W bezpieczeństwa komputerowego The bezpieczeństwo danych jest dziedziną, która koncentruje się przede wszystkim na danych , oprócz aspektów przetwarzania informacji .
Od początku historii (początek pisania ), mężczyzna manipuluje informacyjne , które wynikają z danych , mniej lub bardziej zorganizowany .
Wraz z pojawieniem się komputerów od końca lat czterdziestych XX wieku w Stanach Zjednoczonych wprowadzono cyfrową formę danych, zapisywanych na nośnikach elektronicznych . Rozwój ten jest porównywalny z pojawieniem się prasy drukarskiej do XV -go wieku w 1450s.
Zasadniczo, dane średniej jest pamięć z komputera , na którym podstawowe instrukcje programów komputerowych działać .
Nie można zająć się bezpieczeństwem danych bez przypomnienia tego podstawowego aspektu:
Dane są przetwarzane ze sprzętem komputerowym i działających systemów .
Na różnych typach sprzętu komputerowego (wraz z ich urządzeniami peryferyjnymi ), od superkomputerów po mikrokomputery , w tym komputery typu mainframe i systemy otwarte , zawsze znajdujemy następujące różne typy nośników fizycznych:
Dane mogą przepływać pomiędzy tymi systemami fizycznymi sieci komunikacyjnych, sieci telekomunikacyjnych , sieci lokalne , sieci telekomunikacyjne satelity ...
Na nośnikach fizycznych muszą być zainstalowane systemy, które zarządzają dostępem do danych i ich przetwarzaniem: logiczny dostęp do tych systemów może być sekwencyjny lub indeksowany, przy czym pliki są najczęściej zastępowane bazami danych umożliwiającymi dostęp i bardziej zaawansowane aktualizacje.
Te systemy zarządzania bazami danych (DBMS) są na poziomie oprogramowania bazy danych i umożliwiają komputerowy do zarządzania różnymi rodzajami przetwarzania na dane.
Rozróżniamy poziomy:
W ostatnich latach globalizacja , zwłaszcza w aspekcie ekonomicznym i finansowym , dała początek projektom informatycznym na skalę światową .
Na szczególną uwagę zasługuje przejście IT do roku 2000 ( rok 2000 ), które wymagało weryfikacji i konwersji od 300 do 600 miliardów linii programów, na które potencjalnie może mieć wpływ na całym świecie (szacunki grupy Gartner ).
W Europie koszt przejścia na euro był w przybliżeniu równy kosztowi przejścia na rok 2000 dla zakresu europejskiego . Projekt był realizowany w dwóch fazach: pierwsza faza na początku 1999 r. Wraz z przejściem na euro dla rynków finansowych i korporacyjnych aplikacji finansowych , druga faza, zdecydowanie najważniejsza, konwersja większości pozostałych aplikacji informatycznych , nie można było przeprowadzić generalnie do 2000 i 2001 r. ze względu na ograniczenia związane z przejściem informatycznym na rok 2000 (Y2K) oraz w odniesieniu do lat obrachunkowych .
W obu projektach wymagania dotyczące interoperacyjności i danych komputerowych odgrywały kluczową rolę, ponieważ był to rozmiar pól Data ( metadane ) oraz aktualność w systemach i zapisach komputerowych .
Z punktu widzenia sprzętu , w Europie , przejście do roku 2000 stanowiły większy niż wpływ przejścia na euro . Innymi słowy, można powiedzieć, że przejście na IT do 2000 r. Obejmowało bardziej techniczne aspekty, podczas gdy przejście na euro wiązało się raczej z kwestiami funkcjonalnymi.
W 1991 roku Departament Obrony Stanów Zjednoczonych opracował Wspólne Kryteria Bezpieczeństwa (patrz TCSEC ), a jednocześnie organizacje europejskie zdefiniowały Politykę Bezpieczeństwa Systemów Informacyjnych ( ITSEC ).
