Työntekijät heittävät tietoturvasäännöillä vesilintua
14
Ponemon Instituten suorittamaa tutkimusta tuki tietovuotojen ehkäisyyn erikoistunut RedCannon. Tulosten mukaan moni työntekijä käyttäytyy varsin huolettomasti niissäkin tapauksissa, kun he ylipäätään ovat tietoisia yrityksensä tietoturvasäännöistä.
51 prosenttia vastaajista esimerkiksi kertoi kopioineensa luottamuksellista tietoa usb-asemalle, vaikka 87 prosenttia näistä vastaajista myönsi yrityksensä kieltävän moisen.
39 prosenttia puolestaan kertoi kadottaneensa kannettavan laitteen, jossa on yrityksen tietoja. Näin vastanneista 72 prosenttia ei ollut heti ilmoittanut katoamisesta työnantajalleen.
Yli puolet vastaajista arvioi, ettei heidän työnantajansa pystyisi koskaan määrittämään, millaista dataa kadonneilla laitteilla oli. Vain kymmenys mainitsi, että heidän organisaatiollaan on olemassa valmiit käytännöt tilanteisiin, joissa liikuteltava tallennuslaite arkaluontoisine tietoineen on hävinnyt.
Tutkimukseen otti osaa alle 900 eri yritysten it-työntekijää, yhdysvaltalainen InfoWorld kertoo uutisessaan. Vastaajista 46 prosenttia myönsi antaneensa tietokoneensa tai verkon salasanansa muille, vaikka näistä vastaajista 67 prosenttia myönsi yrityksensä kieltävän tällaisen toiminnan.
Kommentit (14)
Salaiset luottamukselliset tili ja pankkitiedot lähetetään esim zipttuna liitteenä tai postitetaan salaamattomana dvd levynä.
Näppärää ja käytännöllistä.
Perustelu siihen ettei tietoturvasta kannata huolehtia on se, että tiedonsiirtäminen hankaloituu. Joudutaan rakentamaan vpn tunneleita, salaamaan tietoja jne. Kuka sellaista päivittäin jaksaa, sehän on vain foliohatuille.
Tietoturva ja käytännöllisyys kun eivät usein kulje käsikädessä.
Jos jotain hukkuukin, aina voidaan luottaa siihen että se tulee sellaisen tahon käsiin joka ei osaa tai halua väärinkäyttää tietoja.
Ette usko kuinka monesti olen käynyt eri yrityksissä ja bongannut monitorin kyljestä tunnarit mukaani.
Kiitos joidenkin sisustussuunnittelijoiden, kone on usein asetettu ikkunan lähelle näyttö ikkunaan päin.
Riittää vain pieni napsaisu digikamerasta ilta-aikaan kun työpäivä on päättynyt, ja megapikselit tulevat hyvään käyttöön kun voin tarkastella pöytäänne oman tietokoneeni ääressä.
Sieltä löytyy lippua ja lappua monenmoiseen kivaan käyttöön.
Yhteystietoja, asiakkaiden nimiä jne ikään kuin haluaa vain hypätä mukaani. Annetaan peruskäyttäjien tehdä kuten ovat tehneet, muutenhan työni vaikeutuisi.
Eli: laittakaa tunnarit siististi näkyville pöydän alueelle ja muistakaa että kun vieraita käy - ei koskaan tiedä kuka kurkistaa hiirimaton alle...
Olen itse "foliohattu" joka tekee tietoturvahommia ja useammin kuin kerran olen ollut tilanteessa missä tietoturvasääntöjä on rikottava tai mitään ei saada tehdyksi.
Laiskuudesta ei tarvitse aina syyttää käyttäjiä vaan voisi moni IT osasto/päällikkö katsoa peiliin. Sen sijaan että toteuttaa "estetään kaikki niin tietomurtotilanteessa voidaan aina sysätä syy muualle" tietoturvapolitiikka, olisi ehkä järkevämpää tehdä tarvekartoitus ja riskianalyysi ja hyväksyttää tunnetut riskit. Näin tiedetään että ollaan tekemässä kompromissiä tietoturvan ja käytettävyyden välillä.
Esim: Jos käyttäjät pakotetaan 30 päivän välein vaihtamaan salasanaksi jokin jota on mahdoton muistaa, mitä kukaan järkevä ihminen odottaaa tapahtuvaksi? Omasta kokemuksesta voin sanoa että mitä tiukemman salasanan vaihtovälit, sen enemmän post-IT lappuja ilmestyy näppäimistöjen alle.
KDE:ssä ihan vakio-ominaisuus jonka voi kytkeä päälle.
Ei tuokaan nyt idioottivarma ole, mutta kuitenkin varmempi kuin käyttäjätunnus ja salasana
Uskon pitkään alan kokemukseen perustuen että käytännölliset (ja käytettävyyttä painottavat) tietoturvasäännöt yhdistettynä tuntuviin rikkomissanktioihin on ratkaisu jota parempaan ei voida päästä niin kauan kun koneiden käyttäjät ovat ihmisiä.
Lisäksi nettisurffailu pitäisi sallia vain Terminal Serverin läpi toimivalta koneelta joka olisi tiukasti palomuurattu ja josta johtaisi levymappaus käyttäjän kotihakemiston yhteen kansioon. Jokainen tiedosto joka tyrkättäisiin siihen jakoon (esim. netistä downloadattavat), ajettaisiin surffailukoneen viruskannerin kautta. Joka yö klo. 3:00 surffailu terminal server "ghostattaisiin" puhtaan pöydän koneeksi. Työasemilla ei olisi (suoraan) asiaa nettiin firman verkosta.
Ja tarvitaanko todella kaikkia muistilappusalasanoja? jos hemmolle tarjotaan pömpeliinsä valmiiksi ne tiedot / tunnukset joita tarvii väärin, niitä on silloin liikaa ja mitä enemmän niitä on, sitä hankalempi muistaa ne (elleei it-osasto ohjeista niiden valitsemista / generointia jollain tavalla)
...