Apărarea în straturi (engleză: Defense in depth; traducere literală: Defensivă în profunzime) este un concept utilizat în securitatea informației în care sunt plasate mai multe straturi de controale de securitate (defensivă) în cadrul unui sistem informațional (IT). Intenția sa este de a oferi redundanță în cazul în care un control de securitate eșuează sau este exploatată o vulnerabilitate care poate acoperi aspecte ale securității tehnice, fizice, de personal și procedurale, pe durata ciclului de viață al sistemului.
Context
Ideea din spatele abordării apărării în straturi este de a apăra un sistem împotriva oricărui atac particular, folosind mai multe metode independente. Aceasta este o tactică de stratificare, concepută de Agenția Națională de Securitate a Statelor Unite (NSA) ca o abordare cuprinzătoare a securității informațiilor și a securității electronice.
O perspectivă asupra apărării în straturi poate fi obținută prin gândirea la aceasta ca formând straturile unei cepe, cu datele în miezul cepei, oamenii fiind următorul strat exterior al cepei și securitatea rețelei, securitatea bazată pe gazdă (host-based security) și securitatea aplicațiilor formând straturile cele mai exterioare ale cepei. Ambele perspective sunt la fel de valide și fiecare dintre ele oferă o perspectivă valoroasă asupra implementării unei strategii bune de apărare în straturi.
Controale
Apărarea în straturi poate fi împărțită în trei domenii: controalele fizice, tehnice și administrative.
Fizic Controalele fizice sunt orice metodă care limitează sau împiedică accesul fizic la sistemele IT. Exemple de apărare pe partea fizică includ gardurile, paznicii, câinii și sistemele CCTV.
Tehnic Controalele tehnice sunt sisteme hardware sau software al căror scop este protejarea sistemelor și a resurselor electronice. Exemple de controale tehnice pot fi criptarea discului, software-ul utilizat pentru integritatea fișierelor și autentificarea. Controalele tehnice hardware diferă de controalele fizice prin faptul că acestea împiedică accesul la conținutul unui sistem, dar nu la sistemele fizice în sine.
Administrativ Controalele administrative sunt politicile și procedurile organizației în ceea ce privește securitatea. Scopul lor este de a se asigura că există îndrumări adecvate disponibile în ceea ce privește securitatea și că reglementările sunt respectate. Acestea includ lucruri precum practicile de angajare, procedurile de prelucrare a datelor și cerințele de securitate.
Metode Utilizarea a mai mult de unul dintre următoarele straturi de securitate constituie un exemplu de apărare în straturi. Sistem și aplicație
Software antivirus Autentificare și securitatea parolei Criptare Hashingul parolelor Logare și auditare Autentificare multifactor (MFA) Scanere de vulnerabilități Control de acces programat Instruire pentru conștientizarea securității pe internet
Sisteme de detectare a intruziunilor (IDS)
Rețea
Firewall-uri (hardware sau software) Zone demilitarizate (DMZ) Rețea privată virtuală (VPN)
Fizic
Securitate fizică (de exemplu: încuietori)
Vezi și
Strategie de defensivă (informatică)
Note
Categorie:Securitate informatică Categorie:Securitatea calculatoarelor Categorie:Securitatea informației Categorie:Securitatea rețelelor de calculatoare