Početna

KONTROLA PRISTUPA

            Kontrola pristupa korisnika detaljno je regulisana posebnim poglavljem u stan­dar­du ISO 17799, ali i kroz segmente koji se odnose na pristup operativnom sistemu i aplikativnim programima, kojim se precizno utvrđuje datum i vreme pristupa koris­ni­ka, kojim datotekama je pristupao i koje programe je koristio, kako bi se, ukoliko ipak do­đe do zloupotreba, izvršila rekonstrukcija događaja i pronašao počinilac. 

            Predviđene su i mere koje treba preduzeti u slučaju pokušaja da se naruši in­te­gritet informacija, bilo da je to učinjeno namerno ili usled nestručnosti počinioca. Ta­kođe, preporučuje se utvrđivanje vremena potrebnog za svaku elektronsku tran­sak­ciju koja se vrši u preduzeću i automatsko isključivanje korisnika ako, bez pret­hod­ne najave značajnije prekorači predviđeni vremenski rok. 

            Ono što je suštinski novo, to je zahtev da se prava korisnika na pristup i ste­pen datih ovlašćenja preispituju u skladu sa promenama koje su nastale u or­ga­ni­za­ci­ji, ili značajnijim promenama u društvenom okruženju. Istovetan zahtev odnosi se i na bezbednosnu politiku: menadžeri treba da znaju da su njenim donošenjem i pri­me­nom završili samo pola posla. Druga polovina nalaže da se kvalitet definisane po­li­tike neprestano proverava u praksi i menja shodno novim uslovima. 

            Primarna funkcija kontrole pristupa je identifikacija individualnog prava koje ima neka osoba u cilju pristupa određenim informacijama. Kao što je već rečeno, osnovni cilj kontrole pristupa operativnom sistemu je spre­čavanje neovlašćenog pristupanja računaru, odnosno računarskoj mreži. Da bi se to izvelo, potrebno je ograničiti pristup računarskim resursima, i tu treba koristiti sred­stva i metode koja su usklađena sa sistemom, odnosno koja funkcionišu na ni­vou rada sistema. Pošto postoji veći broj ovih sredstava danas, njihove performanse mo­gu se izdvojiti u grupe, koje bi uslovno bile sledeće: 

a)     Identifikacija i verifikacija identiteta korisnika;

b)     Identifikacija i verifikacija terminala i lokacije korisnika;

c)      Zapis uspešnih i neuspešnih pristupa sistemu;

d)     Provera verodostojnosti (lozinke, upit i odgovor);

e)     Ograničavanje trajanja pristupa korisniku. 

            Identifikacija i verifikacija identiteta korisnika 

            Svako od korisnika (uključujući osoblje za tehničku podršku kao što su ope­ra­te­ri, administratori mreža, programeri sistema i administratori baza podataka) treba da ima jedinstveni identifikacioni broj (korisnički ID) za ličnu upotrebu, tako da od­go­vor­no lice može naknadno pratiti njihove aktivnosti. Korisnički identifikacioni brojevi (ID) ne treba da bilo čime ukazuju na nivo povlašćenog pristupa, npr. rukovodilac, nad­zornik. 

            Proveravanje verodostojnosti može da se izvrši na dva načina, identifikacijom (kada se korisnički, ID podaci upoređuju sa postojećom bazom podataka, najčešće kod multi user računara) i verifikacijom (kada se ID prepoznaje, ali se ne upoređuje sa bazom podataka, ovde se najčešće koriste smart kartice). 

            U posebnim okolnostima, kada postoji jasna poslovna korist, može se pri­me­ni­ti i zajednički identifikator grupe korisnika ili specifičnog zadatka. Za takve slučajeve tre­ba dobiti dokumentovano odobrenje rukovodstva. Da bi se uspostavila od­go­vor­nost mogu se izvršiti dopunske kontrole. 

