b"\n_START_ARTICLE_\nInformacijska varnost\n_START_SECTION_\nZgodovina\n_START_PARAGRAPH_\nGlavni dr\xc5\xbeavniki in poveljniki vojske so od prvega dne pisanja vedeli, da je potrebno nujno vzpostaviti mehanizme varstva zaupnosti dopisovanja. Zaradi \xc5\xbeelje po varnosti komuniciranja so uporabljali pe\xc4\x8datni vosek in druge priprave iz voska, da bi zaznamovali verodostojnost dokumenta, prepre\xc4\x8dili vme\xc5\xa1avanje in zagotovili zaupnost dopisovanja._NEWLINE_Julij Cesar je zaslovel z iznajdbo cesarske cifre leta 50 pred na\xc5\xa1im \xc5\xa1tetjem, da bi prepre\xc4\x8dil, da bi njegovo tajno sporo\xc4\x8dilo bilo prebrano, \xc4\x8de bi padlo v napa\xc4\x8dne roke._NEWLINE_Druga svetovna vojna je prinesla mnogo prednosti na podro\xc4\x8dju informacijske varnosti in je zaznamovala njen za\xc4\x8detek strokovnega podro\xc4\x8dja. Videla je napredek v fizi\xc4\x8dnem varovanju informacij z barikadami in oboro\xc5\xbeenimi stra\xc5\xbeami, ki so kontrolirali dostop do informacijskih centrov. Prav tako so prispevali k formalni klasifikaciji baze podatkov na osnovi ob\xc4\x8dutljivosti informacij in kdo lahko dostopa do njih._NEWLINE_Konec 20. stoletja in v zgodnjih letih 21. stoletja je pri\xc5\xa1lo do hitrega napredka v telekomunikacijah, ra\xc4\x8dunalni\xc5\xa1ki strojni in programski opremi in algoritmu za \xc5\xa1ifriranje podatkov. Obdelava elektronskih podatkov je postala dostopna majhnim podjetjem in doma\xc4\x8di uporabi zaradi majhne, bolj zmogljive in cenovno ugodnej\xc5\xa1e ra\xc4\x8dunalni\xc5\xa1ke opreme. Ra\xc4\x8dunalniki so postali medsebojno povezani preko mre\xc5\xbee, splo\xc5\xa1no imenovane internet ali splet. Hitro rast in \xc5\xa1iroko uporabo obdelave elektronskih podatkov in elektronskih poslov, ki potekajo na internetu, spremlja tudi mednarodni terorizem, za kar so potrebne bolj\xc5\xa1e metode varovanja ra\xc4\x8dunalnikov in informacij.\n_START_SECTION_\nOsnovni principi\n_START_PARAGRAPH_\nOsnovni principi informacijske varnosti so zaupnost, neokrnjenost in razpolo\xc5\xbeljivost - poznano kot CIA triada (ang. confidentiality, integrity and availability).\n_START_SECTION_\nZaupnost\n_START_PARAGRAPH_\nDejansko ni mogo\xc4\x8de dobiti vozni\xc5\xa1kega dovoljenja, najeti apartma, prejeti zdravstveno oskrbo, ali vzeti posojilo brez tega, da bi povedali zelo zaupne informacije o sebi, kot so ime, naslov, telefonska \xc5\xa1tevilka, datum rojstva, \xc5\xa1t. socialne varnosti, materialni status, \xc5\xa1tevilo otrok, materin dekli\xc5\xa1ki priimek, dohodek, delovno mesto, zgodovina zdravja, itn. To so vse zelo zasebne informacije, ki so od nas zahtevane za izvr\xc5\xa1itev dolo\xc4\x8denega posla. Obi\xc4\x8dajno jih povemo z upanjem, da bo oseba ali institucija, ki ji zaupamo tako zasebne informacije, zagotovila za\xc5\xa1\xc4\x8dito le-teh pred nepoobla\xc5\xa1\xc4\x8denim odkritjem, slu\xc4\x8dajnim ali namernim, in da bodo na\xc5\xa1e informacije posredovane ljudem, institucijam, ki so poobla\xc5\xa1\xc4\x8dene za dostop in, ki jih resni\xc4\x8dno potrebujejo._NEWLINE_Informacije, ki so smatrane kot zaupne \xc5\xbee po naravi, morajo biti dostopne, uporabljene ali razkrite osebam, ki imajo pooblastilo za njih in takrat ko je to resni\xc4\x8dno potrebno. Do kr\xc5\xa1itve zaupnosti pride, ko je informacija, ki je \xc5\xbee po naravi smatrana kot zaupna ali bi to morala biti, uporabljena, kopirana ali razkrita od nekoga, ki ni poobla\xc5\xa1\xc4\x8den za dostop do nje._NEWLINE_Primer: dovoliti nekomu, da gleda \xc4\x8dez tvojo ramo na ekran ra\xc4\x8dunalnika, ko ima\xc5\xa1 na njem zaupne podatke, je kr\xc5\xa1itev zaupnosti, \xc4\x8de oseba ni poobla\xc5\xa1\xc4\x8dena za dostop do teh informacij. Ukradeni prenosni ra\xc4\x8dunalnik iz avtomobila, ki vsebuje informacije o zaposlitvi in zaslu\xc5\xbekih okrog 100,000 zaposlenih, pomeni kr\xc5\xa1itev zaupnosti, ker so informacije sedaj v rokah nekoga, ki ni poobla\xc5\xa1\xc4\x8den, da bi jih imel.