Rizika práce z domova – dokončení
Tento příspěvek navazuje na již publikované články na téma Rizika práce z domova. Doporučuji si nejprve přečíst 1. díl a 2. díl.
V tomto závěrečném díle bychom se měli zamyslet nad tím, jaká je pravděpodobnost, že zaměstnanec bude útočníkem donucen k činnosti, která povede k narušení důvěrnosti, integrity a dostupnosti dat.
Pokud se útočník rozhodne data ukrást nebo zmodifikovat a slabé metody sociálního inženýrství selžou a bezpečnostní opatření se mu nepovede překonat, neboť zjistí, že k provedení svého záměru bude potřebovat aktivní spolupráci někoho z dané společnosti, bude se muset rozhodnout, zda předem vytipovaného pracovníka, který disponuje vzdáleným přístupem do IS, donutí k provedení dané akce na pracovišti nebo u něho doma. Lze očekávat, že s největší pravděpodobností se rozhodne donutit ho k provedení dané akce u něj doma, protože takové pracoviště:
- není hlídáno ostrahou a je snadné se na něj dostat;
- není napojeno na pult centrální ochrany;
- není vybaveno kamerovým systémem;
- nejsou zde osoby, které by mohly danému jednání zabránit;
- nejsou zde svědci, kteří by mohli útočníka z daného jednání usvědčit.
Jak by v praxi takový útok asi probíhal, nechám čistě na představivosti čtenáře. Ale asi není příliš těžké si představit, že útočník bude našeho zaměstnance nějakou dobu sledovat, poté vnikne do jeho bytu, tam mu přiloží pistoli k hlavě a slušně ho poprosí, aby se přihlásil do informačního systému a udělal přesně to, co chce. Poté mu poděkuje a odejde. Ovšem je potřeba počítat i s tím, že útočník nebude zrovna gentleman.
Ke zvýšení bezpečnosti můžeme zavést tato opatření:
- bezpečnostní fólie na sklo;
- mříže do oken;
- bezpečnostní dveře a zámek;
- čidla a alarm;
- napojení na pult centrální ochrany;
- ostraha objektu;
- recepce;
- hlídací pes;
- kamerový systém;
Dosti problematická situace může nastat v okamžiku, kdy bude do systému povolen přístup pracovníkům s různým oprávněním. Pokud by například jeden pracovník měl práva jen pro čtení (říkejme mu pan R) a nejednalo by se o data důvěrná, mohli bychom prohlásit, že takový pracovník může pracovat v podstatě odkudkoliv a nemusí být na jeho domácím pracovišti zavedena žádná opatření. Teď si ale představme, že máme druhého pracovníka, který má do aplikace též přístup, ale má přidělena práva pro zápis (říkejme mu pan W). Je zřejmé, že v jeho případě může dojít k narušení integrity nebo dostupnosti těchto dat úmyslnou nebo neúmyslnou modifikací, případně může všechna data i smazat. Mimochodem o tom, jak hrůzné následky může mít narušení integrity, pojednává článek integrita. Rozhodneme se tedy, že pracoviště takového zaměstnance zabezpečíme lépe. Jestliže je cílem útočníka provést změny v datech ke komu domů půjde? K pracovníkovi R nebo k pracovníkovi W? Správně k R, protože tam žádné opatření nebude muset překonávat a na účet uživatele W se přihlásí i z pracoviště uživatele R. Na první pohled se jako řešení jeví umožnit daným pracovníkům přihlásit se jen z vybraného počítače a v danou dobu.
Ovšem pořád jsme nevyřešili ten problém, kdy máte pistoli u hlavy a máte provést přesně to, co po vás útočník chce. Jako řešení se nabízí možnost přihlásit se do jiného systému, kde budou jiná data nebo se přihlásit na speciální účet, který bude monitorován a v okamžiku, kdy k přihlášení dojde, bude zahájena akce podle předem naplánovaného scénáře. I toto řešení má však své úskalí. Pracovník může tvrdit, že se stal obětí přepadení a že útočník věděl o tom, že společnost použila takovéto řešení a donutil ho přihlásit se na normální server nebo účet. Toto tvrzení však nemusí být vůbec pravdivé a útok může být pouze fingovaný.
A co vy, umožňujete svým zaměstnancům přistupovat vzdáleně do všech aplikací a systémů?
Štítky: práce z domova, rizika
K článku “Rizika práce z domova – dokončení” se zde nenachází žádný komentář - buďte první.
Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.
