Gregor Ibic Intelicom d.o.o., Vojkovo nabrežje 30A, 6000 Koper tel: (05) , fax: (05) ,

Transcription

1 mag. Franci Mulec mag. Jaro Berce Služba vlade RS za evropske zadeve, Šubieva 11, 1000 Ljubljana, Slovenija tel: (01) , fax: (01) , Gregor Ibic Intelicom d.o.o., Vojkovo nabrežje 30A, 6000 Koper tel: (05) , fax: (05) , SISTEM ZA UPRAVLJANJE IT IN PREVERJANJE VARNOSTNE POLITIKE V SVEZ Izvleek: Varnostno zanesljiva ter kvalitetna obravnava informacijskih sistemov pomeni kontinuiran proces, s katerim vzdržujemo oziroma dvigujemo naštete nivoje, kar zahteva pripravljene postopke nadzora sistema, usklajeno strojno in programsko opremo in nenazadnje varnostno osvešene uporabnike. Prikazani so nekateri pristopi ter postopki varnostne evaluacije informacijskega sistema Službe vlade za evropske zadeve. Navedena je nekatera programska oprema, ki jo lahko uporabljamo v take namene in ki temelji na odprti kodi. Kljune besede: varnost, evaluacija, EU, upravljanje, informacijski sistemi, ISO17799 Key words: security, evaluation, EU, management, information systems, ISO17799 Uvod Vstopanje v Evropsko unijo pomeni prilagajanje tudi na podroju informacijske in telekomunikacijske infrastrukture. Potrebno bo vzpostavljanje raunalniških povezav ter elektronska izmenjava pomembnih dokumentov v in iz Slovenije, kar zahteva varnostno in kvalitetno prilagoditev informacijsko telekomunikacijske infrastrukture. Informacijskim sistemom in njihove povezljivosti v državni upravi bo potrebno zagotoviti najvišjo stopnjo zanesljivosti, varnosti in predvsem dvigu kvalitete, obenem pa poskrbeti, da bodo sistemi še naprej prijazni do uporabnika. 1. Predstavitev informacijskega sistema SVEZ Služba vlade RS za evropske zadeve (SVEZ) je bila ustanovljena pred šestimi leti kot vladni organ, ki bo koordiniral in pospeševal prilagajanje slovenske zakonodaje evropski zakonodaji, prilagajanje državne uprave in njenih institucij evropskim. V okviru SVEZ je tekel tudi pogajalski proces ob pridruževanju EU. Naloga SVEZ je bila tudi prevajanje evropskega pravnega reda v slovenski jezik. Z pozitivnim izidom referenduma o pristopu Slovenije k EU in s podpisom pristopne pogodbe 16. aprila 2003 se je en del procesa konal in zael drugi. SVEZ bo skrbel za koordinacijo evropskih zadev v pogojih lanstva Republike Slovenije v evropski uniji. Vlada Republike Slovenije je sprejela ve sklepov, ki

2 nalagajo SVEZ, da pripravi ustrezne ukrepe, potrebne za delovanje v pogojih lanstva RS v EU. Del teh ukrepov je tudi kvalitetna informacijska podpora delovnim procesom. Koordinacije evropskih zadev v pogojih lanstva je informacijsko zelo intenziven delovni proces. Pri tem aktivno sodelujejo ministrstva, diplomatsko konzularna predstavništva, predstavništvo RS pri EU, vladne službe, nevladne organizacije. EU in njene institucije v veliki meri poslujejo samo preko e-dokumentov. Dokumentov je vsak dan ve, delež papirnatih dokumentov je praktino zanemarljiv. V delovnem procesu ne gre samo za sprejem in distribucijo dokumentov. Gre za prenos znanja in informacij. Med velikim številom dokumentov, ki vsak dan prihajajo v RS so maloštevilni dokumenti, ki so lahko za državo zelo pomembni. Take dokumente je treba im hitreje identificirati, posredovati pravim naslovnikom znotraj državne uprave. Prejemniki se morajo na dokumente ustrezno odzvati npr. uskladiti svoja stališa znotraj državne uprave, stališe pa v roku posredovati v EU. Roki so obiajno zelo kratki. Na strani države pa je, ali se uspe ustrezno in hitro odzvati. Na SVEZ je skupaj s prevajalci okrog 120 redno zaposlenih in 80 drugih sodelavcev (študenti, zunanji sodelavci). IS ima tako okrog 200 uporabnikov. Imamo dve veji lokaciji (Šubieva in Tržaška) ter okrog deset delovnih mest oziroma sodelavcev, ki delajo na daljavo iz Kopra, Krškega in Maribora (teleworkers). Uporabniki SVEZ uporabljajo tudi storitve drugih državnih organov (internet in zunanja elektronska pošta preko Centra vlade RS za informatiko - CVI, razline Oracle aplikacije na Ministrstvu za finance in na CVI, omrežje državnih organov HKOM vkljuno z oddaljenim dostopom preko CVI, spremljanje sej vlade preko urada predsednika vlade in CVI, zakonodajni postopek državnega zbora, WEB storitve preko CVI, Infoklip Urada vlade za informiranje in druge. Na sliki 1 je prikazana shema informacijskega sistema SVEZ. Slika 1. Shema informacijskega sistema SVEZ Uporabniki na lokaciji Šubieva uporabljajo osnovne strežniške storitve na sistemih Linux in Samba. Prevajalci zaradi posebnih prevajalskih orodij delajo na Microsoft strežnikih. Vse delovne postaje imajo namešen operacijski sistem MS Windows 2000 Pro in pisarniško

