Strona główna  |  Wydawnictwo  |  Kontakt  |  Reklama
Najnowszy numer »

 
Aktualności

»

Bezpieczeństwo danych pod kontrolą

Program, który pozwala na podłączenie jedynie autoryzowanych urządzeń, połączenia VPN przy dostępie do firmowej poczty poza biurem oraz instalacja na telefonie służbowym oprogramowania, które w przypadku kradzieży pozwoli zdalnie wykasować pamięć telefonu, to rozwiązania pomagające chronić dane.

Jest szereg rodzajów ataków, które mogą skompromitować zabezpieczenia i doprowadzić atakującego do dokumentów i danych, które nie powinny wyjść poza instytucję. Przykładem takich danych są listy teleadresowe, bazy danych klientów, roczne zestawienie budżetu, plany jednostki i strategie działania. Wyciek takich informacji to potencjalne ryzyko dla dalszego funkcjonowania jednostki samorządu terytorialnego, firmy czy innej instytucji. Wiele podmiotów ogranicza się jedynie do ochrony komputera pracownika programem antywirusowym lub odpowiedniej konfiguracji zapory sieciowej tak, by kontrolować ruch wychodzący i przychodzący z internetu. Jest to dobry krok, gdyż w ten sposób ogranicza się ryzyko infekcji oprogramowaniem szpiegującym, jednak konie trojańskie i inne szkodliwe aplikacje nie są jedynym zagrożeniem. Dane mogą wyciec także poprzez czynnik ludzki. Właśnie dlatego tak istotne jest szkolenie i informowanie pracowników o metodach działania cyberprzestępców. O tym, że pomysłowość przestępców w tworzeniu nowych metod infekowania urządzeń nie zna granic, przekonało się kilka firm w Stanach Zjednoczonych. Często były one wyposażone w urządzenia zabezpieczające, uniemożliwiające wejście do firmy osobom niepowołanym. Komputery także posiadały odpowiednie zabezpieczenia. Jak się jednak okazało, ochrona ta nie była wystarczająca, gdyż nie położono nacisku na najsłabsze ogniwo – człowieka. Przestępcy podrzucali pod drzwi firm atrakcyjnie wyglądające pendrive’y. Kiedy pracownik znajdował taki sprzęt, sprawdzał na komputerze firmowym, czy działa on poprawnie. Niestety, w przenośnej pamięci zainstalowany był szkodliwy kod, który w momencie podpięcia do portu USB rozpoczynał inwigilowanie firmy, unieruchamianie oprogramowania zabezpieczającego, a także pobierał dodatkowe szkodliwe moduły z internetu.

Sprzęt z białej listy
Jak uniknąć tego typu sytuacji? Całkowita blokada portów USB w komputerach pracowników nie jest dobrym pomysłem, ponieważ z tej formy komunikacji korzysta wiele urządzeń, np. drukarka, skaner, klawiatura czy mysz. Poza tym, pracownicy, którzy często pracują poza budynkiem, muszą mieć możliwość zgrywania danych z komputera stacjonarnego na laptopa i odwrotnie. Najprostszym rozwiązaniem jest skorzystanie z oprogramowania, które pozwala na podłączenie jedynie wybranych (autoryzowanych) urządzeń. W jaki sposób działają tego typu aplikacje? Ich obsługą najczęściej zajmuje się administrator. Programy do kontroli podłączanych urządzeń dają swobodę weryfikacji. Administrator może zarządzać wszystkimi komputerami z jednego miejsca. Niewątpliwą zaletą jest możliwość tworzenia list urządzeń (białe i czarne listy). Białe listy zawierają dane urządzeń, które mogą zostać podłączone w miejscu pracy, natomiast czarne wykluczają jakiekolwiek podłączenie nieautoryzowanego sprzętu. W tej konfiguracji podłączenie pendrive’a ze szkodliwym oprogramowaniem skończy się odmową dostępu. Dodatkowo administrator może przy pomocy takiego specjalistycznego oprogramowania kontrolować wszystkie systemy operacyjne i być informowany o wykryciu infekcji na jednym z komputerów. Wciąż jednak otwarta pozostaje kwestia szkolenia pracowników. Administrator może popełnić błąd, np. nie skonfigurować w sposób poprawny białej listy urządzeń podłączanych w pracy. Jeżeli pracownik wykryje taką sytuację, powinien jak najszybciej poinformować o niej administratora. Administrator natomiast powinien dokonać audytu bezpieczeństwa i przeprowadzić kontrolę, która wykaże, czy jest to jedyne uchybienie w konfiguracji.

Oprogramowanie do blokowania urządzeń
Ważną kwestią, często pomijaną podczas wprowadzania zasad bezpieczeństwa, jest możliwość podłączenia telefonu komórkowego do komputera. Dotyczy to nie tylko samorządów terytorialnych, ale także firm i instytucji. Obecne telefony mogą służyć jako pamięci przenośne, tak samo jak dyski twarde i w dokładnie ten sam sposób mogą infekować komputer złośliwym oprogramowaniem. Pracownicy podłączają telefony do komputera znacznie częściej niż pendrive’y. Niestety, skutki takiego działania mogą być katastrofalne, jeżeli w pamięci telefonu znajdują się wirusy. Również tutaj z pomocą przychodzi oprogramowanie do blokowania urządzeń. Jeśli chodzi o telefony służbowe, ważne jest, by każdy posiadał zaktualizowane oprogramowanie antywirusowe w wersji mobilnej. Bardzo popularną mobilną platformą jest Android i z tego powodu dla tego systemu powstaje najwięcej szkodników – 99,8 proc. mobilnych zagrożeń pisanych jest właśnie z myślą o systemie firmy Google. Zagrożenie jest realne. Z tego powodu służbowe telefony powinny posiadać programy antywirusowe, tak samo jak robi się to na tradycyjnych komputerach.

Dane pod specjalną ochroną
Często pracownicy instalują na prywatnych telefonach programy do sprawdzania korespondencji firmowej, posiadają listy kontaktów lub bazy danych. W przypadku zagubienia telefonu, dane te mogą wpaść w niepowołane ręce. Istnieje kilka rozwiązań, z których można skorzystać. Poczta powinna być niedostępna dla pracownika poza miejscem pracy. Jeżeli pracownik mobilny musi uzyskiwać dostęp do firmowej poczty poza biurem, powinno się to odbywać przy użyciu połączenia VPN. Połączenie to jest rodzajem tunelu, który może być dodatkowo szyfrowany. W ten sposób przechwycenie korespondencji przez osoby trzecie jest utrudnione, a osoby pracujące zdalnie mogą bezpiecznie i szybko otrzymać wiadomości. Połączenie VPN może zostać utworzone przy pomocy IPsec czy OpenVPN. Drugim ważnym krokiem jest instalacja na telefonie służbowym specjalnego oprogramowania, które w przypadku zagubienia lub kradzieży pozwoli w sposób zdalny (poprzez wysłanie na zgubiony/skradziony telefon specjalnego SMS-a) wykasować całą zawartość pamięci telefonu, a w przypadku aparatów wyposażonych w moduł GPS – umożliwi odnalezienie urządzenia. Aby nie dać ewentualnemu znalazcy nawet chwili na odczytanie zawartości telefonu, najważniejsze dane powinny zostać zaszyfrowane.

Maciej Ziarek, ekspert ds. bezpieczeństwa IT, Kaspersky Lab Polska

2013-11-12 13:03:00

powrót

Dołącz do dyskusji na FB

»

 

19 września, Warszawa, Konferencja "Zarządzanie kryzysowe - komunikacja i kooperacja służb", http://successpoint.pl

20 września, Warszawa, Bezpieczeństwo i Niezawodność Systemów Informatycznych, http://gigacon.org

26 września, Warszawa, Konferencja "Nowoczesna kancelaria i dział prawny - bezpieczeństwo danych, obieg dokumentów i zarządzanie sprawami", http://successpoint.pl

Więcej wydarzeń...

Wejdź i poznaj zadania realizowane aktualnie przez służby mundurowe

»

Rozmowa BP

»


mł. insp. Jarosław Magiera
,
naczelnik Wydziału Radiokomunikacji Biura Łączności i Informatyki KGP: Policja od lat zabiega o jednolity cyfrowy system łączności radiowej.
więcej...



Artur Hołubiczko,
prefekt Krajowej Rady Komendantów Straży Miejskich i Gminnnych: Zadania strażnika miejskiego na służbie patrolowej nie różnią się od policyjnych.

więcej...



Krzysztof Kwiatkowski
, prezes NIK: MSW powinno przejąć koordynację i egzekwowanie zadań w zakresie bezpieczeństwa ruchu drogowego.
więcej...



Edyta Wcisło
, przewodnicząca Polskiej Rady Ratowników Medycznych: Dwie osoby w zespole ratownictwa medycznego to za mało.
więcej...


Newsletter

»

Zamów newsletter