Informacijska varnost oziroma InfoSec (Information Security) je področje, ki se ukvarja z zaščito informacij, podatkov in informacijskih sistemov pred nepooblaščenim dostopom, spremembami, izgubo, krajo ali nedosegljivostjo. Ko govorimo o varnosti spletnih strani, računalnikov, telefonov, uporabniških računov, podatkov, e-pošte ali spletnih aplikacij, se hitro srečamo s pojmi, kot so Cybersecurity, Malware, Phishing, MFA, Firewall, VPN, Encryption, Ransomware in Zero Trust. Vse to so različni deli precej širše zgodbe.

Na tej strani bomo pogledali osnove informacijske in kibernetske varnosti ter razložili najpomembnejše pojme – praktično, razumljivo in brez nepotrebnega kompliciranja.

Kaj bomo našli na tej strani?

• Kaj je InfoSec oziroma informacijska varnost?
• Kaj je Cybersecurity oziroma kibernetska varnost?
• CIA triada – zaupnost, celovitost in razpoložljivost
• Social Engineering in človeški dejavnik
• Malware in zlonamerna programska oprema
• Phishing in spletne prevare
• Ransomware in izsiljevanje z zaklepanjem podatkov
• MFA oziroma večfaktorska avtentikacija
• Firewall oziroma požarni zid
• VPN oziroma navidezno zasebno omrežje
• Encryption oziroma šifriranje
• Zero Trust in načelo “ne zaupaj, vedno preveri”

---

Kaj je informacijska varnost – InfoSec?

InfoSec je kratica za “Information Security” oziroma informacijsko varnost. Gre za zaščito informacij in informacijskih sistemov pred nepooblaščenim dostopom, spremembami, izgubo ali nedosegljivostjo. Pri tem ne govorimo samo o računalnikih. Informacije so lahko shranjene na strežniku, računalniku, telefonu, v oblaku, podatkovni bazi ali na papirju. Zato je InfoSec širši pojem od same kibernetske varnosti. Pomemben del informacijske varnosti niso samo tehnologije, ampak tudi ljudje, procesi, pravila in postopki. Tudi najboljši firewall namreč ne pomaga veliko, če nekdo svoje geslo preda napadalcu.

Podrobno: InfoSec: kaj sploh pomeni informacijska varnost?

InfoSec in Cybersecurity nista isto

Izraza se pogosto uporabljata kot sinonima, vendar nista popolnoma enaka. InfoSec je širši pojem in se ukvarja z zaščito informacij ne glede na njihovo obliko. Cybersecurity pa je bolj osredotočen na digitalni svet – računalnike, naprave, omrežja, aplikacije, spletne strani in digitalne storitve.

Poenostavljeno: InfoSec je širši dežnik, Cybersecurity pa eden od njegovih pomembnih delov.

Če nekdo ukrade podatke iz strežnika, govorimo o Cybersecurity in InfoSec. Če nekdo odnese mapo z občutljivimi papirnatimi dokumenti, je to še vedno problem informacijske varnosti, čeprav ni šlo za kibernetski napad.

Podrobno: Cybersecurity: kaj pravzaprav pomeni kibernetska varnost?

CIA triada: trije temelji varnosti

Pri informacijski varnosti se pogosto srečamo s CIA triado. Ne, ne gre za ameriško obveščevalno agencijo. CIA pomeni:

• Confidentiality – zaupnost
  Do informacij lahko dostopajo samo pooblaščene osebe.
• Integrity – celovitost
  Podatki ostanejo pravilni in niso nepooblaščeno spremenjeni.
• Availability – razpoložljivost
  Podatki in sistemi so na voljo takrat, ko jih potrebujemo.

Predstavljajmo si spletno trgovino. Če nekdo ukrade podatke kupcev, je ogrožena zaupnost. Če spremeni cene izdelkov, je ogrožena celovitost. Če napad povzroči, da trgovina ni več dostopna, je ogrožena razpoložljivost. Dobra informacijska varnost mora upoštevati vse tri.

Podrobno: CIA triada: trije temelji informacijske varnosti

Kako napadalci napadajo?

Varnost ni samo zgodba o antivirusih, firewallih in šifriranju. Napadalci lahko izkoristijo tehnične ranljivosti, ukradena gesla, napačne nastavitve ali zelo pogosto človeka.

