Neznám všechny podrobnosti – jestli onen bývalý zaměstnanec stihl prodat dokumenty, které prý odcizil, nebo je použil nějakým jiným nedovoleným způsobem, nicméně tento incident byl pro mě skvělou příležitostí obhájit své požadavky na bezpečnostní opatření, která jsem měl zahrnout do nové aplikace.
Toto jsou údaje, která jsou mi známá. Onen zaměstnanec dal nedávno výpověď. Podle našeho právního zástupce se zaměstnanci podařilo těsně před opuštěním firmy převést stovky dokumentů týkajících se designu a zdrojových kódů pro jeden z našich stěžejních produktů na server mimo náš dosah. Seděl jsem v místnosti s právníky a pomáhal žalobci prokázat, že se zaměstnanec přilogoval k datovým zdrojům v určitém období, že inkriminovaná data převedl jinam, a že (a to bylo nejdůležitější) si uvědomoval, že nepostupuje v souladu s předpisy.
Záznam událostí
První část požadavku byla celkem jasně formulovaná, ale já bohužel nemám možnost poskytnout tolik informací, kolik bych chtěl. Byl jsem schopen zachytit okamžiky přihlášení se tohoto zaměstnance - použil totiž svůj token SecurID a VPN klient k tomu, aby se těsně před svým definitivním odchodem ze zaměstnání několikrát za sebou přihlásil do sítě. Problém tkví v tom, že aplikace, které obsahují zmíněné dokumenty a zdrojové kódy, nejsou nakonfigurovány tak, aby zaznamenaly aktivity jednotlivých uživatelů. Toto nastavení bylo deaktivováno, když se systém před šesti lety zaváděl. Jsme tak schopni doložit, že uživatel v určitém časovém rozmezí byl v naší síti, ale nemáme žádné záznamy, které by obsahovaly podrobnosti o jeho aktivitách na serverech nebo v aplikacích, které pracují s duševním vlastnictvím firmy.
Více štěstí jsem měl při odpovědi na otázku, zda byl domnělý zloděj oprávněn k přenosu těchto citlivých dat ven z firmy. Naše společnost uveřejnila rozsáhlá pravidla a směrnice týkající se klasifikace dat a zacházení s duševním vlastnictvím firmy. Je potřeba jen prokázat, že zaměstnanec tyto informace četl a že byl s nimi srozuměn.
Naštěstí naše firemní výukové centrum disponuje záznamy, které říkají, s jakým výsledkem jednotliví zaměstnanci prošli nebo dokončili různé on-line kurzy nebo povinná školení. Každým rokem musí zaměstnanci projít kontrolním testem v několika tematických oblastech. Jednou z nich je právě ochrana duševního vlastnictví a tam jsme s požadavkem o dodání tohoto typu důkazu uspěli. Zmíněný bývalý zaměstnanec dokončil on-line školení před třemi měsíci s uspokojivým výsledkem. Školení instruuje účastníky v tom, jak postupovat v situacích týkajících se přenosu citlivých informací ven z firmy bez povolení.
Jednou z obav však bylo, že podezřelý může argumentovat slovy, že data přenášel proto, aby mohl pracovat na zmíněných dokumentech z domova. Jeho nadřízený nám však řekl, že neměl povolení k tomu, aby mohl pracovat s těmito daty na svém počítači doma.
Bude zajímavé sledovat, zda bude vyšetřování nabouráno nedostatkem záznamů o přihlášení se do sítě (náš nový produkt - aplikace typu life-cycle management – už přitom bude spuštěna s plnou sadou logovacích nástrojů). Už dříve jsem se zmiňoval o tom, jak důležitá tahle aplikace pro nás bude. Naše společnost vyrábí hardware v cenových relacích od 30 tisíc až po 10 milionů dolarů. Naše produkty procházejí několikaletým vývojem a je k nim obrovské množství dokumentace, údajů o součástech a komponentách, soupisky materiálu, změnové příkazy a další.
