Informacíjska várnost pomeni varstvo podatkov in informacijskih sistemov pred nepooblaščenim dostopom, uporabo, razkritjem, ločitvijo, spremembo ali uničenjem. Izrazi informacijska varnost, varovanje računalniških sistemov, varstvo informacij se pogosto uporabljajo kot sopomenke. Kljub temu, da so ta področja v medsebojnem odnosu in si delijo skupne cilje varstva zaupnosti, neokrnjenosti in razpoložljivosti informacij, obstajajo med njimi komaj opazne razlike. Informacijska varnost je opredeljena kot zaupnost, neokrnjenost in razpoložljivost podatkov ne glede na njihovo obliko: elektronsko, tiskano ali katero drugo.
Vrednost informacije izvira iz treh glavnih lastnosti ali kvalitet: zaupnost, neokrnjenost in razpoložljivost (ang. confidentiality, integrity and availability). Informacijski sistem je sestavljen iz treh glavnih delov: strojne opreme, programske opreme in standardov informacijsko-varnostne industrije, ki se uporabljajo kot mehanizem zaščite in preprečitve na treh ravneh: fizičnem, osebnostnem in organizacijskem. Bistveno je, da se pove ljudem (administratorji, uporabniki, operater), kako uporabljati produkte, da se zagotovi informacijska varnost znotraj organizacije.
Vlada, vojska, finančne institucije, bolnišnice in privatna podjetja kopičijo velike količine zaupnih informacij o svojih zaposlenih, strankah, proizvodih, raziskavah in finančnem položaju. Večina teh informacij je zbrana, obdelana in shranjena na računalnikih in prenesena skozi mreže na druge računalnike. Zaupni podatki o poslovnih strankah ali financah nove proizvodne linije bi lahko padli v roke konkurenta, posledično pa v izgubo posla. Varovanje zaupnih podatkov je tako poslovna, kot v mnogih primerih tudi etična in pravna zahteva. Informacijska varnost ima za posameznika pomemben vpliv na zasebnost, ki je v različnih kulturah videna različno.
Področje informacijske varnosti se je močno povečalo in se v zadnjih letih močno razvija. V smislu poklicne kariere obstajajo številne poti, kako se vključiti v to področje, ki ponuja mnogo področij specializacije, vključno z revizijo informacijskih sistemov, načrtovanje neprekinjenega poslovanja in digitalne sodne znanosti.
Zgodovina
Glavni državniki in poveljniki vojske so od prvega dne pisanja vedeli, da je treba nujno vzpostaviti mehanizme varstva zaupnosti dopisovanja. Zaradi želje po varnosti komuniciranja so uporabljali pečatni vosek in druge priprave iz voska, da bi zaznamovali verodostojnost dokumenta, preprečili vmešavanje in zagotovili zaupnost dopisovanja.
Julij Cesar je zaslovel z iznajdbo cesarske šifre leta 50 pred našim štetjem, da bi preprečil, da bi njegovo tajno sporočilo bilo prebrano, če bi padlo v napačne roke.
Druga svetovna vojna je prinesla mnogo prednosti na področju informacijske varnosti in je zaznamovala njen začetek strokovnega področja. Videla je napredek v fizičnem varovanju informacij z barikadami in oboroženimi stražami, ki so kontrolirali dostop do informacijskih centrov. Prav tako so prispevali k formalni klasifikaciji baze podatkov na osnovi občutljivosti informacij in kdo lahko dostopa do njih.
Konec 20. stoletja in v zgodnjih letih 21. stoletja je prišlo do hitrega napredka v telekomunikacijah, računalniški strojni in programski opremi in algoritmu za šifriranje podatkov. Obdelava elektronskih podatkov je postala dostopna majhnim podjetjem in domači uporabi zaradi majhne, bolj zmogljive in cenovno ugodnejše računalniške opreme. Računalniki so postali medsebojno povezani preko mreže, splošno imenovane internet ali splet. Hitro rast in široko uporabo obdelave elektronskih podatkov in elektronskih poslov, ki potekajo na internetu, spremlja tudi mednarodni terorizem, za kar so potrebne boljše metode varovanja računalnikov in informacij.
Osnovni principi Osnovni principi informacijske varnosti so zaupnost, neokrnjenost in razpoložljivost - poznano kot CIA triada (ang. confidentiality, integrity and availability).
Zaupnost Dejansko ni mogoče dobiti vozniškega dovoljenja, najeti apartma, prejeti zdravstveno oskrbo, ali vzeti posojilo brez tega, da bi povedali zelo zaupne informacije o sebi, kot so ime, naslov, telefonska številka, datum rojstva, št. socialne varnosti, materialni status, število otrok, materin dekliški priimek, dohodek, delovno mesto, zgodovina zdravja, itn. To so vse zelo zasebne informacije, ki so od nas zahtevane za izvršitev določenega posla. Običajno jih povemo z upanjem, da bo oseba ali institucija, ki ji zaupamo tako zasebne informacije, zagotovila zaščito le-teh pred nepooblaščenim odkritjem, slučajnim ali namernim, in da bodo naše informacije posredovane ljudem, institucijam, ki so pooblaščene za dostop in, ki jih resnično potrebujejo.
Informacije, ki so smatrane kot zaupne že po naravi, morajo biti dostopne, uporabljene ali razkrite osebam, ki imajo pooblastilo za njih in takrat ko je to resnično potrebno. Do kršitve zaupnosti pride, ko je informacija, ki je že po naravi smatrana kot zaupna ali bi to morala biti, uporabljena, kopirana ali razkrita od nekoga, ki ni pooblaščen za dostop do nje.
Primer: dovoliti nekomu, da gleda čez tvojo ramo na ekran računalnika, ko imaš na njem zaupne podatke, je kršitev zaupnosti, če oseba ni pooblaščena za dostop do teh informacij. Ukradeni prenosni računalnik iz avtomobila, ki vsebuje informacije o zaposlitvi in zaslužkih okrog 100,000 zaposlenih, pomeni kršitev zaupnosti, ker so informacije sedaj v rokah nekoga, ki ni pooblaščen, da bi jih imel.
Neokrnjenost Neokrnjenost, v sklopu pojma informacijske varnosti pomeni, da podatki ne smejo biti ustvarjeni, spremenjeni ali uničeni brez pooblastila. Prav tako pomeni, da so podatki shranjeni v enem delu informacijskega sistema, v skladu z drugimi sorodnimi podatki, shranjenimi v drugem delu informacijskega sistema (ali v drugem sistemu). Primer: do izgube neokrnjenosti lahko pride, ko informacijski sistem ni primerno ugasnjen, ali ko informacijski strežnik nenadoma izgubi električno energijo. Izguba neokrnjenosti pomeni tudi nenameren ali zlonameren izbris pomembne informacijske datoteke.
Razpoložljivost Koncept razpoložljivosti pomeni, da informacijsko-računalniški sistem obdela informacije, pri čemer varnostna kontrola varuje, da so informacije razpoložljive in pravilno delujejo, ko je informacija potrebna. Nasprotje razpoložljivosti je zavrnitev storitve.
Leta 2002 je gospod Donn Parker predlagal alternativni model za klasično CIA triado (ang. confidentiality, integrity and availability), ki jo je poimenoval šest pomembnih elementov informacije. Njegov alternativni model vsebuje zaupnost, neokrnjenost, verodostojnost, razpoložljivost in uporabnost, ki so predmet debate med strokovnjaki za varnost.
Verodostojnost V računalništvu, e-poslovanju in informacijski varnosti je pomembno zagotoviti, da so podatki, izvrševanje, zveza in dokumenti (elektronski ali fizični) resnični (ne smejo biti ponarejeni).
Nezataljivost Obsega namen nekoga, da izpolni obveznosti do pogodbe. Prejete izvršitve ne morejo biti zanikane in tudi poslane izvršitve ne morejo zanikati. Elektronsko poslovanje uporablja tehnologije, kot so digitalni podpis in šifriranje za osnovanje verodostojnosti in neponarejanja (nezatajljivosti).
Obvladovanje tveganj CISA Review Manual 2006 priskrbi sledeče definicije obvladovanja tveganj: Obvladovanje tveganj je proces prepoznavanja ranljivosti in grožnje za informacijske vire, ki jih uporabljajo organizacije za doseganje poslovnih ciljev, in odločanje o nasprotnih ukrepih, če so ti potrebni za zmanjševanje tveganj na sprejemljivo raven, osnovano na vrednotah informacijskih virov organizacije. V definiciji sta dva elementa, ki terjata nekaj pojasnil. Prvo, proces obvladovanja tveganj je ponavljajoč proces, ki je neomejen. Poslovno okolje se neprestano spreminja in nove grožnje ter ranljivost se pojavljajo vsakodnevno. Drugič, izbira nasprotnih ukrepov (kontrole) z obvladovanjem tveganj mora oblikovati ravnovesje med produktivnostjo, ceno, učinkovitostjo nasprotnih ukrepov, in varovanje vrednosti informacijske pridobitve.
Tveganje je verjetnost, da se zgodi nekaj slabega, kar povzroči škodo na informacijski pridobitvi (ali izgubo te pridobitve). Ranljivost je šibkost, ki lahko ogrozi ali povzroči škodo na informacijski prednosti. Grožnja je nekaj, kar ima potencial za povzročitev škode.
Tveganje ustvarja verjetnost, da bo grožnja izrabila ranljivost za povzročitev škode. Posledice nastopijo kadar grožnja izrabi ranljivost ter povzroči škodo. V kontekstu informacijske varnosti, je posledica izguba razpoložljivosti, neokrnjenosti ter zaupnosti in morda še drugih izgub (izguba dobička, izguba življenja, izguba lastninske pravice). Sklenemo lahko, da ni možno identificirati vsa tveganja, niti jih izločiti. Ostalo tveganje je imenovano preostalo tveganje.
Tveganje oceni skupina ljudi, ki ima specifično znanje določenega posla. Člani skupine lahko variirajo skozi čas kot so ocenjeni različni deli posla. Za ocenitev so lahko uporabljene subjektivne kvalitativne analize osnovane na utemeljenih možnostih ali kvantitativne analize, kjer na to kaže verodostojen dolar in dostopne zgodovinske informacije.
ISO/IEC 27002:2005 Običajen postopek za upravljanje informacijske varnosti zahteva ocenitev tveganja, ki zahteva sledeča preverjanja:
varnostna politika, organizacija informacijske varnosti, upravljanje dobička, varnost človeških virov, fizična in okoljska varnost, komunikacijsko in operacijsko upravljanje, kontrola dostopa, pridobitev informacijskega sistema, razvoj in vzdrževanje, informacijska varnost obvladovanja incidentov, upravljanje neprekinjenega poslovanja in normativna skladnost.
Širok proces upravljanja tveganj sestoji iz:
Identifikacije premoženjskega stanja in ocenitve njene vrednosti. Vsebuje: ljudi, stavbe, računalniško strojno opremo, programsko opremo, podatke (digitalne, tiskane, ostalo), sredstva za oskrbo. Ocenitev tveganja. Vsebuje: delo narave, posledice vojne, nesreče, zlonamerno delovanje, ki izvira iz notranje in zunanje organizacije. Ocenitve ranljivosti in verjetnost, da bo le-ta izkoriščena. Vrednotenje politike, postopkov, standardov, izobraževanja, fizične varnosti, kvalitete kontrole, tehnične varnosti. Izračuna vpliva, ki bi ga povzročena grožnja imela na dobiček. Uporaba kvalitativne ali kvantitativne analize. Identifikacije, izbire in izvršitve primerne kontrole. Priskrbeti sorazmerne odgovore. Upoštevanje produktivnosti, cene učinkovitosti in vrednost dobička. Ocenitve produktivnosti merjenja kontrole.
Vodstvo podjetja lahko sprejme tveganje, temelječe na relativno nizkih vrednotah dobička, relativno nizki frekvenci pojavitve, in relativno nizkemu vplivu na posel. Vodenje lahko ublaži, zmanjša tveganje z izbiranjem in izvrševanjem primerne kontrole merjenja. V nekaterih primerih je tveganje lahko preneseno na drug posel z zavarovanjem ali z zunanjim poslom. Realnost nekaterih tveganj je lahko sporna. V teh primerih lahko vodenje ne dopusti tveganja. To je samo po sebi potencialno tveganje.
Kontrole Ko upravljanje ublaži tveganje, bo to narejeno z izvršitvijo ene ali več od treh različnih tipov kontrole:
1. Upravne Upravne kontrole (imenovane tudi proceduralne kontrole) vsebujejo priznano napisano politiko, postopke, standarde in smernice. Oblikujejo ogrodje za vodenje posla in upravljanje z ljudmi. Obveščajo ljudi, kako poteka posel in kako se upravlja z dnevnimi dejavnostmi. Pravo in reguliranje, oblikovano s strani vlade, je prav tako vrsta administrativne kontrole. Nekateri industrijski sektorji imajo politiko, procese, standarde in smernice, ki bi jim morali slediti. Kot dober primer je Visa in Mater Card s podatkovno varnostnimi standardi. Drugi primer upravne kontrole vsebuje skupno varnostno politiko, politiko gesel, najemniško politiko in disciplinsko politiko.