174

UDKUDKUDKUDK 005.922.1005.922.1005.922.1005.922.1 ==== 163.41163.41163.41163.41 NauNauNauNaunininini radradradrad

ZAZAZAZATITATITATITATITA INFORMACIONIHINFORMACIONIHINFORMACIONIHINFORMACIONIH SISTEMASISTEMASISTEMASISTEMA

GoranGoranGoranGoran JoviJoviJoviJovi1111,,,, IlijaIlijaIlijaIlija MladenoviMladenoviMladenoviMladenovi2222,,,,MarinaMarinaMarinaMarina MladenoviMladenoviMladenoviMladenovi1 Tehniki fakultet, Bor, Srbija

2 Tehnoloki fakultet, Leskovac, Srbija

Zatita informacionih sistema podrazumeva preduzimanje odgovarajuih mera i akcijakako bi ovek zatitio svoje podatke i dokumente sa kojima raspolae od moguihnepredvidivih dogaaja sa neeljenim posledicama.Sloeni procesi, koji se odvijaju u okviru raunarskih sistema ni u jednom trenutku i niu jednoj taki ne smeju se podceniti, jer opasnosti koje, posredno ili neposredno,kontinuirano ili povremeno, ugroavaju te procese, u manjoj ili veoj meripredstavljaju pretnju sistemu i njegovim objektima. Pretnje su toliko brojne,meusobno povezane i isprepletane tako da nad celim informacionim sistemomformiraju kompleksnu mreu opasnosti.Zbog toga je sve vea potreba da se onemogui svako sluajno ili namerno, "iz bilokojih neplaniranih i neoekivanih razloga", naruavanje, suavanje ili spreavanjefunkcija raunarskih sistema, odnosno otuenje, unitenje, oteenje, izmena ilineovlaeno korienje informacionih resursa (hardvera, softvera, programa,podataka, ...), ve da se stvore svi neophodni uslovi, kako bi se funkcije odvijale, apodaci i informacije obraivali i koristili na oekivan i unapred definisan nain.

KljuKljuKljuKljunenenene rererereiiii: zatita podataka, zatita informacionih sistema, objekti zatite, merezatite, rizik

1.1.1.1. UVODUVODUVODUVOD

Zatita informacionih sistema (IS) podrazumeva preduzimanje odgovarajuih mera iakcija kako bi ovek zatitio svoje podatke i IS sa kojima raspolae od moguihnepredvidivih dogaaja sa neeljenim posledicama.Zbog toga je sve vea potreba da se onemogui svako sluajno ili namerno, naruavanje,suavanje ili spreavanje funkcija raunarskih sistema, odnosno otuenje, unitenje,oteenje, izmena ili neovlaeno korienje informacionih resursa (hardvera, softvera,programa, podataka, i drugo). Treba da se stvore svi neophodni uslovi, kako bi se svefunkcije, podaci i informacije obraivali i koristili na oekivan i unapred definisan nain.Kao polazna osnova za nalaenja zadovoljavajueg globalnog odgovora na ovo pitanjeposluila je klasifikacija pretnji koje mogu ugroziti informacione sisteme na:nesrenesrenesrenesreeeee, gregregregrekekekeke i kriminalkriminalkriminalkriminal. Na bazi toga su data etiri razloga, ijom se analizomdobija delimian, a njihovom sintezom celovit odgovor na postavljeno pitanje. Ti

175

razlozi su: vrednost hardvera i softvera; raznovrsnost funkcija raunarskih sistema; raznovrsnost, priroda i znaaj podataka i informacija koji se u okviru raunarskih

sistema prikupljaju, ureuju, skladite, obrauju, distribuiraju i arhiviraju; karakteristike raunarskih sistema[1].

U cilju iznalaenja i razrade celovitog pristupa, koji bi trebao da prui pouzdan osnovza osmiljeno, organizovano, struno i racionalno izuavanje i razreavanje problemazatite raunarskih sistema, ide se kroz izgradnju adekvatnog sistema zatite. Polazi seod nesporne injenice da bilo koji sistem zatite ima smisla ako i samo ako se njimenenenenetotototo, odododod neneneneegaegaegaega i zbogzbogzbogzbog neneneneegaegaegaega titi, a da bi se postigao cilj on svoju funkciju moraizvravati sasasasa neneneneimimimim i nananana nekinekinekineki nanananainininin. Iz ovakve opte konstatacije nije teko uoitilogike celine i, to je vrlo bitno, njihov redosled kojim je mogue obaviti neophodnoizuavanje i oekivano razreavanje razmatranog problema.Ove logike celine se, po principu "zlatnih pitanja" kriminalistike, mogu iskazatiodgovarajuim "zlatnim pitanjima" informatike zatite, prikazanim na slici 1, koja,zahtevaju potpune odgovore i to u navedenom redosledu.