            Postoje razne procedure prijavljivanja, koje se mogu primenjivati za overu iz­jav­ljenog identiteta nekog korisnika. Lozinke su vrlo čest način da se obezbedi iden­ti­fi­kovanje i utvrđivanje verodostojnosti, što se zasniva na tajni koju zna jedino ko­ris­nik. Isto se može ostvarivati pomoću kriptografskih sredstava i protokolima za ut­vr­đi­va­nje verodostojnosti. 

            Za identifikaciju i verifikaciju takođe se mogu koristiti uređaji kao što su me­mo­rij­ske ili smart kartice koje korisnici poseduju. Identitet osobe može se utvrđivati i upo­trebom biometrijskih tehnologija koje koriste jedinstvene biološke karakteristike ili at­ribute pojedinca. Bolju proveru verodostojnosti daje kombinovanje ovih tehnologija. 

            Biometrijska tehnologija teži da stvori jedinstvenu identifikaciju pojedinca kroz statističko merenje njegovih određenih fizičkih osobina ili ponašanja. Ove jedinstvene biometrijske informacije zatim mogu da budu sačuvane u elektronskoj formi, i kasnije iskorišćene za upoređivanje, čime postaju dokaz identifikacije. U teoriji, biometrijski sistemi bi trebalo uvek da budu potpuno precizni, međutim, u praksi to ipak nije tako jednostavno. Na ovom polju do sada su istraživane sledeće čovekove osobine: 

·         Otisci prstiju

·         Geometrija šake

·         Otisak dlana

·         Raspored vena ruke

·         Dinamika stiska šake

·         Termografija lica

·         Dvodimenzionalni (2D) prikaz lica

·         Trodimenzionalni (3D) prikaz lica

·         Zenica oka

·         Mrežnjača oka

·         Glas

·         Potpis

·         Dinamika kucanja

·         DNK

·         Hod (koračanje) 

            Svaki biometrijski sistem treba da poseduje odgovarajući softver i hardver koji treba da proračunava, uzima, čuva, pronalazi, upoređuje i prepoznaje/odbacuje svaki jedinstveni biometrijski identifikator. 

            Biometrijski sistemi generalno rade na jedan od dva moguća načina, to jest, vrše identifikaciju ili verifikaciju. U svakom slučaju, inicijalna postavka, unošenje podataka u sistem, je veoma slična u oba slučaja, i zavisi od pravilnog unosa samih podataka. Proces unošenja uspostavlja buduću strukturu biometrijskog sistema, i on se sastoji iz pet delova: 

·        Unos biometrijskih zapisa (Ubacivanje zapisa jedinstvenih biometrijskih osobina u bazu podataka, gde se često uzima više uzoraka iste osobine pojedinca, zbog fluktuacija, kao što su boja glasa, ili izrazi lica);

·        Uzimanje biometrije (Merenje i rastavljanje osnovnih informacija biometrijskog zapisa osobine);

·        Procesuiranje biometrije (Konverzija unetih podataka u numeričku informaciju zbog stvaranja jedinstvenog identifikacionog broja određene osobine);

·        Proveravanje biometrije (Ponovno unošenje biometrijskih osobina radi utvrđivanja da li je sistem prihvatio i pravilno prepoznao podatak);

·        Skladištenje biometrije (Trajno unošenje proverenih biometrijskih podataka). 

            Rezultat ovog procesa su tačne i upotrebljive, elektronski predstavljene kombinacije biometrijskih informacija, koje se nalaze u bazi podataka, kao i na ID/Smart karticama.

            Identifikacija i verifikacija terminala i lokacije korisnika i zapis uspešnih i neuspešnih pristupa sistemu 

            Za utvrđivanje verodostojnosti priključivanja specifičnih lokacija i prenosivih ure­đaja, treba predvideti automatsko identifikovanje terminalskog uređaja. Auto­mat­sko identifikovanje je postupak koji se može koristiti ako je važno da se veza može za­početi samo sa određene lokacije ili računarskog terminala. Da bi se pokazalo da li je tom određenom terminalskom uređaju dozvoljeno da započne ili da preuzima od­re­đe­ne transakcije, može se primeniti ugrađen ili pripojen identifikator. Za čuvanje iden­ti­fikatora terminalskog uređaja, možda će biti neophodno da se primeni fizička zaštita sa­mog terminalskog uređaja. Može se takođe koristiti i više drugih postupaka za ut­vr­đi­vanje verodostojnosti korisnika. 