3 zbirko MS Office Celotna služba uporablja tudi okolje Lotus Notes za elektronsko pošto in za druge aplikacije, ki delujejo v tem okolju 2. Sistem za upravljanje IS SVEZ Zaradi narave dela je potrebna relativno velika zanesljivost delovanja informacijskih storitev in hitri odzivni asi ob morebitnih problemih. Temu ustrezno smo vzpostavili in integrirali naslednje podsisteme za upravljanje IS SVEZ: orodja za upravljanje Linux strežnikov, ki so del operacijskega sistema ter dodatna Putty in WebMin, orodja za upravljanje Microsoft strežnikov, ki so del operacijskega sistema upravljanje protivirusne zašite SweepAdmin podjetja Sophos, on-line popis strojne in programske opreme Centennial podjetja Centennial, sistem za avtomatsko instalacijo in konfiguriranje delovnih postaj On Command ter program za oddaljen dostop do delovnih postaj CCM Remote podjetja On Technology, tehnologije Roaming Profiles in Policies podjetja Microsoft, sistem za nadzor in beleženje delovanja strežnikov in aktivne mrežne opreme na osnovi protokola SNMP z javljanjem SMS sporoil OpenView podjetja HP, sistem za zunanje preverjanje varnostnih nastavitev delovnih postaj, strežnikov in aktivne mrežne opreme Nessus na osnovi odprte kode, sistem za detekcijo vdorov v sistem, sistem za upravljanje optine stikalne opreme TrackView podjetja Alcatel, sistem za upravljanje Lotus Notes Domino strežnika Domino Administrator podjetja IBM Center za podporo uporabnikov s lani konzorcija za servisne posege in za zahtevnejše rekonfiguracije sistemov. Iz spiska je razvidno, da podsistemi in orodja niso vezani na enega proizvajalca, kar je tudi strateška usmeritev informatike v SVEZ. S tem je nekaj ve dela pri integraciji sistemov, zmanjšana pa je odvisnost od enega proizvajalca ali ponudnika. Z našim lanstvom v EU pa bo obvezno tudi ustrezno ravnanje z dokumenti, ki nosijo oznako "EU - zaupno". Glede na omejene loveške in finanne vire je smiselno in potrebno obasno narediti varnostni pregled (evaluacijo) informacijskega sistema saj na ta nain ugotovimo, kje smo najšibkejši oziroma, kam ima smiselno vlagati sredstva in energijo za izboljšanje varnosti. 3. Rezultati varnostnega pregleda Varnostni pregled IS SVEZ je bil usmerjen v praktine preizkuse, ki bi pokazali glavne pomanjkljivosti za zagotavljanje neprekinjenega in varnega poslovanja. Pregled je bil omejen na informacijsko tehnologijo, vendar je v doloenih segmentih vkljueval tudi elemente socialnega inženiringa. Najprej so bili opravljeni preizkusi ali se postopki, ki zagotavljajo varovanje sistema resnino dosledno izvajajo. Nato so bili po ISO17799 metodologiji opravljeni razgovori z vodstvenim

