Oproti běžným internetovým úložištím, kterým byl věnován předchozí příspěvek, nabízejí virtual data rooms kromě vysoké dostupnosti i zajištění důvěrnosti a integrity uložených informací. Taková služba je však mnohem dražší, koneckonců není primárně určena pro běžné uživatele, ale pro společnosti, které potřebují zpřístupnit, např. v rámci procesu due diligence, velké množství důvěrných informací svým obchodním partnerům.

Původně se tyto důvěrné dokumenty zpřístupňovaly ve skutečných místnostech, do kterých byl povolen fyzický vstup jen vybraným osobám a po ověření jejich totožnosti. Veškerá činnost v těchto místnostech byla monitorována, to znamená, že lidé v těchto místnostech byli pod trvalým kamerovým dohledem. To proto, aby se zabránilo nežádoucí manipulaci s papírovými dokumenty.

S rozvojem informačních technologií se však nabízí možnost využít tzv. virtuálních datových místností. Mnohé společnosti již těchto služeb využily a díky tomu se jim podařilo nejen značně snížit transakční náklady, ale výrazně i zkrátit délku trvání nejrůznějších fůzí, akvizicí a multilaterálních jednání, v rámci kterých je nutné zpřístupnit ostatním účastníkům jednání vybrané dokumenty. Důvod je prostý, dokumenty není nutné nikam fyzicky dopravovat a stejně tak ten, kdo se s nimi má seznámit, nemusí nikam cestovat.

Oproti tradičním data room přináší virtual data rooms pár funkcí navíc. Vzhledem k tomu, že všechny dokumenty jsou uloženy v elektronické podobě, lze s nimi velice efektivně pracovat. Naskenované dokumenty jsou převedeny do ORC a zaindexovány, takže v nich lze velice rychle a snadno vyhledávat, což v papírových verzích trvalo nesrovnatelně déle. Předpokladem pro pohodlnou práci s těmito dokumenty je intuitivní rozhraní v mateřském jazyce právě přihlášeného uživatele.

Nutno podotknout, že na světě existuje jen několik málo společností, o kterých můžeme říci, že jimi nabízená služba virtual data room, dosahuje úrovně bezpečnosti blížící se tradičním data room. Úroveň kvality poskytovaných služeb ze strany těchto společností je různá, stejně jako jimi použité technologie. Pokud máme posoudit úroveň bezpečnosti těchto služeb, musíme stejně jako vždy hodnotit, jak se dané společnosti vypořádaly se zajištěním důvěrnosti, integrity a dostupnosti informací a to po celou dobu životního cyklu těchto informací.

Důvěrnost

Musí být zajištěno, že se k informaci uvedené v dokumentu nedostane neoprávněná osoba, a proto jsou dokumenty šifrovány, a je k nim řízen přístup, který se navíc často kombinuje s DRM. Je nabízena ochrana proti kopírování, tisku, prohlížení z jiného než předem určeného počítače, probíhá kontrola na současný přístup pod jedním uživatelským jménem z více počítačů (concurrent access). Kromě řízení přístupu k uloženým dokumentům (coarse grained access control) je řízen přístup i k jednotlivým částem dokumentu (fine grained access control). Tím je zajištěno, že se daná společnost, skupina nebo jednotliví uživatelé dostanou jen k těm informacím, se kterými jsou oprávněni se seznamovat (need to know princip). Též informace přenášené po síti jsou chráněny, neboť jiné než šifrované spojení nepřipadá v úvahu.

Integrita

Musí být zajištěno, že nedojde k neoprávněné změně v daném dokumentu, proto jsou dokumenty digitálně podepsány a je k nim řízen přístup. Proti narušení integrity vlivem poruchy HW se nejčastěji využívá diskových polí a po každé změně v úložišti proběhne záloha.

Dostupnost

Dokumenty musí být dostupné pro oprávněné osoby v okamžiku, kdy s nimi potřebují pracovat. Vzhledem k tomu, že je nabízena dostupnost 24/7/365, bývá obvykle celé řešení postaveno na technologiích zajišťujících vysokou dostupnost (high availability), distribuovaném zálohování, geografických clusterech, vysokorychlostním připojením přes dva internetové providery, dvěma nezávislými přívody el energie, systémem UPS a dieselagregátem. Možnost sdílení neomezeného množství dokumentů neomezeným počtem současně připojených uživatelů je sice v nabídce, nicméně společnosti, které službu virtual data room nabízí, dobře vědí, že to mohou slíbit. Množství dokumentů a uživatelů totiž nikdy nedosahuje velkého počtu, neboť není v zájmu společností využívajících těchto služeb zpřístupňovat své dokumenty širokému okruhu osob.

Neodmítnutelnost

Vzhledem k tomu, že musí být zřejmé, kdo a kdy daný dokument do úložiště umístil, řeší se tento požadavek el. podpisem a časovým razítkem. Kromě toho musíme ale i vědět, kdo, kdy a odkud si daný dokument prohlížel. V tomto případě se využívá dynamického automatického watermarkingu, kdy je každý dokument v okamžiku svého zobrazení opatřen značkou, ze které je pak možné, identifikovat jméno přihlášeno uživatele, datum, čas, IP adresu apod.

Auditovatelnost

Vzhledem k tomu, že může dojít k podvodnému jednání kterékoliv se zúčastěných stran, zaznamenává poskytovatel této služby veškeré činnosti v jeho systému do auditního žurnálu. V případě sporu nebo na vyžádání kteréhokoliv oprávněného účastníka je potom schopen poskytnout informace o tom kdo, kdy a s jakým dokumentem pracoval.

Samozřejmostí, ze strany poskytovatele těchto služby je implementace odpovídajících opatření na úrovni fyzické, logické, technické, personální, komunikační a organizační bezpečnosti.

No related posts.

Spousta uživatelů internetu si oblíbila nejrůznější internetová úložiště, neboť jim umožňují sdílet zajímavé soubory se svými přáteli a známými. Tato úložiště a s nimi spojené výhody by rádi používali i ve svém zaměstnání v rámci projektů, na kterých pracují, leč většina společností žádné kolaborační nástroje nenabízí a použití internetových úložišť je v rozporu s jejich bezpečnostní politikou.

A přitom, pokud na nějakém projektu pracuje více lidí, je použití jakéhokoliv internetového úložiště mnohem efektivnější, než rozesílání mailů s přílohami všem členům projektového týmu. Navíc v době, kdy spousta projektových týmů je virtuálních a jejich členové se tak nacházejí mnoha různých zemích a pracují pro různé společnosti, může být rozeslání mailů s přílohami docela problém. Je třeba si uvědomit, že různé firmy uplatňují rozdílnou politiku, co se týká velikosti příchozí zprávy, typu souborů apod. V praxi se tak stává, že se poštu nepovede některým účastníkům týmu z nejrůznějších důvodů doručit. A je jedno, zda zpráva neprošla proto, že příjemce měl plnou schránku nebo proto, že byla překročena velikost zprávy stanovená správcem poštovního serveru. Výsledek je ve všech případech stejný, odesílatel ztratí spoustu času, než se mu podaří doručit všem členům týmu tu spoustu nejrůznějších dokumentů, spreadsheetů a prezentací. V okamžiku, kdy v jakémkoliv dokumentu dojde ke změně, znamená to, všem členům týmu poslat aktuální verzi.

Pokud využijeme služeb některého internetového úložiště, nemusíme tyto problémy vůbec řešit. Většina těchto služeb funguje na stejném nebo obdobném principu a obvykle své služby nabízejí jak zdarma, tak i za poplatek. Ve verzi zdarma je obvykle uživatel nějakým způsobem omezen, ať už zobrazovanou reklamou, objemem a počtem souborů, které může do úložiště nahrát nebo dobou, po kterou může úložiště zdarma používat. Za poplatek mu je pak nabídnuta neomezená disková kapacita a delší doba, po kterou může službu používat. Kromě toho je k některým úložištím možné přistupovat jak přes webové rozhraní, tak s ním pracovat jako s běžným diskem, který se objeví mezi ostatními disky. Rozdíl mezi lokálním diskem a tímto virtuálním diskem kdesi na internetu pak uživatel pozná jen podle rychlosti přístupu k souborům na těchto discích uložených.

