Podobieństwa i różnice

[Tadeusz Lemańczyk]

Postawcie się na chwilę w roli autorów publikacji PN-ISO/IEC 17799 Technika informatyczna. Techniki bezpieczeństwa. Praktyczne zasady zarządzania bezpieczeństwem informacji. Copyright by PKN, Warszawa 2007 piszących na stronie 60 następujące słowa:

Elektroniczne wiadomości, takie jak poczta elektroniczna, elektroniczna wymiana dokumentów (EDI) oraz komunikatory, odgrywają coraz większą rolę w komunikacji biznesowej. Z wiadomościami elektronicznymi związane są inne ryzyka niż z komunikacją papierową.

Jakie ryzyka związane z wiadomościami elektronicznymi, a nie związane z komunikacją papierową potrafilibyście wymienić? Następnie postawcie się w roli adwersarzy tychże autorów akcentując ryzyka, które wspólne są dla wiadomości elektronicznych i komunikacji papierowej. Czego jest więcej - podobieństw, czy różnic? A co w zarządzaniu systemami i sieciami więcej waży - te podobieństwa, czy te różnice?

[Szukalski Bartosz]

Niby masz racje ale spójrzmy prawdzie w oczy - w 90 % jeśli nie znasz mojego hasła nie jesteś w stanie przejrzeć jakiejkolwiek informacji elektronicznej a papier to rzecz ulotna.
Pewnie jeśli jakiś "haker" będzie chciał dostać informacje to je dostanie i to z drugiej strony świata. Z pewnością jednak będzie to wymagało dużo lepszych umiejętności niż wejście i porwanie paru kartek z biurka szefa.

Nie zapominajmy tez ze wielokrotnie dane które powinny zostać zniszczone [opowiem znana mi sytuacje - dane osobowe podawane lekarzom] sa wyrzucane na śmietnik bądź makulaturę gdzie właściwie każdy ma do tego dostęp. Dla potwierdzenia tych słów dodam ze poznański NFZ nakłada potężne kary za brak takich urządzeń jak niszczarki do papierów [jeśli mi sie uda znaleźć wrzucę źródło tych danych niestety w tej chwili nie jestem w stanie] dane elektryczne możną zniszczyć w ciągu paru sekund

[Piotr Ziółkowski]

Zawsze jest jakaś wada i zaleta. Tak samo jest w przypadku komunikacji elektrycznych jak i papierowej. Wszystko jednak polega na zaufaniu do operatorów sieci, czy ludzi z archiwum, gońców itp. Praktycznie każdy z kurierów, listonoszy, czy nawet zarządcy "mail-ingu", mogliby czytać nasze wiadomości i na wiele różnych sposobów je wykorzystać. Dlatego oprócz ogólno działającego prawa, działa również prawo moralne, http://nowespoleczenstwo.most.org.pl/p6.htm (w którym jest mowa o poszanowaniu naszej jednostki ale oczywiście nie tylko).

Dlatego chciałbym zwrócić uwagę że istnieją firmy zajmujące się niszczeniem informacji, zarówno umieszczonych na papierze jak i w bazie danych. Owszem przekażemy je do zlikwidowania, wystąpi pewna niepewność co się z nimi tak naprawdę stanie, dlatego firmy zajmujące się niszczeniem takich dokumentów, proponują a nawet nalegają na obecność przy ich niszczeniu. Jednak jest to moje zdanie, każdy może być innego.

[Patryk_Walentyniowicz]

Zagrożenia , które dotyczą formy elektronicznej ,a nie dotyczą formy pisemnej to na pewno niebezpieczeństwo wynikające z prostego komunikowania się drogą internetową ( http://in.hdt.pl/viewtopic.php?t=301&postdays=0&postorder=a... akcentując na ostatni post, gdzie mowa o robaku rozprzestrzeniającym się przez komunikatory).

„Powszechnie wiadomo iż trudniej jest ukraść np. szefowi firmy jakieś dane z komputera, niż ukraść list z biurka szefa w którym znajdują się interesujące złodzieja dane.” Czytając takie informacje jak ta http://in.hdt.pl/viewtopic.php?t=2246 trudno się nie zgodzić z tym zdaniem. Jeżeli hakerzy potrafią złamać największe zabezpieczenia żadna informacja nie może czuć się tak naprawdę bezpieczna.

