Securitatea sistemelor document management

Traditional, un sistem de document management stocheaza documente in format electronic. Documentele pot ajunge in arhiva fie prin scanarea unor documente pe hartie, fie prin introducerea lor directa. Multe sisteme de document management incorporeaza alte module conexe, cum ar fi module pentru autentificare, pentru autorizarea accesului la arhiva, pentru intorducere/scanare documente, pentru modificarea documentelor sau pentru implementarea unui traseu de aprobare a documentelor.

Un sistem de document management, ca orice sistem informatic, are nevoie de masuri de securitate clasice, cum ar fi protectia firewall, backup, protectie antivirus, sisteme pentru detectarea intruziunilor, surse de curent etc. Mutlitudinea de functii pe care le aduce un sistem de document management induce nevoi sepcifice de securitate, cele mai importante fiind autentificarea si autorizarea. Autentificarea reprezinta identificarea ca si un utilizator autorizat in sistem. Autorizarea defineste drepturile pe care acest utilizator la are in sistem.

Autentificarea
Autentificarea se face fie prin clasica pereche username/password sau folosind sisteme biometrice, smartcad-uri etc. Nu cu ce facem autentificarea este insa cel mai important in selectia unei solutii de document management, ci cum se face autentificarea. Cu alte cuvinte, unde sunt verificate informatiile de autentificare primite de la utilizator. Fie sistemul incorporeaza propria baza de utilizatori, fie va folosi alt provider de autentificare. Primul mecanism este cel mai simplu de folosit, se vor defini utilizatorii in baza proprie a softului de document management. Insa aceasta metoda devine foarte greu de folosit, atunci cand utilzatorul trebuie sa foloseasca din ce in ce mai multe perechi username si parola pentru toate sistemele pe care le foloseste. Alternativa este folosirea unui mecanism de single sign-on – o interfata pentru autentificarea unica la mai multe sisteme, sau folosirea unui sistem de document management care poate fi integrat cu mecanime de managementul identitatii deja existente in organizatie compatibile LDAP, cum ar fi Microsoft Active Directory sau IBM Directory Server.

Autorizarea
Dupa ce un utilizator se prezinta in sistem, acesta primeste sau nu drepturi de access la informatie. Autorizarea se face folosind trei metode importante: bazata pe roluri, pe reguli sau pe continut. Autorizarea bazata pe rolrui implementeaza un mecanism prin care un utilizator detine unul sau mai multe roluri in sistem, cum ar fi editor – fiecare dintre aceste roluri are diverse drepturi de access la informatii. Folosind autorizarea bazata pe reguli, nivelul de accces al utilizatorului este determinat in urma executarii unui set de reguli introduse de administrator – de exemplu verificarea unor conditii. Autorizarea bazata pe continut foloseste liste de access discreta pe fiecare informatie sau colectie de informatii, de obicei definite chiar la introducerea acesteia in sistem. De multe ori gasim o combinatie de moduri de access, cum ar fi combinarea rolurilor si continutului: pentru un set de informatii se acorda drepturi discrete catre grupuri (roluri) iar utilizatorii vor face parte din unul sau mai multe grupuri.

Este evident ca un sistem de document management aduce evantaje intr-o organizatie. De multe ori la implementarea unui astfel de sistem se pune accentul pe functionalitatea si arhivarea eficienta, insa se omite faptul ca la acest moment se introduce un nou risc: accesului neautorizat la informatie.

Auditorul si auditatul

Prin definitie, auditul este un proces prin care o persoană (sau grup de persoane) independentă şi calificată, numită auditor, face o evaluare obiectivă a unui sistem informatic, de obicei în raport cu un standard sau un obiectiv propus. Există şi auditul intern, proces prin care se asigură o conformitate continuă cu standardele interne. Auditul intern poate fi verificat periodic prin auditul extern.
Auditul de securitate este procesul prin care se evaluează nivelul de securitate al unui sistem informatic. Auditul trebuie realizat într-un anumit context (toată reţeaua sau numai o parte, procedurile sau întreg planul de securitate) şi având un obiectiv bine definit (de exemplu conformitatea cu standardul ISO27001).

Independenta
Este binecunoscut ca nu se poate audita propria munca. Astfel, exista o incompatibilitate intre calitatea de auditor si cea de consultant sau de integrator de solutii. Nici macar auditul intern nu trebuie sa fie realizat de o persoana care este sau a fost recent implicata in implementarea sau intretinerea sistemului auditat.

