Miten tällaisessa tapauksessa on?
Jos Yritys A hankkii firmaansa Linux-pohjaisen toimistojärjestelmän käsittäen palvelimen, palomuurin, sähköpostipalvelimen sekä työasemat, joiden tiedostot tallennetaan työasemien sijasta keskitetysti palvelimelle Yritys B:ltä, joka myös huolehtii verkon kautta Yritys A:lle toimittamansa järjestelmän ylläpidosta ja päivittämisestä, niin eikö tämä tarkoita käytännössä sitä, että Yritys B:llä on täysin vapaa pääsy kaikkiin Yritys A:n toimistojärjestelmällä tehtäviin tapahtumiin ja tallennettaviin tiedostoihin? Tämä käsittää kai myös internet-liikenteen valvonnan ja mahdollistaa myös esimerkiksi Yritys A:n internetin kautta harjoittaman pankkitoiminnan vaatimien salasanojen ja tilinumerojen selville saamisen- mikäli näin halutaan tehdä?
Hieman monimutkaisesti selitetty, sori, mutta itse en paljoa ymmärrä palvelimien ja verkkoratkaisujen päälle. Sen verran kuitenkin ymmärrän, että rootin oikeudet vaaditaan ylläpitäjältä ja ylläpitäjällä on luonnollisesti vapaa pääsy kaikkiin tiedostoihin mahdollistaen kaikien tapahtumien seuraamisen esimerkiksi käyttämällä jotain ohjelmaa, joka tallentaa kaikki näppäinlyönnit- tällöin saisi ainakin pankkitunnukset ja salasanat selville ja estettömän pääsyn tileihin jne jne.
Eli onko tällaisen Yritys A:n hankkiman toimistoratkaisun tietoturva täysin kiinni Yritys B:n moraalista?
(Siis tietenkin järkevintä on ylläpitää järjestelmää yrityksen sisältä käsin, mutta pienissä yrityksissä, joissa osaamista ei ole, tälainen ratkaisu kuulostaa varmaankin houkuttelevalta? Ja tällaisia ratkaisuja tarjoavia yrityksiä myöskin on.)
Jos Yritys A hankkii firmaansa Linux-pohjaisen toimistojärjestelmän käsittäen palvelimen, palomuurin, sähköpostipalvelimen sekä työasemat, joiden tiedostot tallennetaan työasemien sijasta keskitetysti palvelimelle Yritys B:ltä, joka myös huolehtii verkon kautta Yritys A:lle toimittamansa järjestelmän ylläpidosta ja päivittämisestä, niin eikö tämä tarkoita käytännössä sitä, että Yritys B:llä on täysin vapaa pääsy kaikkiin Yritys A:n toimistojärjestelmällä tehtäviin tapahtumiin ja tallennettaviin tiedostoihin? Tämä käsittää kai myös internet-liikenteen valvonnan ja mahdollistaa myös esimerkiksi Yritys A:n internetin kautta harjoittaman pankkitoiminnan vaatimien salasanojen ja tilinumerojen selville saamisen- mikäli näin halutaan tehdä?
Hieman monimutkaisesti selitetty, sori, mutta itse en paljoa ymmärrä palvelimien ja verkkoratkaisujen päälle. Sen verran kuitenkin ymmärrän, että rootin oikeudet vaaditaan ylläpitäjältä ja ylläpitäjällä on luonnollisesti vapaa pääsy kaikkiin tiedostoihin mahdollistaen kaikien tapahtumien seuraamisen esimerkiksi käyttämällä jotain ohjelmaa, joka tallentaa kaikki näppäinlyönnit- tällöin saisi ainakin pankkitunnukset ja salasanat selville ja estettömän pääsyn tileihin jne jne.
Eli onko tällaisen Yritys A:n hankkiman toimistoratkaisun tietoturva täysin kiinni Yritys B:n moraalista?
(Siis tietenkin järkevintä on ylläpitää järjestelmää yrityksen sisältä käsin, mutta pienissä yrityksissä, joissa osaamista ei ole, tälainen ratkaisu kuulostaa varmaankin houkuttelevalta? Ja tällaisia ratkaisuja tarjoavia yrityksiä myöskin on.)
