom mrežom poslovnih sustava2. Kontrola pristupa djelovima sustava3. Tehnike razvoja sustava4. Planiranje nastavljenja poslovanja nakon nastupanja incidentne situacije5. Postojanje više alternativnih sigurnosnih procedura za isti problem6. nadzor i kontrola

40. Navedite barem 4 klasa norme ISO 27002 i objasnite jednu po izboru!Procjena i obrada rizika ;Politika sigurnosti ;Organizacija informacijske sigurnosti;Upravljanje imovinomSigurnost ljudskog potencijala;Fizička sigurnost i sigurnost okruženja;Upravljanje komunikacijama i operacijama;Kontrola pristupa;Nabava, razvoj i održavanje informacijskih sustava;Upravljanje sigurnosnim incidentom;Upravljanje kontinuitetom poslovanja;Sukladnost.

Procjena i obrada rizika predstavlja uvodnu klauzulu koja nas uvodi u normu predstavljanjem rizika, njegove procjene i obrade. Klauzula se sastoji od dvije glavne sigurnosne kategorije: Procjenjivanje sigurnosnih rizika i Obrada sigurnosnih rizika. Procjenjivanje rizika uključuje prepoznavanje, kvantificiranje i razvrstavanje rizika po prioritetima. Može se primijeniti više puta da bi se obuhvatili različiti dijelovi organizacije ili pojedinačni informacijski sustavi. Sadrži analizu rizika i vrednovanje rizika.

Prije nego što se krene na obradu rizika, organizacija treba odrediti kriterij za određivanje prihvatljivosti rizika. Rizik se može prihvatiti ukoliko je procijenjeno da je mali ili da trošak obrade nije isplativ za organizaciju. Neki od načina obrade rizika su: primjena odgovarajućih kontrola za smanjenje rizika, svjesno prihvaćanje rizika, izbjegavanje rizika na način da se ne dozvoljavaju akcije koje bi izazvale rizik i prijenos rizika na druge strane (osiguravatelji ili dobavljači)

41. Što sve smatramo pod pojmom „politika sigurnosti“ISPolitika informacijske sigurnosti u kompaniji je dokument kojim kompanija izražava odlučnost i

spremnost zaštite cjelokupne informacijske imovine u pogledu njezinog integriteta, povjerljivosti i raspoloživosti, te pravnih i poslovnih interesa organizacije.

Načela Politika informacijske sigurnosti u kompaniji provodit će se kroz aktivnosti vezane za sigurnost (politike, standarde, pravilnike, postupke, upute, obrasce) kao i proces kontrole njihove primjene na svim razinama kompanije

42. Što su kontrole u okviru normi ISO 27002?

43. Zašto je danas potrebna informacijska sigurnost?Pošto se funkcionalnost poslovnih sustava sve više oslanja na informacijsku potporu, ta velika

ovisnost o podacima, informacijama i komunikaciji traži odgovarajuću razinu osiguranja temeljnih pretpostavki organizacijskog djelovanja sustava. U tome leži temeljeni razlog potrebe izgradnje sustava sigurnosti informacijskog sustava čija funkcionalnost ovisi o integritetu informacijskog sadržaja, njegovoj točnosti, nepromjenjivosti upisanog sadržaja, ali i stalnoj dostupnosti. Zato je potrebno izgraditi sustav sigurnosti koji će odgovoriti na sve postavljene zahtjeve, a istovremeno neće biti prepreka primjeni u pretpostavljenim uvjetima.

44. Koje su obveze uprave prema informacijskoj sigurnostiObveze uprave su često kritičan faktor. Uprava mora brinuti o:• donošenju sigurnosne politike,• ostvarenju sigurnosnih planova i ciljeva,• dodjeljivanju uloga (engl. roles) i obveza,• komunikaciji o važnosti informacijske sigurnosti,• odlučivanju o razini prihvatljivog rizika,• ispitivanju upravljanja.

Uprava treba :• osigurati uspostavu, implementaciju i održavanje ISMS-a,• osigurati poboljšanje efektivnosti ISMS-a,• osigurati da procedure ISMS-a ispunjavaju sigurnosne zahtjeve,• osigurati da se ispoštuju zakonske, propisne i ugovorne obveze,• osigurati adekvatnu sigurnosnu razinu primjenom sigurnosnih kontrola,• brinuti o rezultatima ispitivanja sustava, te poduzimanju odgovarajućih mjera u skladu s rezultatima ispitivanja.

Uprava mora upravljati ispitivanjem ISMS-a. Rezultati ispitivanja ISMS-a daju odgovor na pitanje o adekvatnosti i efektivnosti sustava. Ulazne informacije pri ispitivanju sustava su obavljeni pregledi sustava, poduzete korektivne i preventivne mjere, preporuke za poboljšanje sustava, te nove tehnologije i procedure. Rezultati ispitivanja ISMS-a su napravljene korekcije i poboljšanja, te pribavljeni resursi, ukoliko su bili potrebni. Kontinuirani napori pri poboljšanju sustava (čak i ako nema novih zahtjeva) su ključ uspjeha sustava upravljanja.

