Cudu nie będzie
-
- 21.12.2004
Użytkownik nie chce wiedzieć
Powszechnie powtarzany jest pogląd, że bezpieczeństwo informatyki zależy w głównej mierze od jej użytkowników. Twórcy rozwiązań oraz firmy dające je do dyspozycji swoim pracownikom zachowują się jednak tak, jakby nigdy o tym nie słyszeli. Edukacja użytkowników w dziedzinie bezpieczeństwa w zasadzie nie istnieje, bo zawsze łatwiej jest nakazać lub zakazać niż tłumaczyć. Bez zrozumienia podstawowych mechanizmów związanych z bezpieczeństwem systemów i danych użytkownik nie będzie zachowywać się racjonalnie i prędzej czy później stanie się ofiarą manipulacji, np. phishingu.
Inna sprawa, że użytkownik za wiedzą na temat bezpieczeństwa raczej nie tęskni. Zakłada, że skoro ktoś stworzył system czy narzędzie mające działać w pewnych warunkach rzeczywistych, zadbał również o jego zabezpieczenie. Z góry wiadomo, że użytkownicy nie będą przejmować się kwestiami bezpieczeństwa - dopóty, dopóki kwestia ta nie będzie w bezpośredni sposób rzutować na ich sytuację zawodową lub materialną.
Nawet stając oko w oko z zagrożeniem utraty pieniędzy, większość ludzi nie pofatyguje się, by dowiedzieć się więcej o bezpieczeństwie. Część z nich w ogóle się tym nie przejmie, część ograniczy się do podstawowych środków zabezpieczających podpowiedzianych przez znajomych, część zaś, nie godząc się na zagrożenia, poszuka innych, mniej ryzykownych narzędzi. Zmienią przeglądarkę, system operacyjny, a może nawet komputer.
Poprawa świadomości użytkowników nie będzie zapewne na liście priorytetów działów IT na 2005 r. Szkoda. Patrząc wstecz, wydaje się, że nawet następujące po sobie spektakularne incydenty niewiele zmienią. Chyba że konsekwencje zaczną być dotkliwe nie tylko dla działów IT, ale także dla poszczególnych pracowników i obywateli. Są dziedziny, w których najpierw musi być bardzo źle, by mogło być lepiej i to bez wątpienia jedna z nich.
Pacjent w stanie stabilnym
Skoro państwo nie bierze spraw w swoje ręce, producenci aplikacji nie widzą zachęt, a użytkownicy systemów IT nie bardzo się interesują tematem bezpieczeństwa, o jego poziomie zadecyduje pomysłowość sieciowych złoczyńców i walczących z nimi, oczywiście nie za darmo, producentów rozwiązań zabezpieczających i konsultantów je wdrażających. Jak się zdaje, wykorzystanie wygodnych choć niebezpiecznych aplikacji w połączeniu z systemami uszczelniającymi ich niedociągnięcia, jest dla firm stanem "optymalnym". Ten swoisty stan równowagi będzie przechylać się, raz w lewo, raz w prawo, lecz zasadniczo nie ulegnie zmianie. Cudu nie będzie.
Bezpieczeństwo nie przestanie być bolesne dla firm - w sensie czasu i środków poświęcanych na jego zapewnienie. Pojawią się nowe zagrożenia, a wraz z nimi nowe narzędzia zabezpieczające. Każde z nich to nowe problemy i wydatki na ich wdrożenie i utrzymanie w dobrej formie.
Jeżeli w tym roku instalowanie systemów zabezpieczających na komputerach PC wzbudzało u niektórych administratorów niechęć, w przyszłym roku zrobią to z ochotą. Zarządzanie dodatkowym oprogramowaniem i zwiększona liczba zgłoszeń do help desku będzie mniej kosztowna, niż brak zabezpieczeń. Konkurencja między dostawcami doprowadziła do tego, że nie będą to już jedynie zapory IP, ale w sumie systemy zapobiegające włamaniom.
Wykrywanie ataków na poziomie sieci przestanie być uważane za wystarczające. Zamiast forsować zapory, włamywacze coraz częściej będą uciekać się do kradzieży tożsamości i wykorzystywać je do ataków w słabiej chronionych warstwach aplikacyjnych. W konsekwencji pojawi się potrzeba nie tylko weryfikacji tożsamości, ale sprawdzania jej uprawnień podczas wykonywania każdej operacji. Koniecznością będzie także wdrażanie zabezpieczeń reagujących na niestandardowe zachowania aplikacji i użytkowników w systemach operacyjnych.
Na razie powoli, ale jednak, rosnąć będzie liczba wdrożeń zabezpieczeń przeciw oprogramowaniu szpiegowskiemu. Z tego samego powodu, a także jako forma zabezpieczenia przed kradzieżą tożsamości, coraz częściej praktykowane będzie szyfrowanie ruchu w sieciach lokalnych, ale już niekoniecznie na serwerach czy w systemach pamięci masowych - ze względu na koszty. Wiele małych i średnich firm, które dotychczas dla wygody administratorów nie podzieliły swoich sieci na segmenty, zrobi to w obawie przed kradzieżą informacji lub na wypadek przypadkowej epidemii wirusowej.
Całkiem możliwe, że niektóre firmy zabronią, bądź nawet uniemożliwią uruchamianie przeglądarki Internet Explorer. Część użytkowników i tak z niej zrezygnuje w obawie o bezpieczeństwo swoich danych w sieci. Mozilla, Netscape, Opera i kilka innych będą mieć swoje pięć minut. Powszechne wykorzystanie PKI nie nastąpi. Chyba że pojawi się interesująca usługa wymuszająca zakup certyfikatu lub zastosowanie certyfikatów w określonych okolicznościach wymusi państwo.
