Cyberprzestepczość w USA

Wiem, że badania dotyczące USA niekoniecznie maja odzwierciedlenie w innych miejscach na świecie, niemniej trafiłem ostatnio na ciekawą stronę sporządzoną przez Internet Crime Compliant Center z zestawieniem strat powstałych w wyniku cyberprzestepczości.

Wyraźnie widać drastyczne zwiększenie wielkości strat w ostatnim czasie:
2009 - $559.7 milionów
2008 - $265 milionów
2007 - $239.09 milionów
2006 - $198.44 milionów
2005 - $183.12 milionów

Ciekawe jak to będzie w 2010. Spodziewam się kolejnego znacznego wzrostu.

5 sposobów na uszczelnienie bezpieczeństwa

W swoim najnowszym raporcie Cisco przedstawiło na str 27 artykuł wymieniający 5 sposobów na uszczelnienie bezpieczeństwa. Zamiast podkreślać konieczność inwestycji w technologię czytamy (swobodne tłumaczenie):

1. Pozamykaj niedociągnięcia w zakresie świadomości pracowników
2. Skoncentruj się na zamykaniu starych problemów i zrób to dobrze
3. Kształć pracowników w zakresie bezpieczeństwa, włączaj ich w proces ochrony
4. Zrozum, że jedna bariera bezpieczeństwa nie jest wystarczająca
5. Spójrz na bezpieczeństwo jak na wyróżnik Twojego biznesu

Czyli zero technologii, wyłącznie miękkie zarządzanie o którym piszę na tym blogu. Programy zwiększania świadomości, angażowanie pracowników, wiele warstw zabezpieczeń. Jak miło to czytać. Miód dla moich oczu :)

Przełamywanie zabezpieczeń w zamkach biometrycznych

Kopalnia Wiedzy opublikował kilka dni temu bardzo ciekawy artykuł dotyczący przełamywania zabezpieczeń nowoczesnych - biometrycznych zamków.

Przytaczam fragment, po resztę równie ciekawych informacji zapraszam do źrodła.

"Ofiarą eksperta padł m.in. Biolock 333, który skanuje odciski palców i wpuszcza tylko autoryzowane osoby. Tobias otworzył go... kawałkiem papieru wepchniętym w szczelinę na klucz. Z kolei otwierany cyfrowym kodem Amsec EX1014 poddał się po wsunięciu z szczelinę drzwi cienkiego paska metalu i naciśnięciu nim znajdującego się wewnątrz zamka guzika resetującego kody."

Konta społecznościowe i związnane z nimi kłopoty

Ostatnio znów powrócił temat korzystania z profili społecznościowych w pracy. Faktycznie jest szereg zagrożeń związanych z tym zagadnieniem, nie jest to jednak (moim zdaniem0 tak drastyczne naruszenie polityk bezpieczeństwa. Podstawową kwestią jaką musi rozważyć firma przy decyzjach czy zabraniać czy nie jest moim zdaniem najzwyklejsze uzasadnienie biznesowe "Czy naprawdę pracownicy muszą korzystać z tego typu rozrywek w czasie pracy"?
Badania pokazują, że na tego typu rozrywkę pracownicy tracą 30-60 minut dziennie. Przy założeniu, że korzysta z tego tylko 30% pracowników firmy liczącej 200 osób przy średniej pensji na poziomie 3500 pln wychodzi, że sama ta nieproduktywność kosztuje firmę prawie 550 pln dziennie czyli niemal 11 tysięcy miesięcznie (nie licząc utraconych korzyści). Firma wpierw musi sobie odpowiedzieć na pytanie czy warto...

