U Jutarnjem listu od 8.9.2007. objavljen je razgovor s Antom Samodolom, čelnim čovjekom Hrvatske agencije za nadzor financijskih usluga. Hanfa je svojim radom izazvala brojne reakcije, a stvorila je i neke "neprijatelje". Nemam namjeru baviti se ovim dijelom Hanfine aktivnosti već ukazati na jedan od odgovora iz ovog članka.
Na pitanje o "redovitim curenjem informacija o upisu dionica kod javnih ponuda", Samodol potvrđuje takvu praksu, te najavljuje da će se Hanfa svim silama boriti protiv toga. Naime, ovakva informacija može imati snažan poticaj za neopravdani skok cijena dionica.
Ovaj odgovor pokazuje na najbolji način snagu informacija na tržištu dionica i mogućnosti manipulacija cijenama dionica korištenjem informacija. Mogući su i slučajevi kada se određene informacije neće objaviti odnosno biti će poznate samo uskom broju ljudi i to u veoma pogodnom trenutku.
Kao što Samodol tvrdi, "u zakonu je jasno što tko smije objaviti, a što ne smije". No, problem predstavlja činjenica da je manipulaciju informacijama ponekad veoma teško otkriti. Danas se preko 99% informacija koje bi mogle imati utjecaja na poslovanje tvrtki, pa tako i na cijenu dionica, obrađuje ili pohranjuje u digitalnom obliku, odnosno izmjenjuju nekim od oblika elektroničke komunikacije. Mjesta otkrivanja ili prikrivanja takvih informacija veoma su raznolika i često nedodirljiva u potrebnom trenutku. Čak i kad naknadno postane jasno da je došlo do manipulacije, načinjenu štetu teško je pokriti.
Stoga, pored propisivanja što se smije ili ne smije objaviti, zakon i provedbena praksa mora jasnije definirati kako se takve informacije moraju čuvati i obrađivati, te predvidjeti odgovornost rukovodstva i za slučajeve nemarnog odnosa prema važnim podacima. Vjerujemo da će i Hanfa prepoznati taj pravac uređivanja financijskog trižišta.
3.9.07
Zaštita privatnosti na radnom mjestu
Početkom kolovoza se u Jutranjem listu pojavio članak na temu zaštite privatnosti u slučajevima korištenja elektroničke pošte na radnom mjestu . Članak navodi na zaključak da zaposlenici ne trebaju očekivati pretjeranu zaštitu osobnih podataka u takvim slučajevima i da poslodavac zadržava pravo uvida u takve oblike komunikacije.
Nekoliko tjedana kasnije, u rubrici pisma čitatelja objavljeno je pismo jednog pravnika koji tvrdi da je takav zaključak u suprotnosti s europskom praksom, te da zaposlenici imaju pravo na zaštitu elementarnih oblika privatnosti na radnom mjestu. Čitatelj ipak na kraju sugerira da bi stvarna praksa trebala biti negdje u sredini.
U međuvremenu ova se tema pojavila i u drugim medijima (npr. u jutarnjem programu HTV-a), a vjerujem da su mnogi od vas barem jednom sudjelovali u poduljoj debati na ovu temu u svojim organizacijama.
Naravno istina je negdje u sredini, no pitanje je gdje? Ja osobno smatram da zaštita privatnosti i prava pojedinaca mora imati prioritet i da svaka organizacija (državna tijela, financijske institucije, telekomunikacijske tvrtke, velike korporacije...) mora, ne samo pokazati brigu, nego i takve podatke zaštiti na pravi način.
No, u slučaju zaštite osobnih podataka na radnom mjestu dio odgovornosti moraju preuzeti i zaposlenici.
Naravno, da je apsurdno zabranjivati korištenje elektroničke pošte tijekom radnog vremena (što je moglo i proći prije pet-šet godina), baš kao što normalna organizacija neće zabraniti ni privatne telefonske razgovore. No, treba znati da postoje razlike između telefonskog razgovora i elektroničke pošte.
Telefonski razgovori nose ograničene rizike i to prije svega uslijed prekomjernog korištenja (ograničavanje učinkovitosti na radnom mjestu i dodatni troškovi za poslodavca), a takvi se rizici mogu prepoznati na temelju jednostavnih indikatora (npr. uvidom u izvještaje o troškovima telefonske centrale).
