| Both sides previous revisionPrevious revision | |
| pl:edu:zmitac:kato:bsiir:lectures:cybersecurity_concepts [2026/11/01 15:04] – Pczekalski | pl:edu:zmitac:kato:bsiir:lectures:cybersecurity_concepts [2026/11/01 15:52] (current) – Teksty alternatywne rysunków (WCAG 2.0) mcp_agent |
|---|
| ====== Pojęcia Cyberbezpieczeństwa ====== | ====== Pojęcia Cyberbezpieczeństwa ====== |
| Projektanci i inżynierowie IoT muszą rozumieć podstawowe pojęcia z zakresu cyberbezpieczeństwa. Pomaga to zrozumieć różne ataki, jakie mogą zostać przeprowadzone na urządzenia IoT, oraz sposoby wdrażania mechanizmów bezpieczeństwa chroniących je przed cyberatakami. W tym rozdziale omówiono wybrane pojęcia cyberbezpieczeństwa niezbędne do zrozumienia bezpieczeństwa IoT. | Projektanci i inżynierowie IoT muszą rozumieć pojęcia z zakresu cyberbezpieczeństwa. Pomaga to zrozumieć różne ataki, jakie mogą zostać przeprowadzone na urządzenia IoT, oraz sposoby wdrażania mechanizmów bezpieczeństwa chroniących je przed cyberatakami. W tym rozdziale omówiono wybrane pojęcia cyberbezpieczeństwa niezbędne do zrozumienia bezpieczeństwa IoT. |
| |
| ===== Czym jest cyberbezpieczeństwo ===== | ===== Czym jest cyberbezpieczeństwo ===== |
| Cyberbezpieczeństwo to technologie, strategie i praktyki mające na celu zapobieganie cyberatakom oraz ograniczanie ryzyka, jakie stwarzają one dla systemów informatycznych i innych systemów cyberfizycznych. Bywa ono nazywane bezpieczeństwem technologii informacyjnych i obejmuje opracowywanie oraz wdrażanie technologii, protokołów i polityk chroniących systemy informatyczne przed kradzieżą danych, ich nielegalną modyfikacją oraz przerwami w działaniu usług. Głównym celem systemów cyberbezpieczeństwa jest ochrona sprzętu, oprogramowania, sieci oraz danych osób i organizacji przed atakami, które mogą naruszyć poufność, integralność i dostępność tych systemów. | Cyberbezpieczeństwo to technologie, strategie i praktyki mające na celu zapobieganie cyberatakom oraz ograniczanie ryzyka, jakie stwarzają one dla systemów informatycznych i innych systemów cyberfizycznych. Bywa ono nazywane bezpieczeństwem technologii informacyjnych i obejmuje opracowywanie oraz wdrażanie technologii, protokołów i polityk chroniących systemy informatyczne przed kradzieżą danych, ich nielegalną modyfikacją oraz przerwami w działaniu usług. Głównym celem systemów cyberbezpieczeństwa jest ochrona sprzętu, oprogramowania, sieci i danych osób oraz organizacji przed atakami, które mogą naruszyć poufność, integralność i dostępność tych systemów. |
| |
| Po zrozumieniu, czym jest cyberbezpieczeństwo, należy również wyjaśnić, czym jest cyberatak. Cyberatakiem można nazwać każde celowe naruszenie poufności, integralności lub dostępności systemu informatycznego, czyli nieuprawniony dostęp do sieci, systemu komputerowego lub urządzenia cyfrowego w złośliwym zamiarze kradzieży, ujawnienia, zmiany, wyłączenia lub zniszczenia danych, aplikacji bądź innych zasobów. Udany cyberatak może wyrządzić ofierze poważne szkody – od utraty danych po straty finansowe. Organizacja, której systemy zostały skutecznie zaatakowane, może utracić reputację i zostać zobowiązana do pokrycia szkód poniesionych przez klientów. | Po zrozumieniu, czym jest cyberbezpieczeństwo, należy również wyjaśnić, czym jest cyberatak. Cyberatakiem można nazwać każde celowe naruszenie poufności, integralności lub dostępności systemu informatycznego, czyli nieuprawniony dostęp do sieci, systemu komputerowego lub urządzenia cyfrowego w złośliwym zamiarze kradzieży, ujawnienia, zmiany, wyłączenia lub zniszczenia danych, aplikacji bądź innych zasobów. Udany cyberatak może wyrządzić ofierze poważne szkody – od utraty danych po straty finansowe. Organizacja, której systemy zostały skutecznie zaatakowane, może utracić reputację i zostać zobowiązana do pokrycia szkód poniesionych przez klientów. |
| |
| Nasuwa się pytanie: dlaczego powinniśmy przejmować się cyberatakami, zwłaszcza w kontekście IoT? Powszechne wykorzystanie IoT do usprawniania procesów biznesowych i poprawy jakości życia wykładniczo zwiększyło możliwości przeprowadzania cyberataków przez przestępców, a tym samym ryzyko dla firm i osób prywatnych. Podkreśla to potrzebę, aby inżynierowie IoT, inżynierowie IT oraz pozostali pracownicy spoza branży IT rozumieli podstawowe pojęcia cyberbezpieczeństwa. | Nasuwa się pytanie: dlaczego powinniśmy przejmować się cyberatakami, zwłaszcza w kontekście IoT? Powszechne wykorzystanie IoT do usprawniania procesów biznesowych i poprawy jakości życia wykładniczo zwiększyło możliwości przeprowadzania cyberataków przez przestępców, a tym samym ryzyko dla firm i osób prywatnych. Podkreśla to potrzebę, aby inżynierowie IoT, inżynierowie IT oraz pozostali pracownicy spoza branży IT rozumieli pojęcia cyberbezpieczeństwa. |
| |
| ===== Triada poufności, integralności i dostępności (CIA) ===== | ===== Triada poufności, integralności i dostępności (CIA) ===== |
| Triada CIA to ramy koncepcyjne łączące trzy pojęcia cyberbezpieczeństwa – poufność (ang. //confidentiality//), integralność (ang. //integrity//) i dostępność (ang. //availability//) – w prostą i kompletną listę kontrolną służącą do wdrażania, oceny i doskonalenia systemów cyberbezpieczeństwa. Tworzą one zbiór wymagań, które dobrze zaprojektowany system cyberbezpieczeństwa musi spełniać, aby zapewnić poufność, integralność i dostępność systemów informatycznych. Triada ta stanowi skuteczne narzędzie do identyfikacji podatności i zagrożeń w systemach informatycznych, a następnie do wdrażania odpowiednich technologii i polityk chroniących te systemy przed kompromitacją. Zapewnia ogólne ramy, którymi kierują się organizacje i eksperci ds. cyberbezpieczeństwa przy projektowaniu, wdrażaniu, ocenie i audycie systemów informatycznych. W kolejnych akapitach krótko omówiono elementy triady CIA (rysunek {{ref>IoTcybersec1}}). | Triada CIA to ramy koncepcyjne łączące trzy pojęcia cyberbezpieczeństwa – poufność (ang. //confidentiality//), integralność (ang. //integrity//) i dostępność (ang. //availability//) – w prostą i kompletną listę kontrolną służącą do wdrażania, oceny i doskonalenia systemów cyberbezpieczeństwa. Tworzą one zbiór wymagań, które dobrze zaprojektowany system cyberbezpieczeństwa musi spełniać, aby zapewnić poufność, integralność i dostępność systemów informatycznych. Triada ta stanowi skuteczne narzędzie identyfikacji podatności i zagrożeń w systemach informatycznych, a następnie wdrażania odpowiednich technologii i polityk chroniących te systemy przed kompromitacją. Zapewnia ogólne ramy, którymi kierują się organizacje i eksperci ds. cyberbezpieczeństwa przy projektowaniu, wdrażaniu, ocenie i audycie systemów informatycznych. W kolejnych akapitach krótko omówiono elementy triady CIA (rysunek {{ref>IoTcybersec1}}). |
| |
| <figure IoTcybersec1> | <figure IoTcybersec1> |
| {{ :pl:edu:zmitac:kato:bsiir:lectures:cybersecurity-page-1-pl.png?400 |Triada CIA}} | {{ :pl:edu:zmitac:kato:bsiir:lectures:cybersecurity-page-1-pl.png?400 |Diagram triady CIA: duży trójkąt podzielony na trzy mniejsze trójkąty – u góry Poufność (P), w lewym dolnym rogu Integralność (I), w prawym dolnym rogu Dostępność (D); w środku napis Triada bezpieczeństwa informacji.}} |
| <caption>Triada CIA</caption> | <caption>Triada CIA</caption> |
