Całość I Część

Bezpieczna Sieć ?

Temat bezpieczeństwa w sieci jest w ostatnim czasie bardzo modny. Ostatnio słyszy się o udanych lub mniej udanych włamaniach na strony www lub do systemów różnych firm. Oczywiście takie informacje traktuje się jako sensacje - szczególnie "media" nakręcają to wszystko co się wydarzyło , jako coś "strasznego" , a ludzi którzy się tego dopuścili jako przestępców , których policje wszystkich krajów winne ścigać z całą bezwzględnością. W zupełności się zgadzam z tym ,że jeżeli ktoś szkodzi innym powinien być ścigany , ale czy nie powinien być ścigany też ten kto w sposób nieumiejętny ( nieudolny ) gromadzi ( "przechowuje" ) dane użytkowników ??? Właśnie niedawno otrzymałem E-mail od administratorów z jednego forum ( gdzie oczywiście byłem całkowicie legalnie zarejestrowany ) z następującą treścią ( pisownia jak w orginale ):

Oczywiście nie podaję tutaj informacji z jakiego serwisu otrzymałem tą wiadomość , a to dlatego ,że uważam ,że mądry administrator nie informuje "na gorąco" użytkownika o mającym miejsce włamaniu do jego serwisu , a w pierwszej kolejności zmienia własne hasła , ocenia straty jeżeli są one duże ( subiektywna ocena ) przywraca kopię systemu sprzed włamania , zmienia sposób działania skryptu logowania użytkownika wymuszając nań zmianę hasła , a na ostatnim miejscu wysyła informację do użytkowników z informacją o mającym miejsce "ataku" oraz dodatkowo informując o zmianie sposobu logowania ( wymuszanie zmiany hasła przez sam system) na końcu dodaje magiczne słowo "przepraszam" z zapewnieniem ,że zostały już podjęte odpowiednie kroki mające na celu uniknięcie w przyszłości podobnych zdarzeń.

Co ciekawe w wiadomości tej zawarte są informacje , o których nikt nie powinien nic wiedzieć , a mianowicie:

Potraktowałbym to jako zaproszenie , szkoda ,że nie podano adresu serwera bazy danych i innych ważnych informacji np. Nazwy użytkownika oraz hasła w cPanelu w sposób jawny.

Między innymi ta jak i inne informacje dochodzące do mnie z mediów, a dotyczące bezpieczeństwa sieci ( internetu ) zainspirowały mnie do napisania tego posta.

Przeglądając strony i portale internetowe wielu firm prywatnych, mamy do czynienia z tzw. polityką prywatności. Natomiast nie wszystkie z odwiedzonych prze zemnie stron www instytucji publicznych, zarówno bibliotek, instytutów naukowych, ośrodków akademickich, urzędów miejskich i gminnych nie posiada opracowanej takiej polityki. Większość z internautów nie zwraca na ten aspekt uwagi, ale w dobie olbrzymiego postępu teleinformatycznego oraz dynamicznego rozwoju społeczeństwa informacyjnego powinno się zasygnalizować problem związany z bezpieczeństwem danych w sieci. Strony internetowe obok warstwy informacyjnej posiadają także możliwość pozostawiania danych osobowych (logowanie się do baz danych, odpowiedzi na ankiety czy konkursy prowadzone na stronach www).

Czy jako użytkownicy Internetu możemy bez obaw odwiedzać strony internetowe różnych instytucji, mając przez nie zagwarantowane, że nasze dane nie zostaną wykorzystane w inny sposób? Możemy więc zadać pytanie, co to jest polityka prywatności, czemu służy i kogo chroni?

Aby lepiej zrozumieć problem, przyjrzyjmy się bliżej, czym jest polityka bezpieczeństwa i bezpieczeństwo teleinformatyczne.

Polityka bezpieczeństwa (z języka angielskiego security policy) jest zbiorem spójnych, precyzyjnych i zgodnych z obowiązującym prawem przepisów, reguł i procedur, według których dana organizacja buduje, zarządza oraz udostępnia zasoby i systemy informacyjne i informatyczne. Określa ona, które zasoby i w jaki sposób mają być chronione. Polityka bezpieczeństwa powinna obejmować wskazanie możliwych rodzajów naruszenia bezpieczeństwa (np. utrata danych, nieautoryzowany dostęp), scenariusze postępowania w takich sytuacjach i działania, które pozwolą uniknąć powtórzenia się danego incydentu. Polityka bezpieczeństwa definiuje ponadto poprawne i niepoprawne korzystanie z zasobów (np. kont użytkowników, danych, oprogramowania).