Idąc twoim tropem myślenia Zbyszka – czy „klucz” nie może zginąć? Zniszczyć się? Czy ktoś nie może nam go po prostu wziąć ? Oczywiście, że tak i jeżeli chodzi o kradzież dokumentów czy po prostu danych elektronicznych trzeba mieć świadomość zagrożenia, które może przyjść równie nieoczekiwanie co prosta kradzież papierów z biurka nie trudno znaleźć na ten temat jakieś informacje [ http://wyborcza.pl/1,75475,2492595.html ] Również forma pisemna ma zabezpieczenia i przepisy (http://www.iniejawna.pl/przepisy/mswia/mswia_49.html )

Ciężko byłoby mi w tym momencie zdecydować, która forma jest jedyna i słuszna. Na pewno podobieństwem jest to , iż jedna i druga metoda zapisywania danych narażona jest na wiele niebezpieczeństw , które na pewno można zminimalizować(ale chyba nie uniknąć w 100%). Zasadnicza różnica to przede wszystkim wygoda w prowadzeniu takich zapisków i ich ewentualna aktualizacja.

[Ewa Rytwińska]

Odniosę się do ryzyka związanego z wiadomościami elektronicznymi oraz z komunikacją papierową.

Transakcje zawierane na odległość (czy przez Internet) są obarczone dużym ryzykiem: np. jest możliwość podrobienia podpisu dyrektora firmy, złamanie szyfrów i skopiowanie tajnych danych, które sprzedane zostaną konkurencyjnej firmie. Obok umów zawieranych on–line w obrocie gospodarczym występują także inne formy komunikacji na odległość np. zamówienia
przez telefon lub przez katalogi wysyłkowe, które ukierunkowane są jedynie na umowy konsumenckie. „Podpisując” umowę on-line np. na słynnej stronie www.allegro.pl (gdy decydujemy się np. zakupić dla znajomego prezent na urodziny), często bez wahania dokonujemy płatności na konto bankowe za dany zakup, bez zastanowienia się „czy przypadkiem nie zostaniemy oszukani przez sprzedającego, czy w ogóle paczka do nas dotrze, lub czy nie ujrzymy w niej puszek po piwie zamiast dokonanego zakupu”.
Umowy na odległość są bez jednoczesnej obecności obu stron. Nie dochodzi tutaj do kontaktu stron, a co za tym idzie nie można bliżej ocenić partnera umowy, ewentualnie nie można sprawdzić towaru lub usługi przed zawarciem umowy.
E-maile można sfałszować, włamując się do jakiegoś konta komputerowego i wysyłając z tego konta wiadomości.

Transakcje „twarzą w twarz” za pomocą komunikacji papierowej również są niebezpieczne. Istnieje ryzyko sfałszowania dokumentów. Dla fałszerze wartość wzrasta, ale maleje dla tej strony, której podpis sfałszowano, oraz dla innych osób które mogą zostać oszukane i wierzą, ze dokument jest prawdziwy. Złodzieje tożsamości posługują się fałszerstwem, wtedy, kiedy podpisują czeki, podania o kredyt i inne dokumenty w imieniu swoich ofiar.

[Tomasz Piosik]

Przede wszystkim - różnice. W przypadku komunikacji papierowej istotą zabezpieczenia jest zabezpieczenie przed fizycznym dostępem osób niepowołanych poprzez ulokowanie w miejscu niedostępnym dla nich. W przypadku komunikacji elektronicznej zabezpieczanie polega raczej na odpowiednim zaszyfrowaniu informacji (lub zabezpieczeniu miejsca w którym informacja jest przechowywana). Już sam fakt iż sposób wykradania informacji w tych przypadkach polega na zupełnie czymś innym narzuca wnioski iż ryzyka muszą być różne. Ponieważ dostęp do informacji w formie elektronicznej nie wymaga bezpośredniego fizycznego dostępu do danych, nie wystarcza samo zabezpieczenie przed dojściem. Również sama informacja powinna być zaszyfrowana. I nie zgodziłbym się z opinią iż łatwiej dostać się do dokumentów papierowych niż elektronicznych. Nikt nie trzyma na widoku, otwartych ważnych dokumentów, za to niezabezpieczone dokumenty na serwerze - to się może zdarzyć, szczególnie, że niestety nie wszyscy zdają sobie sprawę z konieczności zabezpieczania danych elektronicznych. A wynika to nieświadomości, że ktoś inny może mieć do nich dostęp. Kolejną sprawą jest fakt iż, gdy zabezpieczymy informację papierową (chociażby zaklejając ją w kopercie) widzimy, kiedy zostanie ona otwarta. W przypadku informacji elektronicznej - można skopiować plik, a właściciel się nie dowie, że ktoś uzyskał do niego dostęp (oczywiście da się monitorować, ale nie każdy ma tę świadomość). W komunikacji papierowej kontrola dostępu do informacji jest łatwiejsza. Przy odpowiednim zabezpieczeniu łatwiej się zorientować iż ktoś próbował się włamać (Chociażby monitoring pomieszczeń.) Kontrola i zabezpieczanie komunikacji elektronicznej są trudniejsze (choć darmowe aplikacje są łatwo dostępne http://in.hdt.pl/viewtopic.php?t=11&highlight=elektroniczne ) i moim zdaniem znacznie trudniej o pewność skutecznego zabezpieczenia.

