IT kriminalita v pracovnom prostredí

Informačné technológie a kriminalita. Téma, ktorá sa dnes radí medzi nesporne najdiskutovanejšie témy v oblasti IT. Je opradená často rúškom akéhosi tajomstva, podfarbená mediálnymi senzáciami – na strane jednej často mystifikovaná – na strane druhej podceňovaná a tým pádom riziková. A práve jej podceňovanie, neakceptovanie hrozieb, ktoré so sebou prináša je dôvodom na to, aby sa o téme písalo, rozprávalo, diskutovalo a hľadali riešenia.

V prvom rade uveďme na poriadok pojem IT kriminalita alebo počítačová kriminalita. Pojem je rozšírený skôr slangovo (prevzatý z angl. „computer crime“) a v slovenskom trestnom práve zatiaľ ako priamy pojem nezakotvený, čo samozrejme neznamená, že by slovenské právo nepoznalo problematiku trestnej činnosti súviacej s využívaním (teda tu sa skôr hodí pojem „zneužívaním) informačno-komunikačných technológií. Pojem počítačová kriminalita bol v náväznosti na potenciálny vývoj našej legislatívy prvýkrát definovaný dokumentom nazvaným Dohovor o počítačovej kriminalite (2001) ratifikovaný v roku 2007, ktorý zaviedol zaujímavú kategorizáciu činov namierených proti dôvernosti, dostupnosti a integrite počítačových systémov, sietí a počítačových údajov:

trestné činy proti dôvernosti, celistvosti a funkčnosti počítačových údajov a systémov
- nezákonný prístup
- nezákonné odpočúvanie
- zasahovanie do údajov
- zasahovanie do systému
- zneužitie zariadení
počítačové trestné činy
- falšovanie spojené s počítačom
- podvod spojený s počítačom
trestné činy súvisiace s obsahom
- trestné činy súvisiace s detskou pornografiou
trestné činy súvisiace s porušením autorských a príbuzných práv

Z principiálneho hľadiska je možné trestné činy rozdeliť na dve základné skupiny:

priame

zamerané proti prostriedkom IKT (počítačom), obvykle činy smerujúce k narušeniu dôvernosti, dostupnosti a integrite ale rovnako aj činy klasickej majetkovej kriminality (odcudzenie, zničenie, zneužívanie)

nepriame

trestné činy páchané pomocou počítača, kde počítač je len modernejším a výkonejším prostriedkom na spáchanie činu

Osobitou témou je problematika, ktorú prednaznačil už názov článku – otázka „počítačovej kriminality“ v pracovnom prostredí, kde na „páchanie“ trestnej činnosti sú využívané aktíva (hardvér, softvér, internetová konektivita) zamestnávateľa.

Téma moderná, masová – Internet

Facebook, pokec, chat, web-stránky, ftp… ťažko dnes v praxi nájdete zamestnanca, ktorý by internetovú konektivitu niekedy nepoužil aj na účely nesúvisiace s výkonom jeho pracovných povinností – od nevinného nahliadnutia do elektronickej žiackej knižky dieťaťa, cez surfovanie po rôznych WEB-stránkach až po prípady aktivít, ktoré presahujú hranice morálky, obchodného, pracovného či dokonca až hranice trestného práva. Len niekoľko štatistických čísiel:

prieskum na vzorke 1.460 respondentov preukázal – 57% z oslovených využíva služby sociálnych sietí s priemernou dobou 40 minút týždenne (zdroj: Morse/TNS)
40% aktivít na internete v pracovnom čase nesúvisí s pracovnými aktivitami (zdroj: IDC)
50% respondendovaných prevádzkovateľov IKTzúčastnených v prieskume Redshift Research sa neobáva úniku dát cez zamestnancov
v prieskume medzi 280 firmami v ČR len 12% zamestancov využíva internetovú konektivitu na výhradne pracovné účely, 20% trávi minimálne 30 minút aktivitami nesúvisiacimi s ich prácovným zaradením a pracovnom náplňou (zdroj: Ernst & Young, ČR)
podľa prieskumu Cyberk-Ark software by viac ako 30% respondentov v USA použilo pre odcudzenie citlivých údajov zamestnávateľa e-mailovú poštu a viac ako 10% externý WEB pre ukladanie dát – viac ako 50% z oslovených by za cieľ svojho záujmu považovali databázy kontaktov a zákazníkov

Pozn:

najrizikovejším stále ostávajú USB pamäťové zariadenia – napríklad podľa posledného uvedeného prieskumu by ich využilo viac ako 50% respondentov

