Bezpieczeństwo IT - it

Komentarze

Transkrypt

Bezpieczeństwo IT - it
Bezpieczeństwo IT
1
Spis treści
O naturze bezpieczeństwa, czyli jak opanować niepewność
Sebastian Pikur, Infovide-Matrix SA
4
Strategie bezpieczeństwa w IT
Krzysztof Labiak, itelligence
9
Uwaga na BYOD!
Krzysztof Wójtowicz, Check Point Software Technologies Polska
11
Ochrona dostępności i treści stron internetowych
Robert Dąbrowski, Fortinet
14
Jak stworzyć zespół odpowiedzialny za bezpieczeństwo
Skrót z raportu rady Security for Business Innovation Council
18
Największe zagrożenia dla bezpieczeństwa w sieci w roku 2014
Raport Fundacji Bezpieczna Cyberprzestrzeń
24
Strzeż tajemnic przedsiębiorstwa
Krzysztof Rydlak, SpyShop
28
„Is IT safe?”
Jan Michałowicz, Innovation Experts
32
Na bezpieczeństwo spójrzmy „z góry”
Radosław Kaczorek, IMMUSEC
40
Modelowanie zagrożeń i analiza ryzyka – podejście praktyka
2
Janusz Nawrat, Raiffeisen Bank Polska
44
Czy hakerskie sztuczki z Watch Dogs to tylko fantastyka?
51
Bezpieczeństwo na portalu it-manager.pl
Monitorować, czy nie monitorować pracowników?
54
7 grzechów głównych systemów backupu
54
Firmowy majątek pod czujnym okiem
55
Aplikacje mobilne rajem dla cyberprzestępców
55
BYOD – bez hurraoptymizmu
56
Pracownik już nie jest najgroźniejszy
56
Bezpieczeństwo w bankowości
57
Uwaga na technologie mobilne
57
PwC: „Globalny stan bezpieczeństwa informacji 2014”
58
Inwestycja w bezpieczeństwo vs optymalizacja wydatków
58
Tak wygląda cyberwojna
59
Hakerzy wykorzystują metody inżynierii społecznej
59
Dlaczego Security Leadership ma znaczenie?
60
Czy istnieją bezpieczne systemy?
60
Redaktor naczelny: Robert Jesionek
Współpraca redakcyjna: Barbara Mejssner
Projekt graficzny i skład: Monika Bucoń
3
O naturze bezpieczeństwa,
czyli jak opanować niepewność
Sebastian Pikur, Infovide-Matrix SA
Każda organizacja działa w niepewnym otoczeniu, które często ma sprzeczne interesy
i negatywne nastawienie do jej działania. Niepewność otoczenia to ryzyko dla organizacji,
które należy zidentyfikować i odpowiednio nim zarządzać. Właściwe zarządzanie ryzykiem
umożliwi redukowanie zagrożeń i podatności na nie, a także pozwoli na wykorzystanie
pojawiających się szans.
Bezpieczeństwo jest podstawową potrzebą
każdego człowieka, a jego zapewnienie, jest
kluczowym aspektem stabilizacji i dobrobytu.
Potrzeba bezpieczeństwa odnosi się do wszelkich
dziedzin funkcjonowania człowieka zarówno
życia prywatnego, jak też społecznego czy
zawodowego. Taka osobista potrzeba przekłada się
na oczekiwanie bezpieczeństwa organizacji firmy,
w której dana osoba pracuje.
Z pojęciem bezpieczeństwem nieodzownie
związane jest ryzyko, rozumiane jako wpływ
niepewności na cele. Takie określenie ryzyka
znakomicie oddaje jego istotę – z jednej strony,
wskazuje na bezpośrednie powiązanie ryzyka
z celami organizacji, a z drugiej pokazuje,
że na realizację celów wpływa wiele nieznanych,
zmiennych w czasie czynników.
Każda organizacja działa w niebezpiecznym dla jej
działań otoczeniu. Na kierownictwie organizacji
spoczywa obowiązek zapewnienia bezpieczeństwa.
Przez bezpieczeństwo rozumie się mechanizmy
pozwalające organizacji radzić sobie w przypadku
pojawiających się problemów. Celem wysiłków
związanych z bezpieczeństwem jest zapewnienie
trwałości organizacji oraz zapewnienie
swobody działania.
Do określenia pryncypiów bezpieczeństwa
organizacji służy strategia bezpieczeństwa,
która polega na zdefiniowaniu interesów,
4
ocenie warunków bezpieczeństwa, sformułowaniu
koncepcji strategicznej oraz ustanowieniu systemu
bezpieczeństwa.
Rozważając pojęcie bezpieczeństwa należy spojrzeć
na nie w dwóch perspektywach:
•jako stan – aktualne/osiągnięte poczucie
bezpieczeństwa organizacji;
•jako proces – działania dla zapewnienia
poczucia bezpieczeństwa organizacji.
Patrząc od strony praktycznej, bezpieczeństwo
należy rozumieć, jako funkcjonowanie różnych
procesów stricte z nim związanych oraz
uwzględnienie zagadnień bezpieczeństwa
w pozostałych procesach organizacji.
Funkcjonowanie procesów związanych
z bezpieczeństwem określa jego stan postrzegany
przez osoby znajdujące się w organizacji.
Efektywne działanie tych procesów powoduje,
że personel organizacji czuje się bezpiecznie.
Patrząc od strony procesów związanych
wprost z bezpieczeństwem, najistotniejszy jest
proces zarządzania ryzykiem. Inne procesy
związane wprost z bezpieczeństwem to procesy
zapewniające funkcjonowanie zarządzania nim,
takie jak np. audyt wewnętrzny. W pozostałych
procesach organizacji związanych z realizacją jej
celów konieczne jest uwzględnienie elementów
takich jak:
•odpowiednia konstrukcja procesów
(np. określona kolejność działań);
•wprowadzenie odpowiednich czynności
do procesów;
•zastosowanie określonych procedur.
Proces zarządzania ryzykiem, jako kluczowy proces
zapewnienia bezpieczeństwa w organizacji służy
koordynowaniu działań dotyczących kierowania
i nadzorowania organizacją w odniesieniu do ryzyka.
Ryzyko
Ryzyko zgodnie z normą ISO/IEC 31000 jest
definiowane, jako wpływ niepewności na cele,
przy czym niepewność może być negatywna –
szkodzi realizacji celów, ale równie często może
być pozytywna (określana jako szansa) – wspiera
i ułatwia realizację celów.
Ryzyko najczęściej jednak jest utożsamiane
z niepewnością w sensie negatywnym. Myśląc
o ryzyku, rozważane są zazwyczaj zagrożenia
dla funkcjonowania organizacji, jej słabości
i podatności oraz niepożądane skutki, jakie mogą
uderzyć w organizację, powodując negatywne
następstwa. Przykładem takiej niepewności jest
wyciek ważnych/wrażliwych informacji w wyniku
szpiegostwa przemysłowego.
Nie można jednak zapominać o pozytywnym
wydźwięku niepewności, szansach stojących przed
organizacją. Ten kierunek rozpatrywania ryzyka,
jako prawdopodobnej, korzystnej sytuacji stojącej
przed organizacją, daje możliwość spojrzenia
i ocenienia szans w zupełnie innej perspektywie.
Ujęcie ryzyka w sensie pozytywnym pozwala
na oszacowanie prawdopodobieństwa wystąpienia
pozytywnych następstw ryzyka. Przykładem
pozytywnej niepewności, szansy jest możliwość
pozyskania lukratywnego kontraktu.
Niejednokrotnie niepewność ma jednocześnie
charakter negatywny jak i pozytywny, stanowi
zarówno zagrożenie dla organizacji, ale jest też
jej szansą. Przykładem pokazującym takie ryzyko,
jest np. sytuacja, w której firma realizuje kontrakt
opierając się na pracy eksperta o wysokich
i unikalnych kompetencjach. Zrealizowanie
kontraktu w oparciu o prace eksperta przyniesie
firmie bardzo wysokie zyski, jest jej szansą.
Ale również oparcie prac na określonym ekspercie
niesie ryzyko braku możliwości ukończenia prac,
jeżeli ów ekspert z dowolnych przyczyn nie będzie
mógł kontynuować pracy.
Ryzyko w organizacji ma wiele płaszczyzn i może
być określane na wielu poziomach. Wyróżniamy
ryzyko organizacji w sensie ogólnym, dotyczącym
całej organizacji określane na poszczególnych
poziomach zarządzania:
•ryzyko na poziomie strategicznym;
•ryzyko na poziomie taktycznym;
•ryzyko na poziomie operacyjnym.
Analizując ryzyko, konieczne jest rozłożenie
go na dziedziny i analizowanie każdej z nich
niezależnie. Rozkładając ryzyko na elementy
składowe, możemy wyróżnić:
•ryzyko rynkowe;
•ryzyko prawne;
•ryzyko operacyjne;
•ryzyko reputacji.
W kategorii ryzyka operacyjnego uwzględniamy
w szczególności ryzyko przetwarzania danych,
w tym ryzyko teleinformatyczne.
Dziedziny ryzyka są prostopadłe w stosunku
do poziomów zarządzania, w związku z czym,
mówiąc np. o ryzyku rynkowym, musimy rozważać
go zarówno na poziomie strategicznym, jak również
taktycznym i operacyjnym. Ryzyko jest zatem
obecne we wszystkich aspektach działania każdej
organizacji i musi być uwzględniane na każdym
poziomie zarządzania. Schematycznie obrazuje to
Rysunek 1 Poziomy zarządzania ryzykiem.
5
Ryzyko na poziomie strategicznym
Ryzyko rynkowe
Ryzyko prawne
Ryzyko operacyjne
Ryzyko reputacji
Ryzyko na poziomie taktycznym
Ryzyko rynkowe
Ryzyko prawne
Ryzyko operacyjne
Ryzyko reputacji
Ryzyko na poziomie operacyjnym
Ryzyko rynkowe
Ryzyko prawne
Ryzyko operacyjne
Ryzyko reputacji
Rysunek 1. Poziomy zarządzania ryzykiem
Obecność ryzyka w każdym aspekcie
działania organizacji ukierunkowuje
potrzebę odpowiedniego nim zarządzania.
Zastosowanie właściwych metod zarządzania
ryzykiem jest kluczem do efektywnego
panowania nad bezpieczeństwem organizacji,
ale też mechanizmem identyfikowania
i wykorzystywania szans pojawiających się przed
organizacją. Zarządzanie ryzykiem pozwala
też racjonalizować koszty funkcjonowania
organizacji. Racjonalizowanie kosztów wynika
z możliwości nadzorowania i wprowadzania tylko
takich mechanizmów (środków bezpieczeństwa),
które wykazują się uzasadnieniem finansowym,
tj. koszty ponoszone na redukowanie ryzyka nie
są wyższe niż skutki, jakie organizacja poniosłaby
w przypadku materializacji ryzyka.
każda organizacja zarządza ryzykiem,
a dowodem na to, że robi to dość skutecznie
jest istnienie tej organizacji. By łatwiej
to zrozumieć, warto w tym miejscu spojrzeć
na definicję zarządzania ryzykiem, np. pochodzącą
z normy ISO/IEC 31000. W ramach procesu
zarządzania ryzykiem następuje systematyczne
stosowanie polityk, procedur i praktyk zarządzania
do działań w zakresie komunikacji, konsultacji,
ustanawiania kontekstu oraz identyfikowania,
analizowania, ewaluacji, postępowania
z ryzykiem, monitorowania i przeglądu ryzyka.
Zarządzanie ryzykiem może odbywać się zupełnie
nieświadomie – organizacja podejmuje ryzyko
działania i realizacji celów, działa w sposób
zupełnie intuicyjny poprzez wykorzystanie szans,
przeciwdziałanie wyzwaniom oraz redukowanie
ryzyka – w efekcie zarządza ryzykiem.
Zarządzenie ryzykiem
Przeciwieństwem takiego podejścia jest
stosowanie wyrafinowanych praktyk z zakresu
zarządzania ryzykiem, metodyk i uwzględnianie
dojrzałych mechanizmów zarządzania
przy podejmowaniu decyzji.
Jak zatem panować nad ryzykiem – najprostsza
odpowiedź to odpowiednio nim zarządzać.
I tu pojawia się pierwsza dobra wiadomość –
6
Pomiędzy wymienionymi powyżej sposobami
podejścia do zarządzania ryzykiem jest wiele
miejsca, wiele różnych metod i stylów zarządzania.
Każda organizacja musi dobrać sposób zarządzania
ryzykiem do własnego profilu działania, do poziomu
swojego rozwoju, do wielkości organizacji i wielu
innych czynników. Rozważając wprowadzenie
mechanizmów zarządzania ryzykiem, warto jest
korzystać z gotowych wzorców. Ważne jest jednak,
by wprowadzając do organizacji systematyczne
zarządzanie ryzykiem, nie dobrać metod zbyt
trudnych, bo takie podejście zamiast przynieść
korzyści, będzie działało odwrotnie.
Przykładem standardu zarządzania ryzykiem jest
norma ISO/IEC 31000. Norma podaje zasady
i wytyczne, które są możliwe do zastosowania
w praktycznie każdej organizacji, w szczególności
określa proces zarządzania ryzykiem.
Podstawowym czynnikiem sukcesu przy
wprowadzaniu zarządzania ryzykiem, jest
zaangażowanie kierownictwa organizacji
i przywództwo w podejmowanych działaniach.
Zaangażowanie kierownictwa nie oznacza oczywiście
konieczności jego udziału w wykonywaniu wszelkich
czynności związanych z funkcjonowaniem systemu.
Niemniej konieczne jest, by kierownictwo wspierało
funkcjonowanie procesu np. poprzez zapewnienie
wystarczających zasobów, czy dostęp do kompetencji.
Bardzo ważny jest też udział kierownictwa
w podejmowaniu decyzji odnośnie postępowania
z ryzykiem organizacji, a także uwzględnianiu
wyników szacowania ryzyka w podejmowaniu
decyzji biznesowych.
Wprowadzenie zarządzania ryzykiem musi
wychodzić od określenia kontekstu zarządzania
nim (patrz Rysunek 2 Proces zarządzania ryzykiem).
Kontekst opisuje organizację, jej misję, cele i wizję,
wpisuje się w strategię oraz uwzględnia procesy
biznesowe funkcjonujące w ramach organizacji.
Bardzo istotnym elementem kontekstu jest określenie
otoczenia organizacji zarówno na poziomie
logicznym: interesariusze, konkurencja, dostawcy,
wymagania prawne, itd., jak również na poziomie
fizycznym – np. umiejscowienie magazynów.
Określenie kontekstu jest podstawowym źródłem
wiedzy o niepewnościach np. umiejscowienie
magazynów może nieść ryzyko (gdy są umieszczone
na terenie zalewowym) i jednocześnie może być
szansą (gdy są umiejscowione blisko odbiorców).
Ocena ryzyka
•Identyfikacja ryzyka
•Analiza ryzyka
•Ewaluacja ryzyka
Monitorowanie
i przegląd
Komunikacja i konsultacje
Ustanowienie kontekstu
Postępowanie z ryzykiem
Rysunek 2. Proces zarządzania ryzykiem
7
Kolejnym ważnym elementem wprowadzenia
zarządzania ryzykiem jest określenie polityki, która
m.in. podaje strategiczne podejście do wprowadzenia
mechanizmów zarządzania nim. Zapisy polityki
zarządzania są podstawowym narzędziem
uzasadnienia sposobów zarządzania ryzykiem oraz
wskazówką powiązania pomiędzy celami organizacji
a ryzykiem. Niezmiernie ważnym elementem polityki
bezpieczeństwa jest określenie sposobów mierzenia
i raportowania wyników zarządzania ryzykiem.
Skuteczność zarządzania ryzykiem zależy w znacznym
stopniu od skuteczności komunikowania ryzyka.
Komunikowanie ryzyka musi objąć personel
organizacji, w szczególności właścicieli ryzyk
oraz musi objąć interesariuszy zewnętrznych.
Wprowadzenie skutecznych metod komunikacji
ma zapewnić właściwe informowanie o ryzyku,
ale przede wszystkim ma usprawniać przekazywanie
informacji o czynnikach wpływających na ryzyko
celem podejmowania odpowiednich działań.
Określenie wielkości ryzyka, a więc określenie
niepewności wpływającej na cele, następuje
w procesie oceny ryzyka, na który składa się:
•unikanie ryzyka – np. wycofanie się
z wprowadzenia ryzykownej usługi;
•minimalizowanie ryzyka – np. zastosowanie
dodatkowego zabezpieczenia;
•dzielenie się ryzykiem – np. ubezpieczenie się
od zalania;
•akceptacja ryzyka – przyjęcie ryzyka w takiej
wielkości, jak oszacowano.
Zarządzanie ryzykiem musi być powiązane
z precyzyjnym monitorowaniem. Musi ono
obejmować zarówno monitorowanie zmian
w ryzyku, jak też monitorowanie poprawności
funkcjonowania procesu zarządzania ryzykiem,
w tym monitorowanie postępowania z ryzykiem.
Monitorowanie jest szczególnie ważne
w przypadku ryzyk, które zostały zaakceptowane
pomimo wysokiego poziomu ryzyka.
Domknięcie procesu zarządzania ryzykiem jest
dokonywane przez wprowadzenie mechanizmów
doskonalenia. Doskonalenie ma obejmować przede
wszystkim:
•proces zarządzania ryzykiem;
•identyfikacja ryzyka;
•sposoby analizy i oceny ryzyka;
•analiza ryzyka;
•sposoby postępowania z ryzykiem.
•ewaluacja ryzyka.
Sposób oceny ryzyka i zastosowanie odpowiedniej
metodyki należy dobrać w odniesieniu do
analizowanego procesu, a także specyfiki organizacji.
W wyniku oceny ryzyka, określone zostają ryzyka
dla których należy określić sposób postępowania.
W klasycznym ujęciu, wyróżniamy cztery metody
postępowania z ryzykiem:
Podsumowanie
Niepewność otaczająca każdego człowieka i każde
działanie niesie ze sobą ryzyko. Wiedząc jednak,
że ryzyko to nie tylko zagrożenie, ale również
szansa, skupiajmy się na wykorzystywaniu
szans. Pamiętając, że każdy zarządza ryzykiem
– doskonalmy stosowane metody – to jest
właściwa droga do oceniania i eksploatowania
pojawiających się możliwości.
Sebastian Pikur
Ekspert ds. bezpieczeństwa oraz architekt rozwiązań w Infovide-Matrix SA. Ma ponad dziesięcioletnie doświadczenie
w realizacji projektów teleinformatycznych, w tym realizacji dużych projektów IT dla administracji publicznej.
Legitymuje się certyfikatami CISA, CISSP, ISO 27001 Lead Auditor, ISO 22301 Lead Auditor.