Slika 1: "Zlatna pitanja" informatike zatite

2.2.2.2. GLAVNIGLAVNIGLAVNIGLAVNI ENTITETIENTITETIENTITETIENTITETI PROBLEMAPROBLEMAPROBLEMAPROBLEMAZAZAZAZATITETITETITETITE

Glavni entiteti problema zatite u oblasti informacionih sistema su bjektibjektibjektibjekti, pretnjepretnjepretnjepretnje,poslediceposlediceposlediceposledice, meremeremeremere i politikapolitikapolitikapolitika zazazazatitetitetitetite. Ovakav pristup omoguava da se problem zatite,radi jasnoe i lakeg uoavanja postojeih meuzavisnosti, prikae i u vidutrodimenzionalne matrice (slika 2) pri emu svaki element matrice Mi,j,k predstavljaskup mera koje bi trebalo primeniti da bi se spreila posledica Sk, koja moe nastupitiako pretnja Pj ugrozi objekt Oi, tj. z = (Oi, Pj, Sk) [2].

176

Slika 2. Trodimenzionalna matrica mera zatite

ObjektiObjektiObjektiObjekti - Nalaenje odgovora na pitanje ta tititi? je prvi kljuni korak u izuavanju irazreavanju problema zatite u informacionim sistemima. Jer, ukoliko je skupodgovora na postavljeno pitanje prazan skup, otpada i svaka potreba preduzimanja bilokakvih aktivnosti na ovom planu. Meutim, kako je jedan od osnovnih kri-terijumakod utvrivanja objekata zatite njihova vrednost za onog kome pripada-ju, jasno je dataj skup sigurno nee biti prazan. Naprotiv, u svakom informacio-nom sistemu postojiitav niz objekata ije vrednosti nedvosmisleno nameu pot-rebu njihove zatite. Utom smislu nie je naveden, sa stanovita zatite, jedan skup tipinih objekata: podacipodacipodacipodaci,datotekedatotekedatotekedatoteke, bazebazebazebaze podatakapodatakapodatakapodataka, optioptioptioptikekekeke slikeslikeslikeslike dokumenatadokumenatadokumenatadokumenata, digitalnidigitalnidigitalnidigitalni zapiszapiszapiszapis zvukazvukazvukazvuka iiii slikeslikeslikeslike,softversoftversoftversoftver, programiprogramiprogramiprogrami, komunikacionakomunikacionakomunikacionakomunikaciona opremaopremaopremaoprema, hardverhardverhardverhardver rarararaunaraunaraunaraunara, ...

PretnjePretnjePretnjePretnje - Na pitanje Od koga ili Od ega tititi? dobiemo odgovore koji sadre sveklasine rizike, kao to su vatra, voda, eksplozija, raunarski kriminal, greke i druge,ali i specifine pretnje, kao to je kompromitujue elektromagnetno zraenje. Ovispecifini rizici najee imaju nematerijalno poreklo, ili manifestaciju, todokazivanje njihovog postojanja, kao i procenu moguih gubitaka, ini vrlo tekim.Odreenu tekou predstavlja i neogranien broj pretnji koje mogu ugrozitiinformacioni sistem, pa ih je i nemogue sve predvideti. Meu pojedinim pretnjamapostoji odreena meuzavisnost koja usloava uticaj na informacioni sistem.Pretnje koje su usmerene na ugroavanje sigurnosti toka informacija u raunarskimsistemima i mreama generalno se mogu klasifikovati u etiri osnovne kategorije.[3]

PresecanjePresecanjePresecanjePresecanje , tj. prekidanjeprekidanjeprekidanjeprekidanje (engl. interruption)predstavlja napad na raspoloraspoloraspoloraspoloivostivostivostivost (engl.availability). Presecanjem se prekida tokinformacija, tj. onemoguava se pruanje nekeusluge ili funkcionisanje nekog sistema. Ovakavnapad je aktivan.