Problema independentei se pune atat auditorului ca persoana dar mai ales auditorului ca si companie. In general independenta este o negare a oricaror interese financiare sau de imagine, sau oricand exista motive care ar putea impiedica un audit obiectiv.

Un auditor independent este acel auditor care nu a fost implicat in activitati de consultanta, de implementare sau de furnizare pentru solutiile informatice care compun sistemul auditat. Consideram ca un auditor poate fi considerat independent, perioada de timp care trebuie sa se scurga de la, de exemplu, un contract de consultanta, este de 3 ani in cazul in care au existat in trecut relatii de aceasta natura.

Evident, un auditor poate fi contractat de aceeasi organizatie si pentru activitati de consultanta, insa acesta nu mai poate realiza ulterior audituri pentru acelasi beneficiar.

Calificarea
Pentru a-si exprima o opinie sau a ajunge la un set de concluzii pertinente, un auditor trebuie sa aiba un bogat bagaj de cunostinte in domeniu, iar experienta anterioara in activitati de implementare si consultanta de solutii informatice este de neinlocuit. De asemenea, intotdeauna un auditor care are experienta bogata in audituri pe un anume segment, trebuie sa fie preferat in fata unor „generalisti”.
O echipa de auditori este formata din cel putin un auditor si unul sau mai multi experti in tehnologie, astfel incat opiniile sa poata fii obiective si sa aiba o baza solida.
Un auditor este considerat a fi calificat atunci cand are nu numai certificari de auditor, dar are si experienta tehnica necesara atat in unele tehnologii dar si pe partea de servicii, competente care trebuie reinoite continuu.

Autoritatea
Acest aspect are doua fatete. In primul rand se pune problema autoritatii opiniilor emise de un auditor. Aceasta problema este doar in parte rezolvata de calificarile auditorului/auditorilor. Este evident ca o certificare de auditor da valoare raportului care va rezulta. Insa in fata unei terte parti (opinia publica, o alta autoritate care cere un raport de audit) vor mai conta si alti factori: notorietatea, independenta, experienta, etc.

Alta fateta este autoritatea pe care o are auditorul fata de auditat. In primul rand auditorului trebuie sa i se permita accesul la informatiile necesare in desfasurarea auditului, iar aceste informatii trebuie sa fie reale, corecte si curente, in caz contrar rezultatul auditului nu va mai reflecta realitatea. In al doilea rand, rezultatul auditului trebuie sa produca un anumit ecou in randurile managementului, in caz contrar intregul proiect ar fi inutil.

Continuarea
De obicei un audit este urmat de un proces de corectare a nonconfirmatilor, etapa pentru care se poate apela la un consultant extern şi la un auditor intern. Auditul se repetă fie la cerere fie dupa un interval rezonabil, de exemplu un an, rezultand un proces continuu de evaluare si imbunatatire.

Calitatea costa!
Alegerea auditorului este foarte importanta. Calitatea auditorului influenteaza calitatea rezultatului, atat in ceea ce priveste relevanta si apropierea de realitate cat si aprecierea opiniilor de catre terti. Evident ca si costurile reprezinta un factor pentru alegerea unui auditor, dar sa nu uitam principiul care guverneaza viata de zi cu zi: calitatea costa!

Auditul informatic

Auditul informatic este un proces prin care o persoană (sau grup de peroane) independentă şi calificată, numită auditor, face o evaluare obiectivă a unui sistem informatic, de obicei în raport cu un standard sau un obiectiv propus. Există şi auditul intern, proces prin care se asigură o conformitate continuă cu standardele interne. Auditul intern poate fi verificat periodic prin auditul extern.

Auditul de securitate este procesul prin care se evaluează nivelul de securitate al unui sistem informatic. Auditul trebuie realizat într-un anumit context (toată reţeaua sau numai o parte, procedurile sau întreg planul de securitate) şi având un obiectiv bine definit (de exemplu conformitatea cu standardul).
Auditul se compune din trei etape majore: strângerea de informaţii, evaluarea propriu-zisă şi raportarea.

Cercetarea
Este important ca informaţiile obţinute în această etapă să fie cât mai complete şi reale deoarece ele vor sta la baza tuturor activităţilor ulterioare de audit fiind folosite ca referinţă pentru paşii următori.

