Προσεγγίσεις Ασφάλειας Πληροφοριακών Συστημάτων Βασισμένο στο ομότιτλο άρθρο του Καθηγ. Ε. Κιουντούζη που περιέχεται στο βιβλίο Ασφάλεια Πληροφοριακών Συστημάτων (Επιμέλεια Σ. Κάτσικας, Δ. Γκρίτζαλης, Σ. Γκρίτζαλης), Εκδόσεις Νέων Τεχνολογιών, 2004. Βασικές έννοιες Ασφάλεια Τεχνολογίας Πληροφορικής και Επικοινωνιών Ασφάλεια Πληροφοριών Ασφάλεια Πληροφοριακών Συστημάτων 2 1
Τι είναι σύστημα; Υπάρχουν πολλοί ορισμοί, εμείς επιλέγουμε τον ορισμό των Schoderbek, Schoderbek, Kefalas (1990): A system is defined as a set of objects together with relationships between the objects and between their attributes related to each other and to their environment so as to form a whole. Τώρα θα επιχειρήσουμε να εξηγήσουμε τον ορισμό, αν και αυτή δεν είναι συστημική προσέγγιση Ανάλυση της έννοιας «Σύστημα» Σύστημα: Αποτελείται από επιμέρους στοιχεία Έχουν χαρακτηριστικά γνωρίσματα Σε αλληλοσυσχέτιση και αλληλεπίδραση Αλληλεπιδρά με το περιβάλλον Αποτελεί μία ενιαία ολότητα Έχει ένα σκοπό (αν αποτελεί τεχνούργημα). 4 2
Παραδείγματα Είναι τα παρακάτω συστήματα; Windows XP Πανεπιστήμιο Αιγαίου Οι φοιτητές σε μία τάξη Η Εθνική Παιδεία Οι τέσσερις κεντρικές έννοιες της θεωρίας συστημάτων Communication (επικοινωνία) Control (έλεγχος) Hierarchy (ιεραρχία) Emergence (αναδυόμενες ιδιότητες) 3
Communication & Control Hierarchy and Emergence Ιεραρχία: κάθε σύστημα έχει υποσυστήματα και εκείνα με τη σειρά τους άλλα υποσυστήματα, κ.ο.κ. Η διάκριση γίνεται με βάση το επίπεδο συμπλοκότητας (άτομο, μόριο, κύτταρο, ιστός, όργανο, κ.λπ.) Σε κάθε επίπεδο προκύπτουν κάποιες νέες ιδιότητες, οι οποίες δεν υφίστανται στα κατώτερα επίπεδο και τις οποίες ονομάζουμε ανακύπτουσες ή αναδυόμενες ιδιότητες (emergent properties). Αυτό είναι το θεμελιώδες χαρακτηριστικό της ολιστικής και κατ επέκταση της συστημικής θεώρησης. 4
Emergent properties Παράδειγμα: Το νερό Η δομή του νερού είναι γνωστή (H2O) και τα χαρακτηριστικά του εξηγούνται πλήρως από τη μοριακή του δομή. Αυτό σημαίνει ότι πρέπει να γνωρίζεις τέλεια τα χαρακτηριστικά (και τη συμπεριφορά) του υδρογόνου και του οξυγόνου, πώς αλληλεπιδρούν μεταξύ τους και πώς συνδέονται δομικά για να σχηματίσουν ένα μόριο νερού. Σημειώστε ότι το κάρβουνο από το διαμάντι διαφέρουν μόνο στη δομή τους. Όμως, το νερό έχει ιδιότητες που δεν έχουν το υδρογόνο και το οξυγόνο (δηλ. είναι υγρό, άοσμο και άγευστο). Αυτές ονομάζουμε αναδυόμενες (emergent) ιδιότητες. Emergent