Příběh nezodpovědného policisty

Databáze přitom měly nesmírně nebezpečný obsah - ač v době uzávěrky tohoto čísla PC WORLD Security ještě nebyl případ zcela vyšetřen, vše nasvědčuje tomu, že dotyčný policista zkopíroval i personální údaje příslušníků kriminálky včetně fotografií a adres! Zcizil prý dokonce i přísně utajená data o příslušnících sledovacích týmů. Že tato skutečnost představuje opravdu extrémně vážné nebezpečí nejen pro samotné policisty, ale třeba i pro jejich rodinné příslušníky, jistě netřeba zdůrazňovat.

Nechceme naši policii jen kritizovat - ta si musí udělat pořádek ve svých řadách a datech sama. Ale pokud si odmyslíme některé okolnosti této kauzy, můžeme ji použít jako modelový příklad velmi častých problémů s uchováváním a zabezpečením elektronických dat.

První poučení je jasné, ale stále ještě často nedodržované: elektronická data je zapotřebí chránit. Zatímco dříve bylo kopírování informací v papírové podobě přece jen obtížné, vyžadovalo speciální techniku a bylo časově náročné i nápadné, takže rostlo riziko prozrazení, dnes je situace zcela odlišná. I značné objemy dat lze rychle a pohodlně umístit na médium jako je USB flash disk nebo podobné vysokokapacitní zařízení. "Pár vteřin" strachu představuje přitom zpravidla jediné riziko, které vetřelec podstupuje. Organizace většinou není schopna rozeznat, že ke zkopírování dat vůbec došlo. Prostě nikde nic nechybí.

Nelze se tedy divit, že mnoho institucí, které se obávají úniku dat nebo průmyslové špionáže (obor v našich zeměpisných šířkách mnohem rozšířenější než si vůbec dokážeme představit!) dokonce odebírají z počítače diskové mechaniky, USB porty (nebo k nim alespoň mechanicky blokují přístup umístěním počítačů do speciálních kontejnerů) apod. Samozřejmostí se stává také blokování přístupu k internetu či elektronické poště, aby nebylo možné data podle libosti někam odeslat. A to buď se zlým úmyslem nebo prostě z nedbalosti, nedopatřením.

Toto je až poslední fáze celého řetězce: data je zapotřebí chránit na všech úrovních. Často tím, že jsou ukládaná centrálně a je monitorován přístup k nim (kdo, co a proč požaduje). Nebo se sleduje, kdo a jaké dokumenty tiskne na tiskárně apod. Pokud jsou tato opatření nasazena, uživatelé/zaměstnanci si rozhodně dávají pozor a k datům se všeobecně chovají odpovědněji.

Velmi účinnou ochranou je přitom šifrování. Rozhodnutí začít používat šifrování je chvályhodné - nejen na úrovni organizací, ale také na úrovni domácích počítačů. Vždyť se uvádí, že devět z deseti počítačů na světě je napadeno nějakou formou spywaru (sledovacích programů). Jejich použití je přitom různé: od prostého "marketingového" sledování navštívených webových stránek až po "odchytávání" hesel a přihlašovacích jmen k bankovním aplikacím, internetovým obchodům, osobním účtům apod.

Vraťme se ale zpět k šifrování. Rozlišujeme dva základní druhy: symetrické a asymetrické. Symetrické znamená, že k zašifrování i odšifrování dat se používá stejný klíč. Nejlépe si to ukážeme na příkladu větší skupinky lidí: prostě všichni mají jeden šifrovací klíč, kterým data jednak šifrují a jednak tato data následně dešifrují. Základní problémy jsou dva. Jednak je to skutečnost, že každý může číst všechno, takže nelze vytvořit privilegované skupinky (např. management či obchodníci), které mají strategické informace - leda by byl vytvořen jiný šifrovací klíč. Druhým problémem je, že v případě vyzrazení šifrovacího klíče (což je s rostoucím počtem uživatelů pravděpodobnější) se útočník dostane ke VŠEM datům.

Symetrické šifrování se tak v praxi používá především k šifrování zálohovaných dat (na CD, DVD či jiné velkokapacitní médium) nebo k šifrování dat na lokálním počítači (tedy k šifrování "sám pro sebe", kdy chci citlivá data chránit třeba pro případ krádeže nebo ztráty notebooku). Naproti tomu asymetrické šifrování znamená, že každý uživatel si vytvoří klíčový pár (soukromý a veřejný klíč), přičemž ostatní pro něj veřejným klíčem data šifrují, on si je soukromým dešifruje. Výhodou je, že k datům se nikdo jiný než majitel soukromého klíče nedostane a že v případě jakýchkoliv problémů nejsou postižena všechna zašifrovaná data.

Jenomže šifrování neznamená jenom rozhodnout se pro jeden ze způsobů, důležité je rovněž vypracovat a dodržovat určitou metodiku. Data je třeba opravdu odpovědně šifrovat, archivovat staré šifrovací klíče (není nic horšího než po pěti letech zjistit, že se ke starším datům nelze dostat, protože se jaksi "pozapomnělo" na zálohování starších klíčů), používat kvalitní šifrovací algoritmy a hesla... Je toho zkrátka - ale o tom případně až někdy jindy.

Případ popsaný na začátku tohoto článku ukázal nejen to, že nejslabším článkem celého systému je právě uživatel, ale také že nejčastějším zdrojem problémů je interní zaměstnanec. To je svatá pravda: zatímco před útokem zvenčí jsme obrněni a chráněni, útočník na domácím hřišti má téměř volné pole působnosti. Neexistují mantinely, které by ho zastavily, neexistují mechanizmy, které by ho odhalily. Pokud jste administrátorem, zkuste si odpovědět na následující otázky: dokázali byste (a jak?) odhalit takového interního útočníka, který by se rozhodl nějaká data zkopírovat? Jaké překážky stojí jeho počínání v cestě?

Velký problém v naší zemi rovněž představuje, že na rozdíl od západních sousedů organizace při přijímacích pohovorech stále ještě nezkoumají minulost uchazečů. Nebo to nečiní příliš důkladně. Situace se ale začíná měnit a mnoho organizací si uvědomuje cenu dat a ptá se i na chování a případné problémy u předchozího zaměstnavatele. Ovšem ne vždy je to možné: kvalitních odborníků za rozumnou cenu je na našem trhu stále jako pověstného šafránu.