Im więcej bezpieczeństwa, tym lepiej

Bruce Schneier, ekspert ds. bezpieczeństwa i autor książek o tej tematyce (wydawanych także w Polsce) wyjaśnia, dlaczego koncepcja "nigdy dość" w ochronie systemów IT się nie sprawdza: "W przypadku bezpieczeństwa więcej niekoniecznie znaczy lepiej. Po pierwsze bezpieczeństwo zawsze jest wynikiem kalkulacji, więc dodatkowe zabezpieczenia mogą nie być warte swej ceny. Na przykład, nie warto wydać 100 tys. dolarów, żeby chronić koszyk jabłek. Owszem jabłka będą wtedy lepiej zabezpieczone, ale dużo bardziej sensowne jest liczyć się z pewnym ryzykiem. Dodatkowe bezpieczeństwo prowadzi też do zmniejszenia dochodów. Na przykład sklep samoobsługowy, aby ograniczyć kradzieże o 25%, musi poczynić pewne wydatki. Jednak próba ograniczenia tych kradzieży o kolejne 25% wiąże się ze znacznie większymi kosztami. Zawsze istnieje pewna granica ochrony, której nie opłaca się przekraczać. W konsekwencji nie istnieje coś takiego jak absolutne bezpieczeństwo."

Problem z atakami DDoS dotyczy pasma

"W powszechnej świadomości funkcjonuje wiele mitów, które rzeczywistość na co dzień weryfikuje" - mówi Carl Herberger, wiceprezes ds. rozwiązań bezpieczeństwa w firmie Radware. - "Jednym z nich jest przekonanie wielu administratorów IT, że jeśli tylko mają wystarczająco wydajne łącze, to ataki DDoS (distributed denial-of-service) nie są dla nich zbyt groźne. W rzeczywistości od ubiegłego roku wyraźnie widać, że natura ponad połowy ataków DDoS nie jest wcale związana z pasmem, ale z konkretnymi aplikacjami. Atakujący uderza w stos aplikacji i tak wykorzystuje jej mechanizmy, by unieruchomić usługę. W takich przypadkach szersze pasmo w rzeczywistości pomaga atakującemu. Obecnie tylko w przypadku jednej czwartej ataków DDoS szybsze łącze może być jakimś remedium."

Zobacz również:

• Firmy IT nasilają walkę z treściami deepfake
• Ministerstwo Cyfryzacji ostrzega przed rosnącym zagrożeniem atakami DDoS
• Złośliwe oprogramowanie Qbot - czy jest groźne i jak się chronić?

Polecamy Ataki DDoS: jak sobie z nimi radzić?

Regularne wygasanie co 30 dni ważności haseł wzmacnia system ochrony

"To trochę przypomina zalecenia żywieniowe, np. żebyśmy pili osiem szklanek wody dziennie" - o swoim ulubionym micie dotyczącym regularnego wymuszania wygasania ważności haseł mówi Ari Juels, szef pionu naukowego w RSA, działu bezpieczeństwa firmy EMC. - "W rzeczywistości nikt nie wie, jak powstało to przekonanie." Wymuszanie 30-dniowego cyklu ważności hasła może mieć zastosowanie w środowiskach o dużym ryzyku, ale w typowych okolicznościach może prowadzić do utrwalania przewidywalnych wzorców zmiany hasła oraz innych zachowań zmniejszających jego efektywność. Cykl pomiędzy 90 a 120 dniami jest bardziej realistyczny."

Polecamy Jakie hasła są bezpieczne?

Wirtualizacja po stronie klienta rozstrzygnie problemy prywatnego sprzętu w pracy

"Coraz częściej spotykam się z przekonaniem, że rozwiązaniem dla zagrożeń związanych z rosnącą tendencją do wykorzystywania prywatnego urządzenia jako podstawowego narzędzia pracownika (tzw. BYOD - bring your own device), jest uruchomienie na nim wirtualnych maszyn - służbowej i prywatnej" - mówi John Pescatore, analityk Gartnera. - "W ten sposób ryzyko związane z prywatnym użyciem będzie pod kontrolą i dane nie będą przenikać między obszarami "pracy" i "rozrywki".

Polecamy Pojedynek platform wirtualizacyjnych

Pescatore jest co do tego bardzo sceptyczny. - "Taką samą koncepcję wypróbowały lata temu amerykańskie służby specjalne. NSA (National Security Agency) wynajęła niewielką wtedy firemkę o nazwie VMware do opracowania produktu nazwanego NetTop i przeznaczonego dla analityków służb. NetTop tworzył oddzielne VM dla spraw i projektów "tajnych", "ściśle tajnych" i "niesklasyfikowanych" itp., co natychmiast prowadziło do problemów. Analitycy wcale nie pracowali najpierw w środowisku "tajne", potem "ściśle tajne" itd. - od razu poruszali się w poprzek wszystkich domen, przenosząc rzeczy pomiędzy nimi.

To samo będzie dotyczyć dzisiejszych obszarów pracy i rozrywki. Pierwszą rzeczą jaka mi się przytrafi z kliencką wirtualizacją będzie e-mail, który dostanę w środowisku służbowym, ale będę potrzebować przenieść go do środowiska prywatnego (albo na odwrót) - więc wyślę go do siebie albo użyję pamięci usb do transferu i cała separacja znika. Wirtualizacja to wyrzucanie pieniędzy - służby specjalne wydawałyby się najlepszym kandydatem do jej wykorzystania, a NetTop ma tam do dziś bardzo ograniczone zastosowanie".