"Nowe" zagrożenie dla USA - cyberterroryzm

Na onet.pl ukazał się artykuł dotyczący „nowego” zagrożenia dla USA – cyberprzestępczości. Autorzy zwracają uwagę na kilka faktów szczególnie istotnych dla osób, które liczą, że rząd zabezpieczy swoją krytyczną infrastrukturę (że powinien to zrobić to nie mam wątpliwości. Pisałem zresztą o tym w swoim artykule w publikacji "CYBERTERRORYZM - nowe wyzwania XXI wieku").

Spodobał mi się szczególnie jeden cytat:

Raport inspektora generalnego zawiera krytykę US-CERT, ponieważ nie ma ona odpowiedniej liczby pracowników, by prowadzić swoją misję. Agencja może mieć 98 pracowników, ale na razie tylko 55 ze stanowisk jest zajętych, a 25 kolejnych osób czeka na odpowiednie zezwolenia związane z bezpieczeństwem.

Przy okazji – interesujące jest 278 tysięcy przypadków szkodliwej działalności miesięcznie. Zastanawiam się jak definiowana jest „szkodliwa działalność przestępcza”. Skanowanie portów rozsyłane ślepo przez boty? Spam wysyłany na konta DHS? Pracownicy wchodzący na strony nie związane z pracą zawodową?

Nasz plan odtwarzania działalności wygląda następująco

Dzisiaj w Krakowie na Uniwersytecie Ekonomicznym będę opowiadać o "Roli zarządu w zapewnianiu ciągłości funkcjonowania organizacji", dlatego też pozwolę przypomnieć jedną z moich ulubionych grafik Scotta Adamsa:

ABRA - rozwiązanie dla pracusiów

Dr. Mariusz Stawowski (Clico) zaprezentował w poniedziałek bardzo ciekawe urządzenie produkcji Checkpoint o nazwie ABRA.

Nie planuję zajmować się recenzjami sprzętu, niemniej jest to urządzenie, które zwróciło moją szczególną uwagę ze względu na szereg bardzo praktycznych zastosowań. Często spotyka się sytuację w której pracownicy muszą skończyć coś w domu. Pojawia się wtedy problem jak mogą zabrać pracę ze sobą, zapewnić bezpieczeństwo poufnych informacji na domowym PC.

No i tu rozwiązaniem jest właśnie ABRA. Jest to pendrive z wbudowanymi z wirtualnymi windowsami oraz podstawowymi narzędziami. Zapewnia bezpieczeństwo danych zarówno podczas transportu (AES 256) jak i pracy w domu (wirtualna maszyna uruchamiająca się samoczynnie, korzystająca z zasobów PC ale uniemożliwiająca wyniesienie danych z pendrive poza bezpieczne środowisko.

Załączam kilka notatek jakie Zrobiłem podczas pokazu:
- Nie można nic zainstalować, standardowy zestaw aplikacji, wszystko podpisane cyfrowo,
- Rozpoznawanie sieci zewnętrznej i uniemożliwienie wyniesienia danych poza urządzenie,
- Szyfrowanie AES 256, ograniczona ilość prób odgadnięcia hasła,
- Blokowanie po określonym czasie braku aktywności,
- Weryfikacja środowiska pod kątem zabezpieczeń i decyzja czy uruchomić wirtualną maszynę,
- Nie ma konfiguracji sieciowej, wykorzystuje to co jest w komputerze,
- Centralna aktualizacja, centralne odzyskiwania hasła ,
- Bezpieczne środowisko dostępu do sieci wewnętrznej - można umożliwić VPN po SSL,
- Teoretycznie uniemożliwia włamania 0- day exploit, gdyż takowe próbują wstrzyknąć kod do maszyny wirtualnej a ten jest natychmiast wykrywany i blokowany.

Potencjalne zastosowania umożliwiają również środowiska dla centrów zapasowych, zabezpieczenie najważniejszych czynności (typu wykorzystywanie online służbowych kart kredytowych czy dokonywanie przelewów) . Klientem chwilowo jeszcze nie zostanę, niemniej warto wiedzieć, że są już takie zabawki.

Halo, czy ktoś mnie słyszy?

Nie tak dawno pojawiła się informacja o stworzeniu softu na smartphony, pozwalającego na przejmowanie kontroli nad tymi urządzeniami.

Nie jest to moim zdaniem żadna sensacja, niemniej przy okazji warto przypomnieć parę faktów:
- komputerowy włamywacze mogą zdalnie uruchamiać kamerki i mikrofony (spójrz teraz prosto w kamerkę i powiedz "dzień dobry")
- komputerowi włamywacze mogą przejmować kontrolę nad całym komputerem: wykorzystywać zasoby dyskowe do przechowywania informacji (typu serwer pornograficzny), pamięć do wykonywania operacji (typu łamania haseł), sieć (typu atakowanie nielubianej strony), czytać zapisane informacje (czaty, maile, dokumenty...)

Ponieważ komórki to de facto komputery - je też można zdalnie kontrolować. Tym samym:
- można zdalnie czytać to co masz zapisane w komórce (zdjęcia, sms'y, kalendarze, kontakty)
- można dowolnie manipulować powyższymi (kasować, dodawać, manipilować)
- można dzwonić lub wysyłać sms'y w Twoim imieniu
- można włączać kamerkę i mikrofon (i wiedzieć gdzie jesteś i co robisz)
- można podsłuchiwać Twoje rozmowy
- można sprawdzać Twoją lokalizację dzięki GPS

Nowe formy świadczenia usług IT

Kilka dni temu zapraszałem do uczestnictwa w moim wykładzie na konferencji „IT w bankowości”. Na konferencji przedyskutowałem zagadnienia związane z outsoucingiem, offshoringiem oraz przetwarzaniem w chmurze (oraz trochę perfidnie SOA).
Główne myśli dotyczyły tego, że kupowanie usług od wyspecjalizowanych podmiotów i koncentrowanie się na podstawowej działalności jest już faktem i rzeczywistością a nie koncepcją, którą wciąż teoretycznie się rozważa. Dlaczego?
&nbsp &nbsp - Bo to działa!
&nbsp &nbsp - Bo jest tanio!
&nbsp &nbsp - Bo można to zrobić dobrze!
&nbsp &nbsp - Bo chcemy troszczyć się o środowisko naturalne!

To co może niepokoić to:
- Problem zaufania i prywatności:
&nbsp &nbsp - Gdzie są moje dane?
&nbsp &nbsp - Kto nimi zarządza?
&nbsp &nbsp - Co się z nimi dzieje?
&nbsp &nbsp - Czy usługodawca na pewno wywiązuje się z kontraktu
- Utrudnione kontrolowanie oraz brak standardów audytu
- Ryzyka prawne (które prawo jest ważniejsze) i reputacyjne
- Łatwo zacząć, trudniej skończyć
- Niebezpieczeństwo potężnych strat w przypadku utraty ciągłości działania
- Duża standaryzacja kosztem indywidualnych rozwiązań

Tego typu decyzja powinna być świadoma. Należy przeanalizować ryzyko, dobrze zdefiniować cele jakie chcemy osiągnąć. Nie należy się bać oddawania usług i danych na zewnątrz, pod warunkiem, że:
&nbsp &nbsp - nie będziemy się śpieszyć
&nbsp &nbsp - przygotujemy dobrą umowę zabezpieczającą interesy obydwu stron, pamiętając, że niska cena idzie w sprzeczności z dobrą jakością
&nbsp &nbsp - będziemy przestrzegać umowy, w razie problemów nie bojąc się renegocjacji
&nbsp &nbsp - będziemy sobie ufać, ale i kontrolować wypełnianie warunków
&nbsp &nbsp - będziemy się komunikować
Zachęcam do przejrzenia całej prezentacji.

Program zwiększania świadomości pracowników

W trakcie ubiegłotygodniowej konferencji naukowej „Management 2010” przedstawiłem referat dotyczący programu zwiększania świadomości użytkowników. Jest to zagadnienie ściśle związane z pluralistyczną koncepcją zrównoważonego rozwoju o której pisze prof. dr hab. Jan Jeżak z Uniwersytetu Łódzkiego.

Zwracałem uwagę na smutną rzeczywistość osób odpowiedzialnych za bezpieczeństwo – fakt, że aby ochronić zasoby informacyjne konieczne jest wyeliminowanie wszystkich potencjalnych podatności. Przestępcy potrzeba jednakże znalezienia jedynie jednej podatności by wykraść, usunąć bądź zmodyfikować dane. Zaproponowałem by tak ukierunkować świadomość pracowników aby myśleli tak jak specjaliści do spraw bezpieczeństwa, by sami proaktywnie wykrywali i eliminowali potencjalne problemy, stając się tym samym pierwszą zewnętrzną warstwą systemu ochrony informacji.

Referat koncentrował się na metodach zdobywania tego poparcia. Kilka głównych praktyk wdrożenia programu zwiększenia świadomości użytkowników przedstawiłem następująco:

Zdobywanie poparcia kierownictwa
- zalety płynące z programu
- przekaz koncentrujący się na priorytetach
- postępy w realizacji planów
Stała obecność
- regularne akcje uświadamiające
- umiejscowienie zasad bezpieczeństwa w procedurach operacyjnych
- ułatwienie dostępu do niezbędnej dokumentacji
- testy bezpieczeństwa
- bezzwłoczne reagowanie na zgłaszane incydenty
Prowadzenie akcji uświadamiających
- krótkie wiadomości elektroniczne
- publikacje w korporacyjnym Intranecie, artykuły w firmowej gazetce, plakaty
- wiadomości umieszczane na tapecie pulpitu lub w treści wygaszacza ekranu
- krótkie filmy szkoleniowe

Więcej znajduje się w publikacji wydanej przez Studio EMKA (Społeczny Wymiar zrównoważonego rozwoju organizacji pod redakcją J.S. Kardasa i M. Jasińskiej). Zachęcam do lektury bądź przynajmniej do przeanalizowania i korzystania z powyższej listy podczas przygotowywania kampanii uświadamiających.