Pri presojah v organizacijah je pogosto opaziti vodilne, ki ne razumejo smisla sistema informacijske varnosti. Sistema ne rabijo, radi bi samo certifikat. Ker jim ta predstavlja konkurenčno prednost, bi ga najraje pridobili po liniji najmanjšega odpora. Pa vendar, ali si tega želijo tudi na nasprotni strani, kot uporabniki izdelkov in storitev drugih ponudnikov?
Ena izmed stvari, ki naj bi jih v sklopu presoj ISO sistemov preverjali, je ta, da ponudniki izkazujejo (in varujejo) integriteto.
ISO standard za informacijsko varnost namreč v ospredje postavlja tri osnovne stebre – varovanje zaupnosti (Confidentiality), celovitosti (Integrity) in razpoložljivosti (Availability).
“Pa kaj me briga, če nek ponudnik to zagotavlja? To so same bedarije,” eni zamahnejo z roko. Zakaj bi se morali odločiti za takega, ki ima vzpostavljen sistem varovanja informacij?
Saj razumem. Do nečesa, kar (še) ne poznate in ne razumete, res ni težko ostati ravnodušen. Zato vam bom dal primer.
. . .
Prijavite se na nov zmenkarski portal. Z novimi dogodivščinami v mislih niti zadaj nekje v glavi ne pomislite, če spletni portal, na katerega se prijavljate z uporabniškim imenom (‘gmail naslov’) in geslom (‘vsepovsodistogeslo’), vaše informacije varuje.
Ta, na katerem ste se pravkar registrirali, jih ne.
Ker portal ni zasnovan po načelih informacijske varnosti, ponudniku portala omogoča vpogled v vaše prijavne podatke – vključno z uporabniškim imenom in geslom.
Ker niste pozorni na to, kdo, kdaj in zakaj od vas pri registraciji zahteva (tudi) EMŠO in davčno številko, je ta portal s tem pridobil še ta dva osebna podatka.
Ker portal omogoča dodatno plačljive storitve, uporablja tudi plačilni modul, ki pa ni pravilno nameščen in varovan, ter ponudniku omogoča dostop še v podatke vaše plačilne kartice z avtorizacijsko CVV kodo.
V nadaljevanju ima ponudnik dve zanimivi možnosti:
- Ker je malomaren in mu ni mar za osnove varnega programiranja, spletni portal ni zaščiten proti kibernetskim napadom. JACKPOT! In že zlajnana zgodba: hackerji odtujijo celotno bazo uporabnikov z vsemi osebnimi in bančnimi podatki uporabnikov.
- Ker je iznajdljiv, vsepovsod vidi priložnosti za zaslužek. Da ne bo dvignil preveč prahu naenkrat in preveč pozornosti usmeril na svoj portal, bo sam zbral podatke nekaj uporabnikov, pri katerem bo ugotovil, da uporabljajo isti gmail naslov in geslo na več spletnih portalih in trgovinah. Ustvaril si bo podoben gmail naslov, se registriral na eni (ali več) spletnih trgovin, ki omogočajo osebni prevzem s plačilom ob prevzemu in tako (skoraj) brez sledi postopoma okradel več uporabnikov svojega portala. In seveda med njimi tudi vas.
. . .
Včasih naletimo na koga, po navadi več njih, ki je prepričan, da se njemu kaj takega ne more zgoditi. Ima vpeljanih dovolj varnostnih mehanizmov (dvo-faktorska avtentikacija, takojšnja obvestila o premikih, zahteve po potrditvi spletnih plačil, …), da mu take stvari ne morejo do živega. Ker te se dogajajo samo neumnim in malomarnim.
Res?
V najbolj znani ‘nigerijski prevari’ so največjo brazilsko banko, članico mednarodne skupine Santander, preslepili v 170 milijonov dolarjev vredno investicijo v izmišljeno letališče.
Ob tem prepričanega vprašam, če res misli, da so bili na banki vsi neumni, ali je mogoče, da so imeli prevaranti na voljo praktično ‘neomejeno število časa’, odkrili luknjo v postopkih in jo izkoristili.
Verjetno si lahko predstavljate, koliko varnostnih mehanizmov preverjanja vas bo doletelo, če greste na banko, na primer, po posojilo za 100 tisoč evrov? Kaj pa pri omenjeni investiciji 170 milijonov?
“Ste še vedno prepričani, da so vaši varnostni mehanizmi zadostni?“
. . .
Kako je torej z integriteto ponudnikov? Za pridobitev certifikata je potrebno izkazati določeno stopnjo zrelosti ter upoštevanja smernic in dobrih praks zagotavljanja varnosti. Vendar prave varnosti ne zagotavlja certifikat, ampak dober delujoč sistem.
Družba potrebuje kvalitetne ter varne izdelke in storitve. Ne zgolj takih, ki z željo po večjem zaslužku samo mahajo s takšnimi in drugačnimi certifikati.
Čeprav, če zaključim kot sem začel – se na koncu kot uporabniki ne moremo izgovarjati na odgovornost ponudnikov in organizacij ali mogoče celo tistih, ki tako ali drugače delijo certifikate.
Navsezadnje gre (vedno) za osebno odgovornost in ocenjevanje, kaj oziroma koliko smo v kakem primeru pripravljeni tvegati. Oziroma bolj po domače:
Do kam vas bo bolelo in od kje naprej ne več
Tu pa bo treba upoštevati tudi, da je nekaj, česar ne poznate, zelo težko predvideti in preprečiti.
Borut Kmetič
Poklicno se ukvarjam s celovitim vodenjem informacijske varnosti, od načrtovanja in implementacije sistemov za varovanje informacij do izboljševanja in presojanja skladnosti z ISO standardi.
Kot zunanji svetovalec lahko pomagam pri razvoju varnostne strategije, implementaciji in upravljanju sistemov vodenja oziroma optimiziranju poslovnih procesov, ter zagotavljanju skladnosti s predmetno zakonodajo in regulativo.
Osebno veliko časa posvečam raznovrstnim oblikam optimizacije – biohackingu, osebni rasti, raziskovanju novih prebojnih idej in tehnologij, organizacijske kulture, eksponentnih organizacij, sistemskega razmišljanja in drugih naprednih metod za izboljšanje kakovosti življenja.
Borut@SmartAssets.it
Borut@Medium