| </figure> | </figure> |
| **Poufność** | **Poufność** |
| |
| Poufność obejmuje technologie i strategie, które zapewniają, że wrażliwe dane pozostają prywatne i niedostępne dla osób nieuprawnionych. Oznacza to, że wrażliwe dane mogą być przeglądane wyłącznie przez upoważnione osoby w organizacji i muszą być chronione przed osobami nieupoważnionymi. Część danych zbieranych przez czujniki IoT jest bardzo wrażliwa i nie może być dostępna dla osób o złych zamiarach. Poufność danych obejmuje zestaw technologii, protokołów i polityk zaprojektowanych i wdrożonych w celu ochrony danych przed niezamierzonym, nieuprawnionym lub bezprawnym dostępem, ujawnieniem lub kradzieżą. Aby zapewnić poufność danych, należy odpowiedzieć na następujące pytania: | Poufność obejmuje technologie i strategie zapewniające, że wrażliwe dane pozostają prywatne i niedostępne dla osób nieuprawnionych. Oznacza to, że wrażliwe dane mogą być przeglądane wyłącznie przez upoważnione osoby w organizacji i muszą być chronione przed osobami nieupoważnionymi. Część danych zbieranych przez czujniki IoT jest bardzo wrażliwa i nie może być dostępna dla osób o złych zamiarach. Poufność danych obejmuje zestaw technologii, protokołów i polityk zaprojektowanych i wdrożonych w celu ochrony danych przed niezamierzonym, bezprawnym lub nieuprawnionym dostępem, ujawnieniem lub kradzieżą. Aby zapewnić poufność danych, należy odpowiedzieć na następujące pytania: |
| * Kto powinien móc przeglądać dane lub mieć do nich dostęp? | * Kto powinien móc przeglądać dane lub mieć do nich dostęp? |
| * Czy istnieją przepisy prawa, regulacje lub umowy wymagające zachowania poufności danych? | * Czy istnieją przepisy prawa, regulacje lub umowy wymagające zachowania poufności danych? |
| * Jak cenne mogą być dane dla osób nieuprawnionych (np. cyberprzestępców), jeśli uzyskają do nich dostęp? | * Jak cenne mogą być dane dla osób nieuprawnionych (np. cyberprzestępców), jeśli uzyskają do nich dostęp? |
| Aby zapewnić poufność danych przechowywanych w systemach komputerowych i przesyłanych przez sieci komputerowe i telekomunikacyjne, należy przestrzegać następujących wytycznych: | Aby zapewnić poufność danych przechowywanych w systemach komputerowych i przesyłanych przez sieci komputerowe i telekomunikacyjne, należy przestrzegać następujących wytycznych: |
| * Szyfrowanie wrażliwych danych podczas ich przechowywania w systemach komputerowych oraz przesyłania przez sieci komputerowe i telekomunikacyjne. Szyfrowanie sprawia, że dane stają się nieczytelne lub niezrozumiałe dla osób nieuprawnionych, a odszyfrować je i uzyskać do nich dostęp mogą jedynie osoby posiadające odpowiednie klucze. Zastosowany schemat szyfrowania jest utrzymywany w tajemnicy i osoby nieuprawnione nie mają do niego dostępu, chyba że zostanie on skompromitowany. | * Szyfrowanie wrażliwych danych podczas ich przechowywania w systemach komputerowych i przesyłania przez sieci komputerowe i telekomunikacyjne. Szyfrowanie sprawia, że dane stają się nieczytelne lub niezrozumiałe dla osób nieuprawnionych, a odszyfrować je i uzyskać do nich dostęp mogą jedynie posiadacze odpowiednich kluczy. Zastosowany schemat szyfrowania jest utrzymywany w tajemnicy i osoby nieuprawnione nie mają do niego dostępu, chyba że zostanie on skompromitowany. |
| * Właściwe zarządzanie dostępem do danych tak, aby dostęp do nich miały wyłącznie upoważnione osoby z odpowiednimi uprawnieniami. Użytkownicy powinni zawsze uwierzytelniać się silnymi hasłami, a tam, gdzie to możliwe, należy stosować uwierzytelnianie wieloskładnikowe (np. dwuskładnikowe). Prawa dostępu i uprawnienia użytkowników powinny być regularnie weryfikowane, a zbędne – odwoływane. | * Właściwe zarządzanie dostępem do danych, tak aby dostęp do nich miały wyłącznie upoważnione osoby z odpowiednimi uprawnieniami. Użytkownicy powinni zawsze uwierzytelniać się silnymi hasłami, a tam, gdzie to możliwe, należy stosować uwierzytelnianie wieloskładnikowe (np. dwuskładnikowe). Prawa dostępu i uprawnienia użytkowników powinny być regularnie weryfikowane, a zbędne – odbierane. |
| * Fizyczna lokalizacja systemów sprzętowych i dokumentów papierowych powinna być odpowiednio zabezpieczona. Tak jak należy kontrolować zdalny dostęp do systemów cyfrowych, tak samo należy ściśle kontrolować dostęp do pomieszczeń, w których przechowywany jest sprzęt oraz innych krytycznych zasobów. Nawet dokumenty papierowe powinny być właściwie uporządkowane i przechowywane w bezpiecznych miejscach z kontrolowanym dostępem. | * Fizyczna lokalizacja systemów sprzętowych i dokumentów papierowych powinna być odpowiednio zabezpieczona. Tak jak należy kontrolować zdalny dostęp do systemów cyfrowych, tak samo należy ściśle kontrolować dostęp do pomieszczeń, w których przechowywany jest sprzęt i inne krytyczne zasoby. Nawet dokumenty papierowe powinny być właściwie uporządkowane i przechowywane w bezpiecznych miejscach z kontrolowanym dostępem. |
| * Wszelkie dane, urządzenia sprzętowe i dokumenty papierowe, które nie są już potrzebne, powinny zostać niezwłocznie i bezpiecznie zutylizowane. | * Wszelkie dane, urządzenia sprzętowe i dokumenty papierowe, które nie są już potrzebne, powinny być niezwłocznie i bezpiecznie zutylizowane. |
| * Należy dbać o to, aby prywatność i poufność danych – zwłaszcza wrażliwych – nie zostały naruszone. Jeśli można obejść się bez zbierania danych wrażliwych, nie należy ich zbierać – jednym ze sposobów uniknięcia ryzyka związanego z przetwarzaniem danych wrażliwych jest unikanie ich w ogóle, o ile to możliwe. | * Należy dbać o to, aby prywatność i poufność danych – zwłaszcza wrażliwych – nie zostały naruszone. Jeśli można obejść się bez zbierania danych wrażliwych, nie należy ich zbierać – jednym ze sposobów uniknięcia ryzyka związanego z przetwarzaniem danych wrażliwych jest niezbieranie ich w ogóle, o ile to możliwe. |
| * Dane wrażliwe powinny być wykorzystywane tylko wtedy, gdy jest to konieczne; w przeciwnym razie nie należy z nich korzystać, aby zachować ich poufność. | * Dane wrażliwe powinny być wykorzystywane tylko wtedy, gdy jest to konieczne; w przeciwnym razie nie należy z nich korzystać, aby zachować ich poufność. |
| * Należy wdrożyć odpowiednie systemy bezpieczeństwa zapewniające poufność danych. Należą do nich m.in. systemy kontroli dostępu (np. zapory sieciowe), systemy zarządzania zagrożeniami oraz systemy wykrywania i zapobiegania atakom. | * Należy wdrożyć odpowiednie systemy bezpieczeństwa zapewniające poufność danych. Należą do nich m.in. systemy kontroli dostępu (np. zapory sieciowe), systemy zarządzania zagrożeniami oraz systemy wykrywania i zapobiegania atakom. |
| **Integralność** | **Integralność** |
| |
| Integralność w cyberbezpieczeństwie obejmuje technologie i strategie zapewniające, że dane nie zostaną zmodyfikowane ani usunięte przez osoby nieuprawnione podczas przechowywania lub przesyłania. Utrzymanie integralności danych jest niezbędne, aby były spójne, dokładne i wiarygodne. W kontekście IoT integralność oznacza pewność, że dane zebrane przez czujniki IoT nie zostaną bezprawnie zmienione podczas przesyłania, przetwarzania i przechowywania, co uczyniłoby je niekompletnymi, niedokładnymi, niespójnymi i niewiarygodnymi. Dane mogą być modyfikowane wyłącznie przez osoby uprawnione do ich dostępu. Zebrane dane muszą pozostać kompletne, dokładne, spójne i bezpieczne przez cały cykl życia, w następujący sposób (( Stephen J. Bigelow, DataIntegrity, https://www.techtarget.com/searchdatacenter/definition/integrity)): | Integralność w cyberbezpieczeństwie obejmuje technologie i strategie zapewniające, że dane nie zostaną zmodyfikowane ani usunięte przez osoby nieuprawnione podczas przechowywania lub przesyłania. Utrzymanie integralności danych jest niezbędne, aby były one spójne, dokładne i wiarygodne. W kontekście IoT integralność oznacza pewność, że dane zebrane przez czujniki IoT nie zostaną bezprawnie zmienione podczas przesyłania, przetwarzania i przechowywania, co uczyniłoby je niekompletnymi, niedokładnymi, niespójnymi i niewiarygodnymi. Dane mogą być modyfikowane wyłącznie przez osoby uprawnione do dostępu do nich. Zebrane dane muszą pozostać kompletne, dokładne, spójne i bezpieczne przez cały cykl życia, w następujący sposób (( Stephen J. Bigelow, DataIntegrity, https://www.techtarget.com/searchdatacenter/definition/integrity)): |
| * Aby zapewnić kompletność, dane muszą być przechowywane w pełnej postaci, bez odfiltrowywania, obcinania ani utraty jakichkolwiek elementów. | * Aby zapewnić kompletność, dane muszą być przechowywane w pełnej postaci, bez odfiltrowania, obcięcia lub utraty jakichkolwiek elementów. |
| * Dokładność danych zachowuje się, dbając o to, aby nie zostały one zmienione ani zagregowane – w wyniku błędu ludzkiego lub złośliwego ataku – w sposób wpływający na wyniki dalszego przetwarzania i analizy. | * Dokładność danych zachowuje się, dbając o to, aby nie zostały one zmienione ani zagregowane – w wyniku błędu ludzkiego lub złośliwego ataku – w sposób wpływający na wyniki dalszego przetwarzania i analizy. |
| * Spójność danych należy utrzymywać, zapewniając, że dane pozostają niezmienione niezależnie od tego, jak często są odczytywane i jak długo są przechowywane. | * Spójność danych należy utrzymywać, zapewniając, że dane pozostają niezmienione niezależnie od tego, jak często są odczytywane i jak długo są przechowywane. |
| * Klęski żywiołowe. | * Klęski żywiołowe. |
| * Awarie wywołane czynnikami środowiskowymi, np. ekstremalnie wysoką temperaturą. | * Awarie wywołane czynnikami środowiskowymi, np. ekstremalnie wysoką temperaturą. |
| * Cyberataki mające na celu wywołanie awarii sprzętu lub zasilania (np. ataki wyczerpujące zasoby). | * Cyberataki mające na celu wywołanie awarii sprzętu lub zasilania (np. ataki wyczerpujące energię). |
| Fizyczną integralność danych można zapewnić poprzez: | Fizyczną integralność danych można zapewnić poprzez: |
| * Wdrożenie redundancji w systemach przechowywania danych tak, aby awaria pojedynczej pamięci nie powodowała utraty danych. | * Wdrożenie redundancji w systemach przechowywania danych, tak aby awaria jednej pamięci nie powodowała utraty danych. |
| * Zastosowanie pamięci podręcznej zapisu z podtrzymaniem bateryjnym. | * Zastosowanie pamięci podręcznej zapisu z podtrzymaniem bateryjnym. |
| * Stosowanie systemów pamięci masowej z zaawansowanymi pamięciami z korekcją błędów. | * Stosowanie systemów pamięci masowej z zaawansowanymi pamięciami z korekcją błędów. |
| * Wdrożenie klastrowych i rozproszonych systemów plików. | * Wdrożenie klastrowych i rozproszonych systemów plików. |
| * Stosowanie algorytmów wykrywania błędów w celu wykrywania zmian w danych podczas transmisji. | * Stosowanie algorytmów wykrywania błędów w celu wykrycia zmian w danych podczas transmisji. |
| * Tworzenie kopii zapasowych przechowywanych w różnych lokalizacjach fizycznych. | * Tworzenie kopii zapasowych przechowywanych w różnych lokalizacjach fizycznych. |
| * Wdrożenie mechanizmów ochrony sieci, które zapewniają, że dane nie zostaną uszkodzone ani utracone podczas przesyłania. | * Wdrożenie mechanizmów ochrony sieci zapewniających, że dane nie zostaną uszkodzone ani utracone podczas przesyłania. |
| Projektanci, producenci i deweloperzy systemów IoT mogą stosować różne technologie i polityki zapewniające integralność sprzętu – od urządzeń IoT, przez komunikację, po centra danych mgły/chmury. | Projektanci, producenci i deweloperzy systemów IoT mogą stosować różne technologie i polityki zapewniające integralność sprzętu – od urządzeń IoT, przez komunikację, po centra danych mgły/chmury. |
| * Integralność logiczna: nawet przy braku problemów ze sprzętem mogą wystąpić niezamierzone lub złośliwe zmiany danych bądź ich utrata podczas przesyłania, przechowywania i odczytu, co narusza ich integralność. Integralność logiczną mogą naruszyć błędy projektowe oprogramowania, błędy w kodzie, niewłaściwa konfiguracja sieci, błędy ludzkie i cyberataki. Do zagrożeń dla integralności danych należą m.in.: | * Integralność logiczna: nawet przy braku problemów ze sprzętem mogą wystąpić niezamierzone lub złośliwe zmiany danych bądź ich utrata podczas przesyłania, przechowywania i odczytu, naruszające ich integralność. Integralność logiczną mogą naruszyć błędy projektowe oprogramowania, błędy w kodzie, niewłaściwa konfiguracja sieci, błędy ludzkie i cyberataki. Do zagrożeń dla integralności danych należą m.in.: |
| * Dane mogą zostać usunięte, błędnie wprowadzone lub bezprawnie zmienione w systemie przechowywania. | * Dane mogą zostać usunięte, błędnie wprowadzone lub bezprawnie zmienione w systemie przechowywania. |
| * Dane mogą zostać uszkodzone, utracone lub bezprawnie zmienione podczas przesyłania. | * Dane mogą zostać uszkodzone, utracone lub bezprawnie zmienione podczas przesyłania. |
| * Dane mogą zostać skradzione, uszkodzone lub bezprawnie zmienione przez złośliwego hakera po udanym ataku hakerskim. | * Dane mogą zostać skradzione, uszkodzone lub bezprawnie zmienione przez złośliwego hakera po udanym cyberataku. |
| * Niewłaściwa konfiguracja sieci i infrastruktury może doprowadzić do kradzieży, uszkodzenia, utraty lub nieuprawnionej zmiany danych. | * Niewłaściwa konfiguracja sieci i infrastruktury może doprowadzić do kradzieży, uszkodzenia, utraty lub bezprawnej zmiany danych. |
| Zapewnienie integralności danych jest złożonym zadaniem, wymagającym starannej integracji narzędzi cyberbezpieczeństwa, polityk, regulacji oraz ludzi. Do sposobów zapewnienia integralności danych należą m.in. następujące strategie: | Zapewnienie integralności danych jest złożonym zadaniem, wymagającym starannej integracji narzędzi cyberbezpieczeństwa, polityk, regulacji i ludzi. Do sposobów zapewnienia integralności danych należą m.in. następujące strategie: |
| * Dostęp do danych powinien być ściśle kontrolowany za pomocą skutecznych narzędzi uwierzytelniania i autoryzacji, aby osoby nieuprawnione nie mogły nimi manipulować. | * Dostęp do danych powinien być ściśle kontrolowany za pomocą skutecznych narzędzi uwierzytelniania i autoryzacji, aby osoby nieuprawnione nie mogły nimi manipulować. |
| * Należy tworzyć i starannie audytować dzienniki działań użytkowników, aby śledzić zmiany, które wprowadzają. | * Należy tworzyć i starannie audytować dzienniki działań użytkowników, aby śledzić wprowadzane przez nich zmiany. |
| * Dane powinny być szyfrowane podczas przesyłania i przechowywania, aby nie mogły zostać zmienione ani uszkodzone. | * Dane powinny być szyfrowane podczas przesyłania i przechowywania, aby nie zostały zmienione ani uszkodzone. |
| * Należy stosować mechanizmy ochrony danych zapobiegające ich utracie, np. regularnie wykonywać kopie zapasowe oraz stosować algorytmy komunikacyjne z wykrywaniem i korekcją błędów. | * Należy stosować mechanizmy ochrony danych zapobiegające ich utracie, np. regularnie wykonywać kopie zapasowe oraz stosować algorytmy komunikacyjne z wykrywaniem i korekcją błędów. |
| * Podczas uzyskiwania dostępu do danych w celu ich przetworzenia lub analizy należy podjąć niezbędne kroki, aby nie zostały one uszkodzone, utracone ani zniszczone – zwłaszcza gdy korzystają z nich podmioty trzecie. | * Podczas uzyskiwania dostępu do danych w celu ich przetworzenia lub analizy należy podjąć niezbędne kroki, aby nie zostały one uszkodzone, utracone lub zniszczone – zwłaszcza gdy korzystają z nich podmioty trzecie. |
| * Pracownicy i inni interesariusze powinni zostać przeszkoleni w zakresie postępowania z danymi tak, aby nie naruszyć ich integralności. | * Pracownicy i inni interesariusze powinni zostać przeszkoleni w zakresie postępowania z danymi tak, aby nie naruszyć ich integralności. |
| |
| **Dostępność** | **Dostępność** |
| |
| Systemy obliczeniowe, komunikacyjne oraz systemy przechowywania i odczytu danych powinny być dostępne w dowolnym momencie, gdy będą potrzebne. Dostępność w kontekście cyberbezpieczeństwa to możliwość niezawodnego uzyskania dostępu do systemów informatycznych przez uprawnionych użytkowników lub aplikacje w dowolnym momencie, gdy jest to konieczne. Jest to jeden z elementów triady CIA, stanowiący wymaganie przy projektowaniu bezpiecznych i niezawodnych systemów informacyjno-komunikacyjnych, takich jak IoT. Ponieważ węzły IoT są integrowane z infrastrukturą krytyczną oraz inną istniejącą infrastrukturą firm i osób prywatnych, dłuższe przestoje są niedopuszczalne, co czyni dostępność wymogiem kluczowym. Utrata dostępności może wynikać z następujących przyczyn: | Systemy obliczeniowe, komunikacyjne oraz systemy przechowywania i odczytu danych powinny być dostępne w dowolnym momencie, gdy są potrzebne. Dostępność w kontekście cyberbezpieczeństwa to możliwość niezawodnego uzyskania dostępu do systemów informatycznych przez uprawnionych użytkowników lub aplikacje w dowolnym momencie, gdy jest to konieczne. Jest to jeden z elementów triady CIA, stanowiący wymaganie przy projektowaniu bezpiecznych i niezawodnych systemów informacyjno-komunikacyjnych, takich jak IoT. Ponieważ węzły IoT są integrowane z infrastrukturą krytyczną oraz inną istniejącą infrastrukturą firm i osób prywatnych, dłuższe przestoje są niedopuszczalne, co czyni dostępność wymaganiem kluczowym. Utrata dostępności może wynikać z następujących przyczyn: |
| * Awarie sprzętu, w tym te wynikające z naturalnej degradacji. | * Awarie sprzętu, w tym wynikające z naturalnej degradacji. |
| * Awarie oprogramowania wynikające z błędów projektowych lub błędów w kodzie. | * Awarie oprogramowania wynikające z błędów projektowych lub błędów w kodzie. |
| * Cyberataki, np. DoS/DDoS lub – w przypadku węzła IoT – atak wyczerpujący energię. | * Cyberataki, np. DoS/DDoS lub – w przypadku węzła IoT – atak wyczerpujący energię. |
| * Awaria zasilania wynikająca z przerw w dostawie energii lub – w przypadku węzłów IoT – wyczerpania energii zgromadzonej w baterii. | * Awaria zasilania wynikająca z przerw w dostawie energii lub – w przypadku węzłów IoT – wyczerpania energii zgromadzonej w baterii. |
| * Uszkodzenie lub utrata danych podczas przesyłania, przechowywania lub odczytu, uniemożliwiające uprawnionym użytkownikom i aplikacjom dostęp do danych, gdy są one potrzebne. | * Uszkodzenie lub utrata danych podczas przesyłania, przechowywania lub odczytu, uniemożliwiające uprawnionym użytkownikom i aplikacjom dostęp do danych, gdy są potrzebne. |
| * Wąskie gardła przepustowości i awarie łączy w sieci komunikacyjnej, które zakłócają przesyłanie danych do użytkowników i aplikacji. | * Wąskie gardła przepustowości i awarie łączy w sieci komunikacyjnej, zakłócające przesyłanie danych do użytkowników i aplikacji. |
| * Przestoje wynikające z awarii, nieprawidłowego działania lub wadliwego działania samych systemów cyberbezpieczeństwa. | * Przestoje wynikające z awarii, nieprawidłowego zachowania lub wadliwego działania samych systemów cyberbezpieczeństwa. |
| * Szkody w infrastrukturze obliczeniowej, komunikacyjnej i pamięci masowej spowodowane klęskami żywiołowymi, kradzieżą, wandalizmem, niepokojami politycznymi lub konfliktami. | * Szkody w infrastrukturze obliczeniowej, komunikacyjnej i pamięci masowej spowodowane klęskami żywiołowymi, kradzieżą, wandalizmem, niepokojami politycznymi lub konfliktami. |
| Do sposobów zapewnienia dostępności systemów informatycznych i danych należą m.in.: | Do sposobów zapewnienia dostępności systemów informatycznych i danych należą m.in.: |
| * Zapewnienie skutecznych procesów eksploatacji i utrzymania. | * Zapewnienie skutecznych procesów eksploatacji i utrzymania. |
| * Zapewnienie wydajnych i niezawodnych źródeł energii oraz systemów jej magazynowania. | * Zapewnienie wydajnych i niezawodnych źródeł energii oraz systemów jej magazynowania. |
| * Minimalizacja zużycia energii w celu wydłużenia czasu pracy węzłów IoT. | * Minimalizacja zużycia energii w celu wydłużenia czasu życia węzłów IoT. |
| * Szybkie usuwanie błędów projektowych i błędów oprogramowania w celu minimalizowania przestojów. | * Szybkie usuwanie błędów projektowych i błędów oprogramowania w celu minimalizacji przestojów. |
| * Staranne zabezpieczenie fizyczne lokalizacji infrastruktury sprzętowej. | * Staranne zabezpieczenie fizycznych lokalizacji infrastruktury sprzętowej. |
| * Skuteczne mechanizmy uwierzytelniania i autoryzacji, zapewniające uprawnionym użytkownikom dostęp do systemów, gdy jest to potrzebne. | * Skuteczne mechanizmy uwierzytelniania i autoryzacji, zapewniające uprawnionym użytkownikom dostęp do systemów, gdy jest potrzebny. |
| * Staranne wdrożenie i konfiguracja systemów cyberbezpieczeństwa w celu minimalizacji spadku wydajności i przestojów wynikających z ich wadliwego działania. | * Staranne wdrożenie i konfiguracja systemów cyberbezpieczeństwa w celu minimalizacji spadku wydajności i przestojów wynikających z ich wadliwego działania. |
| * Zapewnienie prawidłowej konfiguracji systemów sieciowych z odpowiednimi mechanizmami bezpieczeństwa oraz szybkie usuwanie awarii sieci. | * Zapewnienie prawidłowej konfiguracji systemów sieciowych z odpowiednimi mechanizmami bezpieczeństwa oraz szybkie usuwanie awarii sieci. |
| |
| ===== Wybrane podstawowe terminy cyberbezpieczeństwa ===== | ===== Wybrane podstawowe terminy cyberbezpieczeństwa ===== |
| Aby zrozumieć zaawansowane pojęcia i technologie cyberbezpieczeństwa, trzeba dobrze znać podstawy. Poniżej przedstawiono wybrane z nich. | Aby zrozumieć zaawansowane pojęcia i technologie cyberbezpieczeństwa, trzeba dobrze znać pojęcia podstawowe. Poniżej przedstawiono wybrane z nich. |
| |
| **Ryzyko cyberbezpieczeństwa**: prawdopodobieństwo narażenia na cyberatak lub naruszenia któregokolwiek z wymagań poufności, integralności lub dostępności, co może skutkować kradzieżą, wyciekiem, uszkodzeniem lub zniekształceniem danych. Może ono również prowadzić do zakłóceń lub przestojów w działaniu usług, w wyniku których firma traci przychody, a infrastruktura ulega uszkodzeniu. Organizacja, która padła ofiarą udanego cyberataku, może stracić reputację i zostać zobowiązana do wypłaty odszkodowań klientom lub zapłaty kary organom nadzorczym. Ryzyko cyberbezpieczeństwa to potencjalne straty, jakie organizacja lub osoby mogą ponieść w wyniku udanych cyberataków lub awarii systemów informatycznych, prowadzących do utraty danych, klientów, przychodów i zasobów (aktywów) oraz do strat finansowych. | **Ryzyko cyberbezpieczeństwa**: prawdopodobieństwo narażenia na cyberatak lub naruszenia któregokolwiek z wymagań poufności, integralności lub dostępności, co może skutkować kradzieżą, wyciekiem, uszkodzeniem lub zniekształceniem danych. Może ono również prowadzić do zakłóceń lub przestojów usług, w wyniku których firma traci przychody, a infrastruktura ulega uszkodzeniu. Organizacja, która padła ofiarą udanego cyberataku, może stracić reputację i zostać zobowiązana do wypłaty odszkodowań klientom lub zapłaty kary organom nadzorczym. Ryzyko cyberbezpieczeństwa to zatem potencjalne straty, jakie organizacja lub osoby mogą ponieść w wyniku udanych cyberataków lub awarii systemów informatycznych, prowadzących do utraty danych, klientów, przychodów i zasobów (aktywów oraz strat finansowych). |
| |
| **Zagrożenia**: działanie podejmowane w celu naruszenia któregokolwiek z wymagań cyberbezpieczeństwa, które może skutkować kradzieżą, wyciekiem, uszkodzeniem, zniekształceniem lub utratą danych. Działanie takie może ujawnić dane osobom nieuprawnionym lub bezprawnie je zmienić. Może też prowadzić do zakłócenia usług wskutek przestoju systemu, jego niedostępności lub niedostępności danych. Zagrożenia obejmują m.in. infekcje urządzeń wirusami lub złośliwym oprogramowaniem, ataki ransomware, odmowa usługi, phishing, ataki socjotechniczne, ataki na hasła, wstrzykiwanie SQL, naruszenia ochrony danych, ataki typu man-in-the-middle, ataki wyczerpujące energię (w przypadku urządzeń IoT) oraz wiele innych wektorów ataku. Zagrożenia cyberbezpieczeństwa mogą pochodzić od takich podmiotów jak państwa, cyberprzestępcy, haktywiści, niezadowoleni pracownicy, a także wynikać z błędów projektowych, błędnej konfiguracji systemów, wad lub błędów oprogramowania, działań terrorystów i szpiegów, błędów uprawnionych użytkowników oraz klęsk żywiołowych ((Abi Tyas Tunggal, What is Cybersecurity Risk? A Thorough Definition, https://www.upguard.com/blog/cybersecurity-risk, 2024)). | **Zagrożenia**: działanie podejmowane w celu naruszenia któregokolwiek z wymagań cyberbezpieczeństwa, które może skutkować kradzieżą, wyciekiem, uszkodzeniem, zniekształceniem lub utratą danych. Działanie takie może ujawnić dane osobom nieuprawnionym lub bezprawnie je zmienić. Może też prowadzić do zakłócenia usług wskutek przestoju systemu, jego niedostępności lub niedostępności danych. Zagrożenia obejmują m.in. infekcje urządzeń wirusami lub złośliwym oprogramowaniem, ataki ransomware, odmowę usługi, phishing, ataki socjotechniczne, ataki na hasła, wstrzykiwanie SQL, naruszenia ochrony danych, ataki typu man-in-the-middle, ataki wyczerpujące energię (w przypadku urządzeń IoT) i wiele innych wektorów ataku. Zagrożenia cyberbezpieczeństwa mogą pochodzić od takich podmiotów jak państwa, cyberprzestępcy, haktywiści, niezadowoleni pracownicy, a także wynikać z błędów projektowych, błędnej konfiguracji systemów, wad lub błędów oprogramowania, działań terrorystów i szpiegów, błędów uprawnionych użytkowników oraz klęsk żywiołowych ((Abi Tyas Tunggal, What is Cybersecurity Risk? A Thorough Definition, https://www.upguard.com/blog/cybersecurity-risk, 2024)). |
| |
| **Podatność**: słabość, wada lub błąd w systemie informatycznym lub systemie cyberbezpieczeństwa, który cyberprzestępcy mogą wykorzystać do naruszenia bezpieczeństwa systemu. Istnieje wiele podatności i wciąż odkrywane są nowe. Do najczęstszych należą wstrzykiwanie SQL, przepełnienie bufora, cross-site scripting, błędna konfiguracja zabezpieczeń ((Rapid 7, Vulnerabilities, Exploits, and Threats, https://www.rapid7.com/fundamentals/vulnerabilities-exploits-threats/)), słabe mechanizmy uwierzytelniania i autoryzacji oraz niezaszyfrowane dane podczas przesyłania lub przechowywania. Podatności można identyfikować za pomocą skanerów podatności i testów penetracyjnych. Po wykryciu podatności należy podjąć kroki w celu jej usunięcia lub ograniczenia związanego z nią ryzyka. | **Podatność**: słabość, wada lub błąd w systemie informatycznym lub systemie cyberbezpieczeństwa, który cyberprzestępcy mogą wykorzystać do naruszenia bezpieczeństwa systemu. Istnieje wiele podatności i wciąż odkrywane są nowe. Do najczęstszych należą wstrzykiwanie SQL, przepełnienie bufora, cross-site scripting, błędna konfiguracja zabezpieczeń ((Rapid 7, Vulnerabilities, Exploits, and Threats, https://www.rapid7.com/fundamentals/vulnerabilities-exploits-threats/)), słabe mechanizmy uwierzytelniania i autoryzacji oraz niezaszyfrowane dane podczas przesyłania lub przechowywania. Podatności można identyfikować za pomocą skanerów podatności i testów penetracyjnych. Po wykryciu podatności należy podjąć kroki w celu jej usunięcia lub ograniczenia związanego z nią ryzyka. |
| * Ataki phishingowe. | * Ataki phishingowe. |
| * Załączniki poczty elektronicznej. | * Załączniki poczty elektronicznej. |
| * Kradzież danych uwierzytelniających przy użyciu różnych technik socjotechnicznych. | * Kradzież danych uwierzytelniających z użyciem różnych technik socjotechnicznych. |
| * Przejęcie konta w celu kradzieży lub zniszczenia danych i innych zasobów oraz przeprowadzenia dalszych ataków. | * Przejęcie konta w celu kradzieży lub zniszczenia danych i innych zasobów oraz przeprowadzenia dalszych ataków. |
| * Kryptoanaliza zaszyfrowanych danych. | * Kryptoanaliza zaszyfrowanych danych. |
| Do sposobów eliminowania wektorów ataku w celu zmniejszenia szans na udany atak należą ((Cloudflare, What is an attack vector? https://www.cloudflare.com/learning/security/glossary/attack-vector/)): | Do sposobów eliminowania wektorów ataku w celu zmniejszenia szans na udany atak należą ((Cloudflare, What is an attack vector? https://www.cloudflare.com/learning/security/glossary/attack-vector/)): |
| * Szyfrowanie danych podczas przesyłania, przechowywania i odczytu. | * Szyfrowanie danych podczas przesyłania, przechowywania i odczytu. |
| * Opracowanie skutecznych polityk bezpieczeństwa, szkolenie pracowników i interesariuszy oraz egzekwowanie ich stosowania. | * Opracowanie skutecznych polityk bezpieczeństwa oraz szkolenie pracowników i interesariuszy i egzekwowanie ich stosowania. |
| * Łatanie podatności poprzez regularne aktualizacje oprogramowania i sprzętu oraz kontrolę konfiguracji systemów. | * Łatanie podatności poprzez regularne aktualizacje oprogramowania i sprzętu oraz kontrolę konfiguracji systemów. |
| * Wdrożenie bezpiecznych mechanizmów dostępu do sieci. | * Wdrożenie bezpiecznych mechanizmów dostępu do sieci. |
| * Regularne audyty bezpieczeństwa w celu wykrywania i usuwania zagrożeń oraz podatności, zanim wykorzystają je cyberprzestępcy. | * Regularne audyty bezpieczeństwa w celu wykrycia i usunięcia zagrożeń i podatności, zanim wykorzystają je cyberprzestępcy. |
| * Wdrożenie systemów wykrywania i zapobiegania zagrożeniom (włamaniom). | * Wdrożenie systemów wykrywania i zapobiegania zagrożeniom (włamaniom). |
