ZAGOTAVLJANJE REZERVNEGA INFORMACIJSKEGA SISTEMA NA PODLAGI ZAHTEV BASEL II

Transcription

1 UNIVERZA V MARIBORU FAKULTETA ZA ORGANIZACIJSKE VEDE Smer: Informatika v organizaciji in managementu ZAGOTAVLJANJE REZERVNEGA INFORMACIJSKEGA SISTEMA NA PODLAGI ZAHTEV BASEL II Mentor: doc. dr. Igor Bernik Kandidat: Polonca Fister Kranj, junij 2008

2 ZAHVALA Zahvaljujem se mentorju doc. dr. Bernik Igorju za pomoč in svetovanje pri pisanju diplomskega dela. Posebno zahvalo sem dolžna izraziti svoji družini, predvsem mami, ki so mi v času študija stali ob strani, me spodbujali in podpirali. Zahvaljujem se tudi Petri Fister za prevod in lektoriranje diplomske naloge.

3 POVZETEK V diplomskem delu je predstavljena izgradnja rezervnega informacijskega sistema v Hranilnici LON d.d., Kranj na podlagi zahtev BASELL II. Projekt, opisan v diplomskem delu, je del obsežnega projekta zagotavljanja neprekinjenega poslovanja hranilnice. Predstavljena so nekatera dejstva, ki prikazujejo pomembnost izgradnje rezervnega informacijskega sistema. Opisano je obstoječe stanje primarnega informacijskega sistema, ki temelji na Oracle bazi. Rešitev našega problema je v podvajanju ključnih strežnikov, na katerih se podatki osvežujejo z uporabo sodobnih tehnologij in orodij. Le-te pa so podrobno predstavljene v diplomskem delu. KLJUČNE BESEDE rezervni informacijski sistem načrt neprekinjenega poslovanja rezervna lokacija VPN povezava xdsl tehnologija Oracle 10g baza ABSTRACT The thesis treats a project of disaster recovery system's building in Hranilnica Lon d.d., Kranj, which is based on BASEL II requests. The project presents a part of extensive project of assuring a business continuity of savings-bank. The thesis presents some facts which show the importance of disaster recovery system's building. Furthermore, a primary information system, founded on Oracle database, is described. The problem can be solved with duplicating of basic servers, on which data have been refreshing by using contemporary technology and tools, which are in detail presented in the thesis. KEYWORDS disaster recovery sistem disaster recovery plan recovery site VPN connection xdsl technology Oracle 10g database

4 KAZALO 1 UVOD PREDSTAVITEV PROBLEMA PREDSTAVITEV OKOLJA OPIS OBSTOJEČEGA STANJA TEORETIČNE OSNOVE ZAGOTAVLJANJE NEPREKINJENEGA POSLOVANJA FAZE VPELJAVE NEPREKINJENEGA POSLOVANJA ANALIZA VPLIVA NA POSLOVANJE ANALIZA TVEGANJ PRIPRAVA STRATEGIJE OBNOVE POSLOVANJA PRIPRAVA NAČRTA NEPREKINJENEGA POSLOVANJA TESTIRANJE NAČRTA NEPREKINJENEGA POSLOVANJA PRENOVA INFORMACIJSKEGA SISTEMA IN VZPOSTAVITEV REZERVNE LOKACIJE REZERVNA LOKACIJA POVEZAVA MED PRIMARNO IN REZERVNO LOKACIJO VARNOST VPN POVEZAVE VPN OMREŽJE IN UPORABA TEHNOLOGIJE IPsec LASTNOSTI IPsec VPN UPRAVLJANJE S KLJUČI LASTNOSTI IN DELOVANJE IKEY VZPOSTAVITEV SISTEMA KLJUČEV xdsl TEHNOLOGIJA OSVEŽEVANJE PODATKOV NA REZERVNI LOKACIJI OSVEŽEVANJE PODATKOV NA PRODUKCIJSKEM STREŽNIKU IN STREŽNIKU ZA EB ORACLE 10g ASM ORACLE 10g RMAN OSVEŽEVANJE PODATKOV NA REZERVNEM DOMENSKEM IN DATOTEČNEM STREŽNIKU OSVEŽEVANJE PODATKOV NA OSTALIH STREŽNIKIH KRITIČNA ANALIZA PREDLAGANIH REŠITEV ZAKLJUČEK VIRI DODATEK KRATICE IN AKRONIMI KAZALO SLIK... 42

5 1 UVOD 1.1 PREDSTAVITEV PROBLEMA V zadnjih letih nas na področju varovanja podatkov poleg poslovnih potreb vedno bolj pritiska tudi zakonodaja, ne samo domača, ampak tudi evropska. Zaradi poenotenja so že v preteklosti prišli do spoznanja, da je smiselno pripraviti tako imenovane standarde, ki veljajo za vse in se jih moramo vsi držati. Prvi tak standard so pripravili leta Poimenovali so ga BS7799, od nastanka se je že nekoliko spremenil in dopolnil. Danes so v veljavi standardi ISO 27000, od katerih najbolj izstopa ISO V poglavju priprave načrta neprekinjenega poslovanja (angl. Business Continuety Plan) je navedeno, da načrt neprekinjenega poslovanja vključuje ukrepe za zagotavljanje in zmanjševanje nevarnosti, zagotavljanje hitre vzpostavitve ključnih dejavnosti in naj omejuje posledice v primeru uresničitve varnostne grožnje. Leta 2004 je Baselski Komite za bančni nadzor pri banki za mednarodne poravnave (BIS - Bank for International Satlement) izdal končno verzijo kapitalskega sporazuma, imenovano baselski kapitalski sporazum BASEL II. Temu sporazumu smo poleg bank zavezane tudi hranilnice. V prihodnjih letih banke in hranilnice čaka veliko dela in sprememb. Dolgoročne uspehe, konkurenčno prednost na bančnem trgu in konec koncev tudi obstoj pa lahko pričakujejo samo tiste banke in hranilnice, ki se bodo dela lotile pravočasno in organizirano. Konkurenca na trgu se iz leta v leto povečuje, tudi zaradi prihoda novih bank s sedežem v tujini, ki imajo za ureditev teh razmer na voljo več resursov kot majhne banke in hranilnice v Sloveniji. Na kapitalsko ustreznost pa vpliva tudi zagotavljanje neprekinjenega poslovanja. Vsem tem zahtevam smo zavezani tudi v Hranilnici LON d.d., Kranj, saj so podatki pomemben del lastnine hranilnice. Zanje pa je odgovorno vodstvo, ki mora tudi v primeru nesreč oz. katastrof zagotoviti njihovo varnost. Da bi preprečili izgubo ključnih podatkov, od katerih je odvisno naše nadaljnje poslovanje, je potrebno zagotoviti nemoteno poslovanje v primeru katastrofe. S postavitvijo rezervnega informacijskega sistema na oddaljeni lokaciji bi poskrbeli za varovanje najpomembnejših podatkov. Namen diplomske naloge je pripraviti načrt in implementacijo rezervnega informacijskega sistema na oddaljeni lokaciji. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 5 od 42

6 2 PREDSTAVITEV OKOLJA Hranilnica LON d.d., Kranj je bila ustanovljena leta V začetku je s strani Banke Slovenije pridobila dovoljenja za poslovanje le v okviru svoje regije. Hranilnica je bila ustanovljena z željo po odličnem oplemenitenju prihrankov varčevalcev in namenom spodbujanja k dolgoročnejšemu varčevanju. S pripojitvijo Hranilnice Magro Grosuplje leta 1995 se je pričelo širjenje na celotno državo. Postopno smo odpirali nove poslovalnice in danes pokrivamo celotno področje Slovenije, saj imamo poslovne enote poleg Kranja in Grosuplja še v Ljubljani, Celju, Postojni, Novem mestu, Novi Gorici, Mariboru, Velenju in Brežicah (vir: Hranilnica LON d.d., Kranj, 2008). Prvotna funkcija zbiranja in oplemenitenja prihrankov varčevalcev je že pred leti prerasla, čeprav zbiranje in oplemenitenje prihrankov varčevalcev še danes predstavlja glavnino pasivne strani bilance stanja hranilnice. Leta 2002 smo najprej vpeljali elektronsko bančništvo za pravne osebe in samostojne podjetnike, štiri leta kasneje pa še za fizične osebe. V omrežje bančnih avtomatov imamo vključenih sedem bančnih avtomatov. S povečevanjem obsega poslovanja se je povečala tudi potreba po vse večjem številu računalniške opreme. Vsi pomembni strežniki so locirani na sedežu podjetja v Kranju. Informacijski sistem je zgrajen na najmodernejši informacijski tehnologiji. 2.1 OPIS OBSTOJEČEGA STANJA Interno računalniško omrežje temelji na osrednjem aplikacijskem strežniku, kjer je nameščen operacijski sistem Suse Linux Enterprise Server. Na strežniku je nameščena baza Oracle 10g in programska oprema, namenjena za podporo bančnemu poslovanju, potrebam računovodstva in vodstvu hranilnice. Skoraj vsi zaposleni pri svojem delu uporabljajo Oracle bazo, zato je ta strežnik bistvenega pomena za nemoteno poslovanje. Za potrebe elektronskega bančništva uporabljamo dva strežnika. Na obeh je nameščen operacijski sistem Suse Linux Enterprise Server. Strežnik, do katerega dostopajo uporabniki elektronskega bančništva, je nameščen v tako imenovanem demilitariziranem območju (DMZ angl. demilitarized zone). Na njem je nameščen Oracle Internet Access Server 10g (IAS angl. Internet Appliaction Server). Na strežniku, ki je lociran znotraj omrežja, pa je nameščena baza Oracle 10g. Za nemoteno izvajanje plačilnega prometa je ključnega pomena tudi strežnik, na katerem je nameščena programska oprema S.W.I.F.T. (Society for Worldwide Interbank Financial Telecommunication). Aplikacija teče na operacijskem sistemu Windows Server. Vsi uporabniki se prijavljajo v domeno. V ta namen imamo postavljen strežnik Windows Small Business Server, ki omogoča prijavo v domeno do 75 uporabnikom. Strežnik ima pomembno funkcijo pri nadzoru informacijskega sistema, saj nudi varno in zanesljivo infrastrukturo informacijske tehnologije. V osnovi vsebuje celotno poslovno strežniško rešitev, ki omogoča pošiljanje in prejemanje sporočil, Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 6 od 42

