Miten tällaisessa tapauksessa on?
Jos Yritys A hankkii firmaansa Linux-pohjaisen toimistojärjestelmän käsittäen palvelimen, palomuurin, sähköpostipalvelimen sekä työasemat, joiden tiedostot tallennetaan työasemien sijasta keskitetysti palvelimelle Yritys B:ltä, joka myös huolehtii verkon kautta Yritys A:lle toimittamansa järjestelmän ylläpidosta ja päivittämisestä, niin eikö tämä tarkoita käytännössä sitä, että Yritys B:llä on täysin vapaa pääsy kaikkiin Yritys A:n toimistojärjestelmällä tehtäviin tapahtumiin ja tallennettaviin tiedostoihin? Tämä käsittää kai myös internet-liikenteen valvonnan ja mahdollistaa myös esimerkiksi Yritys A:n internetin kautta harjoittaman pankkitoiminnan vaatimien salasanojen ja tilinumerojen selville saamisen- mikäli näin halutaan tehdä?
Hieman monimutkaisesti selitetty, sori, mutta itse en paljoa ymmärrä palvelimien ja verkkoratkaisujen päälle. Sen verran kuitenkin ymmärrän, että rootin oikeudet vaaditaan ylläpitäjältä ja ylläpitäjällä on luonnollisesti vapaa pääsy kaikkiin tiedostoihin mahdollistaen kaikien tapahtumien seuraamisen esimerkiksi käyttämällä jotain ohjelmaa, joka tallentaa kaikki näpäinlyönnit- tällöin saisi ainakin pankkitunnukset ja salasanat selville ja estettömän pääsyn tileihin jne jne.
Eli onko tällaisen Yritys A:n hankkiman toimistoratkaisun tietoturva täysin kiinni Yritys B:n moraalista?
(Siis tietenkin järkevintä on ylläpitää järjestelmää yrityksen sisältä käsin, mutta pienissä yrityksissä, joissa osaamista ei ole, tälainen ratkaisu kuulostaa varmaankin houkuttelevalta? Ja tällaisia ratkaisuja tarjoavia yrityksiä myöskin on.)
Jos Yritys A hankkii firmaansa Linux-pohjaisen toimistojärjestelmän käsittäen palvelimen, palomuurin, sähköpostipalvelimen sekä työasemat, joiden tiedostot tallennetaan työasemien sijasta keskitetysti palvelimelle Yritys B:ltä, joka myös huolehtii verkon kautta Yritys A:lle toimittamansa järjestelmän ylläpidosta ja päivittämisestä, niin eikö tämä tarkoita käytännössä sitä, että Yritys B:llä on täysin vapaa pääsy kaikkiin Yritys A:n toimistojärjestelmällä tehtäviin tapahtumiin ja tallennettaviin tiedostoihin? Tämä käsittää kai myös internet-liikenteen valvonnan ja mahdollistaa myös esimerkiksi Yritys A:n internetin kautta harjoittaman pankkitoiminnan vaatimien salasanojen ja tilinumerojen selville saamisen- mikäli näin halutaan tehdä?
Hieman monimutkaisesti selitetty, sori, mutta itse en paljoa ymmärrä palvelimien ja verkkoratkaisujen päälle. Sen verran kuitenkin ymmärrän, että rootin oikeudet vaaditaan ylläpitäjältä ja ylläpitäjällä on luonnollisesti vapaa pääsy kaikkiin tiedostoihin mahdollistaen kaikien tapahtumien seuraamisen esimerkiksi käyttämällä jotain ohjelmaa, joka tallentaa kaikki näpäinlyönnit- tällöin saisi ainakin pankkitunnukset ja salasanat selville ja estettömän pääsyn tileihin jne jne.
Eli onko tällaisen Yritys A:n hankkiman toimistoratkaisun tietoturva täysin kiinni Yritys B:n moraalista?
(Siis tietenkin järkevintä on ylläpitää järjestelmää yrityksen sisältä käsin, mutta pienissä yrityksissä, joissa osaamista ei ole, tälainen ratkaisu kuulostaa varmaankin houkuttelevalta? Ja tällaisia ratkaisuja tarjoavia yrityksiä myöskin on.)
Vastaukset 5
Vanhimmat
on yrityksiä, jotka ovat hoitaneet näitä asioita vuosia ilman, että henkilöihin kohdistuvasta tietoturvasta on ollut enemmälti haittaa.
homma on nimittäin se, että jos alat tyrimään tai edes herää epäilys tuollaisissa asioissa, hommat loppuvat suhteellisen nopeasti.
http://keskustelu.suomi24.fi/show.fcgi?category=108&conference=4000000000000033&posting=22000000009231568
En jaksa uudestaan kirjoittaa samaa kun 2 paikassa kyselit samaa....
Eihän tässä ole itse järjestelmästä kyse, sama juttu on kyseessä vaikka winkkua käyttäisi. Kyse lienee siitä, että samalla kun ostetaan systeemin ylläpito samalla ostetaan täydellinen vaitiolovelvollisuus.
Kiitoksia vastauksista. Kysyin kahdella palstalla siksi, koska se koskee kahta eri keskusteluryhmää.
Olen erittäin hämilläni sen vuoksi, että tällaista verkon yli tapahtuvaa ylläpitoa edes on olemassa- tottakai käsitän, että jokaisen ylläpitäjän täytyy jollain tavalla päästä käsiksi järjestelmiin, mutta tässä kyseisessä tapauksessa pahin on juuri se, että kukaan Yhtiö A:n työntekijöistä ei mitenkään voi tietää loppujen lopuksi onko Yhtiö B luotettava vai ei. Eli koko homma on pakko hoitaa sisältä käsin (luotettavan tahon toimesta), mutta sitä ei kukaan ole tullut ajatelleeksi, koska eivät mitään näistä asioista ymmärrä.
Koitan ottaa maanantaina selvää miten koko systeemi toimii, muta miten saan selville? Jos on rajoitettuja käyttöoikeuksia jne, kuten toisessa keskusteluaiheessa mainittiin, niin miten sen voi saada selville ylläpidettävästä järjestelmästä käsin? Siis tietenkään asiasta ei voi kysyä suoraan yhrtiö B:ltä, koska hehän voivat selittää loppujen lopuksi aivan mitä tahansa. Lievää paranoiaa, mutta Yritys A ei voi missään tilanteissa vuotaa mitään tietojaan ulkopuolisiin käsiin.
Hämmentävä tilanne, en muuuta sano...
Jos tietoturvaratkaisun suunnittelee ja toteuttaa Yritys B niin silloin tämä "moraalinen dilemma" koskee aivan kaikkia käyttöjärjestelmiä, ei vain linuxia.
Kukapas muu olisi parempi avaamaan pankin kassaholvia kuin se joka on kassaholvin itse rakentanut?