4 kadrom v informatiki ter osebjem v oddelku za informacijsko tehnologijo. V sklopu pregleda so bili postavljeni sistemi za sprotni nadzor omrežja ter varnostno analizo sistemov v omrežju SVEZ. V zadnjem delu so bili opravljeni podrobni pregledi strežnikih sistemov ter konfiguracije programske opreme Praktini preiskusi Iz prakse se izkaže, da se pri upravljanju z informacijskimi sistemi pojavljajo iste napake težave. Te smo imenovali PIN pogosto izvajane napake, kar je bil prvi korak pri varnostnem pregledu. PIN analiza vkljuuje: pregled dojemanja varnosti, pregled izvajanja varnostnega arhiviranja, test restavriranja nakljuno izbrane vsebine, pregled upravljanja z administrativnimi gesli, kvalitete teh gesel, pregled nastavitev kljune programske opreme (protivirusna, sistemska, aplikacijska), pregled dostopne dokumentacije, pregled funkcionalnosti nadzornega sistema Pregled po ISO17799/BC7799 standardu Standardi, ki obravnavajo varnostno politiko (ISO17799, BS7799) se ukvarjajo z razlinimi vidiki varnosti. Od splošne varnostne politike do fizinega varovanja. Glavno vodilo pa je dokumentirati sistem, tako da je možno na podlagi tega restavrirati oziroma dokumentirati vse ukrepe, ki znižujejo možnost varnostnega incidenta. V skladu z standardi so bili opravljeni intervjuji, s katerim smo pridobili pogled kako vodstveni kader ter osebje v oddelku za informacijsko tehnologijo vidi stanje sistema, ki ga upravlja. Pomembno pri intervjujih je navzkrižno vzorenje saj je pogled s strani vodstvenega kadra veinoma razlien od pogleda samega osebja, kar je tudi razumljivo. Osebje se dnevno sreuje s problematiko vzdrževanja ter zagotavljanja varnega delovanja sistema, vodilni kader pa ima pregled nad celoto sistema, kar je pomembno pri zagotavljanju celovitega varovanja. Podroja, ki so bila analizirana s pomojo vprašalnikov so bila nato tudi praktino preverjena Glavna pregledana podroja ISO17799 standarda so bila: varnostna politika, ki zadeva postopke in ukrepe za nadzor sistema, izvajanje ukrepov kot arhiviranje sistema, protivirusna zašita in podobno; organizacija v smislu, odgovornosti za doloeno podroje (uporabnik, oseba odgovorna za varnost, vodstvo); dokumentacija, ki je osnova za vse nadaljnje aktivnosti. Dokumentacija bi morala vsebovati vse dokumente potrebne za vzpostavitev ter varno upravljanje in uporabo informacijskega sistema; osebna varnost po katerih naj se ravna sleherni uporabnik, od same uporabe raunalnika, dela z elektronskimi dokumenti naprej;

5 komunikacije, nadzor nad zanesljivostjo ter varnostjo komunikacije. Opažamo da je pregled nad elektronsko komunikacijo pomanjkljiv v veini podjetij; nadzor dostopa, fizinega in elektronskega. Omejitev dostopa z varnostnimi sistemi fizinim, nadzor dostopa na nivoju omrežja, na nivoju aplikacije in podobno; sledenje razvoju ter spremembam. Problematino je, ker so stvari premalo dokumentirane. Ob spremembah je ob težavah težko izslediti vzroke napake; raziševanje napak je kljuni element kvalitetnega informacijskega sistema; kontinuiteta, postopki ob težavah, disaster recovery. Preizkus popolne vzpostavitve sistema iz varnostnih kopij; skladnost s standardi, internimi in mednarodnimi. Skladnost pri elektronski izmenjavi dokumentov postaja vedno veji faktor funkcionalnega in varnega sistema. Uporabiti je potrebno preskušene postopke izmenjave ter varovanja podatkov; 3.3. Preskus stanja programske opreme ter nadzor omrežja V sklopu varnostnega pregleda smo postavili tudi sistem za sprotno analizo vdorov (IDS) ter dogajanja v omrežju ter izvedli penetracijske teste. Sistem IDS je pomemben pri izdelavi varnostnega pregleda saj je informacijo o stanju oziroma dogajanju v omrežju težko pridobiti brez ustreznih orodij. Orodja kot so IDS nam omogoajo, da pridobimo vpogled nad morebitnim sovražnim dogajanjem v omrežju ali pa opozorijo na tehnine težave, ki se pojavljajo ob napani konfiguraciji opreme. Mrežni IDS (NIDS) sistemi delujejo tako, da nadzirajo promet, ki se odvija na lokalnem omrežju (sniffing) ter opazujejo vzorce. Ob doloenih sumljivih pojavih, recimo»port scanning«se odzovejo. Port scaning je postopek odkrivanja storitev, ki jih strežniki nudijo in je eden izmed priprav na napad (recimo DDOS distributed denial of service). Na sliki 2 je primer opozorila iz IDS zaradi odprtega SQL komuniciranja med uporabnikom (Oracle odjemalec) in strežnikom. Taka odprta komunikacija pomeni varnostno tveganje.

