Upravljanje incidentima

Cilj upravljanja incidentima informacijskog sustava je implementiranje kontrola kako bi se na uočene incidente pravovremeno i kvalitetno reagiralo.

Svi korisnici (zaposlenici, studenti, treće strane..) trebaju biti upoznati s procedurama o obavještavanju različitih tipova potencijalnih sigurnosnih incidenata. Također moraju biti svjesni svoje odgovornosti i dužnosti da prijave svake događaje ili slabosti sustava koji mogu ugroziti sigurnost sustava na bilo koji način.

Prijava sigurnosnih incidenata

Cilj – sigurnosni incidenti moraju biti prijavljen na unaprijed definiran način u što kraćem roku.

Glavna odgovorna osoba dužna je definirati i dokumentirati procedure za prijavu incidenata, definirajući kome se treba obratiti, na koji način i u kojem roku.

Svi korisnici moraju biti upoznati s procedurama o prijavi sigurnosnih incidenata i svojom dužnošću postupanja prema definiranim pravilima.

Primjeri sigurnosnih incidenata:

• gubitak usluge ili opreme,
• oštećenje usluge ili opreme,
• preopterećenje sustava,
• greške ljudi,
• nepridržavanje politike sigurnosti,
• nedopuštene promjene sustava,
• kršenje prava pristupa itd.

Kako bi prijava incidenata bilo što bolje prihvaćena od strane korisnika preporučuje se održavanje „treninga“ tako da se korisnicima primjerima pokaže na koje sve sigurnosne incidente reagirati i na koji način.

Vrlo bitna stvar kod prijave incidenata je slanje povratne obavijesti inicijatoru. U poruci bi trebalo inicijatoru dati do znanja da je napravio „dobro djelo“ i da u budućnosti to svakako opet učini, makar se radilo o „lažnoj uzbuni“.

Prijava slabosti sustava

Budući je uspostava sigurnosti informacijskog sustava vrlo opširan i nedefiniran zadatak, nemoguće je uspostaviti potpunu sigurnost. Čest je slučaj da se prilikom osmišljavanja sigurnosti sustava i implementacije sigurnosnih kontrola dogodi propust te na taj način otvori put počinjenu zlonamjernih radnji.

Kao i kod prijave sigurnosnih incidenata, korisnike treba obvezati i ukazati im da su dužni prijaviti svaku uočenu sigurnosnu slabost sustava. Kako bi prijava slabosti sustava bila izvediva, glavna odgovorna osoba dužna je definirati i dokumentirati na koji način prijaviti primijećene sigurnosne slabosti.

Cilj upravljanja sigurnosnim incidentima je unaprijed definirati i dokumentirati odgovornosti odgovornih osoba, te akcije koje su dužni poduzeti kako bi se osigurali pravovremeni i kvalitetni odgovori na prijavljene incidente.

Odgovornosti i procedure

Sljedeće smjernice trebaju biti proučene kod definiranja procedura za upravljanje incidentima informacijskog sustava:

• procedure trebaju obuhvatiti različite vrste sigurnosnih incidenata, uključujući:
  • prestanak rada sustava,
  • odbijanje usluge,
  • maliciozni kod,
  • kršenje tajnosti ili integriteta,
  • zlouporaba sustava itd.
• u slučaju nepredviđenih događaja, treba definirati sljedeće postupke:
  • plan i implementaciju akcija kako se incident ne bi ponovio,
  • analizu i identifikaciju uzroka incidenta,
  • komunikaciju s „napadnutom“ stranom,
  • izvještavanje nadležnih o incidentu.
• dokumentaciju o incidentu i ostale dokaze treba spremiti i zaštiti s ciljem:
  • interne analize problema,
  • pružanja dokaza u sudskim sporovima.

Primjena norme u sigurnosnoj politici

Informacijski sustav ZEMRIS zbog svoje „otvorenosti“ prema korisnicima (prvenstveno se odnosi na studente) i zbog velikog broja korisnika potencijalno je poželjno odredište za obavljanje zlonamjernih radnji. Stoga je važno da upravljanje sigurnosnim incidentima bude kvalitetno osmišljeno i implementirano.

Kako bi se postigla željena razina kvalitete upravljanja sigurnosnim incidentima, potrebno je implementirati sljedeće sigurnosne mehanizme:

• kontrola dnevnika sa zapisima o nadgledanju,
• definiranje procedura za odgovorne osobe:
• kako postupiti u slučaju incidenta,
• kako postupiti u slučaju otkrivanja ranjivosti sustava.
• definiranje smjernica za korisnike:
  • kako postupiti ukoliko uoče događaje koji mogu ugroziti sigurnost sustava (incidente),
  • kako postupiti ukoliko primijete slabosti (ranjivosti sustava).

Kontrola dnevnika sa zapisima o nadgledanju.

Izrada bilježaka (tzv. dnevnika događaja) o događajima unutar sustava iznimno je važna ne samo kako bi postojali dokazni materijali u slučaju incidenta, već i kako bi se pravovremeno uočile i spriječile potencijalno opasne radnje kao što su pripreme za napad i sl.

Zbog velike količine podataka koje možemo skupiti nadgledanjem nužno je osmisliti mehanizme kojima ćemo iz sakupljenih podataka izvući (istaknuti) one „važne“ s ciljem otkrivanja potencijalno opasnih radnji. Potencijalno opasne radnje su sve one radnje koje napadači koriste kako bi dobili informacije o sustavu koje mogu pomoći u izvršenju napada, kao što su npr. informacije o postavkama sigurnosne stijene, podaci o korisničkim računima (napadi uzastopnim pokušavanjem (eng. brute force napad)) itd.

Mehanizmi koji mogu pomoći u otkrivanju potencijalno opasnih radnji su:

• Softverska rješenja:
• pozitivno - brza, efikasna u okviru „definicija“,
• negativno – relativno neinteligentna – ne mogu otkriti potencijalno opasne radnje izvan „definicija“.
• Nadgledanje zapisa od strane ljudi:
• pozitivno – inteligentni, mogu primijetiti potencijalno opasne radnje i izvan „definicija“,
• negativno - spori, mogući propusti u nadgledanju.

Odgovorne osobe – kako postupiti u slučaju incidenta.

Odgovorne osobe osim kontrole dnevnika zapisa moraju pregledavati i prijave korisnika o incidentima i ranjivostima sustava. Kako bi prijava od strane korisnika, odnosno pregled prijava od strane odgovornih osoba bilo što jednostavnije, nužno je uspostaviti prikladne mehanizme.

Mehanizam koji osigurava jednostavno i kvalitetno rješenje je prijava incidenta ili ranjivosti putem web aplikacije. Odgovorne osobe preko web aplikacije mogu pregledavati prijave i ažurirati ih, te na taj način voditi evidenciju zaprimljenih i riješenih prijava.

Za sve prijave pristigle putem web forme treba voditi dnevnik sa podacima:

• kada je napravljena prijava od strane korisnika,
• kada je pregledana prijava od strane odgovorne osobe,
• zapis prijave,
• koje su akcije poduzete u vezi prijave,
• da li je opasnost otklonjena ili ne.

U slučaju incidenta odgovorne osobe moraju reagirati u skladu sa sljedećim točkama:

• spriječiti daljnje počinjenje zlonamjernih radnji,
• pokušati prikupiti dodatne informacije o napadaču, o lokaciji s koje je kazneno djelo izvršeno i sl.,
• pozvati policiju.

Odgovorne osobe - kako postupiti u slučaju otkrivanja ranjivosti sustava.

U slučaju otkrivanja ranjivosti odgovorna osoba treba:

• u što kraćem roku zaustaviti rad komponente koja je uzrok ranjivosti sustava,
• potaknuti pregled i testiranje sigurnosti prijavljene komponente,
• otkriti uzrok ranjivosti,
• ukoliko je za ranjivost odgovorna ljudska radnja (potencijalni napadač) potrebno je napraviti dodatne provjere i po potrebi pozvati policiju,
• uočene ranjivosti otkloniti,
• ponovno napraviti testiranja,
• pustiti komponentu u rad ukoliko zadovoljava sigurnosne norme.

Korisnici – postupanje u slučaju uočavanja incidenta i otkrivanja ranjivosti sustava.

Korisnike treba educirati o potencijalnim opasnostima koje mogu ugroziti sigurnost informacijskog sustava, te im dati do znanja da su svaki uočeni incident dužni i odgovorni prijaviti. Isto moraju postupiti ukoliko primijete bilo koju vrstu sigurnosnog propusta koju zlonamjerni korisnik može iskoristiti za izvršavanje zlonamjernih radnji. Sve uočene nepravilnosti korisnik može prijaviti putem web aplikacije.