Prošli sam tjedan pisao o izvještaju tvrtke Verizon. Jedan od najzanimljivijih odlomaka tog izvještaja nosi naslov "Uknown Uknowns". O čemu se radi?
Istražitelji računalnih incidenata su još prije nekoliko godina uočili zajednički uzorak u mnogim slučajevima: incidenti su omogućeni ili barem olakšani prisutnošću nekih resursa informacijske infrastrukture koji su u pravilu trebali biti poznati odgovornim osobama, ali koji za koje nitko nije znao. Tako su na mreži postojala računala za koje nitko nije znalo, osjetljivi podaci su se nalazili neočekivanim lokacijama, resursi su komunicirali neuobičajenim mrežnim konekcijama ili servisima, a nepoznati korisnički računi su bili redovita pojava. Ove su činjenice opisane kao "Uknown Uknowns", a uzrokovane su kako slučajnošći i nesmotrenošću tako i tendencioznim i zlonamjernim djelovanjem. Zajedničko im je da svojim prisustvom u velikoj mjeri olakšavaju sigurnosne prijetnje.
Možda uzorak iz Verizonovog istraživanja i nije do kraja reprezentativan da bi se izvukli definitivni zaključci, no i u ovom slučaju opžemo govoriti o dobroj ilustraciji prakse koja je sasvim sigurno stvarnost u mnogim okolinama. Uostalom, na brojnim sam se primjerima i sam osvjedočio u točnost ovih tvrdnji.
Kako se obraniti od nepoznatog?
Napore treba usmjeriti u dva pravca. S jedne strane, potrebno je redovito provjeravati podudaraju li se konfiguracijske postavke kritičnih informacijskih resursa s propisanim standardnim specifikacijama. S druge strane, potrebno je kontinuirano pratiti sve događaje i na vrijeme reagirati na neovlaštene promjene u konfiguraciji sustava.
Ovo je puno lakše napisati nego provesti. Provjera konfiguracijskih parametara podrazumijeva, na primjer kod Windows Server platforme, kontrolu nekoliko stotina konfiguracijskih parametara, pr čemu se ovi parametri prilično razlikuju po raznovrsnosti i kompleksnosti. Nadalje, praćenje događaja zahtjeva značajne resurse i koncetraciju stručnosti. Naravno, ni jedan od ovih zahtjeva ne može se uspješno provoditi bez specijaliziranih alata.
Svijest o informacijskoj sigurnosti doživjela je značajne poticaje u našem su okruženju tijekom nekoliko posljednih godina. No, sada nam predstoji slijedeća stepenica: iz dokumenata, pravilnika i certifikata potrebno je evoluirati u dobro upravljiv sustav čija će se sigurnosna uspješnost moći točno izmjeriti u svakom trenutku, a odstupanja prepoznati u realnom vremenu.
Do onda, biti ćete u prilici upoznati "Uknown Uknowns".
Prikazani su postovi s oznakom Upravljanje log zapisima. Prikaži sve postove
Prikazani su postovi s oznakom Upravljanje log zapisima. Prikaži sve postove
21.4.09
31.3.09
Obnova kontinuiteta
Prije svega, dugujem ispriku stalnim čitateljima ovih stranica. Prošlo je puno vremena od zadnjeg teksta na ovim stranicama. Nisam, naravno, izgubio polet, već sam bio prilično zaokupljen na nekoliko projekata, pa su ove stranice, nekako, završile u drugom planu. Uskoro će biti nešto više riječi o ovim projektima, a posebno ću opisati rad na razvoju aplikacije za upravljanje informacijskim rizicima. Osim na projektima, sudjelovao sam i u nekoliko događaja i javnih skupova. Krajem veljače sam na redovitim mjesečnim sastancima hrvatskog ogranka ISACA-e predstavio metodu za upravljanje rizicima - MEHARI, a u najfriškijem sjećanju je i prošlotjedno sudjelovanje na prvoj konferenciji internih revizora u Opatiji, u organizaciji Hrvatskog instituta internih revizora. HIIR je, pored hrvatskog ogranka ISACA-e, jedina stručna organizacija koja se, među ostalim, bavi i revizijom informacijskih sustava.