properties Περί νερού, συνέχεια... To 2012 η Royal Society of Chemistry προσέφερε το συμβολικό έπαθλο των 1,000 για όποιον εξηγήσει γιατί το ζεστό νερό παγώνει γρηγορότερα από το κρύο. Το ζήτημα αυτό είναι γνωστό από την αρχαιότητα και έχει διατυπωθεί ως επιστημονικό ερώτημα από τη δεκαετία του 1960. Πειστική εξήγηση δόθηκε για πρώτη φορά στις αρχές του 2013, με βάση τις ιδιότητες των δεσμών μεταξύ των μορίων του νερού. Η εξήγηση αυτή βρίσκεται υπό εξέταση. Μόνο με δύο άτομα υδρογόνου και ένα άτομο οξυγόνου μπορείς να έχεις σύμπλοκη συμπεριφορά που δύσκολα εξηγείται αναλυτικά. 5
People in system hierarchies Τα Π.Σ. ως τεχνουργήματα Δημιουργούνται από ανθρώπους, τα διοικούν και διαχειρίζονται άνθρωποι και υπηρετούν στόχους που έχουν θέσει άνθρωποι. Η πληροφορία είναι ένα αγαθό με μεγάλη ζήτηση, το οποίο διαφέρει σημαντικά από την ύλη και την ενέργεια. Η χρήση της πληροφορίας δεν μειώνει την αξία της. Όσο περισσότερη πληροφορία χρησιμοποιείς τόσο περισσότερη χρειάζεσαι. Μπορεί να αντιγραφεί άπειρες φορές, χωρίς να αλλοιωθεί το πρωτότυπό της. Συνεπώς, η κλοπή της δεν γίνεται εύκολα αντιληπτή. 12 6
Τα Π.Σ. ως τεχνουργήματα (συνεχ.) Στηρίζονται στην πληροφορική, μία δυναμική τεχνολογία με μεγάλο ρυθμό ανάπτυξης. Το Π.Σ. είναι ζωτικής σημασίας για έναν οργανισμό και αποτελεί σημαντική οικονομική επένδυση. 13 Ορολογία Πληροφοριακό Σύστημα: Ένα οργανωμένο σύνολο από πέντε στοιχεία (άνθρωποι, λογισμικό, υλικό, διαδικασίες και δεδομένα), τα οποία αλληλεπιδρούν μεταξύ τους και με το περιβάλλον, με σκοπό την παραγωγή και διαχείριση πληροφορίας, για την υποστήριξη των ανθρώπινων δραστηριοτήτων, στα πλαίσια ενός οργανισμού. Π. Σ. = Τεχνολογική Υποδομή + Οργανωσιακό Πλαίσιο 14 7
Ασφάλεια Π.Σ. Ασφάλεια Π.Σ. είναι: Ένα οργανωμένο πλαίσιο από έννοιες, αντιλήψεις, αρχές, πολιτικές, διαδικασίες, τεχνικές και μέτρα που απαιτούνται για να προστατευθούν τα στοιχεία του Πληροφοριακού Συστήματος, αλλά και το σύστημα ολόκληρο, από κάθε σκόπιμη ή τυχαία απειλή. 15 Ανάλυση του ορισμού Έμφαση όχι μόνο στο Π.Σ. ως ολότητα, αλλά και στα επιμέρους στοιχεία του. Η προστασία αφορά κάθε είδους απειλή (τυχαία ή σκόπιμη). Η ασφάλεια Π.Σ. συνδέεται άμεσα τόσο με τις τεχνικές, διαδικασίες και διοικητικά μέτρα όσο και με τις αντιλήψεις, αρχές και παραδοχές. Το όλο πλαίσιο χαρακτηρίζεται από οργάνωση. 16 8
Δικαιούχοι (stakeholders) Η διοίκηση του οργανισμού Οι ιδιοκτήτες και διαχειριστές των δεδομένων και διεργασιών Οι τελικοί χρήστες Οι υπεύθυνοι ανάπτυξης του συστήματος Οι υπεύθυνοι λειτουργίας του Οι καταναλωτές των τελικών προϊόντων και υπηρεσιών Η πολιτεία 17 Επίβουλοι του συστήματος Εσωτερικοί, εξωτερικοί και συνεργάτες Ανταγωνιστές Εγκληματικές οργανώσεις Δυσαρεστημένοι υπάλληλοι, πελάτες, πολιτικοί ακτιβιστές Κρατικοί ή «παρακρατικοί» φορείς αλλά και πολλά προβλήματα ασφάλειας από τυχαία γεγονότα και ακούσιες ενέργειες 18 9
Εννοιολογικό πλαίσιο επηρεάζονται Περιβάλλον επηρεάζονται Επίβουλοι απειλούν επιδρά απειλούν Οργανισμός έχουν συμφέροντα Τεχνολογική Υποδομή Π.Σ. δεν είναι πάντα ίδιες Πρακτικές ανάπτυξης Π.Σ. συχνά ταυτίζονται λαθεμένα ποικίλουν επιδρούν στηρίζεται Πληροφοριακό Σύστημα (Π.Σ.) απαιτεί για να αντιμετωπισθούν οι απειλές Ασφάλεια Π.Σ. έχουν συμφέροντα διαμορφώνουν Δικαιούχοι Ασφάλειας Π.Σ. θέτουν απαιτήσεις καθοδηγεί πρέπει να καθοδηγείται από εξασφαλίζουν Επιστημολογία Οντολογία καθοδηγεί Πρακτικές Ασφάλειας Π.Σ. βοηθούμενοι από Ειδικοί Ασφάλειας 19 Προσεγγίσεις ασφάλειας Π.Σ. Βάσει βέλτιστων πρακτικών Το μοντέλο του καταλόγου Τα πρότυπα ασφάλειας Η ανάλυση και διαχείριση κινδύνων Ερευνητικές προσεγγίσεις 20 10
Βάσει βέλτιστων πρακτικών Μοντέλο καταλόγου (checklist) Βασίζεται σε λίστα αντιμέτρων. Ενέργειες που πρέπει να γίνουν ή απειλές που πρέπει να αντιμετωπιστούν 21 Πρότυπα ασφάλειας Διαχείριση ασφάλειας: ISO 2700X Αξιολόγηση: Common Criteria Τεχνολογίες ασφάλειας: Κρυπτογραφικοί αλγόριθμοι κ.λπ. 22 11
Ανάλυση - Διαχείριση Επικινδυνότητας Έμφαση στην έννοια της επικινδυνότητας (risk) αντί για ασφάλεια Επικινδυνότητα = Πιθανότητα περιστατικού Χ Επίπτωση Αποτίμηση αγαθών (Asset valuation) Ανάλυση απειλών/αδυναμιών (Threat/Vulnerability analysis) Επιλογή αντιμέτρων (Countermeasures selection) Συστηματική ή συστημική; Τεχνική ή ανθρωποκεντρική; 23 Δυϊσμός ή Δυαδικότητα; Δυϊσμός Διαχωρισμός του κοινωνικού και του τεχνικού συστήματος Κοινωνικά ζητήματα παραλείπονται από την επιστημονική μελέτη Η ασφάλεια ως επιπρόσθετη απαίτηση (add-on) Δυαδικότητα Τεχνική άποψη και κοινωνική άποψη ως ισοδύναμες απόψεις του ίδιου φαινομένου Ενσωμάτωση της ασφάλειας (built-in) 24 12
Συμπεράσματα Ζητούμενο η κατανόηση του όρου ασφάλεια πληροφοριακού συστήματος Υπάρχουν δύο μεγάλες κατηγορίες προσεγγίσεων: Βέλτιστες πρακτικές και βασισμένες σε ερευνητικές προσπάθειες Δυϊσμός και δυαδικότητα 25 Ερωτήσεις Προσεγγίσεις Ασφάλειας Πληροφοριακών Συστημάτων 26 13