8
Strategie bezpieczeństwa w IT
Krzysztof Labiak, itelligence
Kluczem funkcjonowania każdego przedsiębiorstwa
jest zapewnienie jego ciągłości działania.
W świecie elektronicznego przetwarzania danych
podstawowym aspektem jest opracowanie,
wdrożenie i respektowanie polityki bezpieczeństwa
informacji. Niestety w realnym świecie nie istnieje
technologia, która potrafi z pełną skutecznością
zabezpieczyć naszą infrastrukturę IT. Dlatego wielu
menedżerów IT czy innych osób odpowiedzialnych
za bezpieczeństwo skupia się na ochronie danych
w kontekście ciągłej pracy nad wdrażaniem
różnych technologii zabezpieczających. Opracowują
standardy, analizują ryzyka z uwzględnieniem
tak zwanego czynnika ludzkiego, czy ostatecznie
fizycznego zabezpieczenia pomieszczeń,
w których dane się znajdują, na przykład
instalacja przeciwwłamaniowa, przeciwpożarowa,
opracowanie kontroli dostępu itd.
Kroki jakie należy podejmować w kontekście
bezpieczeństwa zależą od wielu czynników, takich
jak zakres prowadzonej działalności czy dostępności
zasobów ludzkich, technologicznych i finansowych.
Przy ich opracowaniu warto posługiwać się
gotowymi standardami bezpieczeństwa takimi jak
ITSEC, ISO 15408. Dokumenty te w dość precyzyjny
sposób formalizują podejście do bezpieczeństwa.
Ogólnie jednak możemy wyróżnić kilka filarów
bezpieczeństwa takich jak: poufność, integralność,
poziom dostępności. Dodatkowo należy również
wziąć pod uwagę zgodność z legislacjami
obowiązującymi w danym kraju i dotyczącymi
określonej branży. Z tych powodów strategie
bezpieczeństwa stosowane w firmach z branży
medycznej będą odmienne od tych w koncernie
samochodowym.
Architekci bezpieczeństwa w chwili obecnej
dysponują kilkudziesięcioletnim doświadczeniem
w branży IT. Przy budowie rozwiązań mogą
opierać się również na wielu międzynarodowych
normach. Ponieważ zmieniają się technologie IT,
również sposoby penetracji danych ulegają
ciągłej zmianie. Rewidują się też wymagania
funkcjonalne systemów. W związku z tym proces
zapewnienia bezpieczeństwa jest procesem
ciągłym i dynamicznym. Wyzwania stojące przed
osobami zaangażowanymi w bezpieczeństwo
są ogromne. Dla przykładu oprogramowanie,
które jest przecież tylko jednym z elementów
składowych rozpatrywanych w kontekście
bezpieczeństwa jest narażone na błędy
projektowe, programistyczne, związane
z konfiguracją czy dalszym rozwojem. Idealne
oprogramowanie realizujące tylko i wyłącznie
funkcje, do których zostało stworzone, podobnie
jak idealne technologie zabezpieczające,
po prostu nie istnieje. Dlatego elementy związane
z wdrożeniem, czasem życia aplikacji muszą być
częścią składową polityki bezpieczeństwa.
Oprócz klasycznych zagrożeń, z którymi specjaliści IT
borykają się od wielu lat, w chwili obecnej
dodatkowo należy rozważyć zagrożenia związane
z dodatkowymi warstwami oprogramowania
i sprzętu związanymi z wirtualizacją.
Wiąże się z tym przetwarzanie w chmurze
publicznej i prywatnej. Również wykorzystywanie
urządzeń mobilnych staje się standardem.
Dane firmy często też są przechowywane
na urządzeniach, które nie są ich własnością.
Ważne jest również to, aby w proces bezpieczeństwa
informacji zaangażowani byli wszyscy pracownicy
przedsiębiorstwa, od szczebla kierowniczego
poprzez pracowników w siedzibie firmy,
pracowników terenowych aż po wszystkie
współpracujące firmy outsourcingowe a nawet
klienci. Pracownik przedsiębiorstwa musi być
częścią polityki bezpieczeństwa. Jest to element,
który w istotny sposób może poprawić
bezpieczeństwo przetwarzanych danych.
Należy pamiętać, że zazwyczaj to właśnie
tzw. czynnik ludzki odpowiada za zdecydowaną
większość problemów związanych z incydentami
bezpieczeństwa.
9
Polityka bezpieczeństwa musi być kompleksowa,
ale też jak najprostsza. Skomplikowane procedury
w praktyce są pomijane. Musi też obejmować
bardzo szeroki wachlarz dziedzin od poprawności
wykonania kopii zapasowych do zagrożeń
związanych np. z niedostępnością serwerów
czasu NTP, które ostatnio narażone były na ataki.
Respektowanie polityki bezpieczeństwa firmy,
przestrzegania zasad jest obecnie jednym
z najważniejszych elementów funkcjonowania
każdego nowoczesnego przedsiębiorstwa.
Krzysztof Labiak
Administrator systemów IT w firmie itelligence sp. z o.o. Absolwent Uniwersytetu Adama Mickiewicza w Poznaniu, Wydział
Matematyki i Informatyki. Swoje doświadczenie zdobywał w jednym z największych szpitali w Poznaniu na stanowisku
specjalisty informatyka, gdzie odpowiadał przede wszystkim za ciągłość działania serwerów oraz środowiska sieciowego
poprzez utrzymanie bieżącej infrastruktury oraz wdrażanie nowych technologii. W itelligence odpowiedzialny za wirtualizację,
administrację i opiekę nad wirtualizatorami, systemami i hardware klientów, a także prace projektowe Hyper-V.
[email protected]
10
Uwaga na BYOD!
Krzysztof Wójtowicz, Check Point Software Technologies Polska
W 2014 roku stanęliśmy w obliczu prawdziwej epidemii przestępstw w sieci, a małe i średnie
przedsiębiorstwa stały się głównym celem hakerów. Rosnąca popularność BYOD i technologii
chmury stały się furtką do kolejnych ataków, po których mniejsze firmy rzadko są w stanie się
podnieść. Dlatego warto się zabezpieczyć.
Bring or not to bring?
Wśród zjawisk niosących największe
zagrożenie dla ochrony danych, coraz częściej
wymienia się BYOD (Bring Your Own Device),
czyli przynoszenie do firmy i używanie przez
pracowników prywatnych telefonów i tabletów.
Według badań, aż 94% firm zaobserwowało
rosnącą liczbę prywatnych urządzeń przenośnych,
łączących się z firmową siecią (Dimensional
Research, 2012). Bez tego rodzaju mobilności,
trudno byłoby nam się obyć – zwiększa to
naszą produktywność, odrywa od biurek,
pozwala na pracę w podróży. Jednak wiąże
się z tym wiele zagrożeń – na smartfonach
i tabletach pracownicy często przechowują
ogromną ilość prywatnych i służbowych
danych, a urządzenia te łączą się z firmową
siecią. Przedsiębiorstwa coraz ostrożniej muszą
więc ważyć proporcje między ich mobilnością,
a bezpieczeństwem. Bo priorytetem staje się
ochrona poufnych informacji.
Miliardy dolarów strat
Codziennie na świecie dokonywanych jest ponad
sto tysięcy nieznanych ataków na użytkowników
sieci i kilkadziesiąt tysięcy ataków na strony www.
W Polsce jest ich około 7-8 milionów rocznie.
Choć należymy do grona państw o średnim
zagrożeniu, to wyprzedzamy np. Czechy
i Słowację. Szacuje się, że straty rodzimych firm
w 2013r. mogły sięgnąć 100 milionów złotych.
Ale to i tak znacznie mniej niż w Stanach
Zjednoczonych, gdzie przedsiębiorstwa w wyniku
ataków tracą 250 miliardów dolarów rocznie.
Hakerzy coraz częściej za cel obierają sobie także
urządzenia mobilne – w 2013 r. liczba ataków
na telefony i tablety wzrosła aż sześciokrotnie.
Według prognoz, liczba wirusów mobilnych
może wkrótce przewyższyć tą przygotowywaną
na komputery osobiste. Już dziś, jest ich
650 tysięcy odmian.
Uchronić się przed atakiem
Polskie przedsiębiorstwa popełniają błąd, skupiając
się jedynie na ochronie systemów i zapominając
o zabezpieczeniu baz danych. A to właśnie firmy,
które przechowują wrażliwe dane, są najbardziej
narażone na ataki. Z badań przeprowadzonych
w 2013r. przez Check Point Software Technolgies
wynika, że prawie połowa firm (42%) zanotowała
straty powyżej 100 tysięcy dolarów. Mimo to,
tylko niewiele ponad połowa z nich (53%) planuje
zwiększenie wydatków na ochronę IT w tym roku
(Kapsch, 2013).
Niebezpieczeństwo w chmurze
Zagrożone mogą być także te dane, które
firmy decydują się przechowywać w wirtualnej
przestrzeni, tzw. chmurze. Technologia Cloud
Computing umożliwia zapis danych poza dyskiem
i gwarantuje, że nie zostaną one w żaden sposób
skasowane, a co ważniejsze, będą dostępne
z każdego komputera na świecie. Jednak takie
rozwiązanie stwarza zagrożenie wycieku
poufnych danych w niepowołane ręce.
11
Według ekspertów Check Point Software
Technologies istnieje kilka prostych zasad,
które pomagają zabezpieczyć firmę:
takich jak Firewall Next Generation (NGFW)
od Check Point, oraz zabezpieczać stacje robocze
za pomocą programów antywirusowych,
antyspamowych i antyphishingowych.
1. Popularne hasła to złe hasła
Hasła to pierwsza linia ochrony, jeżeli chodzi
o bezpieczeństwo IT. Cyberprzestępcy
włamujący się do sieci będą na początku
próbować najpopularniejszych haseł.
2. Zabezpiecz każde wejście
Wystarczą tylko jedne otwarte drzwi,
aby haker dostał się do sieci. Sieć należy
zabezpieczyć tak samo jak zabezpiecza się dom
– zamykając wszystkie możliwe wejścia do
naszego komputera. Najlepiej stosując silne
hasła, korzystać z Firewalla lub lepiej rozwiązań
bardziej szeroko zabezpieczających sieć firmową
3. Segmentacja sieci
Jedną z metod ochrony sieci jest podzielenie
jej na strefy – np. jedną dla działań
przedsiębiorstwa, a drugą dla gości, w której
klienci będą mogli korzystać z Internetu,
jednak bez możliwości połączenia się
z Twoją siecią wewnętrzną.
4. Definiuj, edukuj i wymagaj przestrzegania
polityki bezpieczeństwa
Warto poświęcić trochę czasu i zastanowić się,
z których aplikacji można swobodnie korzystać
w sieci wewnętrznej, a które powinny być
zablokowane. Przede wszystkim należy
zdefiniować politykę dotyczącą prawidłowego
korzystania z sieci zawierającą dozwolone oraz
niedozwolone aplikacje i strony.
5. Zagrożenie w trakcie korzystania z portali
społecznościowych
Portale społecznościowe są dla hakerów
prawdziwą kopalnią wiedzy na temat ludzi,
a informacje z nich pochodzące zwiększają
prawdopodobieństwo skutecznie
przeprowadzonego ataku. Ataki typu
phishing, spearphising czy oparte o inżynierię
społecznościową zaczynają się od zbierania
prywatnych danych dotyczących
poszczególnych osób.
6. Zaszyfruj wszystko, co się da
12
Jeden wyciek danych może być prawdziwym
ciosem dla firmy lub jej reputacji. Warto
zabezpieczyć swoje wrażliwe dane stosując
szyfrowanie. Taki proces powinien być też
łatwo dostępny dla pracowników.
7. Dbaj o swoją sieć jak o swój samochód
9. Nie przyznawaj każdemu praw administratora
Regularny przegląd i audyt sieci oraz urządzeń
sprawią, że sieć będzie funkcjonowała bezpiecznie.
Warto, aby systemy operacyjne były zawsze
zaktualizowane do najnowszej wersji, podobnie
jest z innymi aplikacjami i programami.
8. Ostrożność w chmurze
Przechowywanie danych i aplikacje osadzone
w chmurze są obecnie bardzo popularne.
Ale warto być ostrożnym. Każda treść przesłana
do chmury staje się otwarta dla przestępców
w sieci.
Ograniczenie dostępu pracowników do poziomu
konta użytkownika redukuje możliwości
złośliwego oprogramowania (tzw. malware)
w stosunku do jego możliwości w przypadku
działania z uprawnieniami administratora.
10. Nie wpuszczaj słonia BYOD do składu
porcelany
Zacznij od zdefiniowania polityki Bring Your
Own Device. Wiele firm unika tego tematu,
jednak trend BYOD staje się coraz silniejszy.
Nie wpuszczaj słonia do składu porcelany!
Jest to znowu kwestia edukacji użytkowników.
Krzysztof Wójtowicz
Managing Director Check Point Software Technologies Polska
Od lat związany z rynkiem telekomunikacyjnym i IT. W Check Point, gdzie pracuje od 2007 roku, odpowiada m.in. za strategię
wprowadzania i dystrybucji nowych usług i rozwiązań Check Point na polskim rynku oraz za współpracę z partnerami
handlowymi firmy.
Spółka Check Point Software Technologies Ltd., światowy lider w dziedzinie bezpieczeństwa jest jedynym producentem
zapewniającym całkowite bezpieczeństwo sieci, danych oraz urządzeń końcowych w jednej strukturze zarządzania. Check Point
zapewnia klientom ochronę przed wszelkimi rodzajami zagrożeń, ogranicza złożoność systemu bezpieczeństwa i obniża koszty
własności. Innowacyjne rozwiązania Check Point zapewniają bezpieczne, elastyczne i proste rozwiązana, które można w łatwy
sposób implementować i dostosowywać do specyficznych potrzeb różnych środowisk.
13
Ochrona dostępności i treści
stron internetowych
Robert Dąbrowski, Fortinet
Strony internetowe stanowią w dzisiejszym
społeczeństwie kluczowy kanał informacyjny
oraz biznesowy. Dla większości użytkowników
Internetu portale kojarzą się w pierwszej kolejności
ze źródłem codziennych informacji społecznych,
politycznych, gospodarczych czy sportowych.
To z ich poziomu obecni i potencjalni klienci
szukają informacji o firmie i jej produktach
oraz dokonują zakupów, a partnerzy handlowi
uzyskują dostęp do zasobów.
W ostatnim czasie w Polsce byliśmy świadkami
masowego wykorzystania informacji dostępnych
online podczas mistrzostw Europy w piłce nożnej
EURO 2012, obecnie obserwujemy śledzenie
i komentowanie na dużą skalę wydarzeń
politycznych w kontekście sytuacji na Ukrainie.
Strona WWW jest dostępna dla każdego. To czyni
ją naturalnym celem dla cyberprzestępców,
hakerów i tzw. Haktywistów, dziś wiemy,
14
że także dla osób działających na zlecenie
sił politycznych – frakcji, partii a nawet agencji
rządowych. Niezależnie od zakładanego celu oraz
sposobu przeprowadzenia ataku, może mieć on
poważne konsekwencje, w tym utrudniony dostęp
do informacji, dezinformację, utratę dochodów,
narażenie na szwank reputacji instytucji oraz
kradzież poufnych informacji. Media regularnie
donoszą o atakach na strony internetowe firm,
a także organizacji publicznych samorządowych
oraz centralnych.
Wyzwania w zakresie ochrony aplikacji WWW
Podstawowym wyzwaniem przy ochronie
aplikacji WWW jest zapewnienie ich dostępności.
Ataki DDoS przestały wykorzystywać jedynie
wysycenie łącza, ale stały się bardziej
zaawansowane i w sposób trudny do wykrycia
potrafią zaburzyć pracę serwerów uniemożliwiając
dostęp do prezentowanych treści.
Anatomia ataku DDoS
w zabezpieczeniach systemu operacyjnego
Badania przeprowadzone przez firmę Verizon
pokazały, że dwa najczęstsze motywy ataków
na strony internetowe to kradzież (w celu
osiągnięcia np. przewagi technologicznej)
oraz tzw. haktywizm (wyraz niezadowolenia
lub protestu). Ataki te są przeprowadzane
za pomocą eksploitów wykorzystujących luki
lub aplikacji WWW. Z kolei bardziej zaawansowane
ataki, takie jak SQL injection czy cross-site scripting,
przeprowadza się w celu uzyskania dostępu
do poufnych danych. Nierzadko wektor ataku
mającego na celu zmianę publikowanych treści
pochodzi z wewnątrz sieci po przejęciu kontroli
nad komputerami danej organizacji.
71%
Korzyść finansowa
lub osobista
96%
25%
Zabawa,
ciekawość, duma
3%
Niezadowolenie
lub protest
3%
Uraza, przesłanki
osobiste
3%
1%
25%
Wszystkie firmy i instytucje
Duże firmy i instytucje
Raport firmy Verizon nt. przypadków naruszenia bezpieczeństwa danych, 2012 r.
Dezinformacja polegająca na podmianie
dostępnych na portalu treści jest możliwa
do wykrycia i skorygowania stosunkowo skutecznie,
ale działalność na forach internetowych
przeszkolonych agentów lub wyrafinowanych
botnetów wyrządza szkody trudne do oszacowania
i naprawienia. Wprowadza w błąd opinię
publiczną, wywołuje konflikty, utrwala fałszywe,
często absurdalne poglądy.
Problemy związane z ochroną stron internetowych
i aplikacji biorą się przede wszystkim z ich
architektury i dynamiki. O ile zapewnienie
bezpieczeństwa sieci jest względnie łatwe –
wystarczy zdefiniować reguły bezpieczeństwa
autoryzujące lub blokujące określony rodzaj
ruchu z/do sieci/serwerów – o tyle strony
internetowe składają się z setek, a nawet tysięcy
różnych elementów, obejmujących adresy URL,
parametry i pliki cookie. Ręczne definiowanie
reguł dla poszczególnych elementów jest
praktycznie niewykonalne, a ponadto
uniemożliwia skalowalność.
Inna zasadnicza różnica pomiędzy regułami
stosowanymi na firewallu w porównaniu
do platform do ochrony aplikacji webowych
w kontekście kategoryzacji i filtrowania aplikacji
czy adresów URL dotyczy kierunku działania.
Filtrowanie URL na firewallu działa w kierunku
15
do Internetu, jeżeli chcemy chronić portal
musimy polegać na reputacji użytkowników.
Trudno oczekiwać, że atak będzie prowadzony
z określonych państw, dlatego oprócz GEO
lokalizacji należy posłużyć się reputacją adresów IP
pod kątem botnetów czy proxy internetowych
pozwalających zachować anonimowość.
Ochrona zasobów internetowych organizacji
Ochrona zasobów internetowych firmy musi być
kompleksowa, tzn. musi obejmować zarówno
stronę i powiązane z nią aplikacje, jak i sieć.
