Když všechno označíte jako „tajné“, není to bezpečnost. Je to chaos.

V oblasti kybernetické bezpečnosti existuje několik pojmů, které se často zaměňují. Klasifikace informací, TLP protokol, bezpečnostní kategorizace nebo řízení přístupu bývají v prezentacích, interních směrnicích i marketingových materiálech používány téměř jako synonyma. Nejsou. Je to podobné, jako kdyby někdo tvrdil, že registrační značka automobilu, řidičský průkaz a dopravní značka představují totéž, protože se všechny nějak týkají dopravy.

Výsledkem tohoto zmatku bývá prostředí, ve kterém nikdo neví, zda má označit dokument jako důvěrný, přidat k němu TLP:AMBER nebo jej uložit do složky s omezeným přístupem. Přitom každé z těchto opatření řeší úplně jinou otázku. Pokud je zaměníme, vznikne chaos a nesrozumitelná situace, která vede k falešnému pocitu bezpečnosti. Ten je stejně nebezpečný jako ignorování pravidel.

Čtyři otázky bezpečnostního architekta

Představte si situaci, kdy získáte informaci o nové kritické zranitelnosti. Než ji začnete sdílet nebo ukládat, měl by jste si odpovědět na čtyři jednoduché otázky.

1) Jak citlivá tato informace je?

2) Komu ji smíme předat?

3) Kdo k ní může přistupovat?

4) Jaké následky nastanou, pokud bude kompromitována?

Každou z těchto otázek řeší jiný standard nebo metodika. Bez pochopení těchto pravidel jakákoliv snaha o klasifikaci údajů skončí již zmiňovaným chaosem.

TLP není klasifikace

Traffic Light Protocol (TLP), spravovaný organizací FIRST, vznikl jako jednoduchý způsob řízení sdílení informací mezi organizacemi. Jeho cílem není určit citlivost informace, ale stanovit pravidla pro její další šíření. TLP tedy neříká, jak důležitá nebo utajovaná informace je. Říká pouze, kdo ji smí dále sdílet. Indicií k čemu je TLP protokol určen je jakákoliv část standardu. Nikde se zde nehovoří o tom, zda je informace tajná, důvěrná nebo veřejná. TLP prostě neurčuje citlivost informace.

Ve verzi TLP 2.0 existuje pět úrovní:

TLP:CLEAR – informace lze veřejně sdílet.

TLP:GREEN – lze sdílet v rámci komunity.

TLP:AMBER – pouze uvnitř organizace příjemce.

TLP:AMBER+STRICT – pouze konkrétním příjemcům.

TLP:RED – pouze účastníkům původní komunikace.

Pokud získáme informaci o nové kritické zranitelnosti, může obsahovat veřejně známé informace a přesto být označena jako TLP:RED. Prostě výrobce zatím nechce umožnit šíření této informace mimo bezpečnostní tým. Stejná informace může být o několik dní později označena jako TLP:CLEAR, přestože se její obsah vůbec nezmení. TLP tedy odpovídá pouze na jedinou otázku: Komu mohu informaci poslat dál?

Na jakou otázku odpovídá klasifikace informací?

Klasifikace informací řeší jejich citlivost. Organizace se snaží určit, jak závažné důsledky by mělo neoprávněné zveřejnění, změna nebo ztráta dané informace. Proto většina organizací používá vlastní klasifikační schéma. Nejčastěji se objevují úrovně Public, Internal, Confidential a Restricted. Některé společnosti přidávají ještě Secret nebo Highly Confidential, jiné naopak používají pouze tři úrovně. V soukromém sektoru je možné často narazit na dokument označený jako „Confidential“. Ve státní správě se naopak používají zákonem definované stupně utajení. Obě řešení mohou být správná, přestože vypadají odlišně.

ISO/IEC 27001 ani ISO/IEC 27002 konkrétní názvy tříd nepředepisují. Vyžadují pouze, aby organizace klasifikaci zavedla, používala konzistentně a aby odpovídala skutečným rizikům. To je důležitý rozdíl oproti TLP. ISO říká, že klasifikace má existovat, ale nestanovuje její podobu.

Je tu ještě jeden rozdíl. Státní správa má zpravidla vlastnosti klasifikace jasně určené zákonem. Soukromá firma tedy nemůže svým interním dokumentům dát označení například „TAJNÉ“, tím by mohla naznačovat nebo tvrdit, že jde o státní stupeň utajení. Takové označení by mohlo být zavádějící, zejména pokud by dokumenty byly sdíleny mimo firmu nebo se státními institucemi. Proto by měla být klasifikace jasně definována a odlišena. Na druhou stranu není obecně zakázáno používat podobnou terminologii, pokud je jasně uvedeno, že jde o firemní systém.

FIPS 199 určuje dopady

Jedním z nejčastějších omylů je tvrzení, že FIPS 199 představuje systém klasifikace dokumentů. Americký standard FIPS 199 – Standards for Security Categorization of Federal Information and Information Systems hodnotí dopad bezpečnostního incidentu na informační systém nebo typ informací. Posuzuje tři základní bezpečnostní vlastnosti. První je důvěrnost (confidentiality), druhou integrita (integrity) a třetí dostupnost (availability). To je známá triáda bezpečnosti CIA. Každá z těchto vlastností získá úroveň Low, Moderate nebo High. Výsledkem není štítek na dokumentu, ale bezpečnostní kategorizace systému.