            Pristup informacionim uslugama treba da se ostvaruje postupkom sigurnosnog pri­javljivanja. Proceduru za prijavljivanje na računarski sistem treba projektovati tako da se na minimum svede mogućnost neovlašćenog pristupanja. Procedura za pri­jav­lji­vanje zato treba da otkriva samo minimum informacija o sistemu, kako bi se izbeglo da se neovlašćenom korisniku bez potrebe pruži pomoć. Dobra procedura za pri­jav­lji­va­nje: 

a)     ne sme da prikazuje identifikatore sistema ili aplikacija sve dok se prijavljivanje uspešno ne završi;

b)     treba da prikaže poruku opšteg upozorenja da računaru treba da pristupaju sa­mo ov­lašćeni korisnici;

c)      ne sme da pruža podršku tokom procedure prijavljivanja koja bi pomogle ne­ov­lašćenim korisnicima;

d)     treba da validaciju informacija koja se zahteva radi prijavljivanja izvrši tek po za­­vr­šet­ku unošenja svih podataka. Ukoliko nastane greška, sistem ne treba da uka­že na to koji je deo podataka tačan, a koji nije;

e)     treba da ograniči dozvoljeni broj neuspešnih pokušaja prijavljivanja (pre­po­ru­ču­je se tri) i da uključi: 

1)   zapisivanje neuspešnih pokušaja;

2)   sprovođenje vremenskog ograničenja pre nego što se dozvole dalji po­ku­šaji pri­javljivanja ili odbacivanje svakog daljeg pokušaja bez posebnog odob­re­nja;

3)   raskidanje veza u linkovima za podatke; 

f)        treba da ograniči maksimalno i minimalno trajanje procedure prijavljivanja. Ako se ono premaši, sistem treba da prekine sa prijavljivanjem;

g)     treba da po završetku uspešnog prijavljivanja prikaže sledeće informacije: 

1)   datum i vreme prethodnog uspešnog prijavljivanja;

2)   detalje svakog od neuspešnih pokušaja prijavljivanja, u periodu posle po­­s­lednjeg uspešnog prijavljivanja. 

            Provera verodostojnosti (Lozinke) 

            Lozinke su jedno od glavnih sredstava validacije ovlašćenja korisnika za pri­stu­panje uslugama nekog računara. Sistemi upravljanja lozinkama treba da obez­be­de efikasno, interaktivno sredstvo, kojim se osiguravaju kvalitetne lozinke. Neke ap­li­ka­cije zahtevaju da lozinke korisnicima dodeljuje neko nezavisno ovlašćeno telo. U naj­većem broju slučajeva lozinke odabiraju i njima upravljaju sami korisnici. 

            Lozinke se odnose na kontrolu pristupa koja je određena pitanjem Šta neko zna, i kao takva predstavlja viši nivo bezbednosti. Informacije koje neko zna, odnosno koje je neko zapamtio fizički ne postoje, i ne mogu se izgubiti, kao na primer, ključevi ili kartice, ali je glavni problem vezan za zaboravljanje. Zbog toga određene osobe zapisuju lozinke i tako smanjuju njen nivo bezbednosti. Takođe se kao provereni metodi koriste skladištenje lozinke u šifrovanom obliku na računaru, kao i dodatna pitanja u slučaju zaboravljanja lozinke. 

            Lozinke bi takođe trebalo menjati u skladu sa mogućnostima, pošto će učestalost promene lozinke zavisiti pre svega od stepena potrebne zaštite podataka. Postoji mogućnost dodele nove lozinke koju napravi računar po principu slučajnosti, i ona se daje zaposlenom u pisanoj formi. Osim dodele, klasičan način je da zaposleni sam napravi lozinku. Praksa je da se lozinka menja u proseku svakih mesec dana, i to po jednostavnom principu, da bi se izbeglo učenje napamet svake lozinke. 