[Weronika Otto]

„W przypadku komunikacji papierowej istotą zabezpieczenia jest zabezpieczenie przed fizycznym dostępem osób niepowołanych poprzez ulokowanie w miejscu niedostępnym dla nich. W przypadku komunikacji elektronicznej zabezpieczanie polega raczej na odpowiednim zaszyfrowaniu informacji (lub zabezpieczeniu miejsca w którym informacja jest przechowywana).”

Komunikacja papierowa niesie za sobą takie niebezpieczeństwo, że nie można jej zaszyfrować w oryginale. Owszem, zabezpieczenia przed fizycznym dostępem osób niepowołanych jest dość pewnym rozwiązaniem przy zachowaniu odpowiednich środków, co poruszone było w temacie (http://fedcba.ning.com/group/bi/forum/topics/zabezpieczanie-biur) oraz powołanie się na politykę „czystego biurka i ekranu” – gdzie stosowane jest to już w większości pomieszczeń biurowych, choć nie wszyscy używają takiej nazwy. Nikt nie poruszył dość dużego zagrożenia  związanego z papierowym sposobem dokumentacji jakim jest pożar. Wówczas warto byłoby się zabezpieczyć w postaci archiwizowania dokumentów na nośnikach przechowywanych poza obiektem.

Komunikacja elektroniczna niesie za sobą 2 podstawowe zalety:  możliwość sposobu zabezpieczania  na poziomie zaawansowanym oraz szyfrowanie podczas przesyłu.

Zasoby organizacji, przesyłu danych itp. chroni firewall, który dobrze skonfigurowany może okazać się skuteczny. Firewall jako ochrona sprzętu komputerowego oraz sieci wewnętrznej LAN jest bardzo rozpowszechniona.

Dodatkowo dla systemów Linux do filtrowania pakietów sieciowych IPV4 zainstalować można narzędzie Iptables. Konfigurację krok po kroku znajdziemy na polskiej stronie: http://zsk.wsti.pl/publikacje/iptables_przystepnie.htm  oraz stronach Linux’a, np: http://www.justlinux.com/nhf/Security/IPtables_Basics.html.

Zaszyfrowanie informacji zawartej w komunikacji elektronicznej oraz przesyłu danych odbywać się może za pośrednictwem PGP (Pretty Good Privacy). Projekt ten służy szyfrowaniu informacji oraz weryfikowaniu źródła maila. PGP korzysta z kryptografii asymetrycznej i działa na zasadzie pary kluczy: prywatnego i publicznego. Więcej informacji na ten temat oraz sposobie wygenerowania takiego zabezpieczenia na swoich komputerach znajdziemy na stronie:

http://di.com.pl/porady/24776,0,Bezpieczenstwo_poczty_elektroniczne...

Stosowanie podpisu cyfrowego eliminuje ryzyko powstałe z przesyłem informacji przez komunikację elektroniczną oraz w pewnym stopniu upodabnia ten sposób wymiany dokumentów do odpowiednika ”papierowego”, gdyż: 

- eliminuje zagrożenie związane z autentycznością autorstwa dokumentu,

- złożenie podpisu elektronicznego stanowi dowód nadania wiadomości (czego nie można oczekiwać po wysłaniu „zwykłego” maila, a jedynym dotąd, np. w drodze roszczeń sądowych, niezaprzeczalnym dowodem na dostarczenie wiadomości był dowód wysłania listu na poczcie)

- eliminuje zagrożenie modyfikacji treści dokumentu po złożeniu podpisu przez autora.

Osobiście uważam, że taki sposób zabezpieczeń, choć trudniejszy, jest bardziej skuteczny.

[Tadeusz Lemańczyk]

Pani Moniko, miarą celności Pani komentarza niech będzie fakt, że powołałem się nań przed chwilą w dyskusji "A Short Review of the Economic Espionage Act Debate" ( http://competitiveintelligence.ning.com/xn/detail/2036441:Comment:3... ). Serdecznie dziękuję.

[Tadeusz Lemańczyk]

Ubiegłoroczna afera WikiLeaks ostatecznie i nieodwołalnie uświadomiła nam najbardziej elementarne zagrożenie w tym obszarze. Cytuję:

25 lipca 2010 roku w serwisie opublikowano około 77 tysięcy wojskowych dokumentów dotyczących wojny w Afganistanie, obejmujących okres od stycznia 2004 do grudnia 2009 roku[14].
22 października w WikiLeaks opublikowano 391 832 dokumenty o wojnie w Iraku, co również wywołało kontrowersje[15].
28 listopada 2010 w WikiLeaks rozpoczęła się publikacja 251 287 depesz dyplomatycznych z amerykańskich ambasad na całym świecie.
http://pl.wikipedia.org/wiki/WikiLeaks

Jak sądzicie, ile kliknięć kosztowało wejście w posiadanie tych tysięcy dokumentów elektronicznych? A ile lat musiałby ktoś taki jak Elyas Bazna ( http://pl.wikipedia.org/wiki/Elyas_Bazna ) poświęcić na  sfotografowanie ich papierowych odpowiedników?

[Natalia Kurant]

Zacznę od tego, że wraz z wgłębianiem się w wasze komentarze byłam coraz bardziej zdziwiona, że nikt nie zwrócił uwagi na ważny szczegół. Dopiero Agata Baranowska o nim wspomniała, chodzi mi o zgubienie wiadomości.

Wszyscy wiemy, że bez względu na to, czy wysyłamy informacje drogą elektroniczną,  czy też pocztową, istnieje ryzyko, że nie trafią one do adresata. Jesteśmy też świadomi, że mniejszą kontrolę mamy nad przesyłką, którą wysyłamy w tradycyjny sposób. Wiele razy listonosz wrzucał do mojej skrzynki listy sąsiadów, rachunki mojej ciotki (ma takie nazwisko jak ja więc może nie chciało mu się sprawdzać adresu ;) ). Jeśli nie miałabym ochoty "wtrącać się" w interesy sąsiadów, to z pewnością płaciliby rachunki z odsetkami, a tego chyba nikt nie lubi... Oczywiście w porównaniu do tajnych dokumentów odsetki za rachunek to błahostka, ale mimo wszystko nieprzyjemna.

Ostatnio otrzymałam dwie przesyłki z Anglii, chociaż wiedziałam o wysłaniu jednej. Postanowiłam poczekać, aż nadawca się ze mną skontaktuje, bo jedna z paczek była zapakowana nie w jego stylu. Po dwóch dniach zadzwoniła do mnie firma przewozowa z pytaniem, czy nie otrzymałam od nich przesyłki. Oczywiście byłam uczciwa i się przyznałam chociaż oni nie byli pewni czy to ja ją mam ;) Sprawdzili wszystkich, którzy otrzymali paczki tego dnia no i w końcu znaleźli.

Okazało się, że ktoś mylnie nakleił list przewozowy. Kurier miał odebrać paczkę następnego dnia, a zjawił się dopiero po prawie dwóch tygodniach. Załóżmy, że w tej paczce były prezenty dla dzieci na święta, albo ubrania na urlop w domu (święta przeleżała u mnie w schowku). Jaki wpływ miał jej właściciel na to, że jej nie otrzymał? Niestety żaden i to jest chyba najgorszy z minusów zwykłych przesyłek. 

Jeśli pomylimy adres email to możemy mieć pretensje tylko do siebie, natomiast za błędy ludzi, którym przekazujemy nasze rzeczy do wysyłki nie odpowiadamy.