Stvari su složenije kod elektroničke pošte. Pored prekomjernog korištenja, elektronička pošta sadrži i mnoge druge rizike (curenje povjerljivih informacija, distribucija nelegalnih sadržaja, ugrožavanje integriteta drugih osoba...). U svjetskoj (uključujući i europsku) praksu poznati su slučajevi gdje su zaposlenici napravili takve delikte, no odgovornima se držalo organizacije. Upravo zbog tako predviđenih obveza i odgovornosti, organizacije moraju pravilnikom urediti korištenje elektroničke pošte, a uvođenjem tehnika učinkovitog nadzora provjeravati provedbu pravilnika.
Pojam "nadzor" odmah izaziva oprez i nepovjerenje, no treba reći da se nadzor elektroničke komunikacije, pa tako i elektroničke pošte, može (a i mora) provesti bez uvida u ukupni kontekst i sadržaj pisane komunikacije, a sasvim pouzdane indikatore je moguće dobiti na nižim mrežnim razinama: vrsta i količina prometa po intrenim ili vanjskim mrežnim adresama, pokazatelji odstupanja od prosječnih vrijednosti, karakter prometa, prisutnost kritičnih pojmova. Naravno, uvijek se može pregledati i sadržaj komunikacije, no to onda mora biti na temelju čvrstih indikatora i u skladu s propisanom procedurom kako bi se zaštitila privatnost zaposlenika.
U svakom slučaju, zaposlenika se mora upozoriti da organizacija ne snosi odgovornost za zaštitu njegovih (ili njenih) osobnih podataka koje zaposlenik pošalje u privatnoj komunikaciji. Nadalje, zaposlenik mora znati da organizacija može, zbog obveza koje ima prema regulatorima ili drugim tijelima koji propisuju uvjete poslovanja, u određenim, uvjetima provjeriti i sadržaj osobne komunikacije. Uz to, dobronamjerna organizacija će ograničiti i sankcionirati sve zloupotrebe takvog nadzora.
Ne treba zaboraviti da mnoge organizacije prikupljaju znatno vrijednije osobne podatke o svojim zaposlenicima u poslovnim bazama podataka.
Isto tako, svaka osoba mora znati da je puno više osobnih podataka, privatnih elektroničkih poruka i pokazatelja o osobnim navikama surfanja Internetom prikupljeno u arhivama telekomunikacijskih kuća i ISP tvrtki. Osobno smatram da se (opravdana) borba za zaštitu privatnosti u elektroničkoj komunikaciji mora voditi na ovim frontovima.
Nekoliko tjedana kasnije, u rubrici pisma čitatelja objavljeno je pismo jednog pravnika koji tvrdi da je takav zaključak u suprotnosti s europskom praksom, te da zaposlenici imaju pravo na zaštitu elementarnih oblika privatnosti na radnom mjestu. Čitatelj ipak na kraju sugerira da bi stvarna praksa trebala biti negdje u sredini.
U međuvremenu ova se tema pojavila i u drugim medijima (npr. u jutarnjem programu HTV-a), a vjerujem da su mnogi od vas barem jednom sudjelovali u poduljoj debati na ovu temu u svojim organizacijama.
Naravno istina je negdje u sredini, no pitanje je gdje? Ja osobno smatram da zaštita privatnosti i prava pojedinaca mora imati prioritet i da svaka organizacija (državna tijela, financijske institucije, telekomunikacijske tvrtke, velike korporacije...) mora, ne samo pokazati brigu, nego i takve podatke zaštiti na pravi način.
No, u slučaju zaštite osobnih podataka na radnom mjestu dio odgovornosti moraju preuzeti i zaposlenici.
Naravno, da je apsurdno zabranjivati korištenje elektroničke pošte tijekom radnog vremena (što je moglo i proći prije pet-šet godina), baš kao što normalna organizacija neće zabraniti ni privatne telefonske razgovore. No, treba znati da postoje razlike između telefonskog razgovora i elektroničke pošte.
Telefonski razgovori nose ograničene rizike i to prije svega uslijed prekomjernog korištenja (ograničavanje učinkovitosti na radnom mjestu i dodatni troškovi za poslodavca), a takvi se rizici mogu prepoznati na temelju jednostavnih indikatora (npr. uvidom u izvještaje o troškovima telefonske centrale).
Stvari su složenije kod elektroničke pošte. Pored prekomjernog korištenja, elektronička pošta sadrži i mnoge druge rizike (curenje povjerljivih informacija, distribucija nelegalnih sadržaja, ugrožavanje integriteta drugih osoba...). U svjetskoj (uključujući i europsku) praksu poznati su slučajevi gdje su zaposlenici napravili takve delikte, no odgovornima se držalo organizacije. Upravo zbog tako predviđenih obveza i odgovornosti, organizacije moraju pravilnikom urediti korištenje elektroničke pošte, a uvođenjem tehnika učinkovitog nadzora provjeravati provedbu pravilnika.
Pojam "nadzor" odmah izaziva oprez i nepovjerenje, no treba reći da se nadzor elektroničke komunikacije, pa tako i elektroničke pošte, može (a i mora) provesti bez uvida u ukupni kontekst i sadržaj pisane komunikacije, a sasvim pouzdane indikatore je moguće dobiti na nižim mrežnim razinama: vrsta i količina prometa po intrenim ili vanjskim mrežnim adresama, pokazatelji odstupanja od prosječnih vrijednosti, karakter prometa, prisutnost kritičnih pojmova. Naravno, uvijek se može pregledati i sadržaj komunikacije, no to onda mora biti na temelju čvrstih indikatora i u skladu s propisanom procedurom kako bi se zaštitila privatnost zaposlenika.
U svakom slučaju, zaposlenika se mora upozoriti da organizacija ne snosi odgovornost za zaštitu njegovih (ili njenih) osobnih podataka koje zaposlenik pošalje u privatnoj komunikaciji. Nadalje, zaposlenik mora znati da organizacija može, zbog obveza koje ima prema regulatorima ili drugim tijelima koji propisuju uvjete poslovanja, u određenim, uvjetima provjeriti i sadržaj osobne komunikacije. Uz to, dobronamjerna organizacija će ograničiti i sankcionirati sve zloupotrebe takvog nadzora.
Ne treba zaboraviti da mnoge organizacije prikupljaju znatno vrijednije osobne podatke o svojim zaposlenicima u poslovnim bazama podataka.
Isto tako, svaka osoba mora znati da je puno više osobnih podataka, privatnih elektroničkih poruka i pokazatelja o osobnim navikama surfanja Internetom prikupljeno u arhivama telekomunikacijskih kuća i ISP tvrtki. Osobno smatram da se (opravdana) borba za zaštitu privatnosti u elektroničkoj komunikaciji mora voditi na ovim frontovima.
21.8.07
Deset izjava koje vam zvuče poznato
U ovom napisu, prvom nakon nešto dulje ljetne pauze, želim vas uputiti na zanimljiv članak koji je nedavno izašao u Computerworldu ("Oh, don't tell me: 10 claims that scare security pros", 10.8.2007.). Ipak, čini mi se da će vam većina od deset točaka zvučati veoma poznati, ali ne zbog toga što ste možda već pročitali citirani članak, već zbog toga što ste ove tvrdnje čuli od svojih kolega, svojih šefova, svojih informatičara... Iz ustiju rukovoditelja, navedene tvrdnje zvuče pomalo bezazleno i tek kao minorni nedostaci s kojim se može živjeti, no iza svake tvrdnje stoje kritični propusti koji mogu kompromitirati ukupnu informacijsku sigurnost organizacije.
Ovom prilikom dodajem i jedanaestu izjavu:
"Do sada nismo imali ni jedan kritičan sigurnosni incident."
Ovakva izjava može se opravdati isključivo ako je organizacija pokrenula sve mjere proaktivnog nadzora rada informacijskog sustava i ako takve aktivnosti zaista i provodi. No, iskustvo govori da ćete sresti više koje organizacija su u stanju samouvjereno izreći ovu jedanaestu tvrdnju nego onih koji će moći na djelu pokazati aktivnosti nadzora i praćenja sustava informacijske sigurnosti.
Ovom prilikom dodajem i jedanaestu izjavu:
"Do sada nismo imali ni jedan kritičan sigurnosni incident."
Ovakva izjava može se opravdati isključivo ako je organizacija pokrenula sve mjere proaktivnog nadzora rada informacijskog sustava i ako takve aktivnosti zaista i provodi. No, iskustvo govori da ćete sresti više koje organizacija su u stanju samouvjereno izreći ovu jedanaestu tvrdnju nego onih koji će moći na djelu pokazati aktivnosti nadzora i praćenja sustava informacijske sigurnosti.
13.6.07
Čiji je zadatak provjeravati sigurnosne mjere?
Svaki program upravljanja informacijskom sigurnošću biti će nekompletan (i nedjelotvoran) ako ne uključuje i redovitu provjeru ispravnosti i pridržavanja propisanih mjera. Redovita provjera (naziva se i "auditing", "assessment"...) jedna je od ključnih aktivnosti složenog procesa koji svim zaintereseranim stranama mora pružiti jamstvo o adekvatnosti i učinkovitosti sigurnosnih procesa. Nije jedini - postoje i druge aktivnosti kako kroz horizontalni tako i kroz vertikalni pogled - no svakako je najkompleksniji i s najintenzivnijim doticajima prema komplementarnim aktivnostima.
