Dodatak G - Pristup i bilježenje događaja

Svrha

Zasigurno jedan od važnijih uzroka problema sigurnosti predstavljaju ovlašteni korisnici. Oni svojim postupcima, bilo slučajnim ili namjernim, ugrožavaju sigurnost sustava u velikoj mjeri.

Neki od uzroka sigurnosnih incidenata od strane ovlaštenih korisnika:
• znatiželja,
• dokazivanje,
• krađa identiteta od strane zlonamjerne osobe,
• slučajni postupci (needuciranost korisnika),
• prikupljanje podataka u zlonamjerne svrhe itd.

Navedene prijetnje sigurnosti informacijskim sustavima razlog su zbog kojih postoji potreba za kontrolom pristupa, tj. zabranom pristupa onim resursima sustava kojima korisnik nema potrebe pristupati.

Osim kontrola pristupa, u svrhu pravovremenog uočavanja odstupanja od politike pristupa i radi pružanja dokaza u slučaju sigurnosnog incidenta, u sustav je potrebno implementirati sigurnosnu kontrolu bilježenje događaja (nadziranje).

i. Prava pristupa u skladu s potrebama

Pristup informacijskim resursima potrebno je odobriti ukoliko zaposlenik, student ili treća strana ima realnu potrebu za pristup traženim resursima. Zahtjev za dodjelu prava pristupa na temelju kojeg je donesena odluka o dodjeli prava pristupa treba biti dokumentiran.

Dokument treba sadržavati:

• identifikator inicijatora zahtjeva,
• identifikator osobe kojoj je potrebno dodijeliti prava pristupa,
• opis zahtjeva,
• datum podnošenja zahtjeva,
• ukratko politiku sigurnosti traženog resursa - klasifikacija resursa, da li postoje zakonske i ugovorne obveze sl.,
• vrijeme trajanja prava pristupa - vremenski period u kojem će dodijeljena prava vrijediti, nakon toga potrebno je ponovno predati zahtjev za dodjelu prava pristupa,
• tko je pregledao i odobrio zahtjev.

ii. Upravljanje pristupom korisnika

S ciljem kvalitetne kontrole pristupa informacijskim sustavima i servisima nužno je uspostaviti odgovarajuće procedure. Te procedure trebaju obuhvatiti sve stadije u životnom ciklusu korisničkog pristupa, od početne registracije novog korisnika do konačnog odjavljivanja korisnika kojem više nije potreban pristup informacijskim resursima. Posebnu pažnju treba posvetiti kontroli dodjele privilegiranih prava pristupa.

Registracija korisnika.

Da bi pojedinom korisniku bila dodijeljena prava pristupa informacijskom sustavu i servisima potrebno je definirati postupke registracije u i odjave iz sustava. Pristup treba kontrolirati kroz proces registracije korisnika koji uključuje:

• korištenje korisničkih imena dodijeljenih od strane administratora sustava ili za to odgovorne osobe,
• korisnička imena trebaju biti jedinstvena kako bi se korisnike moglo povezati s njihovim aktivnostima,
• provjeru autentičnosti korisnika preko lozinke,
• provjeru prava pristupa za korištenje informacijskih resursa prema korisničkom imenu,
• u slučaju planiranog dužeg izostanka s posla, korisnikov račun treba biti zamrznut,
• ukoliko korisnik prestane biti zaposlenik, student ili dođe do raskida ugovara s trećom stranom, trenutačno trebaju biti ukinuta prava dotičnim osobama.

Upravljanje korisničkim lozinkama

Lozinke služe kako bi se putem mreže provjerilo da li je korisnik koji se predstavlja korisničkom lozinkom upravo taj korisnik. Stoga je nužno sigurnosnim mehanizmima osigurati maksimalnu sigurnost lozinki u smislu njihove tajnosti. Osim politike sigurnosti namijenjene korisnicima u kojoj se jasno definira na koji način rukovati lozinkama, osoba odgovorna za sigurnost dužna je držati se sljedećih pravila prilikom raspodjeli lozinka:

• korisnici su dužni prilikom preuzimanja lozinki potpisati izjavu u kojoj se obvezuju rukovati lozinkama prema pravilima definiranim u Pravilniku o informatičkoj sigurnosti radnog mjesta (poglavlje 2. - Rukovanje zaporkama),
• prilikom dodjele lozinke korisniku, prvo im se dodjeljuje privremena lozinka koju u što kraćem roku, pri prvoj prijavi na sustav moraju promijeniti. Sustav treba podesiti na način da ne dozvoljava prijavu privremenom lozinkom,
• lozinke se korisnicima smiju proslijediti isključivo na siguran način, nikako ne elektroničkom poštom, telefonom ili uporabom treće strane,
• lozinke se ne smiju pohranjivati na računalu u nezaštićenom obliku.