45. Što je to sporazumi o povjerljivosti i s kim se sve mora potpisati?

Sporazumi o povjerljivosti ili o neotkrivanju podataka koriste se kako bi se dalo do znanja da je neka informacija povjerljiva ili tajna. Uposlenici bi trebali potpisati takav sporazum kao dio ugovora o radu.

 Povremeno osoblje i korisnici s treće strane koji nisu obuhvaćeni takvim ugovorom, moraju potpisati sporazum o povjerljivosti prije nego što dobiju pristup računalnoj tehnologiji.

  Sporazume o povjerljivosti treba pregledavati kada nastupe promjene u uvjetima zapošljavanja ili sklapanja ugovora, naročito kada radnici napuštaju organizaciju ili kada ugovori ističu

46. Kada i zašto se mora provoditi nezavisna provjera informacijske sigurnosti?

47. Što sve čini rizike koji se odnose na vanjske suradnike?Iako mnoge kompanije imaju svoje interno odjeljenje za održavanje opreme, postoje situacije kada se pristup sustavu mora dopustiti osobama iz drugih tvrtki zbog servisiranja, održavanja, konzultacija ili obuke. Bitno je da u tom slučaju u ugovorima s vanjskim tvrtkama donesemo odredbe kojima se vanjski partneri obvezuju na poštivanje sigurnosnih pravila. Ako se podaci mogu klasificirati kao tajna, potrebno ih je privremeno ukloniti sa sustava prije nego osoblje koje nije zaposleno u kompaniji dobije pristup sustavu za obavljanje posla.

Ukoliko se pokaže potreba za suradnjom s osobama koje nisu zaposlenici ustanove, administrator je

dužan poduzeti sve potrebne mjere sigurnosti kako bi informacijski sustav ostao zaštićen.

Ovisno o vrsti suradnje, administrator je dužan:

Administrator prije suradnje mora provjeriti da li su potencijalni suradnici, tj. firma koju oni

predstavljaju, imali u prošlosti incidente vezane za sigurnost informacijskih sustava

Ukoliko se sklopi ugovor o suradnji, u ugovoru mora biti jasno definirano tko je odgovoran za bilo

kakvu štetu počinjenu radom suradnika

U ugovoru također mora biti jasno definirano koje ovlasti imaju suradnici, tj. što smiju, a što ne

smiju raditi

U ugovoru mora biti definirano na koji način će suradnici podmiriti eventualno nastalu štetu

Administrator je dužan voditi bilješke o tome tko je i kada imao pristup informacijskom sustavu

Administrator je dužan provjeravati da li suradnici poštuju svoje ovlasti, tj. da li obavljaju radnje

koje nisu ugovorene

48. Što je to vlasnik informacijske imovine i kako ga definirati?Vlasnik je odgovorna osoba koja se mora ponašati prema opremi na propisani način

49. Kako se osigurava sigurnost ljudskog potencijala?Potencijalne uposlenike treba pažljivo provjeriti (stavak 6.1.2), naročito ako kandidiraju za

osjetljive poslove. Svi radnici i treće stranke koje koriste informatičku opremu trebaju potpisati sporazum o čuvanju povjerljivosti informacija.

 Provjeru stalnog osoblja treba načiniti već kod prijave za posao. U taj postupak treba

uključiti sljedeće kontrole:

a) dostupnost zadovoljavajućih preporuka, poslovnih i osobnihb) provjera (zbog potpunosti i točnosti) životopisa kandidatac) potvrda stečenih akademskih i profesionalnih kvalifikacijad) neovisna provjera identiteta (putovnica ili sličan dokument)

  Organizacija treba istražiti i kreditnu sposobnost kandidata, ukoliko posao za kojeg se

kandidira uključuje pristup računalnoj tehnologiji pomoću koje se rukuje osjetljivim informacijama. Tu vrstu provjere treba za osoblje na visokim pozicijama ponavljati u određenim razmacima

Sporazumi o povjerljivosti ili o neotkrivanju podataka koriste se kako bi se dalo do znanja da je neka informacija povjerljiva ili tajna. Uposlenici bi trebali potpisati takav sporazum kao dio ugovora o radu

U ugovoru o radu treba biti naznačena odgovornost radnika za sigurnost informacija. Gdje je prikladno i potrebno, te odgovornosti moraju vrijediti i neko vrijem nakon završetka ugovora o radu. Potrebno je navesti akcije koje će se poduzeti ako radnik zanemari sigurnosne zahtjeve

50. Kako definirati granice fizičkog sigurnosnog prostora?Fizička zaštita se može ostvariti stvaranjem nekoliko fizičkih barijera oko poslovnog prostora i

jedinica za obradu informacija. Poslovni sustavi trebaju koristiti područja fizičke sigurnosti kako bi zaštitili područja koja sadrže računalnu tehnologiju (stavak 7.1.3).

