Zabezpečení dat I

Úvodem

S problematikou zabezpečení dat (nebo obecněji bezpečnosti informací) se setkávám od roku 1992 v pozicích od základní IT podpory uživatelů, přes správce serverů až po vedoucího IT oddělení. Tyto pozice jsem zastával v různých menších firmách až po bankovní instituci a díky tomu mám přehled nejen o tom, jak tuto problematiku řešit správně, ale také o chybách a chybných přístupech, se kterými jsem se během praxe setkal.
Proto jsem se rozhodl napsat tuto sérii článků, která by měla především menším firmám pomoci zavést vhodný a efektivní přístup k bezpečnosti informací.
Popisovaná struktura práce s bezpečností vychází z filozofie normy ISO 27001 a závěrem série se budu konkrétně věnovat i Zákonu o kybernetické bezpečnosti.

Cíl článků o zabezpečení dat

Základní cíle tohoto seriálu jsou dva:

1. Seznámení managementu a IT personálu firem se způsoby, jak bezpečnost informací efektivně řídit
2. Ukázání, že firma, která se rozhodne bezpečnost dat systematicky řídit, může svoji úroveň zabezpečení výrazně zvýšit, aniž by to stálo spoustu peněz.

Co je cílem řízení bezpečnosti informací?

Důležitých cílů procesu řízení bezpečnosti informací je několik:

Vytvoření jasného přehledu o tom, co firma potřebuje opravdu chránit

Hledáme vše, co je pro firmu důležité a stanovujeme prioritu nebo hodnotu (cílem je zaměření se na věci, které mohou firmu výrazně ohrozit a také zajistit, aby cena ochrany odpovídala chráněné hodnotě).

Ochrana dat před jejich ztrátou

• Chráníme data před jejich náhodným nebo úmyslným smazáním.
• Chráníme data pro případ poruchy zařízení, na kterém jsou uložená.

Ochrana dat před zneužitím

Zajišťujeme, aby se k datům nedostal někdo, kdo je nemá vidět.

Zajištění dostupnosti dat

Zajišťujeme, aby data byla k dispozici vždy, když jsou potřeba.

Zajištění konzistence dat

Zajišťujeme, aby všichni pracovali se správnou a úplnou verzí dat.
 

Nejčastější chyby, kterých se můžeme dopustit

Když pominu situaci, kdy se bezpečnosti jednoduše někdo nevěnuje vůbec, existuje několik chyb, které nejsou na první pohled patrné, ale přitom nám mohou celé snažení o zabezpečení dost zkomplikovat. Za nejdůležitější považuji tyto chyby:

Zabezpečujeme potom, co se něco stalo…

Tím samozřejmě nechci říct, že máme ignorovat, co se stalo. Samozřejmě pokud došlo například ke ztrátě dat, je potřeba zajistit, aby se to neopakovalo. Chyba ale spočívá v tom, že je to pouze reakce na konkrétní událost… Typický reaktivní způsob práce se zabezpečením vypadal v jedné firmě takto:

• Událost I
  • Smazání dokumentů škodlivým virem
  • Reakce – instalace kvalitnějšího antivirového programu
• Událost II
  • Smazání dat uživatelem, který je považoval za zbytečná
  • Reakce – nastavení práv na úložišti dat tak, aby se tam takový nešika už nikdy nedostal
• Událost III
  • Havárie pevného disku, kde byla uložena firemní data
  • Reakce – instalace software pro zálohování dat
• Událost IV
  • Přepsání dokumentů starou verzí a následné neúspěšné obnovení dat ze záloh
  • Reakce – pravidelná kontrola zálohovaných dat

A tak bychom mohli pokračovat do nekonečna. Co tím chci ilustrovat je, že po nějakém bezpečnostním průšvihu je přirozené, že se reakce zaměří pouze na tento průšvih a chybí tam potřebný nadhled. V ilustrovaném příkladu by stačilo před první událostí zavést správně obsluhovaný zálohovací systém. Bylo by to levnější, méně by to omezilo schopnost firmy normálně fungovat a všechny události by se obešly bez ztráty dat…

Nevíme, co přesně máme chránit…

Začnu opět příkladem z praxe:
Majiteli maličké firmy jsem navrhoval, že se podívám, jak má řešeno zálohování dat. Prohlásil, že to vůbec není potřeba – všechno má v Outlooku včetně příloh, data tak má u sebe na počítači i ve své poštovní schránce, kam se může dostat odkudkoli. Nic jiného v počítači nemá. Přišel asi za půl roku s nefunkčním notebookem, pevný disk se odebral do věčných lovišť. Koupil se nový disk, počítač se znovu nainstaloval, do Outlooku se v pořádku stáhla všechna data ze schránky a pán byl v klidu. Do druhého dne. Druhý den mi zoufale volal, že měl v notebooku ještě fotky svých dětí a vnoučat za posledních 10 let a jestli z toho bude možné data dostat… Specializované firmě se to podařilo, ale záchrana stála okolo 12.000 korun. Prohlídka počítače a nastavení zálohování fotek třeba na Dropbox by stálo do hodiny práce.
Doporučení je jednoduché – nepřemýšlet jen nad daty, ale nad činnostmi, které se dělají a jaká z nich mohou vznikat data. Mohou to být i různá nastavení programů, přihlašovacích údajů, atp., která nakonec zaberou spoustu času, pokud nejsou správně odzálohována a obnovena, ale také mohou znamenat významné bezpečnostní riziko v případě krádeže notebooku nebo telefonu.

Zapomínáme na lidi…

Je to jednoduché – pokud zapomeneme, že s technikou a daty, která se snažíme chránit, pracují lidé, můžeme se ocitnout například v takovémto problému:

• IT oddělení jedné společnosti nastavilo pravidla posílání e-mailů takovým způsobem, aby nebylo možné odeslat e-mail na více než 5 adresátů najednou. Důvodem byla ochrana před rizikem, že budou hromadné zprávy považovány za spam a poštovní server společnosti se dostane na tzv. spamový blacklist (seznam serverů, které odesílají spam) a v důsledku budou problémy s doručováním e-mailů ostatním společnostem. Pro hromadné odesílání byl vyčleněn samostatný poštovní server, kde bylo možné maily odeslat přes webové rozhraní. Nasazená pravidla a především důvody k nasazení ale nebyla pořádně vysvětlena uživatelům ve firmě.
• Protože bezpečnostní opatření jsou většinou nějakým způsobem omezující, uživatelé začnou hledat způsoby, jak je obejít. V tomto případě došlo k tomu, že jedna z uživatelek si doma postěžovala bratrovi na problém s odesíláním hromadných mailů a ten jí poskytl malou aplikaci, která se připojila k jejímu Outlooku a omezení k odesílání zpráv obešla. Protože všechno fungovalo ke spokojenosti uživatelky, poskytla aplikaci všem svým kolegům na oddělení. A protože aplikace byla jednoduchá, dobře se s ní pracovalo a uživatelé viděli nové možnosti, jak hromadné maily využít, odeslalo se z toho oddělení ve výsledku daleko víc hromadných zpráv než obvykle.
• Výsledek se dostavil po dvou týdnech – primární poštovní server se ocitl na dvou blacklistech a odesílané e-maily přestaly být doručovány některým adresátům. Ovlivnilo to na dva dny chod celé firmy, nebylo vůbec patrné, komu e-maily přišly a komu ne, pracovníci firmy museli kontaktovat své partnery telefonicky a zjistit, jestli dostali zaslané informace, pracovník IT strávil několik hodin řešením situace. Náklady na řešení se vyšplhaly do desítek tisíc korun.

 
Podobných situací vznikají stovky a doporučení je jediné – IT pracovníci by měli pamatovat na to, že uživatelé jsou důležitější než technika, se kterou pracují, a bezpečnostní opatření je možné nasazovat ve chvíli, kdy je zajištěno porozumění v rámci celé společnosti alespoň o těchto bodech:

• Z jakého důvodu se bezpečnostní opatření nasazuje (nesmíme mít poštovní server na blacklistu).
• Jaké mohou být náklady, pokud se opatření obejde (náklady na opravu, mzdy pracovníků omezených ve své práci, …)
• Jakým způsobem to uživatele omezí (nesmí odesílat hromadné maily na více jak 5 adresátů).
• Je-li to možné, jaká je náhradní varianta (odesílání přes webovou stránku)

Bezmezně důvěřujeme technice…

Bezmezná důvěra v techniku znamená, že spoléháme na to, že technika funguje naprosto bezchybně a máme někdy pocit, že když jsme jednou něco nastavili, bude to tak fungovat věčně. Bohužel to tak většinou není a průšvihy z toho plynoucí mohou být hodně nákladné. Uvedu zase jeden příklad z praxe:

• V malé společnosti (20 zaměstnanců) nasadil externí IT pracovník zálohovací systém. Systém byl nastaven tak, aby provedl zálohu dat ze CRM (systém řízení vztahů se zákazníky) a zálohu veškerých dokumentů na společném úložišti dat. Zálohy probíhaly automaticky jednou týdně. Vzhledem k tomu, že do té doby se zálohovalo ručně a vlastně jen ve chvíli, kdy si na to někdo vzpomněl, tak to bylo výrazné zlepšení.
• Zálohovacímu systému po několika měsících provozu došel prostor na disku, kam měl zálohy ukládat.
• Po několika týdnech došlo k závadě pevného disku v serveru, kde měla firma uložená veškerá data. Technik vyměnil disk a chtěl obnovit data ze zálohy, ale poslední správně provedená záloha byla stará skoro 3 měsíce. Následovala obnova dat z vadného disku specializovanou firmou, ale bohužel bylo možné obnovit jen přibližně 80% dat.
• Následovala spousta práce ve firmě – některá chybějící data se podařilo obnovit ze staré zálohy, další chybějící data museli identifikovat zaměstnanci a najít například v e-mailech, některé dokumenty se musely prostě napsat znovu a některé byly nenávratně ztraceny.
• Ptáte se na náklady výpadku?
  • Firma byla 3 dny zcela bez společného úložiště dokumentů a její schopnost realizovat zakázky byla výrazně omezena.
  • Další den byla většina zaměstnanců vytížena dohledáváním a obnovou dat, a to pokračovalo v omezené míře další dva týdny.
  • O některé zakázky firma přišla, protože nebyla schopna reagovat včas na poptávky.
  • Náklady byly nakonec zhruba vyčísleny na 155.000,- Kč (6.000 práce technika, 14.000 obnova dat z vadného disku, 65.000 mzdy zaměstnanců (v době kdy nemohli pracovat a následně práce na dohledání a obnově dat), 70.000 ztráta z nerealizovaných zakázek).

 
Co se mělo udělat jinak? Je tu několik možností:

• Při nasazení zálohovacího systému bylo třeba nastavit alespoň základní automatický dohled nad jeho provozem:
  • Kontrola, jestli zálohování opravdu funguje (tzn. je opravdu zálohovací SW spuštěn a připraven k práci?)
  • Kontrola nad vlastním průběhem záloh (automatické poslání upozornění, že záloha neproběhla v pořádku).
  • Kontrola, jestli je dostatek místa pro zálohy.
• Obecně je vhodné, neponechávat zálohovací proces jen svému osudu, ale pravidelně ho kontrolovat nějakým pracovníkem. Protože i dohled navrhovaný v předchozím bodu může přestat fungovat… Smyslem takové kontroly je tedy následující:
  • Podívat se, jestli dohled a zálohování funguje tak, jak má.
  • Obnovit náhodně vybraná data a tak ověřit, jestli jsou data ze záloh opravdu čitelná.
  • Zkontrolovat, jestli není třeba zálohovat něco dalšího.

 
Tím bych ukončil první článek této série a příště se zde budu věnovat nákladům na bezpečnost.