E-ITSPEA 14: Andmeturveː tehnoloogia, koolitus ja reeglid

Minu arvates on andmepüük ehk phishing kõige tõsisem IT-risk. Põhjuseks on inimfaktor. Saab küll kehtestada hea kaitse, aga kui inimene laseb end petta ja sisestab oma parooli võltsitud lehele, on tagajärjed vältimatud.

Nagu ma juba ütlesin, on see kõige ohtlikum just inimfaktori tõttu. Inimesi saab petta mitmel moel – tähelepanematuse, hirmu või usalduse abil. Me kõik teame, kuidas see toimib: e-kiri, mis väidetavalt on pärit pangast, tööandjalt või isegi abivajavalt sugulaselt. Seal võib olla link võltsitud lehele, mis näeb välja peaaegu ehtne. Inimene sisestab oma andmed ja ongi kõik.

Nüüd jagame selle punkt-punktilt lahti:

Esimene osa on tehnoloogia. Esiteks on olulised rämpsposti ja andmepüügi e-kirjade filtrid. Teiseks on hädavajalikud kaasaegsed brauserid ja turvasüsteemid, mis hoiatavad kahtlaste veebisaitide eest. Kolmandaks on mitmefaktoriline autentimine väga kasulik, sest isegi kui parool varastatakse, ei pruugi ühest paroolist enam piisata. Ja rääkimata klassikalistest lahendustest, nagu regulaarsed värskendused ja hea viirusetõrje. Tehnoloogiliste lahenduste väljakutse seisneb selles, et need peavad võimaluse korral suutma vältida inimlikke vigu.

Nüüd räägime koolitusest. Kuna probleem on põhimõtteliselt inimlik, määrab inimese teadlikkus sageli, kas rünnak toimib. Me kõik mõistame, et "ole ettevaatlik" on enamiku inimeste jaoks vaid müra. Inimesed vajavad näiteid, kuidas kahtlased meilid välja näevad. Kursusi saatja aadressi kontrollimise kohta. Me vajame meeldetuletusi, et me ei kiirustaks linkidele klõpsamisega ja kuidas eristada päris veebisaiti võltsist. Ma arvan, et inimestele tuleks ehk selgitada, et pole vahet, kas nad pole miljonärid; nad on ikkagi potentsiaalsed ohvrid. Võib-olla on see mõistlik.

Noh, reeglid. Olenemata sellest, milline tarkvara meil on, võivad inimesed ilma reegliteta ikkagi segadusse sattuda. Inimesed peaksid aru saama, kuhu kahtlastest meilidest teatada, kes selliseid juhtumeid läbi vaatab ja kuidas reageerida. Kasulikud on ka reeglid, mis keelavad paroolide jagamise, tööandmete sisestamise ebausaldusväärsetele saitidele ja kahtlaste manuste avamise ilma kinnituseta. Tundes inimesi, usun ma aga topeltkontrolli ideesse rohkem kui inimeste reeglite järgimisse...

Lihtsamalt öeldes ei saa andmepüügi vastu võidelda üheainsa meetodiga. Ainult tehnoloogia ei päästa, sest inimesed võivad asju untsu keerata. Ka koolitus ja reeglid ei päästa, sest ükskõik kui ettevaatlik sa ka poleks, on meil kõigil omajagu probleeme ja üks viga võib kalliks maksma minna. Seega näitab andmepüügi näide selgelt, et Mitnicki valem toimib süsteemina.