Wielu ludzi zainteresowanych jest dostępem do sieci - z domu, z biura, poprzez Internet. Niezależnie od tego, czym się zajmujesz, gdy tylko rozszerzasz dostęp do swej sieci - pakujesz się w kłopoty.

Zajmowanie się integracją systemu (włączywszy w to zapewnienia jego bezpieczeństwa), dostępem do sieci, bezpieczeństwem stacji roboczych oraz elastycznością rozwiązań jest zadaniem zniechęcającym. Czy chcecie dowodów? Spytajcie speców z General Electric, którzy po ostatniej wpadce musieli odłączyć sieć od Internetu i zastosować specjalne środki bezpieczeństwa.

Nie chciałbym, aby mnie to spotkało. Niestety dziury w systemie bezpieczeństwa najczęściej odkrywają nie te osoby, które powinny i to zazwyczaj w smutnych dla firmy okolicznościach. Ostatnio pisałem, że idea systemów podłączonych do Internetu jest (lub niebawem będzie) skompromitowana. Nie był to żart. Każdemu doniesieniu o włamaniu do systemu komputerowego towarzyszą setki włamań, o których się nie mówi. Spójrzcie prawdzie w oczy - ujawnienie słabości zabezpieczeń systemu sieciowego firmy jest dla niej złą reklamą. Poza tym użytkownicy systemu tracą doń zaufanie.

Władze twierdzą, że duży procent włamań do sieci dokonywany jest przez jej legalnych użytkowników. Jednakżezapewnienie całkowitego bezpieczeństwa jest nierealne. Jednym z możliwych wyjść jest obarczenie pojedynczego użytkownika sieci odpowiedzialnością za pomoc ochronie systemu. Nie jest to nowa koncepcja. Banki, instytucje finansowe i przedsiębiorstwa ubezpieczeniowe stosują tę zasadę od dawna. Wprowadzono ją wraz z rozwojem technologii mainframe, obecnie przenosi się ją na sieci lokalne oraz rozproszone przetwarzanie danych.

Jeśli chodzi o Ciebie, to przede wszystkim spróbuj zabezpieczyć to co możesz. Ogranicz dostęp do swoich dokumentów, porozmawiaj z szefami firmy (zapewnij sobie ich poparcie w sprawach bezpieczeństwa sieci) oraz użytkownikami. Pamiętaj, dmuchaj na zimne. Następnie zatrudnij konsultantów, którzy pomogą ci zabezpieczyć system oraz zminimalizują straty w razie włamania (a być może znajdą usterki w jego zabezpieczeniu zanim znajdzie je hacker).

Jeśli nie masz bezpośredniego dostępu do kierownictwa, to przekonaj kogoś o konieczności krótkiego seminarium, podczas którego będziesz mógł zadawać pytania w stylu: "Co jest największą tajemnicą w naszej firmie?" W dziewięciu przypadkach na dziesięć odpowiedzią będzie "nasze dane". Wówczas spytaj "Gdzie przechowywane są dane?". Oczywistą odpowiedzią będzie "W naszych systemach komputerowych". W ten sposób możesz spróbować przekonać swoich szefów o istotności problemu bezpieczeństwa sieci. Następnym krokiem będzie podsunięcie im do podpisu odpowiedniego rozporządzenia, które powinno zawierać stwierdzenie: "Systemy komputerowe, sieci, oprogramowanie oraz zbiory danych są dobrem firmy o strategicznym znaczeniu i ich niewłaściwe użycie grozi natychmiastowym postępowaniem dyscyplinarnym". Jest także istotne, aby w rozporządzeniu uczynić pracowników odpowiedzialnymi za zapewnienie bezpieczeństwa.

Następnie należy przystąpić do oceny stanu bezpieczeństwa. Cel jest prosty: znaleźć dziury, zanim je znajdzie ktokolwiek inny. Taką kontrolę powinno się przeprowadzać raz na 12-18 miesięcy. Jej zakres zależy od możliwości finansowych firmy.

Wiele przedsiębiorstw ma specjalne oddziały kontrolujące bezpieczeństwo sieci. Można też zatrudnić specjalistów z zewnątrz. Mają oni do czynienia na co dzień z rekonstrukcją uszkodzonych systemów i analizując architekturę twojej sieci mogą wskazać na jej słabe punkty. Zajmuje to zazwyczaj wiele tygodni i ujawnia problemy, które firma z pewnością chciałaby ukryć. Nie bierz ich ustaleń zbytnio do siebie. Pamiętaj zawsze, że celem nadrzędnym jest zwiększenie bezpieczeństwa firmy, a nie wskazanie palcem winnego niedopatrzenia.

Zakończeniem tego typu działalności jest zazwyczaj wielostronicowy raport zawierający obserwacje i zalecenia. Mimo że jego podanie do publicznej wiadomości może być sprzeczne z twoim interesem, zadbaj aby trafił do kierownictwa firmy. W ten sposób uchronisz się od często formułowanego zarzutu: "Dlaczego nie powiedziałeś mi wcześniej o takim zagrożeniu?".

Następnym etapem powinno być wdrożenie zaleceń specjalistów. Ograniczenie swobodnego dostępu do systemu jest zazwyczaj jednym z wymogów wydatnie zwiększających bezpieczeństwo sieci. Istotne jest także właściwe przeszkolenie użytkowników - spowodowanie aby poczuli się odpowiedzialni. Proste kroki, takie jak naklejki przypominające o wyłączaniu terminali po zakończeniu pracy, także odnoszą pewien skutek. Dobrym pomysłem może być także wykorzystanie "wygaszacza ekranu" w celu zablokowania po kilku minutach nie używanego terminala i spowodowanie konieczności powtórnego użycia hasła zapewniającego dostęp do sieci.

Pamiętaj, że pewnego dnia wcześniej czy później ktoś spróbuje włamać się do twojego systemu i nie życzę Ci, abyś znalazł się w takiej sytuacji jak wspomniani na początku artykułu specjaliści z General Electric. Dbałość o bezpieczeństwo sieci oraz właściwa edukacja personelu - oszczędzi wszystkim późniejszych zmartwień.