7 sodelovanja, dostopa do interneta z visoko mero varnosti, zaščiteno shrambo podatkov, tiskanje ter zmožnost uporabe poslovnih aplikacij, ki so nameščene na strežniku. Enostaven je za določanje pravic uporabnikom na datotečnem sistemu. V demilitarizirani coni se poleg strežnika za potrebe elektronskega bančništva nahaja tudi strežnik, na katerem je nameščena protivirusna pregrada. Le ta skrbi, da se večina virusov in sovražnih programov ustavi že pred vstopom v lokalno omrežje. Obenem preprečuje tudi dostavo tako imenovane spam pošte. Za povezavo med centralno enoto in poslovnimi enotami je v demilitarizirani coni nameščen strežnik z Linux operacijskim sistemom. Le-ta služi kot usmerjevalnik, program pa skrbi za vzpostavitev VPN tunelov med centralno enoto in poslovnimi enotami. Hranilnica ima trenutno v mrežo bančnih avtomatov vključenih sedem bančnih avtomatov, ki so locirani v različnih krajih po Sloveniji. Za upravljanje z bančnimi avtomati in knjiženje kartičnega prometa smo povezani neposredno s procesnim centrom. Za izmenjavo podatkov je na enem strežniku z Microsoftovim operacijskim sistemom nameščena programska oprema Connect:Direct (c:d). Ta predstavlja alternativo načinu prenosa po ftp protokolu. Je visoko zmogljiv sistem za prenos podatkov, ki omogoča varno avtomatizirano integracijo distribuiranih aplikacij. Vgrajeno ima checkpoint/restart funkcijo, ki omogoča nadaljevanje prenosa od točke prekinitve in ne od začetka datoteke, s čemer se varuje integriteta podatkov. Celotno omrežje pa pred nepooblaščenim dostopom ščiti požarni zid. Programska oprema predstavlja klasičen požarni zid, ki onemogoča vdore od zunaj in hkrati preprečuje nepooblaščene povezave v internet. Obenem je strežnik za VPN, ki omogoča uporabnikom z digitalnim potrdilom varen dostop do lokalnega omrežja hranilnice. Na ta način do našega omrežja dostopajo zunanji vzdrževalci. Vsi, ki želijo vstopiti v lokalno omrežje, se na požarni pregradi predstavijo z digitalnim potrdilom. Glede na to, iz katerega okolja prihajajo, jih požarni zid in pravila usmerijo po naprej definiranih protokolih na ciljne strežnike v lokalnem omrežju. Požarni zid deluje tako, da posreduje zahteve uporabnikov notranjega omrežja po dostopu do Internet storitev, jih obdela ter vrne rezultate nazaj uporabniku, pri čemer komunikacija poteka na dveh ločenih fizičnih segmentih. Od uporabnika v lokalnem omrežju do požarnega zidu ter od požarnega zidu do storitve na Internetu (strežnik, ki to storitev ponuja). Pomembno je, da požarni zid premostitev opravlja na varen način in tako preprečuje morebitne vdore iz Internet omrežja. Druga funkcija požarnega zidu je, da omogoča nadzor dostopa zunanjih uporabnikov do virov (storitev), ki jih podjetje ponuja svojim partnerjem. Viri, ki so dostopni zunanjim uporabnikom, so v klasični topologiji požarnega zidu postavljeni v demilitarizirano območje. Dostopnost vseh virov je možno odrejati z implementacijo varnostne politike. Požarni zid se uporablja tudi za omogočanje dostopa do internega informacijskega sistema zaposlenim in zunanjim vzdrževalcem iz oddaljenih lokacij. Taki storitvi pravimo varno navidezno omrežje VPN (angl. Virtual Private Networks). S tem na varen način podaljšamo lastno omrežje do posameznega uporabnika. Opisani so samo ključni strežniki, pa še to zaradi zaupnosti podatkov ne preveč podrobno. Poleg naštetih strežnikov je v hranilnici nameščenih še pet strežnikov, katerih nedelovanje pa v veliki meri ne vpliva na neprekinjeno poslovanje. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 7 od 42

8 Slika 1 prikazuje postavitev ključnih strežnikov. Internet SiOL Produkcijski strežnik EB baza Firewall Ethernet SBS SWIFT VPN EB IAS e-safe DMZ c:d Slika 1: Shema obstoječega informacijskega sistema (vir: Hranilnica LON, 2008) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 8 od 42

9 3 TEORETIČNE OSNOVE 3.1 ZAGOTAVLJANJE NEPREKINJENEGA POSLOVANJA Neprekinjeno poslovanje podjetja predstavljajo vse aktivnosti, ki omogočajo neprekinjeno poslovanje organizacije v primeru kriznih situacij. Obsega proaktivne in reaktivne načrte za izogibanje kriznim situacijam in katastrofam ter omogoča hitro obnovo poslovanja, v kolikor se uresničijo. Glavna naloga organizacije je preživetje in kot vodilni princip poslovne ekonomije izogibanje izgubi in ne povečevanje dobička (Drucker, P. F., 1999). Pri uresničevanju naloge preživetja vidimo izogibanje izgubi na dveh področjih: v okviru običajnega poslovanja kot management kontrole izgube in v primeru katastrofe kot krizni management. Upravljanje neprekinjenega poslovanja obravnavamo kot mehanizem poslovanja v primeru katastrofe, incidenta, izpada dela poslovanja. Razlogov za izpad poslovanja je mnogo in so lahko posledica naravnih sil, človeške napake, sabotaže ali tehnične napake. Marsikatera od njih lahko povzroči katastrofalne posledice za poslovanje organizacije. Rezultat so lahko poškodovano premoženje, prekinjen poslovni proces, izguba prihodka, ogrožen konkurenčni položaj. Vse te posledice neposredno ali posredno vplivajo na poslovanje organizacije. Slika 2: Pripravljenost na katastrofe (vir: Abakus Plus, 2006) Kot je razvidno iz slike 2, podjetja ne posvečajo posebne skrbi postavitvi in vzdrževanju rezervne lokacije in postopkov za obnavljanje podatkov. 27% anketiranih sploh nima rezervne lokacije, 23% postopkov za obnavljanje podatkov ne testira redno, v 40% anketiranih podjetjih pa postopke za obnavljanje podatkov testirajo enkrat letno. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 9 od 42

10 Katastrofo lahko pomeni vse od izpada ključnega strežnika do naravne nesreče, ki uniči celotno poslovno enoto. Vse, kar lahko povzroči prekinitev normalnega poslovanja, lahko posledično postane tudi katastrofa, zato večina organizacij brez skrbnega načrtovanja neprekinjenega poslovanja ne more preživeti večje prekinitve poslovanja. Zato je pomembno, da je organizacija sposobna tudi v primeru hudih prekinitev poslovanja čim prej vzpostaviti nadzor nad dogajanjem in pričeti z obnovo poslovanja ter vzpostavitvijo delovanja kritičnih funkcij v najkrajšem času. V času izpada je čas največji sovražnik, saj lahko izgubljen čas prevedemo v nezadovoljne stranke, izgubljen prihodek, kazni in sankcije, itd. V preteklosti so se organizacije pri pripravi obnove poslovanja v primeru katastrofe osredotočala na informacijsko infrastrukturo. Kritične funkcije organizacije so navadno zelo povezane z delovanjem informacijske tehnologije, zato je njeno hitro okrevanje zelo pomembno, vseeno pa imajo lahko malo vrednosti, če ne poskrbimo za širše okrevanje ključnih poslovnih procesov. Slika 3: Struktura načrta neprekinjenega poslovanja (vir: Avtenta.si, 2008) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 10 od 42

