Безопасность и риски в интернете и электронной коммерции

Но, как  упомянуто выше, изобретательность  разработчиков вредоносного программного обеспечения (см. позже в этой главе) по крайней мере, столь же высока как тот из защитников вредоносного программного обеспечения, таким образом, в движении есть непрерывное схватывание  процесса, оставляющее большинство  пользователей, уязвимыми в течение  определенного промежутка времени, пока современная защита не установлена.

Этот  последний пункт подчеркивает другой, нетехнический – слабость о защите программного обеспечения. Это хорошо только тогда когда люди, которые  активизируют и обновляют ее. Большинство  коммерческих поставщиков антивирусного  программного обеспечения обеспечивают регулярные он-лайн обновления, но они все еще должны быть определенно предписаны пользователем. Даже в больших корпорациях, где есть значительно высокая осведомленность этого вида воздействия, может произойти случай, когда индивидуальные пользователи автоматизированных рабочих мест или ПК не в состоянии использовать в своих интересах обновление услуг, которые могут быть обеспечены центрально. Если есть недостаточное корпоративное связывание к электронной защите, то возможно сотрудники не знают степень или уровень воздействия, который может создать случайная деятельность безопасности.

Параллельная  слабость – это, что, если у сотрудников  нет относительно острого понимания  воздействия вообще, они, вероятно, будут легкомысленными или небрежными в их использовании несанкционированного программного обеспечения. Некоторые  организации очень требовательны  на счет этого и запрещают все  программные обеспечения, которые  тщательно не проверялись. В некоторых  банках, например, это – серьезное  дисциплинарное правонарушение, чтобы  ввести программное обеспечение, которое  не было тщательно проверено внутренним компьютерным отделом безопасности.

С другой стороны, не смотря на строгие правила  – это одно, а истинное понимание  обязательства от штата – другое. Если люди будут знать, что организация  серьезно понесла убыток, только из-за их якобы "безвредного" использования диска, то они, вероятно, будут более бдительны, чем если бы не было такой уверенности. Если, с другой стороны, они будут уверены в безнаказанности, то рано или поздно они будут думать "Один раз не повредит", и таким образом целостность системы будет нарушена. Со всеми этими рисками и их предотвращением, это зачастую в меньшей степени способность полностью устранить риск, так как существенное сокращение вероятности воздействия превратится в фактическое повреждение.

Установка брандмауэра – как правило, очень  сильная защита. Но у него также  есть немного недостатков. Кроме  того, есть исторический элемент –  Вы можете только защитить себя против того, как ты думаешь, что кто-то "оттуда" уже разработал или рассматривает возможности применения. Так, по определению, не существует защиты от потенциальных атак, о которых не подозревают.

Более важно  то, что установка брандмауэров склоняется к общей природе. Как правило, брандмауэр может фильтровать каждую электронную почту или иметь  доступ к веб-странице и показывать на экране их для содержания или  приложений, препятствуя пользователю получить доступ к чему-либо, для  чего создатели брандмауэра полагали создать недопустимое воздействие. Некоторые из результатов действий установки брандмауэра могут  быть абсурдными – например, брандмауэр, который предназначен, чтобы защищать не только против зараженных приложений файла, но также и не отображать несоответствующее  содержание (такое как ругательства, потенциальные террористические коммуникации, или порнография), может препятствовать передаче законных сообщений. Один смешной пример того, кто заказал себе книгу он-лайн, но при использовании их рабочего ПК сообщение подтверждения остановилось в брандмауэре, так как название книги было «Моя задница выглядит большой в этом?» – популярный роман в Великобритании в 2000; это объяснялось тем, что "задница" была в списке слов, которые соответствовали потенциальному порнографическому содержанию.

Другой  механизм, который выполняет подобную роль на брандмауэре является сервером по доверенности. Это – сервер, который стоит в пункте интерфейса или шлюза между системой организации и открытой сетью. Поэтому он может управлять подобными процессами фильтрования аналогично методологиям брандмауэра, но он имеет тенденцию работать в противоположном направлении. Брандмауэр пытается предотвратить нежелательный вход к данным, пока сервер по доверенности пытается препятствовать внутренним пользователям вводить нежелательный материал.

Брандмауэры и серверы по доверенности вообще замедляют уровень передачи. Некоторые  брандмауэры – например, из числа  тех, которые установлены на правительственных  серверах электронной почты –  просто, избегают этой проблемы, запрещая передачу вообще любого прикрепленного файла определенного типа. Это усиливает безопасность за счет утраты одного из ключевых эффектов электронной почты.

Когда с  потенциальным воздействием коммерческого  антивирусного программного обеспечения, не всесторонне принимаемого по организации, у брандмауэра есть потенциальная  лазейка – то есть, части полной местной сети, которые работают без  защиты брандмауэра, но все еще взаимодействуют  с остальной частью сети. Это может  случиться по многим причинам. Возможно, система была модернизирована постепенно к пункту, где полагается (по ошибке), что все автоматизированные рабочие  места находятся на особенной  системе или имеют данный набор  параметров настройки, и затем брандмауэр внедряется в механизм в силу тех  параметров настройки или систем. Но индивидуальное автоматизированное рабочее место, возможно, было пропущено, индивидуальный пользователь, возможно, не сделал все, что было необходимо, чтобы вызвать модернизацию, или  могла быть техническая ошибка, где  центральная электронная запись для автоматизированных рабочих  мест разрушена или недостаточна некоторым другим способом, так сказать, оставляет некоторые машины "вне списка".