            Lozinke u sebi ne smeju da sadrže datume rođenja, imena, često korišćene pojmove i reči iz rečnika, pošto se veoma lako otkrivaju (neki programi imaju u sebi učitan rečnik i veoma brzo otkrivaju ovakve lozinke), već treba da kombinuju slova i brojeve, a preporučuje se upotreba i dopunskih znakova. 

            Dobar sistem upravljanja lozinkama treba da: 

a)     sprovodi korišćenje pojedinačnih lozinki kako bi se održala odgovornost;

b)     omogući korisnicima, kada to odgovara, da odabiraju i menjaju svoje lozinke, kao i da uključe proceduru potvrđivanja kako bi se uzele u obzir greške prilikom unošenja;

c)      sprovodi odabiranje kvalitetnih lozinki;

d)     kada sami korisnici čuvaju svoje lozinke, da sprovodi menjanje lozinki;

e)     kada lozinke odabiraju sami korisnici, da sprovodi da oni privremene lozinke promene prilikom prvog prijavljivanja;

f)        da čuva zapis sa prethodnim korisničkim lozinkama, npr. za prethodnih 12 meseci, kao i da spreči njihovo ponovno korišćenje;

g)     da prilikom unošenja lozinke to ne prikazuje na ekranu;

h)      datoteke sa lozinkama čuva odvojene od sistemskih podataka aplikacije;

i)        lozinke skladišti u šifrovanom obliku korišćenjem algoritma za šifrovanje u jednom smeru;

j)        posle ugradnje softvera zameni lozinku koju je prodavac unapred dao. 

            Ograničavanje trajanja pristupa korisniku 

            Ograničenje trajanja priključenja treba da pruži dodatnu zaštitu u radu sa ap­li­ka­cijama visokog rizika. Ograničavanje trajanja vremenskog perioda u kojem je pri­ključcima za terminalske uređaje dozvoljen pristup računarskim uslugama smanjuje okvir mogućnosti neovlašćenog pristupa. Ovakvu kontrolu treba predvideti kod rada sa osetljivim računarskim aplikacijama, posebno sa onima kod kojih su terminalski ure­đaji postavljeni na mestima velikog rizika, u javnim i spoljnim područjima koja su izvan domašaja upravljanja sigurnošću u organizaciji. Primeri takvih ograničenja su: 

a)     korišćenje unapred utvrđenih vremenskih perioda, npr. za prenošenja datoteka u grupama ili za normalni interaktivni rad kratkog trajanja;

b)     ograničavanje trajanja priključenja na normalno radno vreme ukoliko ne postoje potrebe za prekovremenim ili produženim radom. 

            Neaktivne terminale na mestima velikog rizika, npr. u javnim ili eksternim pod­ruč­jima izvan domašaja upravljanja sigurnošću u organizaciji, ili kod davanja usluga sis­­temima velikog rizika, posle definisanog perioda neaktivnosti treba isključiti kako bi se sprečio pristup neovlašćenim osobama. Ova funkcija vremenskog ograničenja tre­ba da posle definisanog perioda neaktivnosti, na terminalskom uređaju sa ekrana iz­bri­­še sve sadržaje i da prekine aktivnosti na mreži i sa aplikacijom. Dužina trajanja ne­aktivnosti treba da odrazi rizike po sigurnost u određenoj oblasti i potrebe korisnika ter­minala. 

            Uprošćena funkcija vremenskog ograničenja može se primeniti i na neke lične ra­­­čunare (PC) kojom se briše sadržaj ekrana i sprečava neovlašćeni pristup ali kojom se ne prekidaju aktivnosti na mreži ili sa aplikacijom. 

