Bankovní institut vysoká škola Praha zahraničná vysoká škola Banská Bystrica Katedra kvantitatívnych metód a informatiky Ochrana elektronických dokumentov Protection of Electronic Documents Bakalárska práca Autor: Peter Stano Informačné technológie Vedúci práce: Ing. Radoslav Forgáč, PhD. Banská Bystrica Apríl 2011 Vyhlásenie Vyhlasujem, ţe som bakalársku prácu spracoval samostatne a s pouţitím uvedenej literatúry. Svojím podpisom potvrdzujem, ţe odovzdaná elektronická verzia práce je identická s jej tlačenou verziou a som oboznámený so skutočnosťou, ţe sa práca bude archivovať v kniţnici BIVŠ a ďalej bude sprístupnená tretím osobám prostredníctvom internej databázy elektronických vysokoškolských prác. V Liptovskom Mikuláši, 30. 4. 2011 .................................... Peter Stano Poďakovanie Ďakujem môjmu vedúcemu bakalárskej práce pánovi Ing. Radoslavovi Forgáčovi, PhD. za jeho odborné vedenie, uţitočné rady a pripomienky k vypracovaniu tejto bakalárskej práce. Anotácia Bakalárska práca je zameraná na ochranu elektronických dokumentov. V prvej časti je rozobratá problematika dôvodov a spôsobov ochrany elektronických dokumentov. Predmetom druhej časti práce je zoznam dostupných metód a riešení na ochranu elektronických dokumentov. Zoznam metód je zameraný na softvérové a hardvérové riešenia, ktoré sú určené na šifrovanie diskov. Predmetom tretej časti je analýza vybraných riešení z hľadiska stupňa ochrany. Tretia časť zahŕňa aj porovnanie softvérových a hardvérových riešení. V záverečnej časti bakalárskej práce je navrhnutá bezpečnostná politika na ochranu elektronických dokumentov. Kľúčové slová: elektronické dokumenty, šifrovanie, bezpečnostná politika. Annotation Bachelor thesis is focused on protection of electronic documents. First part of thesis is analysis of issue of reasons and ways to protect electronic documents. Subject of the second part of thesis is list of available methods and solutions for protection of electronic documents. List of methods is focused on software and hardware solutions which are dedicated for disc encryption. Subject of third part is analysis of selected solutions in term of protection degree. This part also includes comparison of hardware and software solutions. In the last part is designed security policy for protection of electronic documents. Key words: electronic documents, encryption, security policy. Obsah ÚVOD .................................................................................................................................. 6 1 ŠPECIFIKÁCIA POŽIADAVIEK NA OCHRANU ELEKTRONICKÝCH DOKUMENTOV ............. 7 1.1 DÔVODY OCHRANY ELEKTRONICKÝCH DOKUMENTOV ................................................................................................. 7 1.2 SPÔSOBY OCHRANY ............................................................................................................................................ 9 1.2.1 Ochrana dokumentov na úrovni riadenia prístupu ................................................................................ 9 1.2.2 Ochrana šifrovaním ............................................................................................................................. 10 2 PREHĽAD RIEŠENÍ NA OCHRANU ELEKTRONICKÝCH DOKUMENTOV ........................... 13 2.1 SOFTVÉROVÉ RIEŠENIA ...................................................................................................................................... 13 2.1.1 Šifrovanie súborov ............................................................................................................................... 13 2.1.2 Šifrovanie diskov .................................................................................................................................. 15 2.1.3 Softvérové zabezpečenie hesiel ........................................................................................................... 16 2.2 HARDVÉROVÉ RIEŠENIA ..................................................................................................................................... 17 2.2.1 Šifrovacie zariadenia .......................................................................................................................... 17 2.2.2 Hardvérové zabezpečenie hesiel a šifrovacích kľúčov ......................................................................... 18 2.3 ADMINISTRATÍVNE RIEŠENIA ............................................................................................................................... 21 2.3.1 Politika silných hesiel ........................................................................................................................... 21 2.3.2 Utajenie hesiel a šifrovacích kľúčov ..................................................................................................... 