Glavnu riječ u planiranju, organizaciji, a naročito vođenju stručnog programa konferencije u Opatiji imali su sami revizori. Organizacijski dio nije nimalo podbacio, a stručni dio bio je osobito zanimljiv, naročito onaj koji se odnosio se na reviziju informacijskih sustava.
Borea je održala jednu veoma zanimljivu i dobro posjećenu radionicu o korištenju CAATT alata IDEA. Radionica se bazirala na stvarnom primjeru iz poslovne prakse i u, preko 120 minuta, predstavili smo glavne analitičke mogućnosti softvera IDEA.
Također, održao sam i prezentaciju koja se odnosila na jedno od najpodcjenjenijih područja informacijske sigurnosti - upravljanje log zapisima. Ova tematika podjednako je zanimljiva i stručnjacima za sigurnost kao i revizorima informacijskih sustava. Revizorima je zanimljiva iz dva razloga. Prvo, revizija svakog imalo osjetljivijeg informacijskog sustava mora uključivati i reviziju procesa upravljanja log zapisima. Drugi razlog leži u činjenici da log zapisi sadrže brojne informacije o radu i korištenju informacijskog sustava. Ove informacije se moraju svakako sagledati u situacijama kada se izvodi detaljna analiza pojedinih sigurnosnih mjera odnosno kada se testira provedba predviđenih postavki.
Konferencija u Opatiji pokazala je veliko zanimanje za problematiku revizije informacijskih sustava, što nimalo ne čudi s obzirom na sve prisutnije regulatorne zahtjeve. Raduje što su sudionici konferencije bili spremni podijeliti svoja razmišljanja u ovom dijelu struke koje se, u našem okruženju, tek treba etablirati.
Glavnu riječ u planiranju, organizaciji, a naročito vođenju stručnog programa konferencije u Opatiji imali su sami revizori. Organizacijski dio nije nimalo podbacio, a stručni dio bio je osobito zanimljiv, naročito onaj koji se odnosio se na reviziju informacijskih sustava.
Borea je održala jednu veoma zanimljivu i dobro posjećenu radionicu o korištenju CAATT alata IDEA. Radionica se bazirala na stvarnom primjeru iz poslovne prakse i u, preko 120 minuta, predstavili smo glavne analitičke mogućnosti softvera IDEA.
Također, održao sam i prezentaciju koja se odnosila na jedno od najpodcjenjenijih područja informacijske sigurnosti - upravljanje log zapisima. Ova tematika podjednako je zanimljiva i stručnjacima za sigurnost kao i revizorima informacijskih sustava. Revizorima je zanimljiva iz dva razloga. Prvo, revizija svakog imalo osjetljivijeg informacijskog sustava mora uključivati i reviziju procesa upravljanja log zapisima. Drugi razlog leži u činjenici da log zapisi sadrže brojne informacije o radu i korištenju informacijskog sustava. Ove informacije se moraju svakako sagledati u situacijama kada se izvodi detaljna analiza pojedinih sigurnosnih mjera odnosno kada se testira provedba predviđenih postavki.
Konferencija u Opatiji pokazala je veliko zanimanje za problematiku revizije informacijskih sustava, što nimalo ne čudi s obzirom na sve prisutnije regulatorne zahtjeve. Raduje što su sudionici konferencije bili spremni podijeliti svoja razmišljanja u ovom dijelu struke koje se, u našem okruženju, tek treba etablirati.
3.9.07
Zaštita privatnosti na radnom mjestu
Početkom kolovoza se u Jutranjem listu pojavio članak na temu zaštite privatnosti u slučajevima korištenja elektroničke pošte na radnom mjestu . Članak navodi na zaključak da zaposlenici ne trebaju očekivati pretjeranu zaštitu osobnih podataka u takvim slučajevima i da poslodavac zadržava pravo uvida u takve oblike komunikacije.
Nekoliko tjedana kasnije, u rubrici pisma čitatelja objavljeno je pismo jednog pravnika koji tvrdi da je takav zaključak u suprotnosti s europskom praksom, te da zaposlenici imaju pravo na zaštitu elementarnih oblika privatnosti na radnom mjestu. Čitatelj ipak na kraju sugerira da bi stvarna praksa trebala biti negdje u sredini.
