Riscurile expunerii pe internet. Măsuri de protecție și recomandări conforme cu legislația în vigoare.
Interviu cu Petru Fuiorea, Senior System Engineer & Security Solution Department, Telekom Romania
Contextul creat de virusul pandemic a provocat o multiplicare de aproape 10 ori a sesiunilor de videoconferință în România, implicit utilizarea internetului și a expunerii în mediul cibernetic. Ce măsuri de protecție pot lua utilizatorii pentru evitarea incidentelor?
În ultimele luni, profesorii au organizat un număr din ce în ce mai mare de conferințe online cu elevii, dar și cu părinții sau colegii lor. Măsurile adoptate pentru limitarea propagării epidemiei au determinat, nolens volens, creșterea intensității utilizării tuturor serviciilor disponibile online.
Între contextul pandemiei și riscurile de fi subiectul unui incident de securitate cibernetica există o relaționare interesantă. Ca să nu te expui infectării cu virusul COVID-19, poți să te izolezi, închizându-te în casă, de exemplu. Similar, ca să nu te expui în mediul online, te izolezi de acesta – stai offline. Însă nici izolarea fizică, nici renunțarea la mediul online nu sunt practice.
În ambele cazuri rămân la dispoziție metodele de prevenție, de diminuare a riscurilor. În cazul COVID-19 avem ca măsuri purtarea măștii, mărirea spațiului personal, dezinfectarea mâinilor și a obiectelor. Similar, pentru protecția datelor noastre, putem folosi firewall-uri, politicile/ bunele practici de securitate, așa numitele antimalware-urile.
Dacă în această pandemie, în mediul offline, ne confruntăm cu un agent patogen (care poate avea mai multe tulpini), în mediul virtual ne confruntăm cu o veritabilă „grădină zoologică” de viruși, troieni, fileless malware (malware = ad litteram – parte rea), spyware, adware, worms, rootkits, keyloggers, bots, mobile malware etc.
Ce măsuri de protecție putem adopta?
În ceea ce privește măsurile de protecție, avem la dispoziție două linii de apărare: tehnologia și disciplina organizațiilor (proceduri de protecție a datelor personale).
Există soluții tehnice variate. În cele mai multe cazuri, aceste soluții tehnologice asigură o bună reducere a riscurilor, însă au un ”călcâi al lui Ahile”. Este necesar ca acestea să fie completate de implementarea unor politici și proceduri interne, de exemplu: obligativitatea utilizării unor parole de acces complexe, educarea angajaților spre a identifica phishing-ul, de a nu introduce pe stațiile de lucru software neautorizat de organizație ș.a.
Fără o disciplină internă și asumată de întreaga organizație, soluțiile tehnologice își pierd eficiența.
Recomandări
- Realizați politici și proceduri care să asigure conformitatea GDPR și NIS-D
- Actualizați sistemele de operare și aplicațiile
- Faceți Backup preventiv, periodic, cel puțin pentru datele sensibile și aplicațiile critice
- Criptați informația stocată
- Soluțiile antivirus sunt obligatorii
- Utilizați soluții de control al aplicațiilor și data loss prevention pentru a fi conform cerințelor legale derivate din GDPR și NIS-D
- Filtrați traficul și blocați accesul către și dinspre sursele de risc cunoscute
- Introduceți în cultura organizației valori ce privesc precauția în utilizarea mediului online
- Solicitați de la furnizorul de servicii de acces la Internet suport și servicii de securitate cibernetică
- Priviți costurile legate de asigurarea securității cibernetice ca fiind investiții, nu cheltuieli inutile
Este foarte important ca fiecare utilizator al mediului online să conștientizeze că:
- în ultimă instanță, el este singurul responsabil de păstrarea integrității, confidențialității, disponibilității datelor,
- nu există sistem conectat la Internet care să fie 100% protejat;
- protecția nu privește doar reducerea vulnerabilităților la un atac din exterior, ci și a unor posibile vulnerabilități din interior.
Parametrii normalului s-au modificat considerabil și activitatea profesională a trecut, acolo unde a fost posibil, în online. Educația a făcut pasul forțat spre sfera internetului. Ce măsuri ar trebui să adopte autoritățile pentru protejarea minorilor care participă la ore, primesc note, teme, teste și sunt evaluați online?
Subiectul este provocator și vast. Răspunsul se va limita la aspectele tehnice, ignorând aspectele politice, logistice, metodologie didactică, curriculum etc. Aceste aspecte au potențialul de a impacta implementarea. Orice formă de învățământ la distanță se supune acelorași reguli generale. Învățământul online se diferențiază doar prin mediul de comunicație – și implicit prin avantajele și dezavantajele sale.
În concluzie, învățământul online, respectând cerințele generale pentru protecția datelor cu caracter personal, are de rezolvat chestiunea dezavantajelor utilizării acestui mediu. Dacă analizăm relația elev – școală, aceste dezavantaje pot fi ușor observate.
Prin accesul la mediul online, minorii au acces și la întregul conținut disponibil. Controlul parental este esențial. Acesta este răspunsul tehnologic, însă părintele sau tutorele ar face bine să găsească și calea de a le inocula minorilor responsabilitatea de a nu utiliza calculatorul/tableta pentru altceva decât ceea ce le este permis.
Măsuri de protecție conforme cu legislația
Pentru protecție mai ridicată, din punct de vedere tehnic există posibilitățile de criptare, care se implementează în urma unei analize cost-beneficiu.
În cadrul instituțiilor de învățământ există baze de date electronice, aplicații precum catalogul electronic, aplicații de tip online school, aplicații de videoconferință IP sau simple transmisii audio-video over Internet. Aceasta este cea mai sensibilă zonă, întrucât aici găsim date personale, inclusiv note, aprecieri, observații cu privire la elevi. Este necesar ca soluțiile tehnologice ce asigură protecția să fie conforme cu legislația în vigoare.
Aici recomand să fie asigurate: controlul accesului utilizatorilor (ideal prin mecanisme de autentificare multifactor), controlul aplicațiilor, mecanisme de prevenire a intruziunilor, soluții anti-malware (aici includem și antivirușii), protecție împotriva ransomware, obligatoriu web-filtering, anti-bot, dar și soluții de protecție la atac cibernetic.
Aceste soluții au un cost, dar permit funcționarea unei școli în mediul online fără surprize majore. O idee ar fi ca aceste măsuri de securizare cibernetică a școlilor online, poate mai puțin prin achiziția de către școli/inspectorate a unor astfel de soluții, ci mai degrabă prin finanțarea soluțiilor de securitate cibernetică.
Concluzie
Chiar dacă normalul va reveni ușor, ușor în viețile noastre personale și profesionale, varianta utilizării lucrului remote sau a școlii online ne va fi mult mai la îndemână. Este momentul să instituim o disciplină a utilizării internetului prin respectarea unor măsuri de protecție și apelarea la produse software dezvoltate cu scopul de a ne proteja.