11 V zadnjih letih je prišlo tudi do širšega gledanja na zagotavljanje delovanja podjetij. Tako so se postopku obnove po katastrofi (angl. disaster recovery) pridružili še drugi elementi, ki jih lahko razdelimo v pet komponent: obnova po katastrofi obravnava dogodke, ki povzročijo izpad informacijskih komponent ali celotnega sistema, obnova poslovanja (angl. business recovery) obravnava možne zunanje dogodke, ki lahko povzročijo izpad poslovanja (npr. izpad električne energije), vzdrževanje poslovanja (angl. business resumption) obravnava situacije, ko se zaradi izpada aplikacije poskuša nadaljevati poslovanje na pomožen način (npr. z ročnimi postopki), načrtovanje odzivov in rezerve za nepredvidene dogodke (angl. contingency planning), krizni management predstavlja upravljanje dejavnosti v primeru kriznega dogodka in je podlaga za preostale štiri naštete elemente. Priporoča se, da priprava načrta neprekinjenega poslovanja vsebuje naslednje ključne korake: določitev vseh računalniških sistemov, aplikacij, ljudi, opreme in zalog, potrebnih za okrevanje, priprava rezervnega postopka za kritične datoteke in sisteme ter varen podatkovni podsistem na oddaljeni lokaciji, določitev ene ali več rezervnih lokacij, kjer se lahko izvaja obdelava podatkov in poslovne operacije, priprava učinkovite kontrole nad izvajanjem obnove, določitev zunanjih sredstev in partnerjev, ki lahko pomagajo pri procesu okrevanja, testiranje načrta, ki pokaže zmožnost zagotovitve zahtevanega nivoja storitve za ključne poslovne procese in obnovo poslovanja, vzdrževanje načrta upravljanja neprekinjenega poslovanja. Glede na prepletenost poslovanja in informacijske tehnologije v organizacijah se večina postopkov neprekinjenega poslovanja začne v oddelku informatike, ki zagotavlja obnovo informacijskega sistema v primeru izpada. V nadaljevanju se aktivnosti prenesejo na poslovne procese in zagotavljanje njegovega neprekinjenega poslovanja. Vpeljava neprekinjenega poslovanja se običajno začne kot projekt vpeljave, ki nato preide v program upravljanja neprekinjenega poslovanja. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 11 od 42

12 Slika 4: Koraki zagotavljanja BCP (vir: Gartner, 2002) 3.2 FAZE VPELJAVE NEPREKINJENEGA POSLOVANJA Podlaga za vzpostavitev in upravljanje neprekinjenega poslovanja v podjetju predstavlja močno podporo višjega managementa ter sodelovanje in vključitev neprekinjenega poslovanja v kulturo podjetja, tako da postane to del življenjskega cikla projektov in procesa sprememb. Analiza Načrtovanje Izvedba Izobraževanje Testiranje Poslovanje Analiza poslovnih procesov (za potrebe BIA) Analiza vpliva na poslovanje (BIA) Analiza tveganja (RA) Strategija neprekinjeneg a poslovanja Načrt neprekinjenega poslovanja (BCP) Izobraževanje in zavedanje Testiranje načrta neprekinjenega poslovanja Informatika Načrt obnove IT infrasturkture (DR) Implementacija obnove IT infrastrukture (DR) Zmanjševanje tveganj z uvedbo dodatnih kontrol Izobraževanje Testiranje načrta obnove IT infrastrukture Slika 5: Faze vpeljave neprekinjenega poslovanja (vir: Avtenta.si, 2008) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 12 od 42

13 Pomembnejši koraki pri izdelavi učinkovitega načrta neprekinjenega poslovanja obsegajo: Analiza vpliva na poslovanje (angl. business inpact analysis - BIA) ugotovi, kaj je v podjetju izpostavljeno tveganju in kateri poslovni procesi so najbolj kritični, s čimer se določi prednostni seznam odpravljanja tveganj in obnovitvenih investicij. Preučijo se neposredne in posredne posledice prekinitve poslovanja, s čimer se lahko določi največji čas nedelovanja poslovnega informacijskega sistema. Analiza tveganja ugotovi ranljivost in tveganja, ki jim je podjetje izpostavljeno, da bi jih po potrebi lahko ustrezno zmanjšali pri pripravi nove rešitve. Strategija neprekinjenega poslovanja določi strategijo in postopke, ki se bodo uporabljali za obnovo poslovanja. Koncept je zasnovan na potrebah poslovanja, izraženih preko BIA analize in na finančni omejitvi investicije, kar zahteva njuno usklajevanje. Priprava načrta neprekinjenega poslovanja obsega izdelavo načrtov in postopkov obnove poslovanja v primeru izpada poslovanja. Testiranje načrta neprekinjenega poslovanja, s čimer se preveri ustreznost zapisanih načrtov in postopkov. Proces zagotavlja ažurnost načrta neprekinjenega poslovanja z vključitvijo popravkov ob vsaki spremembi poslovnih procesov ali sistemov. Prvi korak izdelave načrta neprekinjenega poslovanja je analiza vpliva na poslovanje, kjer sodelujejo informatiki, poslovodstvo in upravljavci varnosti pri določanju ključnih poslovnih procesov in cene izpada poslovanja glede na čas izpada. Rezultate te analize uporabljamo za izdelavo strategije in postopka obnove. Definirati je potrebno poslovne zahteve za posamezne aplikacije glede dosegljivosti in hitrosti ter načina obnove ob izpadu. Gre za uskladitev poslovnih potreb na eni strani, tehničnih možnosti na drugi strani in cene rešitve na tretji strani. V primeru neupoštevanja poslovnih zahtev v zgodnji fazi razvoja načrta lahko pride do neprimerne arhitekture končne rešitve, ki ima z odlašanjem v nadaljevanju projekta vse hujše posledice. V vseh treh delih je potrebno sodelovanje nosilcev poslovnih procesov v podjetju in močna podpora vodstva podjetja, sicer se težko zagotovi kvalitetne rezultate ANALIZA VPLIVA NA POSLOVANJE Analiza vpliva na poslovanje je metoda za opredelitev poslovne vrednosti posameznih delov informatike (procesi, aplikacije, podatki). Običajno se uporablja kot začetni korak pri pripravi načrta obnovitve poslovanja, v primeru izpada celotne informatike ali njenega dela, lahko pa jo uporabimo tudi za analizo vrednosti in usklajenosti informatike s poslovnimi procesi. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 13 od 42

14 Analiza ugotovi ključne potrebe, ki so pomembne za vzpostavljanje in zagotavljanje nemotenega delovanja poslovanja: 1. zagotovi finančne in druge podatke o posledicah na poslovanje v primeru nepredvidenih dogodkov, ki vplivajo na delovanje informatike, 2. določi pomembnost informacijskih procesov aplikacij in podatkov, 3. določi ciljni čas vzpostavitve delovanja sistema (RTO) in ciljno točko obnavljanja podatkov (RPO) 4. zagotovi seznam informacijskih sredstev z določeno njihovo poslovno vrednostjo. Slika 6: Postopki v primeru izpada informacijskega sistema (vir: Avtenta.si, 2008) Analiza vpliva na poslovanje je običajno sestavljena iz treh načinov pridobivanja podatkov za izvedbo analize: 1. določitev poslovnih funkcionalnosti in procesov, nanje vezanih aplikacij in podatkov ter pomembnosti slednjih za poslovanje 2. analiza posledic za poslovanje v primeru obstoječih izpadov informatike, 3. ugotavljanje posledic na posamezne poslovne procese v primeru hipotetičnega izpada informatike za daljše časovno obdobje ANALIZA TVEGANJ Pri izdelavi načrta za neprekinjeno poslovanje zajema pomembno fazo analiza tveganj. Ta faza zajema izdelavo seznama kritičnih sistemov, ugotavljanje groženj za te sisteme v obliki naravnih in drugih nesreč ter izdelavo ocene, kaj za družbo predstavlja nesprejemljivo prekinitev oziroma maksimalni dopustni čas prekinitve. Pri analiziranju tveganj se mora upoštevati finančni efekt prekinitve. Poslovne funkcije lahko glede na časovno občutljivost in potrebnost za nadaljevanje poslovanja rangiramo sledeče: 1. Kritične poslovne funkcije se ne morejo izvajati z ročnimi metodami. Toleranca za te funkcije je ob prekinitvah zelo nizka, zato so stroški prekinitve zelo visoki. 2. Vitalne poslovne funkcije se lahko izvajajo ročno, toda le kratko časovno obdobje in imajo višjo toleranco za prekinitve kot kritične poslovne funkcije. Stroški prekinitve so običajno pri teh funkcijah nižji kot pri kritičnih funkcijah. 3. Občutljive funkcije se lahko izvajajo ročno neko daljše časovno obdobje in to z zmernimi stroški. Izvajanje teh funkcij običajano zahteva dodatne napore. 4. Nekritične poslovne funkcije se lahko prekinejo za določen čas. Pri tem običajno nastane malo ali nič stroškov za družbo in se lahko hitro vzpostavijo. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 14 od 42