| |
| **Powierzchnia ataku**: miejsca lub możliwe wektory ataku, które cyberprzestępcy mogą wykorzystać do naruszenia poufności, integralności i dostępności danych oraz systemów informatycznych. Organizacje i osoby prywatne powinny dążyć do minimalizacji swojej powierzchni ataku – im mniejsza jest, tym mniejsze jest prawdopodobieństwo kompromitacji danych lub systemów. Dlatego należy stale monitorować powierzchnię ataku, aby jak najszybciej wykrywać i blokować ataki oraz minimalizować ryzyko ich powodzenia. Typowe elementy powierzchni ataku to słabo zabezpieczone urządzenia (np. komputery, telefony komórkowe, dyski twarde i urządzenia IoT), słabe hasła, brak zabezpieczeń poczty elektronicznej, otwarte porty oraz brak instalowania poprawek oprogramowania, co otwiera atakującym „tylne drzwi”. Inną typową powierzchnią ataku są słabe protokoły webowe, które hakerzy mogą wykorzystać do kradzieży danych w atakach typu man-in-the-middle (MITM). Wyróżnia się dwie kategorie powierzchni ataku ((Fortinet, What Is An Attack Surface?, https://www.fortinet.com/resources/cyberglossary/attack-surface)): | **Powierzchnia ataku**: miejsca lub możliwe wektory ataku, które cyberprzestępcy mogą wykorzystać do naruszenia poufności, integralności i dostępności danych i systemów informatycznych. Organizacje i osoby prywatne powinny dążyć do minimalizacji swojej powierzchni ataku – im jest ona mniejsza, tym mniejsze prawdopodobieństwo kompromitacji danych lub systemów. Dlatego należy stale monitorować powierzchnię ataku, aby jak najszybciej wykrywać i blokować ataki oraz minimalizować ryzyko ich powodzenia. Typowe elementy powierzchni ataku to słabo zabezpieczone urządzenia (np. komputery, telefony komórkowe, dyski twarde i urządzenia IoT), słabe hasła, brak zabezpieczeń poczty elektronicznej, otwarte porty oraz nieinstalowanie poprawek oprogramowania, co otwiera atakującym „tylne drzwi”. Inną typową powierzchnią ataku są słabe protokoły webowe, które hakerzy mogą wykorzystać do kradzieży danych w atakach man-in-the-middle (MITM). Wyróżnia się dwie kategorie powierzchni ataku ((Fortinet, What Is An Attack Surface?, https://www.fortinet.com/resources/cyberglossary/attack-surface)): |
| * **Cyfrowa powierzchnia ataku**: obejmuje wszystkie systemy programowe i sprzętowe w infrastrukturze organizacji, w tym aplikacje, kod, porty, serwery, strony internetowe i urządzenia sensorowe (urządzenia IoT). Przy wdrożeniach obejmujących dziesiątki lub setki milionów urządzeń IoT powierzchnia ataku tworzona przez infrastrukturę IoT – od warstwy czujników, przez infrastrukturę sieciową, po infrastrukturę obliczeniową mgły/chmury – jest ogromna. | * **Cyfrowa powierzchnia ataku**: obejmuje wszystkie systemy programowe i sprzętowe w infrastrukturze organizacji, w tym aplikacje, kod, porty, serwery, strony internetowe i urządzenia sensorowe (urządzenia IoT). Przy wdrożeniach obejmujących dziesiątki lub setki milionów urządzeń IoT powierzchnia ataku tworzona przez infrastrukturę IoT – od warstwy czujników, przez infrastrukturę sieciową, po infrastrukturę obliczeniową mgły/chmury – jest ogromna. |
| * **Fizyczna powierzchnia ataku**: obejmuje wszystkie urządzenia końcowe, do których atakujący może uzyskać fizyczny dostęp, takie jak komputery stacjonarne, dyski twarde, laptopy, telefony komórkowe, pamięci USB oraz (w przypadku systemów IoT) urządzenia IoT. Do fizycznej powierzchni ataku należą m.in. niedbale wyrzucony sprzęt zawierający dane użytkowników i dane logowania, hasła zapisane na kartkach oraz nieuprawniony dostęp do miejsc, w których przechowywane są wrażliwe zasoby. | * **Fizyczna powierzchnia ataku**: obejmuje wszystkie urządzenia końcowe, do których atakujący może uzyskać fizyczny dostęp, takie jak komputery stacjonarne, dyski twarde, laptopy, telefony komórkowe, pamięci USB oraz (w przypadku systemów IoT) urządzenia IoT. Do fizycznej powierzchni ataku należą m.in. niedbale wyrzucony sprzęt zawierający dane użytkowników i dane logowania, hasła zapisane na kartkach oraz nieuprawniony dostęp do miejsc, w których przechowywane są wrażliwe zasoby. |
| * Regularne szkolenie pracowników, aby stosowali dobre praktyki bezpieczeństwa i przestrzegali polityk bezpieczeństwa danych i systemów informatycznych. | * Regularne szkolenie pracowników, aby stosowali dobre praktyki bezpieczeństwa i przestrzegali polityk bezpieczeństwa danych i systemów informatycznych. |
| |
| **Szyfrowanie**: przekształcanie danych w tajny kod (dane zaszyfrowane), który może zostać przekształcony z powrotem do postaci pierwotnej (odszyfrowany) wyłącznie za pomocą unikalnego klucza przez uprawnionych użytkowników lub aplikacje. Szyfrowanie chroni poufność i integralność danych, tzn. zapobiega ich kradzieży lub bezprawnej modyfikacji przez cyberprzestępców. Stosuje się je do ochrony danych podczas przesyłania, przechowywania oraz przetwarzania i analizy. Proces szyfrowania polega na użyciu matematycznego algorytmu kryptograficznego (algorytmu szyfrującego) do przekształcenia danych (tekstu jawnego) w szyfrogram, który można przekształcić z powrotem w tekst jawny jedynie za pomocą innego algorytmu (algorytmu deszyfrującego) oraz odpowiedniego, unikalnego klucza. Klucze kryptograficzne powinny być na tyle długie, aby cyberprzestępcy nie mogli ich łatwo odgadnąć metodą siłową ani kryptoanalizą. Cele stosowania algorytmów szyfrowania w systemach informatycznych to: | **Szyfrowanie**: przekształcanie danych w tajny kod (dane zaszyfrowane), który może zostać przekształcony z powrotem do postaci pierwotnej (odszyfrowany) wyłącznie za pomocą unikalnego klucza przez uprawnionych użytkowników lub aplikacje. Szyfrowanie chroni poufność i integralność danych, tzn. zapobiega ich kradzieży lub bezprawnej zmianie przez cyberprzestępców. Stosuje się je do ochrony danych podczas przesyłania, przechowywania i przetwarzania/analizy. Proces szyfrowania polega na użyciu matematycznego algorytmu kryptograficznego (algorytmu szyfrującego) do przekształcenia danych (tekstu jawnego) w szyfrogram, który można przekształcić z powrotem w tekst jawny jedynie za pomocą innego algorytmu (algorytmu deszyfrującego) i odpowiedniego unikalnego klucza. Klucze kryptograficzne powinny być na tyle długie, aby cyberprzestępcy nie mogli ich łatwo odgadnąć atakiem siłowym lub kryptoanalizą. Cele stosowania algorytmów szyfrowania w systemach informatycznych to: |
| * Zapewnienie poufności danych – uniemożliwienie dostępu do nich osobom nieuprawnionym i zachowanie ich w tajemnicy. | * Zapewnienie poufności danych – uniemożliwienie dostępu do nich osobom nieuprawnionym i zachowanie ich w tajemnicy. |
| * Zapewnienie integralności danych – zagwarantowanie, że nie zostaną zmienione, uszkodzone ani zniekształcone podczas przechowywania lub przesyłania. | * Zapewnienie integralności danych – zagwarantowanie, że nie zostaną zmienione, uszkodzone ani zniekształcone podczas przechowywania lub przesyłania. |
| * Uwierzytelnianie użytkowników poprzez weryfikację pochodzenia danych, aby mieć pewność, że użytkownicy są tymi, za kogo się podają. | * Uwierzytelnianie użytkowników poprzez weryfikację pochodzenia danych, tak aby mieć pewność, że użytkownicy są tymi, za kogo się podają. |