Dane osobowe mogą zostać skradzione. Zawodność systemów informatycznych umożliwia hakerom dostęp do dużej ilości danych. Istnieje wiele technik hakerskich, których celem jest zbieranie poufnych informacji. Możemy na przykład przytoczyć phishing (phishing w języku francuskim) . Technika ta polega na wysyłaniu e-maili, które mają pochodzić od zaufanej strony trzeciej (banki, operatorzy …) z odsyłaczem do fałszywej strony, tak aby wyglądała identycznie jak strona oryginalna. Ofiara wprowadzi w ten sposób swoje identyfikatory, aby wykonać operację wskazaną w e-mailu, co spowoduje kradzież tych identyfikatorów, a następnie zaszkodzi ofierze (na przykład wykonując przelew z konta bankowego ofiary).
Głównym celem kradzieży danych jest odsprzedaż skradzionych danych, biorąc pod uwagę ich wartość ekonomiczną, ponieważ dane są w centrum przyszłej gospodarki opartej na wiedzy i społeczeństwa opartego na wiedzy. [1]
Wcześniej wspominaliśmy o metodzie phishingu , ale nie jest to jedyna technika hakowania i na ogół jest uzupełniana innymi metodami, takimi jak oszustwa za pośrednictwem poczty elektronicznej, telefonów.
OszustwaOszustwa są generalnie konsekwencjami phishingu , oszustwa mogą być skierowane przeciwko pojedynczej osobie, ponieważ mogą atakować firmę, w przypadku firm haker może użyć tak zwanego ransomware. Ransom) , czyli oprogramowania należącego do rodziny złośliwego oprogramowania , haker może dokonać jego żądanie okupu z minimalnym ryzykiem śledzony. Oszustwa telefoniczne działają w taki sam sposób, jak phishing w Internecie, oszust podszywa się pod zaufaną osobę (bankier, operator, członek różnych stowarzyszeń ...) w celu odzyskania pożądanych danych.
Istnieją jednak dobre praktyki zmniejszania potencjalnego ryzyka kradzieży danych, takie jak używanie innego hasła do każdej usługi i nigdy nie ufanie żadnemu odsyłaczowi otrzymanemu w wiadomości e-mail.
Skradzione dane osobowe są następnie wykorzystywane na różne sposoby. Wyróżniały się trzy główne kategorie wykorzystania jego danych: otwieranie nowych rachunków, zwłaszcza rachunków bankowych, na których można znaleźć wnioski o karty kredytowe, kredyty bankowe itp. ; korzystanie z rachunków bankowych (bez kart kredytowych) i wreszcie nielegalne korzystanie z rachunków bankowych za pomocą karty kredytowej. Kradzież istniejących kont bankowych i kart zostanie następnie wykorzystana do otwarcia rachunków czekowych lub oszczędnościowych, internetowych rachunków płatniczych, a nawet kont ubezpieczenia medycznego itp.
Można również wskazać inne oszustwa, w rzeczywistości ofiary kradzieży tożsamości twierdzą, że złodziej wykorzystał ich informacje do otwarcia co najmniej jednego nowego konta. Najczęściej otwierane nowe rachunki z wykorzystaniem danych osobowych to: obsługa telefoniczna, rachunek karty kredytowej, pożyczki, rachunki czekowe / oszczędnościowe, konto do płatności internetowych, ubezpieczenie.
Do zabezpieczenia danych zagadnienia są następujące (lista ta nie jest wyczerpująca):
Bezpieczeństwo danych obejmuje określone sposoby ich strukturyzacji .
W inżynierii systemów , bezpieczeństwo danych kwestie są bardzo ważne dziś, ze względu na wiele połączeń między heterogenicznych i rozproszonych systemów, zarówno w przemyśle kontroli systemów , w systemach transportowych , w zarządzaniu aplikacjami. Korporacyjnych i zintegrowanego zarządzania , w inżynierii wiedzy zastosowań , w decyzji - systemy wytwarzania , w systemach rynków finansowych itp.