15 Toleranca je lahko izražena v denarni vrednosti ali v izgubi ugleda družbe. Nizka toleranca je pogojena z visoko denarno vrednostjo. Analiza tveganj predstavlja formalni pristop za ocenitev izpostavljenosti družbe. Ta ocena se izdela na podlagi ugotavljanja pričakovanih izgub, ki so povezane z družbo, in verjetnosti pojavljanja le-teh. Družba mora ugotoviti, katere katastrofe oziroma nesreče ji pretijo in kako so te povezane z možnimi izgubami sredstev družbe. Pričakovane izgube je potrebno rangirati. Da se izognemo prevelikemu številu scenarijev, katastrofe klasificiramo po njihovih efektih. Na podlagi tega izdelamo dva scenarija, in sicer: scenarij za totalno izgubo scenarij za delno izgubo. Scenariji za totalno izgubo vključujejo prekinitve, ki prekinejo poslovanje vseh ali večine kritičnih in vitalnih poslovnih funkcij. Scenarije za delno izgubo si predstavljamo kot prekinitev nekaterih kritičnih funkcij, medtem ko so ostale neovirane. Načrt za neprekinjeno poslovanje mora biti zasnovan modularno, da lahko aktiviramo ali celotni načrt ali le del tega, kar je odvisno od vrste prekinitve. Moduli morajo biti organizirani po funkcijah, da se lažje vzdržujejo. Zagotavljanje rezervnega informacijskega sistema tudi brez zahteve BASEL II je nuja. V primeru večje katastrofe bo mogoča hitra povrnitev vsaj osnovnega informacijskega sistema v prvotno stanje. V danem trenutku zgolj minimalno zagotavljamo neprekinjeno poslovanje. Močno se je povečalo število strežnikov, zato je obstoječi sistem težko upravljati in nadzorovati. Celotnega sistema ne bomo zmožni takoj podvojiti. Oceniti je potrebno, kateri so ključni strežniki, brez katerih ne moremo zagotavljati neprekinjenega poslovanja. Pri nakupu novih strežnikov je potrebno upoštevati predvideno širitev in rast hranilnice v prihodnjih petih letih. Ključen faktor pri odločitvi pa je tudi, da bodo novi sistemi nadgradljivi. Cilj v naslednjih letih je, da bi vsaj ključni strežnik in njegov nadomestni strežnik združili v t.i. klaster, kar pa je precej velik finančni zalogaj. Pri nakupu novih strežnikov veliko težo pri odločitvi predstavlja cenovna sprejemljivost. Treba pa se je zavedati, da nakup in postavitev rezervnega sistema še ni končna rešitev. Potrebno je pripraviti scenarij in postopke v primeru odpovedi primarnega sistema. Kot zaključek projekta pa je potrebno še testiranje preklopa na rezervni informacijski sistem. Če scenarij in postopki niso dobro pripravljeni, v primeru izpada primarnega informacijskega sistema rezervni sistem ne služi svojemu namenu. Čas do ponovne vzpostavitve sistema mora biti čim krajši, brez napak. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 15 od 42

16 3.2.3 PRIPRAVA STRATEGIJE OBNOVE POSLOVANJA Cilj priprave koncepta obnove je določitev najboljše finančno ustrezne rešitve za postavljene zahteve neprekinjenega poslovanja podjetja. Zahteve dobimo iz faze analize, predvsem iz analize vpliva na poslovanje. V primeru informacijske tehnologije so ključni podatki naslednji: potreben obseg aplikacij in podatkov za nadaljevanje poslovanja, največji možen čas nedelovanja posameznega sistema, količina podatkov, ki jih organizacija ob izpadu informacijske tehnologije še lahko izgubi brez resnejših posledic. Koncept obnove poslovanja se običajno osredotoča predvsem na informacijsko tehnologijo. Ta vidik je opisan v tretjem poglavju. Obstajajo pa tudi druga področja, ki potrebujejo načrtovanje obnove v primeru katastrofe, kot je npr. hranjenje dokumentov v papirni obliki ali obnavljanje tehnologije v proizvodnem procesu. V splošnem pa mora koncept obnove poslovanja določiti naslednje elemente: strukturo kriznega managementa rezervno lokacijo komunikacijsko arhitekturo med primarno in rezervno lokacijo, način kopiranja podatkov med primarno in rezervno lokacijo potrebno programsko opremo in aplikacijsko opremo na rezervni lokaciji, potrebne podatke na rezervni lokaciji PRIPRAVA NAČRTA NEPREKINJENEGA POSLOVANJA Načrt neprekinjenega poslovanja je proces, ki zagotovi neprekinjeno poslovanje podjetja. Osnovne komponente načrta neprekinjenega poslovanja vključujejo: načrtovanje in vpeljava vseh aktivnosti, ki preprečujejo ali zavarujejo pred tveganji, ki jih pričakujemo pred kritičnim dogodkom, načrtovanje aktivnosti, ki se izvajajo v primeru nevarnosti ali katastrofe, načrt evakuacije, krizni management, komunikacijski načrt, rezervni postopki in načrt odziva na nepredvidene dogodke, strateško in taktično načrtovanje z viri in pomembnimi informacijami, dokumentiranje aktivnosti obnove in vzpostavitve delovanja, vzpostavitev poslovanja, tako fizično kot logično, testiranje in obnova načrta, izvajanje načrtovanja. Lahko bi rekli, da načrt neprekinjenega poslovanja določa načrtovanje in izvajanje aktivnosti pred, med katastrofo in po njej. Vključuje načrte za potrebe po ljudeh, tehnologijo in poslovanje. Priporočljivo je, da imajo tveganja z veliko verjetnostjo ali hudimi posledicami ustrezne načrte za odziv na dogodek in obnovo poslovanja. Posebno pozornost je priporočljivo posvetiti naslednjim štirim ključnim informacijam, ki jih mora načrt jasno opredeliti: Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 16 od 42

17 Odgovornost vsi udeleženci pri obnovi poslovanja morajo poznati svojo funkcijo v primeru kaotične situacije. Vsak posameznih mora vedeti, kaj se od njega pričakuje, kar lahko dosežemo s pomočjo urjenja, komuniciranja in dokumentiranja. Pooblastila v primeru krize je pomembno, da vemo, kdo je za kaj odgovoren. Skupinsko delo je pomembno v kritičnih situacijah, prav tako pa je pomembno, da ima skupina primernega in sposobnega vodjo. Odločen vodja lahko pomaga pri zmanjšanju zmede in povečanju sodelovanja. Prioritete v primeru kritične situacije je pomembno vedeti, katere poslovne funkcije so kritične za delovanje podjetja in katere manj pomembne. Podobno je potrebno pogledati tudi pomembnost aplikacij, sistemov in informacij. Glede na postavljene prioritete, ki jih pripravi poslovodstvo, se lahko pripravi načrt neprekinjenega poslovanja, ki zagotavlja ustrezno obnovo kritičnih poslovnih funkcij. Vpeljava in preizkušanje izdelava načrta brez njegove uporabe in testiranja običajno ne prinese pričakovanih koristi podjetju. Načrt je potrebno preizkusiti. Ljudi je potrebno naučiti, kako bodo opravili pričakovane aktivnosti. Te aktivnosti je potrebno izvajati vsaj enkrat letno, načrt pa je potrebno stalno posodabljati in izboljševati TESTIRANJE NAČRTA NEPREKINJENEGA POSLOVANJA Testiranje je ključna faza zagotavljanja neprekinjenega poslovanja. Omogoča preverjanje učinkovitosti zapisanih postopkov zaposlenih in zunanjih izvajalcev za dosledno in učinkovito uporabo načrta. V okviru testiranja mora biti preverjen in potrjen vsak najmanjši element načrta. To velja tako za postopke kot tudi za opremo. Potrebno je preveriti sposobnost zagotavljanja informacijske podpore s pomočjo rezervne lokacije, sposobnost restavriranja podatkov iz varnostnih kopij, koordinacijo med skupinami, odgovornimi za posamezne postopke, učinkovitost sistema ob uporabi alternativnih zmogljivosti, sisteme obveščanja. Testiranje je možno izpeljati s preigravanjem scenarijev v obliki delavnic ali pa prek rednih delovnih postopkov in mora biti vnaprej napovedano. Usposabljanje skupine za neprekinjeno poslovanje dopolnjuje testiranje novih članov skupine za neprekinjeno poslovanje. Cilj usposabljanja je, da so zaposleni in zunanji izvajalci usposobljeni tako, da ob morebitni prekinitvi poslovanja sistema ne potrebujejo pisnih navodil. Načrt neprekinjenega poslovanja je živ, to pomeni, da ga je potrebno sproti vzdrževati in dopolnjevati. To je temeljni dejavnik uspešnosti zagotavljanja neprekinjenega poslovanja, izvajanje akcij v času prekinitev ter obnove sistema. Sistem je pogosto izpostavljen spremembam zaradi spreminjajočih se potreb v poslovanju, tehnoloških nadgradenj ali novih notranjih in zunanjih politik, zato je nujno, da se načrt neprekinjenega poslovanja redno pregleduje in dopolnjuje. S tem zagotovimo dokumentiranje novih informacij, pregled in popravo obstoječih informacij, če je to potrebno. Načrt je potrebno natančno in celovito pregledati vsaj enkrat letno oziroma vedno, ko se zgodi sprememba kateregakoli elementa načrt, saj le-ta zahteva dokumentiranje sprememb in verifikacijo obstoječih postopkov sistema. Ker načrt vsebuje potencialno občutljive operativne in osebne informacije, mora biti njegova distribucija kontrolirana. Ko je načrt izdelan, se prične njegovo testiranje. Vsaka sprememba v načrtu temelji na analizah testnih rezultatov. Po Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 17 od 42