177

PresretanjePresretanjePresretanjePresretanje (engl. interception) predstavlja napadna poverljivostpoverljivostpoverljivostpoverljivost (engl. confidentiality ). Presretanjemoe biti u praksi sprovedeno kao prislukivanjesaobraaja, nadziranje njegovog intenziteta, uvid uosetljive informacije ili slino. Kao pasivan napad,teko se otkriva jer ne menja podatke tj. ne utie naunutranje funkcionisanje sistema. Ovakav tip napada ponekad je pripremnafaza za neku drugu vrstu napada.

IzmenaIzmenaIzmenaIzmena (engl. modification) predstavlja napad naintegritetintegritetintegritetintegritet (engl. integrity ). Po svojoj prirodi, to jeaktivan napad. Deava se na prenosnom putu iliunutar nekog raunarskog sistema kada se radi se oizmeni podataka, pristupnih prava, nainafunkcionisanja programa ili sistema i slino. Iakomenja podatke ili sistem, napad esto ostaje neprimeen izvesno vreme, kakozbog nepanje, tako i zbog sloenih tehnika koje se pri ovom napadu koriste.

FabrikovanjeFabrikovanjeFabrikovanjeFabrikovanje (engl. fabrication) predstavljanapad na autentiautentiautentiautentinostnostnostnost (engl. authenticity ).Napada izvodi ovaj aktivni napad tako to generielane podatke, lani saobraaj ili izdaje neovlatenekomande. Veoma esto se koristi i lanopredstavljanje korisnika, usluge, servera, Webstrane ili nekog drugog dela sistema.

PosledicePosledicePosledicePosledice - Odgovorom na pitanje Zbog ega tititi? utvruju se negativne posledicekoje identifikovane pretnje mogu da izazovu. Neke katrgorije ovih posledica su:delimino ili potpuno oteenje, otuenje, modifikacija hardvera i softvera, otkrivanjepodataka, prekid rada sistema, ... Sve ovo utie na poveanje gubitaka a treba smanjitigubitke izazvane navedenim pretnjama.

MereMereMereMere - Na pitanje ime tititi? dobijamo identifikaciju svih mera koje stoje naraspolaganju u izgradnji celovitog i pouzdanog sistema zatite. Sve te mere, po svojimprirodnim svojstvima koja ih karakteriu, mogu se razvrstati kao:

Mere normativnognormativnognormativnognormativnog karakterakarakterakarakterakaraktera, - pravne, organizacione i kadrovske mere, pripadajukategoriji netehnikih mera. Osnovna karakteristika ovih mera je da ne degradirajurad sistema, ve znatno doprinose poveanju njegove raspoloivosti i produktivnosti,a istovremeno znaajno utiu na efikasnost sistema zatite (npr. prava pristupa ikorienja podataka).

FiziFiziFiziFiziko-tehniko-tehniko-tehniko-tehnikekekeke mere uslovljavaju ih finansijske investicije pre nego to ponuda dejstvuju, tj. unapred, plus trokove njihovog tekueg odravanja. Ovakvitrokovi se mogu tano proceniti i izbor planski podesiti raspoloivim finansijskimmogunostima. Ipak efikasnost ovih mera opada kada normativne mere nisu

178

primenjene na adekvatan nain (npr. fiziko obezbeenje IS, restriktivni prostor,Faradejev kavez, kripto uraji i slino).

LogiLogiLogiLogikekekeke mere su snano sredstvo zatite. Visok stepen efikasnosti se postiekorienjem logikih mera "u paketu". S druge strane, ove mere povlae za sobomtzv. prikrivene trokove, jer direktno utiu na smanjenje raspoloivosti i efikasnostiraunarskog sistema, a to je dovoljan razlog da se njihovoj primeni pristupikrajnje odgovorno, osmiljeno i racionalno.

KriptoloKriptoloKriptoloKriptolokekekeke mere zatite predstavljaju veoma znaajne mere i u kombinaciji samerama zatite od kompromitujueg elektro-magnetnog zraenja omoguavajuostvarivanje visokog nivoa zatite. Meutim, ove mere nisu dovoljne dasamostalno obezbede potrebnu zatitu zato to efikasnost ovih mera znaajnoopada ako normativne mere nisu primenjene adekvatano.

PolitikaPolitikaPolitikaPolitika - Glavno pitanje je Kako tititi? a to znai utvrivanje strategije za upravljanjerizikom u ambijentu informacionih sistema. Radi toga pristupa se procesu analize iprocene rizika.