            Upotreba sistemskih pomoćnih programa 

            Najveći broj ugrađenih računara sadrži jedan ili više pomoćnih programa kojim se mogu prevladati postojeće kontrole u sistemu ili aplikaciji. Bitno je da njihovo ko­riš­ćenje bude ograničeno i strogo kontrolisano. Treba predvideti sledeće kontrole: 

a)     kod sistemskih pomoćnih programa, korišćenje procedura za utvrđivanje ve­ro­dos­tojnosti;

b)     izdvajanje sistemskih pomoćnih programa iz aplikacijskog softvera;

c)      ograničenje odobrenja za korišćenje sistemskih pomoćnih programa na mi­ni­mal­no potreban broj poverljivih ljudi;

d)     izdavanje odobrenja za privremeno korišćenje sistemskih pomoćnih programa;

e)     ograničavanje raspoloživosti sistemskih pomoćnih programa, npr. samo tokom odo­brenog unošenja nekih izmena;

f)        zapisivanje svih korišćenja sistemskih pomoćnih programa;

g)     definisanje i dokumentovanje nivoa odobrenja za sistemske pomoćne pro­gra­me;

h)      uklanjanje svih nepotrebnih pomoćnih programa zasnovanih na softveru kao i sis­temskih softvera. 

            Bezbednosna kultura i kontrola pristupa OS 

            Često se dešava da određene osobe, iz čisto zle namere, pokušavaju da na raz­ne načine od zaposlenih dobiju informacije o računarskom sistemu i pristupu, ka­ko bi neovlašćeno pristupili najčešće poverljivim informacijama. Ovo za posledicu mo­že imati ogromne negativne efekte koji mogu ozbiljno da ugroze poslovanje kom­pa­nije ili preduzeća. Stoga je bitno edukovati zaposlene da na vreme uoče ovakve po­kušaje neovlašćenog pristupa i reaguju adekvatno i pravovremeno. 

            Ukoliko neko traži određene informacije, treba uraditi sledeće: 

1.        Lozinke – Nikada saopštavati lozinku ni pod kojim uslovima;

2.        Lične podatke (brojevi telefona, adresa, plata) – Pratiti uputstva koja se od­no­se na rad s internim informacijama;

3.        Postupke i informacije o računarskim sistemima (tip operativnog sistema, pos­tupci za daljinski pristup, telefonski brojevi za daljinski pristup i nazivi po­je­di­nih računarskih sistema) - Pratiti uputstva koja se odnose na rad s internim in­formacijama; 

            Ukoliko neko traži da se nešto uradi, treba uraditi sledeće: 

1.        Otvaranje priložene datoteke uz elektronsku poštu – Ne otvarati priložene da­­toteke ukoliko nisu unapred očekivane; Proveravati sve takve datoteke po­mo­­ću antivirusnog programa;

2.        Izmena lozinke – Nikada ne menjati lozinku u nešto što je poznato nekom dru­­gom licu, čak ni na trenutak;

3.        Elektronsko prosleđivanje poverljivih informacija (Izvorni kôd programa, po­­slovne tajne, postupak proizvodnje, formule, specifikacije proizvoda, mar­ke­tin­ški podaci ili poslovni planovi) – Proveriti klasu podataka i slediti procedure za tu klasu;

4.        Unošenje naredbi u računar (Nikada ne unositi nepoznate naredbe i nikada ne pokretati programe na zahtev druge osobe ukoliko to posebno ne odobri in­for­­matičko odeljenje) – Podnosilac zahteva mora biti isključivo iz infor­ma­tič­kog ode­­ljenja; Primeniti postupke provere zaposlenog;

5.        Preuzimanje, instalacija, ukljanjanje ili isključivanje softvera (Instalirati sa­mo softver iz proverenih izvora koji se može proveriti pomoću digitalnog pot­pi­sa) – Postupak rada s internim informacijama;

6.        Izmena parametara računarskog sistema ili mreže (Ne menjati nikakve pa­ra­metre u BIOS-u, operativnom sistemu, niti bilo kojoj aplikaciji, uključujući i lič­nu zaštitnu barijeru ili antivirusne programe, ukoliko to posebno ne odobri in­for­matičko odeljenje) - Podnosilac zahteva mora biti isključivo iz infor­ma­tič­kog ode­­ljenja; Primeniti postupke provere zaposlenog.

početna | o nama | usluge | aktuelno | kontakt