√(kuri) = ?

Teema püstitus

Vali üks suurematest IT-turvariskidest (võib võtta tekstist, aga võib ka kirjeldada mõnda muud) ja analüüsi seda ajaveebiartiklis. Mida tuleks "Mitnicki valemi" kolme komponendi (tehnoloogia, koolitus, reeglid) selle maandamiseks ette võtta?

Hmmm...

Ma nüüd lähenen sellele teemale natukene diagonaalis võibolla, kuid loodan siiski et see väga mööda ei lenda. Üks suurimatest turvariskidest IT-süsteemides on loomulikult inimene. Me võime selle taandada absurdini, et kui inimest pole, pole ka probleemi (kollektiivselt inimkonnana, mitte stalinistlikult :D). Sest et kui inimkond praegu maa pealt kaoks, kaoksid koos nendega ka IT turvariskid.

Mida ma muidugi täpsemalt silmas pean on see, et inimkomponent mängib kõikides teistes turvariskides piisavalt suurt rolli, et see omaette tähelepanu alla võtta. Inimesed on mugavad, laisad ja geniaalsed. Nagu ka selle nädala foorumipostitustest juba välja saab lugeda leitakse viis kuidas saada kõrvale tüütust paroolide vahetamisest põhimõtteliselt sama vana parooli taaskasutades viimast märki muutes. Boonuspunktid veel selle eest kui kirjutame ta post-it'i peale maha, et viimane number sassi ei läheks, ning kui vana märkmepaber täis saab, viskame selle paberikorvi.

Jube keeruline on luua kõigile ettevõtte kasutajatele oma kontod, ning pahatihti võib see ka maksta lisaraha per nägu. Lihtsam on regada kõigile üks kasutaja, mille parool on jagatud ning kui tüütu 2FA hakkab kinnituskoodi nõudma, siis küsime seda meilikonto haldaja käest usalduse peale. Boonuspunktid selle eest kui 2FA käib telefoni kaudu ja sa juba ennetavalt paned igale küsimusele "oled see sina?" linnukese kirja, et sõbral elu mugavam oleks.

Aga mida siis teha?

Aus vastus on ei tea. Tehnoloogilises mõttes peab tõenäoliselt leidma tasakaalu tehnilise turvalisuse ning kasutusmugavuse vahel. Kui ukse avamine tehakse liiga keeruliseks, pannakse sinna lõpuks kivi või kaigas vahele. Seda võib näiteks proovida maandada alarmiga kui uks liiga kaua avatud on, aga noh, selle saab nätsu täis toppida. Igale tehnoloogilisele lahendusele leiab tõenäoliselt geniaalse mugavduse, mis selle täielikult ära nullib.

Reeglite disainimise juures on vaja näha vaeva, et nad oleksid lihtsad, tõhusad ning arusaadavad. Ma tunnetuslikult paneksin reeglid pigem samasse patta tehnoloogiaga; mida muud nad on kui natukene vähem formaalsed algoritmid. Inimestel kipub olema kalduvus reegleid väänama hakata, eriti kui nendest aru ei saada, või kui nad mõttetud tunduvad.

Koolituse mõttes... Ma töötasin kunagi Klick'i poes klienditeenindajana ning meil olid iga paari kuu tagant mingid müügikoolitused kus mitte kunagi ei õpetatud mitte midagi uut; kogu aeg korrutati ainult ühtesid ja samu asju. Mingi aja peale tekkis mul aimdus, et tõenäoliselt on see nii by design. Tulebki korrutada kogu aeg ühte ja sama; ka turvalisuse koolitus ei saa kunagi läbi. Tuleb uutele inimestele õpetada samu põhitõdesid, miks neid vaja on, mis juhtub kui neid ei järgita. Sama moodi tuleb vanadele olijatele tuletada neid samu asju uuesti meelde. Ei saa loota, et teed nt ettevõttes ühe turvakoolituse ning nüüd ongi asi ants.

Koolitus on minu peas natukene teises rollis, kuigi koolituste käigus antakse ka kindlasti edasi teadmisi erinevatest ohtudest jms, on ta lisaks ka see liim mis tehnoloogilistel lahendustel ning reeglitel põhinevat süsteemi koos hoiab; või see õli mis ei lase sellel süsteemil rooste minna, kumb metafoor parem tundub :)

Ehk siis kokkuvõtteks. IT on inimeste poolt loodud inimeste heaks ning inimene on ka minu peas see kuhu peaks panema suurima fookuse, et meie süsteemid sünniksid turvaliselt ja oleksid turvalised kasutada.