Andmeturbe olulisi elemente IIIa ISKE etalonturbemetoodika Valdo Praust

Andmeturbe olulisi elemente, IIIa ISKE etalonturbemetoodika Valdo Praust mois@mois. ee arvuti- ja andmeturbespetsialist isikuandmete kaitse seaduse kaasautor Infoühiskonna harrastusfilosoof Täienduskoolitus IT Kolledzis 30. septembril 2004

Miks oli ISKE laadset asja vaja? Praktilise süsteemi turbe lähtekohad: • Absoluutne turve üheski turbevaldkonnas (käideldavus, terviklus, konfidentsiaalsus) ei ole saavutatav • Mingit turvet (mingi taseme turvet) me peame reeglina aga nõudma Lahendus: • Turbetasemed tuleb sätestada ja klassifitseerida • Igale tasemele tuleb vastavusse seada hulk eri turvaeesmärke (kust lähtuvad turvanõuded)

Kuidas lahendati asi enne ISKEt? Asja ei olnudki lahendatud – õigusaktid nõudsid praktikas saavutamatut absoluutset turvet: • andmekogude seaduse § 7 lglg 3 -4 • isikuandmete kaitse seaduse § 19 lglg 1 -2 • avaliku teabe seaduse § 32 lg 1 ja § 43 Millisel tasemel turvet tegelikult praktikas rakendati, oli seaduse tõlgendamise küsimus nii täitja kui ka järelevalve teostaja (sh AKI) poolt

Vajadus turbetasemete ja nende saavutamismetoodikate järele Et praktilist turvet kuidagi standardida, on vaja: • sätestada (klassifitseerida, standardida) turvatasemed elik käideldavus-, terviklus- ja konfidentsiaalsustasemed • luua mingisugune süsteem, mis iga taseme (tasemete komplekti) korral näeb ette mingi korra või tegevused, mille tulemusena turve tagatakse ehk viiakse meile sobiva jääkriski piiridesse Ülalkirjeldatut nimetatakse andmeturbes riskihaldusmetoodikaks

ISKE olemus ja ajalugu ISKE on oma olemuselt segamatoodika sugemetega etalonturbemetoodika – on sätestatud erinevad turvatasemed ning neile vastavad kohustuslikud etalonturvameetmed • ISKE on välja töötatud avaliku sektori (riik ja omavalitsused) vajadusi ja eripärasid silmas pidades • ISKE esimene versioon (visand) valmis 1999, lõpliku vormi ja kuju sai ta 2003 sügisel • Käidaldavus on ISKEs jaotatud kaheks autonoomseks osaks: aegkriitilise teabe käideldavus ning teabe hilinemise tagajärgede lubatav kaalukus

ISKE õigusaktina 12. augustil 2004 võeti andmekogude seaduse põhjal vastu vabariigi Valitsuse määrus nr 273 ”Infosüsteemi turvameetmete süsteemi kehtestamine” (RTI 2004, 63, 443) Määrus rakendab ISKE metoodika riigi ja kohalike omavalitsuste andmekogude pidamisel kasutatavatele infosüsteemidele Koheselt rakendub ISKE uutele ja modifitseeritavatele andmekogudele; olemasolevad tuleb ISKE metoodikaga kooskõlla viia 1. jaanuariks 2008.

Lõike ISKEt kehtestavast õigusaktist § 4 lg 2. Andmekogu vastutav töötleja on kohustatud üks kuu enne andmekogu pidamiseks kasutatava infosüsteemi kasutusele võtmist või olemasoleva infosüsteemi vastavate arendustööde käivitamist edastama ”Andmekogude riikliku registri” volitatud töötlejale andmete turvaanalüüsi tulemusena kindlaksmääratud turvaklassid. § 11 lg 3. ISKE rakendamisjuhendi töötab välja Riigi Infosüsteemide Arenduskeskus ja see avaldatakse Riigi Infosüsteemide Arenduskeskuse veebilehel. § 13. Etalonmeetmete ajakohasuse tagamiseks viib Riigi Infosüsteemide Arenduskeskus iga aasta 1. jaanuariks läbi ISKE ajakohasuse kontrolli ning teeb selles vajadusel muudatusi.