18 definiranju strategije obnove je potrebno izdelati specifične testne postopke, ki zagotavljajo, da so napisani načrti razumljivi in natančni. Načrt mora odsevati spoznanja in priporočila, do katerih se pride tekom testiranja. Priporočljivo je, da se varnostna kopija načrta hrani na varnem alternativnem mestu, ki je zavarovano pred požarom in poplavo oziroma tam, kjer ga katastrofalni dogodek ne doseže. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 18 od 42

19 4 PRENOVA INFORMACIJSKEGA SISTEMA IN VZPOSTAVITEV REZERVNE LOKACIJE Pri vzpostavitvi rezervne lokacije z rezervnim informacijskim sistemom se poraja vprašanje, kje ta rezervni sistem postaviti. Alternativna lokacija naj bi bila na drugem območju poplav, na drugem potresnem območju, skratka ne sme biti v območju, ki ga dosegajo iste naravne nesreče kot osnovno lokacijo. Zagotovitev nadaljevanja poslovanja na drugi lokaciji je možno zagotoviti na več načinov: da si hranilnica sama zagotovi rezervno lokacijo da hranilnica sklene pogodbo z drugo organizacijo, ki zagotavlja rezervne lokacije za več družb in to predstavlja osnovno dejavnost te organizacije s sklenitvijo medsebojnega dogovora za procesiranje podatkov z drugo banko ali hranilnico. Pri medsebojnem dogovoru za obdelavo podatkov, ki se sklene med dvema ali večimi bankami ali hranilnicami, se običajno pojavi več problemov. 1. Banke ali hranilnice, ki so sklenile omenjen dogovor, nimajo usklajenih verzij operacijskih sistemov, programske opreme in orodij ali ne nabavljajo ažurno novih verzij te opreme. 2. Ena izmed bank ali hranilnic ne zagotovi ustreznih kapacitet računalniške opreme, ki so nujno potrebno za nemoteno obdelavo kritičnih funkcij druge banke ali hranilnice, ker to za banko ali hranilnico predstavlja manjše posledice, kot so stroški za nabavo teh kapacitet. 3. Banka ali hranilnica, pri kateri se je zgodila nesreča in zato ne more več delovati na osnovni lokaciji, ne more vzpostaviti rezervne lokacije pri drugi banki ali hranilnici. Za to je lahko več vzrokov in sicer: nedosegljivost delavcev preko vikenda ali praznikov, ki imajo dostop do računalniških prostorov, v katerih naj bi se vzpostavila rezervna lokacija; nedosegljivost ali neažurnost gesel za dostop do ustrezne programske opreme; nedosegljivost ključev ali kod za dostop do računalniških in poslovnih prostorov ipd. 4. V banki ali hranilnici, ki predstavlja rezervno lokacijo, se vršijo pomembne obdelave podatkov (npr. mesečne, letne) in zato ni pripravljena vzpostaviti obdelav podatkov za drugo banko ali hranilnico. 5. Problem pri tem načinu zagotavljanja rezervne lokacije predstavlja tudi testiranje načrta za obnovo. Običajno ni določeno, katera oprema in prostori bodo na razpolago drugi banki ali hranilnici, kakšno bo varovanje podatkov ipd. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 19 od 42

20 Najboljšo rešitev za banko ali hranilnico predstavlja vzpostavitev lastne rezervne lokacije. Na tej lokaciji mora biti primerno opremljen prostor za računalniške obdelave podatkov in za izvajanje kritičnih poslovnih funkcij s strani uporabnikov. Prostori na tej lokaciji morajo biti varovani tako, kot je to določeno za enake prostore na osnovni lokaciji (npr. prostori, kjer se nahaja osrednja računalniška oprema, morajo imeti ognjevarne zidove, alarme, ustrezno temperaturo in vlažnost). Na rezervni lokaciji ali na drugi ustrezni lokaciji, ki se nahaja v bližini te lokacije (npr. v sefih), se morajo ažurno arhivirati podatki in programi za izvajanje kritičnih poslovnih funkcij, dokumentacija, ključni obrazci, gesla, najnovejše verzije programske opreme in programskih orodij za izvajanje teh poslovnih funkcij, ipd. Na rezervni lokaciji morajo biti arhivirane najnovejše verzije opreme, ki so se inštalirale na osnovni lokaciji. V primeru, da se banka ali hranilnica odloči za vzpostavitev lastne rezervne lokacije, ima na voljo: 1. rezervno lokacijo brez opreme To pomeni, da so v prostorih, ki so namenjeni za to lokacijo, električna napeljava, klima, dvignjena tla in kaj podobnega. Aktiviranje take lokacije lahko traja več tednov. 2. rezervno lokacijo z delno opremo Ta lokacija ima običajno že ustrezno komunikacijsko in drugo opremo, razen glavnega računalnika, ki predstavlja najdražjo enoto. Tudi za to vrsto lokacije lahko vzpostavitev traja več dni ali tednov, kar je odvisno od roka nabave ustreznega računalnika. 3. rezervno lokacijo s popolno opremo Ta je lahko pripravljena za delovanje v nekaj urah. Strojna, programska in druga oprema mora biti kompatibilna z opremo, ki je instalirana na osnovni lokaciji. Če se podatki na te računalnike ne prenašajo elektronsko iz osnovne lokacije, jih je potrebno prinesti iz lokacije, kjer se arhivirajo. Enako velja za najnovejše programe in dokumentacijo. Za finančne inštitucije velja najnižja toleranca za prekinitve preden postanejo poslovne funkcije neobnovljive, manj kot 48 ur. Baselska načela preudarnega bančnega poslovanja navajajo, da v operativno tveganje spada tudi večja zatajitev informacijskega sistema ali dogodki, kot so denimo velik požar ali druge naravne nesreče, in da naj banke in hranilnice vodijo politiko uravnavanja ali zmanjševanja operativnega tveganja. Banke in hranilnice naj bi imele primerne in dovolj preizkušene načrte za obnovitev poslovanja. Na osnovi zgoraj naštetega smo v hranilnici sprejeli odločitev, da uredimo rezervno lokacijo z delno opremo. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 20 od 42

