Datu informatikoen osotasuna eta isilpekotasuna bermatzeko hartzen diren neurrien multzoa; neurri fisikoak, logikoak eta administratiboak hartzen ditu barnean From Wikipedia, the free encyclopedia
Zibersegurtasuna deritzo konputagailu-sistemak babesteko edozein teknologiari eskatu behar zaion ezaugarriari; izan ere, zibersegurtasunak babesa eskaintzen du sistema horietan gerta daitezkeen informazio-lapurretaren aurka, baita hardware- edo software-suntsiketen aurrean ere.
Zibersegurtasunak ekipo fisikoetarako (hardware) sarbidea kontrolatzen du, baita sare bitarteko sarbidea ere, eta horretarako, datu eta kode-injekzioaren kontrako neurriak bermatzen ditu. Erabiltzaileen partetik sor daitekeen erabilera desegokia saihesten ere laguntzen du.
Zibersegurtasunaren eremua gero eta garrantzitsuagoa da, konputagailuen erabilera asko zabaldu baita eta Internetera konektatutako gailuak egunero ugarituz baitoaz, kanpo-eraso baten arriskua areagotuz.
Zibersegurtasunak gutxieneko arauak ezarri behar ditu, informazioa eta azpiegitura informatikoa babesteko. Besteak beste, arauen artean daude: lan-ordu zehatzak finkatzea, webgune jakin batzuetarako sarrera eragoztea, autorizazioa, autentikazioa, erabiltzaile-profilak, protokolo bereziak… jartzea. Laburbilduz, segurtasuna bermatzeko beharrezkoa den edozein neurri hartzea, betiere erabiltzaileei ahalik eta traba gutxien jarriz.
Zibersegurtasunak babestu beharrekoen artean honako elementu hauek daude:
Ahultasuna deritzo diseinuko, inplementazioko, operazioko edo sistemaren barneko edozein akatsi. Sistematik kanpoko erasotzaileek horrelako ahultasunak erabil ditzakete sistemaren kontrako ekintza maltzurrak burutzeko. Common Vulnerabilities and Exposures[1] (CVE) datu-basean, orain arte ezagunak diren ahultasun guztiak daude. Ahultasun baten kontra eraso eraginkorrik badago, ahultasun horrek "exploit" bat duela esaten da. Ahultasunen exploitak konpontzeko, automatizatutako erremintak erabiltzen dira.
Konputagailu-sistemak behar bezala babesteko, ezinbestekoa da horien kontrako erasoen ezagutza izatea. Eraso gehienak honelako iturrietatik etortzen dira:
Sistemaren kontrako eraso gehienak (malware bitartez gauzatzen direnak) erreminta informatiko zuzenak erabiliz ekidin daitezke. Erabiltzaileen kontrako erasoak, berriz, zailagoak izaten dira aurreikusi eta eragozteko.
Erabiltzaileen informazioa lortzeko erabilitako bitartekoei ingeniaritza soziala deritzo. Kasu gehienetan manipulazioa psikologikoa erabiliz lortzen da informazioa. Ingeniaritza soziala betidanik erabili izan da, iruzurraren bitartez lapurretak gauzatzeko. Aro informatikoan indar berria hartu du, eta iruzur mota berriak sortu dira, bereziki sistema informatikoen erabiltzaileak erasotzeko.
Eraso bat klasifikatzeko hainbat modu daude eta eraso bakoitzak, horretaz gain, sailkapen bat baino gehiago izan dezake. Adibidez, phishing eraso batean sare sozial batetako erabiltzaile baten pasahitza lapur daiteke. Pasahitz horrekin identitatea ordezkatzen dute geroago horrekin jazartzeko edo erabiltzaile horren profileko argazkia soilik aldatzeko. Guzti hori txantxa baten moduan laga daiteke; hala ere delitua da kasu bietan, behintzat horretarako legegintza duten herrialdeetan, Espainian adibidez).
Sare bat kanpoko ingurune batean konektatzean erasotzaile bati bertan sartzeko aukera ematen dio eta barnean dagoenean informazioa lapur edo sarearen funtzionamendua alda dezake. Hala ere, sarea kanpoko ingurune bati konektatua ez izateak ez du bermatzen sarea segurua denik. San Frantziskoko Computer Security Institute CSI institutuaren arabera, gutxi gorabehera sareko gertakarien ehuneko 60 eta 80 artean barne erasoak izan ohi dira. Jatorriaren araberako erasoak bi motatan bana ditzakegu:
Ondorioen araberako erasoak honela sailka daitezke:
Erasotzailearen modus operandiaren arabera sailka daitezke:
Valdiviaren arabera, 2014. urtean, gehien errepikatzen diren eraso informatikoak hurrengoak dira:
Hasiera batean erasoen helburua plataforma teknologikoak aldatzea zen eta gaur egun, joera ziber-kriminalek adierazten dute informazio digitala duten ziurtagiri digitalak manipulatzea dela modalitate berria. Web semantikoa, gizakientzat gorderik zegoena, Web 2.0 eta sare sozialen eboluzioagatik erasoen erdigune bihurtu da. Baieztatu daiteke "Web 3.0k edukia eta esanahia ematen dituela ordenagailuek ulertzeko moduan eta hauek -inteligentzia artifizialaz baliaturik- ezagutzaren lorpena hobetu eta emulatu dezakete, gaur egun arte gizakientzat soilik gordeta zegoena". Hau da, webguneei esanahia ematean datza eta hortik dator Web semantika edo Ezagutzaren Sozietatea, eboluzio moduan jada pasatutako Informazioaren Sozietatetik.
Era honetan, etorkizunean datozen eraso informatikoak ez dira troiar bat sisteman sartzeko edo software espioiak izango; baizik eta, eraso hauek profesionalizatu egin dira eta eduki birtualaren esanahia manipulatuko dute.
Eraso berri guzti hauen harrapakina ez izateko gomendatzen diren aholku batzuk:
Arrisku informatikoen analisia aktibo informatikoen, hauen ahultasunen eta erasoen gertatzeko probabilitate eta talkak identifikatzean diharduten du. Analisi hauek hartu beharreko kontrolak aproposak izatea egiaztatzen du, erasoren baten aurrean izatean arriskuak gutxitzeko, lekualdatzeko edo saihesteko arriskuaren gertaera.
Kontuan izanik arrisku baten ustiapenak kalteak edo galera ekonomikoak edo administratiboak eragingo zizkiokeela enpresa edo erakunde bati, kontrolen aplikazioaren bitartez beharrezkoa da balioztatzea arriskuaren tamaina. Kontrol hauek eraginkorrak izateko, talde batean izan behar dira inplementaturik segurtasun arkitektura bat sortzeko eta honek babesteko ezaugarri konfidentzialak, integritatea eta erabilgarritasuna arriskuan dauden baliabideetatik.
Arrisku analisien prozesuak normalean dokumentu bat sortzen du eta horri arrisku matrizea deritzo. Dokumentu honetan identifikatutako osagaiak nola erlazionatzen diren eta egindako kalkuluak agertzen dira. Arrisku analisi hau beharrezkoa da arrisku administrazio zuzen bat egiteko. Arriskuen administrazioak enpresaren baliabideen gestioari egiten dio erreferentzia. Arrisku mota ezberdinak existitzen dira: hondar-arrisku edo arrisku total direnak eta horiekin batera arriskuaren tratamendua, arriskuaren ebaluazioa eta arriskuaren gestioa besteak beste. Arrisku totala zehazteko formula:
Formula honen bitartez zehaztu dezakegu bere tratamendua eta kontrolak ezarri ostean lor dezakegu zein den hondar-arriskua.
Erronka izango da estrategikoki esku hatzen duten segurtasun eta ondasun talde bakoitzari baliabideak esleitzea, negozioari egingo dion eragin potentzialean oinarrituta.
Lehentasunak zehazteko, gertakari kudeatzaileen sistemak beharrezkoa du jakitea segurtasun arazoek eragina izango luketen informazio sistemen balioa. Honek erakunde barneko langile batek ekipo bakoitzari prezio bat esleitzea eragingo luke eta balio erlatibo bat sistema osoari eta bertako informazioari horrez gain. Sistemaren barneko balioak honela bereiz daitezke: informazioaren konfidentzialtasuna, osotasuna (aplikazioak eta informazioa) eta sistemaren erabilgarritasuna. Balio bakoitza negozioaren sistema independente bat da, adibidez web zerbitzari publiko batek konfidentzialtasun baxudun ezaugarriak izan ditzake (informazio guztia publiko dagoelako) baina erabilgarritasun altua eta osotasuna izan behar ditu fidagarria izateko. Aldiz, baliabide enpresarialak planifikatzen dituen sistema batek (ERP) gehienetan 3 aldagaietan puntuazio altua izaten duen sistema bat da.
Gaur egun estatuen legegintza nazionalak enpresa eta erakunde publikoei segurtasun politika bat ezartzera behartu die. Adibidez, Espainian Datuen Babeserako Lege Organikoak (gaztelaniaz Ley Orgánica de Protección de Datos) eta bere garapen araudiak, datu mota hauek babesten ditu oinarrizko neurriak eta informazioa ez lapurtzeko edo kalitatea ez galtzeko beharrak zehazten ditu. Espainian ere, Segurtasun Nazionaleko Eskemak neurri teknologikoak ezartzen ditu sistema informatikoei baimentzeko herritarrei ematen dieten zerbitzuak segurtasun errekerimenduak betetzen dituela.
Eskuarki Segurtasun Nazionaleko Eskemen lana datuetarako sarreraren eskubideak eta kontrolerako tresna eta mekanismoen identifikazioa ziurtatzean datza. Mekanismo hauek dira ahalbidetzen gaituztenak jakitera operadore batek bakarrik emandako baimenak dituela.
Segurtasun informatikoa aztertu behar da operadoreek beharrezkoa dutenean ez galarazteko eta sistema informatikoa erabili ahal izateko konfiantza osoz. Horregatik segurtasun politika bat sortzean komenigarria da: erakundeko zerbitzu bakoitzerako arauak eta prozedurak sortzea, egin beharreko ekintzak zehaztea eta norekin jarri kontaktuan intrusio bat antzematen bada eta sentsibilizatzea segurtasun informatikako segurtasunarekin arazoak dituzten operadoreak.
Operadoreen sarbide eskubideak hierarkia erantzule batek zehaztu behar ditu eta ez informatika administratzaileek; hauek, baliabide eta sarrera eskubideak definituriko segurtasun politikarekin koherenteak izatea lortu behar dute.
Informazioa da daukagun aktiborik garrantzitsuena, eta horregatik informazio hori ziurtatzeko teknikak existitu behar dira biltegiratu egiten diren ekipoetan jartzen den segurtasun fisikoaz aparte.
Eraso eta sistema bakoitzak, babes-baliabide bat edo gehiago behar dituzte eta kasu gehienetan haien arteko konbinazioak dira.
Jarraian, sistema estandarra bermatzeko funtsezkoak diren neurri batzuk zerrendatuko dira, neurri jakina eta sakonagoak behar dituzten premia zehatzetarako:
Informazioa enpresen aktibo garrantzitsuena da, faktore askoren eraginpean kaltetuta egon ahal izateko arriskua dago, suteak, diskoen hutsegiteak, birusak eta beste batzuk. Konpainiaren ikuspuntutik, bere informazio kritikorako babes iraunkorra dela eta konpondu behar dituen arazo garrantzitsuenetako bat da.
Datuak babesteko neurri eraginkorrena babeskopien edo segurtasun kopien politika ona zehaztea da. Horrek babeskopia osoa behar du (datu guztiak bere osotasunean gordetzen dira lehen aldian) eta babeskopia inkrementalak (azken babeskopia kopiatu edo sortutako fitxategi bakarra kopiatu). Ezinbestekoa da enpresek babes-plan bat prestatzea, sortutako informazioaren bolumenaren eta ekipamendu kritikoen kopuruen arabera.
Babes-sistema egokiak funtsezko zenbait ezaugarri izan behar du:
Datuen babeskopia guztiz automatikoa eta etengabea izan behar da. Modu garden batean funtzionatu behar du, erabiltzaileak egiten dituen zereginetan esku hartu gabe.
Segurtasunezko software askok datuen enkriptatzea daukate, ordenagailuan lokalki egin behar dena informazioa bidaltzeko aurretik.
Datuek enpresatik urrun dauden unitateetan egon behar dute.
Datuak egunero, astero eta hilero berreskuratzeko aukera ematen duen sistema izan behar du.
Gaur egun, online informazioaren babeskopien sistemak eta urruneko babeskopien zerbitzuak, enpresa eta gobernu agentzien eremuan irabazten ari dira.Sistema moderno gehienek, segurtasun neurri eta datuen erabilgarritasun handiena dute. Sistemek informazio bolumena hazten uzten diete enpresei, hazkundea beharrezkotzat hartuz zerbitzu hornitzaileari.
Birusak sistemaren eta informazioaren aurkako sistemaren ohiko bitarteko bat dira. Kutsadura ekiditeko, ekipamenduak eta sarbide-bideak kontrolatu behar dira, batez ere sarean.
Makinan beharrezko software bakarrik instalatuta izateak arriskuak murrizten ditu. Halaber, softwarea kontrolatua izateak iturriaren kalitatea bermatzen du (legez kanpoko edo bermerik gabeko softwareak arriskuak handitzen ditu). Edonola ere, softwarearen inbentarioan hondamendiren bat gertatzen bada, honek berrinstalatzeko metodo egokia eskaintzen du. Instalazio metodo bizkorreko softwarea ere berrezartzen da kontingentzia kasuan.
Sarbide-puntuak postak, web orrialdeak eta diskoetako fitxategien sarrerak edo kanpoko ordenagailuak, adibidez, ordenagailu eramangarriak, dira. Sareko baliabide gehienak modu irakurgarrian soilik mantentzeak, birusak zabaltzeko arriskua ekiditen dute . Zentzu berean, erabiltzaileen baimenak minimora gutxitu daitezke.
Datuak zentralizatu daitezke, beraz, bat-etortzetako birus-detektagailuak makinetan denbora inaktiboan zehar funtziona dezakete. Interneterako sarbidea kontrolatuz, berreskuratzeko faseetan detekta daiteke nola sartu diren birusak .
Tokiko sarearen ekipoak eta horien softwarea babesteko hartutako neurriak kontuan hartu gabe, neurriak hartu behar dira baimenik gabeko erabiltzaileak sar ez daitezen.
Jarraian, metodo batzuk zerrendatuko dira, atentatuen sarea babestearen edo kanpoko sareen intrusio saiakerak gaietan azaldugabe.
Eraikinen konektatze tapoiak babestuak eta gainbegiratuak egon behar dira. Sare puntuak Switchetara konektatua ez izatea oinarrizko neurri bat da. Hala eta guztiz ere, ordenagailu bat baimenik gabe beste batengatik ordezkatu daiteke, neurri gehigarriak behar baititu: 802.1x sarbide araua, sarbide kontrol zerrendak MAC helbideak, DHCP zerbitzariak etab.
Kasu honetan, kontrol fisikoa zailagoa bihurtzen da, nahiz eta emisio elektromagnetikoen edukiontzien neurriak egokiak eta seguruak izan daitezkeen lekuetara mugatu. Gainera, kalitate neurriak kontsideratzen da zifratzearen erabilera (WPA, WPA v.2, ziurtagiri digitalak erabiltzea, etab.). Pasahitz partekatuak eta, kasu honetan ere, MAC helbideen iragazkiak, ohiko neurriak dira.
Hardwarearen fidagarritasuna da informazio kritikoa modu seguruan kudeatzeko aukera ematen duten instalazio batzuk eskaintzeko diseinatutako gailuak. Segurtasuna hobetzen duten instalazio jakin batzuk ematen dituzte eta erasoak zailagoak izatea ahalbidetzen ditu. Trusted Computing Group hardware zehaztapenak definitzen dituzten enpresen multzo bat da, plataformak seguruagoak izateko.
Sistema seguru mantentzeko, beharrezkoa da sistemaren segurtasunarekin lotutako gertaeren eta informazio desberdinak kontrolatzea. Oso baliagarria da informazio mota honen ikuspegi zentralizatua izatea, kokapen bakarrean aztertzeko. Horretarako, segurtasun informazioaren kudeaketa sistemak garatu dira:
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.