Potrebno je razmotriti slijedeće smjernice i kontrolne mehanizme, te ih implementirati prema potrebi:

a) područje fizičke sigurnosti treba biti jasno definiranob) područje fizičke sigurnosti zgrade mora biti čvrsto i kontinuirano, tj. bez prekida u

barijeri, gdje su moguće lake provale (npr. kontrolnim mehanizmima, rešetkama, alarmima, bravama, …).

c) potrebno je imati područje recepcije ili neki drugi način fizičke kontrole pristupa zgradi. Pristup zgradama i lokacijama treba biti ograničen samo na ovlaštene osobe.

d) fizičke barijere se trebaju, u slučajne potrebe, protezati od poda do stropa, kako bi se spriječilo neovlašteno ulaženje i kontaminacija iz okoline, kao u slučaju požara ili poplave

e) sva požarna vrata u području fizičke sigurnosti moraju biti opremljena alarmima i moraju se čvrsto zatvarati

51. Na koje se sve načine može ostvariti kontrole fizičkog pristupa?Fizička zaštita podatkovnog sadržaja obuhvaća zaštitu računalne opreme, programa i datoteka od uništenja, neovlaštenog mijenjanja sadržaja, požara, poplave, potresa, eksplozije, krađe i divljaštva i slično...U programu fizičkih sigurnosti koriste se mnoga tehnička sredstva (brave, čuvari, sefovi, trezori,...). Ove mjere sigurnosti dopunjuju jedna drugu i rijetko djeluju odvojeno.Iz područja građevinarstva moguće je napraviti 3 sloja fizičke zaštite:

1. građevinske prepreke kao što su zid ili ograde2. zidovi, prozori i vrata same građevine3. odgovarajuće vitrine i trezori u koje se odlažu potrebni sadržaji ili materijalni nositelji

Kod kontrole fizičkog pristupa radi se o zaštiti sigurnosnih područja pomoću kontrola ulaza koje osiguravaju pristup samo ovlaštenim osobama. Potrebno je razmotriti sljedeće smjernice:

1. potrebno je zapisati datum i vrijeme ulaza i odlaska posjetitelja i nadzirati sve posjetitelje, potrebno je dozvoliti pristup samo za ovlaštene namjene;

2. pristup područjima u kojima se pohranjuju osjetljive informacije treba ograničiti samo na ovlaštene osobe i kontrolirati ih putem kontrolne kartice i PIN-a;

3. svi zaposlenici i posjetitelji trebaju nositi neki oblik vidljive identifikacije;

4. prava na pristup treba sigurnosnim područjima trebaju se redovito provjeravati i obnavljati itd. [Međunarodna norma ISO/IEC 17799, str. 33]

52. Kako odabrati i osigurati smještaj opreme?Računalni centar se može zaštititi tako da se učini što nepristupačnijim. Prostorija s ključnom opremom treba imati samo jedan ulaz koji mora biti zaključan i nadziran. Izlaz u nuždi treba moći otvoriti samo iznutra i treba uvijek biti zatvoren. Također treba nadzirati i otvore sustava za klimatizaciju,, te je potrebno udvostručiti vodove električne energije i komunikacije. Računala trebaju biti smještena na prvom katu zbog poplave ili eksplozija koje mogu pasti na krov, te mora biti smješten u središnjoj prostoriji koja nema vanjskih zidova, već je okružena npr. Uredima.

53. Kako ostvariti sigurno odbacivanje ili ponovno korištenje opreme?  Jedinice za pohranu koje sadrže osjetljive informacije treba ili fizički uništiti ili na siguran način

obrisati postojeće informacije, a ne koristiti standardne funkcije za brisanje.  Sve dijelove opreme koji sadrže medije za pohranu (poput tvrdih diskova) treba provjeriti kako

bi se osiguralo da se prije rashodovanja uklonilo sve osjetljive informacije i sav licencirani softver. Prilikom oštećenja uređaja za pohranu podataka s osjetljivim podacima treba kroz procjenu rizika odrediti da li će se uređaj uništiti, popraviti ili odbaciti.