ISKE neli turvaeesmärki ISKE metoodika võtab aluseks neli turvaeesmärki: • teabe hilinemise tagajärgede lubatav kaalukus (R) • aegkriitilise teabe käideldavus (K) • teabe terviklus (T) • teabe konfidentsiaalsus (S) Need neli eesmärki loetakse suures osas olevat üksteisest sõltumatud Kõikidel nendel eesmärkidest defineeritakse neljapalliline skaala, mille rakendamine igal eesmärgil neljast määrab ära turvaosaklassid

ISKE neljapalline hindamisskaala ISKEs jagatakse kõik neli turvaeesmärki järgmise neljapallise hindamisskaala kohaselt: 0 – eesmärgi saavutamata jäämine ei too kaasa mingeid kahjusid 1 – eesmärgi saavutamata jäämisel tekkida võivad kahjud ei ole olulised 2 – eesmärgi saavutamata jäämisel võivad tekkida olulised kahjud 3 – eesmärgi saavutamata jäämisel võib olla võimatu täita andmekogu funktsiooni

Teabe hilinemise tagajärgede lubatava kaalukuse (R) skaala R 0 – teabe saamatajäämisega ei kaasne tagajärgi R 1 – teabe saamatajäämisega võib tuua kaasa takistusi funktsiooni täitmisele R 2 – teabe saamatajäämisega toob kaasa olulise takistuse funktsiooni täitmisele R 3 – teabe saamatajäämisega toob kaasa funktsiooni täitmatajäämise

Aegkriitilise teabe käideldavuse (K) skaala K 0 – teabe saamisele ei ole seatud tähtaegu K 1 – teabe saamisele on seatud tähtaeg päevades K 2 – oluline on teabe saamine tundide jooksul K 3 – oluline on teabe saamine sekundite jooksul

Teabe tervikluse (T) skaala T 0 – teabe allikas ega muutmise tuvastavatus ei ole olulised T 1 – teabe muutmise fakt peab olema tuvastatav T 2 – teabe allikas peab olema tuvastatav T 3 – teabel on tõestusväärtus

Teabe konfidentsiaalsuse (S) skaala S 0 – juurdepääsu teabele ei piirata S 1 – teabele juurdepääsu tingimuseks on juurdepääsu taotle va isiku identifitseerimine S 2 – juurdepääs teabele on lubatav juurdepääsu taotleva isiku õigustatud huvi korral S 3 – teave on seaduse alusel tunnistatud juurdepääsupiiranguga teabeks

Andmete turvaklass, I Andmete turvaklass on nelja turvaosaklassi konkreetne kombinatsioon. Selliste kõikvõimalike kombinatsioonide arv on 4 4, seega on erinevaid turvaklasse 256 Andmete turvaklassi tähis moodustatakse osaklasside tähistest nende järjestuses R-K-T-S. Üks konkreetne andmete turvaklass on näiteks R 1 K 2 T 3 S 1. Selline tähis on aluseks andmetele ja muudele infovaradele kohustuslike etalonturvameetmete määramisel

Andmete turvaklass, II Andmeturbe eesmärkide tagamiseks peavad olema rakendatud turvameetmed, mis vastavad infovara turvaklassile. Turvameetmed valitakse turvaklassile vastavast etalonmeetmete kataloogist konkreetse infovara etalonturbe spetsifikatsioonide alusel Andmete turvaklassi määrab andmete omanik (vastutav töötleja) turvaanalüüsi tulemusena Turvaanalüüsi viib läbi asutuse juhtkond või selle poolt määratud esindaja. Turvaklassi määrab reeglina IT spetsialist koos infoturbespetsialistiga

Turbeaste ja selle seos turvaklassiga ISKEs on sätestatud kolm turbeastet: • madal turbeaste (L), • keskmine turbeaste (M) • kõrge turbeaste (H) 256 erinevat turvaklassi on eelnimetatud kolme turbeastmega spetsiaalse tabeli abil seotud

Turbeaste ja selle seos turvaklassiga

Turvameetmed (etalonmeetmed) Jagunevad: • madala turbeastme (L) meetmed • keskmise turbeastme (M) meetmed • kõrge turbeastme (H) meetmed Kõrge turbeastme meetmed jagunevad omakorda sõltuvalt sellest, milline neljast turvaeesmärgist on kõrgtasemel • L ja M meetmeid on kokku 685 • H meetmeid on lisaks 65

Kõrgastme turvameetmed HR meetmed – rakendatakse siis, kui hilinemise tagajärgede kaalukuse eesmärk on kõrgtasemel HK meetmed – rakendatakse siis, kui aegkriitilise teabe käideldavuse eesmärk on kõrgtasemel HT meetmed – rakendatakse siis, kui tervikluse eesmärk on kõrgtasemel HS meetmed – rakendatakse siis, kui konfidentsiaalsuse eesmärk on kõrgtasemel HG meetmed – rakendatakse siis, kui ükskõik milline neljast eesmärgist (R, K, T, S) on kõrgtasemel

