Vakar teko dalyvauti vienos kompanijos informacijos saugumo audito pristatyme. Ten, diskusijos metu, kompanijos vadovas labai teisingai pastebėjo, kad visos IT saugumo pagrindinės bėdos atsiranda dėl to, kad programinės įrangos gamintojai savo produktuose palieka nemažai saugumo spragų. Todėl, norėdami apsaugoti savo duomenis, privatumą bei verslą, esame priversti mokėti nemažus pinigus už papildomą aparatinę ir programinę įrangą tam, kad kompensuotume ar bent dalinai eliminuotume dėl  šių spragų atsirandančias grėsmes.  

O kodėl taip yra?

Visu pirma – klysti yra žmogiška. Bet kokią programinę įranga sudaro šimtai, tūkstančiai ar net milijonai programinio kodo eilučių. Tad nereiktų stebėtis, kad ten pasitaiko klaidų, ir kuo sistema sudėtingesnė, tuo klaidų tikimybė yra didesnė. Bandomųjų versijų pateikimas vartotojams – tik dalinai gelbėja, nes tai, mano galva, lazda su dviem galais: iš vienos pusės vartotojai kažkiek padeda aptikti ir pataisyti dalį klaidų (dažniausiai funkcionalumo), iš kitos pusės – tai gera proga išsiaiškinti saugumo spragas ir pasilaikyti šią informaciją sau ateičiai.

Antra – programinės įrangos gamintojai paklūsta tokiem pat rinkos dėsniams kaip ir bet kas kitas. Todėl yra skubama kuo greičiau į rinką išmesti naują produktą ar naują versiją. Dažnai yra susitaikoma su tuo, kad po to reikės išleidinėti pataisymus, bet tai laikoma mažesne blogybe, nei rinkos praradimas. Kita medalio pusė – labiau būdinga taikomosios programinės įrangos gamintojams, dirbantiems konkrečių klientų užsakymu, saugumo analizės ir sprendimų praskipinimas projektavimo stadijoje. Tokiu būdu stengiamasi sumažinti kaštus, sutaupyti laiką ar kompensuoti bei nuslėpti atitinkamos srities specialistų trūkumą. Dažnai po to tai yra tvarkoma, bet jau kliento sąskaita, teigiant, kad tai yra papildomas funkcionalumas arba paprasčiausiai paliekama klientui su ta bėda tvarkytis pačiam.

Kas belieka mums?

O mums belieka ir toliau pirkti antivirusines ir panašias programas, ugniasienes, turinio analizės ir kitokias apsaugos sistemas vien tam, kad pridengtume gamintojo broką. O gal reiktų ir IT srityje pereiti prie normalių gamintojo, pardavėjo ir pirkėjo santykių, kur galioja vartotojo teisių saugos mechanizmai, kai už brokuotą prekę ar paslaugą grąžinami pinigai ar taikomos nuolaidos ir kompensacijos, o ne laukiama gamintojo malonės, kada jis teiksis ištaisyti savo klaidas?

Kompanijos Microsoft saugumo centras, apibendrindamas problemas, su dėl kurių dažniausiai į juos kreipiamasi, sutvėrė dešimt saugumo dėsnių, kuriuos tikrai pravartu žinoti kiekvienam dirbančiam su kompiuteriu. Šiaip aš juos tiktai išvardinsiu, nes apie kievieną dėsnį galima pasiskaityti nužingsniavus pagal nuorodą.

Štai jie:

1. Jei jūs paleidote blogiuko programą savo kompiuteryje, tai jau nebe jūsų kompiuteris. "Labai svarbu ne tik nepaleidinėti, bet net neįdieginėti programų, gautų iš šaltinių, kuriais jūs nepasitikite, – svarbu tai, kad "šaltiniu" laikomas ne tas žmogus, iš kurio gavote programą, o tas, kas ją sukūrė."
2. Jei blogiukas įdiegė pakeitimus jūsų kompiuterio operacinėje sistemoje, tai jau nebe jūsų kompiuteris.
3. Jei blogiukas gali fiziškai prieiti prie jūsų kompiuterio, tai jau nebe jūsų kompiuteris. Verta paskaityti ką tuomet blogiukas gali padaryti su jūsų kompiuteriu. Ypač patiko pirmas punktas.
4. Jei blogiukas įdiegė ar paleido programą jūsų WEB serveryje, tai jau nebe jūsų WEB serveris. Veidrodinis atspindys pirmo punkto.
5. Nepatikimi slaptažodžiai bet kokią sugumo sistemą padaro beverte.
6. Kompiuterio saugumas tiesiogiai priklauso nuo administratoriaus patikimumo. Tikrai svarbus punktas, patiko mintis apie "dviejų atsakingų" taisyklę.
7. Užšifruotų duomenų saugumas tiesiogiai priklauso nuo to, kaip gerai apsaugoti šifravimo raktai.
8. Pasenusi antivirusinė programinė įranga tik nedaug geriau nei jokios. Visada yra svarbu atnaujinti ne tik antivirusinės sistemos duomenų bazę, bet ir pačią proramą.
9. Absoliutus anonimiškumas nepasiekiamas nei gyvenime, nei internete. "Vienok jei norite visiško anonimiškumo, geriau pradėkite ieškotis tinkamos olos." – čia tiksliai pasakyta.
10. Technologija pati savaime nėra panacėja. Yra svarbios kelios taisyklės:
    1. Saugumo sistema apjungia savyje tiek technologinius komponentus, tiek ir politikas, t.y sistemos saugumo lygį nusako technolgijos ir jos taikymo metodikų derinys.
    2. Saugumo užtikrinimas – tai begalinis procesas, o ne baigtinis tikslas. Kompanijų vadovai turi būti užtikrinti, kad darbuotojai žino apie galimas saugumo problemas ir moka teisingai įvertinti situaciją, t.y darbuotojus reikia mokyti.

Šiaip tai nieko naujo ir stebuklingo, bet, jei tai pamištama, tada lauk bėdos.

Link to Microsoft TechNet: Десять непреложных законов безопасности

Taigi, dauguma namų vartotojų, kurie vienu ar kitu būdu nori prisijungti prie interneto, net negalvodami įdiegia į savos kompiuterius programinę įranga, kurią gauna iš savo interneto paslaugų tiekėjo (IPT). Aišku, kad daugumai tai labai patogu ir nereikia pačiam maigyti nustatymų kad prisijungti, bet ar pagalvojame apie tai, o kokias dar "paslaugas" tas softas teikia, ko mes tikriausiai irgi nenorėtume. Nežinau ar tai daro lietuviški IPT, nes viską mėgstu susikonfigūruoti pats, bet gal ko gero ir reiktų patyrinėti.

Link to Friendly Reminder: Don’t Install ISP-provided Software – Gizmodo