Otázka sa však netýka len problematiky využívania internetovej konektivity, ale všeobecne majetku zamestnávateľa. Nesporne takéto aktivity istým spôsobom vplývajú aj na efektivitu využívania pracovného času zamestnanca a je v rukách zamestnávateľa nájsť akceptovateľnú hranicu po ktorú je ochotný podobné aktivity akceptovať a nepovažovať ich za porušovanie pracovnej disciplíny v zmysle platnej legislatívy. Optimálne nastavenie tolerovateľnej hranice môže naopak zvyšovať pracovnú pohodu a zamestanci ho môžu vnímať ako prínosný benefit zo strany zamestnávateľa. Na mieste je však otázka kde je hranica za ktorú by tolerancia zamestnávateľa v tejto otázke nemala v žiadnom prípade presahovať a kde by mal zamestnávateľ vo vlastnom záujme radikálne zakročiť ? Nesporne situáciách kde preukázateľne začína byť majetok zamestnávateľa využívaný na aktivity poškodzujúce záujmy či dobré meno zamestnávateľa.

Pre ilustráciu snáď len niekoľko príkladov z mnohých:

využívanie IKT na súkromné „ aktivity“ často zachádzajúce za hranice zdvorilosti, ba často ide o aktivity až podnikateľského charakteru – tlač, napaľovanie médií, programovanie s využívaním strojového času a rad ďalších,
sťahovanie/ šírenie dát podliehajúcich autorsko-právnej ochrane – softvér, filmové a hudobné diela či iné autorské diela v multimediálnom formáte,
sťahovanie/šírenie dát s nemorálnym alebo protizákonným obsahom – napr.detská pornografia,
vytváranie neautentických dát s cieľom vydávať tieto za autentické – dokumenty pre páchanie podvodov prevažne ekonomického charakteru,
poškodzovanie záujmov zamestnávateľa – zapájanie sa do diskusií nepracovného charakteru, sprístupňovanie dôverných dát, dát podliehajúcich zákonnej ochrane (napr.osobné údaje),
zneužívanie internetovej konektivity zamestnávateľa na maskovanie identity pri zverejňovaní príspevkov na chatových portáloch – najmä príspevky charakteru ohovárania, zverejňovania privátnych kompromitujúcich fotografií a videozáznamov, klamlivých inzerátov,
a rad ďalších

Dôvody?

Dominantným dôvodom mnohých problémov býva neznalosť v rôznych jej formách. Ako príklad možno uviesť falošný pocit anonymity na internetových diskusných fórach

Spomedzi množstva ďalších dôvodov medzi najfrekventovanejšie možno určite zaradiť nasledovné:

snaha o finančný profit
vlastný prospech
v prospech tretej strany
výstrednosť, snaha o publicitu, získanie obdivu kolegov
frustrácia, snaha o pomstu, skratové chovanie
zvýšenie šancí na trhu práce získaním informácií – prieskumy i praktické skúsenosti poukazujú, že tendencia získavať citlivé informácie vo väčšej miere sa objavuje už pri potenciálnej hrozbe straty zamestnania

Riziká pre zamestnávateľa?

Všeobecne je rizikové správanie používateľa IKT v prostredí zamestnávateľa neželateľným javom – je totiž prvkom, ktorý môže zásadne ohroziť bezpečnosť prevádzky infrormého systému a narábania s dátami, spôsobiť finačné škody. Pokiaľ však konanie zamestnanca-používateľa prekračuje hranice kde je zasahuje za hranicu trestného práva, pribúda rad ďalších zásadných rizík, spomeňme aspoň tie najproblematickejšie:

finačné straty
po dobu vyšetrovania podozrenia z trestného činu môžu byť predmety pomocou ktorých bola vykonávaná trestná činnosť zadržané ako dôkazné predmety
nepríjemná publicita v médiách
poškodenie mena firmy spojené s rizikom straty prestíže
dopady na personálnu politiku

Prvý level = zvyšovanie úrovne poznania zamestnancov

Prevencia, reštrikcie, kontrola. Jednoducho napísané, ťažšie realizovateľné. Súčasným a dosť vážnym problémom je stav IT gramotnosti používateľov. Principiálne môžeme vyhlásiť, že v našich zemepisných podmienkach sme po rokoch značne postúpili v otázke základnej IT gramotnosti (základné ovládanie počítača), ale otázka poznatkov základnej bezpečnosti informačných systémov, ich nadväzujúcej legislatíve, základných návykov. Táto otázka úzko súvisí s radom ďalších – od nízkeho právneho povedomia cez nedostatočnosť legislatívy a jej praktickej realizácie až po pohľad zamestnávateľov na reálnosť rizika. Pritom platí základný príncíp: „Používateľ, ktorý neporozumie, nepochopí a nestotožní sa s dôvodmi zavádzania akýchkoľvek opatrení je rizikovým prvkom – z hľadiska nespoľahlivosti, nepredvídateľnosti a nemožno podceňovať ani potenciálny zámer v konaní.