Proč tedy služeb některého z mnoha internetových úložišť nevyužít?
Jde o to, že v obchodních podmínkách většiny těchto úložišť je bez ohledu na to, zda se jedná o placenou nebo neplacenou variantu, uvedeno, že poskytovatel dané služby neposkytuje žádné záruky a zříká se jakékoliv odpovědnosti za případné škody vzniklé v důsledku ztráty či vyzrazení informací v průběhu přenosu dat nebo jejich uložení. Dále se v těchto podmínkách také dost často uvádí, že daná služba může být kdykoliv pozastavena  nebo dokonce i zrušena a to bez udání jakéhokoliv důvodu a předchozího upozornění. V obchodních podmínkách bývá také často uvedeno, že na adresu, kterou uvedete při registraci, budou zasílána reklamní sdělení provozovatele dané služby nebo třetích stran. Pojďme se společně zamyslet nad tím, jak je v internetových úložištích zajištěna důvěrnost, integrita a dostupnost dat.

Důvěrnost
V některých podmínkách se uvádí, že soubory mohou být zaindexovány kvůli vyhledávání. Pro útočníka to může být velice cenná informace, protože pokud bude znát názvy souborů a jejich umístění, může si odvodit, kdo k nim asi přistupuje a poté se může pokusit k nim získat přístup za použití technik sociálního inženýrství. Kromě toho to bude přímo poskytovatel dané služby, který bude mít k vašim datům přístup a bude moci těchto informací zneužít. Řešením proto je tato data šifrovat.

Integrita
Stejně jako v případě zachování důvěrnosti, tak ani zde nemáte žádnou záruku, že poskytovatel data v úložišti nepozměnil. Řešením je opět tato data šifrovat nebo je alespoň el. podepisovat, tedy pokud jejich obsah není důvěrný a nám jde jen o to zajistit, že nebudou bez toho, aniž bychom to zjistili, pozměněna.

Dostupnost
U těchto služeb obvykle není zaručena žádná dostupnost. Služba může být z jakéhokoliv důvodu nedostupná (může se jednat o běžnou údržbu systému, nasazení kritický patchů, DoS útok, ukončení poskytování této služby). Ke svým datům se tak nedostanete. Kromě toho byste si měli dát pozor na to, zda daná služba neomezuje dobu uložení a velikost souborů, které mohou být do úložiště nahrány. Mohlo by se stát, že vaše soubory budou bez předchozího upozornění nenávratně smazány. Takže doporučujeme tato data pravidelně zálohovat.

Závěr
Podstatné je, že s podmínkami musíte, pokud chcete danou službu používat, souhlasit. Bezpečnost celého řešení je tak založena čistě jen na důvěře uživatele, že poskytovatel dané služby dodržuje základní bezpečnostní pravidla. Tak tomu ale vůbec nemusí být. Odpovědnost za zajištění důvěrnosti, dostupnosti a integrity dat je jednoznačně přenesena na uživatele této služby. To znamená, že byste měli důvěrná data šifrovat, podepisovat a řídit k nim přístup. Heslo, které se pro přístup do této služby používá, by mělo být dostatečně silné a nemělo by se přenášet po síti v otevřeném tvaru. Z výše uvedených důvodů doporučujeme společnostem, které takto potřebují pracovat, nasadit komerční řešení a data mít uložena na svých serverech a pod svojí správou. Ostatním doporučujeme si důkladně přečíst obchodním podmínky poskytovatele dané služby a dát si pozor na výše uvedená rizika.

No related posts.