21 4.1 REZERVNA LOKACIJA Na podlagi analize, ki je bila opravljena v okviru projekta, smo se odločili, da rezervno lokacijo uredimo v eni izmed poslovnih enot. Ker se izbrana enota v tem času preureja, je to tudi botrovalo odločitvi. V prostoru, kjer bodo nameščeni rezervni strežniki, je potrebno urediti električno in mrežno napeljavo, položiti antistatično podlago ter namestiti klimatsko napravo. Strežnike bomo namestili v železen regal. Poleg regala bo postavljena tudi komunikacijska omara s priključnimi paneli in organizatorji kablov, ki pokriva potrebe pri izgradnji lokalnega računalniškega omrežja. V njej bo prostor tudi za vse potrebne modeme. Predvideli smo tudi nakup naprave za neprekinjeno napajanje UPS (angl. Uninterruptible Power Supply). Na trgu sta dve glavni skupini tehnologij Standby in On-line. Standby tehnologija pa se nadalje deli na pasivno ali Off-line in aktivno ali Line-Interaktivno tehnologijo. Glede na to, da je na rezervni lokaciji nameščena nova računalniška oprema in v primeru izpada primarne lokacije rezervna lokacija prevzame funkcijo primarne lokacije, bi izpad povzročil veliko škodo v delovnem procesu. Zato smo se odločili za UPS napravo, ki je zgrajena na tako imenovani aktivni oz. Line-Interaktivni tehnologiji. To pomeni, da se uporabnik napaja preko UPS, usmernik oz. razsmernik je ves čas aktiven. Izhodna napetost je neodvisna od vhodne mrežne napetosti, obenem pa regulira amplitudno in frekvenčno napetost. Prostor, v katerem bodo nameščeni strežniki, je zaprt. Dostop imajo samo pooblaščene osebe. 4.2 POVEZAVA MED PRIMARNO IN REZERVNO LOKACIJO Za vzpostavitev povezave in sinhronizacijo podatkov na rezervnih strežnikih bomo uporabili dva strežnika, ki smo jih v preteklosti uporabljali in smo jih že zamenjali z zmogljivejšimi. Za vzpostavitev navideznega zasebnega omrežja med primarno lokacijo in rezervno lokacijo bo namreč skrbela odprto-kodna različica Linux-a, ki za delovanje ne potrebuje visoko performančnih strežnikov. Tradicionalni način za povezovanje lokalnih omrežij so bili zakupljeni vodi. Z vidika varnosti in zanesljivosti je tak način najboljši, njegovi slabi strani pa sta razmeroma dolg rok izvedbe in izjemno visoka cena. Z VPN povezavo se tema težavama lahko izognemo. Gre za uporabo naprednih tehnologij enkripcije (kodiranje podatkov) in tuneliranja, ki omogoča varno povezavo omrežij prek tujih omrežij, kot sta internet in ekstranet. Za prenos podatkov na rezervno lokacijo bo potrebno na dveh strežnikih namestiti odprto-kodno različico Linux-a. Ta dva strežnika bosta služila tudi kot usmerjevalnika. Za dostop do interneta in za prenos podatkov se bo uredil širokopasovni dostop ADSL pri dveh različnih ponudnikih internetnih storitev, tako na primarni kot na rezervni lokaciji. Hitrost prenosa podatkov preko interneta bo zadoščala za količino podatkov, ki se bo dnevno prenaša na rezervne strežnike. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 21 od 42

22 Slika 7: Primer povezave dveh poslovnih enot med seboj (LAN-LAN) (vir: Hranilnica LON, 2007) Linux IPsec strežnik omogoča povezovanje poslovnih enot med seboj (LAN-LAN), kar pomeni, da lahko oddaljene enote povežemo v skupni informacijski sistem z izredno nizkimi obratovalnimi stroški. Na sliki 7 je prikazana povezava med dvema poslovnima enotama Avtentikacija je izvedena z uporabo X.509 certifikatov ter šifriranjem 3DES ali AES. Linux IPsec strežnik omogoča povezovanje preko obstoječe Internet povezave z uporabo NAT Traversla tehnike VARNOST VPN POVEZAVE Varnost VPN povezave med primarno in rezervno lokacijo bo temeljila na standardnem protokolu IPsec. Le-ta zagotavlja vzpostavitev varnih povezav preko nevarnih omrežij (npr. internetov) s pomočjo tuneliranja protokolov. V ta namen uporablja kriptograske algoritme za kodiranje in elektronsko podpisovanje omrežnega prometa. Za izvedbo VPN povezav se bo uporabljalo sledeče: kriptograski algoritem 3DES za kodiranje, ki uporablja 3 različne 56-bitne kodirne ključe (skupaj 168-bitno kodiranje) RSA MD5 algoritem za elektronsko podpisovanje, ki uporablja 128-bitni ključ IKE protokol za izmenjavo ključev. Kodirni ključi se avtomatično generirajo in menjajo vsako uro. Kriptograsko kodiranje zagotavlja neberljivost prestrežene informacije, elektronski podpis pa zagotavlja avtentičnost, da informacije ni mogoče neopaženo spremeniti ali pokvariti na prenosni pošti. Za vzpostavitev VPN tunela med primarno in rezervno lokacijo bomo uporabili dva različna ponudnika internetnih storitev. Način rešitve je prikazan v sliki 8. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 22 od 42

23 FW1-VPN Usmerjevalnik na primarni lokaciji INTERNET T-2 VPN IPsec tunel GRE tunel SiOL Usmerjevalnik na rezervni lokaciji linux Slika 8: Rešitev vzpostavitve VPN tunela preko dveh ponudnikov ADSL storitev (vir: Hranilnica LON, 2007) VPN OMREŽJE IN UPORABA TEHNOLOGIJE IPSEC Varna komunikacija preko javnega IP omrežja ima čedalje večji pomen. Varnost je mogoče doseči na različne načine, pri čemer ima pomembno vlogo tehnologija IPsec. Internet se je razvil v pomembno poslovno orodje, ki omogoča izmenjavo velike količine podatkov. Zaradi potrebe po zaščiti podatkov, ki se prenašajo po javnem mediju, je prišlo do razvoja navideznih zasebnih omrežij VPN (angl. Virtual Private Networks). V primeru, da je prenosni medij IP (angl. Internet Protocol) omrežje, govorimo o navideznih zasebnih omrežjih na IP nivoju (IP VPN). Varno IP VPN omrežje je kombinacija tuneliranja (angl. tunneling), šifriranja (angl. encryption), avtentikacije (angl. authentication), upravljanja in nadzora dostopa do virov ter beleženja dogajanja v omrežju. Z IP VPN lahko izvedemo intranet in ekstranet omrežja. V intranet omrežjih so oddaljene lokacije uporabnika povezane med seboj, v ekstranet omrežjih pa z oddaljenimi lokacijami poslovnih partnerjev (B2B angl. Business to Business) ali strank (B2C angl. Business to Customer). Pojem VPN obsega množico komunikacijskih standardov, med katerimi mnogi omogočajo tuneliranje podatkov, nekateri pa tudi avtentikacijo in ekripcijo. Med enkripcijo spada tudi tehnologija IPsec (angl. Internet Protocol security), ki definira različne vrste zvez med dvema ali več sistemi LASTNOSTI IPSEC VPN IPsec temelji na ovijanju (angl. encapsulation) in šifriranju prometa za namen prenosa preko IP omrežja. Povezava več lokacij se vrši s polno mrežo tunelov med lokacijami. Infrastruktura je javni Internet, zato je treba dati ustrezen poudarek tudi kvaliteti storitve prenosa preko javnega medija. Za varnost je poskrbljeno, saj so uporabljeni mehanizmi avtentikacije in močnega šifriranja (npr. 3DES). Poleg Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 23 od 42

24 vsebine se lahko šifrira tudi glava paketa, celotni paket pa se nato ovije še v drug paket. Obstajata dva načina delovanja, in sicer transportni in tunelski način. Transportni način se uporablja za zaščito protokolov višjih nivojev oziroma aplikacij, šifrira pa se samo koristna vsebina, ne pa glava IP paketa. Pri komunikaciji dveh IPsec komunikacijskih naprav oz. varnostnih prehodov (angl. security gateway) se uporablja tunelski način. Varnostni prehod označuje napravo, ki izvaja IPsec funkcije v korist tretjega sistema. Na varnostni prehod se priključi LAN segment, kjer se lahko uporabljajo zasebne IP številke. Ob vzpostavitvi tunela med dvema točkama se na začetku izvrši še avtentikacija. Slika 9: Vrste IPsec zvez (vir: Hranilnica LON, 2007) Koliko različnih IPsec zvez med dvema točkama je možnih, je prikazano na sliki 9. V prvem primeru dva računalniška sistema preko Interneta vzpostavita varno IPsec zvezo. V drugem primeru gre za komunikacijo med dvema varnostnima prehodoma, na katera sta priključena LAN segmenta. Zaščitena je komunikacija med prehodoma, ne pa tudi komunikacija med prehodom in končnim sistemom. Pomanjkljivost je odpravljena v tretjem primeru, kjer je dodatna zaščitena tudi zveza med končnima sistemoma. Tu gre za gnezdenje enega tunela v drugem. Zadnji primer predstavlja razmere, ko se računalniški sistem najprej poveže s ponudnikom internetnih storitev, pridobi IP naslov, vzpostavi IPsec tunel s ciljnim prehodom, nato pa še tunel ali komunikacijo v transportnem načinu s končnim računalniškim sistemom. V slednjem primeru glavi transportnega načina v IP paketu sledi glava tunela. Varnostni prehod mora v tem primeru tudi omogočiti prehod prometa IPsec protokolov in upravljanja s ključi, ki si ga izmenjujeta končna računalniška sistema. Značilnost IPsec tehnologije je varnost prenosa, ki je zagotovljena z močnim šifriranjem in avtentikacijo. IPsec naprava lahko vsebuje tudi požarni zid, s čimer zvezo še dodatno zaščitimo. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 24 od 42