A jakie zagrożenia poza utrata produktywności niosą za sobą sieci społecznościowe? Oto parę przykładów:
- możliwość zawirusowania sieci firmowej po kliknięciu na niewłaściwy link polecony przez "przyjaciela"
- psucie reputacji pracodawcy podczas dyskusji typu "mój szef idiota znów zlecił mi głupią pracę..." czy głosowań "kto się dziś nudzi w pracy..."
- zrobienie sobie "kuku" podczas dyskusji na temat ilości wypitego poprzedniej nocy alkoholu i przyznawania się publicznie, że wciąż jest się pijanym
- psucie reputacji firmy przez umieszczanie prywatnych zdjęć (na przykład z imprez alkoholowych o czym przekonał się pracownik banku z Suszu)
- niechętnie widzianą przez niektórych pracodawców większą możliwość znalezienia lepszej pracy

Jak można zaradzić kłopotom związanym z takimi zagadnieniami? Oczywiście sposobów jest parę:
- uświadomienie pracowników w zakresie właściwej pracy z tego typu portalami (instrukcje "internetowego BPH" o których jest mowa w linkowanym artykule wcale nie są złym pomysłem jeśli się je zrobi dobrze)
- oficjalne zablokowanie portali gdy tego typu zachowania zostaną uznane za niepożądane (lepsze to niż monitoring w stylu "wielkiego brata" i późniejsze wyciąganie konsekwencji)
- zarządzanie ilością czasu jaki można spędzać na tego typu stronach (od lat istnieją dobre systemy do kontrolujące surfowanie po sieci)

No i oczywiście:
- stworzenie takiej atmosfery pracy w której nie byłoby osób niezadowolonych
- takie zorganizowanie pracy by nie było czasu na tego typu zabawy
- prowadzenie działalności w taki sposób by nie można już sobie było bardziej zszargać opinii (jak ja dawno nie byłem złośliwy :-)

Ziarnko do ziarnka

Zabezpieczając informacje często koncentrujemy się na najważniejszych z nich - bazach danych, krytycznych raportach i zestawieniach.
Równocześnie ignoruje się często drobne fragmenty informacji, które poskładane (niekiedy mozolnie) pozwalają uzyskać pełne informacje bez szczególnego wysiłku.
Walające się wydruki dotyczące sytuacji klienta, wyrzucane do kosza na śmieci notatki z rozmów telefonicznych, robocze wersje punktów audytowych, niewłaściwe uprawnienia do mniej ważnych systemów, nadmiar osób mających dostęp do teoretycznie nieważnych danych, niezamknięta szafka zawierająca wyłącznie wydruki bieżącej korespondencji z klientem, zbyt głośna rozmowa przy obiedzie, bez żadnych szczególnych tajemnic. Takie rzeczy to codzienność.
Pojedynczo te sytuacje nie stanowią większego zagrożenia, niemniej odpowiednio zebrane i przeanalizowane potrafią pokazać naszą sytuację (lub sytuację naszych partnerów czy klientów) w zupełnie inny świetle.

Przytoczę tu słowa Johna Stewarta - CSO w Cisco

Dlaczego hakerom się udaje? Mają szczęście, są cierpliwi, są błyskotliwi. Są również lepiej opłacani niż ty.

Czyli po pierwsze im się chce, po drugie mają czas a po trzecie mają dobry pomysły. Dzięki temu, oraz dzięki temu, że popełniasz te drobne błędy o których napisałem wcześniej to oni mają przewagę...
Pamiętaj - bezpieczeństwo informacji zależy od Ciebie!

Ubezpieczenie Wikileaks

Wczoraj na wikileaks.org (wszyscy już chyba wiedzą czym się zajmuje ta strona) pojawiło się coś baaaardzo interesującego. Powiedziałbym, ze to swoiste novum
W dziale dotyczącym wojny w Afganistanie pojawił się plik o nazwie "insurance.file". No i zaczęło się zastanawianie co takiego posiadają twórcy strony. Biorąc pod uwagę ostatnie oskarżenia, przesłuchania itp można zakładać, że jest to coś czym będą próbowali zaszantażować rząd USA. Teraz pewnie hakerzy (i dziennikarze) z całego świata będą próbować to sobie zaciągnąć i spróbować złamać zabezpieczenia.

Rozumiem intencje, niemniej uważam,że wolność słowa powinna mieć swoje granice. Informacja naprawdę może wyrządzić bardzo rzeczywiste szkody. A szantażu szczególnie nie lubię.