3.3.3.3. ANALIZAANALIZAANALIZAANALIZA IIII PROCENAPROCENAPROCENAPROCENARIZIKARIZIKARIZIKARIZIKA

AnalizaAnalizaAnalizaAnaliza iiii procenaprocenaprocenaprocena rizikarizikarizikarizika odreuje verovatnou nastajanja rizika, analizu meuzavisnostirizinih dogaaja, kvantifikacija uticaja pojedinih dogaaja ili njihove kombinacije nasistem. To je procedura koja se koristi za procenu verovatnoe pretnji i potencijalnoggubitka koji moe rezultirati iz osetljivosti sistema. Krajnji cilj analize rizika ja dapomogne u izboru trotrotrotrokovnokovnokovnokovno prihvatljivihprihvatljivihprihvatljivihprihvatljivih meramerameramera zazazazatitetitetitetite koje reduciraju rizik naprihvatljiv nivo.

Za obavljanje analize rizika na raspolaganju su brojne metode i tehnike koje semeusobno razlikuju po prirodi, irini i dubini obuhvata. O njihovoj primeni naprocenjivanje problema zatite treba odluivati na osnovu njihove mogunosti daobezbede razumne i dokumentovane odgovore na fundame-ntalna pitanja vezanaza dizajniranje i implementaciju sistema zatite u konkretnom IS.

Veliinu mogueg uticaja identifikacija rizika mogue je odrediti preko:

- Kvantitativne analize podrazumevaju analizu u kojoj se rizik izraava iprocenjuje (izraunava) numerikim kvantitativnim parametrima, kao i uticajrizika na ciljeve projekta i verovatnoa da do tih rizinih dogaaja doe.

- Kvalitativne procene se vre na osnovu faktora fleksibilnost sistema i verovatnoaza promenama u IS. Primer: nizak, umeren ili visok nivo rizika.

Upravljanje rizikom se moe definisati kao skup upravljakih metoda i tehnikakojima se minimiziraju gubici i dovode u sklad trokovi kojima se smanjuje verovataoaostvarenja gubitka sa trokovima koji bi nastali od rizinog dogadjaja. Zapravo, sprovodise neka vrsta cost/benefit analize.

179

Kljuni faktori rizika su:1. Sam rizini dogaaj, pojava ili aktivnost koji mogu da prouzrokuju tete ili

neeljene posledice po informacioni sistem.2. Verovatnoa pojavljivanja riziog dogaaja.3. Veliina uloga, odnosno, veliina gubitka koji moe da nastane ako se

ostvari rizini dogaaj.

Za procenu rizika koristi se jednaina:

r = f g ,gde je: r - rizik, f - frekvencija (verovatnoa) nastajanja pretnje, g - jednokratnigubitak (veliina mogue tete). Ovo su kljuni elementi analize rizika[2].Treba za svaku identifikovanu pretnju u odnosu na posmatrani objekat utvrditiverovatnou nastajanja i veliinu tete (izraenu numerikim ili verbalnimkvalifikatorom) koju pretnja moe izazvati, imajui pri tome u vidu da je jedini faktornesigurnosti vremenski okvir u kojem e se neka pretnja realizovati, a ne i da li e serealizovati.

Kod utvrivanja verovatnoe nastajanja identifikovanih pretnji mora se polaziti odkonkretnog ambijenta i realnih uslova, jer, na primer, verovatnoa pojave nekihprirodnih katastrofa moe biti vrlo velika u nekim geografskim podrujima, dok je udrugim ta pretnja beznaajna; izloenost teroristikim akcijama karakteristina je zakontraverzna podruja i za informacione sisteme posebne namene.

Osnovu za formiranje skupa efikasnih mera zatite moe da obezbediti samosistematina analiza rizika. U tu svrhu esto se kao polazna taka koristi matricamatricamatricamatricaanalizeanalizeanalizeanalize rizikarizikarizikarizika. Matrica, koja obuhvata 5 kategorija pretnji, prikazana je u tabeli 1.

Tabela 1: Kategorije rizika i pretnji

Svaki element matrice (A1 - E3) oznaava jednu kategoriju rizika koju predstavljaodreena kategorija pretnji za odreeni objekt, pri emu se i objekti i pretnje mogudalje razvijati do eljenog nivoa detaljnosti.