Systemy te znajdują się obecnie w bardzo różnych organizacjach: przedsiębiorstwach , usługach publicznych , instytucjach międzynarodowych , administracji centralnej i terytorialnej (regionach i miastach ), ośrodkach naukowo-badawczych , uniwersytetach , grandes écoles , izbach handlowych i przemysłowych . Czasami mówimy o interesariuszach (tłumaczenie z języka angielskiego interesariusz dosłownie ma udziały).
Ilustrację różnorodności danych systemów fizycznych można znaleźć w artykule o spójności danych w rozproszonym wszechświecie .
Aby wejść głębiej:
Wraz z pojawieniem się technologii kolektywnej inteligencji i wiedzy (TICC, wyrażone przez Bernarda Bessona), istnieje ryzyko utraty umiejętności w firmach, jeśli wykorzystanie informacji nie jest dobrze zdefiniowane w kontekście , a komunikacja jest słabo kontrolowana. .
Widzieć :
Najważniejsza stawka jest przede wszystkim ludzka: jest to kwestia zachowania kapitału intelektualnego .
Z technicznego punktu widzenia mówimy o klasyfikacji „ aktywów ”, niezbędnej przede wszystkim dla inżynierii wiedzy .
Te kwestie są takie, że podnoszą one kwestie suwerenności .
W bezpieczeństwie informacji można wyróżnić kilka aspektów, które są również powiązane z danymi:
Norma ISO 13335 (dostępna tylko w języku angielskim) wspomina również o niezaprzeczalności i uwierzytelnianiu :
Zgodnie z ogólnym rozporządzeniem o ochronie danych (rozporządzenie (UE) 2016/679, 27 kwietnia 2016 r) stanowi, że przekazanie takich danych do państwa trzeciego może nastąpić tylko wtedy, gdy dane państwo zapewni odpowiedni stopień ochrony tych danych.
The Common Criteria (angielski kryteria wspólne ), zdefiniowane w skali międzynarodowej, muszą być udokumentowane w formie profili ochronnych , te informacje istota niezbędna do zapewnienia bezpieczeństwa informacji na najwyższym poziomie.
W urbanizacji systemów informatycznych , przed utworzeniem jakiegokolwiek mapowania danych, konieczne jest przeprowadzenie „dostosowania strategicznego” , w którym zdefiniowanie profilu ochrony jest jednym z głównych warunków wstępnych.
Specjaliści ds. Bezpieczeństwa systemów informatycznych wyróżniają trzy typy podmiotów bezpieczeństwa:
W 1991 roku Europa zdefiniowała standard organizacji polityki bezpieczeństwa ITSEC , który nie uzyskał statusu normy międzynarodowej (ISO).
W każdej dużej firmie jest kierownik ds. Bezpieczeństwa systemów informatycznych ( CISO ), który podlega hierarchicznie dyrektorowi IT lub dyrektorowi ds. Bezpieczeństwa, w zależności od przypadku. Chociaż CISO podlega hierarchicznie dyrektorowi ds. Bezpieczeństwa , ma on relacje funkcjonalne z dyrektorem (-ami) IT (i odwrotnie).
Organizacja bezpieczeństwa danych jest istotną częścią bezpieczeństwa systemów informatycznych. Musi być zdefiniowany w polityce bezpieczeństwa systemów informatycznych .
Polityka ta musi wskazywać role interesariuszy firmy i zaufanych stron trzecich w procesie certyfikacji .
Globalna analiza danych pozwoli podzielić PSSI na wyspecjalizowane polityki (system komputerowy, sieci itp.).
Aby zabezpieczyć wrażliwe dane , musi najpierw zdawać sobie sprawę z aktywów firmy, które należy chronić i cenić.
Istnieją różne klasyfikacje aktywów, bez jakiejkolwiek standaryzacji wszystkich rodzajów aktywów.
