E-ITSPEA 14: Andmeturveː tehnoloogia, koolitus ja reeglid

Inimene kui suurim IT turvarisk

 Võiks arvata et kõige suurem turvarisk on mõni  tarkvaraviga või turvapaik, mida pole lapitud, mõni krüpteerimata seade või valesti konfigureeritud server. Ometigi saame aru et tegemist ei ole ju seadmete veaga vaid inimfaktoriga. Nende näidete puhul on ebaturvalisuse tekitanud inimene ise, IT süsteem käitub täpselt nii nagu ta käituma on pandud.

Inimfaktorist tulenevaid vigu saab vähendada (mitte ellimineerida) eelkõige Mitnicki valemi kolme komponendi (tehnoloogia, koolitus, reeglid) abil.

Tehnoloogia

 Kuidas välistada inimese tekitatud turvarisk? Väga lihtne, ära luba inimesel eksida, vii eksiminsvõimalus miinimumini. Kõige paremini kaitseb serverit internetist tulevate mistahes rünnete vastu serveri internetiga mitte ühendamine. Aga siin tuleb ka arvestada et inimesed on vägagi leidlikud. Olen näinud IT-süsteeme, mis ei ole ette nähtud internetiga kokku puutuma. Valveadministraatoril oli nii igav et otsustas arvutiga ühendada USB 4G modemi ja saigi internetiühenduse. Keegi ei tulnud selle peale et lisaks tuleks ka ära keelata igasugused pordid ja tarkvara installeerimise, draiverite installeerimise võimekus.

Koolitus

 Olen koolituse saanud, seesama koolitus mis mul oli 11 aastat tagasi on väga hästi meeles. Ära usalda kedagi, ära topi võõraid seadmeid arvutisse, ära käi kahtlastel lehekülgedel, ära ava kahtlaseid manuseid, ära installeri tundmatut tarkvara jne jne.

Me kõik teame neid nüansse ju. Ometigi võib juhtuda et tahest tahtmata juhtub...

Meie ettevõttesse saabusid paar aastat tagasi turvakoolitajad, selle kohta saadeti ka töötajatele infokiri, kehitasin õlgu, mis siis ikka, tore, ma ju tean reegleid ja elementaarseid nüansse, mind pole vaja koolitada.

Möödusid mõned nädalad ja mu postkasti potsatas õhtul kell 17.05 kiri personaliosakonnast, uudis oli väga meeldiv, nimelt olid määratud preemiad ja seoses uue personalitarkvara kasutuselevõtmisega saavad kõik nüüd ise personalitarkvarast minna sellega tutvuma, kehtivad samad paroolid mis kõikides muudeski süsteemides. Suurepärane! Tahan kohe teada, kui palju ma preemiat sain! Seda enam et sellist asja pole kunagi juhtunud. Vajutasin siis kirjas olevale lingile, avanes täiesti tavapärane personalitarkvara vaatega lehekülg(mida olin ka ennem külastanud kordi ja kordi), püüdsin siis sisse logida, kahjuks ei õnnestunud.

Alles siis ma sain aru, millega oli tegemist, e-post oli saabunud mitte meie ettevõtte serverist vaid väljastpoolt, e-mailis oli tavapärase xxxxxx@personal.ee asemel xxxxxx@personol.ee (need aadressid ei seostu mitte millegagi ja on lihtsalt näite illustreerimiseks toodud). Lingina kaasas olnud viide viis aga väljaspool maja olevasse maskeraadserverisse, kuhu ma sisestasin enda töökontode logimise andmed koos paroolidega. Loomulikult kui asjast aru sain vahetasin koheselt kõik oma paroolid ja teavitasin sellest ka IT-d. Selgus et tegemist oligi koolituse ühe elemendiga.

Olin endas nii pettunud, mina, IT teadlik inimene, langesin sellisesse lõksu!

Reeglid

 Kõige aluseks on reeglid, koolituse, tehnoloogiat saab rakendada reeglitega. Näiteks arvutisse võõraste seadmete sisestamise keeld, tarkvara installeerimise keeld, e-postiga kaasas olevate linkide avamise keeld. Aga ometigi on inimesed ekslikud, kas unustavad, ei pane tähele, eksivad. 

Enda tähelepanekuna võin öelda et turvalisus ja mugavus peavad olema tasakaalus, selle tasakaalu leidmine ei ole sugugi lihtne. Näiteks kõige mugavam oleks kui mitte ükski asi ei oleks lukus, ei arvuti, ei välisuks, telefon jne jne. See oleks väga mugav, samas äärmiselt ebaturvaline. Kui kõikidel asjadel oleks topeltkrüpteeringud, välisuksest saaks sisse ainult siis kui keeratakse kahte võtit, mis peavad kuuluma kahele isikule... väga turvaline! Kuid see eest äärmiselt ebamugav. Inimesed hakkaksid ebamugavusest mööda hiilima ja nad on juba paganama leidlikud, mõnikord nad isegi ei arva et nad millegi vastu eksiksid või midagi valesti teeksid. Selle vastu aitavadki reeglid, milles on üheselt kirjeldatud, mis on lubatud ja mis ei ole lubatud. Kuidas saab arvutisse väliseid seadmeid paigaldada ja kes selle eest vastutab.