Za uspeno razreavanje problema analize rizika kojima su izloeni objekti zatite,kao pogodno sredstvo sa praktinog stanovita preporuuje se korienje tabela, kojepruaju sistematian i dokumentovan pristup. Tabela 2 je jedan takav primer. Korienesu sledee oznake:

180

Tabela 2. Sistematino sagledavanje zatite pi - identifikovana i-ta pretnja; ui,j - j-ti uzrok (izvor) identifikovane i-te

pretnje; ok - k-ti objekat ili grupa objekata koji se

tite; f i,j,k - uestalost (frekvencija) i-te pretnje, j-tog

uzroka, koja ugroava k-ti objekat; g i,j,k - jednokratni gubitak izazvan delovanjem

i-te pretnje, j-tog uzroka, na k-ti objekat; r i,j,k - veliina rizika kojem je k-ti objekat

izloen zbog delovanja i-te pretnje, j-toguzroka;

m i,j,k,q - q-ta mera koja se moe primenitida bi se k-ti objekat zatitio od i-te pretnje, j-tog uzroka;

t i,j,k - trokovi preduzimanja q-te mere radizatite k-tog objekta od delovanja i-te pretnje, j-tog uzroka[2].

4.4.4.4. STRATEGIJESTRATEGIJESTRATEGIJESTRATEGIJE ZAZAZAZATITETITETITETITE INFORMACIONIHINFORMACIONIHINFORMACIONIHINFORMACIONIH SISTEMASISTEMASISTEMASISTEMA

Sa ovakvom tabelom menadment firme se moe lako opredeliti za neku od sledeihstrategija: IzbegavanjeIzbegavanjeIzbegavanjeIzbegavanje rizikarizikarizikarizika: Privremeno odricanje od odreenih funkcija i/ili

komponenata sistema koji su najugroeniji i bez kojih ostatak sistema moe daradi (svesna i privremena degradacija sistema),

PrihvatanjePrihvatanjePrihvatanjePrihvatanje rizikarizikarizikarizika: Ne preduzimanje bilo kakvih mera zatite u odnosu naoznaene pretnje, (teta izazvana tim pretnjama manja od trokovapreduzimanja mera),

PrenoPrenoPrenoPrenoenjeenjeenjeenje rizikarizikarizikarizika: Prenoenje posledica tetnog dogaaja na nekogdrugog (garantni rok, ugovor o odravanju, polise osiguranja),

KontrolisanjeKontrolisanjeKontrolisanjeKontrolisanje (limitiranje)(limitiranje)(limitiranje)(limitiranje) rizikarizikarizikarizika: Preduzimanje odgovarajuih mera zatite uodnosu na identifikovane pretnje u cilju anuliranja ili svoenja rizika naprihvatljiv nivo, kao i redukcije verovatnoe njihovog nastajanja. Ova strategijaima najveu teinu[2].

SigurnostSigurnostSigurnostSigurnost je proces odravanja prihvatljivog nivoa rizika i zahteva vreme i resurse dase ti zahtevi i odgovornosti ostvare. Ostvarivanje sigurnosti podrazumeva odravanjesistema u stanju prihvatljivog rizika, tj. kompromis izmeu potrebnih ulaganja ismanjenja mogunosti da nastane teta koje se tim ulaganjem postie. Vee ulaganjeu sigurnost smanjuje izloenost sistema ili raunarske mree riziku. S druge strane,ono izlae vlasnika veim trokovima i smanjuje profitabilnost i udobnost rada. Zato

181

je veoma znaajno da se odredi taka u kojoj se postie ravnotea izmeu ulaganja usigurnost i postignutih efekata (slika 3). Presek krivih (taka P) oznaava optimalninivo zatite.

Slika 3.Odnos potencijalnoggubitka i trokova zatite

Sigurnost kao proces (slika 4) zasniva se na etiri osnovna koraka: procenaprocenaprocenaprocena(planiranje), zazazazatitatitatitatita (spreavanje), otkrivanjeotkrivanjeotkrivanjeotkrivanje i odgovorodgovorodgovorodgovor.[1] ProcenaProcenaProcenaProcena (engl. assessment) je u vezi s pravilima, procedurama, pravnom i drugomregulativom, odreivanjem budeta, i jo je povezana s tehnikom procenom stanjasigurnosti. Greka u proceni moe nakoditi svim operacijama koje slede.[2] ZaZaZaZatitatitatitatita (engl. protection) tj. spreavanje ili prevencija, podrazumeva primenuprotivmera kako bi se smanjila mogunost ugroavanja sistema. Ukoliko zatita zakae,primenjuje se sledei korak otkrivanje.[3] OtkrivanjeOtkrivanjeOtkrivanjeOtkrivanje (engl. detection) ili detekcija predstavlja proces identifikacije upada, tj.povrede sigurnosnih pravila na nezakonit, neovlaen ili neprihvatljiv postupak koji jepreduzet nad raunarskim sistemom ili nad mreom.[4] OdgovorOdgovorOdgovorOdgovor (engl. response) ili reakcija predstavlja proces oporavka, tj. leenjaposledica upada. U aktivnosti reakcije spadaju postupci zakrpi i nastavi, ili goni isudi. Ranije se na prvo mesto stavljalo oporavljanje funkcionalnosti oteenih resursa,kao to je korienje rezervnih kopija podataka za vraanje sistema u stanje preizvrenog napada. U novije vreme sve ee se koriste pravna sredstva (sudski procesprotiv onoga ko ugroava sigurnost), meu koja spada prethodno prikupljanje dokazametodama digitalne forenzike pomou kojih se potkrepljuje tuba.