Pokud si představíme třeba nemocniční informační systém, ztráta dostupnosti může znamenat ohrožení života pacientů. V takovém případě bude dostupnost hodnocena jako High. Důvěrnost osobních údajů naproti tomu může být Moderate a integrita záznamů opět High. Tato kombinace nakonec určuje, jaká bezpečnostní opatření musí být implementována. FIPS 199 tedy odpovídá na otázku: Jak závažné budou dopady bezpečnostního incidentu?

Spojení sil: FIPS a NIST

Samotný FIPS 199 je poměrně stručný dokument. Praktické použití popisuje až NIST SP 800-60, který ukazuje, jak jednotlivé typy informací kategorizovat. Dalším navazujícím dokumentem na dokument určující dopady je FIPS 200. Ten stanovuje minimální bezpečnostní požadavky pro federální informační systémy. Posledním dokumentem je je NIST SP 800-53. Tent obsahuje katalog bezpečnostních opatření, která mají odpovídat výsledné bezpečnostní kategorii.

Tedy FIPS 199 určuje dopady úniku dat, NIST SP 800-60 závažnost a NIST SP 800-53 způsob řešení.

FIPS 199 tedy určuje kategorii bezpečnostního dopadu (impact level) na základě důvěrnosti, integrity a dostupnosti. NIST SP 800-60 pomáhá tuto kategorii určit pro konkrétní typy informací a informační systémy. NIST SP 800-53 definuje bezpečnostní a ochranná opatření (controls), která se mají implementovat pro snížení rizika. FIPS 200 plní roli převodu stanovené úrovně dopadu na minimální bezpečnostní požadavky pro federální informační systémy.

Státní sektor

Veřejná správa a bezpečnostní složky nepoužívají stejné klasifikační úrovně jako komerční společnosti. Právní předpisy nařizují jednotné označování utajovaných informací. Komerční organizace z tohoto důvodu musí implementovat jasně odlišitelné stupně klasifikace dat. Evropská unie používá čtyři stupně EU Classified Information. NATO používá vlastní klasifikační schéma. Jednotlivé členské státy pak mají národní klasifikační systémy, které jsou s nimi vzájemně mapovány. Tyto klasifikační stupně mají právní význam. Nejde pouze o doporučení nebo interní metodiku, chybné vyhodnocení dat má vážné následky. A to je přesně ten důvod, proč se shodnému označování musí soukromé organizace vyhnout.

Klasifikace ještě neznamená přístup

Představme si trezor plný dokumentů označených jako „Secret“. Samotný štítek na dokumentu ještě neznamená, že kdokoliv s bezpečnostní prověrkou může všechny dokumenty otevřít. K tomu slouží řízení přístupu. Řízení přístupu určuje, kdo může dokument číst, měnit nebo mazat. Jinými slovy odpovídá na otázku: Kdo smí dovnitř? Toto téma řeší řízení přístupu. Zde existuje několik různých metod schovávajících se pod zkratkami DAC, MAC, RBAC, ABAC a další.

Představme si dokument obsahující plán reakce na bezpečnostní incident. Organizace jej klasifikuje jako Confidential. Současně jej označí TLP:AMBER, protože nechce, aby byl předáván mimo organizaci. Přístup k dokumentu získají pouze členové bezpečnostního týmu prostřednictvím RBAC. Pokud organizace používá MAC, bude navíc ověřena bezpečnostní úroveň uživatele. Pokud používá ABAC, systém zkontroluje také zařízení, lokaci nebo další atributy. Každý mechanismus řeší jiný problém. Žádný z nich nenahrazuje ostatní. Znalost těchto mechanismů a dopadů jejich působení je nedílnou součástí pochopení celé problematiky řízení bezpečnosti informací v oblasti IT.

Závěr

Nejčastější omyly v této oblasti jsou způsobeny nepochopením.

Omyl 1: že TLP představuje klasifikaci dokumentů. Nepředstavuje.

Omyl 2: FIPS 199 označuje dokumenty jako důvěrné nebo tajné. Ve skutečnosti hodnotí dopad bezpečnostního incidentu na informační systémy a informační typy.

Omyl 3: Klasifikace automaticky určuje přístupová oprávnění. Ve skutečnosti klasifikace pouze popisuje citlivost informace. Oprávnění řeší až model řízení přístupu.

Omyl 4: Organizace věří, že zavedením klasifikačních štítků vyřešila bezpečnost informací. To je jako by se nemocnice vyhodnotila, že po připnutí identifikační informace pacientovi již není třeba lékaře. Označení samo o sobě nic nechrání. Skutečnou bezpečnost vytváří až kombinace správné klasifikace, vhodného řízení přístupu, kontrol sdílení informací a důsledného dodržování bezpečnostních pravidel.

Omlouvám se, tentokrát bude seznam referencí delší. Na toto téma by bylo možné psát dlouho.

Autor článku:

Jan Dušátko

Jan Dušátko se počítačům a počítačové bezpečnosti věnuje již skoro čtvrt století. V oblasti kryptografie spolupracoval s předními odborníky např. s Vlastimilem Klímou, či Tomášem Rosou. V tuto chvíli pracuje jako bezpečnostní konzultant, jeho hlavní náplní jsou témata související s kryptografií, bezpečností, e-mailovou komunikací a linuxovými systémy.