Tot acum trebuie documentat şi modul în care reţeaua noastră comunică cu alte reţele. În majoritatea cazurilor avem de-a face cu o conexiune la un ISP care este folosită pentru comunicare cu clienţi şi parteneri şi pentru a căuta informaţii pe internet. Este important să se identifice măsurile de control şi monitorizare a acestor conexiuni şi mai apoi a serviciilor care folosesc conexiunile pentru a putea mai apoi evalua eficienţa acestora.

Deşi la prima vedere pare un fapt bine cunoscut, trebuie identificat punctul unde se „termină” reţeaua locală şi de unde pornesc alte reţele (ISP, partener etc). Măsurile şi controalele, precum şi natura informaţiilor permise în aceste zone sunt diferite, precum şi riscurile asupra elementelor aflate de o parte sau alta a baricadei sunt altele, de aceea nu trebuie trecută cu vederea această informaţie „banală”.

Apoi trebuie să răspundem la întrebarea „care sunt cele mai importante bunuri care trebuie protejate”. În principiu este vorba de anumite informaţii care rezidă pe anumite sisteme (e-mail, ERP, baze de date etc.) sau sunt comunicate prin anumite dispozitive (routere, VPN), dar este foarte important ca acestea să fie identificate de la bun început. Strategiile şi măsurile de protecţie pot fi definite eficient în măsura în care riscurile asociate cu bunurile noastre sunt bine definite şi cuantificate.

După ce au fost identificare bunurile, trebuie văzut cine le poate accesa. Oricine are acces la reţea poate accesa şi acele informaţii confidenţiale? Dacă da, cine are acces la reţea? Cel mai important este să stabilim criteriile pe baza cărora cineva primeşte drept de acces, cum sunt impuse aceste politici şi cum se urmăreşte eficienţa politicilor? Este binecunoscut principiul on a need-to-know basis (are acces numai cine are cu adevărat nevoie), principiu care trebuie aplicat fără excepţie de către orice organizaţie.
În fine, trebuie enumerate şi revizuite metodele de protecţie folosite, inclusiv politici, proceduri şi controale.

Evaluarea
Odată ce informaţiile necesare au fost colectate, auditorul poate începe evaluarea securităţii sistemului informatic. Evident, sunt multe situaţii în care informaţiile colectate nu sunt suficiente sau apare necesitatea pentru un alt set de informaţii. Colectarea informaţiilor şi evaluarea nu trebuie privite ca procese seriale, ne putem întoarce la etapa anterioară în orice moment dacă este nevoie. De fapt, o bună parte din evaluare se face chiar în timpul strângerii informaţiilor.
Trebuie gândit dacă modul în care administratorii au proiectat şi configurat reţeaua şi componentele acesteia îndeplinesc obiectivele propuse (standardul propus, gradul de securitate cerut). De exemplu, un firewall este o considerat un element obligatoriu al unei reţele, şi considerat de către 90% din cazuri ca fiind tot ce e nevoie pentru a ne simţi în siguranţă. Din păcate însă un firewall nu ne protejează de exemplu de viruşi (nu vorbim de firewall-uri avansate care pot trimite spre scanare un email unui server antivirus) sau de „furtul” parolei scrise pe bileţelul de pe monitor. Apoi trebuie să găsim punctele slabe ale sistemului informatic, care nu sunt bine controlate sau chiar deloc, unde pot apărea vulnerabilităţi. De exemplu controlul accesului la modem-uri – una din principalele căi de compromitere a informaţiilor care de obicei nu este luată în seamă. Cheia succesului este să avem tot timpul în vedere cele trei elemente ale securităţii: confidenţialitate, integritate şi disponibilitate.

Raportarea
Dupa ce au fost colectate şi analizate informaţiile, trebuie emise o serie de concluzii. Exista un raport sumar, numita si opinie de audit, in care se mentionează pe scurt concluziile precum si un raport extins în care sunt detaliate toate rezultatele raportate la standardele de referinţă. Concluzile la care s-a ajuns trebuie discutate cu beneficiarul din două motive: intelegerea rezultatelor precum şi confirmarea şi asumarea lor.
De obicei un audit este urmat de un proces de corectare a nonconfirmatilor, etapa pentru care se poate apela la un consultant extern şi la un auditor intern. Auditul se repetă fie la cerere fie dupa un interval rezonabil, de exemplu un an.

