Izsiljevalski program v domu starejših občanov
Dom starejših občanov zaposluje 45 ljudi in hrani zdravstvene podatke 1.200 stanovalcev v sistemu, ki teče na strežniku Windows Server. Računovodkinja je odprla prilogo »račun.docm« v e-pošti, ki je bila videti kot sporočilo dobavitelja. V dveh urah so bile datoteke na strežniku in na vseh 30 računalnikih šifrirane, na zaslonih pa se je prikazala zahteva za plačilo. Varnostne kopije so se izvajale vsako noč z ukazom robocopy /MIR na omrežni disk, ki je bil na vseh računalnikih priključen kot disk Z:. Do tega dneva je bila naročnina na protivirusno zaščito pretečena osem mesecev, požarni zid pa ni blokiral makrov. Sestre in receptorji uporabljajo skupni račun »recepcija«, na katerem ni večfaktorske prijave. Po incidentu vodstvo predlaga namestitev programa za beleženje tipkovnice in zajem zaslona vsakih pet minut na vse računalnike, da bi odkrili nepazljive zaposlene. Predstavnik zaposlenih opozarja, da bi takšen nadzor zajel tudi osebno pošto in podatke stanovalcev.
1. Rekonstruiraj pot okužbe in loči ukrepe za zmanjšanje verjetnosti od ukrepov za zmanjšanje posledic. Kateri posamezni ukrep bi v tem primeru najbolj zmanjšal škodo? Utemelji.
Read the worked answer
Pot okužbe
- Lažna e-pošta z makrojezikovno prilogo
.docmpride do računovodkinje. - Uporabnica omogoči makre; protivirusna zaščita je pretečena, makri pa niso blokirani s pravilnikom.
- Makro zažene prenos in izvajanje izsiljevalskega programa z uporabniškimi pravicami računovodkinje.
- Program šifrira lokalne datoteke in vse dosegljive pogone, vključno z diskom Z:.
- Nočna kopija z
robocopy /MIRzrcali stanje – šifrirane datoteke prepišejo dobre, zato čiste kopije ni.
Ukrepi za zmanjšanje verjetnosti: blokiranje makrov s pravilnikom skupine, posodobljena protivirusna zaščita in filtriranje e-pošte, peskovnik za priloge, ozaveščanje zaposlenih, onemogočanje izvajanja iz map, kamor uporabnik shranjuje.
Ukrepi za zmanjšanje posledic: nespremenljiva kopija zunaj dosega omrežja (3-2-1), ločene pravice do kopij, segmentacija omrežja, načrt obnove in preizkus obnove, odstranitev pravic pisanja na strežnik za delovne postaje.
Odločilni ukrep je nespremenljiva oziroma nepovezana varnostna kopija. Verjetnost, da bo kdo kdaj odprl napačno prilogo, je vedno večja od nič; v tem primeru pa je škoda nastala zato, ker obnovitev ni bila mogoča. Protivirusna zaščita bi incident morda preprečila, ne more pa ga zagotoviti – obnovljiva kopija pa zagotovi, da izsiljevanje ne uspe.
2. Ovrednoti predlog vodstva o beleženju tipkovnice in zajemu zaslona vsakih pet minut. Upoštevaj varstvo osebnih podatkov in etične vidike ter predlagaj sorazmerno alternativo.
Read the worked answer
Presoja
- Predmet obdelave: zdravstveni podatki so posebna vrsta osebnih podatkov z najstrožjim varstvom. Beleženje tipkovnice zajame gesla, osebno pošto, pogovore med zaposlenimi in podatke stanovalcev, ki jih ti niso dali za ta namen.
- Načelo sorazmernosti: ukrep mora biti primeren, nujen in sorazmeren. Beleženje tipkovnice ni nujno, ker obstajajo manj invazivni ukrepi; zajem celotnega zaslona vsakih pet minut pomeni množično zbiranje podatkov brez izbire.
- Pravna podlaga in postopek: potrebna je jasna podlaga po predpisih o varstvu osebnih podatkov in delovnopravni zakonodaji, predhodna obvestitev zaposlenih, ocena učinka (DPIA) zaradi obsega in vrste podatkov, opredelitev namena, roka hrambe in dostopa; v celoti tajno beleženje ni dopustno.
- Etika: ukrep bi kaznoval vse zaradi napake posameznika, porušil zaupanje in odvrnil zaposlene od prijavljanja napak – prav to pa je za varnost najbolj škodljivo. Računovodkinja ni bila zlonamerna, bila je prevarana.
Sorazmerna alternativa
- Posamezni računi z večfaktorsko prijavo in načelom najmanjših pravic.
- Beleženje prijav in dostopov do map s podatki stanovalcev, hramba 90 dni, dostop samo za pooblaščene.
- Filtriranje e-pošte, blokiranje makrov, omejevanje izvajanja prenosnih datotek.
- Obveščanje in usposabljanje z jasnim postopkom »sumljivo sporočilo prijavite v enem kliku« brez sankcij.
Rezultat: enaka ali boljša varnost brez poseganja v zasebnost zaposlenih in stanovalcev.
3. Zakaj skupni račun »recepcija« oteži preiskavo tega incidenta in vsakdanje delo? Predlagaj model dostopa in ga utemelji z načelom najmanjših pravic.
Read the worked answer
Posledice skupnega računa
- Ni sledljivosti: dnevnik prijave pokaže le »recepcija«, ne pa, kdo od šestih oseb je odprl prilogo. Preiskava se ustavi že na prvem koraku, suma ni mogoče niti potrditi niti ovreči.
- Ni dokazljivosti: dejanja ni mogoče pripisati posamezniku, zato ni mogoče izreči ukrepov niti razbremeniti nedolžnih.
- Ni preklica: ob odhodu zaposlenega je treba geslo zamenjati vsem, kar je zamudno in se v praksi ne izvede.
- Ni večfaktorske prijave: vsak, ki pozna geslo, se prijavi brez drugega dejavnika; geslo se prenaša ustno in je verjetno zapisano na listku.
Predlagani model
- Vsak zaposleni dobi osebni račun (uporabniško ime v obliki ime.priimek), gesla pa upravlja skupni upravljalnik gesel.
- Skupine pravic (RBAC): recepcija vidi podatke o nastanitvi in prehrani, sestre zdravstvene podatke, računovodstvo le račune. Vsaka skupina dobi le mape in module, ki jih potrebuje.
- Ločen skrbniški račun za administracijo strežnika, ki se ne uporablja za vsakdanje delo.
- Večfaktorska prijava vsaj za e-pošto, oddaljeni dostop in skrbniške račune.
- Samodejno zaklepanje seje po 5 minutah nedejavnosti in četrtletni pregled pravic.
Utemeljitev z najmanjšimi pravicami: vsak uporabnik dobi le tisto, kar potrebuje za svoje delo. Če bi računovodkin račun imel dostop le do svoje mape in e-pošte, izsiljevalski program ne bi mogel šifrirati celotnega strežnika – najmanjše pravice ne preprečijo napake, zmanjšajo pa njen doseg in omogočijo sledljivost.