Social Engineering

Pri social engineeringu napadalec ne poskuša nujno neposredno vdreti v sistem. Poskuša prepričati človeka. Lahko se predstavi kot IT-podpora, direktor, banka, dostavna služba, sodelavec ali celo rekruter. Uporablja lahko avtoriteto, strah, nujnost, radovednost ali željo po pomoči. Najbolj znan primer je phishing, vendar social engineering vključuje tudi telefonske klice, SMS-sporočila, klepete in druge oblike manipulacije.

Podrobno: Social Engineering: ko napadalec raje prepriča človeka kot sistem

Malware

Malware je kratica za malicious software oziroma zlonamerno programsko opremo. Gre za širši izraz, pod katerega spadajo različne vrste škodljive programske opreme – med drugim virusi, črvi, trojanci, spyware in ransomware.

Malware lahko krade podatke, spremlja uporabnika, poškoduje datoteke ali omogoči napadalcu dostop do sistema. Pomembno je tudi razlikovanje: virus je vrsta malwarea, malware pa ni nujno virus.

Podrobno: Malware: kaj je zlonamerna programska oprema?

Phishing

Phishing je poskus prevare, pri katerem se napadalec predstavlja kot zaupanja vredna oseba, podjetje ali storitev. Cilj je uporabnika prepričati, da:

• klikne povezavo,
• vnese geslo,
• potrdi prijavo,
• odpre priponko,
• posreduje podatke ali
• izvede plačilo.

Phishing se lahko pojavi v e-pošti, SMS-sporočilih, družbenih omrežjih, klepetih ali na lažnih spletnih straneh. In prav tu se pokaže povezava s social engineeringom: tehnologija lahko napada sistem, phishing pa pogosto najprej napade človekovo zaupanje.

Podrobno: Phishing: ko vas napadalec poskuša pretentati

Ransomware

Ransomware je ena bolj neprijetnih oblik kibernetskih napadov. Napadalec lahko žrtvi onemogoči dostop do podatkov oziroma jih šifrira in nato zahteva plačilo za njihovo obnovitev. Pri sodobnih napadih lahko napadalci podatke tudi predhodno ukradejo in nato grozijo z njihovo objavo. Zato varnostna kopija ni luksuz. Je eden ključnih delov načrta za primer, ko zaščita odpove.

Podrobno: Ransomware: ko ti napadalec zaklene podatke

Kako se zaščitimo?

Popolne varnosti praktično ni. Cilj informacijske varnosti zato ni ustvariti sistema, v katerem se nikoli nič ne zgodi, ampak zmanjšati tveganje, omejiti posledice in se znati odzvati, ko gre nekaj narobe. Pri tem pridejo v poštev različni varnostni mehanizmi.

MFA – večfaktorska avtentikacija

MFA (Multi-Factor Authentication) pomeni, da za prijavo potrebujemo več kot samo geslo. Poleg nečesa, kar vemo – na primer gesla uporabimo še nekaj, kar imamo, ali nekaj, kar smo. Primer je prijava z geslom in dodatno potrditvijo na telefonu.

Če nekdo ukrade geslo, mu zato samo geslo pogosto še ne omogoči dostopa do računa. MFA je danes eden najpomembnejših osnovnih korakov za zaščito uporabniških računov.

Podrobno: MFA: kaj je večfaktorska avtentikacija?

Firewall – požarni zid

Firewall oziroma požarni zid nadzoruje omrežni promet in na podlagi pravil določa, katera komunikacija je dovoljena in katera blokirana. Lahko si ga predstavljamo kot varnostnika na vhodu.

Vendar firewall ni čarobni zid, ki prepreči vse napade. Če uporabnik sam preda geslo napadalcu ali odpre škodljivo datoteko, firewall tega ni nujno sposoben preprečiti. Zato je firewall samo eden od slojev varnosti.

Podrobno: Firewall: digitalna požarna pregrada

VPN – navidezno zasebno omrežje

VPN (Virtual Private Network) ustvari zaščiteno povezavo prek drugega omrežja, običajno interneta. Pogosta uporaba VPN-ja je varen oddaljeni dostop do sistemov podjetja.

VPN lahko zaščiti komunikacijo med napravami oziroma končnimi točkami, vendar ne pomeni popolne anonimnosti in tudi ne zaščiti pred phishingom ali malwareom. VPN je orodje za določen varnostni problem – ne rešitev za vse varnostne probleme.

Podrobno: VPN: kaj je navidezno zasebno omrežje?

Encryption – šifriranje

Encryption oziroma šifriranje pretvori berljive podatke v obliko, ki je brez ustreznega ključa ni mogoče preprosto razumeti. Šifriranje uporabljamo pri:

• komunikaciji prek HTTPS,
• shranjevanju podatkov,
• telefonih in računalnikih,
• VPN povezavah,
• spletnih storitvah in
• številnih drugih sistemih.

Ločimo lahko med podatki, ki so v prenosu (data in transit), in podatki, ki so shranjeni (data at rest). Šifriranje je pomembno, ker pomaga preprečiti nepooblaščeno branje podatkov.

Podrobno: Encryption: kaj je šifriranje podatkov?

Zero Trust: ne zaupaj, preveri

Tradicionalni model je pogosto temeljil na ideji: Če si znotraj omrežja, ti zaupamo. Zero Trust razmišlja drugače. Ne zaupaj samodejno. Vedno preveri. Pri dostopu se preverjajo uporabnik, naprava, okoliščine in zahteva po dostopu. Poleg tega naj ima uporabnik oziroma sistem samo toliko pravic, kot jih dejansko potrebuje. Temu pravimo least privilege oziroma najmanjši potrebni privilegiji. To je pomembno predvsem v okolju, kjer imamo uporabnike, naprave, oblak, oddaljeni dostop in številne različne aplikacije.

Podrobno: Zero Trust: ne zaupaj nikomur, preveri vse

Varnost ni en program

Ena največjih napak pri razumevanju varnosti je ideja, da potrebujemo samo en dober program. Namestimo antivirus, vključimo firewall in mislimo, da je stvar rešena. V resnici je informacijska varnost sestavljena iz več slojev:

• Ljudje morajo znati prepoznati prevare.
• Sistemi morajo biti posodobljeni.
• Računi morajo biti zaščiteni z močnimi gesli in MFA.
• Podatki morajo biti ustrezno zaščiteni in varnostno kopirani.
• Omrežja morajo biti ustrezno segmentirana in nadzorovana.
• Dostopi morajo biti omejeni.
• Organizacija pa mora vedeti, kaj narediti, ko pride do incidenta.

In prav zato je InfoSec širši od samega Cybersecurityja.

Pomembno si je zapomniti

• Varnost ni en izdelek. Je kombinacija tehnologije, ljudi in procesov.
• Človek je lahko pomemben del varnostnega sistema ali njegova najšibkejša točka.
• Phishing in social engineering napadata predvsem zaupanje.
• MFA lahko bistveno zmanjša tveganje zaradi ukradenih gesel.
• Varnostne kopije so pomembne predvsem takrat, ko jih res potrebujemo.
• Firewall, VPN, antivirus in druge rešitve rešujejo različne probleme. Nobena sama ne zagotovi popolne varnosti.
• Šifriranje pomaga zaščititi vsebino podatkov pred nepooblaščenim branjem.
• Zero Trust pomeni, da dostopa ne odobrimo samo zato, ker je nekdo “znotraj”.
• Cilj ni 100-odstotna varnost. Cilj je zmanjšanje tveganja in čim boljši odziv, ko gre nekaj narobe.

Informacijska varnost ni nekaj, kar uredimo enkrat in potem pozabimo. Sistemi se spreminjajo, pojavljajo se nove ranljivosti, napadalci uporabljajo nove metode, uporabniki pa še vedno klikamo na stvari, na katere mogoče ne bi smeli. Zato je dobra varnost kombinacija tehnologije, procesov in ljudi. In če si morate zapomniti samo eno stvar: Ne vprašajte se samo, ali ste zaščiteni. Vprašajte se tudi, kaj boste naredili, če zaščita odpove.

Dodatni viri:

• SI-CERT – Nacionalni odzivni center za kibernetsko varnost; varnostni incidenti, ranljivosti in aktualna opozorila.
• Varni na internetu – Ozaveščanje uporabnikov, phishing, spletne prevare in praktični varnostni nasveti.
• Slo-Tech – Varnost – Tehnične novice in razprave o informacijski varnosti. Forum
• Monitor – Varnost – Novice in članki o IT-varnosti, kibernetskih grožnjah in zaščiti podatkov.