U međuvremenu ova se tema pojavila i u drugim medijima (npr. u jutarnjem programu HTV-a), a vjerujem da su mnogi od vas barem jednom sudjelovali u poduljoj debati na ovu temu u svojim organizacijama.
Naravno istina je negdje u sredini, no pitanje je gdje? Ja osobno smatram da zaštita privatnosti i prava pojedinaca mora imati prioritet i da svaka organizacija (državna tijela, financijske institucije, telekomunikacijske tvrtke, velike korporacije...) mora, ne samo pokazati brigu, nego i takve podatke zaštiti na pravi način.
No, u slučaju zaštite osobnih podataka na radnom mjestu dio odgovornosti moraju preuzeti i zaposlenici.
Naravno, da je apsurdno zabranjivati korištenje elektroničke pošte tijekom radnog vremena (što je moglo i proći prije pet-šet godina), baš kao što normalna organizacija neće zabraniti ni privatne telefonske razgovore. No, treba znati da postoje razlike između telefonskog razgovora i elektroničke pošte.
Telefonski razgovori nose ograničene rizike i to prije svega uslijed prekomjernog korištenja (ograničavanje učinkovitosti na radnom mjestu i dodatni troškovi za poslodavca), a takvi se rizici mogu prepoznati na temelju jednostavnih indikatora (npr. uvidom u izvještaje o troškovima telefonske centrale).
Stvari su složenije kod elektroničke pošte. Pored prekomjernog korištenja, elektronička pošta sadrži i mnoge druge rizike (curenje povjerljivih informacija, distribucija nelegalnih sadržaja, ugrožavanje integriteta drugih osoba...). U svjetskoj (uključujući i europsku) praksu poznati su slučajevi gdje su zaposlenici napravili takve delikte, no odgovornima se držalo organizacije. Upravo zbog tako predviđenih obveza i odgovornosti, organizacije moraju pravilnikom urediti korištenje elektroničke pošte, a uvođenjem tehnika učinkovitog nadzora provjeravati provedbu pravilnika.
Pojam "nadzor" odmah izaziva oprez i nepovjerenje, no treba reći da se nadzor elektroničke komunikacije, pa tako i elektroničke pošte, može (a i mora) provesti bez uvida u ukupni kontekst i sadržaj pisane komunikacije, a sasvim pouzdane indikatore je moguće dobiti na nižim mrežnim razinama: vrsta i količina prometa po intrenim ili vanjskim mrežnim adresama, pokazatelji odstupanja od prosječnih vrijednosti, karakter prometa, prisutnost kritičnih pojmova. Naravno, uvijek se može pregledati i sadržaj komunikacije, no to onda mora biti na temelju čvrstih indikatora i u skladu s propisanom procedurom kako bi se zaštitila privatnost zaposlenika.
U svakom slučaju, zaposlenika se mora upozoriti da organizacija ne snosi odgovornost za zaštitu njegovih (ili njenih) osobnih podataka koje zaposlenik pošalje u privatnoj komunikaciji. Nadalje, zaposlenik mora znati da organizacija može, zbog obveza koje ima prema regulatorima ili drugim tijelima koji propisuju uvjete poslovanja, u određenim, uvjetima provjeriti i sadržaj osobne komunikacije. Uz to, dobronamjerna organizacija će ograničiti i sankcionirati sve zloupotrebe takvog nadzora.
Ne treba zaboraviti da mnoge organizacije prikupljaju znatno vrijednije osobne podatke o svojim zaposlenicima u poslovnim bazama podataka.
Isto tako, svaka osoba mora znati da je puno više osobnih podataka, privatnih elektroničkih poruka i pokazatelja o osobnim navikama surfanja Internetom prikupljeno u arhivama telekomunikacijskih kuća i ISP tvrtki. Osobno smatram da se (opravdana) borba za zaštitu privatnosti u elektroničkoj komunikaciji mora voditi na ovim frontovima.