25 IPsec protokolni sklad je sestavljen iz sedmih gradnikov, ki omogočajo neodvisen razvoj posameznih sklopov protokola, ki so med seboj povezani v logično celoto. Arhitektura Protokol ESP Protokol AH Šifrirni algoritmi Avtentikacijski algoritmi DOI Upravljanje s ključi Slika 10: Gradniki IPsec tehnologije (vir: Hranilnica LON, 2007) Na sliki 10 so prikazani gradniki protokolarnega sklada IPsec, ki so: arhitektura protokol avtentikacijskega čela AH (angl. Authentication Header) protokol šifriranja koristne vsebine ESP (angl. Encapsulation Security Payload) šifrirni algoritmi avtentikacijski algoritmi domena interperetacije DOI (angl. Domain of Interpretation) upravljanje s ključi. Arhitektura je glavni dokument, ki pokriva vse vidike tehnologije in varnosti in predstavlja začetno točko za razumevanje protokolnega sklada IPsec. Protokola AH in ESP podrobneje opisujeta formate paketov in samo implementacijo s pripadajočimi algoritmi. Uporabljeni so lahko različni standardi za šifriranje podatkov, kot so DES (angl. Data Encryption Standard) in 3DES (angl. Triple DES). Avtentikacijski mehanizmi protokolov ESP in AH so izvedeni z algoritmi zgoščevalnih funkcij, kot so HMAC-MD5 in HMAC-SHA-1. V okviru upravljanja s ključi so definirane različne sheme upravljanja, kot so ISAKMP (angl. Internet Security Association and Key Management Protocol) in PKI (angl. Public Key Infrastructure). Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 25 od 42

26 Osrednja elementa protokolnega sklada IPsec sta AH in ESP. Protokol avtentikacijskega čela skrbi za zagotavljanje integritete podatkov in avtentičnosti pošiljatelja ter zagotavlja avtentičnost koristnih podatkov in glave IP paketa (tistih polj, ki se pri prehodu preko omrežja ne spreminjajo). Protokol šifriranja koristne vsebine pa skrbi za šifriranje koristne vsebine in lahko omogoča avtentikacijo podatkov, ne pa tudi glave IP paketa. Oba protokola sta lahko uporabljena ločeno ali v kombinaciji, ki zagotavlja ustrezen nivo storitve glede na zahteve določene aplikacije oziroma omrežnega okolja. Avtentikacijski proces je potreben za vzpostavitev varnostne zveze SA (angl. Security Association), ki je naslednji pojem, ki se uporablja v terminologiji tehnologije IPsec. SA je temelj komunikacije v okviru IPsec VPN. Po vzpostavitvi varnostne zveze se lahko prične prenos podatkov UPRAVLJANJE S KLJUČI Upravljanje s ključi je pomemben del vsake komunikacije, ki z uporabo ključev zagotavlja zaupnost in integriteto. Ključi so pri IPsec potrebni v procesu začetne avtentikacije komunikacijskega partnerja in kasneje ob samem prenosu prometa v procesu avtentikacije in šifriranja (ESP in HA). Internetni protokol za upravljanje s ključi definira postopke avtentikacije in tvorjenja ključev v okviru, ki je neodvisen od šifrirnih algoritmov, avtentikacijskih mehanizmov in varnostnih protokolov, kot je IPsec. Protokol izmenjav internetnih ključev je hibrid in vsebuje tri primarne protokole, ki tvorijo okolje upravljanja s ključi za IPsec. Ti protokoli so ISAKMP, Oakley in SKEME (angl. Secure Key Exchange Mechanism). Infrastruktura javnih ključev je skupek protokolov za zagotavljanje varnih zvez na principu zaupanj, ki je izveden s sistemom digitalnih certifikatov. PKI združuje tehnologije digitalnih certifikatov s certifikatnimi uradi CA (angl. Certificate Authorities) in šifriranje z javnimi ključi v enovito varnostno arhitekturo, ki jo s pridom lahko uporabimo tudi v okviru tehnologije IPsec LASTNOSTI IN DELOVANJE IKEY Oakley in ISAKMP protokola definirata različne metode varne izmenjave ključev med dvema sistemoma. Relacija med dvema protokoloma se zrcali v dveh fazah in načinih delovanja IKE. V okviru faze ena mora biti implementiran vsaj način delovanja»main mode«, kjer komunikacija poteka v treh korakih. V prvem koraku se komunikacijska partnerja dogovorita o nizu varnostnih protokolov, ki jih bosta uporabljala v okviru faze ena. V drugem koraku se z uporabo algoritma Diffie-Hellman tvori»shared secret«ključ, ki omogoči tvorjenje treh nadaljnjih ključev. Ti ključi se kasneje uporabljajo za avtentikacijo in šifriranje podatkov, ki se bodo prenašali preko IPsec povezave. V zadnjem koraku prve faze pride do medsebojne avtentikacije oddaljenih sistemov, kar lahko dosežemo z uporabo enakega gesla, ki ga poznata oba oddaljena sistema (t.i.»pre-shared key«) ali digitalnih certifikatov. Uporaba enakega gesla je najenostavnejša in najbolj razširjena, vendar ob večjem številu vozlišč in povezav zadeva kmalu postane težko nadzorljiva in nepregledna. Zato je bolj primerna uporaba digitalnih certifikatov. Vsak oddaljeni sistem se predstavi svojemu Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 26 od 42

27 komunikacijskemu partnerju z digitalnim certifikatom, ki ga pridobi od certifikatnega urada. Partner pri certifikatnem uradu preveri avtentičnost certifikata. Zaupanje med partnerjema se vzpostavi na podlagi privzetega zaupanja vsakega partnerja do certifikatnega urada. V fazi dva se komunikacijska partnerja dogovorita o nizu varnostnih protokolov, ki jih bosta uporabljala v okviru prenosa podatkov preko IPsec povezav. Nato vzpostavita varnostne zveze (SA), ki jih po potrebi periodično obnavljata VZPOSTAVITEV SISTEMA KLJUČEV IPsec standard predvideva, da se lahko ključi tvorijo ročno ali samodejno. Načeloma delovanje protokolov AH in ESP ni odvisno od načina nastanka ključev, čeprav sta v določenih primerih način tvorjenja ključev in celotna varnost povezave odvisna. Pomembno je, da omejimo veljavnost ključev, bodisi glede na čas bodisi glede na količino prenesenih podatkov. S tem zmanjšamo možnost vdora v sistem v primeru, da ključe prestreže morebitni napadalec. Pri ročnem upravljanju administrator zagotovi podatke o ključih in ostale podatke varnostnih zvez za vsako IPsec povezavo. Ročni način je primeren za majhna omrežna okolja z omejenim številom računalniških sistemov in varnostnih prehodov. Način ni dovolj razširljiv za večje število lokacij v topologiji polne ali delne mreže. Rešitev tega problema je uporaba topologije s centralno lokacijo. To je primerno za tiste sisteme, kjer se večina prometa odvija med končnimi lokacijami in centralno lokacijo. Na sliki 11 sta prikazana oba načina: rešitev s centralno lokacijo, kjer so locirani vsi ključi, in način s t.i. polno mrežo. GW2 GW1 GW3 GW5 GW4 GW2 GW1 GW3 GW5 GW4 Slika 11: Polna mreža in izvedba s centralno lokacijo (vir: Hranilnica LON, 2007) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 27 od 42

28 Uporaba ročnega načina poleg tega zmanjšuje prilagodljivost in število možnosti, ki jih nudi IPsec. Na voljo denimo niso možnosti, kot so preprečevanje ponovitve (antireplay), ponovna vzpostavitev ključev na zahtevo (on-demand re-keying) in specifična vzpostavitev ključev za posamično sejo. Samodejni način upravljanja s ključi odpravlja pomanjkljivosti ročnega upravljanja in omogoča implementacijo IPsec v večjih okoljih. Samodejno upravljanje s ključi v okviru IPsec definira IKE. Glede na standard se lahko uporablja katerikoli sistem za avtomatsko distribucijo ključev. Za eno varnostno zvezo SA se lahko tvori več različnih ključev. Tako enkripcijski kot avtentikacijski algoritem lahko zahtevata več ključev, lahko pa poteka tudi samodejno obnavljanje ključev (angl. re-keying). Obnavljanje ključev ščiti bodočo komunikacijo v primeru, da je obstoječi ključ kakorkoli ogrožen. Ta proces zahteva ponovno vzpostavitev obstoječe varnostne zveze. Ker se to dogaja med samo komunikacijo, gre za relativno nepredvidljiv komunikacijski tok, kar je dodatna zaščita pred morebitnim napadalcem. Prednosti IPsec izhajajo iz ugotovitve, da višje ležeči varovalni protokoli varujejo samo en aplikacijski protokol kot na primer protokol precejšnje zasebnosti PGP (angl. Pretty Good Privacy), ki varuje samo elektronsko pošto. Nižje ležeči varovalni protokoli pa po drugi strani varujejo samo en fizični medij kot na primer linijski šifrirnik, ki varuje samo serijsko linijo. IPsec varuje vse aplikacijske in transportne protokole nad seboj in vse fizične medije pod seboj, na katerih poteka IP promet. IPsec je za razliko od aplikacijskih varnostnih protokolov, kjer mora uporabnik rokovati s ključi in gesli, za uporabnike neviden. IPsec je ena najboljših varnostnih sredstev za zaščito podatkov v IP omrežjih. 4.3 xdsl TEHNOLOGIJA Začetek tehnologije xdsl sega v leto Leta 1990 so v ZDA začeli tržiti ADSL kot konkurenčen produkt kabelski TV, vendar se je sprva uveljavil kot hitra povezava v internet. V Evropi se je množično začel širiti po letu 2000, v Sloveniji ga je začelo podjetje SiOL tržiti leta Slika 12: Širokopasovne povezave (vir: Ovum, 2005) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 28 od 42