Provjera sigurnosnih mjera se kod nas najčešće percipira kroz dvije izvedbe.
Jedan oblik susrećemo preko revizija poslovnih sustava, čiji plan realizacije mora obuhvatiti i provjeru rada informacijskih sustava, te daje ocjenu o potencijalnim nedostacima koji mogu utjecati na izvedbu poslovnog sustava. Drugi oblik susrećemo preko tzv. penetracijskih testiranja. Ova izvedba obično nije formalno pozicionirana kao poslovna revizija, a svojim je obuhvatom usmjerena prije svega na tehnički aspekt nekog dijela informacijskog sustava.
I to je, manje-više sve. No, provjera sigurnosnih mjera mora biti definirana sveobuhvatnije. Područja primjene danas su raznolikija od revizijskih aktivnosti i testiranja novih aplikacija. Pojavom regulatornih propisa, definicijom sigurnosnih standarda ili barem isticanjem smjernica o sigurnosnim mjerama, odgovornošću uprava tvrtki za djelotvornost sigurnosnog sustava i nekim drugim pokretačkim momentima, sigurnosna provjera je aktivnost za koji uprave tvrtki moraju biti i te kako zainteresirani.
Provjera sigurnosnih mjera mora krenuti od dobre definicije samih sigurnosnih mjera. One moraju biti dobro strukturirane već u fazi njihovog donošenja, propisivanja i izvedbe, a nakon toga treba se osigurati mehanizam njihove kontinuirane provjere, usporedbe s očekivanim ili prihvatljivim rezultatima, te generirati smislene indikatore koji će ukazivati na odstupanja ili će omogućiti mjerenje učinkovitosti pridržavanja sigurnosnih mjera.
Provjera sigurnosnih mjera mora biti dio nadležnosti i odgovornosti poslovne cjeline koja upravlja informacijskom sigurnošću i pri tome je veoma važno očuvati neovisnost od dijela organizacie koji operativno provodi pojedine sigurnosne mjere (čitaj, dakle, od službe informatike). Nemojte zaboraviti da provjera sigurnosnih mjera mora imati doticaj s procesom provjere i otklanjanja računalnih ranjivosti ("Vulnerability Management"), s testiranjem aplikativnih sustava u razvojnom ciklusu, s internom revizijom, s "compliance" incijativama, s upravljanjem operativnim rizicima, s forenzičkim aktivnostima...
Stoga, provjera sigurnosnih mjera mora postati dobro definiran proces koji neće biti izoliran od drugih cjelina (a naročito ne od službe informatike). Potrebno je očuvati nevisnost, vjerodostojnost i preciznost provjera, obuhvatiti organizacijske, administrativne i tehničke sigurnosne mjere, a indikatori i izvještaji moraju biti dostupni svim poslovnim cjelinama koje, svaka na svoj način, doprinose ukupnom uspjehu programa informacijske sigurnosti.
Provjera sigurnosnih mjera se kod nas najčešće percipira kroz dvije izvedbe.
Jedan oblik susrećemo preko revizija poslovnih sustava, čiji plan realizacije mora obuhvatiti i provjeru rada informacijskih sustava, te daje ocjenu o potencijalnim nedostacima koji mogu utjecati na izvedbu poslovnog sustava. Drugi oblik susrećemo preko tzv. penetracijskih testiranja. Ova izvedba obično nije formalno pozicionirana kao poslovna revizija, a svojim je obuhvatom usmjerena prije svega na tehnički aspekt nekog dijela informacijskog sustava.
I to je, manje-više sve. No, provjera sigurnosnih mjera mora biti definirana sveobuhvatnije. Područja primjene danas su raznolikija od revizijskih aktivnosti i testiranja novih aplikacija. Pojavom regulatornih propisa, definicijom sigurnosnih standarda ili barem isticanjem smjernica o sigurnosnim mjerama, odgovornošću uprava tvrtki za djelotvornost sigurnosnog sustava i nekim drugim pokretačkim momentima, sigurnosna provjera je aktivnost za koji uprave tvrtki moraju biti i te kako zainteresirani.
Provjera sigurnosnih mjera mora krenuti od dobre definicije samih sigurnosnih mjera. One moraju biti dobro strukturirane već u fazi njihovog donošenja, propisivanja i izvedbe, a nakon toga treba se osigurati mehanizam njihove kontinuirane provjere, usporedbe s očekivanim ili prihvatljivim rezultatima, te generirati smislene indikatore koji će ukazivati na odstupanja ili će omogućiti mjerenje učinkovitosti pridržavanja sigurnosnih mjera.