Дальнейшая  трудность со всеми методами внутренней защиты – это "внутренняя сеть", которая не совсем самостоятельна. Устойчивый рост людей, работающих дома или далеко от офиса, подразумевает, что люди используют ноутбуки и ПК, которые могут соединиться с местной сетью промежуточно, как посредник (например, через электронную почту посредством провайдера услуг интернета третьего лица, такой как MSN или AOL) или косвенно (через работу, сохраненную на диске или переносном устройстве и затем загруженный позднее в машину рабочего места). Зачастую происходит так, что хороший брандмауэр сети предотвращает ввод основных пунктов вредоносного программного обеспечения, потому, что ноутбуки штата не так хорошо защищены. Все же дальнейшая проблема здесь состоит в том, что, работая в офисе, кто-то может использовать телефонную линию, которая стоит вне общей сети. Для более старших менеджеров характерно иметь линию, которая отдельна от главного распределительного щита, который используется для высоко конфиденциальных звонков. Расширение "аэропорта" и других удаленных устройств модема означает, что менеджер мог использовать эту линию, чтобы получить доступ к Интернету полностью независимо от технологий установки брандмауэра организации, создавая воздействие, которое может позднее способствовать внедрению пакетов вредоносного программного обеспечения в главную систему.

Короче  говоря, заражение вредоносным программным  обеспечением может быть защищено программным  обеспечением, разработанным, чтобы  "обезвредить", как только они были "пойманы" брандмауэром или подобными технологиями, разработанными, чтобы предотвратить начальное внедрение в систему или сеть. В практике есть существенные недостатки у обоих.

Хотя  основная слабая связь – это отсутствие понимания пользователями важности защиты против этого типа воздействия, мы вернемся к этой теме позже.

Защита личных данных

Много корпоративных  систем будут содержать много  личной информации, о клиентах и  о штате. Во многих странах есть существенное законодательство, требующее, чтобы  сохраненные данные использовались только определенными способами, и  что это не общедоступно. Кроме  законодательного требования, это –  несомненно, хороший способ не допускать, чтобы все до одного видели дисциплинарные отчеты членов штата, например, или  иметь частные адреса клиентов, открытых для общественного просмотра.

Стандартный способ защитить эту информацию –  защита паролем файлов или серверов. Большинство корпоративных местных  сетей также используют защиту паролем  для учетных записей индивидуальной электронной почты, для доступа к определенной учетной записи пользователя, для использования сети, или даже для любого уровня доступа к автоматизированному рабочему месту. Единственный результат – это то, что люди могут хранить некоторые пункты конфиденциальной информации независимо от любой корпоративной базы данных. Это само по себе может создать воздействие, что организация, возможно, даже не осознает, что это имеет.

Обычно  имеются три постоянных проблемы с паролями (эти комментарии применяются  также к использованию паролей  как внешний метод защиты):

• Люди плохо запоминают пароли, таким образом, им предоставляется выбор. Они часто выбирают что-то запоминающееся для них, например, имя их любимого хомяка, или их даты рождения. Тот, кто знает немного о человеке, мог бы тогда иметь прекрасный шанс попытаться отгадать их пароль.
• Когда пароли установлены центрально, или система устанавливает параметры на отборе пароля (такие как запрет легко опознаваемых слов, или требование, чтобы включать числовые элементы, так же как и алфавитные данные в пароль), тогда для среднего пользователя становится трудным запомнить его. У большинства людей, использующих компьютерные системы, вероятно, имеются множественные пароли, чтобы помнить (такие как электронный магазин или интернет-семинары, пин-коды банковских карт, наборы данных распознавания ISP). Объем информации безопасности, которую, вероятно, придется помнить потребителю, создает большое искушение записать их. Чтобы сделать это для служащего компании, необходимо создать новую форму воздействия, основанного на риске, что записанный пароль замечен посторонним человеком.
• Пароли должны регулярно анализироваться, чтобы остаться безопасными. Хакеры используют программы, которые не только формируют огромные числа случайных символьных строк, которые могут действовать как пароли, но так же попытаться использовать их для входа в безопасную сеть. Чем дольше особенная последовательность сохраняется, тем больше вероятность того, что он будет взломан одной из таких программ и использоваться для входа. Кроме того, чем дольше пароль используется, тем больше шанс, что кто-то еще может узнать его. К сожалению, чем чаще пароли изменяются, тем больше вероятность того, что люди захотят записать их, чтобы помнить.

Также, есть краткосрочные проблемы с защищённым паролем входом в совокупность данных. Люди могут иметь данные на экране и быть вызваны внезапно на встречу, оставляя "безопасную" информацию видимой для тех, кто проходит мимо их стола. Даже если кто-то сидит за столом, с открытыми схемами офиса, то мимо идущий посторонний человек может мельком увидеть их. Так же существует риск того, что кто-то ненамеренно может увидеть информацию, или увидеть кое-что деликатное, но не значительное, и поэтому создается дополнительное воздействие на организацию.

Конечно, каждое новое развитие в технологии увеличивает потенциальные защиты – использование веб-камер, например, может использоваться к программному обеспечению распознавания радужной оболочки так, чтобы экран мог  только выключаться человеком, ответственным  за устройство на рабочем столе. У  программного обеспечения голосовой  идентификации есть подобный потенциал, оба из них широко используются в  других прикладных системах личной идентификации  – таких как безопасность аэропорта.