24 2.3.3 Spôsoby získavania hesiel .................................................................................................................... 24 3 ANALÝZA JEDNOTLIVÝCH METÓD A RIEŠENÍ Z HĽADISKA STUPŇA OCHRANY ............. 30 3.1 SOFTVÉR NA ŠIFROVANIE DISKU ........................................................................................................................... 30 3.2 HARDVÉROVÉ ZARIADENIA ................................................................................................................................. 35 3.3 ZHODNOTENIE VYBRANÝCH PRODUKTOV ............................................................................................................... 40 4 NÁVRH BEZPEČNOSTNEJ POLITIKY NA OCHRANU ELEKTRONICKÝCH DOKUMENTOV . 43 4.1 FYZICKÁ BEZPEČNOSŤ ........................................................................................................................................ 43 4.2 PERSONÁLNA BEZPEČNOSŤ ................................................................................................................................. 44 4.3 PROGRAMOVÁ BEZPEČNOSŤ ............................................................................................................................... 45 ZÁVER ............................................................................................................................... 48 POUŽITÁ LITERATÚRA ....................................................................................................... 49 5 Úvod Dnešný svet informačných technológií je veľmi rozmanitý a vystupujú v ňom tri skupiny subjektov. Prvú skupinu tvoria spoločnosti, organizácie, firmy, osoby, vládne agentúry, ktoré vyuţívajú najrôznejšie technológie na prenos, uskladnenie, tvorbu, dát a prácu s nimi. Do druhej skupiny patria všetky spoločnosti, ktoré napomáhajú pri ochrane dát. Do tretej skupiny patria osoby/a organizácie, ktorých cieľom prelomenie bezpečnostných opatrení a zneuţitie odcudzených dát vo svoj prospech. Čoraz častejšie dochádza k úniku dát. Pre všetky spoločnosti, ktoré pracujú s citlivými údajmi je veľmi nepríjemné, niekedy je to otázka ich preţitia, keď dôjde k úniku dát. Obzvlášť to platí o vládnych inštitúciách a bankovom sektore. Spomeňme si aspoň pár únikov dát, ktoré nastali (Protectyourdata.ie, 2009): November 2007 - Allied Irish Bank omylom poslala 15 000 platobných správ s detailmi o bankových účtoch zákazníkom na zlé adresy. November 2008 - osobné údaje o 894 zákazníkoch Bank of Ireland, boli stratené potom, čo zamestnanec banky ich neoprávnene skopíroval na počítačovú pamäť a tá sa následne stratila. Apríl 2008 - Banková skupina HSBC priznala stratu počítačového disku s detailmi o 370 000 zákazníkoch. Spomenuté tri úniky sú len kvapkou v mori z celej histórie úniku dát. Najhorší scenár nastáva v prípade, ţe odcudzené dáta nemajú potrebnú úroveň zabezpečenia, alebo majú len veľmi slabú ochranu. Cieľom tejto práce je spracovanie metód na ochranu elektronických dokumentov a zhodnotenie stupňa ochrany jednotlivých metód, zhromaţdenie informácií súvisiacich s problematikou šifrovania dát, spôsobov prelomenia ochrany, analyzovanie jednotlivých metód zabezpečenia a vytvorenie bezpečnostnej politiky pre prácu s dokumentmi. Na základe stanovených cieľov je štruktúra práce rozdelená do 4 kapitol. V prvej kapitole budeme špecifikovať poţiadavky kladené na ochranu elektronických dokumentov. Uvedieme dôvody prečo chrániť dokumenty a vymenujeme spôsoby zabezpečenia na úrovni riadenia prístupu k dokumentom. Druhá kapitola je zameraná na súčasný prehľad softvérových a hardvérových riešení na ochranu elektronických dokumentov a prostriedkov, na ktorých sú dokumenty uloţené. V tretej kapitole budeme analyzovať vybrané riešenia z druhej kapitoly. Záverečná kapitola bude pozostávať z návrhu bezpečnostnej politiky na ochranu elektronických dokumentov v podniku. 6 1 Špecifikácia poţiadaviek na ochranu elektronických dokumentov V posledných rokoch sa svet technológii výrazne vyvinul a neočakáva sa jeho spomalenie. Stále a stále sa zdokonaľujú staré zariadenia alebo sa vyvíjajú nové. Veľké firmy ako Microsoft, IBM, SAP a iné, investujú značné finančné prostriedky do inovácií a výskumu. Počas vývoja často dochádzalo k úniku informácii. Preto sa postupne vyvinuli viaceré spôsoby ochrany elektronických dokumentov. V tejto kapitole si uvedieme dôvody ochrany elektronických dokumentov, poukáţeme na dva výskumy, ktoré sa dotýkajú úniku informácii. Ukáţeme si niektoré moţnosti ochrany dokumentov v rámci operačného systému Microsoft Windows7. V celej práci budeme uprednostňovať platformu Windows. 1.1 Dôvody ochrany elektronických dokumentov V súčasnosti pôsobia na celosvetovom trhu podniky zaoberajúce sa najrozmanitejšími