Provjera sigurnosnih mjera mora biti dio nadležnosti i odgovornosti poslovne cjeline koja upravlja informacijskom sigurnošću i pri tome je veoma važno očuvati neovisnost od dijela organizacie koji operativno provodi pojedine sigurnosne mjere (čitaj, dakle, od službe informatike). Nemojte zaboraviti da provjera sigurnosnih mjera mora imati doticaj s procesom provjere i otklanjanja računalnih ranjivosti ("Vulnerability Management"), s testiranjem aplikativnih sustava u razvojnom ciklusu, s internom revizijom, s "compliance" incijativama, s upravljanjem operativnim rizicima, s forenzičkim aktivnostima...
Stoga, provjera sigurnosnih mjera mora postati dobro definiran proces koji neće biti izoliran od drugih cjelina (a naročito ne od službe informatike). Potrebno je očuvati nevisnost, vjerodostojnost i preciznost provjera, obuhvatiti organizacijske, administrativne i tehničke sigurnosne mjere, a indikatori i izvještaji moraju biti dostupni svim poslovnim cjelinama koje, svaka na svoj način, doprinose ukupnom uspjehu programa informacijske sigurnosti.
29.5.07
45% zaposlenika na odlasku otuđuje podatke
Nedavno su objavljeni rezultati jedne ankete prema kojima čak 45% zaposlenika kopira i odnosi (ili otuđuje) podatke svojih poslodavaca neposredno prije prestanka radnog odnosa. Naravno, svakoj anketi ili tržišnom ispitivanju treba, prije nego što uronite u same rezultate, provjeriti metodologiju, uzorak ispitanika i motive (ovo istraživanje ju naručila tvrtka Liquid Machines). No, i bez dužnog opreza vjerujem da ćete se suglasiti s rezultatima. Odlazak zaposlenika jedan je od najelegantnijih oblika otuđivanja povjerljivih informacija, a ponekad i intelektualnog vlasništva. Zaposlenici na odlasku čak se i ne moraju izlagati osobitim rizicima: odlasci se obično planiraju dulje vrijeme i u završnom razdoblju na starom radnom mjestu biti će mnogo prilika za prikupljanje svih informacija, prije nego što se pojave sumnje kod nadređenih. Osim toga, mnoge vrijedne informacije mogu se prikupljati tijekom cijelog radnog odnosa a, jednostavno rečeno, mogu se i pamtiti (za sada ne postoji tehnologija brisanja podataka iz sivih ćelija). Stoga, ovaj visoki postotak ne čudi, no isto tako ne mora značiti da će sve informacije biti zloupotrebljene: možda novi poslodavci neće biti zaintersirani ili će im donešene informacije već biti poznate ili pak otuđene informacije nemaju specifičnu težinu. Rezultati ove ankete zapravo potvrđuju tezu koju u zadnje vrijeme zastupaju neki stručnjaci a govori o tome da se sigurnosne mjere moraju biti provođene iz središta prema vanjskom okruženju, a ne obrnuto. Drugim riječima, pažnja sigurnosnih timova mora biti fokusirana na podatke a tek onda na perimetar. Tradicionalnim pristupom, primjena sigurnosnih tehnologija u najvećoj se mjeri bavi perimatarskom infrastrukturom i prijetnjama koje dolaze iz vanjskog okruženja.
Visoki postotak na koji nas upućuje objavljeno istraživanje potvrđuje i procjene, stare gotovo cijelo desetljeće, da je približno tri četvrtine računalnih delikata uzrokovano ponašanjem "insidera". Još do nedavno mogla su se pročitati osporavanja takvih procjena, no kvaliteta i vrijednost poslovnih informacija te neprobojnost perimetarskih zaštitinih tehnologija, upućuju dovoljno motivirane strane da prolaz do atraktivnih informacija pronađu zaobilaženjem Interneta - dakle pronalaženjem najslabijih karika u unutarnjoj organizaciji (te iskorištavanjem nelojalnih zaposlenika).
Visoki postotak na koji nas upućuje objavljeno istraživanje potvrđuje i procjene, stare gotovo cijelo desetljeće, da je približno tri četvrtine računalnih delikata uzrokovano ponašanjem "insidera". Još do nedavno mogla su se pročitati osporavanja takvih procjena, no kvaliteta i vrijednost poslovnih informacija te neprobojnost perimetarskih zaštitinih tehnologija, upućuju dovoljno motivirane strane da prolaz do atraktivnih informacija pronađu zaobilaženjem Interneta - dakle pronalaženjem najslabijih karika u unutarnjoj organizaciji (te iskorištavanjem nelojalnih zaposlenika).
Pretplati se na:
Postovi (Atom)