Zavedenie cyklického vzdelávania resp. včlenenie problematiky do existujúceho systému vzdelávania zamestnancov je ideálnym nástrojom nie len pre už zvyšovanie bezpečnostného povedomia zamestnancov, ale prináša ešte minimálne dva nezanedbateľné efekty:

pôsobí preventívne nakoľko už vlastná realizácia nezávisle na jej forme je odkazom, že zamestnávateľ tému identifikuje a sleduje jej stav v organizácii
poskytuje spätnú väzbu – pri správnej cykličnosti a forme realizácie poskytne vzdelávanie priestor na diskusiu v ktorej sú zmapovateľné postoje, návyky a aplikovanie interných bezpečnostných požiadaviek pri práci s IKT a rovnako aj úroveň poznania nových rizík zo strany zamestnancov

Level druhý = reštriktívne opatrenia

Už len správna konfigurácia operačných systémov a aplikačných programov je často prvotným krokom k preventívnemu predchádzaniu vzniku problému. Vymenovanie bežných „pochybení“, ktoré dnes v praxi môžete nájsť by bolo témou pre niekoľko násobne rozsiahlejší článok. Spomeňme aspoň niektoré:

neexistujúce, neaktulizované alebo nefunkčné protivírusové prostriedky
neexistujúca alebo nesprávne využívaná heslová politika (dôvernosť hesiel, spoločné kontá,..)
nekontrolovaná využiteľnosť aktív
- neobmedzený a nekontrolovaný prístup k internetu
- neriadené využívanie externých pamäťových médií (prevažne USB zariadení)
- neobmedzené využívanie tlačových prostriedkov

Zarážajúcim sú napríklad zistenia, akým bol napríklad prieskum Redshift Research 2008 – mimochodom celkom korektne odzrkadľujúci reálny stav aj v našich podmienkach a z ktorého vyplynuli mimo iných tri zaujímavé témy:

Je zrejmé, že bez reštriktívnych opatrení realizovaných technickými (ale aj organizačnými) opatreniami je ťažké, teda skôr nemožné uvažovať o akejkoľvek prevencii. Často mylný pohľad, že sú to zbytočne vynaložené finančné prostriedky alebo že zavedenie základných opatrení musí predstavovať extrémne náklady je zavádzajúci a manžéri často precitajú až v okamihu vzniku závažného incidentu.

Level tretí = bez spätnej väzby to nejde

Systém nech je akokoľvek dokonalý sa bez spätnoväzobnej sľučky stáva nestabilným. Preto spätná kontrola, ktorá dokáže poskytnúť informáciu o dodržiavaní a dopadoch zavedených opatrení má svoj opodstatnený zmysel a význam. Monitorovanie aktivít používateľov v rámci perimetra siete poskytuje rad prínosov medzi ktorými je preventívny prínos, ktorý sme si stanovili v prvotnej myšlienke článku, len sprievodným javom. Okrem psychologicko-preventívneho účinku poskytuje zavedenie monitorovania ďalšie prvky riadenia bezpečnosti a prevádzky IKT:

meranie efektivity využiteľnosti jednotlivých aktív (využívanosť licenčného stavu SW, tlačiarní, konektivity, ….)
identifikovateľnosť dátových tokov v sieti a teda identifikovateľnosť potenciálne nebezpečného narábania s dátami, ktoré by podľa zámeru vedenia mali byť predmetom obchodného tajomstva alebo podliehajú ochrane v zmysle platnej legislatívy
identifikovateľnosť nekorektného alebo potenciálne nebezpečného (smerujúcicm k prípadnému páchaniu trestnej činnosti) narábania s aktívami IKT
identifikovateľnosť nových rizikových prvkov pri práci s IKT v rámci organizácie – využiteľné v rámci aktulalizácie bezpečnostnej politiky, preventívnych opatrení i vzdelávaní

Čo na záver?

IT kriminalita je témou rozsiahlou a aj keď zaujímavou, diskusie o jej existencii, dopadoch, metódach preventívneho pôsobenia alebo o metódach vyšetrovania, dokazovania a represívnom potláčaní naberajú na obrátkach v radoch odbornej i laickej verejnosti. Vzniká rad projektov zameraných na edukačné pôsobenie v tejto oblasti – projekty rôznej kvality – pred niektorými sa treba skloniť a tvorcom poďakovať, niektoré sú žiaľ premrhanými prostriedkami a ich prevedenie často postráda reálny prínos.

V článku som si nekládol za cieľ vyriešiť tému narastajúcej kriminality v IT s ktorou sa už v reálnych situáciách stretávajú aj naši zamestnávatelia. Cieľom bolo vniesť trochu iný pohľad do témy bezpečnosť IT a vnuknúť myšlienku na ďalší rozvoj témy.

Jaroslav Oster

prevencia@infoconsult.sk