Factorul Uman

Atentie la ţepe!

Hotii se folosesc de o sumedenie de metode pentru a intra in posesia unui bun care nu le apartine. Forteaza usa de la intrare, intra pe geam sau fura in tramvai.

Hotii nu fura neaparat bunuri fizice, cum ar fi bani sau televizoare. Uneori fura informatii din computerele noastre. Deseori ii numim hackeri. Ei ne sparg firewall-ul (forteaza usa), ne afla parolele (intra pe geam), captureaza traficul (fura in tramvai).

Una din cele mai folosite metode pentru a afla parole sau pentru a avea access la informatie este asa numitul “deception” (termen original in lb. Engleza; rom: inselaciune, pacalire, impersonare, falsificare, aburire). In principiu, toate aceste metode exploateaza factorul uman, incearca sa se foloseasca de credibilitatea si naivitatea persoanelor neavizate.

Este cunoscut cazul in care primim un email de la o celebra banca prin care ni se cere sa ne verificam datele personale prin completarea unui formular in care apar si numarul contului, numarul cartii de credit etc. Evident este un fals, o minciuna. Adresa web unde este formularul nu este data in clar (desi in campul din browser se poate vedea adresa exacta) iar pagina web seamana foarte mult cu cea a bancii. Victima chiar crede ca banca are nevoie de date pentru a le verifica, completeaza formularul astfel trimitand numarul cartii de credit direct hotului.

Sunt la fel de celebre cazurile in care o persoana este sunata de un asa-zis reprezentant al serviciilor de clienti al unei companii si, sub pretextul unei interventii, afla date personale sau chiar PIN-uri, parole etc. Este ca si cum am da unui necunoscut cheile de la masina.

Imaginati-va urmatorul scenariu: Contabila firmei dumneavoastra primeste un telefon. La capatul celalalt al firului o voce masculina placuta se prezinta ca fiind inginerul de suport tehnic si astazi este randul contabilitatii pentru verificarile periodice ale imprimantelor; pentru asta are nevoie sa stie la ce ora poate interveni la contabilitate, la ce imprimanta tipareste, daca este alb-negru sau color, cate pagini tipareste in medie pe saptamana, cu ce username si cu ce parola tipareste etc. A doua zi intregul sistem contabil este pe butuci (noroc ca exista backup…). De obicei presupunem ca “am fost sparti” si inlocuim firewall-ul dar nu inainte sa-l dam afara pe administratorul de securitate (daca avem unul).

Povestea nu este fictiva! Chair s-a intamplat unei companii, de fapt exista mii de astfel de cazuri.

Se spune ca in orice rau exista un bine. Dupa aflarea adevarului (adevarul a iesit la iveala din intamplare abia dupa o luna) a fost luata decizia de a implementa un set de politici de securitate si de a investi in instruirea si educarea utilizatorilor (care nu este o investitie mare nici ca bani nici ca timp). Acum acea companie are o politica de securitate care include raportarea si investigarea incindentelor de securitate, definirea rolurilor si responsabilitatilor precum si un plan coerent de training. Chiar daca reactiv sau putin tardiv, acea organizatie a invatat din propriile greseli, si a minimizat riscul ca, prin deceptie, sa fie tinta unor alte atacuri.

Lectia invatata este ca tehnologia nu este singurul factor pentru o buna securitate. Utilizatorii care nu stiu cum sa procedeze in anumite situatii, sau care pot fi usor pacaliti reprezinta o bresa la fel de importanta ca un antivirus neactualizat.

Cantitate, nu calitate

http://www.pcworld.ro/?page=node&id=10382

Ştire interesantă, nu zic nu. Însă mi se pare evident modul amatoristic în care generează conţinut editorii multor publicaţii online sau offline. Cititi sfârşitul celui de-al treilea paragraf şi veţi înţelege.

Dacă link-ul de ma mai sus nu funcţionează: se foloseşte expresia singurul serviciu sign-on...

Până şi firmele de treduceri au învăţat că single sign on este o expresie care nu se traduce parţial şi mot-a-mot iar video stream nu înseamnă repeziş video. De la editorii unei reviste de specialitate, cu părere de rău, dar am pretenţii mai mari.