ISKE turvameetmete algallikad • L ja M astmete meetmed on võetud valdavas enamikus üle Saksa Infoturbe Liiduameti BSI etalonturbemetoodikast, jagades need rakendamisprioriteetide järgi L ja M astmeteks • H astme meetmed on kohaliku väljatöötlusega, võttes aluseks hulk rahvusvahelisi juhendmaterjale ning kõrgtaseme turbe ”hea tava” oskusteavet AD 2003.

ISKE rakendamise faasid, I 1. Asutuse IT eest vastutav töötaja viib läbi infovarade inventuuri ja spetsifitseerimise 2. Asutuse juhtkonna esindaja vaatab läbi infosüsteemide spetsifikatsioonid ja määrab andmetele ja/või süsteemide rakendustele nõutavad turvatasemed turvaklasside kujul 3. Infoturbe spetsialist määrab infovarade vajaliku turbeastme ja märgib turbeastmed infovarade spetsifikatsioonidesse.

ISKE rakendamise faasid, II 4. Kui kõrgeimaks vajalikuks turbeastmeks osutus M või H, otsustab juhtkonna esindaja koos IT eest vastutava töötajaga ja infoturbespetsialistiga, kas rakendada kogu asutuses seda turbeastet või jaotada asutus eri turbeastmetega tsoonideks. Viimasel juhul kavandavad nad tsoonid ja selliste tsoonide loomiseks vajalikud muudatused. Kui turvaastmete määramisel ei ilmnenud vajadust turbeastet L ületavaks turbeks, rakendatakse aste L kogu asutuse ulatuses.

ISKE rakendamise faasid, III 5. Infoturbe spetsialist koostab kõrgeimast määratud turbeastmest lähtudes turbehalduse meetmete loetelu 6. Infoturbe spetsialist koos juhtkonna esindajaga ja asutuse IT eest vastutava töötajaga koostab plaani infoturbe halduse meetmete rakendamiseks, seejärel määrab muude infovarade turbe rakendamise prioriteedid ja turbe rakendamise plaani. Infoturbe halduse kavandamisel võib lisaks etalonmeetmete juhistele abivahendina kasutada ka standardites EVS-ISO/IEC TR 13335 ja ISO/IEC 17799 antud juhiseid.

ISKE rakendamise faasid, IV 7. Infoturbe spetsialist korraldab plaani täitmise, koostades turvameetmete loetelud tüüpmoodulite turvaspetsifikatsioonide ja turvameetmete kataloogide põhjal, juhindudes turbehalduse meetmetest ja kaasates töösse asjakohaseid töötajaid ja regulaarselt informeerides juhtkonda. 8. Pärast iga infovara turvameetmete evitamist kontrollib infoturbe spetsialist tegelikku turvaolukorda, arvestades tegelikke ohte konkreetses olukorras. Kui ilmneb mingeid ohte, mida tüüpmooduli spetsifikatsioon ei arvesta, kontrollib ta rakendatud turvameetmete piisavust tegelikes tingimustes ning rakendab vajaduse korral täiendavaid turvameetmeid

Näide: HR meetmed • HR. 1 Tulekustutite olemasolu igas serveri- ja arhiiviruumis • HR. 2 Veetorude keeld serveri- ja arhiiviruumis • HR. 3 Mobiiltelefoni akude perioodiline vahetus (enne töökõlbmatuks muutumist) • HR. 4 Edastatud andmete kahes eksemplaris varukoopiad (eri kohtades) • HR. 5 Kahes eksemplaris varukopeerimine kodutööl (üks kodus, teine tööl) • HR. 6 Kogu andmebaasi varundamise nõue • HR. 7 Kaks varu-sidekanalit • HR. 8 Kriitiliste valdkondade personali dubleerimine • HR. 9 Serveriruumi temperatuuri seire koos lubamatute hälvete automaatse teatamisega

Käesoleva ettekande materjalid (MS Power. Point 2000 vormingus) on saadaval veebis aadressil http: //www. itcollege. ee/~valdo/taiend/plokk 2 -3 a. ppt Edasised küsimused palun aadressil mois@mois. ee

Tänan tähelepanu eest!