Bezpieczeństwo po raz trzeci

W ostatnich dniach rozgorzała dyskusja między januszkiem a tfl. Wszystko zaczęło się od wpisu "Bezpieczeństwo - porozmawiajmy poważnie... ", trakującego o szeroko rozumianym aspekcie tego terminu. W odpowiedzi januszek skomentował to dość krytycznie w komentarzach i polemiką na swoim blogu. Zacznijmy najpierw od szerko rozumianego pojęcia "bezpieczeństwa", do którego odnosi się januszek. Zacytujmy może najpierw definicję zaproponowaną przez szwajcarskiego politologa Daniela Freia:

• stan braku bezpieczeństwa – wówczas gdy występuje rzeczywiście duże zagrożenie, a postrzeganie tego zagrożenia jest prawidłowe;
• stan obsesji występuje wtedy, kiedy nieznaczne zagrożenie jest postrzegane jako duże;
• stan fałszywego bezpieczeństwa twystępuje wówczas, gdy zagrożenie jest poważne, a postrzegane jako niewielkie;
• stan bezpieczeństwa występuje wtedy, kiedy zagrożenie zewnętrzne jest nieznaczne, a jego postrzeganie jest prawidłowe.

Najważniejsze jest jednak stwierdzenie, do którego odnoszę się w swoich audytach bardzo często:

Z "bezpieczeństwem" (które odnosi się do terminu "security" i ma w języku angielskim trochę inne znaczenia, to trochę jak z "kolaboracją" i "collaboration") informatycznym w firmie jest trochę, jak z systemem jakości - nie jest to dokument / twór martwy, musi ciągle ewaluować i dostosowywać się do zmiennych warunków.

Nie do końca rozumiem, jak januszek postrzega "bezpieczeństwo". Powiedzmy, że wracając do domu, zamykając drzwi na klucz czuję się "bezpiecznie". Mam dobrej jakości alarm antywłamaniowy, czujniki dymu, gazu, zalania, czy CO2 i inne zabezpieczenia poprawiające moje bezpieczeństwo. Zgodzę się, że po części poprawiają jedynie one mój komfort psychiczny (będąc na wakacjach będę mógł śledzić w HD, jak ktoś wynosi moje zabawki z domu), jednak nie o to chodzi. Znam zagrożenia (żywioły, czy zwykły czynnik ludzki, jak za którymś razem nie wyłączę żelazka, to będę w głępokiej dupie), ale całkowicie przestać eliminować zagrożenia?

Zgodzę się, że jak ktoś będzie chciał, to wejdzie do mojego mieszkania razem ze ścianą. To samo tyczy się infrastruktury IT: wchodząc do serwerowni, przechodząc przez kilka "bram" (odcisk palca / oka / pośladka), będąc śledzonym kamerami nikt nie ma pewności, czy nie przyjąłem się do tej pracy, własnie żeby wykraść dane. To samo też tłumaczę lokalnym IT zarówno w średniej wielkości firmom, jak i tych dużych (po 9000 pracowników). Nie jest najważniejsze, że szykując się na audyt sprawdzą, czy IOS na routerze nie jest podatny na nowy atak, albo czy użytownik z kadr przypadkiem nie ma dostępu do teoretycznie zastrzeżonego folderu zawierającego dane finansowe. W sytuacji, gdy "dział bezpieczeństwa" za bardzo cwaniakuje i chwali się procedurami, jest kilka prostych sztuczek, które sprowadzają ich na ziemię:

• najczęściej jeszcze poza recepcją w firmach można znaleźć gniazdko ethernet i wpiąć się nim do sieci wewnętrznej, nawet nie do wydzielonego VLANu ("bo tam była kiedyś prezentacja w PowerPoint wyświetlana na dużym telewizorze"),
• błędy w konfiguracji switcha: utworzenie własnego serwera DHCP, czy podpięcie się laptopem i wyczepanie puli DHCP rządaniami przyznania IP, lub wejście do sieci z adresem najważniejszego serwera (brak blokady MAC per port),
• zbyt prosty dostęp do komputerów.

Przykładów można podać, jednak nie o to chodzi. Wiadomo: bardzo ważne jest utrudnienie nieautoryzowanym jednostką dostępu do sieci, albo tym bardziej do danych, jednak ważne jest też przygotowanie się na najgorsze (DR). Nie zgodzę się natomiast, że bezpieczeństwo to gadka-szmatka.

Linki / źródła: http://www.wsge.edu.pl/pliki/teoretyczne-aspekty-bezpieczenstwa.pdf