54. Koje su mjere kontrole za zaštitu od zloćudnog koda?Zaštita od malicioznog softvera se treba temeljiti na sigurnosnoj svijesti, te na prikladnim

kontrolama za pristup sustavu i upravljanje promjenama. Potrebno je razmotriti slijedeće kontrolne mehanizme:

a)     formalna politika koja zahtijeva poštivanje softverskih licenci i zabranjuje uporabu neovlaštenog softvera (stavak 12.1.2.2)

b)     formalna politika za zaštitu od rizika (uključujući i zaštitne mjere koje treba poduzeti) povezanih sa pribavljanjem datoteka i softvera od ili preko vanjskih mreža, ili bilo kojeg drugog medija (stavak 10.5, posebno 10.5.4 i 10.5.5)

c) instalacija i redovita nadogradnja antivirusnih softvera za detekciju i popravak, radi pregleda računala i medija – bilo kao mjera predostrožnosti, bilo kao dio svakodnevne rutine

d)     provođenje redovitih pregleda softvera i podatkovnih sadržaja u sustavima za podršku kritičnim poslovnim procesima. Prisutnost bilo koje neodobrene datoteke ili bilo kojeg neodobrenog dodatka treba formalno istražiti.

e)     provjera svih datoteka prije korištenja radi virusa na elektroničkim medijima sa nepoznatim ili neovlaštenim izvorom, ili datoteka primljenih preko nesigurnih mreža

f)      pregled svih pridodanih datoteka elektroničkoj pošti i svih datoteka skinutih sa mreža prije korištenja, radi provjere malicioznog softvera. Te provjere se mogu obavljati na različitim mjestima, npr. na serverima za elektroničku poštu, stolnim računalima ili na ulasku u organizacijsku mrežu

g)     postupci upravljanja i odgovornosti za zaštitu od virusa u sustavima, treniranje korištenja, izvješćivanje i oporavak od napada virusa (stavci 6.3 i 8.1.3)

h)     prikladni planovi poslovnog kontinuiteta za oporavak od napada virusa, uključujući sav potrebni backup podataka i softvera, te sporazume o oporavku (članak 11)

i)      postupci za provjeru svih informacija vezanih uz maliciozni softver, te za osiguravanje da su obavijesti o upozorenjima točne i informativne. Manageri trebaju osigurati da se za razlikovanje obmana i stvarnih virusa koriste kvalificirani izvori, poput uglednih časopisa, pouzdanih Internet stranica ili dobavljača antivirusnog softvera. Osoblje treba biti svjesno problema postojanja obmana i lažnih opasnosti, te mora znati kako reagirati u takvim situacijama

55. Koje su smjernice norme ISO27002 u odnosu na elektroničku trgovinu?Potrebno je osigurati sigurno on-line poslovanje i korištenje elektroničkih povezanih usluga. Potrebno je zaštititi informacije uključene u elektroničku trgovinu preko javnih mreža od prijevara, osporavanja ugovora, neovlaštenog otkrivanja i promjene. Aktivnosti elektroničke trgovine između partnera trebaju biti podržane dokumentiranim sporazumom koji obvezuje obje strane na dogovorene uvjete prodaje. Elektronička trgovina može koristiti sigurne načine provjere vjerodostojnosti, npr. kriptografija javnim ključem i digitalni potpisi kako bi se smanjili rizici.

56. Koje su smjernice norme on-line transakcije?Važno je i zaštititi informacije u on - line transakcijama da bi se spriječio nekompletan prijenos, pogrešno usmjeravanje, neovlaštene promjene informacija itd. Također je potrebno osigurati cjelovitost informacija dostupnih na javno dostupnom mjestu radi sprečavanja neovlaštene promjene.

57. Koje su politika kontrole pristupa?Kako bi se spriječila bilo koja od mogućih štetnih radnji korisnika važno je osigurati da korisnik ima samo određene funkcije nad određenim podacima. U skladu sa svojim potrebama za obavljanje posla, korisnik dobiva prava od administratora informacijskog sustava na korištenje samo određenih podataka. Također mu se nad određenim podacima definiraju procedure koje smije koristiti (npr. korisnik smije pregledavati samo svoje podatke, zaposlenik kompanije smije čitati (ali ne i mijenjati odnosno brisati) samo one zapise koje je sam kreirao). Naravno da ovako restriktivne mjere nisu potrebne u svim kompanijama, ali u onima gdje je povjerljivost, integritet i dostupnost podataka presudna za poslovanje, svakako su preporučljive.

Budući se ovo pravilo sigurnosne politike ne odnosi na korisnike sustava, već na administratore, može biti stručno i vrlo detaljno opisano tko sve i na koji način smije imati pristup podacima.

58. Kako se provodi upravljanje korisničkim zaporkama?Sustav mora definirati kakvog oblika moraju biti lozinke (npr. određivanjem minimalne duljine lozinke, zatim da lozinka sadrži neki od posebnih znakova itd.). U nastojanju da se što više oteža otkrivanje lozinki, korisnici se moraju držati sljedećih pravila:

Za lozinku se ne smije koristiti riječ iz rječnika. Sve takve riječi lako je pogoditi. Također se moraju izbjegavati imena, riječi iz drugih jezika itd.

Za lozinku zabranjeno je koristiti imena iz obitelji, prijatelja, datuma obljetnica (npr. rođendani), telefonski brojevi, registracije automobila...

Treba koristiti i velika i mala slova na operacijskim sustavima koja su na njih osjetljiva (Unix, Linux)

U lozinkama umjesto nekih slova treba koristiti i brojeve. Primjer: umjesto i – 1, umjesto E – 3 itd.

