IT sigurnost u predsjednikovom uredu

Kako danas javlja Večernji list, novoizabrani predsjednik Ivo Josipović će u svom uredu koristiti Windows operativni sustav.

U članku se citira nepoznati izvor iz predsjednikovog ureda koji kaže:

"– Windowsi su dobri i zbog određenih sigurnosnih standarda koji se moraju čuvati i tu nema milosti ni za koga pa ni za predsjednika – kaže naš izvor."

Prilično je neozbiljno i nekompetentno koristiti sigurnost kao argument u korist Windows operativnog sustava, a nasuprot Linuxu i drugim programima napisanim na temeljima otvorenog koda. Zapravo, takva samouvjerenost je problematična već sama po sebi i ne jamči nam da će informacije u predsjednikovom uredu biti zaštićene na pravi način.

Manje bi me začudilo da su se kao argumenti izvukli npr. nemogućnost otkazivanja ugovora Microsoftu, nemogućnost migracije u kratkom vremenu ili pak nesklonost predsjednikovih ljudi na učenje (iako je svaki od ovih argumenata jednako klimav). Argument može biti i neka važna aplikacija koja ne ide pod Linuxom, no ne vjerujem da će se netko na Pantovčaku baviti npr. Photoshopom.

Ne zagovaram a priori činjenicu da je Linux sigurniji od Windowsa, no kada netko, a naročito iz državnih tijela, tvrdi suprotno, morao bi imati dobre argumente. A takvih argumenata, kada govorimo o struci informacijske sigurnosti u svijetu, nema. Ako je u pitanju sigurnost, otvoreni kod općenito a i Linux kao operativni sustav posebno imaju niz argumenata na svojoj strani. Osporavatelji najčešće izvlače argument da besplatan kod ne može biti kvalitetno napravljen, previđajući činjenicu da broj čovjek/sati utrošen na razvoj i broj očiju zaposlen na testiranju otvorenog koda premašuju mnoge komercijale proizvode, a njegova arhitektura i izvedba nisu vođene tržišnim diktatom i zacrtanim rokovima realizacije pod svaku cijenu.

Za ilustraciju, uzmimo primjer nedavne napade na Google. Uzrok ovih napada bila je ranjivost u Internet Exploreru o kojoj je Microsoft znao mjesecima, a da nije pripremio popravak. Ovako nešto je nemoguće u otvorenom kodu. Nasuprot Internet Exploreru, statistike govore da se prijavljene ranjivosti u Firefoxu otklanjaju u znatno kraćem roku, što je svakako rezultat činjenice da Firefox pripada otvorenom kodu. Slika je naravno kompleksnija i zahtjeva nešto više prostora, nije baš ni sasvim crno-bijela, no trendovi svakako govore u prilog sigurnosti otvorenog koda.

Omiljeni argument osporavatelja sigurnosti Linuxa je i taj da ovaj operativni sustav nema puno ranjivosti jer je naprosto nezanimljiv istraživačima ranjivosti. Zbog malog broja instalacija (usporedimo li statistiku Linux desktop instalacija nasuprot Windowsima) oni se i ne pokušvaju baviti Linuxom, jer otkrivene ranjivosti ne mogu dobro naplatiti. Čak i da nema arhitekturne prednosti sigurnosnih svojstava Linux operativnog sustava i da je argument na mjestu, treba reći da će povećani broj Linux korisnika donijeti sa sobom i povećani broj razvojnih inicijativa i timova, povećani broj testova, a u konačnici povećanu sigurnost. Drugim riječima, povećanim korištenjem Open Sourcea automatski raste i razvojna podloga, što je potpuno suprotno zatvorenom i komercijalnom softveru.

"Open source" u Hrvata

Prije nekoliko tjedana je u Globusu objavljen članak o (ne)uvođenju "open source" softvera u državne institucije. Iako je ova tema izvan fokusa interesa ovih stranica, ipak ću, kao pobornik ideje "open sourca", odvojiti par redaka.

Naime, sa stajališta manje tvrtke apsolutno sam uvjeren da "open source" može zadovoljiti većinu zahtjeva koja se postavlja pred korištenje informacijskog sustava. U mojoj tvrtki koristimo specijalizirane sigurnosne sustave otvorenog koda ali i Linux kao osnovni operativni sustav na radnim stanicama i serverima, kao i različite serverske aplikacije koje nam olakšavaju rad. Glavna ograničenja vidimo u činjenici da se neki specijalizirani programski alati za sada mogu izvoditi isključivo na zatvorenim platformama (iako, postoje rješenja koja ruše i ove granice).

Naravno, poziv za uvođenje otvorenog koda treba rezultirati pametnom analizom kroz koju će se dokazati (ili možda opovrgnuti) "enterprise" potencijal ovih programa. Upravo bi ovakav projekt mogao biti kandidat za primjenu IT Governance principa i promišljeno uvođenje u produkciju (što, uglavnom, izostaje prilikom uvođenja "zatvorenog koda" jer se, eto, podrazumijeva njegova prikladnost). Pada mi napamet COBIT i poglavlje "Acquire and Implement"

Apsolutno sam suglasan sa financijskim aspektom cijele priče, o kojoj članak govori. Ne samo da bi se smanjili troškovi državne administracije, nego bi i novac koji je ipak neophodan za pogon informacijskog sustava u velikoj mjeri ostao u granicama države.

Postoji i još jedan aspekt o kojem članak ne govori. Primjenom otvorenog koda mogao bi se pokrenuti potencijal naših informatičkih stručnjaka u pravcu kreiranja novih informatičkih proizvoda (naravno, na principu otvorenog koda). Naš bi se informatički sektor, tako, mogao transformirati iz "reproduktivnog" u "stvaralački", što je neophodno za agresivniji izvozni pristup. Protivnici ove ideje imaju određena temeljna osporavanja: prema njima, otvoreni kod ne može biti gorivo održivog poslovnog modela, s obzirom da nije motiviran profitom a znanje ne tretira kao robu. Poznata je i epizoda u kojoj je Darl McBride, direktor tvrtke SCO koja je prije par godina pokušala reketariti "open source", uvjeravao američki Kongres kako "Open Source" predstavlja stratešku prijetnju američkom gospodarstvu i kapitalizmu u cjelini. Srećom, postoje brojni primjeri koji potvrđuju mogućnost pozitivnog poslovnog modela, a svima nama preostaje utvrditi što bi moglo najbolje funkcionirati u našoj okolini.