29 Na sliki 12 je prikazano število širokopasovnih povezav za zadnjih nekaj let. Razvidno je, da število ADSL povezav drastično narašča v primerjavi z ostalimi širokopasovnimi povezavami. ADSL (angl. Asymmetric Digital Subscriber Line) je model tehnologije DSL, ki omogoča hitrejše prenašanje podatkov preko bakrene telefonske žice (v nadaljevanju parice) kot navadni telefonski modem. Beseda Asymmetric oz. asimetrija se pojavi zaradi velikih razlik pri prenosih podatkov, omogočen je velik prenos podatkov proti uporabniku (t.i downstream) in relativno majhen od uporabnika (t.i. upstream). Prenosi k uporabniku dosežejo hitrost do 8 Mbit/s in do 1 Mbit/s od uporabnika, odvisno od razdalje in karakteristike linije. 0 4 khz khz 138 khz 1104 khz PSTN Upstream Downstream Slika 13: Prikaz delitve telefonske linije (vir: T-2, 2007) ADSL modem za svoje delovanje potrebuje analogni ali digitalni telefonski priključek. Telefonsko linijo razdeli na tri ločene informacijske kanale, vsakega z različnimi kapacitetami in hitrostmi. Ta delitev je dobro vidna na sliki 13. Za pretok analognega zvoka (telefonski pogovor) je med frekvenčnim območjem 0 in 4 khz, srednji med 25,875 khz in 138 khz se uporablja za prenos podatkov od uporabnika, največji med 138 khz in 1104 khz pa za prenos podatkov proti uporabniku. Pogovorni kanal je ločen od digitalnega modema s filtrom, ki preprečuje motnje. Novejši različici xdsl sta ADSL2 in ADSL2+. ADSL2+ je nadgradnja tehnologije ADSL, saj le podvoji število prenešenih bitov. Prenos do uporabnika doseže hitrost 24 Mbit/s in prenos od uporabnika pa 1 Mbit/s. Hitrost je odvisna od kakovosti parice, oddaljenosti od centrale in kakovosti centrale. Slika 14 prikazuje frekvenčno območje, ki ga uporablja ADSL2+ tehnologija. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 29 od 42

30 Slika 14: Frekvenčno območje, ki ga uporablja ADSL2+ tehnologija (vir: T-2, 2007) Ena od izvedenk xdsl tehnologije je tudi VDSL (angl. Very-high-bit-rate Digital Subscriber Line). Dosega hitrosti do 52 Mbit/s proti uporabniku in 12 Mbit/s od uporabnika po bakreni žici. VDSL uporablja 4 različne frekvence, dve za prenos podatkov od uporabnika in dve za prenos podatkov proti uporabniku. Standardna tehniška modulacija je lahko QAM (angl. Quadrature Amplitude Modulation) ali DMT (angl. Discrete Moltitone Modulation), ki pa nista kompatibilni. Trenutno je bolj v rabi tehnologija DMT. Zaradi tako velike hitrosti prenosa podatkov VDSL podpira tudi HDTV (angl. High Dot TV) oz. televizijo visoke ločljivosti, IP telefonijo ter dostop do interneta na eni sami povezavi. Slika 15: Hitrosti dostopa v razmerju z oddaljenostjo od centrale (vir: T-2, 2008) Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 30 od 42

31 Z oddaljenostjo od centrale se zmanjšuje tudi hitrost dostopa, kar je prikazano na sliki OSVEŽEVANJE PODATKOV NA REZERVNI LOKACIJI Rezervni informacijski sistem ne bi opravičil obstoja, če se podatki ne bi redno osveževali. Klastru se bomo morali po oceni stroškov in sprejetju tveganja odpovedati. Najboljša odločitev za osveževanje podatkov je v različnih časovnih intervalih, odvisno od količine podatkov. 4.5 OSVEŽEVANJE PODATKOV NA PRODUKCIJSKEM STREŽNIKU IN STREŽNIKU ZA EB Na produkcijskem strežniku je nameščena Oracle 10g baza. Črka g pri številki različice prihaja iz besede grid (omrežje). S tem Oracle nakazuje težnjo razvoja informacijskih tehnologij proti visokorazpoložljivim omrežjem. To pomeni, da bi uporabniki uporabljali storitve informacijskega omrežja povsem transparentno, ne da bi vedeli, kateri računalnik ali skupina računalnikov izvršuje njegove naloge. Prav tako ne bi čutili okvar posameznih gradnikov. Za upravljanje s to bazo se uporabljajo različna Oracle tehnologija in različna orodja: Oracle 10g RAC (angl. Real Aplikation Cluster) Oracle 10g ASM (ang. Automatic Storage Management) Oracle 10g DataGuard Oracle 10g RMAN (angl. Recovery Manager) Oracle 10g flashback. LAN Oracle AS 10g 1 CPU1 Oracle DB 10g 1 CPU2 CPU1 Oracle DB 10g 2 CPU2 Oracle AS 10g 2 SCSI RAID SCSI RAID Slika 16: Postavitve glavnega in rezervnega produkcijskega strežnika (vir: Hranilnica LON, 2008) Slika 16 prikazuje postavitev glavnega in rezervnega produkcijskega strežnika. Podatki na rezervnem strežniku se osvežujejo enkrat dnevno. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 31 od 42

32 4.5.1 ORACLE 10g ASM Največja količina podatkov nastaja na produkcijski bazi, saj podpira celotno bančno poslovanje. Oracle 10g baza zapisuje podatke na disk na tri različne načine: datotečni sistem RAW enote (particije) ASM. Pri zadnji nadgradnji Oracle baze na verzijo 10g smo se odločili za ASM način zapisovanja podatkov na disk predvsem zaradi teh lastnosti: enakomerno razprši podatke med diski skrbi za enakomerno obremenjenost diskov zrcaljenje samodejno upravljanje z diskovnim prostorom brez prekinitev prilagodljivost nima posebnih zahtev po številu in velikosti diskov. Slika 17: Razlika med podatkovno bazo v datotekah in podatkovno bazo v ASM (vir: Abakus Plus, 2006) Oracle 10g ASM je učinkovita rešitev za zaščito pred okvarami diskov in diskovnih krmilnikov. Enostavno pa je z njim tudi upravljati z diskovnim prostorom, kar je prikazano na sliki 17. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 32 od 42

33 4.5.2 ORACLE 10g RMAN Varnostno kopiranje in obnavljanje podatkov sta med najpomembnejšimi opravili, ki jih izvaja administrator zbirke podatkov. Če se zbirka podatkov zruši in ni poti, da bi jo vrnili, to za poslovanje pomeni katastrofalne posledice. Oraclovo orodje za izdelavo varnostnih kopij in obnavljanje zbirk podatkov se imenuje Recovery Manager (RMAN). Delovanje Oracle 10g RMAN-a je prikazano na sliki 18. Lastnosti Recovery Manager-ja: avtomatsko shranjevanje med delovanjem ob določenih pogojih je možno restavriranje med delovanjem inkrementalno shranjevanje samodejno zgoščevanje podatkov samodejno preverjanje fizične integritete baze večprocesno vzporedno delovanje. Slika 18: Delovanje Oracle 10g RMAN (vir: Abakus Plus, 2006) Prav Oracle 10g RMAN pri nas skrbi za prenašanje podatkov med produkcijsko bazo in rezervno bazo na rezervnem strežniku. Baza na rezervnem strežniku je»ugasnjena«, ni v tako imenovanem stand-by načinu. Orodje 10g RMAN skrbi za sprotno prenašanje arhive logov na rezervni strežnik. Na rezervnem strežniku pa Oracle 10g RMAN skrbi za import arhive logov v rezervno bazo. V primeru nenadne odpovedi produkcijskega strežnika bi bil izpad podatkov na rezervni bazi minimalen. S tako odločitvijo uprava prevzema tveganje. Polonca Fister: Zagotavljanje rezervnega informacijskega sistema na podlagi zahtev Basel II stran 33 od 42