| * Zapewnienie niezaprzeczalności – nadawca danych nie może zaprzeczyć, że jest ich źródłem. | * Zapewnienie niezaprzeczalności – nadawca danych nie może zaprzeczyć, że jest ich źródłem. |
| * Umożliwienie organizacjom spełnienia wymagań regulatorów, którzy nakazują odpowiednią ochronę danych wrażliwych przed kradzieżą, uszkodzeniem i nieuprawnioną modyfikacją. | * Umożliwienie organizacjom spełnienia wymagań regulatorów, którzy nakazują odpowiednią ochronę danych wrażliwych przed kradzieżą, uszkodzeniem i bezprawną modyfikacją. |
| |
| Algorytmy kryptograficzne dzielą się na dwa główne rodzaje: | Algorytmy kryptograficzne dzielą się na dwa główne rodzaje: |
| * **Szyfrowanie symetryczne**: ten sam klucz służy do szyfrowania i deszyfrowania, dlatego bywa ono nazywane szyfrowaniem z kluczem prywatnym lub współdzielonym. Klucz przesyła się bezpiecznym kanałem, aby można go było użyć do odszyfrowania danych. Główną zaletą tego schematu jest stosunkowo niski koszt utworzenia szyfrogramu, co czyni go mniej kosztownym obliczeniowo i szybszym w deszyfrowaniu. Istotną wadą jest możliwość kompromitacji klucza podczas jego przekazywania od nadawcy do odbiorcy. Jeśli klucz pozna strona trzecia, osoba lub aplikacja może go użyć do odszyfrowania danych, naruszając ich poufność i integralność. Przykładami algorytmów symetrycznych są Data Encryption Standard (DES), Triple DES (3DES), Advanced Encryption Standard (AES) i Twofish. | * **Szyfrowanie symetryczne**: ten sam klucz służy do szyfrowania i deszyfrowania, dlatego bywa ono nazywane szyfrowaniem z kluczem prywatnym lub współdzielonym. Klucz przesyła się bezpiecznym kanałem, aby można go było użyć do odszyfrowania danych. Główną zaletą tego schematu jest stosunkowo niski koszt utworzenia szyfrogramu, co czyni go mniej kosztownym obliczeniowo i szybszym w deszyfrowaniu. Istotną wadą jest możliwość kompromitacji klucza podczas jego przekazywania od nadawcy do odbiorcy. Jeśli klucz pozna strona trzecia, osoba lub aplikacja może go użyć do odszyfrowania danych, naruszając ich poufność i integralność. Przykładami algorytmów symetrycznych są Data Encryption Standard (DES), Triple DES (3DES), Advanced Encryption Standard (AES) i Twofish. |
| * **Szyfrowanie asymetryczne**: do szyfrowania i deszyfrowania używa się dwóch różnych kluczy (prywatnego i publicznego), dlatego bywa nazywane szyfrowaniem z kluczem publicznym. Klucz publiczny jest udostępniany stronom komunikacji (nadawcom) do szyfrowania danych, ale odszyfrować je może tylko odbiorca posiadający odpowiedni klucz prywatny. Algorytmy asymetryczne są stosunkowo bezpieczne, ale generowanie szyfrogramu jest względnie kosztowne, a deszyfrowanie jest wymagające obliczeniowo. Przykładami algorytmów z kluczem publicznym są RSA (Rivest-Shamir-Adleman) i kryptografia krzywych eliptycznych (ECC). | * **Szyfrowanie asymetryczne**: do szyfrowania i deszyfrowania używa się dwóch różnych kluczy (prywatnego i publicznego), dlatego bywa ono nazywane szyfrowaniem z kluczem publicznym. Klucz publiczny jest udostępniany stronom komunikacji (nadawcom) do szyfrowania danych, ale odszyfrować je może tylko odbiorca posiadający odpowiedni klucz prywatny. Algorytmy asymetryczne są stosunkowo bezpieczne, ale generowanie szyfrogramu jest względnie kosztowne, a deszyfrowanie wymagające obliczeniowo. Przykładami algorytmów z kluczem publicznym są RSA (Rivest-Shamir-Adelman) i kryptografia krzywych eliptycznych (ECC). |
| Choć szyfrowanie jest bardzo cenne dla zabezpieczania danych podczas przesyłania, przetwarzania i przechowywania, ma również wady: | Choć szyfrowanie jest bardzo cenne dla zabezpieczania danych podczas przesyłania, przetwarzania i przechowywania, ma również wady: |
| * Cyberprzestępcy mogą je wykorzystać do przejęcia danych osób i organizacji, żądając okupu za przywrócenie dostępu – tzw. atak ransomware. | * Cyberprzestępcy mogą je wykorzystać do przejęcia danych osób i organizacji, żądając okupu za przywrócenie dostępu – tzw. atak ransomware. |
| * Skuteczne zarządzanie kluczami szyfrującymi tak, aby nie zostały skompromitowane, jest trudne, co może umożliwić cyberprzestępcom zdobycie kluczy oraz naruszenie poufności i integralności danych. | * Skuteczne zarządzanie kluczami szyfrującymi, tak aby nie zostały skompromitowane, jest trudne, co może umożliwić cyberprzestępcom zdobycie kluczy i naruszenie poufności oraz integralności danych. |
| * Narastają obawy, że gdy technologie obliczeń kwantowych dojrzeją, będą w stanie złamać zaawansowane schematy szyfrowania, na których obecnie opiera się ochrona danych. | * Narastają obawy, że gdy technologie obliczeń kwantowych dojrzeją, będą w stanie złamać zaawansowane schematy szyfrowania, na których obecnie opiera się ochrona danych. |
| |
| **Uwierzytelnianie**: mechanizm kontroli dostępu umożliwiający weryfikację, czy użytkownik, urządzenie lub aplikacja jest tym, za kogo się podaje. Dane uwierzytelniające (nazwa użytkownika i hasło) są porównywane z bazą danych uprawnionych użytkowników lub z serwerami uwierzytelniania, co pozwala zweryfikować tożsamość oraz uprawnienia do dostępu do urządzenia, serwerów, aplikacji lub bazy danych. Uwierzytelnianie za pomocą nazwy użytkownika lub identyfikatora i hasła nazywa się uwierzytelnianiem jednoskładnikowym. Obecnie organizacje, zwłaszcza przetwarzające dane wrażliwe (np. banki), wymagają od użytkowników i aplikacji podania wielu składników uwierzytelniania (a nie tylko identyfikatora i hasła), co nazywa się uwierzytelnianiem wieloskładnikowym; w przypadku dwóch składników – dwuskładnikowym. Wykorzystanie cech człowieka, takich jak odcisk palca, skan twarzy lub siatkówki czy rozpoznawanie głosu, nazywa się uwierzytelnianiem biometrycznym ((Nick Barney, Authentication, https://www.techtarget.com/searchsecurity/definition/authentication)). Uwierzytelnianie chroni poufność i integralność danych i systemów, dopuszczając do cennych i wrażliwych zasobów (np. komputerów, sieci bezprzewodowych, punktów dostępowych, baz danych, stron internetowych oraz innych aplikacji i usług sieciowych) wyłącznie uwierzytelnionych użytkowników, aplikacje i procesy. | **Uwierzytelnianie**: mechanizm kontroli dostępu umożliwiający weryfikację, czy użytkownik, urządzenie lub aplikacja jest tym, za kogo się podaje. Dane uwierzytelniające (nazwa użytkownika i hasło) są porównywane z bazą danych uprawnionych użytkowników lub z serwerami uwierzytelniania, co pozwala zweryfikować tożsamość i prawo dostępu do urządzenia, serwerów, aplikacji lub bazy danych. Uwierzytelnianie za pomocą nazwy użytkownika lub identyfikatora i hasła nazywa się uwierzytelnianiem jednoskładnikowym. Obecnie organizacje, zwłaszcza przetwarzające dane wrażliwe (np. banki), wymagają od użytkowników i aplikacji podania wielu składników uwierzytelniania (a nie tylko identyfikatora i hasła), co nazywa się uwierzytelnianiem wieloskładnikowym; w przypadku dwóch składników – dwuskładnikowym. Wykorzystanie cech człowieka, takich jak odcisk palca, skan twarzy lub siatkówki czy rozpoznawanie głosu, nazywa się uwierzytelnianiem biometrycznym ((Nick Barney, Authentication, https://www.techtarget.com/searchsecurity/definition/authentication)). Uwierzytelnianie chroni poufność i integralność danych i systemów, dopuszczając do cennych i wrażliwych zasobów (np. komputerów, sieci bezprzewodowych, punktów dostępowych, baz danych, stron internetowych oraz innych aplikacji i usług sieciowych) wyłącznie uwierzytelnionych użytkowników, aplikacje i procesy. |
| |
| **Autoryzacja**: podobnie jak uwierzytelnianie, autoryzacja służy ochronie danych i systemów informatycznych przed nadużyciami ze strony cyberprzestępców oraz niezamierzonymi (lub zamierzonymi) działaniami uprawnionych użytkowników. Autoryzacja to proces określania praw dostępu użytkowników i aplikacji w celu sprawdzenia, czy mają prawo wykonać daną czynność. W odróżnieniu od uwierzytelniania, które weryfikuje tożsamość i udziela dostępu do systemu, autoryzacja określa uprawnienia do wykonywania konkretnych czynności. Przykładem autoryzacji jest lista kontroli dostępu (ang. //Access Control List//, ACL), która zezwala lub odmawia użytkownikom i aplikacjom dostępu do określonych zasobów systemu oraz wykonywania określonych czynności. Zwykli użytkownicy mogą mieć prawo do niektórych czynności, a do innych nie, natomiast superużytkownicy lub administratorzy mogą wykonywać niemal wszystkie czynności w systemie. Niektórzy użytkownicy mają dostęp do części danych, ale nie do danych bardziej wrażliwych – w systemach bazodanowych zwykli użytkownicy mogą mieć dostęp do danych mniej wrażliwych, a administrator do bardziej wrażliwych. | **Autoryzacja**: podobnie jak uwierzytelnianie, autoryzacja służy ochronie danych i systemów informatycznych przed nadużyciami ze strony cyberprzestępców oraz niezamierzonymi (lub zamierzonymi) działaniami uprawnionych użytkowników. Autoryzacja to proces określania praw dostępu użytkowników i aplikacji w celu sprawdzenia, czy mają prawo wykonać daną czynność. W odróżnieniu od uwierzytelniania, które weryfikuje tożsamość i udziela dostępu do systemu, autoryzacja określa uprawnienia do wykonywania konkretnych czynności. Przykładem autoryzacji jest lista kontroli dostępu (ang. //Access Control List//, ACL), która zezwala lub odmawia użytkownikom i aplikacjom dostępu do określonych zasobów systemu oraz wykonywania określonych czynności. Zwykli użytkownicy mogą mieć prawo do niektórych czynności, a do innych nie, natomiast superużytkownicy lub administratorzy mogą wykonywać niemal wszystkie czynności w systemie. Niektórzy użytkownicy mają dostęp do części danych, ale nie do danych bardziej wrażliwych – w systemach bazodanowych zwykli użytkownicy mogą mieć dostęp do danych mniej wrażliwych, a administrator do bardziej wrażliwych. |
| |
| **Kontrola dostępu**: różne mechanizmy zaprojektowane i wdrożone w celu udzielania uprawnionym użytkownikom dostępu do zasobów systemu informatycznego i kontrolowania czynności, jakie mogą wykonywać (np. przeglądanie, modyfikacja, aktualizacja, instalacja, usuwanie). Może również obejmować fizyczny dostęp do krytycznych zasobów organizacji. Kontrola dostępu chroni poufność i integralność danych i systemów. Fizyczna kontrola dostępu dotyczy dostępu fizycznego do krytycznych zasobów, a logiczna – dostępu do systemów informatycznych (sieci, węzłów obliczeniowych, serwerów, plików i baz danych). Dostęp do miejsc przechowywania krytycznych zasobów (serwerów, sprzętu sieciowego, dokumentów) ogranicza się za pomocą elektronicznych systemów kontroli dostępu wykorzystujących klucze, czytniki kart, klawiatury PIN oraz audyty i raporty śledzące wejścia pracowników. Dostęp do systemów informatycznych ogranicza się mechanizmami uwierzytelniania i autoryzacji weryfikującymi dane logowania, którymi mogą być hasła, kody PIN, skany biometryczne, tokeny bezpieczeństwa lub inne składniki uwierzytelniania ((Gavin Wright,What is access control?, https://www.techtarget.com/searchsecurity/definition/access-control )). | **Kontrola dostępu**: różne mechanizmy zaprojektowane i wdrożone w celu udzielania uprawnionym użytkownikom dostępu do zasobów systemu informatycznego i kontrolowania czynności, jakie mogą wykonywać (np. przeglądanie, modyfikacja, aktualizacja, instalacja, usuwanie). Może również obejmować fizyczny dostęp do krytycznych zasobów organizacji. Kontrola dostępu chroni poufność i integralność danych i systemów. Fizyczna kontrola dostępu dotyczy fizycznego dostępu do krytycznych zasobów, a logiczna – dostępu do systemów informatycznych (sieci, węzłów obliczeniowych, serwerów, plików i baz danych). Dostęp do miejsc przechowywania krytycznych zasobów (serwerów, sprzętu sieciowego, dokumentów) ogranicza się za pomocą elektronicznych systemów kontroli dostępu wykorzystujących klucze, czytniki kart, klawiatury PIN oraz audyty i raporty śledzące wejścia pracowników. Dostęp do systemów informatycznych ogranicza się mechanizmami uwierzytelniania i autoryzacji weryfikującymi dane logowania, którymi mogą być hasła, kody PIN, skany biometryczne, tokeny bezpieczeństwa lub inne składniki uwierzytelniania ((Gavin Wright,What is access control?, https://www.techtarget.com/searchsecurity/definition/access-control )). |
| |
| **Niezaprzeczalność**: sposób zapewnienia, że nadawca danych nie zaprzeczy ich wysłaniu, a odbiorca – ich otrzymaniu. Gwarantuje również, że podmiot, który podpisał dokument, nie może zaprzeczyć swojemu podpisowi. Pojęcie to zaczerpnięto z dziedziny prawa; stało się ono jednym z pięciu filarów zapewniania bezpieczeństwa informacji, obok poufności, integralności, dostępności i uwierzytelniania. Zapewnia autentyczność i integralność wiadomości: potwierdza odbiorcy tożsamość nadawcy, a nadawcy – że wiadomość została dostarczona bez zmian. Dzięki temu ani nadawca, ani odbiorca nie mogą zaprzeczyć wysłaniu, odebraniu lub przetworzeniu danych. Do zapewnienia niezaprzeczalności można stosować podpisy, o ile są unikalne dla każdego podmiotu. | **Niezaprzeczalność**: sposób zapewnienia, że nadawca danych nie zaprzeczy ich wysłaniu, a odbiorca – ich otrzymaniu. Gwarantuje również, że podmiot, który podpisał dokument, nie może zaprzeczyć swojemu podpisowi. Pojęcie to zaczerpnięto z dziedziny prawa; stało się ono jednym z pięciu filarów zapewniania bezpieczeństwa informacji, obok poufności, integralności, dostępności i uwierzytelniania. Zapewnia autentyczność i integralność wiadomości: potwierdza odbiorcy tożsamość nadawcy, a nadawcy – że wiadomość została dostarczona bez zmian. Dzięki temu ani nadawca, ani odbiorca nie mogą zaprzeczyć wysłaniu, odebraniu lub przetworzeniu danych. Do zapewnienia niezaprzeczalności można stosować podpisy, o ile są unikalne dla każdego podmiotu. |
| |
| **Rozliczalność**: rozliczalność wymaga od organizacji podjęcia wszelkich niezbędnych kroków w celu zapobiegania cyberatakom i ograniczania ryzyka ich wystąpienia. Jeśli do ataku dojdzie, organizacja musi wziąć odpowiedzialność za szkody i zaangażować odpowiednich interesariuszy w usuwanie skutków oraz zapobieganie przyszłym atakom. Musi również przyjąć odpowiedzialność za radzenie sobie z wyzwaniami bezpieczeństwa i konsekwencjami naruszeń. | **Rozliczalność**: rozliczalność wymaga od organizacji podjęcia wszelkich niezbędnych kroków w celu zapobiegania cyberatakom i ograniczania ryzyka ich wystąpienia. Jeśli do ataku dojdzie, organizacja musi wziąć odpowiedzialność za szkody i zaangażować odpowiednich interesariuszy w usuwanie skutków i zapobieganie przyszłym atakom. Musi również przyjąć odpowiedzialność za radzenie sobie z wyzwaniami bezpieczeństwa i konsekwencjami naruszeń. |
| |