Fortinet zaleca ochronę aplikacji WWW obejmującą
następujące elementy:
•Bezpieczne techniki tworzenia aplikacji
i aktualizacje kodu źródłowego. Bezpieczne
tworzenie aplikacji w ramach cyklu
programowania powinno być integralną
częścią każdego projektu tworzenia aplikacji.
Dzięki postępowaniu według wytycznych
Open Web Application Security Project (OWASP)
i innych organizacji, użytkownicy mogą tworzyć
bezpieczniejsze i bardziej zaufane aplikacje,
co zmniejsza liczbę ewentualnych eksploitów
w całym cyklu programowania.
FortiDDoS-2000B
16
•Ocena luk w zabezpieczeniach aplikacji
WWW oraz testy penetracyjne. Aplikacje
należy weryfikować ręcznie lub za pomocą
narzędzi do automatycznej oceny luk
w zabezpieczeniach w celu identyfikacji
podatności.
•Ochrona przed atakami DDoS. Organizacje
muszą zrozumieć, że ataki DDoS mogą mieć
różne oblicza i różne cele. Dlatego kluczowe
jest komplementarne zastosowanie filtrowania
ruchu po stronie operatora chroniące przed
wysyceniem pasma na łączu internetowym
oraz filtrowania ruchu w centrum danych.
Filtrowanie w centrum danych pozwala chronić
przed atakami w warstwie aplikacji zużywającymi
zasoby serwerowe, a także zablokować ruch
z niepożądanych regionów geograficznych,
botnetów oraz proxy internetowych.
Dedykowane rozwiązania anty DDoS gwarantują
ochronę i wymaganą wydajność dzięki
zastosowaniu specjalizowanych układów ASIC.
•
Web Application Firewall (WAF).
WAF pozwala firmom i instytucjom wykrywać
i blokować ataki wymierzone w warstwę
aplikacji. Oprócz tradycyjnych zabezpieczeń
sieciowych warto zastosować specjalizowane
rozwiązanie WAF, jako że zwykłe zapory
są projektowane z myślą o wykrywaniu
i unieszkodliwianiu ataków na poziomie
sieci i portów, nie zaś aplikacji. Do swojego
dotychczasowego firewalla sieciowego
można dodać Web Application Firewall
i dzięki temu spełnić specyficzne wymagania
wobec aplikacji WWW oraz zwiększyć ogólny
poziom bezpieczeństwa sieci.
Zaawansowane rozwiązania Fortinet: FortiDDoS,
FortiGate i FortiWeb pozwalają na skuteczne
reagowanie na pojawiające się wyzwania
w zakresie zapewnienia dostępności oraz
ochrony dostarczanych treści.
Rozwiązanie FortiDDoS jest wyposażone w nowy, oparty na analizie behawioralnej mechanizm
unieszkodliwiania ataków. Urządzenie tworzy wzorzec normalnego zachowania aplikacji,
a następnie monitoruje ruch sieciowy względem takiego wzorca. W przypadku pojawienia
się ataku, FortiDDoS potraktuje go jak anomalię i podejmie natychmiastowe działania w celu
ograniczenia jego skutków. Pozwala to identyfikować aktualne i przyszłe zagrożenia oraz
ograniczać ich skutki w oparciu o ich wzorce i zawartość. Urządzenia nie wymagają aktualizacji
sygnatur, dzięki czemu zapewniają lepszą ochronę przed atakami typu zero-day poprzez
dynamiczne monitorowanie charakterystyki ruchu. Bardzo krótki czas reakcji i blokowania
zagrożeń, możliwy dzięki zastosowaniu zaawansowanych procesorów ASIC, pozwala na bieżąco
dokonywać ponownej oceny ataków. Ogranicza to negatywny wpływ fałszywych alarmów
w momencie, gdy ruch sieciowy wraca do normy.
Fortinet to jedyna firma, która w swoich produktach do ochrony przed atakami DDoS stosuje
w pełni dedykowane procesory ASIC. Takie podejście eliminuje koszty ogólne występujące
w systemach opartych na zwykłych procesorach lub układach hybrydowych. Druga generacja
procesorów sieciowych FortiASIC-TP2 umożliwia wykrywanie ataków DDoS i ograniczanie ich
skutków przez pojedynczy procesor obsługujący każdy rodzaj ruchu w warstwach 3, 4 i 7 warstwy
aplikacyjnej OSI/ISO. Konkurencyjne rozwiązania korzystają z różnych kombinacji procesorów.
W przypadku takich rozwiązań część ruchu jest przypisana do procesora ASIC, a część do
zwykłego procesora, przy czym w niektórych modelach zwykły procesor obsługuje całość ruchu.
Prowadzi to do powstawania wąskich gardeł i obniżenia ogólnej wydajności systemu.
Jeżeli są Państwo zainteresowani przetestowaniem rozwiązań Fortinet, prosimy o wypełnienie
formularza: http://www.fortinet.pl/kontakt/testy
Robert Dąbrowski
Senior System Engineer, Fortinet Polska
Ma za sobą 16-letnie doświadczenie w pracy z systemami teleinformatycznymi. Pracował między innymi 9 lat w Alcatel Polska
jako inżynier systemowy oraz 2,5 roku w Solidex jako kierownik zespołu konsultantów. Uczestniczył w wielu rozbudowanych
projektach sieciowych mających na celu zapewnienie bezpieczeństwa informacji w infrastrukturze przedsiębiorstw oraz
operatorów telekomunikacyjnych. W Fortinet od lipca 2009.
17
Jak stworzyć zespół odpowiedzialny
za bezpieczeństwo
Publikujemy dla Państwa skrót z raportu rady Security for Business Innovation Council.
•Rada Security for Business Innovation
Council (SBIC) twierdzi, że funkcja zapewniania
bezpieczeństwa informacji powinna obejmować
swoim zasięgiem całe przedsiębiorstwo.
Zabezpieczenia należy wbudowywać w procesy
biznesowe, a zespoły ds. bezpieczeństwa
powinny ściśle współpracować z jednostkami
biznesowymi w zakresie zarządzania ryzykiem
zagrażającym bezpieczeństwu informacji oraz
minimalizacji zagrożeń z cyberprzestrzeni.
•Członkowie rady SBIC sformułowali siedem
zaleceń, które mają pomóc przedsiębiorstwom
w tworzeniu nowoczesnych zespołów
ds. bezpieczeństwa, dysponujących
zróżnicowanymi umiejętnościami, które będą
niezbędne do realizowania rozszerzonego
zakresu obowiązków związanych z zarządzaniem
ryzykiem zagrażającym zasobom informacyjnym
przedsiębiorstwa.
•Zalecenia członków rady SBIC zostały
przedstawione w nowym raporcie
udostępnionym przez RSA.
Informacje szczegółowe
RSA®, dział zabezpieczeń firmy EMC® Corporation,
opublikował raport specjalny rady Security
for Business Innovation Council (SBIC),
w którym przedstawiono zasady tworzenia
przyszłościowego programu bezpieczeństwa –
począwszy od powołania nowoczesnego zespołu
ds. bezpieczeństwa informacji, aż po zarządzanie
cyklem życia zagrożeń z cyberprzestrzeni,
występujących w dzisiejszych globalnych
przedsiębiorstwach. W ciągu ostatnich miesięcy
odnotowano znaczne zmiany w ogólnych
wymaganiach dotyczących skuteczności działania
18
zespołów ds. bezpieczeństwa informacji.
Zmiany te zostały wymuszone upowszechnieniem
się w środowiskach biznesowych różnych form
komunikacji sieciowej, pojawianiem się nowych
zagrożeń, wdrażaniem nowych technologii oraz
wprowadzaniem coraz bardziej restrykcyjnych
przepisów. W związku z tym zmieniają się zakresy
działań i obowiązków zespołów ds. bezpieczeństwa
informacji w przedsiębiorstwach.
W najnowszym raporcie pt. Transforming
Information Security: Designing a Stateof-the Art Extended Team (Zmiana zasad
zapewniania bezpieczeństwa informacji:
tworzenie nowoczesnego zespołu) stwierdzono,
że zespoły ds. bezpieczeństwa informacji muszą
się rozwijać i zdobywać kwalifikacje, które
w dziedzinie zapewniania bezpieczeństwa nie
były wcześniej potrzebne. Są to między innymi
umiejętność zarządzania ryzykiem biznesowym
oraz wiedza z zakresu prawa, marketingu,
matematyki i zakupów. System zapewniania
bezpieczeństwa informacji musi także obejmować
model wspólnej odpowiedzialności, w ramach
którego odpowiedzialność za zabezpieczanie
zasobów informacyjnych jest ponoszona
wspólnie z menadżerami i dyrektorami działów
biznesowych przedsiębiorstwa. Kierownictwa firm
zaczynają rozumieć, że w dzisiejszych czasach
ryzyko biznesowe obejmuje również zagrożenia
z cyberprzestrzeni. W zespołach ds. bezpieczeństwa
występują braki w wielu kompetencjach
technicznych i biznesowych niezbędnych
do realizowania rozszerzonego zakresu obowiązków
spoczywających na tych zespołach. Konieczne
więc będzie opracowanie nowych strategii
zdobywania i pogłębiania takich kompetencji
we własnym zakresie, a także korzystania z wiedzy
specjalistycznej usługodawców zewnętrznych.
Aby pomóc przedsiębiorstwom w stworzeniu nowoczesnego zespołu ds. bezpieczeństwa,
rada SBIC sformułowała siedem zaleceń:
1. Ponowne zdefiniowanie i rozwój
podstawowych kompetencji – zespół główny
powinien poszerzać kwalifikacje w czterech
dziedzinach: analiza zagrożeń z cyberprzestrzeni
oraz danych nt. bezpieczeństwa; zarządzanie
danymi nt. bezpieczeństwa; doradztwo
w zakresie ryzyka oraz projektowanie
i wdrażanie mechanizmów kontroli.
2. Delegowanie czynności rutynowych
– należy powierzać wykonywanie
powtarzalnych, sprawdzonych procesów
z zakresu zapewniania bezpieczeństwa działowi
informatyki, jednostkom biznesowym i/lub
usługodawcom zewnętrznym.
3. Wypożyczanie lub wynajmowanie ekspertów
– w określonych specjalizacjach należy
uzupełniać główny zespół ekspertami
wewnętrznymi i zewnętrznymi.
4. Kierowanie właścicielami ryzyka w zakresie
zarządzania ryzykiem – należy współpracować
z jednostkami biznesowymi w zakresie
zarządzania ryzykiem zagrażającym
bezpieczeństwu w cyberprzestrzeni
oraz koordynować wypracowywanie
spójnego podejścia.
5. Wynajmowanie specjalistów ds. optymalizacji
procesów – należy zadbać o to, aby w zespole
znaleźli się specjaliści z doświadczeniem
i certyfikatami w zakresie zarządzania jakością,
projektami lub programami, optymalizacji
procesów i świadczenia usług.
6. Budowanie kluczowych relacji – należy
zdobywać zaufanie kluczowych podmiotów
oraz możliwości wywierania na nie wpływu.
Do podmiotów takich należą właściciele
kluczowych procesów, kierownictwo średniego
szczebla oraz usługodawcy zatrudniani
na zasadzie outsourcingu.
7. Dbałość o rozwijanie kwalifikacji
pracowników z myślą o przyszłych
potrzebach – z uwagi na brak potrzebnych
specjalistów, w przypadku większości
przedsiębiorstw, jedynym przyszłościowym
rozwiązaniem jest rozwój kwalifikacji
pracowników. Szczególnie przydatne będzie
zdobywanie umiejętności w dziedzinach,
takich jak tworzenie oprogramowania,
analiza biznesowa, zarządzanie finansami,
wywiad wojskowy, prawo, ochrona danych
osobowych, analityka danych oraz złożona
analiza statystyczna.
19
ENTERPRISE
INFORMATION
SECURITY
TEAMS
Old
School
STATE
ART
VS
OF THE
M I S S I O N
Concentrates on
conventional security
activities such as:
Shifts focus to businesscentric and advanced
technical activities such as:
Developing policy
Implementing and
operating security
controls
Business risk analysis
Asset valuation
IT supply chain integrity
Cyber threat intelligence
Security data analytics
Data warehousing
Process optimization
E X P E R T I S E
IT professionals
with security
skills
Multidisciplinary
group of specialists
with diverse
business leadership
and technical skills
F O C U S
Focuses on reactive and
day-to-day activities
Focuses on proactive and
strategic activities
A P P R O A C H
Siloed approach
with “we’ll do it all
ourselves” attitude
D.I.Y.
V I E W
Check-list or
compliance view
whereby Security’s
goal is to mitigate
all risks
20
Collaborative
approach
with shared
accountability
for protecting
information
O F
R I S K
Business units own the
risk/reward decisions.
Security operates a risk
consultancy to advise the
business on assessing
and managing risks
T H R E A T
D E T E C T I O N
Look at security events
generated by
dedicated
security
devices
Use intelligence-driven security
to detect malicious activity
within business processes
Collect data from
various internal
and external sources
Apply data-enrichment
and analytics techniques
C O N T R O L S
O P E R A T I O N
Basic infrastructure
security controls
are operated by
Security
Selected, well-established,
repeatable security processes
are delegated to internal and
external service providers
Governed by Security
through Service Level
Agreements (SLAs)
C O N T R O L S
A S S E S S M E N T
Auditors periodically
assess security
controls using
manual
methods
P R O C E S S
Controls assurance
analysts continuously
collect evidence on the
efficacy of security
controls using more
automated methods.
Auditors use this evidence
in their assessments
I M P R O V E M E N T S
Security processes
are improved on
an ad-hoc
basis
Security processes are
consistently tracked,
measured, and optimized
based on process expertise
and formalized methods
T A L E N T
Mostly
backgrounds
in IT and
security
TWEET THIS
www.emc.com/rsa-sbic11
Broadened to also
include backgrounds
such as data science,
math, history,
economics, military
intelligence, and
business analysis
An industry initiative sponsored by
Największe zagrożenia dla
bezpieczeństwa w sieci w roku 2014
Raport Fundacji Bezpieczna Cyberprzestrzeń
Trochę historii – przegląd najważniejszych
wydarzeń w 2013 roku
Edward Snowden były pracownik CIA (Central
Intelligence Agency) i NSA, w 2013 ujawnił
na łamach prasy informacje o PRISM, programie
inwigilacji prowadzonym przez NSA. Nie wnikając
w wątki polityczne w tej sprawie jedno jest
pewne, sensacyjne informacje Edwarda Snowdena
sprawiły, że kwestie bezpieczeństwa w sieci
Internet stały się dostrzegane już nie tylko przez
specjalistów. Od tej pory na temat prywatności
i poufności naszych danych prowadzone są
niekończące się dyskusje a usługi i serwisy
internetowe ułatwiające ochronę prywatnych
danych rozkwitają – na przykład obserwujemy
to przy okazji wzrostu popularności sieci Tor
czy kryptowalut.
BitCoin to popularna waluta w świecie
cyberprzestępczym, jest trudniejsza do
monitorowania przez organy ścigania, przez co
stanowi bezpieczniejszą, anonimową metodę
płatności. W 2013 kryptowaluty były w kręgu
zainteresowań branży bezpieczeństwa.
Kaspersky Lab wykrył kampanię, w której
cyberprzestępcy wykorzystywali Skype’a
do dystrybucji szkodliwego oprogramowania
w celu wydobywania Bitcoinów. Cyberprzestępcy
stosowali socjotechnikę jako początkowy
wektor ataku i pobierali kolejne szkodliwe
oprogramowanie do zainstalowania na maszynie
ofiary. Współczynnik kliknięć w kampanii wynosił
2 000 na godzinę!
Sensacją stała się publikacja raportu Mandianta
na temat chińskich ataków APT (Advanced
Persistent Threats). Amerykańska firma Mandiant
zajmująca się analizą ruchu internetowego
i cyberbezpieczeństwem w swoim raporcie
opisała włamania przedstawicieli Chińskiej
24
Republiki Ludowej do baz danych organizacji
działających głównie w USA, Kanadzie
i Wielkiej Brytanii i wykradzenie z nich setek
terabajtów danych. W raporcie opisano
systematyczne kradzieże danych z co najmniej
141 firm skupionych w branżach uważanych
przez Chińczyków jako strategiczne: zbrojeniowej,
energetycznej i medialnej.
Rok 2013 to ponownie włamanie do firm i wycieki
danych: włamanie do Adobe, włamanie do Opery,
niemieckiego Vodafone czy do serwisu Evernote.
Największe z nich to włamanie do Adobe – ponad
150 milionów wierszy z danymi. Niewątpliwie
mamy tu do czynienia z największym do tej pory,
opublikowanym i pochodzącym z jednego
serwisu wyciekiem listy kont, adresów e-mail
i zabezpieczonych haseł.
Omawiając najważniejsze wydarzenia roku 2013
nie można pominąć sprawy dynamicznego
wzrostu zagrożeń dla platform mobilnych,
a głównie popularnego systemu Android. Według
Kaspersky Lab, w 2013 r. zidentyfikowano pierwsze
botnety osób trzecich, tj. mobilne urządzenia
zainfekowane innymi szkodliwymi programami
i wykorzystywane przez innych cyberprzestępców
do rozprzestrzeniania mobilnego szkodliwego
oprogramowania – tak rozprzestrzeniany był
najbardziej wyrafinowany trojan dla Androida,
znany jako Obad.
Mobilne szkodliwe oprogramowanie jest
zwykle wykorzystywane do kradzieży pieniędzy
właścicieli telefonów. Przeprowadzone przez
analityków Trend Micro badania wskazują,
że w ciągu ostatnich miesięcy liczba złośliwego
oprogramowania i aplikacji, które są niebezpieczne
dla użytkowników systemu Android, przekroczyła
1 milion.
Rok 2014 – prawdopodobieństwo i poziom zagrożeń
Prawdopodobieństwo zagrożenia w przypadku wystąpienia podanego poniżej zagrożenia
Skala 1–5 (1 – najmniej groźne, 5 – najbardziej groźne)
Phishing z wykorzystaniem poczty elektronicznej i serwisów WWW – 4,39
Zagrożenia w serwisach społecznościowych – 4,35
Zagrożenia dla platformy Android – 4,22
Wycieki baz danych zawierających dane osobowe – 4,00
Ataki na cloud-computing – 3,96
Ataki drive-by download – 3,96
Zagrożenia zawiązane z BYOD – 3,96
Powstawanie botnetów opartych o platformy mobilne – 3,98
Masowe naruszenia prywatności – 3,52
Zagrożenia typu ransome/scareware – 3,52
Zagrożenia dla platformy Windows Phone/Mobile – 3,35
Haktywizm – 3,35
Cyberkonflikty pomiędzy państwami powiązane z atakami dedykowanymi – 3,30
Zagrożenia dla platformy iOS – 2,26
Zagrożenia związane z „Internet of Things”– 2,87
Wykorzystanie gier sieciowych w atakach – 2,87
Jak widać z tego zestawienia – zagrożenie,
operacyjnej. Częstsze informacje o kradzieży
które jest wręcz klasycznym od wielu lat,
zasobów wirtualnych w GVE czy przejmowaniu
czyli akcje phishingowe z wykorzystaniem poczty
w nich komputerów grających mogą pojawić się
elektronicznej i serwisów WWW – wygrywa
w każdym momencie. „Internet of Things” tak
konkurencję. Gry sieciowe nadal postrzegane są
naprawdę dopiero zaczyna wkraczać do naszego
jako oaza względnego spokoju. Choć niekoniecznie
życia. Stąd pewnie nie za bardzo oczekujemy
tak musi być dalej. Na razie słyszymy, o tym,
zagrożeń z tej strony. To się też może zmienić
że GVE-y (Games and Virtual Environments)
jeśli urządzenia staną się bardziej powszechne.
powszechnie wykorzystywane są przez agencje
Niedawno pojawiła się informacja o pierwszej
wywiadowcze do prowadzenia działalności
lodówce, dołączonej do botnetu i rozsyłającej spam.
25
Największe zagrożenia w roku 2014
– poziom zagrożenia
Prawdopodobieństwo wystąpienia to jedno, ale
siła oddziaływania danego zagrożenia to drugie.
Nie wszystkie zagrożenia wskazywane jako
najbardziej prawdopodobne były jednocześnie
wskazywane jako te, których konsekwencje
wystąpienia byłyby najbardziej dokuczliwe
i najgroźniejsze.
Poziom zagrożenia w przypadku wystąpienia podanego poniżej zagrożenia
Skala 1–5 (1 – najmniej groźne, 5 – najbardziej groźne)
Ataki na cloud-computing – 4,43
Pomiędzy państwami powiązane z atakami dedykowanymi – 4,39
Wycieki baz danych zawierających dane osobowe – 4,00
Masowe naruszenia prywatności – 4,00
Ataki drive-by download – 3,74
Zagrożenia zawiązane z BYOD – 3,57
Zagrożenia dla platformy Android – 3,48
Zagrożenia związane z „Internet of Things” – 3,36
Związane z wykorzystaniem poczty elektronicznej i serwisów WWW – 3,35
Powstawanie botnetów opartych o platformy mobilne – 3,35
Zagrożenia dla platformy Windows Phone/Mobile – 3,14
Zagrożenia w serwisach społecznościowych – 3,13
Zagrożenia dla platformy iOS – 3,13
Zagrożenia typu ransome/scareware – 2,91
Haktywizm – 2,85
Wykorzystanie gier sieciowych w atakach – 2,57
26
Przy niewielkiej dozie wyobraźni można by też
uruchamianiu ataków DDoS. Te ataki często
pokazać, jak wszystkie te ataki mogą się łączyć.
skierowane są na serwery rządowe, a przy okazji
Na przykład: wiadomo, że od pewnego czasu
włamań do centrów danych mogą następować
cyberprzestępcy zaczęli masowo wykorzystywać
również ataki na instalowane w nich rozwiązania
centra danych do swojej działalności, np.:
„chmurowe” i kradzież przetwarzanych
w nich danych osobowych. Taki scenariusz
to jeden z licznych dowodów na to, że systemy
informatyczne, ataki na nie, metody obrony
to olbrzymi system naczyń połączonych często
następuje synergia pewnych działań jak również
wzajemne oddziaływanie ich na siebie.
Mamy nadzieję, że dane z naszego raportu mogą
być w jakimś stopniu przydatne przy tego typu
analizach.
Inne możliwe zagrożenia
Najgroźniejsze są te zagrożenia których
prawdopodobieństwo wystąpienia jest duże,
a spowodowane straty poważne. Warto więc
najbardziej się przyjrzeć właśnie tym zagrożeniom.
Wśród nich znajdują się takie jak:
Eksperci, którzy wzięli udział w naszym badaniu,
oprócz wskazanych zagrożeń w zestawieniu,
zaproponowali również własne. Wśród nich
najczęściej pojawiają się dwa: ataki typu DDoS
oraz ataki na systemy sterowania przemysłowego
typu SCADA. Oprócz tych dwóch najczęściej
pojawiających się – eksperci wskazali kilka innych
ciekawych. Na przykład:
• ataki na cloud-computing (prawdopodobieństwo
– 3.96, poziom zagrożenia – 4.43)
• Ingerencje służb w Internet powodujące utratę
zaufania ludzi do sieci i usług sieciowych
•wycieki baz danych zawierające dane osobowe
(4.00, 4.00)
• Ataki na urządzenia medyczne I instalacje
podtrzymujące życie
• ataki drive-by download (3.96, 3.74)
• Kradzież walut typu BitCoin
• Phishing z wykorzystaniem poczty
elektronicznej i serwisów WWW (4.22, 3.48)
• Backdoory w powszechnie wykorzystywanych
algorytmach
• Zagrożenia dla platformy Android (4.22, 3.48)
• Nowe mechanizmy w rozwoju złośliwego
oprogramowania (wykorzystanie sieci
anonimowych, destrukcja komputera
przy próbie zablokowania botnetu, etc.)
Na co zwrócić uwagę najbardziej
Taka uproszona analiza ryzyka to oczywiście
tylko proste kalkulacje. Każdy sam w zależności
od charakteru podmiotu jaki reprezentuje
i środowiska teleinformatycznego w jakim działa
powinien takową przeprowadzić na swój użytek.
• Sniffing w punktach wymianu ruchu
• DNS hijacking
O raporcie:
Przygotowany raport na temat prognoz dotyczących zagrożeń teleinformatycznych w 2014 r. jest drugą
edycją tego typu raportu po edycji dotyczącej roku 2013. Jednocześnie jest najprawdopodobniej pierwszym
tego typu raportem, na wyniki którego składają się głosy polskich specjalistów ds. bezpieczeństwa
teleinformatycznego. Dotychczas przy analizie tego co może być groźne w nadchodzącym okresie
korzystaliśmy z opinii innych podmiotów i specjalistów z zagranicy.
27
Strzeż tajemnic przedsiębiorstwa
Krzysztof Rydlak, SpyShop
W ostatnich dwóch latach blisko 50% polskich przedsiębiorstw padło ofiarą przestępstw
gospodarczych. Powodem jest utrata poufności strategicznych informacji. Ochrona danych
biznesowych to konieczność. Jak zabezpieczać się przed szpiegostwem i nielojalnymi pracownikami?
Dane korporacyjne muszą być dobrze chronione.
Z powodu ich wycieku 25% polskich przedsiębiorstw
może tracić nawet do 3 mln zł w skali roku.
Eksperci wykazali, że w ostatnich dwóch
latach niemal 70% sieci korporacyjnych było
zainfekowanych niezidentyfikowanymi botami,
a blisko 50% polskich przedsiębiorstw padło
ofiarami przestępstw gospodarczych.
– Dzięki nowoczesnym metodom zabezpieczania
informacji można tego uniknąć. Aż 52%
nieprawidłowości udaje się wykryć już poprzez
rutynowe kontrole – mówi Paweł Wujcikowski,
ekspert ds. bezpieczeństwa Spy Shop. – Zwiększając
bezpieczeństwo danych korporacyjnych można
zredukować ryzyko do zera.
Rosnący problem
Niebezpieczeństwo utraty poufnych informacji
dotyczy zarówno średnich, jak i dużych
przedsiębiorstw. Kto znajduje się w grupie ryzyka?
Analizy ekspertów pokazały, że najbardziej
zagrożone są sektory:
•finansowy,
•handlowy,
•telekomunikacyjny.
– Ofiarami hakerów najczęściej są firmy, których
funkcjonowanie opiera się na rozbudowanych
sieciach informatycznych – dodaje Paweł
Wujcikowski. Internet to najlepsza droga dotarcia
do strategicznych danych korporacji. Specjalnie
przygotowane boty, mogą inwigilować firmowe
sieci bez wiedzy ich użytkowników. Ocenia się,
że ok. 2/3 komputerów połączonych z Internetem
jest zainfekowanych podobnymi programami.
28
Jednak to nie ataki z zewnątrz są największą
bolączką przedsiębiorców.
Z najnowszych raportów wynika, że:
•56% przypadków działania na szkodę firmy
to wina jej pracowników,
•50% z nich to członkowie kadry menadżerskiej.
Nielojalność pracowników to spore zagrożenie
dla poufności firmowych danych. A co za tym idzie
dla płynności finansowej i rozwoju przedsiębiorstw.
– Osoby mające dostęp do najważniejszych obszarów
w firmie mogą bez problemu ujawniać jej tajemnice
– tłumaczy ekspert ds. bezpieczeństwa Spy Shop.
– Dlatego interesem pracodawcy jest kontrola
aktywności pracowników, szczególnie w kwestii
wykorzystania służbowych komputerów i telefonów.
Bezpieczne sieci
Jak sprawdzić, czy personel nie dopuszcza się
nadużyć, a dane są bezpieczne? Najskuteczniejszym
rozwiązaniem jest profesjonalny monitoring
aktywności pracowników. Rynek oferuje narzędzia,
które znacznie ułatwiają ten proces. Są przy tym
wysoce dyskretne. Nie przeszkadzają pracownikowi
w codziennych obowiązkach, a ten łatwo zapomina
o ich obecności w systemie. SpyLogger to
specjalna aplikacja monitorująca na komputery
osobiste i laptopy. Jej instalacja jest szybka,
konfiguracja prosta, a możliwości imponujące.
Po podłączeniu pendrive’a ze SpyLoggerem
do portu USB komputera, użytkownik uzyskuje
dostęp do panelu, w którym może zdefiniować
wszystkie funkcje programu.
– Aplikacja umożliwia znaczne zwiększenie
bezpieczeństwa danych biznesowych – mówi
ekspert ds. bezpieczeństwa Spy Shop. – Przede
wszystkim daje pewność, że nie są one ujawniane
drogą elektroniczną przez samych pracowników.
By program działał prawidłowo, należy określić
adres e-mail, na który będą przesyłane raporty
aktywności monitorowanego komputera.
Zawierają one:
a gotowy plik trafia na adres e-mail określony
podczas konfiguracji. – Sekretem skuteczności
programu SpyLogger jest to, że aplikacja pozostaje
niewidzialna dla antywirusów. Nie widać jej również
w procesach systemowych i w żaden sposób nie
obciąża komputera. Mówiąc krótko, nie pozostawia
po sobie żadnych śladów – tłumaczy ekspert
ds. bezpieczeństwa Spy Shop.
•zrzuty ekranu (mogą być generowane
z dowolną częstotliwością),
Telefon pod kontrolą
•pliki HTML z tekstami wpisywanymi na
klawiaturze i historią otwieranych programów.
Dzięki temu pracodawca wie, które dokumenty
były przeglądane na komputerze, jakie maile
zostały wysłane oraz z kim pracownik kontaktował
się za pomocą komunikatorów i chatów.
Dodatkowo administrator może ustalić słowa
kluczowe, po których każdorazowym wpisaniu
generowane są specjalne zrzuty ekranu.
– SpyLogger śledzi wszystkie zmiany oraz operacje
wykonane na plikach. Określa, które są najczęściej
używane i jakie foldery wzbudzają największe
zainteresowanie pracownika – mówi Paweł
Wujcikowski. Aplikacja zabezpiecza nie tylko przed
wyciekiem danych drogą internetową, ale także
przed zgrywaniem ich na nośniki fizyczne.
•program wykazuje wszystkie urządzenia
podłączane do komputera,
•włącznie z pamięciami flash,
•informuje o aktywności napędów CD/DVD.
Gdy pracodawca nabiera względem pracownika
szczególnych podejrzeń, może zdecydować
się na generowanie raportów audio. Te są
niczym innym, jak zapisem dźwięków zebranych
z otoczenia komputera. Nagrywanie odbywa się
poprzez wbudowany mikrofon (o ile stanowi on
wyposażenie laptopa lub jednostki stacjonarnej),
Monitorować można nie tylko firmowe komputery.
Eksperci podkreślają wagę kontroli służbowych
telefonów, a producenci oprogramowania
odpowiadają na istniejące zapotrzebowanie.
Stworzyli oni aplikację na telefony komórkowe
i smartfony, która może zainteresować każdego
ostrożnego przedsiębiorcę. SpyPhone, bo tak
nazwa się program, to narzędzie kompleksowej
kontroli. Bardzo dyskretne, bowiem w żaden
sposób nie zakłóca pracy komórek. Co oferuje?
Przede wszystkim zapewnia pełną kontrolę nad
sposobem korzystania z telefonu. Mówi o tym,
z kim kontaktował się pracownik, jak często
i jakie informacje przekazał w trakcie rozmowy.
Prócz tego (w zależności od wersji):
•umożliwia podsłuchiwanie rozmów na żywo
lub ich automatyczne nagrywanie,
•zapisuje treść wiadomości SMS i MMS
wysyłanych i odbieranych na telefonie,
•umożliwia zlokalizowanie telefonu, zwiększając
jednocześnie bezpieczeństwo pracownika.
Informacja o położeniu zostaje nałożona na mapy
Google i jest widoczna na specjalnej stronie
internetowej. Dodatkową zaletą SpyPhone jest
funkcja podsłuchu lub nagrywania dźwięków
z otoczenia komórki. Wystarczy połączyć się
z monitorowanym numerem przez telefon
nadzorujący albo wysłać żądanie rejestracji
głosów. Po zakończeniu nagrywania, plik zostaje
przesłany na skrzynkę poczty elektronicznej.
29
Raporty mogą zawierać również:
•kopie zdjęć zrobionych telefonem,
•wiadomości e-mail i zapis rozmów
na komunikatorach internetowych
np. Whatsapp,
•inne informacje o aktywności telefonu.
By skutecznie kontrolować obserwowaną komórkę,
należy określić numer nadzorujący, z którego
wydawane są polecenia. W tej operacji tkwi
sekret dyskrecji programu SpyPhone.
– Nielojalni pracownicy są często nieostrożni.
Stosując odpowiednie rozwiązania, można łatwo
przyłapać ich na gorącym uczynku i zdobyć dowody
działań na szkodę przedsiębiorstwa – mówi
Paweł Wujcikowski.
Poufne rozmowy
Firmy, w szczególności te duże, powinny chronić
się także przed zagrożeniami z zewnątrz.
Szpiegostwo korporacyjne staje się coraz częstszym
zjawiskiem. Również w świecie polskiego biznesu.
Nieuczciwi konkurenci wykorzystują zaawansowane
metody wykradania strategicznych informacji
i planów. Szczególnie zagrożone są konferencje
oraz strategiczne spotkania zarządu. Dlatego
rośnie popularność akustycznych systemów
zapobiegających inwigilacji. Urządzenia, takie
jak Druid DS-600, oferują najważniejsze
funkcjonalności w tej kwestii:
•zabezpieczają przed każdym rodzajem
podsłuchów,
•gwarantują bezpieczną konwersację nawet
dla 18 osób,
•są odporne na działanie systemów
usuwania szumu,
•posiadają własne akumulatory i mogą być
szybko uruchomione w dowolnym
pomieszczeniu.
30
W klasycznych rozwiązaniach stosuje się
lokalizatory radiowe, które są w stanie wykryć
i odnaleźć źródła sygnałów analogowych
i cyfrowych w różnych standardach (mogące być
potencjalnymi nadajnikami podsłuchowymi) oraz
zagłuszacze blokujące możliwość przesyłania
danych drogą radiową. Jednak nie wszystkie
podsłuchy mogą być neutralizowane w ten sposób.
Druid analizuje dźwięki prowadzonej rozmowy
i generuje zakłócenia akustyczne, które skutecznie
maskują treść konwersacji i zniekształcają ją
na tyle, że staje się całkowicie niezrozumiała
dla osoby podsłuchującej. – Co więcej, zakłócenia
generowane są losowo i w zależności od tonu
rozmów. To powoduje, że odszumienie sygnału
jest całkowicie niemożliwe – mówi ekspert
ds. bezpieczeństwa Spy Shop. – Uczestnicy
konferencji korzystają natomiast ze specjalnego
zestawu słuchawkowego. W ten sposób słyszą
i rozumieją się doskonale.
Pomocny szyfr
Istnieją także rozwiązania, które pozwalają na
skuteczne szyfrowanie rozmów telefonicznych.
Konwencjonalne aparaty nie stanowią problemu
dla specjalisty od podsłuchów. Są więc najsłabszym
ogniwem w procesie zabezpieczania rozmów
biznesowych wysokiego szczebla. Enigma E2
firmy Tripleton wyglądem przypomina zwykłą
komórkę w klasycznym wydaniu. Czarna obudowa,
standardowy ekran, fizyczna klawiatura i obiektyw
aparatu nie zdradzają możliwości, które oferuje
urządzenie. A potrafi wiele. Przede wszystkim
wysoce skutecznie zabezpiecza przed podsłuchem
telefonicznym i wglądem w poufne informacje.
– To szczególnie ważne z punktu widzenia
przekazywania strategicznych danych, czy decyzji
biznesowych. Prowadzenie interesów z zagranicznymi
kontrahentami często wymaga kontaktu na
odległość. Enigma E2 całkowicie redukuje ryzyko
ujawnienia najistotniejszych kwestii – mówi
Paweł Wujcikowski.
Proces szyfrowania odbywa się w dwóch etapach
– uwierzytelnienia i szyfrowania rozmowy.
•pierwszy daje pewność, że połączenie zostaje
nawiązane dokładnie z tym, z kim chcemy
rozmawiać,
•drugi opiera się na super mocnych
algorytmach AES 256 bit, realizowanych
za pomocą specjalnej mikroprocesorowej
karty szyfrującej.
Obecne technologie pozwalają na zapewnienie
najwyższego bezpieczeństwa danych
korporacyjnych. Przedsiębiorcy sięgają po nie
coraz częściej. Skala przestępczości gospodarczej
w Polsce utrzymuje się na wysokim poziomie,
a nieuczciwe praktyki wciąż stanowią poważny
problem świata biznesu. Wiedza i świadomość
nt. ochrony strategicznych informacji może
pomóc przedsiębiorcom w uniknięciu przykrych
konsekwencji utraty poufnych danych.
Krzysztof Rydlak
Jest ekspertem ds. produktów w firmie SpyShop – specjalizuje się w projektowaniu systemów bezpieczeństwa dla firm
i osób prywatnych. Zajmuje się również zarządzaniem i koordynacją projektów związanych z rozwojem firmy SpyShop.
Swoje doświadczenie i kompetencje wykorzystuje w kontaktach z kluczowymi klientami instytucjonalnymi, jak
również producentami i dostawcami sprzętu. Jest inżynierem elektronikiem, absolwentem Politechniki Wrocławskiej.
Ukończył także studia podyplomowe Project Management na Uniwersytecie Ekonomicznym we Wrocławiu.
31
„Is IT safe?”
Jan Michałowicz, Innovation Experts
Osoby próbujące znaleźć w tej narracji motyw będą ścigane; osoby próbujące znaleźć w niej
morał zostaną wygnane; osoby próbujące odnaleźć fabułę zostaną zastrzelone.
Mark Twain, amerykańskie wydanie Przygód Huckelberry Finna
Ochrona informacji oraz utrzymanie zdolności
realizacji zadań stają się coraz ważniejsze.
Dla poważnych firm zagadnienia te już
od dawna wyszły poza sferę technologii
i są obecnie znaczącym fragmentem strategii
biznesowej. Warunkiem sukcesu rynkowego jest
zdolność do szybkiego i trafnego reagowania
na rzeczywiste czynniki zmiany. Bezpieczeństwo IT
samo w sobie nie stanowi wartości, częstokroć
jest jednak warunkiem realizacji przez
firmę jej zadań. Zrozumienie wagi i miejsca
bezpieczeństwa IT w ładzie korporacyjnym jest
możliwe pod warunkiem zdefiniowania zasad
funkcjonowania przedsiębiorstwa oraz roli IT.
Warunkiem koniecznym sukcesu rynkowego
przedsiębiorstwa jest umiejętność reagowania
na zmiany zachodzące w zakresie potrzeb klientów,
możliwości technologicznych i wpływu konkurencji.
Otoczenie firmy jest złożonym systemem
dynamicznym, którego bodźce, takie jak czynniki
społeczne, polityczne, gospodarcze,
demograficzne i naukowe wywierają wpływ
zarówno na firmę jak i klientów, konkurencję
oraz technologię. Rolą przedsiębiorstwa jest
mądre wykorzystanie zasobów – wiedzy,
kapitału, ludzi, maszyn, urządzeń, własności
intelektualnej oraz strategicznych relacji
międzyludzkich, zaś IT to co najmniej budowa
kompetencji przedsiębiorstwa w komunikacji,
przewidywaniu i reagowaniu na otoczenie
oraz realizacji i kreowaniu celów.
Większość typowych rozwiązań z domeny
bezpieczeństwa dotyczy jednak ciągłości działania,
utrzymania i dostępności zasobów oraz spełnienia
32
wymagań formalnych. Warto zatem pokazać kilka
innych kwestii, decydujących częstokroć o sukcesie
przedsiębiorstwa, lecz przez wzgląd na mniejszy
potencjał kreowania sprzedaży technologii,
mniej nagłaśnianych.
Najsłabsze ogniwo
Własny punkt widzenia może być niebezpiecznym
luksusem, gdy zastępuje analizę i zrozumienie.
Marshall McLuhan
Zwykle najsłabszym ogniwem każdego systemu
bezpieczeństwa jest człowiek. Badania wykazują,
że czynnik ludzki odegrał rolę w ponad 80%
incydentów. W ponad połowie z nich był
podstawową przyczyną incydentu naruszenia
bezpieczeństwa. Stopień zagrożenia jest
różny i zazwyczaj wprost proporcjonalny do ego
i niekompetencji osobnika. Stanowisko pełnione
w firmie nie ma większego znaczenia – równie
groźny może być prezes jak sprzątaczka, CFO
jak kopiący rowy robotnik. Pierwsze prawo
bezpieczeństwa IT można sformułować jako
„Błądzić jest rzeczą ludzką”.
Metody zarządzania ryzykiem związanym
z bezpieczeństwem IT zazwyczaj realizowane są
na trzech płaszczyznach: procesów, technologii
i ludzi. Niewiele jest metod, które uwzględniałyby
wszystkie te trzy czynniki na równi. Zwłaszcza
rozwiązywanie problemu czynnika ludzkiego jest
często niedoceniane i zastępowane nadmierną
wiarą w moc sprawczą procedur. Warto przy
tym zwłaszcza pamiętać o zagrożeniach mniej
oczywistych. Większość użytkowników postrzega
swój komputer jako narzędzie realizujące zestaw
pożytecznych funkcji. Nie rozumieją, jak działa
i tak naprawdę nie chcą tego zrozumieć, gdyż
uważają to za problem producenta i ewentualnie
działu IT. Ostatecznie kogo obchodzi jak działa
pralka czy też kserograf?
Lekceważenie potencjalnych zagrożeń to tylko
część problemu. Czynnik ludzki ujawnia się również
w zagrożeniu spowodowanym wiarą w uzyskane
w sieci informacje. Badania wskazują, że te same
osoby, które ze znaczną podejrzliwością odnoszą
się do wiadomości prasowych i telewizyjnych bez
większego trudu ufają w informacje odnalezione
w sieci. Niezwykle łatwy dostęp do zasobów
sieci, w tym danych publicznych, w połączeniu
z rozwojem społeczności internetowej owocuje
ryzykiem wykorzystania danych wątpliwej
jakości. Brak wiedzy i zastanowienia powoduje,
że zdecydowana większość Internautów podejmuje
decyzje na podstawie informacji z WWW będąc
nieświadoma zarówno źródeł danych jak i ich
wiarygodności. Sytuację dodatkowo komplikuje
powszechna dostępność agregacji i asymilacji
danych, dla których informacje o pochodzeniu
i zasadach kwalifikacji danych pozostają nieznane.
Komodyzacja IT
Jeśli torturuje się dane wystarczająco długo,
to wyznają prawdę.
Ronald Coase
Badania wskazują, że produkty dla sektora IT
w sposób szczególnie szybki podlegają zjawisku
komodyzacji czyli urynkowienia. Zjawisko to,
w wyniku którego produkt czy usługa bardzo szybko
tracą swój unikatowy wizerunek i stają się zwykłym
towarem ma dramatyczne konsekwencje. Skrócenie
czasu pomiędzy innowacją a imitacją powoduje
bowiem, że tocząca się pomiędzy producentami
rywalizacja na fizyczne cechy, wyrafinowaną
funkcjonalność, ceny, kampanie reklamowe, obecnie
kończy się rosnącymi kosztami, zmniejszającymi
się zyskami, a czasem wręcz utratą pozycji na
rynku. Każdy kolejny etap walki rynkowej wiąże
się z „racjonalizacją” kosztów, a tym samym
przenoszeniem części zadań z producenta na klienta.
Prawie zawsze obniża to poziom ochrony.
Walka konkurencyjna w sektorze IT rozgrywała się
na wielu polach. W latach 80-tych, dominującymi
czynnikami różnicującymi produkty i usługi były
jakość i funkcjonalność. Rozwój i dostępność
technologii, ułatwienie komunikacji i globalizacja
osłabiły jednak wpływ tych czynników
różnicujących. W konsekwencji producenci
przystąpili do konkurowania ceną. Utrzymanie
oczekiwanych zysków wiązało sie jednak
z ograniczeniem kosztów własnych: ograniczono
nakłady na testowanie produktów oraz w dużej
mierze obciążono klienta dodatkowymi kosztami
eksploatacji (nadzór nad poprawkami, service
pack’ami etc).
Następnym czynnikiem różnicującym była obsługa
wdrożeniowa i wsparcie podczas eksploatacji.
Jednocześnie nastąpiła silna segmentacja rynku –
poważni dostawcy wycofali się z rynku masowego
koncentrując się na kontraktach rządowych
i korporacyjnych. Zgodnie z prawami rynku
po kilku latach część konkurentów wyrównała
swoje poziomy świadczonych usług, pozostali
albo odnaleźli unikalne nisze, albo wypadli z gry.
Wszyscy zaś, za wyjątkiem firm realizujących
kontrakty wojskowe, ze względu na koszt,
wycofali się z badań podstawowych.
W ramach kolejnego okresu konkurencji na ceny
z rynku wypadło wiele firm, zwłaszcza te, które
w swej strategii na serio traktowały tradycyjne
zasady współpracy z klientem. Obecny etap walki
konkurencyjnej sprzyja bowiem obniżaniu kosztów
poprzez standaryzację, częste zmiany oferty
33
promujące uzyskiwanie wartości za drugorzędne
zmiany oraz sprzedaż produktów w niepełnym
ukompletowaniu.
Marketing za cel kluczowy uznaje propagowanie
licznych modeli rozwiązań chmurowych,
grupę metodyk „zwinnego” wytwarzania
oprogramowania opartego na programowaniu
iteracyjno-przyrostowym oraz techniki
analityki predykcyjnej związane z „big data”.
Nie wdając się w szczegółowe rozważania
o naturalnych konsekwencjach tych rozwiązań dla
bezpieczeństwa IT warto podkreślić, że historia nauk
technicznych, a do takich zaliczamy informatykę,
stwierdziła już dawno, że żadne rozwiązanie
uniwersalne nie jest bliskie optymalnemu.
Na rynku nadmiaru wzrasta tendencja
do ignorowania zagadnień bezpieczeństwa
oraz maskowania wad oferowanych rozwiązań.
Stąd zapewne głoszone przez obnośnych
sprzedawców wiodących technologii przypowieści
o braku potrzeby utrzymywania w firmach własnej
kompetencji informatycznej. Zgodnie z tym
paradygmatem odbiorcą oferty Nowego Ładu
Informatycznego jest CFO, jako osoba doceniająca
obiecane obniżenie kosztów i pozbawiona
wiedzy niezbędnej do weryfikacji propozycji
merytorycznej. Informatyk bowiem nie może
zrezygnować z domagania się rzeczywistego
zagwarantowania bezpieczeństwa i jakości
danych oraz spójności logicznej rozwiązania.
Klucz do sukcesu
Jakość nigdy nie jest dziełem przypadku.
Zawsze jest wynikiem celowej działalności.
John Ruskin
Sukces firmy jest uzależniony od wielu czynników.
Nie wdając się w spór dotyczący roli zarządzania
większość z nas zapewne zaakceptuje tezę,
34
iż decyzje podejmowane na podstawie racjonalnych
przesłanek mają większą szansę realizacji
pokładanych w nich nadziei. W branży IT oznacza
to, że o przyszłości firmy może decydować jakość
i wiarygodność danych.
Wpływ jakości danych na łańcuch informacyjny
jest powszechnie znany od początku przetwarzania
danych na dużą skalę. Ostatnie lata to nie
tylko lawinowy wzrost ilości danych, zdolność
do racjonalnego ekonomicznie przetwarzania
ich olbrzymich ilości z wysoką wydajnością,
ale i fundamentalna zmiana zarówno
rodzaju danych jak i celu przetwarzania.
Wysoka dostępność danych prowadzi do ich
bezprecedensowej dystrybucji i udostępnienia,
ale też i braku zgodności pomiędzy celem
tworzenia zbiorów danych i ich późniejszym
wykorzystaniem.
Zmiany te powodują, że kwestionowane jest
tradycyjne podejście i rozwiązania zarządzania
danymi w ogóle, zwłaszcza zaś kontrola
jakości danych. Kwestia jakości danych musi
być przewidziana w całym cyklu życia danych,
zarówno pod względem dostosowania ładu
korporacyjnego jak i aspektów technicznych.
Stan obecny jest daleki od pożądanego.
Przykłady z rynku amerykańskiego:
•zamach terrorystyczny w Detroit wykazał,
że służby odpowiedzialne za bezpieczeństwo
obywateli nie wymieniały danych o zagrożeniach
i nie aktualizowały zasobów informacji
o infrastrukturze;
•system ostrzegania przed zagrożeniami
w Nowym Orleanie działał na podstawie danych
aktualnych w chwili jego instalacji na dwie
dekady przed huraganem, zaś informacje GIS
były w dużej części nieprawdziwe.
Aktualna sytuacja spowodowana jest kombinacją
kilku czynników:
•brak jest jasno zdefiniowanych analiz
jakości danych opisanych w kategoriach
kosztów i korzyści;
•występują społeczne, zarządcze i strukturalne
przyczyny utrudniające zmianę (np. w większości
przedsiębiorstw za jakość danych odpowiadają
komórki IT, które nie są właścicielem tworzących
dane procesów, a tym samym mają ograniczony
wpływ na ich zmianę);
•właściwości danych są odmienne od cech
innych aktywów, co nie zawsze znajduje
odzwierciedlenie w realizowanych przez
organizacje programach poprawy jakości danych (np. koncentrując się na trendach
małe znaczenie przykłada się do indywidualnych cech danych firmy,
które częstokroć są źródłem wiedzy
o potencjalnej przewadze konkurencyjnej).
Podsumowując konieczna jest budowa spójnego
systemu zarządzania danymi, zgodnego
z wymaganiami modeli biznesowych, strategii
oraz struktur organizacyjnych firmy czerpiącej
wymierne korzyści biznesowe z wykorzystania
uzyskanej z danych wiedzy. System taki ma
szanse wyeliminowania zagrożeń spowodowanych
wnioskowaniem na podstawie nieaktualnych
i/lub błędnych danych.
Prawa rynku
Ignorowane fakty nie znikają.
Aldous Huxley
Firmy tworzące oprogramowanie rozwijają je
zgodnie z potrzebami użytkowników oraz zasadami
ekonomicznymi. Rzeczywiste znaczenie tego
stwierdzenia dociera do osób odpowiedzialnych
za bezpieczeństwo IT na ogół w związku
z rozbieżnością ich wyobrażeń i praktyki.
Procedura doboru do wdrożenia pożądanych
cech oprogramowania realizowana jest
z uwzględnieniem znaczenia zgłaszających je
klientów. W pierwszej kolejności akceptowane są
potrzeby kluczowych klientów. Wbrew pozorom
nie oznacza to klientów z najpoważniejszych firm,
bądź firm prezentowanych przez producenta
jako przykład sukcesu. O rozwoju produktu
decydują klienci z sektora o najwyższej
sprzedaży. Oczywiście o ile oczekiwana przez
nich cecha produktu nie koliduje ze strategią
rynkową producenta.
Doskonałym przykładem wpływu polityki rozwoju
produktu na bezpieczeństwo IT jest wielokrotnie
zgłaszany producentom problem obsługi
plików aplikacji CAD. Jedną z podkreślanych
zalet zastosowania oprogramowania CAD jest,
przynajmniej teoretycznie, możliwość
wykorzystania uprzednio wykonanych opracowań
w nowych pracach oraz łatwość nanoszenie
poprawek i zmian. W praktyce przeciętnie
co 3-4 wersje oprogramowania ulega zmianie
format zapisu plików danych, a w konsekwencji
użytkownik traci możliwość edycji plików
archiwalnych bez wykonywania kosztownego
procesu konwersji. Zmiana wersji zapisu plików
wynika wyłącznie z potrzeby eliminowania
przetwarzania danych przez aplikacje konkurencji
i nie przynosi klientowi jakichkolwiek korzyści.
Co więcej jedynie 10% użytkowników tej kategorii
oprogramowania produkuje wyroby o wieloletnim
cyklu życia, 90% nie jest zainteresowana
przechowywaniem dokumentacji. W konsekwencji
powracamy do przechowywania rysunków
technicznych w plikach graficznych pozbawionych
zapisu informacji o cechach projektu.
Równie mało znanym zagadnieniem jest
zagrożenie wynikające z zastosowania aktualnych
technik druku i współczesnego papieru oraz
kalki. W przypadku zastosowania standardowych
rozwiązań producenci gwarantują czytelność
35
wydruków przez 5 lat. Dla firm prawnie
zobowiązanych do przechowywania dokumentów
znacznie dłużej to poważny problem. Niemieckie
biura notarialne wykorzystują specjalny
bezkwasowy papier o żywotności wydruku
do 50 lat. Niestety jego cena jest wielokrotnie
wyższa od ceny materiałów standardowych.
Ciekawe czy za 100 lat nasze archiwa
wypełnione będą zbiorami dzieł z czasów
przedinformatycznych oraz białymi kartkami
wydruków i przestarzałymi nośnikami danych
zapisanymi w nieczytelnych formatach. Już dzisiaj
jestem w stanie wskazać archiwum przechowujące
dyskietki 5 1/4” z tekstami zapisanymi
w formacie Chi-writera. Dla bezpieczeństwa
w 2 egzemplarzach.
Wartość ekonomiczna bezpieczeństwa
Jeśli uważasz, że technologia może rozwiązać problemy
związane z bezpieczeństwem, to nie rozumiesz
problemów i nie rozumiesz technologii.
Bruce Schneier
Kolejne prawo bezpieczeństwa głosi, że środki
przeznaczone na zapewnienie bezpieczeństwa
powinny być adekwatne do wartości chronionego
zasobu. Oczywisty wyjątek stanowi ochrona
bezpieczeństwa wynikająca z realizacji obowiązku
ustawowego, dla którego kryteria oceny
wykraczają poza czystą ekonomię.
Warto podkreślić, że poziom finansowania
bezpieczeństwa wynika z oceny ryzyka
i strategii firmy oraz powinien uwzględniać
koszt ochrony wynikający z potrzeb konkretnej
architektury i technologii. Oznacza to, że tworząc
architekturę systemu IT powinniśmy uwzględnić
zarówno poziom zagrożenia, jak i możliwości
finansowe firmy.
36
Roztropnie jest na wstępie rozróżnić podział
zagrożeń na ogólne oraz celowo ukierunkowane
na nasze zasoby. Ochrona przed zagrożeniami
ogólnymi (wirusy, robaki internetowe,
niefrasobliwość pracowników) realizowana jest
rutynowo, zagrożenia indywidualne wymagają
budowy odpornego systemu IT począwszy
od etapu koncepcji. Procedury bezpieczeństwa
ogólnego powinny czynić atak na nasze zasoby
nieopłacalnym, procedury ochrony przed atakami
celowymi przede wszystkim powinny określić
akceptowalny poziom ryzyka.
Ekonomia ochrony przed zagrożeniami rutynowymi
przypomina zatem starą anegdotę o zasadach
ucieczki przed niedźwiedziem: nie ma potrzeby
uciekać z prędkością wyższą od prędkości
niedźwiedzia, wystarczy być szybszym
od najwolniejszego z uciekających. W przypadku
ataku dedykowanego niestety uciekamy sami.
Ekonomia bezpieczeństwa IT jest w dużym
stopniu uwarunkowana przez środowisko
otaczające nasze systemy: system prawny, kulturę
i tradycję. Niewłaściwe relacje ekonomicznoprawne częstokroć sprawiają, że koszty braku
bezpieczeństwa nie obciążają tych, którzy mogą
temu zaradzić. Oto kilka przykładów.
•Kraje o silnych prawach klienta odnotowują
znacznie niższą ilość przestępstw związanych
z bankomatami. Prawa klienta w USA powodują,
że kosztami incydentu związanego
z bankomatem obciążają klienta wyłącznie
w przypadku, gdy bank potrafi wykazać jego
złą wolę. W Wielkiej Brytanii i Holandii koszty
ponosi klient, chyba że potrafi sądownie wykazać
zaniedbania banku. Banki amerykańskie dbają
o bezpieczeństwo transakcji bankomatowych,
więc przestępstw jest niewiele. Dla banków
w Wielkiej Brytanii i Holandii podwyższenie
bezpieczeństwa nie jest racjonalne ekonomicznie,
więc ten rodzaj przestępczości jest powszechny.
•Rodzina niepewnych systemów operacyjnych
jest międzynarodowym standardem, zaś skutki
gospodarcze tej niepewności w dużej mierze
nie obciążają producenta, lecz jego klientów.
Dla producenta tych systemów operacyjnych,
szkolenia omawiające ich wzmacnianie są
dodatkowym źródłem dochodu.
Badania wskazują również na znaczny wpływ
poziomu konkurencji rynkowej na zmiany poziomu
bezpieczeństwa IT. Dobrym przykładem jest branża
medyczna. Ochrona danych osobowych ulega
widocznemu pogorszeniu wraz ze zwiększeniem
konkurencji rynkowej w branży. Oznacza to,
że dane osobowe w szpitalach i przychodniach
prywatnych są bardziej zagrożone niż w oskarżanej
o bałaganiarstwo publicznej służbie zdrowia.
Przyczyna? Podczas oceny jakości szpitala klienci
w dużej mierze ignorują bezpieczeństwo IT
i ochronę danych, koncentrując się na aspektach
jakości usług medycznych i hotelowych.
Oznacza to, że relatywnie więcej środków zostanie
przeznaczonych na bezpieczeństwo danych
w publicznej służbie zdrowia niż w instytucjach
rynkowych, w których bezpieczeństwo IT konkuruje
o środki z inwestycjami w jakość leczenia
i komfort usług hotelowych.
Z ekonomicznego punktu widzenia typowe
metody organizacyjne rozwiązywania problemu
bezpieczeństwa IT są częstokroć nieracjonalne.
Większość dużych przedsiębiorstw w celu
przeciwdziałania zagrożeniom bezpieczeństwa
powołuje dział/grupę „bezpieczeństwa”, której
zadaniem jest ochrona krytycznych zasobów
przedsiębiorstwa. Zapewne nikogo nie dziwi,
że działy te rutynowo opracowują analizy
zagrożeń, z których wynika konieczność
podnoszenia nakładów na eliminację ryzyka.
Co więcej, wiele z proponowanych dodatkowych
zabezpieczeń w rzeczywistości obniży poziom
bezpieczeństwa, w wyniku zwiększenia
złożoności systemu.
Przewidywania
Przewidywanie jest bardzo trudne,
zwłaszcza, jeśli chodzi o przyszłość.
Niels Bohr
Przyszłość nie jest prostą ekstrapolacją dzisiejszych
trendów. Skuteczna ochrona wymaga jednak
podejmowania decyzji z wyprzedzeniem.
Bodajże najważniejszą oczekującą nas zmianą
technologiczną, o krytycznym wpływie na budowę
bezpieczeństwa IT, będzie stopniowa eliminacja
aktywności użytkownika. Należy się spodziewać
licznych implementacji sztucznej inteligencji
w postaci agentów softwarowych, realizujących
akcje w imieniu i z uprawnieniami użytkownika.
Typowe zastosowania to priorytetyzacja informacji,
realizacja standardowych zamówień oraz
nadzór nad aktywnością.
Na płaszczyźnie prawno-biznesowej nadchodzi era
korporacji transnarodowych. Budowana jako element
neokonserwatywnego modelu demokracji triada
prywatyzacji, deregulacji i liberalizacji zapewniła
swobodę umiędzynarodowienia działalności
gospodarczej. Korporacje transnarodowe będą
podstawowym czynnikiem sprawczym wpływającym
na rozwój gospodarczy i społeczny świata. Wpływ
na interesujące nas zagadnienie bezpieczeństwa IT
będą miały, wprowadzane w wyniku ich starań,
zmiany w klasycznym ładzie prawnym. Nasilą się
dwie tendencje. Jedna z nich, polega na przenoszeniu
tradycyjnych roszczeń cywilno-prawnych do zakresu
przestępstw ściganych z oskarżenia publicznego
(ochrona licencyjna na podstawie majątkowych
praw autorskich). Wystąpi również nasilenie dążenia
do zastąpienia prawa, będącego w domenie
władczej państwa, postępowaniem arbitrażowym,
niepodlegającym konwencjonalnym demokratycznym
zabezpieczeniom sądowym ani kontroli publicznej.
Metodą realizacji tego celu są umowy o wolnym
handlu i inne formy liberalizacji handlu światowego.
37
Konkluzja
Wartość pomysłu leży w jego użyciu.
Thomas A. Edison
Bezpieczeństwo nie jest pojęciem abstrakcyjnym.
Bezpieczeństwo można określić jedynie w stosunku
do czegoś innego. Można być bezpiecznym od
czegoś lub przeciw czemuś. Tradycyjna definicja
bezpieczeństwa IT, jako ochrony przed atakami
hakerów, przestępców i innych „złych mocy”
przeszła radykalną zmianę. Zadaniem
bezpieczeństwa nie jest już ochrona przed
zagrożeniami, nowy sens to ochrona firmy i jej
modelu biznesowego. Pytanie, czy kosztem
człowieka? Współczesna cywilizacja bazuje
na działaniu systemów informatycznych, toteż
rezygnacja ze stawiania im jasno określonych
wymagań bezpieczeństwa nie jest już wyłącznie
zagadnieniem ryzyka finansowego, lecz kondycji,
a może nawet przetrwania gatunku.
Jan Michałowicz
Specjalista w dziedzinie budowy innowacyjnie zorientowanych systemów zarządzania oraz ekspert kreatywnego wykorzystania
technologii komputerowych. Autor publikacji z zakresu bezpieczeństwa, zastosowania metod teorii chaosu w strategii
innowacji oraz społecznej roli technologii informacyjnej. Uczestnik krajowych i międzynarodowych konferencji i sympozjów
poświęconych badaniu wpływu technologii na politykę, rząd i społeczeństwo. Aktywny jako ekspert holistycznej analizy
procesów i zarządzania, konsultant w obszarach inżynierii, marketingu i optymalizacji procesów obsługi. Doradca z dziedziny
E&R Management. Wieloletni CIO w przemyśle obronnym, uczestnik programów rządowych. Współzałożyciel i CEO Innovation
Experts sp. z o.o. – firmy, która wyznacza nowe standardy stosowania metod, systemów i narzędzi w celu trwałej poprawy
wyników biznesowych Klientów.
38
Business
Intelligence
Człowiek w IT
Mądrość i piękno
informacji
Cloud 2013
1
1
1
Raporty i ich omówienia na portalu it-manager.pl
39
Na bezpieczeństwo spójrzmy „z góry”
Radosław Kaczorek, IMMUSEC
Najstarsza fotografia Ziemi widzianej z kosmosu
ma zaledwie 68 lat. Wykonano ją 24 października
1946 roku na 35 mm błonie filmowej, z pokładu
rakiety V-2, która wzbiła się na wysokość ponad
100 km, a następnie spadła gdzieś w stanie Nowy
Meksyk. Wtedy właśnie pierwszy raz spojrzeliśmy
na Ziemię „z góry”. Trzeba było poczekać 22 lata,
aż do 21 grudnia 1968 roku, żeby zobaczyć
Ziemię jeszcze bardziej „z góry”. Wtedy właśnie
wystartowała pierwsza załogowa misja w kierunku
Księżyca – Apollo 8. Przez cztery kolejne lata
programu Apollo prowadzonego przez NASA
w kierunku Księżyca poleciało jeszcze 9 misji.
W trakcie każdej z nich wykonano wiele fotografii.
W tamtych latach zaczęliśmy patrzeć na Ziemię
„z góry” i przyglądać się, uczyć, analizować,
porównywać, wyciągać wnioski.
Pierwsza światowa organizacja skupiona
na problemach środowiska naturalnego,
International Union for Conservation of Nature
(IUCN), powstała w 1948 roku. Misją IUCN
jest wpływanie, zachęcanie i pomaganie
społeczeństwom całego świata w dziele ochrony
integralności i różnorodności przyrody oraz
osiągnięcie sprawiedliwego i ekologicznie
zrównoważonego korzystania z zasobów
naturalnych. W czasie kiedy NASA latała w kosmos
badacze przyrody i środowiska naturalnego
odkrywali tajemnice znacznie bardziej przyziemne.
Zaniepokojeni wysokim stopniem eksploatacji
zasobów naturalnych i podwojeniem liczby
ludności na świecie w ciągu zaledwie jednego
wieku (1262 mln w 1850 r. vs 2519 mln w 1950 r.),
naukowcy postanowili zbadać wpływ człowieka na
środowisko naturalne. Przez wiele lat organizowano
wyprawy w różne zakątki świata, wykonywano
fotografie, pomiary, porównania i analizy, badano
mikroświat, wyciągano wnioski.
W 1960 roku spotkały się te dwa nurty naukowe,
badań kosmosu i badań przyrodniczych. W efekcie
tej naukowej fuzji w przestrzeń kosmiczną
40
wysłany został pierwszy satelita meteorologiczny,
który nosił nazwę TIROS 1. Satelita pracował
tylko 78 dni, do 15 czerwca 1960 r., ale w tym
czasie przesłał na Ziemię blisko 23 tysiące
zdjęć, które otworzyły nową erę w badaniach
meteorologicznych i przyrodniczych. Właściwie
wiele wykonanych przez satelitę zdjęć była złej
jakości, ale jedno jest pewne – TIROS 1 pozwolił
naukowcom spojrzeć „z góry”.
Spojrzenie „z góry” jest jedną z najważniejszych
umiejętności w historii postępu cywilizacyjnego.
To właśnie przyjęcie nowej perspektywy pomaga
ludziom nauki od wieków w zrozumieniu świata
i rządzących nim praw. Pozostaje tylko pytanie
co to wszystko ma wspólnego z bezpieczeństwem
informacji. Otóż ma, znacznie więcej niż można
przypuszczać.
Historia Internetu zaczyna się 29 października
1969 roku, kiedy to w Uniwersytecie Kalifornijskim
w Los Angeles zainstalowano pierwsze węzły
sieci ARPANET. 14 lat później, w listopadzie
1983 roku Fred Cohen prezentuje pierwszą
koncepcję wirusa dla systemu UNIX, który w ciągu
kilku minut uzyskuje pełne prawo dostępu
do plików na zainfekowanych komputerach.
Zaledwie 3 lata później, w 1986 roku w Pakistanie
powstaje pierwszy na świecie wirus infekujący
komputery osobiste, o nazwie Brain. Wirus
ten rozprzestrzenia się poprzez studentów na
uczelniach wyższych w USA. Dalej było już tylko
gorzej – Michelangelo (1991), Love Letter (2000),
Code Red (2001), Sasser (2004), Confiker (2008),
Stuxnet (2010)... Niezależnie od nurtu złośliwego
oprogramowania doskonale ma się również nurt
analityków bezpieczeństwa, crakerów, hakerów
i cybergeeków, którzy wykorzystując swoją wiedzę
i doświadczenie atakują instytucje i organizacje.
Przyświeca im różna motywacja, ale za każdym
razem obnażają słabości systemów i zabezpieczeń.
Vladimir Levin w 1994 roku za pomocą komputera
zdobywa dostęp do kont bankowych klientów
Citibank i uszczupla ich rachunki o ponad dziesięć
milionów dolarów. W 1999 roku Jonathon James,
16 latek znany pod pseudonimem c0mrade,
włamuje się do NASA i pobiera na swój
komputer oprogramowanie przeznaczone
dla Międzynarodowej Stacji Kosmicznej.
Tego co dzieje się w świecie zagrożeń dla
bezpieczeństwa informacji po 2000 roku
nie sposób spisać. Mamy do czynienia
z gwałtownym wzrostem ryzyka w zakresie
bezpieczeństwa informacji przy wybuchowej
dynamice, wprost powiązanej z tempem
rozpowszechniania się technologii i środków
przetwarzania informacji. Ilość urządzeń,
które nas otaczają, coś o nas wiedzą, coś dla nas
robią albo w czymś nam pomagają uzasadnia
obawę, że sytuacja wymyka się spod kontroli.
Gąszcz detali i szczegółów, na poziomie bitów
i bajtów uniemożliwia nam zdrową ocenę sytuacji.
Czas na spojrzenie „z góry”.
Historia bezpieczeństwa informacji ma tyle
samo lat co historia zagrożeń. W latach 80-tych
pojawiły się pierwsze wirusy i właśnie wtedy
powstały też pierwsze programy antywirusowe
i firmy zajmujące się bezpieczeństwem informacji
np. Symantec (1982), McAfee (1987).
W tym samym czasie formują się pierwsze
grupy pasjonatów komputerów i przełamywania
zabezpieczeń np. CCC (1981), Warelords (1981),
KILOBAUD (1983), powstaje też pierwszy CERT
(1988). Jednocześnie temat bezpieczeństwa
uzyskuje uwagę widzów dużego ekranu, którzy
w filmie War Games (1983) mogli pierwszy raz
zobaczyć jakie mogą być skutki braku właściwych
zabezpieczeń. Na mnie to zrobiło wrażenie.
Może dlatego ten temat mnie pociąga do tej pory.
W czerwcu 2014 roku rozmowa o bezpieczeństwie
informacji nie cichnie. Informacji w każdej formie
- wypowiedzianej, zapamiętanej, utrwalonej na
dowolnym nośniku, analogowo lub cyfrowo.
Wartość informacji lub braku informacji rośnie,
a to jest wystarczająca motywacja dla wielu
osób, żeby poświęcić środki i ponieść ryzyko,
dla osiągnięcia korzyści z tego wynikających.
Kolejne afery ujawniające poufne informacje
i bezradność służb specjalnych w zapewnieniu
odpowiedniego poziomu bezpieczeństwa,
kolejne włamania do systemów obnażające
luki zabezpieczeń, kolejne spektakularne
kradzieże danych i tożsamości użytkowników.
Ilość incydentów bezpieczeństwa zgodnie
ze wszystkimi raportami wykazuje trend rosnący,
z dynamiką rzędu 60% rok do roku, przy
jednoczesnym wzroście skutków tych incydentów.
W 2013 roku na skutek incydentów bezpieczeństwa
ujawnione zostały dane ponad 500 milionów
osób na całym świecie, dwa razy więcej niż
w 2011 roku. Ilość podatności w systemach
informatycznych rośnie lawinowo i jest powiązana
z ilością wytworzonego oprogramowania.
Niekończąca się wojna, z niezliczoną liczbą bitew.
Czas na spojrzenie „z góry”.
Kiedy nabierzemy dystansu do obecnej sytuacji,
zdamy sobie sprawę, że w dziedzinie badań nad
bezpieczeństwem informacji nadszedł czas na
fuzję nurtu technologicznego i nurtu zarządzania.
Wiemy już, że bezpieczeństwo informacji to nie
stan, ale ciągły proces. Powinniśmy już wiedzieć,
że organizacja nieświadoma zagrożeń i swoich
podatności, nie identyfikuje incydentów i nie
uczy się, a w efekcie nie doskonali się i nie buduje
odporności na zagrożenia. Czy jesteśmy gotowi,
żeby powiedzieć, że bezpieczeństwo informacji to
nie jest zadanie IT?
W chmurze tagów na stronie głównej it-manager.pl
„bezpieczeństwo informacji” jest drugim
najpopularniejszym tagiem, zaraz po „Trendy IT”
i... ex aequo z „zarządzanie zespołem”.
Może to efekt nośnych medialnie incydentów
bezpieczeństwa i włamań, a może skutek
dojrzewającej świadomości zagrożeń związanych
41
z technologią i Internetem rzeczy wśród
managerów? Współczesny manager, obok realizacji
celów biznesowych, zobowiązany jest sprawować
ciągły nadzór nad procesem zarządzania oraz
ryzykiem związanym z przyjętymi celami.
Jednym z obszarów ryzyka, z którym mierzy się
każdy manager bez względu na sektor, branżę
czy rodzaj działalności firmy jest bezpieczeństwo
informacji. Czy manager może osiągnąć cel
biznesowy nie ponosząc ryzyka związanego
z bezpieczeństwem informacji? Oczywiście, że nie.
To jest ryzyko tego managera i dlatego właśnie
jest on właścicielem ryzyka. Jeśli wyposażymy
go również w zasoby, dzięki którym może
oddziaływać na poziom ryzyka, a całość
uzupełnimy o system pomiaru i monitorowania,
to stworzymy podstawy ładu i nadzoru
w zarządzaniu bezpieczeństwem. Zacząć trzeba
jednak od samego początku, czyli zbudowania
świadomości i zdemitologizowania tematu.
Rozwiązaniem jest zbudowanie przemyślanego,
spójnego z wymaganiami firmy i zachodzącymi
w niej procesami biznesowymi systemu
zarządzania bezpieczeństwem informacji,
który zapewnia, że informacja jest chroniona
odpowiednio do swojej wartości. Doskonałą
wskazówką i jednocześnie wzorcem dla takiego
systemu zarządzania jest norma ISO/IEC 27001,
która pozwala opracować i wdrożyć skuteczne
zabezpieczenia dla informacji i chronić się przed
ryzykiem utraty jej poufności, integralności
i dostępności. Po wdrożeniu systemu zarządzania
firma może uzyskać certyfikat zgodności z normą
ISO/IEC 27001. Ponad wszelką wątpliwość
podnosi to jej wartość, a w wielu przypadkach
stanowi o możliwości współpracy z klientami,
którzy mają coraz większe wymagania wobec
swoich dostawców. Obecnie dostawcy dla sektora
finansów publicznych oraz sektora finansowego,
zarówno w Polsce i na świecie, muszą spełniać
szereg wymagań, w tym w zakresie bezpieczeństwa
informacji. Jednym z najbardziej efektywnych
42
sposobów spełnienia tych wymagań jest właśnie
wdrożenie i certyfikacja za zgodność z normą
ISO/IEC 27001.
Koncepcja zarządzania bezpieczeństwem informacji
zawarta w normie ISO/IEC 27001 została
wprost wykorzystana m.in. w Rozporządzeniu
o Krajowych Ramach Interoperacyjności, które
wprowadza obowiązek ochrony informacji
przez wszystkie podmioty świadczące usługi
publiczne, oraz normach i rekomendacjach
branżowych np. nowe rekomendacje D i M
Komisji Nadzoru Finansowego. W każdym
z przytoczonych przykładów, nawet niewprawne
oko dostrzeże, że XXI wiek to era zarządzania
usystematyzowanego, opartego na zdefiniowanym
podejściu, optymalizującego zasoby,
a co najważniejsze uwzględniającego
ryzyko i potencjał ciągłego doskonalenia.