iii. Odgovornost korisnika

Uporaba lozinki

Od korisnika je potrebno zahtijevati da pri odabiru i rukovanju lozinkama slijede sigurnosne upute definirane Pravilnikom o informatičkoj sigurnosti radnog mjesta (poglavlje 2. - Rukovanje zaporkama). Korisnike treba savjetovati da:

• čuvaju povjerljivost lozinki,
• ne bilježe lozinke na papire,
• lozinke smiju mijenjati isključivo nakon prijave na sustav,
• biraju kvalitetne lozinke, dugačke minimalno 6 znakova, maksimalno 10,
• lozinke budu lako pamtljive,
• lozinke sadrže brojeve i slova, po potrebi i specijalne znakove,
• lozinke ne predstavljaju imena, prezime, gradove, datume rođenja, nadimke i sl. riječi.
• redovito mijenjaju lozinke,
• ne koriste već upotrebljavane lozinke,
• ne koriste lozinke koje već koriste na drugim sustavima.

Nenadzirana korisnička oprema

Korisnike je potrebno educirati o potrebi zaštite opreme kada nisu u njihovoj blizini. Mnogi korisnici nisu ni svjesni mogućnosti zlouporabe računala, mobitela, ali i drugih komunikacijskih uređaja ukoliko na kratko vrijeme ostanu bez nadzora. Svaki korisnik mora biti svjestan svoje odgovornosti, sigurnosnih zahtjeva i postupaka za zaštitu nenadzirane opreme.

Korisnike treba savjetovati da:

• ukoliko se računalo ostavlja bez nadzora, potrebno se odjaviti sa sustava ili zaštititi računalo posebnim programima (npr. čuvar ekrana),
• nakon završetka posla računalo je potrebno odjaviti sa sustava, nije dovoljno ugasiti terminal ili osobno računalo,
• ukoliko je potrebno, terminale, računala i drugu opremu treba zaključati kada nije u uporabi.

iv. Kontrola pristupa mreži

Svi interni i eksterni mrežni servisi moraju biti kontrolirani u svrhu zaštite resursa od korisnika koji imaju pristup mreži i mrežnim resursima. Kontrola pristupa mreži treba sadržavati sljedeće kontrole:

• korisnici smiju pristupiti samo onim mrežnim servisima za koje imaju definirane eksplicitne ovlasti,
• kontrole upravljanja i procedure za zaštitu pristupa mreži moraju biti jasno definirane,
• u svrhu smanjenja rizika neautoriziranog pristupa, potrebno je odrediti "propisani put". Cilj "propisanog puta" je spriječiti korisnike da biraju putove izvan puta od terminala do servisa za koje su oni ovlašteni. Princip rada navedene kontrole je da se u svakom mrežnom čvoru mogućnost usmjeravanja limitira na unaprijed odabrane opcije,
• korisnike koji pristupaju resursima s udaljenih lokacija potrebno je autentificirati posebnim metodama koje osiguravaju odgovarajuću razinu zaštite.

v. Kontrola pristupa operacijskom sustavu

Pristup korisnika operacijskim sustavima potrebno je kontrolirati putem ugrađenih mehanizama, s ciljem sprječavanja neovlaštenog pristupa. Mehanizam kontrole pristupa operacijskom sustavu treba sadržavati:

• prilikom prijave na sustav korisnik treba unjeti svoje korisničko ime i lozinku, na temelju čega se radi provjera identiteta,
• provjeru da li je period valjanosti lozinke istekao; ukoliko jest (svaka 3 mjeseca), obavijestiti korisnika da je potrebno napraviti izmjenu,
• sustav mora bilježiti pristup informacijskom sustavu i pokušaje pristupa (detaljnije u poglavlju 3. - Bilježenje događaja),
• rad korisnika na terminalima treba dodatno kontrolirati na način da se prati vrijeme neaktivnosti; ukoliko je terminal neaktivan duže od 5min, treba napraviti automatsku odjavu sa sustava i obrisati ekran,
• ukoliko je potrebno, kontrolu s koje se lokacije pristupa sustavu,
• broj mogućih prijava na sustav treba ograničiti na 3 prijave.