Bezpieczeństwo danych w firmie

[Gość: mariusz]

Witam.

Obecnie mam serwer podstawowy (na którym stoi baza danych), serwer plików i
kilka innych mniej ważnych oraz 20 komputerów PC (środowisko Windows tak jak i
serwer) pracujących w domenie.
Doszedłem do wniosku, że bezpieczeństwo danych przetwarzanych w firmie jest
zerowe (bo wystarczy system operacyjny w wersji live na cd czy dvd, pendrive i
po bezpieczeństwie).

Ostatnio wpadłem na pomysł aby dla każdych 10 komputerów utworzyć serwer a te
10 komputerów zamienić na terminale. Każdy taki serwer znajdowałby się w np.
pancernej szafie (lub coś co fizycznie zablokuje dostęp do serwera) a do niego
byłoby podłączonych kilka terminali (w tym przypadku 10). Następnie serwery te
łączyłyby terminale z serwerem podstawowym.

Teraz mam kilka pytań:

1. Czy zwykłego PC można zamienić w terminal? Jeśli tak to jak? Myślałem o tym
aby fizycznie wymontować lub uszkodzić porty usb, ide, sata itp. Oczywiście
wyciągnąć dyski twarde i do tego odcięty dostęp do Internetu. Czy można tak
zrobić? Czy może konieczny będzie zakup terminali?

2. Jakie parametry powinien mieć serwer dla tych terminali? Terminale będą
służyły do obsługi firmowej aplikacji pracującej na bazie danych (m.in.
wprowadzanie danych) więc wymagania nie powinny być duże? Jaki system powinien
zarządzać takim serwerem? Czy może być to Windows XP Pro?

3. W jakie systemy operacyjne powinny być wyposażone terminale? Czy może być
to także Windows XP Pro?

4. Czy takie rozwiązanie zagwarantuje mi skuteczną ochronę danych znajdujących
się w firmie?

5. Czy znacie miejsca w Internecie, w których można poczytać na ten temat (nie
pytam o google)?

A jak Wy radzicie sobie z tym zagadnieniem?

Pozdrawiam.

[krzysztofsf]

Ciezka wode tam produkujecie czy co?
Jak pracujecie w domenie, to chyba wystarczy wylaczyc odpowiednie opcje w bios, zalozyc indywidualne hasla na bios i bedziesz zabezpieczony przed live cd, usb oraz (ustawienia w domenie) nagrywanie na cd.Komputery oplombowac metalowymi plombami
Czy masz zabezpieczone wysylanie danych przez internet?

Bardziej wyrafinowane i kosztowne rozwiazania - sadze, ze duze firmy komputerowe przygotuja ci darmowe oferty, gdy sprecyzujesz oczekiwania i podasz zasoby finansowe.

[Gość: mariusz]

> Jak pracujecie w domenie, to chyba wystarczy wylaczyc odpowiednie opcje w bios,
> zalozyc indywidualne hasla na bios i bedziesz zabezpieczony przed live cd, usb
> oraz (ustawienia w domenie) nagrywanie na cd.

Hasło biosu można obejś.

Komputery oplombowac metalowymi p
> lombami

Można wynieść komputer.
Plomby nic nie dadzą bo można zdjąć obudowę wyciągnąć dysk i więcej w pracy sie
nie pokazać.

Potrafisz odpowiedzieć na moje pytania?

[krzysztofsf]

Gość portalu: mariusz napisał(a):

> > Jak pracujecie w domenie, to chyba wystarczy wylaczyc odpowiednie opcje w
> bios,
> > zalozyc indywidualne hasla na bios i bedziesz zabezpieczony przed live cd
> , usb
> > oraz (ustawienia w domenie) nagrywanie na cd.
>
> Hasło biosu można obejś.
>
> Komputery oplombowac metalowymi p
> > lombami
>
> Można wynieść komputer.
> Plomby nic nie dadzą bo można zdjąć obudowę wyciągnąć dysk i więcej w pracy sie
> nie pokazać.

Mozna to samo zrobic po wejsciu z siekiera do serwerowni

> Potrafisz odpowiedzieć na moje pytania?

Odpowiedzialem - masz kase, zwroc sie do fachowcow z zapytaniem ofertowym a nie biegaj po forum dla pc-tow.

Nie masz kasy - stosuj powyzsze.

[Gość: T-800]

Gość portalu: mariusz napisał(a):

> Doszedłem do wniosku, że bezpieczeństwo danych przetwarzanych w firmie jest
> zerowe (bo wystarczy system operacyjny w wersji live na cd czy dvd, pendrive i
> po bezpieczeństwie).

Jeśli komputery u Ciebie domyślnie bootują z dyskietki/CD i na BIOS-ie nie ma
hasła, to faktycznie - bezpieczeństwo zerowe.

[Gość: mariusz]

zna sie ktos na tym?

[Gość: mariusz]

nie wierze, ze nikt sie nie spotkal z takim problemem.

[Gość: jupix]

Możesz zabezpieczyć dane w sposób softwarowy czyli stosując szyfrowanie. W
Windowsach od 2000 wzwyż łatwo włączyć szyfrowanie na wybrane katalogi lub całe
dyski (z wyjątkiem plików systemowych i rozruchowych). Szyfrowanie to "używa"
hasła do konta jako części klucza szyfrującego dlatego hasło takie powinno być
mocne. Hasło powinno też być zahashowane za pomocą silniejszego algorytmu tzw.
NTLM2 - można to zrobić w opcjach General Policy Editor (gpedit.msc) lub
stosując hasło powyżej 15 znaków. Jeśli wybierzesz metodę z gpedit.msc to musisz
na wszystkich stacjach w domenie ustawić jeszcze raz hasła gdyż obecne są
zaszyfrowane słabym algorytmem i dopóki nie zmienione to będą na dysku
stosunkowo łatwym łupem (kilka godzin łamania na szybkim komputerze np. po
wyciągnięciu twardego dysku).
Pamiętaj, że jesli zapomnisz hasła do konta to dane będą praktycznie nie do
odtworzenia nawet przez administratora. Można sporządzić specjalną dyskietkę z
kluczem ale musi ona być w bezpiecznym miejscu. Poza tym należałoby w takim
przypadku monitorować pracę pracowników skoro dane te są aż tak kluczowe - ale
to osobna kwestia.

Osobna sprawa to komunikacja sieciowa - koniecznie ustaw silne zasady IPSec
(szyfrowanie na sieci) oraz odłącz Internet lub poważnie go ogranicz na routerze.

W takiej sytuacji kradzież komputera staje się bezużyteczna (no oprócz zysku ze
sprzętu).

[Gość: jupix]

Aha i jeszcze coś.

Szyfrowanie to miecz obosieczny - zapomnisz hasła, stracisz dane
Silne zasady IPSec praktycznie uniemożliwią korzystanie z internetu a komputery
będą "widziały" jedynie te inne komputery, które mają tak samo ustawione zasady
IPSec w podsieci.