Podajemy tutaj krótką listę proponowaną przez normę ISO 13335-1 (koncepcje i modele bezpieczeństwa komputerowego), o której przypominamy, że nie została przetłumaczona na język francuski:
Jeśli chodzi o ludzi, należy zauważyć, że poza stanem zdrowia, największe zainteresowanie firmy ma know-how . Jego ocena jest niezbędna w inżynierii wiedzy .
Tradycyjne metody rachunkowości nie uwzględniają tego rodzaju kapitału (patrz kapitał ).
Model wywiadu gospodarczego zakłada, że wzbogacenie i ochrona zasobów informacyjnych obejmuje następujące kluczowe punkty:
Metody badania z inteligencji biznesowej i inżynierii wiedzy oferują standardowe kwestionariusze zidentyfikować elementy pamięci gospodarczej, oceny i uporządkowania procesów biznesowych, równolegle z procesem administracyjnym.
To wszystkie te aktywa, które musimy zabezpieczyć. Najnowsze badania dotyczące kapitału niematerialnego , w szczególności badanie CIGREF przeprowadzone w 2006 r. , Wskazują, że wiarygodność i audytowalność danych są niezbędnym warunkiem wyceny kapitału niematerialnego przedsiębiorstw, a tym samym oceny zwrotu z inwestycji. projektów inżynierii wiedzy i tworzenia wartości .
W ramach strategii organizacji i jej polityki bezpieczeństwa systemów informatycznych , menedżerowie IS muszą bardzo ostrożnie wybierać zaufaną stronę trzecią na podstawie proponowanego profilu ochrony .
W opinii ekspertów istnieje związek między bezpieczeństwem a architekturą systemów informatycznych.
Ocena i wdrożenie profilu ochrony wymaga zbadania wspólnych kryteriów , pozycjonowania ich na odpowiednim poziomie systemu informatycznego. Korzystanie z metamodelu planowania urbanistycznego może pomóc w znalezieniu wspólnych punktów odniesienia do oceny i wdrożenia profilu ochrony, ponieważ skutki zabezpieczenia można znaleźć na wszystkich poziomach, od sprzętu po wszystkie poziomy, warstwy oprogramowania i sieci.
Projekty systemów informacyjnych , ewentualnie urbanizacja systemu informacyjnego, jeśli taki istnieje, będą musiały uwzględniać dane odpowiadające bezpieczeństwu informacji .
Aby sprostać wyzwaniom na poziomie mikroekonomicznym , konieczne jest wdrożenie standardów zarządzania dokumentacją (zarządzanie rekordami, patrz lista norm ISO według obszarów ). Konieczne jest ustrukturyzowanie danych, które indeksują dokumenty , głównie klientów , produkty i usługi ( metadane ) oraz zapewnienie, że dane te mają porównywalne struktury w celu umożliwienia dialogu między aplikacjami do zarządzania administracyjnego a aplikacjami inżynierskimi . Wiedza. ( dokumentacja , witryny, strony internetowe , fora , zwane nieustrukturyzowanymi informacjami).
Przykład: proces zakupu musi być w stanie bardzo precyzyjnie zidentyfikować, na poziomie zapotrzebowania na zakup, dokumenty określające komponenty silnika lotniczego, które chce się kupić od dostawcy. Są to identyfikowalność, analiza cyklu życia, ceny ( TCO ), odpowiedzialność za wadliwe produkty, a także wizerunek.
Wykorzystanie infrastruktury klucza publicznego (PKI) zapewni rzeczywiste bezpieczeństwo w złożonych aplikacjach sieciowych tylko wtedy, gdy będzie połączone z wykorzystaniem rejestru metadanych . Identyfikacji elementu może być związany z elektronicznego certyfikatu .
Dobre bezpieczeństwo danych zapewni ustalenie polityki bezpieczeństwa systemów informatycznych (zobacz szczegółowy artykuł).
ISO 13335 standardowy , opracowany w 1996 roku , już nakreślił bezpieczeństwo zarządzania programem , co wydarzyło się być istotnym problemem w tym czasie.