Vedoucí pracovníci dnes chtějí mít IP telefony na stole, takže náš manažer si musí pospíšit, aby zajistil bezpečnost:
- „Mým mottem je zabudovat bezpečnost do projektu vždy včas. Vytváření infrastruktury a změny aplikace poté, kdy byla technologie zavedena, je totiž často velice obtížné. To je ten důvod, proč jsem se snažil, když naše společnost zavedla IP telefonii pro svých více než 6 000 zaměstnanců po celém světě, nalézt časový prostor pro to, abych smysluplně zhodnotil celý proces implementace. Chtěl jsem svá doporučení dát na stůl ještě předtím, než infrastruktura VoIP pojede na živo.“
To je ten důvod, proč jsem se snažil, když naše společnost zavedla IP telefonii pro svých více než 6 000 zaměstnanců po celém světě, nalézt časový prostor pro to, abych smysluplně zhodnotil celý proces implementace. Chtěl jsem svá doporučení dát na stůl ještě předtím, než infrastruktura VoIP pojede na živo.
Začalo to asi před devíti měsíci, kdy se naše společnost rozhodla, že by IP telefonie mohla pomoci snížit její náklady. Problém architektury nás donutil upustit od původního plánu projektu a přejít na řešení pouze s Cisco zařízeními. Jak management prosazoval, aby se dostaly telefony na stoly v co nejkratším termínu, hrozilo nebezpečí, že na otázky bezpečnosti dojde až posléze. Na můj posudek by tak zbylo jen velmi málo času a navíc bych jej musel dělat jen v rámci svého oddělení, které už je tak dost přetížené. Navíc rozpočet na naši skupinu je příliš malý, takže přizvání třetí strany, aby provedla audit a zhodnocení, nepřipadalo v úvahu.
Call Manager a Unity Server firmy Cisco Systems jsou zařízení, na nichž běží software, který zpracovává telefonní hovory a řídí hlasovou poštu. Obojí se stane klíčovým prvkem naší VoIP infrastruktury. Kompromitovaný Call Manager by mohl umožnit neoprávněný přístup, nebo dokonce útok odepření služby. Unity Server bude zase úzce napojen na poštovní server, a jeho bezpečnost má tudíž nejvyšší důležitost. Poskytuje to, čemu se běžně říká unified messaging – to znamená, že Unity Server je příjemcem veškerých hlasových, e-mailových a faxových zpráv. Se sjednoceným messagingem mohou být zprávy hlasové pošty konvertovány do e-mailových příloh a posílány do e-mailové schránky konkrétního uživatele.
Je to určitě moderní technologie, ale je také náchylná na problémy, pokud není nasazena bezpečně. Kompromitovaný Unity Server by mohl být napaden, čímž by způsobil zranitelnost veškerých hlasových zpráv společnosti.
Je mojí prací, abych se věnoval takovým situacím, jako je třeba tato: hlasová zpráva zanechaná pro našeho ředitele vedoucím pracovníkem jiné společnosti, která je cílem akvizice, se dostane do špatných rukou a povede k neoprávněným obchodům – dokonce i kdyby nikdo v příslušné společnosti do toho nekalého procesu nebyl zatažen, komise pro cenné papíry a burzovní obchody by byla celá bez sebe. Podobný účinek by mohl mít únik informací z hlasové pošty někoho z finančního oddělení, což by mělo za následek předčasné zveřejnění finančních výsledků společnosti.
Samy IP telefony jsou další oblastí, ze které mám určité obavy, protože jsou velmi odlišné od telefonů, na které je většina lidí zvyklá.
Další na řadě byla architektura sítě, která bude odpovědná za směrování a přepínání hlasových paketů po korporátní síti. To nepředstavovalo příliš velký problém, neboť náš tým správy sítě je opravdu velmi kompetentní. Přesto je potřeba provozovat samostatné sítě VLAN (Virtual LAN) pro hlasový a datový provoz i pro správu a další konfigurace směrovačů tak, aby bylo toto prostředí zabezpečeno.
A konečně jsem musel zhodnotit rovněž Cisco Remote Operations Support (CROS), outsourcovanou službu monitorování a řízení, kterou budeme používat pro naši infrastrukturu IP telefonie.
PŘEDPLATNÉ
ČLÁNKY DO MAILU