Istotne jest, aby polityka bezpieczeństwa była dokumentem spisanym i znanym oraz zrozumianym przez pracowników organizacji korzystających z zasobów informatycznych. Dotyczy to także klientów organizacji (użytkowników jej zasobów).

Przy jej projektowaniu należy rozważyć, czy organizacja wdrażająca politykę bezpieczeństwa będzie w stanie ponieść koszty jej wprowadzania w życie. Podwyższanie poziomu bezpieczeństwa organizacji czy systemu odbywa się najczęściej kosztem wygody i efektywności działania. Dlatego, opierając się na zalecanych modelach czy standardach w tej dziedzinie, należy pamiętać o dostosowaniu rozwiązania do specyfiki organizacji, tak aby nadać jej cechy ułatwiające zastosowanie w praktyce.

Polityka bezpieczeństwa powinna adresować następujące zagadnienia:

• jakie zasoby podlegają ochronie:
  • informacja (dane),
  • systemy teleinformatyczne (sprzęt),
• sposób ochrony wyodrębnionych zasobów.

Projektując mechanizmy ochrony informacji, należy określić natomiast następujące elementy:

• model bezpieczeństwa,
• mechanizmy kontroli dostępu,
• poziomy uprawnień (jakie poziomy uprawnień istnieją i jakie są zasady ich przyznawania),
• mechanizmy identyfikacji i zapewnienie autentyczności (na poziomie fizycznym i systemów),
• śledzenie zdarzeń w systemie (jakie mechanizmy/programy/procedury stosowane są do śledzenia zmian w systemach).

Bezpieczeństwo teleinformatyczne to inaczej bezpieczeństwo informacji i systemy teleinformatyczne rozpatrywane w odniesieniu do instytucji wykorzystującej lub udostępniającej infrastrukturę teleinformatyczną, aby osiągnąć wyznaczone cele Zarządzanie bezpieczeństwem w organizacji to ciągły i złożony proces umożliwiający bezpieczną realizację misji, do której instytucję powołano. Proces ten zachodzi w stale zmieniającym się środowisku, przy występowaniu coraz to nowych form zagrożeń i wyzwań dla instytucji, a także przy szybkim postępie technologicznym. Bezpieczeństwo w ujęciu całościowym powinno obejmować aspekt organizacyjny, techniczny i prawny.

Zarządzanie bezpieczeństwem to szereg uzupełniających się procesów:

1. opracowanie polityki bezpieczeństwa instytucji w zakresie systemów informatycznych,
2. identyfikacja i analiza zagrożeń dla zasobów,
3. dobór właściwych zabezpieczeń redukujących ryzyko,
4. monitorowanie procesu wdrożenia zabezpieczeń i ich ocena podczas eksploatacji systemu,
5. opracowanie i wdrożenie programu szkoleniowego dotyczącego wprowadzonych zabezpieczeń,
6. wykrywanie i reakcja na incydenty.

Bezpieczeństwo rozpatrywać można na trzech poziomach:

1. Instytucji - podstawowe wytyczne, dotyczące całej instytucji. Regulacje muszą być osadzone w realiach prawnych instytucji. Na tym poziomie chroniona jest: ciągłość misji, ciągłość procesów biznesowych, zdolność świadczenia usług, reputacja, działanie zgodne z prawem;
2. Infrastruktury teleinformatycznej - operuje się tu pojęciem polityki bezpieczeństwa instytucji w zakresie systemów informatycznych, ustala się zbiór praw, reguł i wskazówek praktycznych, które określają, jak zasoby informatyczne, w tym informacje wrażliwe, są zarządzane, chronione i dystrybuowane w instytucji i jej systemach teleinformatycznych. Ochronie na tym poziomie podlegają: zasoby informacji, oprogramowanie, sprzęt, kadry, dokumenty (w tym dotyczące eksploatacji oraz samych zabezpieczeń);
3. Poszczególnych systemów - bezpieczeństwo systemów teleinformatycznych jest takie, jakie jest bezpieczeństwo najsłabszego z eksploatowanych systemów. Operuje się tu terminem polityki bezpieczeństwa systemu teleinformatycznego, która przedstawiona jest jako zestaw praw, reguł i praktycznych doświadczeń ustalających sposób zarządzania, ochrony i dystrybucji informacji wrażliwej wewnątrz określonego systemu.

Podane poniżej definicje mogą nam w dużym stopniu pomóc w zdefiniowaniu pojęcia polityki prywatności serwisów internetowych:

• cookie - mały plik zapisywany przez serwer serwisu, po którym porusza się internauta, na komputerze, z którego w danej chwili korzysta. Tę informację serwer danego serwisu może odczytać przy ponownym połączeniu się z tego komputera.
• log systemowy - jest to informacja, jaką komputer internauty przekazuje serwerowi przy każdym połączeniu. Log systemowy może zawierać takie dane, jak np. numer IP, na podstawie którego można w dużym przybliżeniu ustalić lokalizację łączącego się z serwisem komputera.
• adres IP - indywidualny numer, który z reguły posiada każdy komputer podłączony do jakiejkolwiek sieci komputerowej. Numer IP może być stały dla danego komputera (statyczny) lub może być przydzielany podczas każdego połączenia (dynamiczny),
• protokół SSL - standard przesyłania danych w Internecie. Protokół SSL koduje transmisję danych z komputera do serwera serwisu, w odróżnieniu od zwykłego przesyłania, gdzie transmisja odbywa się "otwartym tekstem",
• strona użytkownika - strona, która ukazuje się internaucie po zalogowaniu się do serwisu.

Kolejnym krokiem do poznania pojęcia polityki prywatności jest sposób gromadzenia i wykorzystania informacji o użytkownikach przez serwisy internetowe. Wiele serwisów ogranicza wykorzystanie i zbieranie informacji o klientach do niezbędnego minimum wymaganego do świadczenia usług na najwyższym poziomie, co obejmuje m.in. informowanie naszych klientów o oferowanych przez nas produktach i usługach. W niektórych przypadkach (np. badania ankietowe, konkursy, formularze zamówień) zbierane są informacje o użytkownikach, takie jak adresy poczty elektronicznej lub dane osobowo-adresowe. Informacje te nie są udostępniane osobom trzecim, chyba że po uzyskaniu zgody użytkownika lub jeżeli wymagają tego przepisy obowiązującego prawa i służą głównie do realizacji zobowiązań wobec użytkowników, obejmujących m.in. dostarczaniem zamawianych pozycji i subskrybowanych wiadomości. Serwisy internetowe, w tym strony www firm i instytucji zapewniają swoim użytkownikom całkowitą anonimowość tak długo, aż sami nie zdecydują inaczej, a także dokonując działań właściwych dla konkretnych usług serwisu , z którymi związana jest konieczność ujawnienia niektórych danych, wówczas ujawniane są tylko hasło oraz login.

Strony www wykorzystują również adresy IP użytkowników w diagnozowaniu problemów związanych z pracą serwerów, analizą naruszeń bezpieczeństwa oraz w zarządzaniu stronami www. Adres IP jest ( ale może być ???) wykorzystywany najczęściej do identyfikacji i gromadzenia danych demograficznych od osób odwiedzających witrynę (np. informacje o regionie, z którego nastąpiło połączenie). Informacje te nie powinny być w żaden sposób łączone z danymi osobowymi użytkowników.

Wszyscy użytkownicy stron www mają możliwość bezpośredniego kontaktu mailowego z pracownikami poprzez dostępne na stronach www adresy korespondencyjne. Instytucje posiadające taką możliwość przechowują korespondencję ze swoimi użytkownikami dla celów statystycznych oraz jak najlepszej i najszybszej reakcji na pojawiające się zapytania. Jednocześnie gwarantują, że adresy w ten sposób gromadzone nie będą wykorzystywane do komunikacji z użytkownikami w celu innym niż przez niego określony. Ewentualna komunikacja w innych kwestiach może się odbywać tylko za uprzednią zgodą użytkowników.

Na podstawie uzyskanych informacji w szczególnych przypadkach sporządzane są zbiorcze, ogólne zestawienia statystyczne, które mogą być ujawniane osobom trzecim. Obejmują one zwykle informacje dotyczące oglądalności serwisu. Zestawienia te nie zawierają jednak żadnych danych pozwalających na identyfikację pojedynczych użytkowników witryn internetowych.

Znacznie rzadziej wykorzystywane są pliki cookies, które ułatwiają korzystanie z zasobów serwisu. Cookies zawierają użyteczne informacje i są przechowywane na komputerze użytkownika - serwery, na których działają serwisy firmowe mogą je odczytać dopiero w momencie ponownego połączenia się z tym komputerem. Wyłączenie informacji cookies w przeglądarce nie pozbawia użytkownika dostępu do zasobów witryny www. Strony www wykorzystują "ciasteczka", aby dostarczać zawartość najbardziej odpowiadającą zainteresowaniom użytkowników oraz w innych celach (np. ustalenia rankingu najczęściej pobieranych programów).

Wiele serwisów internetowych wykorzystuje formularze zamówień, który umożliwia klientom złożenie zamówienia na informacje oraz usługi. Formularze te pozwalają na zbieranie informacji kontaktowych od odwiedzających (np. adres poczty elektronicznej użytkowników). Informacje pochodzące z formularzy zamówień są wykorzystywane do realizacji zamówień, wysyłania informacji, np. o ciekawych imprezach, konferencjach, sympozjach. Informacje teleadresowe użytkowników są także wykorzystywane do nawiązywania z nimi kontaktu, jeżeli zaistnieje taka konieczność. W podobny sposób wykorzystywane są dane pochodzące z przeprowadzanych konkursów oraz badań ankietowych.

Serwisy internetowe i strony www zaopatrzone są również w środki bezpieczeństwa, mające na celu ochronę danych osobowych przed utratą, niewłaściwym wykorzystaniem i modyfikacją. Zobowiązują się chronić wszelkie informacje ujawnione przez użytkowników zgodnie z normami ochrony bezpieczeństwa i zachowania poufności. Prawa dostępu do danych osobowych użytkowników serwisu zostają w restrykcyjny sposób ograniczone, tak aby informacje te nie znalazły się w rękach osób niepowołanych.

Dostęp do danych osobowo-adresowych powinna mieć tylko ograniczona liczba uprawnionych pracowników obsługujących serwisy na zasadach zgodnych z Rozporządzeniem Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

Na stronach internetowych powinny być także podane dane do kontaktów, jeżeli użytkownicy mają jakieś pytania dotyczące deklaracji ochrony prywatności, praktyk stosowanych stronie, czy też sposobów utrzymywania z nią kontaktów, najczęściej podawaną osobą do kontaktu jest administrator witryny

Podstawowe założenia polityki prywatności:

• zbieranie tylko tych danych osobowych, które zostały przedstawione przez użytkownika,
• nie wykorzystywanie danych osobowych użytkowników w celach innych niż te, na które wyrażona została zgoda,
• nie przekazywanie danych osobowych użytkowników podmiotom trzecim, nad którymi dana instytucja nie ma całkowitej kontroli,
• brak dostępu osób trzecich, nie będących pracownikami danej instytucji do posiadanych przez nią danych osobowych,
• możliwość wglądu i edycji gromadzonych przez daną instytucję danych osobowych swoich użytkowników,
• natychmiastowe zaprzestanie przetwarzania danych osobowych użytkowników w przypadku, gdy wyrażone zostanie takie życzenie,
• ścisłe przestrzeganie Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych,
• szybka reakcja na wszelkie zapytania użytkowników i uwagi dotyczące polityki prywatności.

Stosowana metoda uwierzytelniania zależy od ryzyka związanego z pomyłką. W takim przypadku lepiej może zastosować identyfikatory i hasła czy nawet dwuczynnikowe uwierzytelnianie. W każdym z tych przypadków zasady świadczenia usług wysłane do użytkownika powinny wyszczególniać wymogi zabezpieczenia identyfikatora i hasła. Jeśli stosuje się identyfikator i hasło do uzyskania informacji o użytkowniku instytucja zakłada, że informacje udostępniane są uprawnionemu użytkownikowi. Jeśli hasło zostanie zapomniane, zgubione lub ujawnione, należy natychmiast skontaktować się z instytucją

Pomimo, że zasady bezpieczeństwa są różne w różnych serwisach należy zawsze pamiętać: