4. Úno. 2008

Co přinesl druhý den konference IT Security 2008?

Dnešní článek je věnován druhému dnu odborné konference o zabezpečení dat a informací v informačních systémech – IT Security 2008.

Druhý den konference byl zahájen příspěvkem dámy – Katariny Chovancové, personální specialistky slovenské Dexia Banky. Chovancová se zaměřila na identifikaci rizikových zaměstnanců a způsob, jakým s nimi pracovat.

Chcete mít jistotu? Zaměstnejte velkého bratra

Zdůraznila, že je vždy špatně, pokud je zaměstnanec nespokojený a je v podstatě jedno s čím. Motivací ke zneužití může být špatné platové ohodnocení, stejně jako nedostatek uznání apod. Důvodů selhání lidského faktoru je samozřejmě nespočetně od závislostí až po vydírání milenky.

Je však potřeba si uvědomit, že největší riziko selhání lidského faktoru hrozí, pokud k němu zaměstnanec dostane příležitost, a navíc ví, že na to nejspíš nikdo nepřijde. A jaké řešení Katarina Chovancová navrhuje? Navrhuje vytvořit systém posuzování důvěryhodnosti zaměstnanců. Nejdříve je třeba vytvořit ïmaginárního ideálního zaměstnance, se kterým budou skuteční uchazeči o zaměstnání srovnáváni.

Pro srovnávání se vytvoří formulář, přičemž u každé položky bude číselná stupnice. Nakonec se vše sečte a vyjde, jakýsi koeficient spolehlivosti. To ovšem není všechno, ještě by měl následovat pohovor se dvěma vyškolenými zaměstnanci, kteří by z uchazeče dobře mířenými otázkami vytáhli i věci týkající se jeho soukromého života.

V případě přijetí budou výše zmíněné informace zařazené do osobní bezpečnostní složky, kam budou přidávány další informace, například poznatky nadřízených a další „špína“ na zaměstnance, jako například chyby, info, že se o daného zaměstnance zajímala policie atd.

Chovancová přítomným popsala své dělení zaměstnanců do rizikových kategorií:

• Poctivý zaměstnanec (Ideál)
• Zaměstnanec, který si občas přilepší, má-li k tomu příležitost (je třeba dát si pozor)
• Racionální nepoctivý zaměstnanec (promýšlí, jak něco provést, aniž by k tomu měl příležitost- nežádoucí zaměstnanec)
• Patologický nepoctivý zaměstnanec (těch je třeba se vyvarovat)

 

 

V rozporu se zákonem? Nedá se nic dělat

Na prezentaci návrhů řešení prověrek zaměstnanců reagoval jeden z účastníkům konference: podle něj je navrhované jednání v rozporu se zákonem o ochraně osobních údajů, který nedovoluje jakékoliv shromažďování podobných údajů o zaměstnancích, dokonce ani v případě, že by k tomu dali písemný souhlas.

Na to Chovancová odpověděla výmluvným úsměvem, pokrčením ramen a dala najevo, že navrhovaný postup musí být prováděn neoficiálně.

Metody autentizace uživatelů je třeba kombinovat

Dalším přednášejícím druhého dne byl David Matějů ze společnosti Oracle. Matějů využil čas, který mu náležel, aby přítomným poradil, jak předejít krádežím identit. Jako příklad odcizení (nebo spíše zneužití identity) posloužil nedávný pokus o podvod klientů České spořitelny.

Jde o to, že pachatelé zkopírují pravou stránku, například aplikaci pro internetové bankovnictví, umístí ji jinam (na jinou adresu), nechají Vás vyplnit potřebné přístupové údaje a následně komunikují s bankou pod Vaším jménem. Tomuto typu útoku se říká phishing.

Podle Davida Matějů roste počet krádeží identit exponencionální řadou, a navíc jsou metody, kterými jsou tyto krádeže prováděny, čím dál tím více sofistikovanější, což ztěžuje jejich identifikaci. Proti útokům typu phishing, malware apod. není většina institucí dostatečně chráněna.

Jak se bránit? Je třeba kombinovat různé typy zabezpečení, protože každý typ obrany má své silné a slabé stránky. Prvním opatřením, které by mělo ztížit případným narušitelům přístup do Vašeho informačního systému, je tzv. multifaktorová autentizace uživatelů, což znamená například jméno, heslo a zadání kódu, který Vám přijde na mobil.

Využít se však dají i jiné kombinace autentizací jako je kombinace hesla a certifikátu na počítači, čipové kartě apod. Matějů radí tuto metodu ještě zkombinovat s on-line sledováním aktivit uživatele – zaměstnance, přičemž systém vždy upozorní při neobvyklém chování (porovnává se s historií).

Následovalo vystoupení Jiřího Nápravníka poradce města Světlá nad Sázavou. Nápravník se rovněž věnoval identifikaci uživatelů a jejímu ověřování. Připomněl různé typy ověřování a jejich výhody resp. nevýhody.

Pro někoho překvapivé mohlo být Nápravníkovo upozornění, že ani identifikace pomocí biometrických údajů není stoprocentně jistá. Škodlivý kód (malware) totiž může donutit počítač, aby po identifikaci Vaší oční duhovky nebo otisku prstu pracoval pro někoho jiného.

Tento typ útoku neumožňuje identifikaci útočníka, protože nezákonné aktivity jsou vedeny přímo z Vašeho počítače, a neexistuje tak žádné přímá linka mezi útočníkem a napadeným počítačem.

Konference byla ukončena prezentacemi zaměřenými na konkrétní typy ochrany IS.

v kategoriích: Články, Komunikace a bezpečnost