Nekoliko tjedana kasnije, u rubrici pisma čitatelja objavljeno je pismo jednog pravnika koji tvrdi da je takav zaključak u suprotnosti s europskom praksom, te da zaposlenici imaju pravo na zaštitu elementarnih oblika privatnosti na radnom mjestu. Čitatelj ipak na kraju sugerira da bi stvarna praksa trebala biti negdje u sredini.
U međuvremenu ova se tema pojavila i u drugim medijima (npr. u jutarnjem programu HTV-a), a vjerujem da su mnogi od vas barem jednom sudjelovali u poduljoj debati na ovu temu u svojim organizacijama.
Naravno istina je negdje u sredini, no pitanje je gdje? Ja osobno smatram da zaštita privatnosti i prava pojedinaca mora imati prioritet i da svaka organizacija (državna tijela, financijske institucije, telekomunikacijske tvrtke, velike korporacije...) mora, ne samo pokazati brigu, nego i takve podatke zaštiti na pravi način.
No, u slučaju zaštite osobnih podataka na radnom mjestu dio odgovornosti moraju preuzeti i zaposlenici.
Naravno, da je apsurdno zabranjivati korištenje elektroničke pošte tijekom radnog vremena (što je moglo i proći prije pet-šet godina), baš kao što normalna organizacija neće zabraniti ni privatne telefonske razgovore. No, treba znati da postoje razlike između telefonskog razgovora i elektroničke pošte.
Telefonski razgovori nose ograničene rizike i to prije svega uslijed prekomjernog korištenja (ograničavanje učinkovitosti na radnom mjestu i dodatni troškovi za poslodavca), a takvi se rizici mogu prepoznati na temelju jednostavnih indikatora (npr. uvidom u izvještaje o troškovima telefonske centrale).
Stvari su složenije kod elektroničke pošte. Pored prekomjernog korištenja, elektronička pošta sadrži i mnoge druge rizike (curenje povjerljivih informacija, distribucija nelegalnih sadržaja, ugrožavanje integriteta drugih osoba...). U svjetskoj (uključujući i europsku) praksu poznati su slučajevi gdje su zaposlenici napravili takve delikte, no odgovornima se držalo organizacije. Upravo zbog tako predviđenih obveza i odgovornosti, organizacije moraju pravilnikom urediti korištenje elektroničke pošte, a uvođenjem tehnika učinkovitog nadzora provjeravati provedbu pravilnika.
Pojam "nadzor" odmah izaziva oprez i nepovjerenje, no treba reći da se nadzor elektroničke komunikacije, pa tako i elektroničke pošte, može (a i mora) provesti bez uvida u ukupni kontekst i sadržaj pisane komunikacije, a sasvim pouzdane indikatore je moguće dobiti na nižim mrežnim razinama: vrsta i količina prometa po intrenim ili vanjskim mrežnim adresama, pokazatelji odstupanja od prosječnih vrijednosti, karakter prometa, prisutnost kritičnih pojmova. Naravno, uvijek se može pregledati i sadržaj komunikacije, no to onda mora biti na temelju čvrstih indikatora i u skladu s propisanom procedurom kako bi se zaštitila privatnost zaposlenika.
U svakom slučaju, zaposlenika se mora upozoriti da organizacija ne snosi odgovornost za zaštitu njegovih (ili njenih) osobnih podataka koje zaposlenik pošalje u privatnoj komunikaciji. Nadalje, zaposlenik mora znati da organizacija može, zbog obveza koje ima prema regulatorima ili drugim tijelima koji propisuju uvjete poslovanja, u određenim, uvjetima provjeriti i sadržaj osobne komunikacije. Uz to, dobronamjerna organizacija će ograničiti i sankcionirati sve zloupotrebe takvog nadzora.
Ne treba zaboraviti da mnoge organizacije prikupljaju znatno vrijednije osobne podatke o svojim zaposlenicima u poslovnim bazama podataka.
Isto tako, svaka osoba mora znati da je puno više osobnih podataka, privatnih elektroničkih poruka i pokazatelja o osobnim navikama surfanja Internetom prikupljeno u arhivama telekomunikacijskih kuća i ISP tvrtki. Osobno smatram da se (opravdana) borba za zaštitu privatnosti u elektroničkoj komunikaciji mora voditi na ovim frontovima.
Pretplati se na:
Postovi (Atom)