Zarządzanie bezpieczeństwem informacji powinno
być integralnym elementem codziennej działalności
firmy. W podejściu systemowym do zarządzania
należy uporządkować działania np. zgodnie
z cyklem Deminga, na który składają się fazy
planowania, realizacji, weryfikacji i działania.
Podobnie jak planujemy i budżetujemy działalność
podstawową, powinniśmy planować działania
i wydatki na bezpieczeństwo. W taki sam sposób
jak realizujemy i nadzorujemy podstawowe procesy
biznesowe, powinniśmy zapewnić realizację zadań
z zakresu bezpieczeństwa informacji. Następnie
należy weryfikować czy osiągnięte rezultaty są
zgodne z założeniami, a tam gdzie to niezbędne
wprowadzać usprawnienia i działać, zapewniając
ciągłe doskonalenie całego systemu zarządzania.
Niezwykle istotnym elementem systemu zarządzania
jest audyt, wewnętrzny lub zewnętrzny. Audyt
bezpieczeństwa często kojarzony jest wyłącznie
z analizą i oceną systemów informatycznych na
poziomie technicznym. Należy jednak pamiętać,
że za tym pojęciem kryje się znacznie więcej.
Audyt bezpieczeństwa to przede wszystkim
ocena procesu zarządzania, a dopiero
w następnej kolejności audyt technologiczny.
Takie podejście zapewnia nie tylko chwilową
poprawę bezpieczeństwa, ale również buduje
zdolność do utrzymania założonego poziomu
bezpieczeństwa w długim okresie czasu.
Audyt jako funkcja zapewniająca ma na celu
systematyczną, niezależną i obiektywną ocenę
organizacji, procesu zarządzania, systemów
informatycznych, projektów lub produktów
i usług. Taka pozycja czyni z audytu doskonałe
narzędzie zarządzania, o którym współcześni
managerowie często zapominają lub nie chcą
z niego korzystać ze względu na brak zrozumienia
jego podstawowej roli w procesie zarządzania.
Podstawowym celem audytu jest dostarczenie
interesariuszom racjonalnego zapewnienia
co do stanu rzeczy w badanym obszarze.
Interesariuszem w takim przypadku może być
zarząd lub rada nadzorcza, które mogą być
zainteresowane poznaniem stanu faktycznego
w konkretnym obszarze organizacji, może nim
być również właściciel, kontrahent lub klient,
ale może nim być przecież sam manager.
W przypadku bezpieczeństwa informacji,
dziedziny która dotyka zaawansowanych
technologii i skomplikowanych scenariuszy
zagrożeń, audyt pozwala w podstawowym
stopniu uzyskać zapewnienie co do stanu
bezpieczeństwa kluczowych informacji i systemów
wykorzystywanych w firmie. Obiektywizm
i niezależność audytora w tym przypadku są
podstawowym sposobem na zapewnienie
wiarygodnej oceny stanu faktycznego oraz
zapewniają prawidłową kontrolę i nadzór nad
często najważniejszymi zasobami, które posiada
firma. Audyt ma przy tym jeszcze jedną zaletę –
pozwala spojrzeć „z góry”.
Radosław Kaczorek
CISA, CIA, CISSP, CRISC
Prezes Zarządu IMMUSEC. Audytor systemów informatycznych, ekspert w dziedzinie ładu i nadzoru w informatyce, zarządzaniu
ryzykiem i bezpieczeństwem informacji. W latach 2005 – 2009 Prezes Zarządu ISACA w Polsce. Współtwórca działów audytu
systemów informatycznych i bezpieczeństwa w KPMG (1998 – 2004) oraz Deloitte (2005 – 2007). W latach 2007 – 2012
juror konkursu Lider Informatyki organizowanego przez Computerworld. Od 2005 roku wykładowca Podyplomowego Studium
„Efektywne Zarządzanie IT w Przedsiębiorstwie” w Szkole Głównej Handlowej w Warszawie.
43
Modelowanie zagrożeń i analiza
ryzyka – podejście praktyka
Janusz Nawrat, Raiffeisen Bank Polska
Niejednokrotnie, kiedy trzeba uzasadnić
adekwatność zastosowanych lub – jeszcze
częściej – planowanych metod i środków
zabezpieczeń do rzeczywistego poziomu ryzyka,
przydaje się wiedza na temat tego jak ryzyko
identyfikować i analizować. Z sytuacją taką
zetkniemy się zwłaszcza wtedy, gdy w grę będą
wchodzić poważniejsze koszty do poniesienia
czy zaangażowanie poważniejszych zasobów
niezbędnych do wdrożenia planowanego
rozwiązania służącego bezpieczeństwu. Wątpię,
by kierownictwo firmy, decydujące o inwestowaniu
w bezpieczeństwo, dało się przekonać samym
faktem istnienia zagrożeń. Budując ‘business
case’ trzeba będzie pewnikiem pokazać wynik
przeprowadzonej zgodnie z regułami sztuki
analizy kosztów w odniesieniu do korzyści
Zagrożenia
zabezpieczają przed
Najpierw zajmiemy się pojęciami podstawowymi,
by jednoznacznie rozumieć, co dokładnie mieści
się w ich zakresie znaczeniowym. Konieczne
staje się nie tylko jednoznaczne zdefiniowanie
tych pojęć na potrzeby dalszych rozważań,
ale także określenie powiązań pomiędzy nimi.
Ułatwieniu tego zadania ma służyć następujący
diagram i później podane definicje terminów
podstawowych:
zwiększają
Podatności
zwiększają
eksponują na ryzyko
Ryzyko
Analiza Ryzyka definiuje
Wymagania Ochrony
44
Ryzyko – pojęcia podstawowe
wykorzystują
Zabezpieczenia
Realizowane przez
i to w perspektywie nie tylko biznesowej, ale także
z punktu widzenia skuteczności zarządzania
rzetelnie zidentyfikowanymi i poprawnie
przeanalizowanymi oraz skwantyfikowanymi
rodzajami ryzyk.
Zasoby
zwiększa
posiadają
Wartość
Ryzyko definiuje się jako prawdopodobieństwo
celowego lub przypadkowego wykorzystania
przez dany czynnik materializujący zagrożenie
(na przykład: człowiek, błędy na poziomie procesów
i systemów, zdarzenia klimatyczne, polityczne
i klęski żywiołowe itp.) określonej podatności
(rozumianej jako luka w bezpieczeństwie) oraz
wpływ materializacji zagrożenia na bezpieczeństwo
i ciągłość funkcjonowania organizacji, jej procesów
czy systemów.
Dla właściwego zrozumienia pojęcia ryzyka,
należy dodatkowo zdefiniować pojęcia zagrożenia,
czynnika materializacji zagrożenia, i podatności.
Pod pojęciem podatności należy rozumieć słabe
punkty lub luki w bezpieczeństwie systemów
i procesów, które mogą zostać przypadkowo lub
celowo wykorzystane (przez czynnik materializacji
zagrożenia) do naruszenia bezpieczeństwa
czy zaburzenia ciągłości działania organizacji,
jej procesów czy systemów.
Zagrożenie należy rozumieć jako możliwość
zaistnienia szkody, skutkiem celowego lub
przypadkowego wykorzystania określonej
podatności. Jego czynnik materializacji zaś,
to czynnik, sytuacja lub metoda materializacji
(ujawnienia) zagrożenia.
Ogólnie można zdefiniować ryzyko jako iloczyn
miar zagrożenia, podatności, wartości potencjalnie
zagrożonych aktywów i prawdopodobieństwa
materializacji zagrożenia.
RISK = asset_value x vuln_ratio x threat_ratio x probability
gdzie:
RISK – ryzyko, asset_value – wartość potencjalnie zagrożonych aktywów,
vuln_ratio – miara podatności, threat_ratio – miara zagrożenia,
probability – miara prawdopodobieństwa materializacji zagrożenia.
Z uwagi na fakt, iż wartość aktywów i miara
zagrożenia określają skutek materializacji
zagrożenia, zaś miara podatności jest powiązana
z prawdopodobieństwem materializacji
zagrożenia, w uproszczonym podejściu można
kwantyfikować ryzyko na podstawie iloczynu
prawdopodobieństwa materializacji zagrożenia
oraz skutków tego zdarzenia.
Na potrzeby tego artykułu przyjęto uproszczone
podejście, zgodnie z którym ryzyko stanowi
wypadkową dwóch czynników:
(1) prawdopodobieństwa materializacji zagrożenia
oraz (2) negatywnych następstw tego faktu.
Proszę zauważyć, że o ryzyku można mówić jedynie
wówczas, gdy te dwa podstawowe czynniki mają
miejsce. Samo zagrożenie nie świadczy o istnieniu
lub mierze ryzyka.
Stopień (miara) ryzyka wynika z oszacowania
znaczenia (wagi) wymienionych elementów
składowych.
45
W celu uczynienia omawianego modelu
użytecznym, należy wycenić wagi kryteriów
podstawowych i konsekwentnie się do nich
odnosić przy ocenie poziomu ryzyka. Przykład
oszacowania poziomów ryzyka został zilustrowany
następującą tabelą:
Prawdopodobieństwo
Następstwa
Niskie
Średnie
Wysokie
Małe
N
N
S
Średnie
S
S
S
Wysokie
W
W
W
Oczywiście, zaproponowany model dotyczy
jakościowego podejścia, właściwego do
zastosowania w takich sytuacjach, kiedy trudno
finansowo skwantyfikować ryzyka. W zilustrowanym
przykładowo modelu stopnia ryzyk, przyjęto
założenie oparte na uznaniu wysokiej wagi
możliwych następstw materializacji zagrożeń.
Dokonując oszacowania ryzyka, należy wziąć
pod uwagę fakt, że istnieje dodatkowo
prawdopodobieństwo wystąpienia efektu kumulacji
ryzyka. Skutkiem tego pojawia się tak zwane
ryzyko zagregowane. Efekt ten występuje w takich
przypadkach, gdy określony czynnik materializacji
zagrożenia wykorzystuje dużą liczbę niewielkich,
pod względem ryzyka, podatności, a kumulując
efekty ich wykorzystania, doprowadza do efektu
sumowania lub spiętrzania się ryzyk cząstkowych
finalnie do dużej skali ryzyka zagregowanego.
Na dalszym etapie procesu podejmowane są
decyzje odnośnie sposobów postępowania
z ryzykiem.
46
Istnieją następujące sposoby postępowania
z ryzykiem:
•Transfer ryzyka (w przypadku, gdy koszt
zabezpieczeń jest nieuzasadniony ekonomicznie,
stosuje się transfer ryzyka na podmioty
zewnętrzne: ubezpieczyciela lub outsourcera);
•Akceptacja ryzyka (stosowana w przypadku
braku efektywnych zabezpieczeń, ich
nieadekwatnym koszcie do wartości aktywów
lub w sytuacji wystąpienia możliwości akceptacji
ryzyka, z braku przeciwwskazań natury prawnej
lub zgodności z wewnętrznymi standardami
organizacji);
•Minimalizacja ryzyka (implementacja
zabezpieczeń w celu zredukowania ryzyka
do akceptowalnego poziomu i przy zachowaniu
adekwatności kosztów zabezpieczeń do wartości
chronionych aktywów).
Koncepcje wymienionych powyżej rozwiązań
przedstawiono na poniższym rysunku:
i trudniejszych do przeprowadzenia działań
naprawczych (jak na przykład „łatanie” podatności
po incydencie bezpieczeństwa).
Transfer
Akceptacja
RYZYKO
Minimalizacja
Ryzyko pozostałe po zastosowaniu możliwych
i uzasadnionych ekonomicznie środków
(zabezpieczeń, środków przeciwdziałających,
środków kontroli lub przeniesienia części ryzyka)
określa się jako ryzyko szczątkowe (rezydualne).
Modelowanie zagrożeń
Modelowanie zagrożeń jest bardzo ważnym,
pierwszym etapem prac, mających na celu
zapewnienie adekwatnego do zagrożeń i ryzyk,
poziomu bezpieczeństwa systemów. Na bazie
modelu zagrożeń można bowiem dokonać rzetelnej
oceny ryzyk, zgodnie z zasadą, że dopiero pełna
znajomość zagrożeń pozwala dostrzec wszystkie
ryzyka i właściwie nimi zarządzać.
Podstawowym celem modelowania zagrożeń jest
minimalizacja kosztów środków zabezpieczeń
przy założonym, określonym poziomie ich
skuteczności. Cel ten osiąga się przez zaplanowanie
i wykonanie ich wdrożenia na – możliwie – jak
najwcześniejszych etapach cyklu rozwoju systemu
(SDLC – System Development Life Cycle), kiedy jest
to nie tylko ekonomicznie korzystniejsze (tańsze),
ale także prostsze do wykonania, zanim pojawi
się potrzeba mniej ekonomicznie korzystnych
Zagrożenia, jako elementy obiektywnej
rzeczywistości istnieją i będą istniały zawsze.
W celu oszacowania odpowiadających im
poziomów ryzyk, należy skoncentrować
się na analizie czynników materializacji,
istotności zagrożenia, prawdopodobieństwie
jego materializacji i skutków tego zdarzenia.
Ryzyko bowiem może być niewielkie nawet
w sytuacji poważnego zagrożenia, jeśli
prawdopodobieństwo jego materializacji
czy rozmiar skutków materializacji pozostają
na niskim poziomie.
Na bazie rzetelnie i metodycznie przeprowadzonej
analizy ryzyka, podejmowane są krytyczne
decyzje odnośnie środków i sposobów zarządzania
ryzykiem. Błędne decyzje mogą prowadzić,
na przykład, z jednej strony do zastosowania
niedostatecznie skutecznych środków zaradczych
(niedoszacowanie ryzyka), z drugiej natomiast
do ponoszenia przez organizację nadmiernych,
nieuzasadnionych poziomem ryzyka, kosztów
z tytułu wdrożenia i utrzymania środków
zaradczych (przeszacowanie ryzyka). Bardzo istotne
pozostaje zatem poznanie zagrożeń oraz analiza
ryzyka od kątem prawdopodobieństwa
materializacji i tego skutków.
Nie ma jedynie słusznego podejścia do
modelowania zagrożeń. Wybór metod, spośród
dostępnych i udokumentowanych, powinien
zawsze być dostosowany do specyfiki biznesu
konkretnej organizacji oraz do założeń i oczekiwań
względem oceny ryzyka. Nawet jeśli przyjmie
się określoną metodykę, czasem warto ją
zmodyfikować, a przede wszystkim uprościć,
bo klarowne procesy łatwo jest przełożyć na język
praktyki. Taką też, uproszczoną metodę opisuję
w dalszej części artykułu.
47
W pierwszym etapie modelowania zagrożeń należy
dokonać (1) analizy założeń i celów w obszarze
bezpieczeństwa systemu i procesów od niego
zależnych.
W drugim etapie ważna jest (2) dekompozycja
procesów realizowanych przez systemy oraz –
w dalszej kolejności – analiza wszystkich etapów
procesów. Analizę należy przeprowadzić pod
kątem miejsc przetwarzania i przepływów danych
w systemach. Przy tej okazji należy dokonać
identyfikacji potencjalnych punktów materializacji
ryzyk w tych przepływach.
W trzecim etapie procesu dokonywana jest
(3) identyfikacja zagrożeń. Jej celem jest
zidentyfikowanie wszystkich potencjalnych
zagrożeń, których materializacja może spowodować
ryzyka finansowe, prawne, reputacyjne oraz ryzyka
niegodności ze standardami bezpieczeństwa
i nieciągłości działania itp.
•Przejęcie i podszycie się pod czyjąś tożsamość
(Spoofing Identity)
•Manipulowanie danymi (Tampering with Data)
•Zaprzeczanie autorstwu operacji (Repudiation)
•Ujawnienie informacji (Information Disclosure)
•Ataki odmowy usługi (Denial of Service)
•Podniesienie poziomu uprawnień (Elevation
of Privilege)
Przygotowany tym sposobem model zagrożeń
jest podstawą oceny i zarządzania ryzykiem.
Ocena ryzyka
Podejście ‘attacker-centric’ charakteryzuje
się rozpatrywaniem zagrożeń z punktu
widzenia atakującego, jego potencjalnych
celów, motywacji, sposobów i narzędzi
działania. Podejście ‘asset-centric’ polega zaś
na modelowaniu zagrożeń z perspektywy
aktywów i ich wartości dla organizacji.
Ryzyko należy traktować jako wypadkową
(1) prawdopodobieństwa materializacji zagrożenia
i (2) skutków tego faktu dla organizacji.
Bardzo dobrym narzędziem kwantyfikacji
ryzyka w systemach informatycznych jest
tzw. analiza DREAD. Można ją stosować
zgodnie z zaproponowanym wcześniej
podejściem do kwantyfikacji ryzyk, pamiętając
o zmapowaniu poszczególnych parametrów
DREAD do wspomnianych dwóch czynników
składowych w uproszczonym modelu oceny ryzyk.
O tym, jak również o znaczeniu poszczególnych
parametrów kwantyfikatora DREAD chcę jednak
wspomnieć w dalszej części artykułu.
Możliwe i czasem najkorzystniejsze jest
zastosowanie uproszczonego sposobu
modelowania zagrożeń w oparciu o hybrydowe
podejście, łączące w sobie rozpatrywanie
zagrożeń zarówno z perspektywy atakującego
(‘attacker-centric’), jak i z perspektywy aktywów
organizacji (‘asset-centric’).
1 Na podstawie: “Uncover Security Design Flaws Using
The STRIDE Approach” - Shawn Hernan, Scott Lambert
and Tomasz Ostwald and Adam Shostack
Na potrzeby przygotowania modelu zagrożeń,
warto na początek przyjąć założenie odnośnie
sposobu modelowania. Mamy do dyspozycji
co najmniej dwa podejścia, ogólnie określane
jako ‘attacker-centric’ i ‘asset-centric’.
48
Do klasyfikacji zagrożeń można przyjąć własne
kryteria lub jeden z dostępnych modeli,
na przykład model STRIDE1, w którym zagrożenia
są kategoryzowane według przynależności
do następujących grup:
Kwantyfikator DREAD stanowi ogólną miarę
ryzyka. Wyliczany jest on następująco:
DREAD = (<DAMAGE> + <REPRODUCIBILITY> + <EXPLOITABILITY> +
<AFFECTED USERS> + <DISCOVERABILITY>) / 5
Kwantyfikator ryzyka posiada zawsze wartość
zawierającą się w przedziale od 0 do 10, gdzie
najwyższa wartość oznacza największe ryzyko.
Poniżej znajduje się proponowana skala
kwantyfikacji do każdego czynnika oceny ryzyka
(DAMAGE, REPRODUCIBILITY, EXPLOITABILITY,
AFFECTED USERS, DISCOVERABILITY)
Poziom strat (DAMAGE)
W przypadku, kiedy dojdzie do materializacji
zagrożenia, jakie są spodziewane straty?