Po mogućnosti uvrstiti simbole poput %,&,#,?,+ Lozinku izvesti iz nečeg lako pamtljivog! Nije dobro koristiti lozinku tipa „ht5Ioa9&s2“ jer ju je

teško zapamtiti i nužno ju je negdje napisati. Zato je potrebno odrediti lozinku u obliku nečeg

pamtljivog, s tim da ju „kriptiramo“. Primjer: Odabere se hint automobil koji potom „kriptiramo“ u Aut0mOb1& i to koristimo za lozinku.

Nikad se nikome ne smije reći lozinka niti se smije dopustiti ikome da se prijavi s našom lozinkom na sustav.

Na korisnicima je također obaveza provoditi potrebne promjene lozinki jednom u određenom vremenskom razdoblju. Gdje je moguće, korisnici će automatski biti obaviješteni o potrebi promjene lozinke. Operacijski sustav potrebno je podesiti tako da ne dopušta mijenjanje samo jednog znaka unutar lozinke ili da za lozinku odredimo lozinku koja je već korištena na sustavu.

59. Što su politike praznog stola i praznog zaslona?Potrebno je razmotriti slijedeće kontrolne mehanizme:a) ako je moguće, papiri i računalni mediji trebaju biti pohranjeni u ormarićima na zaključavanje

kada se ne koriste, a naročito nakon radnog vremenab) kada nisu potrebne, osjetljive i kritične poslovne informacije trebaju biti pod ključem (idealno –

u vatro otpornom sefu ili ormaru), naročito kada su uredi praznic) osobna računala, terminali i pisači ne smiju ostati prijavljeni u sustav, ako nisu pod nadzorom,

a kada nisu u uporabi, trebaju biti zaštićeni kroz mehanizme zaključavanja, lozinke ili druge kontrole

d) potrebno je zaštititi nenadzirane uređaje za faks i teleks, te mjesta za prijem i slanje poštee) uređaji za fotokopiranje trebaju biti zaključani (ili na neki drugi način zaštićeni od neovlaštenog

korištenja) izvan uobičajenog radnog vremenaf) osjetljive ili povjerljive informacije treba pokupiti iz pisača odmah po ispisu

60. Koje su politike uporabe kriptografskih kontrola?Organizacija treba razviti politiku o korištenju kriptografskih kontrola za zaštitu svojih

informacija. Takva je politika potrebna zbog maksimizacije koristi i minimizacije rizika korištenja kriptografskih tehnika, te zbog izbjegavanja neprikladne i pogrešne uporabe iste. Prilikom razvoja politike treba razmotriti slijedeće:

a)  managerski pristup prema korištenju kriptografskih kontrola kroz cijelu organizaciju, uključujući opće principe za zaštitu poslovnih informacija

b)  pristup upravljanju ključevima, uključujući metode za postupanje pri oporavku enkriptiranih informacija u slučaju gubitka, oštećenja ili kompromitacije ključeva

c)  uloge i odgovornosti, npr. tko je odgovoran za:1)     implementaciju politike2)     upravljanje ključevima3)     određivanje prikladne razine kriptografske zaštite

d) standarde za efektivnu implementaciju kroz cijelu organizaciju (koje se rješenje koristi za koji poslovni proces)

61. Kako se ostvaruje upravljanje ključevima?Sustav upravljanja ključevima treba se temeljiti na dogovorenom skupu standarda, procedura i

sigurnosnih metoda za:a)  generiranje ključeva za različite sustave i aplikacijeb)  generiranje i pribavljanje certifikata za javne ključevec)  distribuciju ključeva korisnicima, uključujući i kako se ključevi moraju aktivirati po primitkud)  pohranu ključeva, uključujući i to kako ovlašteni korisnici pribavljaju ključevee)  promjene i nadogradnje ključeva, uključujući pravila o tome kada i kako treba mijenjati ključevef)   postupanje sa kompromitiranim ključevimag)  opozivanje ključeva, uključujući i kako ih se mora povući i deaktivirati, npr. kada postanu kompromitirani ili kada korisnik napusti organizaciju (tada ključ treba biti i arhiviran)h)  oporavak ključeva koji su izgubljeni ili oštećeni, i to kao dio planova poslovnog kontinuiteta (npr. dijela koji se odnosi na oporavak enkriptiranih informacija)i)   arhiviranje ključeva, npr. za arhivirane ili backupirane informacijej)   uništavanje ključevak)  bilježenje i nadziranje aktivnosti upravljanja ključevima Kako bi se smanjila vjerojatnost kompromitacije, ključevi moraju imati određene datume

aktivacije i deaktivacije, tako da se mogu koristiti samo kroz određeno vremensko razdoblje. To razdoblje treba ovisiti o okolnostima pod kojima se kriptografske kontrole koriste i o percipiranim rizicima.