6 Slika 2. Primer opozorila iz IDS Penetracijski testi nam izdelajo sliko varnostnih pomanjkljivosti na opremi, ki je vkljuena v omrežje. S kopico programske opreme je namre težko zagotavljati varnost, saj je varnost odvisna od najšibkejšega lena v sistemu. Pri tem si lahko pomagamo z orodji, ki tako testiranje opravijo namesto nas. V sklopu pregleda je bil izveden penetracijski test, iz katerega so bile razvidne glavne pomanjkljivosti uporabljane programske opreme. Slika 3. Primer penetracijskega testa V tem primeru nas sistem opozarja na zastarelo programsko opremo, ki jo je potrebno nadgraditi. Zakljuek Varnost ni zadeva ene vladne službe ali ministrstva. Zaradi edalje tesnejšega sodelovanja in izmenjave e-dokumentov je povezana v smislu verige. Varna je toliko, kot je varen najšibkejši len. LITERATURA: Hajtnik, T. (2002). Priporoila za pripravo informacijske varnostne politike, razliica 2.0. Ljubljana: Center Vlade RS za informatiko. Internet Security Systems (2001). Protecting the Enterprise. London: Internet Security Systems. Roesch, M. in Green, (2002). Snort Users Manual Slovenski standard PSIST BS 7799, prva izdaja. (1997). Ljubljana: Urad RS za standardizacijo in meroslovje.

7 Avtorji Mag. Franci Mulec je konal študij upravljanja informacijskih sistemov v Kranju. Ukvarja se z uvajanjem kvalitetnih in uinkovitih informacijskih storitev v delovne procese. Sedaj je zaposlen v Službi Vlade RS za evropske zadeve kot svetovalec vlade RS. Mag. Jaro Berce je konal študij elektrotehnike v Ljubljani in podiplomski študij raunalništva v ZDA. V zaetnem obdobju je bilo njegovo delo usmerjeno predvsem v razvoj in vodenje informacijskih tehnologij in sistemov. Kasneje, ob spoznanju, da je uvajanje informacijske tehnologije povezano tudi še z organizacijskimi in ostalimi spremembami v podjetju, prine s pospešenim izobraževanjem na ostalih podrojih (stroški, organizacija, strategija,...) in delom kot podjetniški svetovalec. V tem asu uspešno sodeluje tudi z mednarodnimi podjetji in v letu 1993 ustanovi lastno podjetje za informacijsko tehnologijo in svetovanje - SIP&A. Sedaj je zaposlen v Službi Vlade RS za evropske zadeve kot državni podsekretar. Samostojno in v sklopu vejih projektov (PHARE, US-AID, IER,...) svetuje (sodeluje pri zasnovi in nastanku Industrijske strategije Slovenije), izobražuje (GEA Podjetniška akademija, fakulteta za elektrotehniko), vodi projekte na podroju informatike (Vlada RS - informacijski sistem za podporo procesa približevanja Slovenije EU). Hkrati s svojimi lanki (tudi v tujini), referati, vabljenimi predavanji in javnimi nastopi (tako na: Internetu, okroglih mizah, konferencah, Delo - Znanje, INFOS, Parlamentarna Javna predstavitev mnenj...) želi spremeniti trdovratno mišljenje o vrednotenju znanja t.i. Družbi znanja (Knowledge-economy) - Informacijski družbi, in enakosti strok ter vplivu tehnine inteligence. Authors Franci Mulec has finished his master degree in computer science at Maribor University. He deals with introducing and implementing efficient information services into work processes. Currently he is employed by Governmental office for EU affaires as a Counsellor to the Government. Ms.sci. Jaro Berce has finished his bachelor degree of electrical engineering at Ljubljana University, and has gained his masters degree in computer science in U.S.A. In his early profession stages his work was focused only in research and development of information systems and technology. Later on, with understanding that implementing information system needs also organizational and other changes, he started to build his expertise also on the management consulting and entrepreneurial skills needed in company (costs, organization structure, strategy, ). During this time he is involved in projects also with multinational consulting companies and founds his own company in year 1993, for an information technology and consulting - SIP&A. Currently he is employed by Governmental office for EU affaires as state undersecretary. On his own or within bigger projects (PHARE, US-AID, IER,...) he is consulting (as well as managing a sector strategic group and working on Strategic Industrial plan of Slovenia), teaching (GEA entrepreneurial academy, University of Ljubljana - faculty for electrical engineering), manages projects on the field of Information technology (Government of RS - an information system for support of a pre-accession period of Slovenia to EU), writes and publicly speaks (on Internet, round tables, conferences, publications, Parlamental public opinion ) on behalf of equality of profession knowledge especially for technical profession and its influence on Knowledge economy or Information society.