•1 = Pomijalne straty lub brak strat
•5 = Średnia strata, strata dotycząca
pojedynczego użytkownika
•10 = Duża strata, na przykład całkowite
zniszczenie systemu lub danych
Łatwość odtworzenia ataku/materializacji
zagrożenia (REPRODUCIBILITY)
Jak łatwo można powtórzyć atak czy spowodować
ponowną materializację zagrożenia?
•1 = Bardzo trudno lub jest to wręcz niemożliwe,
nawet dla użytkownika posiadającego
przywileje administratora.
•5 = Wymagane jest wykonanie jednej lub kilku
czynności oraz często posiadanie odpowiednich
autoryzacji.
•10 = Wystarcza przeglądarka internetowa
lub interfejs klienta aplikacji bez dodatkowych
narzędzi i bez konieczności uwierzytelnień
użytkownika.
Poziom trudności ataku, poziom trudności
spowodowania materializacji zagrożenia
(EXPLOITABILITY)
Co jest wymagane do skutecznego
przeprowadzenia ataku czy spowodowania
materializacji zagrożenia?
•1 = Zaawansowane umiejętności techniczne,
duża wiedza programistyczna, zaawansowana
wiedza na temat protokołów sieci i architektury
systemów, własne lub skomplikowane technicznie
narzędzia do przeprowadzenia ataków.
•5 = Szkodliwe oprogramowanie dostępne
w Internecie, gotowe i łatwe w użyciu wytrychy,
powszechnie dostępne narzędzia do testów
bezpieczeństwa.
•10 = Tylko oprogramowanie typu przeglądarka
lub narzędzia systemu operacyjnego dostępne
z linii poleceń powłoki systemowej.
Poszkodowani użytkownicy (AFFECTED USERS)
Ilu użytkowników jest poszkodowanych?
•0 = Brak
•5 = Niektórzy użytkownicy
•10 = Wszyscy użytkownicy
49
•1 = Zidentyfikowanie zagrożenia/podatności
jest bardzo trudne lub wręcz niemożliwe;
wymaga analizy kodu źródłowego lub/i
dostępu do systemów na prawach
administratora.
Pomocne w mapowaniu parametrów
DREAD do miary prawdopodobieństwa
materializacji zagrożeń i wpływu materializacji
zagrożeń na biznes organizacji, może być
traktowanie czynników ‘Damage’ i ‘Affected
Users’ w kategoriach rezultatu materializacji
zagrożeń, podczas gdy wypadkowej czynników:
‘Reproducibility’, ‘Exploitability’ i ‘Discoverability’
jako miary prawdopodobieństwa materializacji
zagrożeń.
•5 = Możliwe przez śledzenie logów
lub dzienników zdarzeń.
Zakończenie
Wykrywalność (DISCOVERABILITY)
Jak łatwo jest zidentyfikować zagrożenie/
podatność?
•9 = Szczegółowe informacje o podatności
dostępne w specjalistycznych, ogólnodostępnych
serwisach poświęconych bezpieczeństwu
lub dostępnych w sieci Internet serwisach
dostawców oprogramowania/systemów.
•10 = Informacje świadczące o podatności są
widzialne poprzez interfejs oprogramowania.
Jak widać, przeprowadzenie analizy ryzyka
nie jest zadaniem trudnym. Zresztą wszystko
wydaje się trudne dopóki nie stanie się łatwe.
Warto włożyć trochę wysiłku w opracowanie
najlepiej dostosowanego do naszych potrzeb
podejścia, a potem – co ogromnie ważne –
trzymać się go konsekwentnie.
Janusz Nawrat
Szef Departamentu Bezpieczeństwa Informacji i Systemów Informatycznych w Raiffeisen Bank Polska S.A. Praktyk zarządzania
bezpieczeństwem informacji z wieloletnim doświadczeniem sieciowym, systemowym, programistycznym oraz pen-testerskim.
Architekt i projektant technicznych rozwiązań dla bezpieczeństwa. Autor licznych polityk i standardów bezpieczeństwa.
Entuzjasta skryptowych języków programowania, systemów unixowych i technologii sieciowych, łączący wiedzę z zamiłowaniem
do dzielenia się nią z innymi poprzez seminaria, szkolenia i teksty publikowanych artykułów. Posiadacz licznych certyfikatów
branżowych, w tym CISM, CISSP i CRISC.
50
Czy hakerskie sztuczki z Watch Dogs
to tylko fantastyka?
Gra Watch Dogs, która pod koniec maja miała swoją premierę, nadal przykuwa uwagę graczy
i mediów z całego świata. Zainteresowali się nią również eksperci z firmy antywirusowej ESET,
którzy postanowili ocenić czy hakerskie sztuczki, jakimi posługuje się Aiden Pearce, główny
bohater Watch Dogs, są możliwe do zrealizowania we współczesnym świecie.
Chyba każdy wie, że sceny, przedstawiające
łamanie zabezpieczeń przez bohatera kolejnego
kinowego przeboju lub kolejnej gry komputerowej,
nie mają zbyt wiele wspólnego z rzeczywistością.
Wyjątkowo rzadko zdarza się, że złamanie hasła
wymaga od hakera dwóch, góra trzech prób,
metodą na chybił trafił, a kopiowanie wirusa
poprzedza wyświetlenie okna z informacją
„wgrywanie wirusa: 97%”.
Firma ESET od lat kibicuje producentom gier i samym
graczom, organizując dla nich turnieje w Niemczech
i Wielkiej Brytanii. Nic dziwnego, że postanowiła
bliżej przyjrzeć się „rzeczywistości”, jaką ukazuje
najnowsza gra Watch Dogs firmy Ubisoft. Główny
bohater gry, za pomocą swojej komórki, zmienia
cykl świateł ulicznych, zatrzymuje pociągi i włamuje
się do każdej kamery monitoringu. Czy te wszystkie
czynności są możliwe do zrealizowania w dzisiejszym
świecie? Na to pytanie odpowiadają eksperci
wspomnianej firmy.
1. Hakowanie systemu zarządzania miastem
Miasto, w którym rozgrywa się akcja Watch
Dogs, jest zarządzane z poziomu systemu ctOS,
który stanowi informatyczny rdzeń metropolii.
Aiden (główny bohater gry) przejmuje kontrolę
nad miastem infekując wspomniany system
za pomocą specjalnie spreparowanego rootkita.
PRAWDOPODOBIEŃSTWO ZASTOSOWANIA
W RZECZYWISTOŚCI: WYSOKIE
Atak za pośrednictwem spreparowanego
zagrożenia jest możliwy, ale wymaga od
cyberprzestępców wielu miesięcy, a czasami
lat przygotowań. Warto również podkreślić,
że administratorów pilnujących złożonych
systemów teleinformatycznych, zdecydowanie
trudniej oszukać w rzeczywistości, aniżeli w grze.
2. Zdalna identyfikacja wartościowych
przedmiotów i bogatych obywateli
W grze Aiden posiada w swoim smartfonie
aplikację, która pozwala mu skanować otoczenie,
uzyskując informacje m.in. na temat osób, które
przechodzą obok niego. Dzięki temu bohater
może identyfikować wirtualnych bogaczy,
posiadających wartościowe przedmioty,
np. karty dostępu do ważnych lokalizacji
czy kluczyki do luksusowych samochodów.
PRAWDOPODOBIEŃSTWO ZASTOSOWANIA
W RZECZYWISTOŚCI: NISKIE
Nie istnieje aplikacja, która zbierałaby
informacje o użytkowniku z tak wielu źródeł
i w tak krótkim czasie. Dodatkowo eksperci
z firmy ESET zwracają również uwagę na fakt,
że współcześni użytkownicy są coraz bardziej
świadomi zagrożeń – unikają aplikacji, które
mogłyby żądać dostępu do zbyt wielu danych,
ujawniając w ten sposób adres zamieszkania,
miejsce pracy czy inne prywatne informacje
dotyczące ich samych.
51
3. Przejmowanie kontroli nad kamerami
monitoringu
W większości gier komputerowych kamery
bezpieczeństwa stanowią zagrożenie dla
głównego bohatera, stąd zwykle stają się
one dla gracza celem, który szybko eliminuje.
W Watch Dogs kamery są narzędziem, które
pozwala osiągnąć głównemu bohaterowi
zamierzony cel. Może z nich korzystać bez obaw
o namierzenie przez system nadzoru ctOS.
PRAWDOPODOBIEŃSTWO ZASTOSOWANIA
W RZECZYWISTOŚCI: NISKIE
Przechwycenie obrazu z jednej kamery
monitoringu jest w pewnych sytuacjach możliwe,
np. gdy dana sieć jest słabo zabezpieczona.
Jednak przejęcie kontroli nad wszystkimi
systemami monitoringu w danym mieście –
domowymi, przemysłowymi i miejskimi to czysta
fantastyka. Eksperci z firmy ESET podkreślają,
że każda próba dostępu do systemu
teleinformatycznego jest zwykle rejestrowana,
stąd niemożliwa byłaby sytuacja, w której ktoś
włamuje się do danego systemu monitoringu
i to włamanie pozostaje niezauważone dla
administratora sieci.
4. Sterowanie infrastrukturą miasta
Aiden może w pełni kontrolować całą
infrastrukturę miasta – od cyklu świateł
drogowych, przez pracę mechanizmów
52
do podnoszenia i opuszczania mostów
zwodzonych, aż po awaryjne zatrzymywanie
pociągów. Gra daje też bohaterowi możliwość
wysadzenia wybranych obiektów w powietrze
za pomocą specjalnej aplikacji w telefonie.
PRAWDOPODOBIEŃSTWO ZASTOSOWANIA
W RZECZYWISTOŚCI: NISKIE
Kontrolowanie całej infrastruktury
miasta, począwszy od rur ciepłowniczych,
po sygnalizację drogową nie jest możliwe.
Na dodatek taki samozwańczy haker, próbujący
zakłócić funkcjonowanie miasta, zostałby
namierzony już podczas pierwszej próby ataku
na wybrany obiekt.
Twórcy Watch Dogs i eksperci z firmy ESET wiedzą,
że informacje o użytkowniku to współcześnie
coraz częstszy cel ataków cyberprzestępców,
a możliwości smartfonów są coraz większe.
Jednak kontrola miasta i pełna inwigilacja jego
mieszkańców za pomocą aplikacji w telefonie to
na razie jedynie science-fiction. Mimo tego warto
wziąć sobie do serca rady specjalistów i unikać
instalacji aplikacji, które żądają dostępu do zbyt
wielu danych (aplikacja do obróbki zdjęć nie musi
mieć dostępu do książki kontaktów). Nie zaszkodzi
również korzystać z zabezpieczeń dla urządzeń
mobilnych – wielu producentów udostępnia
bezpłatne wersje takich produktów. Stosowanie
się do tych zasad może uchronić użytkownika
np. przed kradzieżą pieniędzy z konta bankowego,
na skutek ataku phishingowego.
Bezpieczeństwo na portalu
53
Monitorować, czy nie monitorować
pracowników?
Instalowanie na komputerach pracowników oprogramowania monitorującego
wciąż budzi wiele kontrowersji. Czasem ciężko jest pogodzić się ludziom z faktem,
iż jest się śledzonym w każdej minucie i można być rozliczonym z każdego, nawet
najdrobniejszego ruchu. Właścicielom firm nie chodzi o permanentne monitorowanie
pracowników, ale maksymalne zabezpieczenie danych, które mogą wydostać się poza
progi przedsiębiorstwa.
Czytaj całość
7 grzechów głównych systemów backupu
System backupu w przedsiębiorstwie cały czas pozostaje tematem, który często
pomija się w planach rozwojowych, a jeśli już się w nich pojawia to w kontekście
poszukiwania oszczędności. Prowadzi to do sytuacji, w której nie spełnia on często
swojej roli i w konsekwencji nie gwarantuje bezpieczeństwa przechowywanych danych.
Doświadczenia w przeprowadzaniu audytów Centralnych Systemów Backupu (CSB)
i wnioski z nich płynące, pozwoliły nam na sporządzenie zestawienia najczęściej
występujących „grzechów głównych systemów backupu”.
Czytaj całość
54
Firmowy majątek pod czujnym okiem
Chociaż najbardziej rozpoznawalne i najbogatsze marki pochodzą z Zachodu, to polski
biznes nie pozostaje w tyle. Obecnie łączna wartość aktywów 500 najzamożniejszych
przedsiębiorców operujących w kraju przekroczyła 147 mld zł i ciągle rośnie.
Jednak zarówno firmy osiągające największe zyski, jak i te rozwijające się powinny
zatroszczyć się o bezpieczeństwo swojego mienia. Poufne dane, samochody służbowe
lub siedziby mogą stać się celem kradzieży lub włamania, co może powodować
poważne utrudnienia w funkcjonowaniu przedsiębiorstw.
Czytaj całość
Aplikacje mobilne rajem dla cyberprzestępców
Dalszy dynamiczny rozwój urządzeń i aplikacji mobilnych będzie wymagał
coraz lepszych rozwiązań w zakresie bezpieczeństwa. W 2013 r. około 15 proc.
ogólnoświatowego ruchu w internecie pochodziło z urządzeń mobilnych, co zachęca
zorganizowane grupy cyberprzestępców do rozwoju złośliwych aplikacji. W najbliższych
latach ten udział będzie szybko rósł, co wynika m.in. z coraz większej dostępności tanich
urządzeń w krajach rozwijających się oraz rozwoju nowych technologii, jak 4G.
Czytaj całość
55
BYOD – bez hurraoptymizmu
W wielu regionach obserwuje się opór przed wdrażaniem BYOD, spowodowany głównie
obawą o bezpieczeństwo danych biznesowych zapisanych w urządzeniach, tożsamości
użytkowników oraz aplikacji.
Czytaj całość
Pracownik już nie jest najgroźniejszy
Pracownik przestał być największym zagrożeniem dla bezpieczeństwa informacji
w firmie. Dziś większym wyzwaniem dla działów IT w przedsiębiorstwach jest rozwój
nowych technologii mobilnych i takie zjawiska, jak big data czy cloud computing.
Firmy z roku na rok zwiększają swoje nakłady na ochronę wrażliwych danych.
Czytaj całość
56
Bezpieczeństwo w bankowości
Jednym z najczęstszych celów ataku hakerów na całym świecie są banki oraz
inne instytucje finansowe. Często jednak, także w Polsce, nie są one dostatecznie
przygotowane na odparcie cyberataków. Dlatego instytucje finansowe nie powinny
polegać wyłącznie na opracowanych procedurach. Ważnym jest natomiast,
aby jak najczęściej ćwiczyć praktyczną obronę przed możliwymi cyberatakami.
Niezbędna jest także ściślejsza współpraca pomiędzy bankami poprzez wymianę
informacji o potencjalnych zagrożeniach i sposobach radzenia sobie z nimi.
Czytaj całość
Uwaga na technologie mobilne
Technologie mobilne stanowią dziś największe wyzwanie dla bezpieczeństwa IT.
Tak wynika ze Światowego Badania Bezpieczeństwa Informacji przeprowadzonego
po raz 16-ty przez firmę doradczą EY. Takiego zdania jest prawie połowa uczestniczących
w badaniu szefów IT. Zwiększanie wydatków na bezpieczeństwo IT niewiele daje.
Mimo że 93% badanych firm w ciągu ostatnich 12-tu miesięcy zwiększyło lub
utrzymało wydatki w obszarze bezpieczeństwa IT, wciąż powiększa się luka między
obecnym a wymaganym poziomem bezpieczeństwa. Zaledwie 17% respondentów
przyznało, że działania w tym zakresie w pełni zaspokajają ich potrzeby.
Czytaj całość
57
PwC: „Globalny stan bezpieczeństwa
informacji 2014”
Jak informuje firma konsultingowa PwC: „W ostatnich latach zagrożenia
dla bezpieczeństwa informacji zmieniły się i stały się bardziej powszechne niż
kiedykolwiek wcześniej. W takiej sytuacji podejście do bezpieczeństwa, którego
głównym celem tradycyjnie jest zaspokojenie wymagań regulacyjnych, nie jest już
wystarczające. Co z tego wynika?
Czytaj całość
Inwestycja w bezpieczeństwo vs optymalizacja
wydatków
Backup backupowi nierówny. A co za tym idzie, i jego koszty. Wydatki poniesione
przez firmę na system centralnego backupu i jego utrzymanie to spory wydatek,
przez wielu przedsiębiorców postrzegany jako koszt, który nigdy się nie zwróci.
Ale czy na pewno tak jest?
Czytaj całość
58
Tak wygląda cyberwojna
Google, zakład wzbogacania uranu w Iranie, rząd Pakistanu, amerykański Departament
Obrony – nawet największe przedsiębiorstwa jak i rządy krajów padły ofiarą
zaawansowanych ataków typu APT w ostatnich dwóch latach. Zakres tych ataków
internetowych jest faktycznie dużo większy niż by się wydawało. Ich celem jest
zniszczenie lub kradzież poufnych danych dyplomatycznych czy tajemnic handlowych,
zarobek, a nierzadko wszystkie trzy czynniki jednocześnie. W związku z tym, organizacje
muszą dysponować środkami szybkiego reagowania na takie ataki.
Czytaj całość
Hakerzy wykorzystują metody inżynierii
społecznej
W kwietniu 2013 r. asystentka wiceprezesa pewnej międzynarodowej spółki z siedzibą
we Francji otrzymała mail z odnośnikiem do faktury umieszczonej w popularnym
serwisie wymiany plików. Kilka minut później odebrała telefon od innego wiceprezesa
tej samej spółki, który polecił jej sprawdzić tę fakturę i nadać jej bieg. Jednak faktura
była fałszywa, a rzekomy wiceprezes był przestępcą uczestniczącym w ataku hakerskim.
Czytaj całość
59
Dlaczego Security Leadership ma znaczenie?
Podstawowym zadaniem CISO jest przewodnictwo w tworzeniu oraz późniejszy rozwój
i nadzór nad egzekwowaniem jak najbardziej sensownego i jak najskuteczniejszego
programu zarządzania bezpieczeństwem informacji w codziennej praktyce operacyjnej
zatrudniającej go instytucji. Czyni to w oparciu o standardy bezpieczeństwa, przepisy
prawa powszechnego, często też normy i najlepsze praktyki branżowe oraz – rzecz jasna
– własną wiedzę i doświadczenie.
Czytaj całość
Czy istnieją bezpieczne systemy?
Czy istnieje coś takiego, jak w pełni bezpieczny system? Dlaczego w systemach wciąż
wykrywane są nowe luki w ich zabezpieczeniach? Czy jesteśmy skazani na „dziurawe”
oprogramowanie?
Czytaj całość
60

Podobne dokumenty