 Pored problema sigurnosnog upravljanja tajnim i privatnim ključevima, potrebno je razmotriti i

zaštitu javnih ključeva. Postoji prijetnja da netko krivotvori digitalni potpis uz pomoć zamjene korisnikovog javnog ključa svojim javnim ključem. Taj problem se rješava korištenjem certifikata za javni ključ. Ovaj proces se najčešće obavlja od strane certifikacijskog tijela, koje mora biti poznata organizacija, koja koristi prikladne kontrole i postupke kojima može dokazati traženu razinu povjerenja.

62. Procedure za kontrolu promjene elemenata IS!Kako bi se minimiziralo oštećivanje informacijskih sustava, moraju postojati stroge

kontrole nad implementacijom promjena. Moraju se nametati formalne procedure za kontrolu promjena. One moraju osigurati da sigurnost i kontrolne procedure neće biti kompromitirane, da programeri koji pružaju podršku imaju pristup do samo onih dijelova sustava koji su im potrebni u poslu, te da se pribavlja formalno odobrenje za svaku promjenu. Promjene u aplikacijskom softveru mogu ostaviti posljedice na cjelokupnom operativnom okruženju. Gdje god je praktično, potrebno je integrirati aplikacije i procedure za kontrolu operativnih promjena (stavak 8.1.2). Taj proces mora uključiti slijedeće:

a)  održavanje popisa dogovorenih razina ovlaštenjab)  osiguravanja da su promjene dostavljene ovlaštenim korisnicimac)  pregledavanje kontrola i procedura integriteta, kako bi se osiguralo da neće biti kompromitirane promjenamad)  identifikacija svog računalnog softvera, informacija, entiteta u bazama podataka i svog hardvera, koji zahtijevaju izmjenee)  pribavljanje formalnog odobrenja detaljnih prijedloga prije nego što se započne s radom na promjenamaf)   prije implementacije osigurati da ovlašteni korisnici prihvaćaju promjene g)  osigurati provođenje implementacije tako da se poslovanje minimalno prekineh)  osiguravanje da je sistemska dokumentacija ažurirana nakon završetka svake promjene, te da je stara dokumentacija arhivirana ili odbačenai)   održavanje kontrole verzija za svaku nadogradnju softveraj)   održavanje nadzornog traga za sve zahtjeve za promjenama

k)  osiguravanje da se operativna dokumentacija (stavak 8.1.1) i korisničke procedure promijene prema potrebil)   osiguranje da implementacija promjena nastupi u pravo vrijeme i da ne ometa uključeni poslovni proces

63. Kako organizirati izvješćivanje o sigurnosnim događajima i slabostima?Kroz odgovarajuće kanale upravljanja potrebno je što prije izvijestiti o sigurnosnim događajima (gubitak usluge, ljudske greške, nepravilnosti u radu hardvera ili softvera i sl.). Svi zaposlenici trebaju zabilježiti i izvijestiti o svakoj uočenoj sigurnosnoj slabosti u sustavima ili uslugama. [Međunarodna norma ISO/IEC 17799, str. 87] U tu svrhu potrebno je utvrditi odgovornosti uprave i procedure za brz i učinkovit odgovor na sigurnosne incidente

64. Kako ostvariti upravljanje sigurnosnim incidentima i poboljšanjima?Kako bi se postigla imunost sustava na napade, važno je definirati načine postupanja u slučaju probijanja zaštite i napada na sustav. Dva su osnovna postupka u kontroliranju incidenata:

1. Vođenje dnevnika (evidencije) pristupa sustavu2. Definiranje pravila opravka sustava u slučaju napada

65. Kako se ostvaruje prikupljanje dokaza o sigurnosnom incidentu?

66. Što je to kontinuitet poslovanja i procjena rizika u odnosu na ostvarivanje kontinuiteta poslovanja?Naime, informacijska sigurnost se brine o povjerljivosti, integritetu i dostupnosti (raspoloživosti) informacija u nekoj organizaciji. Međutim, i kontinuitet poslovanja se u prvom redu brine da su informacije dostupne onima koji ih trebaju – naime, suština kontinuiteta poslovanja jest da osigurava kontinuitet ključnih poslovnih procesa u nekoj organizaciji. Kako se svaki poslovni proces bazira na protoku informacija, tako je fokus kontinuiteta poslovanja na dostupnosti, odnosno očuvanju i oporavku vitalnih poslovnih informacija.

67. Što podrazumijevamo pod pojmom sukladnost sa zakonskim propisima? Izbjegavanje kršenja kaznenih i civilnih zakona, statutarnih, običajnih ili ugovornih obveza i

sigurnosnih zahtjeva. Dizajn, operacionalizacija i korištenje informacijskih sustava mogu biti podložni statutarnim,

običajnim ili ugovornim sigurnosnim zahtjevima.

Potrebno je, od strane pravnih savjetnika organizacije ili kvalificiranih pravnika, potražiti savjet o specifičnim pravnim zahtjevima. Zakonske obveze variraju od zemlje od zemlje

68. Što je to penetracijsko testiranje sustava?Penetracijsko testiranje je jedna od metoda evaluacije sigurnosti računalnih sustava

simulirajući napad zlonamjernog korisnika (hakera). Proces uključuje aktivnu i detaljnu analizu računalnih sustava u potrazi za mogućim propustima u dizajnu, implementaciji i održavanju. Svi otkriveni propusti se na kraju testiranja navode u Izvještaju, uz ocjenu vjerojatnosti i mogućih posljedica, te prijedlozima za smanjivanje rizika. Nakon prezentacije Izvještaja ćemo odgovoriti na vaša pitanja, te zajedno sa vašim IT stručnjacima osmisliti strategiju unapređenja sigurnosti.

69. Što je SSL i zašto nam je potreban?

SSL (Secure Sockets Layer) je tehnologija za kreiranje šifrirane veze između web servera i browsera. Na taj način zaštićuju se podaci koji se prenose između browsera i web servera. SSL se najčešće koristi kod on-line trgovina kako bi se zaštitio prijenos podataka o kreditnim karticama i slično. Da biste mogli koristiti tu tehnologiju na vašem web stranici potreban vam je SSL certifikat.

Prenose se nezaštićeni podaci kroz zaštićene komunikacijske kanale. Upravo to radi SSL protokol. Zaštitu ostvaruje snažnim šifriranjem, a za identifikaciju koristi poznatu tehniku: sustav javnih ključeva (Public Key Criptography).

Prilikom stvaranja SSL-a postavljeni su sljedeći ciljevi (po prioritetima):1. Kriptografska zaštita (Criptographic Security). SSL ostvaruje zaštitu podataka za ostvarenje sigurne veze između dva sudionika u komunikaciji.2. Neovisnost o softveru i hardveru (Interoperability). Omogućiti programerima stvaranje softvera koji implementira SSL tako da dva različita softvera mogu razmijeniti parametre šifriranja, bez međusobnog poznavanja kôda.3. Proširivost (Extensibility). Kreirati okvir unutar kojeg se mogu uklopiti nove metode šifriranja javnim i simetričnim ključem ukoliko se se za to pojavi potreba. Time se istovremeno ostvaruju dva podcilja:

sprečava potrebu za stvaranjem novih protokola (uz rizik njihovih mogućih nedostataka) sprečava potrebu implementacije potpuno novih metoda šifriranja

4. Relativna efikasnost (Relative efficiency). Šifriranje zna biti vrlo zahtjevno za procesor računala, posebno kada se koristi asimetrično šifriranje. Zbog toga SSL pamti (cache) komunikacijske parametre ostvarenih veza kako bi smanjio broj veza koje mora ispočetka stvarati, čime ujedno manje opterećuje mrežu.

70. Koji su zahtjevi vezani uz sigurnost radne stanice na razini operacijskog sustava

71. Što je Phishing? Kako možemo otkriti Phishing?Phishing je jedan od oblika prijevare koji podrazumijeva skup aktivnosti kojima neovlašteni

korisnici korištenjem lažnih poruka elektroničke pošte i lažnih web stranica većinom financijskih organizacija pokušavaju korisnika navesti na otkrivanje povjerljivih osobnih podataka kao što su JMBG, korisnička imena i zaporke, PIN brojevi, brojevi kreditnih kartica i sl. Nažalost velik broj korisnika nije upoznat s ovim tipom prijevare. Jednom kad dođu do ovih informacija, zlonamjerni korisnici se ili sami njima koriste ili ih prodaju kako bi došli do podataka o drugim osobama. Elektroničke poruke se obično oslanjaju na lažna web odredišta koja izgledom sasvim odgovaraju web odredištima legitimnih tvrtki.

Najčešći oblici phishingaU najčešće primjere phishinga spadaju:

Lažna upozorenja banaka ili drugih financijskih organizacija u kojima se od korisnika traži upisivanje osobnih podataka kako u suprotnom ne bi došlo do ukidanja računa.

Prijevare sa aukcijskim web stranicama (eBay), u kojima se korisnika nagovora na uplatu određene novčane svote kako bi se kupio neki proizvod, čime korisnik zapravo, misleći da kupuje proizvod, vrši uplatu na lažni račun.

Lažne poruke od administratora u kojima se traže korisnički podaci kao što su lozinke. Razne obavijesti u kojima se pokušava iznuditi novac za lažne dobrotvorne akcije. Poruke u kojima se korisnika pokušava namamiti da uplati određenu svotu novaca na lažni

račun (npr. poruka o drastičnom smanjenju cijene nekog proizvoda kojeg se može kupiti samo na Internetu).

Poruke koje se pozivaju na sigurnost i zahtijevaju od korisnika otkrivanje osobnih informacija (korisnički račun, lozinku itd.) ili zahtijevaju instalaciju programa za kojeg se tvrdi da je zakrpa za pronađeni sigurnosni propust

Poruke koje vas obavještavaju da ste dobili na lutriji i da trebaju Vaše osobne podatke kako bi mogli podići dobitak

Kako prepoznati phishing poruku?Prevaranti često kopiraju vizualni izgled pravih e-mail poruka banaka i drugih kompanija. U posljednje vrijeme lažne poruke su u potpunosti identične s originalnima, međutim postoje određeni detalji koji odaju prijevaru:

pravopisne i gramatičke pogreške u poruci zahtijevaju se osobni podaci zahtijeva se instalacija programa za kojeg se tvrdi

da je zakrpa za pronađeni sigurnosni propust lažni linkovi u poruci nekorištenje SSL i digitalnih certifikata tijelo poruke je zapravo HTML obrazac nerealna obećanja pogreške u zaglavlju elektroničke poruke poruke zahtijevaju hitan odgovor poruke ne glase na određenu osobu

72. Što je DDoS, te kako se štitimo od njega?DoS dolazi od Denial of Service, odnosno napad uskraćivanjem usluga. Radi se o vrsti

napada u kojem se obično namjernim generiranjem velike količine mrežnog prometa nastoji zagušiti mrežna oprema i poslužitelji. Isti postaju toliko opterećeni da više nisu u stanju procesirati legitimni promet što na kraju ima za posljedicu da legitimni korisnici ne mogu koristiti mrežne usluge poput maila weba i sl. DDoS dolazi od Distributed Denial of Service, a radi se o obliku napada uskraćivanjem usluga u kojem su izvori zagušujućeg mrežnog prometa distribuirani na više mjesta po Internetu. Najčešće se radi o računalima na koja je prethodno provaljeno kako bi ih se iskoristilo za napad na druge mreže ili računala na Internetu.

73. Što je LDAP i zašto je bitanLDAP (Lightweight Directory Access Protocol) je standard na Internetu koji klijentu(engl. client) ili radnoj stanici (engl. workstation), preko TCP/IP mreže, omogućujepregledavanje i uporabu adrese elektroničke pošte (engl. e-mail) na LDAP poslužitelju (engl.server). On je jednostavnija inačica X.500 protokola za pristup direktoriju u modelu zapovezivanje otvorenih sustava.Zahvaljujući jednostavnosti, fleksibilnosti i praktičnosti omogućava izradu brzih i točnih informacijskih servisa. LDAP pruža mogućnost registriranja klijenta, ili dokazivanja identiteta čime se može potpuno ili djelomično pristupiti podacima, ili brani pristup podacima

74. Zašto nam je potrebna računalna forenzika, te koji su glavni postupci prilikom forenzičkog rada?Za podršku akcijama protiv osoba ili organizacija je nužno imati odgovarajuće dokaze. U

slučaju internih disciplinskih postupaka dokazi će biti opisani internim procedurama. U slučaju da akcija uključuje zakonske mjere, bilo prekršajne bilo krivične, tada prezentirani

dokazi trebaju biti usklađeni sa pravilima za prikupljanje dokaza, određenima kroz relevantne zakone ili pravilima suda kod kojeg se provodi postupak. Ta pravila općenito uključuju:

a)  prihvatljivost dokaza – da li ili ne dokaz može biti korišten na sudub)  težinu dokaza – kvalitetu i potpunost dokazac) adekvatne dokaze da su kontrole provođene korektno i konzistentno (tj. dokazi o

procesu kontrole) kroz razdoblje u kojem su dokazi bili pohranjivani i obrađivani od strane sustava

Kvaliteta i potpunost dokaza Radi postizanja kvalitete i potpunosti, potreban je snažan dokazni trag. Općenito, takav se

snažan trag može uspostaviti pod slijedećim uvjetima:a)  za papirnate dokumente – originali trebaju biti sigurno pohranjeni i mora biti zabilježeno tko

ih je pronašao, kada i tko je tome svjedočio. Svaka istraga treba osigurati da se ne manipulira sa originalima.

b)  za informacije na računalnim medijima – potrebno je načiniti kopije izmjenjivih medija, te informacija na tvrdim diskovima i u memoriji, kako bi se osigurala dostupnost. Potrebno je sačuvati dnevnik svih aktivnosti poduzetih tijekom kopiranja, a samom postupku netko treba prisustvovati i posvjedočiti. Jedna kopija medija i dnevnika trebaju biti sigurno pohranjene.

 Kada se incident prvi puta otkrije, ne mora biti očito da će rezultirati sudskim postupkom.

Stoga postoji opasnost nehotičnog uništenja potrebnih dokaza prije nego što je uočena ozbiljnost počinjenog incidenta. Preporučljivo je u ranoj fazi bilo kakve pravne akcije angažirati odvjetnika ili policiju i zatražiti savjete o potrebnim dokazima