\n_START_SECTION_\nNeokrnjenost\n_START_PARAGRAPH_\nNeokrnjenost, v sklopu pojma informacijske varnosti pomeni, da podatki ne smejo biti ustvarjeni, spremenjeni ali uni\xc4\x8deni brez pooblastila. Prav tako pomeni, da so podatki shranjeni v enem delu informacijskega sistema, v skladu z drugimi sorodnimi podatki, shranjenimi v drugem delu informacijskega sistema (ali v drugem sistemu). Primer: do izgube neokrnjenosti lahko pride, ko informacijski sistem ni primerno ugasnjen, ali ko informacijski stre\xc5\xbenik nenadoma izgubi elektri\xc4\x8dno energijo. Izguba neokrnjenosti pomeni tudi nenameren ali zlonameren izbris pomembne informacijske datoteke.\n_START_SECTION_\nRazpolo\xc5\xbeljivost\n_START_PARAGRAPH_\nKoncept razpolo\xc5\xbeljivosti pomeni, da informacijsko-ra\xc4\x8dunalni\xc5\xa1ki sistem obdela informacije, pri \xc4\x8demer varnostna kontrola varuje, da so informacije razpolo\xc5\xbeljive in pravilno delujejo, ko je informacija potrebna. Nasprotje razpolo\xc5\xbeljivosti je zavrnitev storitve._NEWLINE_Leta 2002 je gospod Donn Parker predlagal alternativni model za klasi\xc4\x8dno CIA triado (ang. confidentiality, integrity and availability), ki jo je poimenoval \xc5\xa1est pomembnih elementov informacije. Njegov alternativni model vsebuje zaupnost, neokrnjenost, verodostojnost, razpolo\xc5\xbeljivost in uporabnost, ki so predmet debate med strokovnjaki za varnost.\n_START_SECTION_\nVerodostojnost\n_START_PARAGRAPH_\nV ra\xc4\x8dunalni\xc5\xa1tvu, e-poslovanju in informacijski varnosti je pomembno zagotoviti, da so podatki, izvr\xc5\xa1evanje, zveza in dokumenti (elektronski ali fizi\xc4\x8dni) resni\xc4\x8dni (ne smejo biti ponarejeni).\n_START_SECTION_\nNezatajljivost\n_START_PARAGRAPH_\nObsega namen nekoga, da izpolni obveznosti do pogodbe. Prejete izvr\xc5\xa1itve ne morejo biti zanikane in tudi poslane izvr\xc5\xa1itve ne morejo zanikati. _NEWLINE_Elektronsko poslovanje uporablja tehnologije, kot so digitalni podpis in \xc5\xa1ifriranje za osnovanje verodostojnosti in neponarejanja (nezatajljivosti).\n_START_SECTION_\nObvladovanje tveganj\n_START_PARAGRAPH_\nCISA Review Manual 2006 priskrbi slede\xc4\x8de definicije obvladovanja tveganj:  Obvladovanje tveganj je proces prepoznavanja ranljivosti in gro\xc5\xbenje za informacijske vire, ki jih uporabljajo organizacije za doseganje poslovnih ciljev, in odlo\xc4\x8danje o nasprotnih ukrepih, \xc4\x8de so ti potrebni za zmanj\xc5\xa1evanje tveganj na sprejemljivo raven, osnovano na vrednotah informacijskih virov organizacije._NEWLINE_V definiciji sta dva elementa, ki terjata nekaj pojasnil. Prvo, proces obvladovanja tveganj je ponavljajo\xc4\x8d proces, ki je neomejen. Poslovno okolje se neprestano spreminja in nove gro\xc5\xbenje ter ranljivost se pojavljajo vsakodnevno. Drugi\xc4\x8d, izbira nasprotnih ukrepov (kontrole) z obvladovanjem tveganj mora oblikovati ravnovesje med produktivnostjo, ceno, u\xc4\x8dinkovitostjo nasprotnih ukrepov, in varovanje vrednosti informacijske pridobitve._NEWLINE_Tveganje je verjetnost, da se zgodi nekaj slabega, kar povzro\xc4\x8di \xc5\xa1kodo na informacijski pridobitvi (ali izgubo te pridobitve). Ranljivost je \xc5\xa1ibkost, ki lahko ogrozi ali povzro\xc4\x8di \xc5\xa1kodo na informacijski prednosti. Gro\xc5\xbenja je nekaj, kar ima potencial za povzro\xc4\x8ditev \xc5\xa1kode._NEWLINE_Tveganje ustvarja verjetnost, da bo gro\xc5\xbenja izrabila ranljivost za povzro\xc4\x8ditev \xc5\xa1kode. Posledice nastopijo kadar gro\xc5\xbenja izrabi ranljivost ter povzro\xc4\x8di \xc5\xa1kodo. V kontekstu informacijske varnosti, je posledica izguba razpolo\xc5\xbeljivosti, neokrnjenosti ter zaupnosti in morda \xc5\xa1e drugih izgub (izguba dobi\xc4\x8dka, izguba \xc5\xbeivljenja, izguba lastninske pravice). Sklenemo lahko, da ni mo\xc5\xbeno identificirati vsa tveganja, niti jih izlo\xc4\x8diti. Ostalo tveganje je imenovano preostalo tveganje._NEWLINE_Tveganje oceni skupina ljudi, ki ima specifi\xc4\x8dno znanje dolo\xc4\x8denega posla. \xc4\x8clani skupine lahko variirajo skozi \xc4\x8das kot so ocenjeni razli\xc4\x8dni deli posla. Za ocenitev so lahko uporabljene subjektivne kvalitativne analize osnovane na utemeljenih mo\xc5\xbenostih ali kvantitativne analize, kjer na to ka\xc5\xbee verodostojen dolar in dostopne zgodovinske informacije._NEWLINE__NEWLINE_ISO/IEC 27002:2005 Obi\xc4\x8dajen postopek za upravljanje informacijske varnosti zahteva ocenitev tveganja, ki zahteva slede\xc4\x8da preverjanja:_NEWLINE_\xe2\x80\xa2varnostna politika,_NEWLINE__NEWLINE_\xe2\x80\xa2organizacija informacijske varnosti,_NEWLINE__NEWLINE_\xe2\x80\xa2upravljanje dobi\xc4\x8dka, varnost \xc4\x8dlove\xc5\xa1kih virov,_NEWLINE__NEWLINE_\xe2\x80\xa2fizi\xc4\x8dna in okoljska varnost,_NEWLINE__NEWLINE_\xe2\x80\xa2komunikacijsko in operacijsko upravljanje,_NEWLINE__NEWLINE_\xe2\x80\xa2kontrola dostopa,_NEWLINE__NEWLINE_\xe2\x80\xa2pridobitev informacijskega sistema,_NEWLINE__NEWLINE_\xe2\x80\xa2razvoj in vzdr\xc5\xbeevanje,_NEWLINE__NEWLINE_\xe2\x80\xa2informacijska varnost obvladovanja incidentov,_NEWLINE__NEWLINE_\xe2\x80\xa2upravljanje neprekinjenega poslovanja in_NEWLINE__NEWLINE_\xe2\x80\xa2normativna skladnost._NEWLINE__NEWLINE_\xc5\xa0irok proces upravljanja tveganj sestoji iz:_NEWLINE_1.Identifikacije premo\xc5\xbeenjskega stanja in ocenitve njene vrednosti. Vsebuje: ljudi, stavbe, ra\xc4\x8dunalni\xc5\xa1ko strojno opremo, programsko opremo, podatke (digitalne, tiskane, ostalo), sredstva za oskrbo._NEWLINE_2.Ocenitev tveganja. Vsebuje: delo narave, posledice vojne, nesre\xc4\x8de, zlonamerno delovanje, ki izvira iz notranje in zunanje organizacije._NEWLINE_3.Ocenitve ranljivosti in verjetnost, da bo le-ta izkori\xc5\xa1\xc4\x8dena. Vrednotenje politike, postopkov, standardov, izobra\xc5\xbeevanja, fizi\xc4\x8dne varnosti, kvalitete kontrole, tehni\xc4\x8dne varnosti._NEWLINE_4.Izra\xc4\x8duna vpliva, ki bi ga povzro\xc4\x8dena gro\xc5\xbenja imela na dobi\xc4\x8dek. Uporaba kvalitativne ali kvantitativne analize._NEWLINE_5.Identifikacije, izbire in izvr\xc5\xa1itve primerne kontrole. Priskrbeti sorazmerne odgovore. Upo\xc5\xa1tevanje produktivnosti, cene u\xc4\x8dinkovitosti in vrednost dobi\xc4\x8dka._NEWLINE_6.Ocenitve produktivnosti merjenja kontrole._NEWLINE__NEWLINE_Vodstvo podjetja lahko sprejme tveganje, temelje\xc4\x8de na relativno nizkih vrednotah dobi\xc4\x8dka, relativno nizki frekvenci pojavitve, in relativno nizkemu vplivu na posel. Vodenje lahko ubla\xc5\xbei, zmanj\xc5\xa1a tveganje z izbiranjem in izvr\xc5\xa1evanjem primerne kontrole merjenja. V nekaterih primerih je tveganje lahko preneseno na drug posel z zavarovanjem ali z zunanjim poslom. Realnost nekaterih tveganj je lahko sporna. V teh primerih lahko vodenje ne dopusti tveganja. To je samo po sebi potencialno tveganje.\n_START_SECTION_\nKontrole\n_START_PARAGRAPH_\nKo upravljanje ubla\xc5\xbei tveganje, bo to narejeno z izvr\xc5\xa1itvijo ene ali ve\xc4\x8d od treh razli\xc4\x8dnih tipov kontrole:_NEWLINE_1. Upravne_NEWLINE_Upravne kontrole (imenovane tudi proceduralne kontrole) vsebujejo priznano napisano politiko, postopke, standarde in smernice. Oblikujejo ogrodje za vodenje posla in upravljanje z ljudmi. Obve\xc5\xa1\xc4\x8dajo ljudi, kako poteka posel in kako se upravlja z dnevnimi dejavnostmi. Pravo in reguliranje, oblikovano s strani vlade, je prav tako vrsta administrativne kontrole. Nekateri industrijski sektorji imajo politiko, procese, standarde in smernice, ki bi jim morali slediti. Kot dober primer je Visa in Mater Card s podatkovno varnostnimi standardi. Drugi primer