Obiektywna analiza ryzyka

Trochę nawiązując do tematu zapoczątkowanego postem Zabezpieczyć się czy nie... sprzed paru dni.

2 tygodnie temu rozmawiałem z Dr. Bolesławem Szomańskim o kwestiach związanych z koniecznością podejmowania trudnych i niepopularnych decyzji, na przykład koniecznych dla zapewnienia bezpieczeństwa publicznego. Akurat podobne przemyślenia w tym czasie miał Bruce Schneier publikując na blogu niniejszy post.

Naprawdę polecam, w pełni zgadzam się z tym punktem widzenia. Pozwolę sobie zacytować kilka słów:

So, in practice, governments do not make fully rational risk assessments. Their calculations are based partly on cost-benefit analyses, and partly on what the public will tolerate.

Zabezpieczyć się czy nie...

Bruce Schneider odnalazł w sieci bardzo interesujący artykuł o ludzkich zachowaniach - o uczeniu się na błędach, podejmowaniu strategicznych decyzji.

Howard Kunreuther oraz Robert Meyer ze Philadelphia school’s Risk Management and Decision Processes Center przeprowadzili serię symulacji w których studentom (oraz szefom firm) dano zadanie - zbudować mocny dom i go utrzymywać w terenie w którym zdarzają się trzęsienia ziemi. Oczywiście pieniądze przeznaczone na dom można było również ulokować w banku na eleganckie 10%.

Okazało się, że wszyscy uczestnicy symulacji przegrywali. Obserwowali poczytania innych uczestników i nakręcali się w poczuciu, że ryzyko jest niewielkie, że nic się nam złego nie zdarzy. Po początkowych inwestycjach w dom ignorowano resztę zabezpieczeń aż do katastrofy. Uczestnicy woleli zyski z krótkim czasie niż konsekwentne podążanie zgodnie ze strategicznym celem. Polecam lekturę całości artykułu.

Czytając ten artykuł miałem nieodparte wrażenie, że coś mi to przypomina. Jakże często ignorujemy sygnały o zagrożeniach poprzez obserwację innych osób nic nie robiących by się zabezpieczyć. Jakże często wiedząc, że zagrożenie jest realne wolimy jednak odłożyć inwestycję w czasie troszcząc się o krótkoterminowe zyski.

Niejednokrotnie słyszałem, że jest to rezultatem braku zrozumienia dla bezpieczeństwa, niezrozumienia prawdziwej skali zagrożeń. A tu wygląda, że jest to kwestia psychologiczna. Ludzie po prostu tacy są...

"Nowe" zagrożenie dla USA - cyberterroryzm

Na onet.pl ukazał się artykuł dotyczący „nowego” zagrożenia dla USA – cyberprzestępczości. Autorzy zwracają uwagę na kilka faktów szczególnie istotnych dla osób, które liczą, że rząd zabezpieczy swoją krytyczną infrastrukturę (że powinien to zrobić to nie mam wątpliwości. Pisałem zresztą o tym w swoim artykule w publikacji "CYBERTERRORYZM - nowe wyzwania XXI wieku").

Spodobał mi się szczególnie jeden cytat:

Raport inspektora generalnego zawiera krytykę US-CERT, ponieważ nie ma ona odpowiedniej liczby pracowników, by prowadzić swoją misję. Agencja może mieć 98 pracowników, ale na razie tylko 55 ze stanowisk jest zajętych, a 25 kolejnych osób czeka na odpowiednie zezwolenia związane z bezpieczeństwem.

Przy okazji – interesujące jest 278 tysięcy przypadków szkodliwej działalności miesięcznie. Zastanawiam się jak definiowana jest „szkodliwa działalność przestępcza”. Skanowanie portów rozsyłane ślepo przez boty? Spam wysyłany na konta DHS? Pracownicy wchodzący na strony nie związane z pracą zawodową?

Nasz plan odtwarzania działalności wygląda następująco

Dzisiaj w Krakowie na Uniwersytecie Ekonomicznym będę opowiadać o "Roli zarządu w zapewnianiu ciągłości funkcjonowania organizacji", dlatego też pozwolę przypomnieć jedną z moich ulubionych grafik Scotta Adamsa:

ABRA - rozwiązanie dla pracusiów

Dr. Mariusz Stawowski (Clico) zaprezentował w poniedziałek bardzo ciekawe urządzenie produkcji Checkpoint o nazwie ABRA.

Nie planuję zajmować się recenzjami sprzętu, niemniej jest to urządzenie, które zwróciło moją szczególną uwagę ze względu na szereg bardzo praktycznych zastosowań. Często spotyka się sytuację w której pracownicy muszą skończyć coś w domu. Pojawia się wtedy problem jak mogą zabrać pracę ze sobą, zapewnić bezpieczeństwo poufnych informacji na domowym PC.

No i tu rozwiązaniem jest właśnie ABRA. Jest to pendrive z wbudowanymi z wirtualnymi windowsami oraz podstawowymi narzędziami. Zapewnia bezpieczeństwo danych zarówno podczas transportu (AES 256) jak i pracy w domu (wirtualna maszyna uruchamiająca się samoczynnie, korzystająca z zasobów PC ale uniemożliwiająca wyniesienie danych z pendrive poza bezpieczne środowisko.

Załączam kilka notatek jakie Zrobiłem podczas pokazu:
- Nie można nic zainstalować, standardowy zestaw aplikacji, wszystko podpisane cyfrowo,
- Rozpoznawanie sieci zewnętrznej i uniemożliwienie wyniesienia danych poza urządzenie,
- Szyfrowanie AES 256, ograniczona ilość prób odgadnięcia hasła,
- Blokowanie po określonym czasie braku aktywności,
- Weryfikacja środowiska pod kątem zabezpieczeń i decyzja czy uruchomić wirtualną maszynę,
- Nie ma konfiguracji sieciowej, wykorzystuje to co jest w komputerze,
- Centralna aktualizacja, centralne odzyskiwania hasła ,
- Bezpieczne środowisko dostępu do sieci wewnętrznej - można umożliwić VPN po SSL,
- Teoretycznie uniemożliwia włamania 0- day exploit, gdyż takowe próbują wstrzyknąć kod do maszyny wirtualnej a ten jest natychmiast wykrywany i blokowany.

Potencjalne zastosowania umożliwiają również środowiska dla centrów zapasowych, zabezpieczenie najważniejszych czynności (typu wykorzystywanie online służbowych kart kredytowych czy dokonywanie przelewów) . Klientem chwilowo jeszcze nie zostanę, niemniej warto wiedzieć, że są już takie zabawki.

Halo, czy ktoś mnie słyszy?

Nie tak dawno pojawiła się informacja o stworzeniu softu na smartphony, pozwalającego na przejmowanie kontroli nad tymi urządzeniami.

Nie jest to moim zdaniem żadna sensacja, niemniej przy okazji warto przypomnieć parę faktów:
- komputerowy włamywacze mogą zdalnie uruchamiać kamerki i mikrofony (spójrz teraz prosto w kamerkę i powiedz "dzień dobry")
- komputerowi włamywacze mogą przejmować kontrolę nad całym komputerem: wykorzystywać zasoby dyskowe do przechowywania informacji (typu serwer pornograficzny), pamięć do wykonywania operacji (typu łamania haseł), sieć (typu atakowanie nielubianej strony), czytać zapisane informacje (czaty, maile, dokumenty...)

Ponieważ komórki to de facto komputery - je też można zdalnie kontrolować. Tym samym:
- można zdalnie czytać to co masz zapisane w komórce (zdjęcia, sms'y, kalendarze, kontakty)
- można dowolnie manipulować powyższymi (kasować, dodawać, manipilować)
- można dzwonić lub wysyłać sms'y w Twoim imieniu
- można włączać kamerkę i mikrofon (i wiedzieć gdzie jesteś i co robisz)
- można podsłuchiwać Twoje rozmowy
- można sprawdzać Twoją lokalizację dzięki GPS