Rezime: U radu su analizirani osnovni pojmovi vezani za upravljanje sigurnošcu podataka. Ukazano je na potrebu i znacaj standardizacije u oblasti informaciono-komunikacionih tehnologija, narocito prema standardima Medunarodne organizacije za standardizaciju (International Standardization Organization -ISO). U završnom delu rada prikazane su proaktivne i reaktivne aktivnosti u upravljanju sigurnošcu podataka. Kljucne reci: podaci, standardi, upravljanje sigurnošcu podataka. 

STANDARDS FOR MANAGEMENT DATA SECURITY


Summary:

In this article basic notions of management data security are analyzed. We indicated demand and importance of standardization in information-communication technology domain, especially according to International Standardization Organization. In the final part of the article we illustrated both proactive and reactive activities in management data security. Key words: data, standards, management data security. 

Uvod

Standardi za upravlja nje sigur nošcu poda taka se, prema name ni, mogu podeliti na: standarde za sigur nost proizvoda, standarde za sigurnost procesa i standarde sigur nosti sistema [4]. 
Standardi koji osiguravaju sigur nost proizvoda definišu pravila pod kojima se može izdati sertifikat koji daje punu garanciju da je ne ki proizvod ili usluga sigur na. Nakon dve decenije razvoja i zajednic kih na pora, pre svega Japana, SAD, Kanade, Evropske unije i me dunarodne zajednice, usvojen je standard ISO/IEC 15408 (Security Eva lu ation Criteria). 
U podrucju standarda za sigur nost procesa najzna cajniji je ISO/IEC (TR) 13335-x Uputstva za upravlja nje sigurnoš cu infor macione tehnologije (Guide lines for the Ma na gement of IT Se curity -GMITS). Taj standard se sastoji od niza tehnic kih izveštaja koji služe kao uputstvo za imple mentaciju sistema upravljanja sigur noš cu podataka resursa i sprovodenje postupka samoocenjiva nja. -ISO 27001 -Information Se curity Management System (ISMS) requirements. 

Standardi ISO/IEC

Ovaj standard obja vljen je u oktobru 2005. godine, a za snovan je na britanskom standardu BS 7799-2. Definiše zahteve koje mora da is puni sistem za upravlja nje sigur noš cu podataka, da bi akreditova na or ga nizacija mogla da ga sertifikuje [2]; 
-ISO 27004 -Infor ma tion Se curity Mana gement Metrics and Me asurement. 
Ovaj standard je j oš uvek u razvoju i ocekuje se da ce biti obja vljen 2007. godin?. Treba da pomogne organizacija ma u merenju i iz veštavanju o efikasnosti njihovih sistema za upravlja nje sigurnošcu podataka obuhvacenih postupcima upravlja nja sigurnošcu (definisanih u ISO 27001) i kontrolama (obuhvacenih u ISO 27002); -ISO 27005 -Infor ma tion Se curity Risk Mana gement. 
Ocekuje se da ce biti obja vljen 2008. ili 2009. godine. Za sniva ce se na britanskom standardu BS 7799-3, koji je obja vljen u martu 2006. godine. Ovaj standard ce obuhva tati procenu rizika, sprovodenje odgova rajucih kontrola, nadgle danje i ponovnu procenu rizika u toku rada ili pe riodic no, održava nje i stalno unapredenje sistema kontrole i drugo. 
Model sistema upravlja nja sigurnošcu poda taka, koji podr žava standard ISO/IEC 17799 primenljiv je za or ganiza cije svih tipova i ve licina, a može se prila goditi razlicitim geografskim, kultur nim i socijalnim uslovima. Ovaj standard za dovolja va potrebe razlicitih or ganiza cija širom sve ta, osiguravajuci im zajednic ki okvir za ba vlje nje pitanjima u vezi sa sigur noš cu podataka [4]. 
Standard ISO/IEC 17799 bavi se proble ma tikom de finisanja politike sigurnosti i primene opšte dobre prakse upravlja nja sigur noš cu poda taka. Termin "politika racunarske sigur nosti" de finiše se kao direktiva rukovodstva da se for mira plan zaštite poda taka, utvr de cilje vi i odrede odgovor nosti [8]. Taj standard pruža dragocenu pomoc kao pregled visokog nivoa koji me nadžmentu kompanije omogucava da sagle da i razume problema tiku upravlja nja sigur noš cu poda taka u sopstve noj or ganiza ciji [4]. 
Upravlja nje sigur noš cu podataka u racunarskim sistemima može se, uslovno, podeliti na dva dela -pr oaktivno i reaktivno de lova nje . 
Proaktivnim de lova njem se, pr venstve no, one mogucava , ote žava ili sprecava neovla šcenim licima da dodu do sadržine podataka ili dokume nata. 
Reaktivnim de lo vanjem obezbeduje se da sistem povrati osnovne servise (odredene nivoe in tegriteta, poverljivosti, performansi i drugih kva litativnih svojstava). 

Proaktivno delovanje

Najbolji me tod eliminisanja ili ublažavanja rizika je ste proaktiv no de lova nje koje se obezbeduje višestrukim sferama. 
Model ešelonirane višeslojne zaštite poda taka realizuje se modelom zaštitnih pr stenova (sfera) koji cine: 
-sfera fizic ke zaštite (onemogucava fizic ki pristup na pada ca); 
-tehnic ka sfera (sistemi za de tekciju i sprecava nje na pada i dr.); -ka drovska sfera (pravilan iz bor kadrova i obezbedenje optimalnih uslova rada); 
-or ganiza ciona sfera (mere i aktivnosti, nadle žnosti i obave ze korisnika i izvr šila ca, kao i pristup resur sima), -nor ma tivna sfera (za koni, uputstva, pla novi i druge regula tive koje obavezuju i propisuju izvr šenje ne ke radnje i nacin izvr šenja te radnje ). 
Standard ISO 17799 reguliše, sa aspekta proaktivnog de lovanja, zna cajne me re [1]. 
U delu "Kontrolisanje pristupa mreži" na vodi se da treba kontrolisati pristup internim i eks ternim mrežnim usluga ma (servisima). 
Delovi "Politika koriš cenja mrežnih usluga (servisa)" i "Ogranicenje pristupa infor ma cija ma" upozoravaju da korisnicima treba obezbe diti direktan pristup samo onim uslugama za koje ima ju odobrenje za koriš cenje. To kontrolisanje je posebno va žno kod mrežnog pove ziva nja sa osetljivim ili kritic nim poslovnim aplikacija ma ili sa korisnicima na me stima velikog rizika, npr. javnim ili spoljnim podruc jima koja su izvan kontrole i upravlja nja sigurnoš cu u or ga nizaciji. 
Deo "Politika u pogle du elektronske poš te" reguliše da organiza cije treba da projektuju ja snu politiku u pogle du elektronske poš te (zaštitu od sadrža ja pridodatih elektronskoj poš ti, uputstva kada ne treba koristiti elektronsku poš tu i sl.). 
Deo "Nadgle da nje pristupa i korišcenja sistema" uka zuje na to da siste me treba nadgle dati, ka ko bi se otkrila odstupanja od politike kontrole pristupa i za pisali uoc ljivi dogadaji, da bi se obezbe dili doka zi za slucaje ve incidena ta u pogle du sigur nosti. 
Deo "Kriptografske kontrole" realizuje se s ciljem da se zaštiti poverljivost, verodostojnost ili celovitost infor macija. Kriptografske sisteme i postupke treba prime njivati radi zaštite poda taka za koje se sma tra da su u opa snosti i kojima druge kontrole ne pruža ju dovoljnu zaštitu. 
Deo "Sa mozaštita za pisa u or ga niza ciji" uka zuje na to da važne zapise u nekoj or ga nizaciji treba zaštititi od gublje nja, uništenja i falsifikovanja. Vremenski pe riod i sadržaj podataka koji se cuva ju mogu biti predvideni regula tivom. Zapise treba razvr stati u ka tegorije tipova za pisa, npr. za pise u baza ma poda taka, za pisnike o transakcija ma, za pise o proverama i ope rativ nim procedurama, svaki sa de taljima o periodu cuvanja i tipu medijuma na kojima se oni cuva ju. Sistem za skla diš te nje podataka treba oda brati tako da se potrebni podaci mogu pretraživa ti na na cin koji je za konski i sudski prihva tljiv, npr. da se svi potrebni za pisi mogu izvuci u prihvatljivom roku i forma tu. Sistemi za skla diš tenje i rad sa podacima treba da osiguraju ja snu identifikaciju za pisa i njihov sta tutarni ili regula tiv ni pe riod cuvanja. Sistem mora do-zvolja va ti odgova rajuce uniš ta vanje za pisa po is te ku tog pe rioda ako or ganiza ciji više nisu potrebni. 
Da bi se is punile ove oba veze, unutar or ganiza cije treba preduze ti sle de ce korake: 
-iz da ti uputstvo o cuvanju, skla dištenju, postupa nju i odba civanju za pisa i infor ma cija; 
-iz raditi nacrt -termin pla na za cuvanje , kojim se identifikuju najvažniji tipovi zapisa i period u kojem ih treba sacuvati; 
-odr ža vati inventarski popis izvora kljuc nih infor ma cija; 
-uve sti odgovarajuce kontrole radi zaštite najvažnijih za pisa i in for ma cija od gublje nja, uniš tenja i falsifikova nja. 
U novije vreme posebno zna cajan segment zaštite podataka predstavlja ju odredena hardverska i softverska rešenja za de tekciju i sprecavanje na pa da. Proizvodaci racunarske opreme sve više isticu me re sigur nosti. Ta ko je Bil Gejts is takao da ce prioritet u razvoju Mic rosoft proizvoda ubuduce imati zaštita [7]. 

Reaktivno de lovanje

Kada pored proaktiv nog de lovanja dode do incidenta, or ganiza cije moraju biti spremne da se suprotstave br zo i efikasno, da bi se minimizirao ne ga tivan uticaj i prikupili neophodni podaci koji bi dove li do pocinioca kriminalne radnje. 
Ne ula zeci u uzroke incidenta, nakon nje ga sle de cih šest koraka znatno ce pomoci da se upravlja br zo i efikasno [6] : 
-zaštita života i bezbednosti ljudi; -lo ka lizovanje oš tecenja; -procena oš tecenja; -utvr diva nje uzroka oš te cenja; -oporavak oš tecenja, i -razma tranje reakcije (odgovora) i ažuriranje politike. 
Mnoge kompanije, or ga nizacije i vla dine agencije ima ju imple mentirane kapa citete za odgovore na incident (incident ma na gement), fokusirajuci se, pre svega, na sle dece aspekte [5]: 
-efikasan odgovor (obuhva ta: pripremu, identifikovanje, zadr ža vanje, eliminisanje, oporavak i pracenje); -centraliza ciju (za izveštavanje, suprostavlja nje incidentu i sl.), -poboljšanje sve sti korisnika. Kada se na pad de si, ili sistem bude kompromitovan, ve oma je va žno prikupiti podatke (dokaze) o tome šta se de silo. U odredenim granicama racunari i osta li mrežni uredaji (npr. sistemi za de tekciju upa da) sposobni su da za bele že aktivnosti koje su se dogodile u njihovim granicama ili proš li kroz njih. Ta evidencija je neophodan ele ment procesuiranja odgovor nih lica. 
Zavisno od procenje nih rizika, nužno je da sva ka orga niza cija sacini "plan upravlja nja kontinuitetom poslovanja ". Upravlja nje kontinuitetom poslo vanja treba da obuhvati kontrole za identifikovanje i smanjivanje rizika, za ogranicavanje posle dica in cidenata i da osigura da se važne ope racije pravovreme no ponovo za pocnu. Postupak upravlja nja kontinuitetom poslovanja treba uvesti ka ko bi se sma njile posle dice štetnih dogadaja na prihvatljiv nivo kombinovanjem kontrola za prevenciju i za oporavak. Usled razlicitih promena rizika, lo ših procena ili drugih faktora, pla nove za kontinuitet poslo vanja treba odr žava ti kroz redovno preispitivanje i ažuriranje , ka ko bi se osigurala njihova efikasnost. Kada je sacinjen ta kav plan, od strategijskog zna caja , neophodno ga je primenjivati u praksi [1]. 

Zakljucak

Baze podataka veoma su ranjive i izlo žene ozbiljnim potencijalnim opasnostima. Apsolutna sigur nost podataka nije moguca. U skla du sa potencijalnim opasnostima moguce je je dino upravlja ti sigur nošcu podataka, a rizike svoditi na minimum. 
Upravlja nje sigur noš cu podataka ote žava ju stalne prome ne rizika s obzirom na to da se nije dan incident ne može predstaviti kao tipican. To je konstantan proces koji zahteva saradnju sva kog de la i cla na or ga niza cije. 
Sve je ve ci broj or ga niza cija u kojima , pored vode ceg slu žbe nika bezbednosti ( Chief Security Officer -CSO), post?ji, kao za sebna funkcija, vodeci službe nik informa cione bezbednosti (Chief Infor mation Security Officer -CISO). Vodeci slu žbe nik informa cione bezbednosti pripada top-me nadžmentu organiza cije i ba vi se razradom i realizacijom politike bezbednosti. Pored vode ceg slu-žbe nika infor ma cione bezbednosti, sve je cešca i funkcija mena dže ra slu žbe IB (Business Infor ma tion Se curity Officer -BISO), koji se ba vi praktic nom realiza cijom politike bezbednosti na nivou ne ke or ganiza cione celine (npr. plansko-ekonomskog, marketin ga ili ode ljenja IT). 
Upravlja nje sigur noš cu podataka prerasta u zasebnu de latnost sa široko razgrana tom le pezom profesija i sa sve vecim brojem ljudi koji ce profesionalno raditi na tim pitanjima.