upravne kontrole vsebuje skupno varnostno politiko, politiko gesel, najemni\xc5\xa1ko politiko in disciplinsko politiko._NEWLINE_Upravna kontrola oblikuje osnove za izbiro in izvr\xc5\xa1itev logi\xc4\x8dnih in fizi\xc4\x8dnih kontrol. Logi\xc4\x8dne in fizi\xc4\x8dne kontrole so dokaz upravnih kontrol. Administrativne kontrole so najpomembnej\xc5\xa1e. _NEWLINE_2. Logi\xc4\x8dne_NEWLINE_Logi\xc4\x8dne kontrole (imenovane tudi tehni\xc4\x8dne kontrole) uporabljajo ra\xc4\x8dunalni\xc5\xa1ko programsko opremo in podatke za nadzor in kontrolo dostopa do informacijsko komunikacijskih sistemov. Primer: geslo, omre\xc5\xbeje in po\xc5\xbearni zid, omre\xc5\xbeni varnostni sistem, lista kontrole dostopa, \xc5\xa1ifriranje podatkov in logi\xc4\x8dna kontrola._NEWLINE_Pomembna logi\xc4\x8dna kontrola, ki je pogosto prezrta, je \xc2\xbbprincip najmanj\xc5\xa1ega privilegija\xc2\xab. Noben program/oseba ne sme imeti ve\xc4\x8djega privilegija, kot je najnujnej\xc5\xa1e potrebno za opravljanje njegove storitve/dela. Do kr\xc5\xa1itve tega na\xc4\x8dela pride, ko posameznik dobi privilegij dodatnega dostopa \xc4\x8dez \xc4\x8das. To se lahko pripeti, ko se obveznosti zaposlenega spremenijo, ali ko je preme\xc5\xa1\xc4\x8den na nov polo\xc5\xbeaj ali oddelek._NEWLINE_3. Fizi\xc4\x8dne_NEWLINE_Fizi\xc4\x8dne kontrole nadzirajo in kontrolirajo delovno mesto in ra\xc4\x8dunalni\xc5\xa1ke pripomo\xc4\x8dke. Prav tako nadzirajo in kontrolirajo dostop do in od teh pripomo\xc4\x8dkov. Primer: vhode, zapornice, ogrevanje in klimatizacijo, kadilske in po\xc5\xbearne alarme, sisteme, ki onemogo\xc4\x8dajo \xc5\xa1irjenje ognja, kamere, ograje, varnostne sisteme, itd. Lo\xc4\x8denost omre\xc5\xbeja in delovnega prostora v funkcionalno podro\xc4\x8dje, je prav tako fizi\xc4\x8dna kontrola._NEWLINE_Pomembna fizi\xc4\x8dna kontrola, ki je pogosto prezrta, je lo\xc4\x8denost obveznosti, ki zagotovi, da posameznik ne more kriti\xc4\x8dno opraviti nalo\xc5\xbeene naloge. Primer: zaposleni, ki predlo\xc5\xbei zahtevo za od\xc5\xa1kodnino, prav tako ne more odobriti pla\xc4\x8dila. Programer prav tako ne more biti administrator za stre\xc5\xbenik ali administrator baze podatkov \xe2\x80\x93 te vloge in obveznosti morajo biti lo\xc4\x8dene.\n_START_SECTION_\nVarnostna klasifikacija informacij\n_START_PARAGRAPH_\nPomemben aspekt informacijske varnosti in upravljanja z varnostjo je prepoznati pomembnost informacije in dolo\xc4\x8danje primernih postopkov in varnostnih zahtev za informacijo. Vse informacije niso enakovredne in zato tudi ne zahtevajo enake stopnje za\xc5\xa1\xc4\x8dite. Tu pa nastane potreba po varnostni klasifikaciji informacij._NEWLINE_Prvi korak pri zaupnih informacijah je identifikacija pripadnika mened\xc5\xbementa kot lastnika dolo\xc4\x8dene informacije, ki se jo ozna\xc4\x8di kot zaupno. Nadalje je potrebno razviti klasifikacijsko usmeritev. Ta usmeritev naj bi opisovala razli\xc4\x8dne klasifikacijske ozna\xc4\x8dbe, definirala merila za informacijo, ki ji je dolo\xc4\x8dena ozna\xc4\x8dba dodeljena,  ter za vsako razvrstitev dolo\xc4\x8devala potrebne varnostne nadzore. _NEWLINE_Med dejavniki, ki vplivajo na to katero informacijo se ozna\xc4\x8di kot zaupno, spadajo vrednost ter starost informacije,  ter podatek o tem ali je ta informacija morda \xc5\xbee zastarela. _NEWLINE_Skupne ozna\xc4\x8dbe za zaupne informacije, ki so uporabljene s strani poslovnih sektorjev so: javne, ob\xc4\x8dutljive, privatne, zaupne.  Ozna\xc4\x8dbe za zaupne informacije uporabljene s strani vlade pa so naslednje: neklasificirane, ob\xc4\x8dutljive a neklasificirane, omejene, zaupne, tajne, strogo zaupne ter njihove protivrednosti._NEWLINE_Vsi zaposleni v organizaciji, kot tudi poslovni partnerji, morajo biti izurjeni in tako obvladovati razvrstitveno shemo, pomembno pa je tudi, da razumejo potrebne varnostne nadzore ter obravnavane postopke pri vsaki klasifikaciji. Zaupna informacije mora biti ob\xc4\x8dasno tudi ocenjena, saj je s tem zagotovljeno, da je razvrstitev za informacijo \xc5\xa1e vedno primerna, poskrbljeno pa je tudi za varnosti nadzor, ki je za klasifikacijo potreben.\n_START_SECTION_\nNadzor dostopa\n_START_PARAGRAPH_\nDostop do za\xc5\xa1\xc4\x8ditenih informacij mora biti omejen na ljudi, ki so poobla\xc5\xa1\xc4\x8deni za dostop do teh informacij. Ra\xc4\x8dunalni\xc5\xa1ki programi in v veliko primerih tudi ra\xc4\x8dunalniki, ki obdelujejo informacije morajo imeti prav tako pooblastilo oziroma dovolilnico. To zahteva, da so mehanizmi na mestu kjer kontrolirajo dostop do za\xc5\xa1\xc4\x8ditenih informacij. Dovr\xc5\xa1enost mehanizmov za nadzor dostopa mora biti enakovredna vrednosti za\xc5\xa1\xc4\x8ditenih informacij- bolj ob\xc4\x8dutljiva oziroma dragocena kot je informacija, ostrej\xc5\xa1i morajo biti mehanizmi nadzora. Temelja na katerih so zgrajeni mehanizmi za nadzirani dostop sta identifikacija in avtentikacija._NEWLINE_Identifikacija je izjava, kdo oziroma kaj nekdo je. \xc4\x8ce oseba sporo\xc4\x8di\xc2\xa0\xc2\xbb \xc5\xbdivjo, moje ime je Janez Novak.\xc2\xab, daje izjavo o tem kdo je.  Vendar pa je lahko ta izjava la\xc5\xbena.  Preden je Janezu Novaku dodeljen dostop do za\xc5\xa1\xc4\x8ditenih informacij, bo potrebno preveriti ali je oseba, ki se izdaja za Janeza Novaka resni\xc4\x8dno ta oseba. _NEWLINE_Avtentikacija(potrditev pristnosti) je poteza, ki preverja trditve o identiteti. Ko gre Janez Novak v banko po gotovinski dvig, se predstavi ban\xc4\x8dniku kot Janez Novak (trditev o identiteti). Ban\xc4\x8dnik prosi Janeza za oseben dokument, ter nato preveri, \xc4\x8da slika ustreza osebi, ki trdi, da je Janez Novak. \xc4\x8ce slika in ime ustrezata, potem je ta oseba dokazano Janez Novak._NEWLINE_Obstajajo trije razli\xc4\x8dni tipi informacij, ki se lahko uporabljajo za avtentikacijo: nekaj kar ve\xc5\xa1, nekaj kar ima\xc5\xa1, ali nekaj kar si. Primeri za prvi tip, torej nekaj kar ve\xc5\xa1 so naslednji: PIN, geslo ali materin dekli\xc5\xa1ki priimek. Primeri drugega tipa (nekaj kar ima\xc5\xa1) pa so: vozni\xc5\xa1ko dovoljenje ali brezkontaktna kartica. Nekaj kar si pa se nana\xc5\xa1a na biometrijo. Primeri biometrije vklju\xc4\x8dujejo odtise dlani, prstne odtise, posnetke glasu ter slikanje o\xc4\x8desne mre\xc5\xbenice. Za intenzivno avtentikacijo je potrebna informacija, ki pripada dvema tipoma overovitvene informacije. Na primer, nekaj kar ve\xc5\xa1 plus nekaj kar ima\xc5\xa1. To imenujemo dvostopenjska overovitev. _NEWLINE_Na ra\xc4\x8dunalni\xc5\xa1kih sistemih, ki so danes v uporabi je uporabni\xc5\xa1ko ime najpogostej\xc5\xa1a oblika identifikacije, geslo pa najpogostej\xc5\xa1a oblika avtentikacije.  Uporabni\xc5\xa1ko ime in geslo pa v modernem svetu nista ve\xc4\x8d najprimernej\xc5\xa1a in se ju po\xc4\x8dasi zamenjuje z bolj vrhunskim avtentikacijskimi mehanizmom. To imenujemo avtorizacija._NEWLINE_Avtorizacija za dostop do informacij in drugih ra\xc4\x8dunalni\xc5\xa1kih storitvah se za\xc4\x8dne pri administrativnih politikah in postopkih. Politika predpisuje katere informacije in ra\xc4\x8dunalni\xc5\xa1ke storitve so lahko dostopne, s strani koga in pod katerimi pogoji. Mehanizmi za nadzirani dostop so nato oblikovani za uveljavljanje te politike._NEWLINE_Razli\xc4\x8dni ra\xc4\x8dunalni\xc5\xa1ki sistemi so opremljeni z razli\xc4\x8dnimi vrstami mehanizmov za nadzirani dostop, nekateri pa lahko ponudijo tudi izbiro med temi razli\xc4\x8dnimi mehanizmi. Ti mehanizmi sistemske ponudbe temeljijo na enem od treh postopkov za pridobitev nadzora ali pa so pridobljeni s kombiniranjem pristopov. _NEWLINE_Dostop do informacij in drugih virov po navadi temelji na podlagi posameznikove funkcije (vloge) v organizaciji ali naloge, ki jo kot posameznik opravlja. Diskreten pristop da avtorju oziroma lastniku informacijskega vira zmo\xc5\xbenost kontrolirati dostop do danih virov. Obvezen je pristop pri katerem je dostop do informacijskega vira dodeljen ali prepovedan na osnovi varnostne klasifikacije, ki je temu viru pripisana._NEWLINE_Primeri mehanizmov za nadzirani dostop, ki se danes uporabljajo, so  kontrola dostopa, ki je na razpolago v veliko naprednih podatkovnih bazah upravljalnih sistemov, preprosta datote\xc4\x8dna dovoljenja, ki jih ponuja UNIX in Windows operativni sistemi, Kerberos, Radius, Tacacs, ter seznami dostopov, ki se uporabljajo pri po\xc5\xbearnih zidovih in usmerjevalnikih.  _NEWLINE_Politike in drugi varnosti nadzori morajo biti izvr\xc5\xa1ljivi in podprti, saj bodo le tako u\xc4\x8dinkoviti. U\xc4\x8dinkovita politika pa mora poskrbi tudi za to, da se ljudje \xc4\x8dutijo odgovorne za svoje dejanja. Vsak napa\xc4\x8den in uspe\xc5\xa1en poskus avtentikacije mora biti zabele\xc5\xbeen,  prav tako pa mora vsak dostop do informacije pustiti neko revizijsko sled.\n_START_SECTION_\nKriptografija\n_START_PARAGRAPH_\nPri informacijski varnosti se uporablja kriptografija za preoblikovanje oblike informacij in sicer se informacija preoblikuje v formo, ki je uporabna samo za poobla\xc5\xa1\xc4\x8dene uporabnike. Ta proces imenujemo \xc5\xa1ifriranje. Informacija, ki smo jo \xc5\xa1ifrirali se lahko preoblikuje nazaj v prvotno obliko s pomo\xc4\x8do poobla\xc5\xa1\xc4\x8denega uporabnika, ki ima \xc5\xa1ifrirni klju\xc4\x8d. Ta postopek  imenujemo de\xc5\xa1ifriranje. Kriptografija se uporablja za za\xc5\xa1\xc4\x8dito informacij pred nepoobla\xc5\xa1\xc4\x8denimi ali naklju\xc4\x8dnimi odkritji, med prenosom informacij (elektronskem ali fizi\xc4\x8dnem) in skladi\xc5\xa1\xc4\x8denjem. _NEWLINE_Kriptografija omogo\xc4\x8da varnost informacij z drugimi uporabnimi aplikacijami, kot tudi z vklju\xc4\x8devanjem izbolj\xc5\xa1anih metod avtentikacije, digitalnih podpisov, nezataljivosti in kodiranimi omre\xc5\xbenimi komunikacijami. Starej\xc5\xa1e, manj varne aplikacije kot so telnet in ftp(protokol za prenos datotek) se  po\xc4\x8dasi zamenjujejo z bolj varnimi aplikacijami, kot so ssh, ki uporablja \xc5\xa1ifrirane omre\xc5\xbene komunikacije. Brez\xc5\xbei\xc4\x8dne komunikacije se lahko kodirajo z uporabo WPA ali WPA 2 protokola. Za \xc5\xa1ifriranje podatkovnih datotek in e-po\xc5\xa1te pa se uporablja programska oprema kot je GNUPG ali PGP._NEWLINE_Kriptografija lahko ogrozi varnost kadar ni pravilno implementitana. Kriptografske re\xc5\xa1itve morajo vsebovati preverjene in javno objavljene ter \xc5\xa1iroko sprejete algoritme, ki so prestale stroge preglede neodvisnih strokovnjakov na podro\xc4\x8dju kriptografije. Dol\xc5\xbeina in jakost \xc5\xa1ifrirnega klju\xc4\x8da sta prav tako pomembna. Klju\xc4\x8d, ki se uporablja za \xc5\xa1ifriranje in de\xc5\xa1ifriranje mora biti za\xc5\xa1\xc4\x8diten z enako mero strogosti kot katerekoli zaupne informacije. Informacije morajo biti za\xc5\xa1\xc4\x8ditene pred nepoobla\xc5\xa1\xc4\x8denimi zlorabami, hkrati pa morajo biti na voljo, kadar je to potrebno. PKI (Public Key Cryptography) re\xc5\xa1itve pokrivajo \xc5\xa1tevilne probleme, ki se navezujejo na ravnanje s klju\xc4\x8di.\n_START_SECTION_\nGlobinska obramba\n_START_PARAGRAPH_\nVarnost informacij mora za\xc5\xa1\xc4\x8dititi  informacije skozi njihov celoten obstoj, od njihovega nastanka do odstranitve. Informacija mora biti za\xc5\xa1\xc4\x8ditena tako med gibanjem kot mirovanjem. Skozi celoten obstoj mora informacija preiti skozi \xc5\xa1tevilne razli\xc4\x8dne sisteme procesiranja. Informacije in informacijski sistemi so lahko ogro\xc5\xbeeni na razli\xc4\x8dne na\xc4\x8dine. Za popolno za\xc5\xa1\xc4\x8dito informacije skozi njeno \xc5\xbeivljenjsko dobo, mora imeti vsaka komponenta informacijskega sistema procesiranja svoj lasten mehanizem za\xc5\xa1\xc4\x8dite. Izgradnja, povezovanje in prekrivanje varnostnih meril se imenuje globinska obramba. Jakost posameznega sistema ni ve\xc4\x8dja kot je jakost naj\xc5\xa1ibkej\xc5\xa1ega \xc4\x8dlena. Z uporabo strategije globinske za\xc5\xa1\xc4\x8dite je omogo\xc4\x8dena u\xc4\x8dinkovita za\xc5\xa1\xc4\x8dita tudi ob okvari posameznega obrambnega sistema._NEWLINE_Trije tipi kontrol (administrativna, logi\xc4\x8dna in fizi\xc4\x8dna) se lahko uporabijo za tvorbo osnove na kateri se lahko izgradi strategija globinske za\xc5\xa1\xc4\x8dite. S tem pristopom se lahko globinska za\xc5\xa1\xc4\x8dita pojmuje kot troplastna za\xc5\xa1\xc4\x8dita. To za\xc5\xa1\xc4\x8dito si lahko predstavljamo kot zgradbo \xc4\x8debule s podatki v njeni sredici, ljudmi v zunanjem sloju, notranje sloje pa tvorijo omre\xc5\xbena za\xc5\xa1\xc4\x8dita in za\xc5\xa1\xc4\x8dita aplikacij.\n_START_SECTION_\nPostopek\n_START_PARAGRAPH_\nIzrazi razumen, preudaren, prizadeven in skrben so se \xc5\xa1tevilna leta uporabljali na podro\xc4\x8dju financ, varnosti in prava. V zadnjih letih so se ti izrazi za\xc4\x8deli uporabljati tudi na podro\xc4\x8dju ra\xc4\x8dunalni\xc5\xa1tva in varnosti podatkov. _NEWLINE_V poslovnem svetu delni\xc4\x8darji, stranke, poslovni partnerji in vodstva pri\xc4\x8dakujejo, da bodo korporacije vodile posle v skladu s sprejetimi poslovnimi praksami in po predpisih z zakoni in ostalimi regulatornimi zahtevami. To se pogosto opisuje kot pravilo razumne in preudarne osebe. Preudarna oseba mora poskrbeti za to, da se posli vodijo po poslovnih in eti\xc4\x8dnih na\xc4\x8delih._NEWLINE_Na podro\xc4\x8dju informacijske za\xc5\xa1\xc4\x8dite ponuja Harris naslednje definicije za skrbnost in prizadevnost._NEWLINE_\xc2\xbbSkrbnost so koraki s katerimi podjetje prikazuje odgovornost za aktivnosti znotraj korporacije  in je hkrati naredilo potreben korak, ki pripomore k  za\xc5\xa1\xc4\x8diti  podjetja, njegovih virov in zaposlenih.\xc2\xab\xc2\xa0Prizadevnost pa predstavlja \xc2\xab\xc2\xa0ponavljajo\xc4\x8de se aktivnosti, ki zagotavljajo, da so za\xc5\xa1\xc4\x8ditni mehanizmi redno vzdr\xc5\xbeevani in operativni.\xc2\xab_NEWLINE_Potrebno je nameniti pozornost dvema pomembnima to\xc4\x8dkama v navedenih definicijah. Prvi\xc4\x8d,  koraki prikazujejo- to pomeni, da so lahko koraki  preverjeni ter merjeni. Drugi\xc4\x8d, ponavljajo\xc4\x8de se aktivnosti- to pomeni, da posamezniki dejansko opazujejo in vzdr\xc5\xbeujejo za\xc5\xa1\xc4\x8ditne mehanizme, te aktivnosti so redne.\n_START_SECTION_\nIzvori standardov\n_START_PARAGRAPH_\nMednarodna organizacija za standardizacijo \xe2\x80\x93 International Organization for Standardization (ISO) je usmerjevalec nacionalnih standardov 157 dr\xc5\xbeav s centralnim sekretariatom v \xc5\xbdenevi, \xc5\xa0vica, ki koordinira sistem. ISO je najve\xc4\x8dji svetovni razvijalec standardov. ISO 15443: \xc2\xbbInformacijska tehnologija \xe2\x80\x93 varnostne tehnike \xe2\x80\x93 Okvir za zagotavljane IT varnosti\xc2\xab, ISO-1779: \xc2\xbbInformacijska tehnologija-Varnostne tehnike \xe2\x80\x93 Kode za izvajanje informacijskih varnostnih ukrepov.\xc2\xab,ISO-20000: \xc2\xbbInformacijska tehnologija \xe2\x80\x93 Upravljanje slu\xc5\xbeb\xc2\xab\xc2\xa0in ISO-27001: \xc2\xbbInformacijska tehnologija-Varnostne tehnike \xe2\x80\x93 Sistemi za zagotavljanje informacijske varnosti\xc2\xab\xc2\xa0so \xc5\xa1e posebej zanimivi specialistom za informacijsko varnost. _NEWLINE_Ameri\xc5\xa1ki Narodni urad za standarde in tehnologijo \xe2\x80\x93 The USA National Institute of Standards and Tehnology (NIST) je ne-regulatorna vladna agencija znotraj U.S. Commerce Department's Tehnology Administration. NIST oddelek za ra\xc4\x8dunalni\xc5\xa1ko varnosti \xe2\x80\x93 Computer Security Division razvija standarde, metrike, teste in veljavnostne programe, objavlja standarde in usmeritve za pove\xc4\x8danje varnosti.  NIST je tudi skrbnik ameri\xc5\xa1kega  Federal Information Processing Standardpublications (FIPS)._NEWLINE_Informacijska dru\xc5\xbeba \xe2\x80\x93 The Internet Society (ISOC) je profesionalna organizacija z ve\xc4\x8d kot 100 organizacijami in ve\xc4\x8d kot 20,000 individualnimi \xc4\x8dlani znotraj ve\xc4\x8d kot 180 dr\xc5\xbeav. Zagotavlja usmeritve pri obravnavanju problemov s katerimi se bo soo\xc4\x8dil internet v prihodnosti, je krovna organizacija za skupine, ki so odgovorne za standarde internetne infrastrukture, vklju\xc4\x8dno z Internet Engineering Task Force (IETF) in Internet Architecture Board (IAB). ISOC je gostitelj Requests for Commerce (RFC's) ki vklju\xc4\x8duje Official Internet Protocl Standards in RFC-2196 Site Securiy Handbook. _NEWLINE_Informacijski varnostni forum \xe2\x80\x93 Information Security Forum je globalna neprofitna organizacija ve\xc4\x8d stotih vodilnih organizacij in finan\xc4\x8dnih servisov, izdelovalcev, telekomunikacij, potro\xc5\xa1ni\xc5\xa1kih dobrin, vlad in drugih podro\xc4\x8dij. Zagotavlja najbolj\xc5\xa1e na\xc4\x8dine raziskovanja in nasvete, ki jih zbere v dvoletnih standardih dobrega delovanja \xe2\x80\x93 Standard of Good Practice, ki vklju\xc4\x8dujejo podrobne specifikacije mnogih podro\xc4\x8dij.\n_START_SECTION_\nProfesionalizem\n_START_PARAGRAPH_\nLeta 1989 je Univerza Carneige Mellon ustanovila Information Networkih Institute, prvi raziskovalni in izobra\xc5\xbeevalni center v ZDA posve\xc4\x8den informacijskemu mre\xc5\xbeenju. Akademske discipline o ra\xc4\x8dunalni\xc5\xa1ki varnosti, informacijski varnosti in informacijskih zagotovilih so se pojavili skupaj z mnogimi profesionalnimi organizacijami v poznem 20. stoletju in zgodnjem 21. stoletju._NEWLINE_Vstop na podro\xc4\x8dje je lahko dose\xc5\xbeen skozi samo-u\xc4\x8denje, gimnazijo, vi\xc5\xa1jo polo ali univerzo na podro\xc4\x8dju, ali s pomo\xc4\x8djo tedenskih usmerjenih te\xc4\x8dajev. Mnogo gimnazij, visokih \xc5\xa1ol in univerz ter u\xc4\x8dnih kampov ponujajo svoje programe na spletu. GIAC-GSEC in Security+ certifikata sta oba ovrednotena kot osnovna varnostna certifikata. \xc4\x8clanstvo v  In\xc5\xa1titutu za profesionalce na podro\xc4\x8dju informacijske varnosti - Institute of Information Security Professionals (IISP) je v VB vedno bolj uveljavljen kot profesionalni standard za profesionalce na podro\xc4\x8dju informacijske varnosti. _NEWLINE_The Certified Information Systems Security Professional (CISSP) je prav tako uveljavljen kot srednje in vi\xc5\xa1je-stopenjski certifikat informacijske varnosti. Information Systems Security Architecture Professional (ISSAP), Information Systems Security Engineering Professional (ISSEP), and Information Systems Security Management Professional (ISSMP) certifikati so prav tako visoko uveljavljeni certifikati na podro\xc4\x8dju informacijske varnosti, arhitekture, in\xc5\xbeeniringa  in upravljanja. _NEWLINE_Obstajajo vedno ve\xc4\x8dje zahteve po poklicih na podro\xc4\x8dju informacijske varnosti. Pove\xc4\x8dane so potrebe po profesionalnih varnostnih profesionalcih, ki so izku\xc5\xa1eni na podro\xc4\x8dju pregledovanja informacijske varnosti, testiranju penetracije in digitalnih forenzi\xc4\x8dnih preiskavah.\n_START_SECTION_\nZaklju\xc4\x8dek\n_START_PARAGRAPH_\nInformacijska varnost je proces, ki se izvaja varno in vztrajno zaradi varstva informacij in informacijskih sistemov pred neodobrenimi vdori, uporabo, razkritjem, razdorom, modifikacijo ali distribucijo.  Nikoli kon\xc4\x8dan proces informacijske varnosti vklju\xc4\x8duje nenehno \xc5\xa1olanje, ocenjevanje, varovanje, nadzor in odkrivanje, reakcijo na slu\xc4\x8daje in popravila, dokumentacijo in pregled."