Vastaukset 4
Vanhimmat
Jos yritys A ulkoistaa koko ylläpitosysteemin yritys B:lle ja vielä verkon yli tapahtuvana niin yritys B:llä on lähes vapaa pääsy yritys A:n tiedostoihin käyttöjärjestelmästä riippumatta (eli myös Windowsin kyseessä ollessa, siellä tuo ylläpitotunnus on Administrator tai Järjestelmänvalvoja).
Tuo "lähes vapaa" tarkoittaa sitä että joidenkin järjestelmien (ohjelmistojen) sisältämiin tietoihin ei pääse (ainakaan helposti) ilman erillistä käyttäjätunnusta/salasanaa ja tuo tunnus/salasana yhdistelmä ei kuulu ylläpitäjälle vaan ainoastaan k.o. käyttäjän tietoon. Tuon systeemin turvallisuus riippuu sitten siitä kuinka hyvin k.o. ohjelmisto "salaa" tiedot asiattomilta.
.... nuo salasanat saa tietysti selville asentamalla näppäinpainallukset tallentavan ohjelman...
Eli kun ulkoistetaan ATK järjestelmien ylläpitoa on syytä olla tarkkana kenelle sen ylläpidon antaa ja varmistaa k.o. yrityksen luotettavuus huolella.
"Tuo "lähes vapaa" tarkoittaa sitä että joidenkin järjestelmien (ohjelmistojen) sisältämiin tietoihin ei pääse (ainakaan helposti) ilman erillistä käyttäjätunnusta/salasanaa ja tuo tunnus/salasana yhdistelmä ei kuulu ylläpitäjälle vaan ainoastaan k.o. käyttäjän tietoon. Tuon systeemin turvallisuus riippuu sitten siitä kuinka hyvin k.o. ohjelmisto "salaa" tiedot asiattomilta."
Ja kun kenelläkään yritys A.n työntekijöistä ei ole hajuakaan mitä on tapahtunut eikä kukaan tajua mitä ylipäätään on tekemässä- siis ei ymmärrä mitään tietokoneiden ym. päälle.
Eli tilanne on se, että huomasin juuri tänään työskenteleväni nimenomaisen kaltaisessa Yritys A:ssa, jossa kukaan työntekijöistä ei tajua hölkäsen pöläystäkään tietokoneista mistään ylläpidoista puhumattakaan. Eli pahasti näyttää siltä, että yritys, jossa työskentelen on toiminut juuri niin, että Yritys B:llä on täysin vapaa pääsy tietoihin. Ongelma on se, että kukaan ei tunnu tietävän, miten kyseisen yrityksen systeemit loppujen lopuksi on tehty- eli mahdollisesti (ja hyvin luultavasti myös) pahimman mahdollisen skenaarion mukainen malli toimii yrityksessäni tälläkin hetkellä. Asian tekee vaikeaksi se, että kenelläkään ulkopuolisella ei missään tapauksessa missää olosuhteissa saa olla mitään asiaa kyseisen firman tietoihin.
Miten voi saada selvile millä tavoin kyseisen yrityksen systeemit on viritelty- ei mitenkään?
...mitään, niin lakimiestenne hyväksymänä on allekirjoitettu sopimus, joka estää väärinkäytökset.
-T
...että joku joka tapauksessa saa tietoa käsiinsä. Totta helkkarissa ylläpito on tietoinen kaikesta verkkoliikennöinnistä lukuunottamatta ulkoisten palveluiden salasanoja.
Pankkitunnukset ovat juuri näistä syistä kertakäyttöisiä. Tilien salasanat ovat siis turvassa.
Mikä mielestäsi takaa tietoturvallisuuden, jos järjestelmiä ylläpidetään 'sisältä käsin'? Se illuusioko, että ulkopuoliset ovat pahoja ja oma väki hyviä? Voi, herää jo todellisuuteen!
-T