Slika 4. Odnos veliine rizika i ostvarenog nivoa zatite

182

U realizaciji sistema zatite treba teiti uspostavljanju ravnotenog stanja i izmeuveliine rizika i ostvarenog nivoa zatite (slika 5), koji moe biti standardni, srednji, viii najvii nivo, sagledavajui pritom i trokove.

Slika 5. Odnos veliine rizika i ostvarenog nivoa zatite

5.5.5.5. ZAKLJUZAKLJUZAKLJUZAKLJUAKAKAKAK

Sloeni procesi, koji se odvijaju u okviru raunarskih sistema ni u jednom trenutku i niu jednoj taki ne smeju se podceniti, jer opasnosti koje, posredno ili neposredno,kontinuirano ili povremeno, ugroavaju te procese, u manjoj ili veoj meripredstavljaju pretnju sistemu i njegovim objektima. Pretnje su toliko brojne,meusobno povezane i isprepletane tako da nad celim informacionim sistemomformiraju kompleksnu mreu opasnosti.

U tom smislu vano je da top menadment firme razume kakve opasnosti moguugroziti informacioni sistem, kao i uslove i ambijent koji pogoduju za nastajanjeneeljenih pojava. Moraju da se uvek uzmu u obzir sve mogue negativne posledicekoje mogu da nastanu.

LITERATURALITERATURALITERATURALITERATURA

[1] D. Bulatovi, B. Trifunovi: ifrovanje i zatita podataka u elektronskom prenosunovca, Zbornik radova

[2] S. R.Petrovi: Kompjuterski kriminal, II Izdanje, Beograd, 2001.

[3] D. Pleskonji, N. Maek, B. orevi, M. Cari: Sigurnost raunarskih sistema imrea, Beograd, 2007.

[4] M. Mihaljevi, Z. Savi: Teorijski i praktini saveti kriptolokog kvaliteta zatiteprivatnosti informacija, Struni skup o zatiti raunarskih sistema, Savez inenjerai tehniara Srbije, Beograd 1995.

183

SummarySummarySummarySummaryINFORMATIONINFORMATIONINFORMATIONINFORMATION SYSTEMSYSTEMSYSTEMSYSTEM PROTECTIONPROTECTIONPROTECTIONPROTECTIONScientificScientificScientificScientific paperpaperpaperpaperI.I.I.I. MladenoviMladenoviMladenoviMladenovi1,G.G.G.G. JoviJoviJoviJovi21 Faculty of Technology, Leskovac, Serbia2 Technical Faculty, Bor, Serbia

Protection of info systems covers implementation of certain actions in order to protectpersonal data and welfare against unexpected events with negative impact.Complex processes within the computer systems must not be underestimated on anyspot or any moment, due to hazards which directly or indirectly, continually or fromtime to time jeopardize the specified processes, presenting less effective or moreeffective threat to the system and its objects/elements. Threats are so numerous, inter-connected forming complex net of hazards and threats over the whole info system.Thus there is need to avoid any type of accidentally or on purpose, due to anyunplanned and unexpected reasons, jeopardizing, exposing or stopping functions ofcomputer systems, i.e. misuse, destroying, damaging modification or unauthorizedusage of info resources (hardware, software, programs, databases) but to establish allessential conditions, in order to provide all functions, while the data and informationshould be used and managed on expected and estimated defined way.

KeyKeyKeyKey wordswordswordswords: data protection, info/communication system protection, the objects of theprotection, protective measures, risk/threat.

INFORMATIONSYSTEMPROTECTIONScientificpaper