O rostoucím významu bezpečnosti se mluví už posledních několik let. Diskuse však příliš často sklouzává jen k různým firewallům, IDS/IPS, antivirům atd. Ve skutečnosti je však otázka bezpečnosti podstatně širší, zejména v době množících se hackerských útoků na státní instituce a v době stále častějších úniků dat.

Nejrizikovějším faktorem jsou lidé

Nejrizikovějším faktorem libovolného systému je jeho nejslabší článek – tedy člověk. To se ostatně potvrdilo v otázce bezpečnosti i v nechvalně známém Černobylu. Situace je navíc o to komplikovanější, že bezpečnostní opatření zpravidla znepříjemňují lidem život. Bezpečná hesla, posílená identifikace zaměstnanců např. pomocí biometrických prvků, striktní omezení přístupových práv – to všechno se budou zaměstnanci přirozeně snažit obcházet. Každé bezpečnostní opatření je proto důležité zahájit dostatečnou osvětou zaměstnanců, včetně třeba toho, jak si mají zvolit bezpečná hesla tak, aby si je pamatovali a neměli je napsaná na papírku nalepeném na monitoru, což se také nezřídka stává. V rámci zabezpečení proti úniku informací je také nezbytné omezit jakékoliv možnosti vynášení dat – tj. pomocí nástrojů pro centralizovanou správu zakázat například přístup k USB portům, vypalování CD/DVD a v neposlední řadě také třeba k tisku, který by měl být důsledně monitorován. Důležité je i monitorovat síťový provoz a u sítí připojených k internetu také zakázat některé potenciální rizikové aplikace jako Skype, ICQ, Windows Live Messenger apod. či přístup na Facebook a jiné sociální sítě, což vedle zvýšení bezpečnosti často zvýší i produktivitu. Kromě toho je nutné také zamezit možnosti odesílat soubory prostřednictvím FTP i HTTP protokolů. K tomu slouží sofistikovanější IDS/IPS a pokročilé nástroje pro monitoring síťového provozu.

Soukromé věci na služební počítače nepatří! I kvůli bezpečnosti

Jedním z často pomíjených bezpečnostních rizik je využívání služebních počítačů k soukromým účelům. I když se podaří zakázat instalace všech aplikací a třeba i přístup k Facebooku, stále může být potenciálním rizikem třeba vyřizování soukromých e-mailů. Při prolomení poštovního serveru se z něj totiž pak dá vyčíst nejen pracovní pozice daného uživatele, ale také třeba citlivé údaje zneužitelné k jeho vydírání a tudíž vynesení dat ven.

Identity management by měl jít napříč vším

V návaznosti na ochranu před pochybením lidského faktoru je důležité také aplikovat důsledný identity management. Ten bývá obvykle zajišťován samostatným informačním systémem, který je propojen s dalšími systémy, zejména s tím pro HR, ve kterých z jednoho místa nastavuje a spravuje přístupová oprávnění pro danou osobu. Ve státních institucích by více než kde jinde mělo platit, že pro každou pracovní pozici platí implicitní zákaz všeho a povoleny jsou jen ty přístupy a funkce nezbytné pro výkon dané pracovní pozice. Cokoliv nad rámec těchto minimálních oprávnění by pak mělo procházet předem nastaveným schvalovacím workflow s detailním zdůvodněním toho, proč je nutné nastavit danému uživateli větší než minimální oprávnění. Často tyto systémy mohou obsahovat i tzv. single-sign-on funkcionalitu, kdy uživateli stačí přihlásit se bezpečně např. k operačnímu systému (typicky kombinací silného hesla a např. čipové karty nebo otisku prstu) a následně je do všech dalších aplikací jako elektronická pošta, podnikový informační systém atd. přihlašován již automaticky. Tato funkce přitom paradoxně zvyšuje úroveň zabezpečení, protože uživatel si musí pamatovat jen jedno přihlašovací jméno a heslo, přičemž toto jediné místo přihlášení lze následně důsledně ošetřit, třeba i ve smyslu automatického odhlašování při delší nečinnosti či při opuštění místnosti.

Důležitý je i důraz na docházkové a přístupové systémy

Identity management by měl být také provázán s přístupovými a docházkovými systémy, které by jednak v návaznosti na aktuální pracovní pozici daného člověka zpřístupňovaly příslušné nezbytné části budovy a které by také dostatečně ohlídaly to, aby na jednu čipovou kartu mohl člověk vejít a odejít z budovy/patra/kanceláře právě jednou, což bohužel nebývá pravidlem. Přístupový systém je také nanejvýš vhodné propojit se zabezpečením počítačů. Pro bezpečnost je naprosto nepřípustné, aby v kancelářích zůstaly počítače s přihlášenými uživateli i v době, kdy se v ní daní uživatelé nenachází, natož pak přes noc či dokonce přes víkend. Z pohledu bezpečnosti je proto vhodné zajistit automatické odhlášení uživatele v okamžiku, kdy si otevře dveře od své kanceláře (tj. dát i výstup z kanceláře na čtečku karet) anebo aspoň v okamžiku, kdy opouští vstupní dveře do příslušného oddělení.

S IT souvisí řada rizik

Informační technologie však přinášejí i celou řadu dalších rizik, a to i tehdy, kdy omezíme riziko selhání lidského faktoru. Právě zde se teprve uplatňují notoricky známé bezpečnostní prvky, jako jsou komplexní antimalware nástroje, firewally, IDS/IPS a další sofistikované systémy. Ty je potřeba využít jak na koncových stanicích, tak na všech serverech. Velkým oříškem bývají hlavně notebooky a mobilní uživatelé. Některé instituce a priori blokují přístup uživatelů mimo vlastní síť k interním systémům, jiné si ale toto blokování dovolit z principu nemohou. V takovém případě je nutné klást velký důraz na zabezpečení jak koncových stanic, tj. notebooků, ale také třeba chytrých telefonů či tabletů, tak na zajištění přenosové cesty realizované obvykle formou šifrované VPN.

Kritické IT systémy je lepší fyzicky oddělit od internetu

I ve státních organizacích a firmách, které využívají důsledně všechny bezpečnostní prvky, však platí jedno nepsané pravidlo – nejbezpečnější zkrátka je kritické systémy zcela oddělit od internetu. To dodržuje například Ministerstvo zahraničních věcí ČR, které pro přístup k internetu využívá fyzicky jiné počítače než pro přístup k interním datům. Ani u fyzicky oddělených systémů však není radno podceňovat bezpečnostní opatření. Síťové prvky musí důsledně hlídat fyzické adresy síťových karet, aby náhodou někoho nenapadlo střídavě prohazovat síťový kabel v obou oddělených počítačích, a musí opět existovat důsledné zamezení možnosti vynést informace ven na libovolném typu přenosného média.

(mz)