Taki program znajduje się na kilku poziomach organizacji:
Ogólnie rzecz biorąc, na niższych poziomach hierarchii osoba odpowiedzialna za bezpieczeństwo nie ma tego jedynego zadania. Najczęściej jest to korespondent, który ma równolegle inne obowiązki .
Program może być tylko skuteczne , jeśli komitet sterujący jest skonfigurowany . Współczesnymi metodami dyskusji są fora . Bezpieczeństwo IT powinno zatem być przedmiotem specjalnego forum, którego rolami są:
Takie forum mogłoby obejmować przedstawicieli lub korespondentów ds. Bezpieczeństwa, których rolą jest badanie powiązań z innymi programami. Możemy przytoczyć:
Ogólnie rzecz biorąc, wymagania bezpieczeństwa systemów informatycznych są analizowane przy użyciu skali Evaluation Assurance Level .
W przypadku zastosowań cywilnych wymagania bezpieczeństwa generalnie nie przekraczają poziomu EAL 4+.
W przypadku zastosowań wojskowych wymagania bezpieczeństwa wahają się od EAL 5 do 7.
Ogólne bezpieczeństwo systemu informatycznego, który będzie w najsłabsze ogniwo, a będzie dobrze reprezentowana przez zabezpieczenia baz danych lub że interfejsów pomiędzy aplikacjami. Dlatego ważne jest, aby zainteresować się EAL systemów DBMS i systemów interfejsów ( magistrale komputerowe , EAI ).
W przypadku wolnego oprogramowania , poziomy bezpieczeństwa używanych baz danych ( MySQL …) są generalnie dość niskie w skali EAL ze względu na mniejsze możliwości finansowe społeczności wolnego oprogramowania.
Skuteczna ochrona zasobów informacyjnych wymaga przede wszystkim dogłębnej analizy ram prawnych . Bardzo ważne jest, aby zdać sobie sprawę, że istnieje hierarchia w przepisach. Na przykład, w Unii Europejskiej , że dyrektywy europejskie mają pierwszeństwo nad prawem państw członkowskich ( hierarchia norm ).
Musimy skrzyżować to studium prawne z:
Konieczne jest odpowiednie ustrukturyzowanie zarówno danych, jak i środowisk praktyków , które mają wspólny obszar działalności i poziom bezpieczeństwa. To ważny aspekt zarządzania treścią .
Metadane należy używać w ustandaryzowany sposób w rejestrze metadanych . Musimy zbadać, w jaki sposób każdy element wpływa na bezpieczeństwo, a także związane z tym udoskonalenia, takie jak: identyfikator i powiązany certyfikat elektroniczny , charakter dokumentu, zakres dokumentu, prawa, odbiorcy itp.
W praktyce bezpieczeństwo danych musi być realizowane poprzez działania dotyczące rejestracji danych elektronicznych.
Rekordowe bezpieczeństwo
Te dane , które umożliwiają zarządzanie bezpieczeństwa , związane z profilem ochrony należy wybrać (lub wybrane), muszą być umieszczone w systemie informacji w taki sposób, że nagranie wykonane mogą dostarczyć dowód działań danej osoby lub osoby. „ firma i firma pokrewna.
Dowody zarządzanie jest przedmiotem normy , ISO 15489 (w języku angielskim i francuskim ).
Rejestracja danych i zarządzanie dowodami
Bezpieczeństwo i rejestracja danych oraz zarządzanie dowodami są zatem bardzo ściśle powiązane.
Dobre zarządzanie dowodami nie jest możliwe bez właściwego rejestrowania danych w całym cyklu życia i związanych z nimi procesach (kanałach). W związku z tym należy bardzo dokładnie opisać wpływ na następujące operacje:
Procesy te mają ogromne znaczenie w informatyce , ponieważ zawierają w sobie kapitał tzw. Wiedzy jawnej w języku inżynierii wiedzy .
Ostatecznie nie możemy oczywiście całkowicie oddzielić aspektów przetwarzania danych i informacji , tak więc wybór architektury danych silnie wpływa na fizyczną architekturę komputera , aw szczególności na jego zdolność do wykonywania procesów wielozadaniowych (patrz także wieloprocesorowe ). To jest powód, dla którego lepiej jest badać bezpieczeństwo danych w ramach podejścia do urbanizacji systemów informatycznych . Praktykowane przez 35% francuskich organizacji przebadanych w 2010 roku archiwizacja treści o wartości dowodowej powinna dotyczyć 71% z nich do 2012 roku.
W Unii Europejskiej istnieją regulacje dotyczące ochrony prywatności, w szczególności Dyrektywa 95/46 z24 października 1995o ochronie danych. G29 to europejska grupa odpowiedzialna za koordynację organów ochrony danych w Unii Europejskiej .
W prawie francuskim ustawa o przetwarzaniu danych, plikach i wolności z dnia 6 stycznia 1978 r. Wskazuje w artykule 34 , że „administrator jest zobowiązany do podjęcia wszelkich niezbędnych środków ostrożności w odniesieniu do charakteru danych i przedstawionego ryzyka przez przetwarzanie, w celu zachowania bezpieczeństwa danych, aw szczególności w celu zapobieżenia ich zniekształceniu, uszkodzeniu lub dostępowi do nich nieuprawnionym osobom trzecim ”.
To zobowiązanie środków, a nie wyników.
Plik 14 kwietnia 2016 rParlament Europejski przyjął ustawę , która polega na ochronie i zabezpieczaniu danych osobowych na terenie Unii Europejskiej .
Ustawa ta nosi nazwę RGPD ( Ogólne rozporządzenie o ochronie danych ), ma na celu lepsze zagwarantowanie prawa do prywatności w erze cyfrowej, wprowadziłaby na administratora danych obowiązek powiadamiania CNIL o „naruszeniach przetwarzania danych osobowych”: „ W przypadku naruszenia zasad przetwarzania danych osobowych, administrator danych niezwłocznie informuje o tym inspektora ochrony danych lub w przypadku jego nieobecności Krajową Komisję ds. Informatyki i Wolności . Administrator danych, korzystając z komputerowego kojarzenia i wolności , podejmuje niezwłocznie niezbędne środki umożliwiające przywrócenie ochrony integralności i poufności danych. Inspektor ochrony danych informuje Krajowa Komisja ds przetwarzania danych i wolności . Jeżeli naruszenie miało wpływ na dane osobowe jednej lub więcej osób fizycznych, administrator informuje również te osoby ”.
Tego rodzaju zobowiązanie istnieje już za granicą, w szczególności w USA pod nazwą przepisów dotyczących powiadamiania o naruszeniach bezpieczeństwa , ale także w Niemczech od1 st wrzesień 2009.
Gdyby to prawo zostało uchwalone, byłoby to zobowiązaniem do rezultatu.
AFCDP ( francuskie stowarzyszenie korespondentów ds. Ochrony danych osobowych ) prowadzi prace w ramach swojego think tanku „ Zgłaszanie naruszeń przetwarzania danych osobowych ” w ramach ewentualnego dekretu wykonawczego.
Te obowiązujące normy są:
Na metadanych w szczególności zobaczyć standaryzacji metadanych .
Na temat zarządzania dowodami lub odpowiedzialnością ( zarządzanie dokumentacją ), patrz ISO 15489 oraz Metadane i identyfikowalność .
ISO 27000 norma jest ogólnym standardem w zakresie bezpieczeństwa systemów informatycznych.
W przypadku stosowania normy ISO 15408 we Francji za ocenę odpowiada pięć CESTI ( centra oceny bezpieczeństwa technologii informatycznych ):
Ostatecznie to ANSSI potwierdza zatwierdzenie i wydaje certyfikat .
W kwestiach związanych z kontekstem komunikacyjnym
O bezpieczeństwie systemów informatycznych
Przypadki kradzieży danych
W anglojęzycznej Wikipedii: