Tko i zbog čega nadzire mobitele

February 2, 2010 // Posted in Legislativa  |  No Comments

I prepaid kartice morat će se registrirati, odzvonilo anonimnosti

Rasprava o tome kako i kada registrirati sve korisnike traje već neko vrijeme, i dok su službeni odgovori operatera mnogo blaži, neslužbeno tvrde da je riječ o velikim pritiscima OTC-a koji želi da im se omogući što hitniji nadzor.
Autor: Tanja Ivančić Belošević
02.02.2010 20:00

Pod izlikom borbe protiv kriminala imat ćemo sve manje prava na privatnost.

Kad je riječ o mobitelima, nitko više u Hrvatskoj neće biti anoniman. Uskoro će, doznajemo, svi prepaid korisnici – oni koji vole bonove i ne žele se pretplatiti na “mobiteliranje” – morati biti registrirani imenom i prezimenom. Na tome inzistiraju sigurnosne obavještajne službe, točnije Operativno-tehnički centar za nadzor telekomunikacija pod izlikom borbe protiv kriminala i korupcije, što s jedne strane jest uvjerljiv razlog, no s druge ipak lagano podsjeća na Big Brother jer privatnost očito odlazi unepovrat.

Pritisak OTC-a

Rasprava o tome kako i kada registrirati sve korisnike traje već neko vrijeme, i dok su službeni odgovori operatera mnogo blaži, neslužbeno tvrde da je riječ o velikim pritiscima OTC-a koji želi da im se omogući što hitniji nadzor.

– Nadzor sigurnosnih službi i OTC-a iznimno je važan. Zakonom je to odlično regulirano. Mislim da se u funkciju nadzora, uz sadašnju dominantnu političku, što više treba uključiti stručna komponenta. Osim toga, ozbiljno treba razmisliti treba li sigurnosnim službama i policiji dati tolike ovlasti da se i bez naloga suda mogu koristiti svim podacima o našoj lokaciji ili ljudima s kojima komuniciramo – upozorava Đuro Lubura, stalni sudski vještak za telekomunikacije, tehniku i metodologiju prisluškivanja. Prema informacijama HAKOM-a, regulatora za telekomunikacije, neke od zemalja koje su uvele registra ciju korisnika prepaida su Bugarska, Grčka, Francuska, Njemačka, Italija, Slovačka, Španjolska i druge.

Ravnatelj OTC-a Dinko Majić tvrdi pak:

– Samo provodimo zakon, a čak tri reguliraju to područje, kao i dodatna Vladina uredba. Rokovi su odavna bili postavljeni. Stoga mi ne činimo ništa što nije definirano zakonom, a to operateri vrlo dobro znaju. Želio sam da se dogovorimo i da zajednički objavimo i pripremimo javnost na to da se trebaju registrirati sve SIM kartice kao i u drugim zemljama radi zaštite građana, dodaje Majić.

O dinamici prilagodbe valja usuglasiti stavove priznaje Dražen Breglec, državni tajnik.

U Vipnetu su najhrabriji kad je riječ o prigovorima.

– Prema našim procjenama, donošenje takve regulative bilo bi štetno ne samo za mobilne operatere nego i za cjelokupni sustav mobilne industrije, što uključuje i distributivne lance. Gledajući s gospodarske strane, smatramo da je opasno drastično mijenjati sustav koji je doveo do strelovitog razvoja mobilne telefonije i pozicionirao Hrvatsku u europski vrh u prepaid segmentu. Sustav o kojem govorimo temelji se na oko 75 posto prepaid korisnika koji su većinom anonimni. Budući da Ustav štiti temeljne slobode i ljudska prava svih građana, pa tako i pravo na anonimnost i zaštitu tajnosti podataka, bude li donesena odluka o promjeni postojeće regulative, očekujemo nedvosmislen pravni akt koji jasno opisuje novi zakonski okvir – naglašavaju u Vipnetu.

Budući da je još uvijek u tijeku diskusija o modalitetu primjene takve odluke, preuranjene zaključke ne žele donositi ni u HT-u ni u Tele2.

Doduše, u HT-u su se ipak osvrnuli na nezgodan trenutak te kažu da u ovo doba recesije nije najprimjereniji trenutak za uvođenje dodatnih obveza. Naime, uz kriznu trošarinu, nove investicije negativno mogu utjecati na prihode. Sudski vještak za telekomunikacije Đuro Lubura, pak, upozorava da treba jasno razlučiti dvije stvari – nadzor podataka o telekomunikacijskom prometu i nadzor sadržaja razgovora i poruka u prometu.
Nadzor po nalogu suda

– Nadzor sadržaja razgovora, SMS-ova i e-mailova, tzv. prisluškivanje, smije se obavljati isključivo po nalogu nadležnog suda. Za zaštitu privatnosti mnogo je važnija zakonska regulativa koja omogućuje policiji i sigurnosnim službama da bez naloga suda zatraže i dobiju podatke o svim korisnicima brojeva, dolaznim i odlaznim pozivima, porukama te o lokaciji svakoga od nas.

U tom smislu, inicijativa za ukidanje anonimnosti kod kupnje i korištenja prepaid SIM kartica (VIPme, Simpa, Tomato i pojedinih tarifa Tele2) koju zagovara dio sigurnosno-obavještajnog sustava, može pomoći u suzbijanju kaznenih djela, ali može i znatno ugroziti dostignuti stupanj privatnosti. Takve stvari uvijek su dvosjekli mač i treba dobro razmisliti o dobrim i lošim stranama takva rješenja – tvrdi Đ. Lubura.

Izvor: Večernji list

iPad protiv kamena

January 30, 2010 // Posted in Ostalo  |  No Comments

iPad protiv kamena - sudski vještak informatike i telekomunikacija Saša Aksentijević

iPad i Segway

January 28, 2010 // Posted in ICT tehnologije  |  No Comments

iPad - sudski vještak informatike i telekomunikacija Saša AksentijevićSegway - sudski vještak informatike i telekomunikacija Saša Aksentijević

3.12.2001. godine kompanija Segway nakon do tada neviđene medijske “pripreme” potencijalnih kupaca izbacila je na tržište svoj proizvod za koji su obećavali da će promijeniti svijet. Inicijalni plan tvrtke bila je prodaja oko 50,000 do 100.000 jedinica godišnje. Govorilo se da će Segway automobilu učiniti ono što je automobil napravio kočiji s konjem.

Sedam godina kasnije ukupna prodaja dostigla je 30.000 jedinica ili oko nešto više od četiri posto od planiranog.

Devet godina kasnije tvrtka još nije profitabilna a u razvoj je uloženo više od 100 milijuna dolara.

Apple je jučer otkrio svoj novi uređaj, iPad. 24 sata donosi tekst o tome zašto bi taj proizvod mogao biti potpuni promašaj.

Ukratko:

1. ‘Prvi mačići se bacaju u vodu’
2. Ne trebate veliki pametni telefon od 1000 dolara
3. I tako će se pokvariti
4. Multifunkcionalni uređaji rade sve - samo ne dobro
5. Radije kupite majicu s natpisom ‘Pokradite me’
6. Tableti nikada nisu zaživjeti - s razlogom
7. Nema tipkovnice, nema miša, nema ničeg
8. Netbookovi su mnogo jeftiniji
9. Nešto bolje dolazi
10. Najnoviji uteg za papir

Informatizacija zdravstva i sigurnost podataka o pacijenatima (na hrvatski način)

January 20, 2010 // Posted in Ostalo  |  No Comments

Da li hrvatski liječnici znaju da su ugovorima koje su potpisali s HZZO-om primili na *sebe* odgovornost u slučaju odavanja informacija o pacijentima, a ona nije niti na HZZO-u niti na Ericsson NT?

Kakva vrsta treninga i s kojim sadržajem je osigurana od strane ugovornog pružatelja softverskih usluga za liječnike-korisnike CEZIH-a, po pitanju informacijske sigurnosti podataka sadržanih u sustavu te zakonskih obveza?

Napomena: u USA postoji posebno radno mjesto - “Hospital Information Security Officer”. Hrvatska je nažalost miljama daleko čak i od prijevoda ovog naziva.

Zbog »curenja« dijagnoza alarmirana policija

Podaci o zdravstvenom stanju pacijenata kolaju privatnim ordinacijama

Zbog sumnje u protuzakonito korištenje tajnih podataka o zdravstvenom stanju pacijenata Dom zdravlja u Samoboru alarmirao je i policiju

Iz privatne ustanove, uz obrazloženje da surađuju s Domom zdravlja Samobor, nazvali su pacijenticu i naveli dijagnoze koje nikome nije rekla – Slavko Lovasić, ravnatelj Doma zdravlja Zagrebačke županije.

Poražavajuća je činjenica da podacima pacijenata ne raspolaže samo CEZIH, odnosno HZZO, već i računovođe u domovima zdravlja, kaže liječnica iz Zagreba.

ZAGREB – Jesu li podaci koje liječnici u sustavu CEZIH-a (Centralnog zdravstvenog informacijskog sustava Hrvatske) upisuju na e-kartone svojih pacijenata dovoljno zaštićeni, pitanje je koje se provlači otkako su liječnici u primarnoj zdravstvenoj zaštiti u obvezi slati ih elektronskim putem HZZO-u. Podaci o pacijentima predstavljaju osobne podatke najveće tajnosti, što u HZZO-u potvrđuju time što su oni elektronski potpisani i kriptirani, te zaštićeni od neovlaštenog pristupa zaštitom kakva se primjenjuje u bankarskom poslovanju.

Zbog sumnje u protuzakonito korištenje tajnih podataka o zdravstvenom stanju pacijenata ovih je dana alarmirana i policija, potvrdio nam je ravnatelj Doma zdravlja Zagrebačke županije, Slavko Lovasić.

– Prije dva dana nazvali su pacijenticu iz nekakve privatne ustanove, i rekli da su sa Domom zdravlja u Samoboru dogovorili da prate njezino zdravstveno stanje. Pritom su joj naveli dijagnoze koje ni rodbini nije rekla, kaže Lovasić. – To nas je više nego šokiralo, pa smo obavijestili policiju i čekamo ishod istrage – veli ravnatelj Doma zdravlja koji tvrdi da mu se tako nešto nije dogodilo punih 40 godina rada u obiteljskoj medicini.

Nedavno je imao još jedan sličan slučaj, kada su pacijenticu na bolničkom liječenju zbog zloćudne bolesti nazvali doma i nudili da će joj nabaviti specijalni lijek. I oni su se pozivali na suradnju sa zdravstvenom ustanovom gdje se liječi i HZZO-om. Ravnatelj Lovasić sam je istražio slučaj, ali nije našao izvor iz kojeg bi informacije o dijagnozi mogle procuriti, osim portala preko kojeg se podaci šalju u centralnu službu CEZIH-a.

– Od starta mi je bilo jasno da je nemoguće da danas, kad haker može prodrijeti u bazu podataka američke vojske, ne može u HZZO – rezolutan je Lovasić.

Po svjedočenju liječnika, uvid u zdravstveno stanje pacijenata, osim njih, imaju i računovođe u domovima zdravlja, koji pišu račune za HZZO. Krajnje neugodnu epizodu vezanu uz tajnost podataka o svojim pacijentima doživjela je liječnica jednog zagrebačkog doma zdravlja, koju je djelatnica iz računovodstva nazvala kako bi joj pojasnila kako će što jednostavnije pisati fakture za zdravstvene usluge koje naplaćuje HZZO-u.

– Ta me gospođa nazvala i rekla da pišem previše pojedinačnih računa za dijagnostičko-terapijske postupke, da ne trebam pisati tri previjanja nego staviti sve na isti račun. Za primjer mi je navela moju pacijenticu, imenom i prezimenom. Tada sam shvatila za moje pacijente poražavajuću činjenicu, da njihovim podacima ne raspolaže samo CEZIH, odnosno HZZO, već i računovođe u domovima zdravlja – kaže naša sugovornica koja je iz straha za svoj posao željela ostati anonimna.

– Od toga dana živim u nadi da podatke mojih pacijenata dotična računovotkinja ne prepričava na subotnjoj »špici«, da sa svojim prijateljicama na kavi ne raspravlja o nečijim bolestima, terapijama, bračnim razmiricama, koje također pišemo u u karton. Mi smo ti koji smo ih izložili, mi smo ih učinili dostupnima – kaže zagrebačka liječnica, koja smatra da se zlouporaba medicinskih podataka ne mora odnositi samo na ljude na »visokoj« poziciji, već i na nečije prve susjede, rođake, poslodavce, buduće zetove…

Ljerka BRATONJA MARTINOVIĆ
Najavljeno pomno praćenje centralnog informacijskog sustava

HZZO već godinama uvjerava da su podaci o pacijentima potpuno sigurni, te da ih ne bi uspio dešifrirati čak ni potencijalni provalnik koji iz ordinacije odnese računalo. I Agencija za zaštitu osobnih podataka nadzorom CEZIH-a ustanovila je kako je tim sustavom »osiguran visoki nivo informacijske sigurnosti osobnih podataka«, te da »medicinske podatke može koristiti samo izabrani liječnik za svoje pacijente i to korištenjem svoje smart-kartice i PIN-a.« Unatoč vrlo dobrim ocjenama CEZIH-a, Agencija je ipak najavila da će pomno pratiti projekt kako bi se spriječile zlouporabe osobnih, a osobito medicinskih podataka.

(objavio: Novi List)

Pet najvećih ubojica proračuna ICT odjela

January 19, 2010 // Posted in ICT governance  |  No Comments

Da li je moguće pogoniti servere bez električne struje, mogu li posebno trenirani zečevi instalirati sigurnosne zakrpe u korporacijama te da li je moguće koristiti čarobni štapić za upravljanje datacenterima - saznat ćete u sljedećem dokumentu koji je izdao IBM.

eBook Top 5 IT Budget Killers

Orkis.HR - novi članak

January 13, 2010 // Posted in ICT vještačenja  |  No Comments

Na vodećem hrvatskom portalu posvećenom financijama i računovodstvu - Orkis.HR - objavljen je novi članak pod nazivom “Moderni izazovi upravljanja ljudskim kapitalom“.

Rohatinski: Opasan je predsjednik koji se miješa u ekonomiju, a o njoj nema pojma

January 12, 2010 // Posted in Ostalo  |  No Comments

Rohatinski: Opasan je predsjednik koji se miješa u ekonomiju, a o njoj nema pojma

Dragan Pongračić/CROPIX

Autor: Portal Jutarnji.hr

Guverner HNB-a Željko Rohatinski izašao je s 9 čvrstih teza od kojih su neke jasne poruke budućem predsjedniku i vladajućoj koaliciji,dok se druge obračunavaju s duboko ukorijenjenim predrasudama, piše Globus.

1. Unatoč Ustavom suženom manevarskom prostoru predsjednik može bitno utjecati na ekonomsku politiku. On međutim mora znati što želi i kako to provesti; ako to ne zna, a pokušava pomoći – opasan je.

Rohatinski je poslao jasnu poruku novom predsjedniku. Ujedno je, bez posebne potrebe da iznosi primjere, dao i jasnu packu odlazećem Stjepanu Mesiću, čije su gospodarske akcije (u dobru volju ne ulazimo) više puta mogle završiti pogubno da nije bilo brzih Vladinih spasilačkih intervencija.

2. Financijska kriza mnoge je zemlje pogodila teže nego Hrvatsku. Hrvatski realni sektor pogođen je padom izvoza i štednjom na domaćem tržištu. Proizvođači moraju shvatiti da je prošlo vrijeme domaće potrošnje s inokreditima.

Činjenica je da su banke u Hrvatskoj i u protekloj kriznoj godini dobro poslovale. Pad koji se osjetio u industriji temelji se na nekonkurentnosti domaćih proizvođača. Naručitelji su se vrlo brzo okrenuli prema onima koji su pokazali spremnost na brzu prilagodbu. U Hrvatskoj je takvih, nažalost, malo. Oni koji su se pokazali takvima – kompanije Atlantic grupe – nastavili su rasti i u kriznoj godini.

3. Građevinski sektor dobar je primjer loše prakse koja se temelji na rastu financiranom novcem poreznih obveznika.

Građevinari su godinama odlično živjeli od velikih državnih infrastrukturnih projekata i od poticane stanogradnje. Kada je država ostala bez sredstava za megaprojekte, građevinske kompanije ostale su bez poslova.

4. Menadžeri koji su danas u zatvoru nisu napravili ništa različito od onoga što rade posljednjih 20 godina, samo što se to u razdobljima kada je bilo novca lako moglo učiniti nevidljivim.

Da je Podravka mogla servisirati svoje dugove, nikada se ne bi otkrili “sumnjivi potezi” njezina menadžmenta. Problem se otvara u trenutku kada novca nestaje i kada netko za to mora odgovarati. Slijedeći trag novca, redovito se dolazi do zastrašujućih otkrića koja u krug kandidata za Lepoglavu uvlače sve više poznatih imena iz vrha društvene i političke piramide države. Priča će se širiti i zahvaćati sve više imena.

5. Oblik vlasništva manje je važan od odgovornog ponašanja vlasnika. U hrvatskom državnom sektoru zasad se teško može govoriti o odgovornom vođenju kompanija i teško je očekivati značajne promjene bez promjene mentaliteta.

U uređenim društvima, gdje se u pravilu posluje u skladu sa zakonom, a menadžeri državnih tvrtki moraju opravdati svoje rezultate pred vlasnikom, doista nije važno je li kompanija ili banka privatna ili “državna”. U Hrvatskoj se s novcem poreznih obveznika postupa kao da je riječ o samopodrazumijevajućem kapitalu koji će vječno pristizati. To nije klima u kojoj treba priželjkivati jačanje utjecaja ili vlasničkih udjela države u kompanijama ili bankama.

6. (Spasiteljski) fond koji bi se financirao emisijom svježeg novca iz primarne emisije velik je rizik za središnju banku. Ne usmjeri li se taj novac u proizvodnju, potrošnja će povećati potražnju za devizama, kuna će se naći pod pritiskom. Da bi cijela priča uspjela, treba nam veća koordinacija monetarne i fiskalne politike.

HNB niz godina vodi bitku oko toga što je najbolji način da se istovremeno zadovolje populistički apetiti političara i zadrži stabilnost monetarnog sustava. Preveliki državni troškovi stvaraju pritisak na središnju banku, od koje se očekuje da neprestano održava dovoljnu količinu novca u sustavu. Bilo kakav fond koji bi se financirao novcem iz primarne emisije (svježe tiskanim), a da se prije njegova osnivanja ne odrede čvrsti kriteriji prioriteta i čvrsta pravila njegova korištenja bio bi fijasko ekonomske i monetarne politike.

7. U Hrvatskoj je stvoreno pogrešno uvjerenje o svemoći države. Gospodarstvenici moraju biti svjesni da im nitko neće pomoći ako sami sebi ne znaju pomoći.

Štoviše, onima koji nemaju ideje kako se izvući ni država ne treba pomagati. Financirati nečiji bankrot novcem poreznih obveznika ne smatra se odgovornim vođenjem ekonomske politike države.

8. U bankama ima novca, ali u kriznim situacijama rizik je povećan i one nisu spremne ulaziti u potencijalno nesigurne poslove. Često su ekonomski jake države na sebe preuzimale dio rizika. Hrvatskoj državi danas je vrlo teško ulaziti u povećani rizik sa situacijom u kakvoj se nalazi proračun.

Za razliku od bogatih zapadnih zemalja, gdje su krizom bile pogođene banke koje su onda zatražile i dobile pomoć od država, u Hrvatskoj je kriza prvo ispraznila državnu blagajnu. S proračunom koji ima problema s punjenjem, država koja je uz to još i u ozbiljnim dugovima teško može na sebe preuzimati rizike privatnih kompanija.

9. Hrvatska je visoko zadužena zemlja, no to ćemo i 2010. uredno otplaćivati i možemo to podnijeti. Važno je da se relativna inozemna zaduženost dalje ne povećava.

BDP će u ovoj godini rasti mnogo sporije nego u doba velikoga kreditnog buma. HNB je tijekom proteklog razdoblja osigurao rezerve koje mogu amortizirati današnji stupanj zaduženosti zemlje. Ne uspori li se ritam zaduživanja, HNB-u će se značajno smanjiti mogućnost pozitivnog utjecaja na ekonomsku politiku, piše Globus .

32 odlične i besplatne aplikacije za Vaše računalo

January 8, 2010 // Posted in ICT tehnologije  |  No Comments

MaximumPC donosi pregled 32 odlične i besplatne aplikacije za svako računalo koje pogoni Windows operativni sustav.

Zagrebačka banka d.d. i zlouporaba kartica

January 3, 2010 // Posted in Legislativa  |  No Comments

Brošura “DIREKTNI KANALI” Zagrebačke banke d.d, svibanj 2008, stranica 3:

ZaBa - sudski vještak informatike i telekomunikacija Saša Aksentijević

Ugovor o usluzi banke 1 za sve, 30.12.2009, stranica 3, članak 8, stavak 2:

ZaBa - sudski vještak informatike i telekomunikacija Saša Aksentijević

Bilo bi dobro da nadležni u Zagrebačkoj banci d.d. usklade promotivni materijal s člancima standardnih ugovora za navedene usluge.

Forenzika Microsoft Windowsa 7

December 28, 2009 // Posted in ICT forenzika  |  No Comments

Microsoft Windows 7 u sebi donosi neke posve nove tehnologije koje predstavljaju izazov forenzičkoj analizi i posljedičnim vještačenjima. Detaljnije o tome u sljedećem tekstu.

First Look at the Windows 7 Forensics

Zašto je bolje pretvarati se da ne znate ništa o računalima?

December 23, 2009 // Posted in Ostalo  |  No Comments

Gizmodo

Novi članak na Orkisu - “Dokumentacija poslodavca o provođenju mjera zaštite na radu”

December 16, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Na orkis.hr objavljen je novi članak pod naslovom “Dokumentacija poslodavca o provođenju mjera zaštite na radu”.

Sadržaj članka je sljedeći:

1. Procjena opasnosti
2. Dokumentirana osposobljenost radnika za rad na siguran način
3. Radne upute i tehnologija rada
4. Izvješća o stanju ZNR u poduzeću
5. Odnosi sa službom medicine rada
6. Dokumentiranje ispravnosti i ispitanosti instalacija i uređaja
7. Dokumentiranost postupaka u svezi s opasnim tvarima
8. Dokumentacija radilišta
9. Ostalo

Zaključak

Intervju - Saša Aksentijević u časopisu “Varnostni forum”

December 13, 2009 // Posted in ICT forenzika  |  No Comments

U broju od studenog 2009. u slovenskom mjesečnom časopisu “Varnostni forum” posvećenom informacijskoj sigurnosti objavljen je intervju (stranice 16-18).  Intervju je na engleskom jeziku te je posvećen vještačenjima odnosno računalnoj forenzici. Na reviju se možete pretplatiti putem Internet stranica Varnostnog foruma a intervju možete preuzeti klikom na sliku ispod, ili u sekciji s desne strane pod “Radovi”.

Intervju Varnostni forum 11/2009 - sudski vještak informatike i telekomunikacija Saša Aksentijević

Predrasude o načinu rada hakera…

December 9, 2009 // Posted in ICT sigurnost  |  No Comments

Crypto nerd`s immagination - sudski vještak informatike i telekomunikacija Saša Aksentijević

Tamni Internet

December 8, 2009 // Posted in ICT sigurnost  |  No Comments

Tamna strana Interneta - sudski vještak informatike i telekomunikacija Saša Aksentijević

Osim uobicajenog, vidljivog adresnog prostora Interneta kojemu korisnici svakodnevno pristupaju, postoji i drugi, “tamni” Internet, koji je više desetaka puta veći od javno dostupnog Interneta… više o tome u članku The Guardiana.

Najopasniji pojmovi na Internetu

December 5, 2009 // Posted in ICT sigurnost  |  No Comments

U ovom dokumentu izložena je detaljna analiza o najopasnijim pojmovima pri pretraživanju na Internetu, koji mogu voditi do siteova koji služe za distribuciju virusa, trojanaca, spywarea, računalnih prijevara itd.

Most Dangerous Search Term Uk

Najopasnije domene na Internetu

December 3, 2009 // Posted in ICT sigurnost  |  No Comments

Zanimljivo izvješće McAfee-ja o najopasnijim domenama na Internetu.

Najopasnija domena je ona kamerunska (.cm), zbog sličnosti s komercijalnom domenom (.com). Zatim slijede kineska (.cn), Samoa (.ws), filipinska (.ph) i bivša domena Sovjetskog Saveza (.su). Zanimljivo je da je 2008. godine najopasnija bila honkonška domena (.hk), no nakon akcija vlasti tijekom godine sada je pala “tek” na 34-to mjesto.

Hrvatska se napokon po nečemu pozitivnom našla na vrhu ljestvice, što je vjerojatno priznanje radu hrvatskog Carneta. Naime, najsigurnija svjetska domena je japanska (.jp), slijedi je irska domena (.ie), hrvatska (.hr), luksemburška (.lu) i Vanuatu (.vu).

Najsigurnija “nedržavna” domena je .gov.

Mapping Mal Web

Informatizacija na hrvatski način

November 28, 2009 // Posted in ICT governance  |  No Comments

Sustav koji ne radi HPB platio 112 milijuna kuna

Ukupna vrijednost projekta iznosi 150 milijuna kuna, no preostalih 38 bit će uplaćeno kad sustav konačno proradi - autor Jagoda Marić, Novi list

ZAGREB – Uz 400 milijuna kuna gubitka kojeg će uzrokovati loši krediti, novoj upravi Hrvatske poštanske banke (HPB) muku zadaje i projekt ulaganja u informatiku vrijedan 150 milijuna kuna. Prije četiri godine stara je uprava na čelu s Josipom Protegom pokrenula program implementacije novog informacijskog sustava, a posao je dogovoren i ugovori su sklopljeni u ožujku 2006. godine.

No, u tim ugovorima, kako doznajemo, nije utvrđen rok u kojem novi informacijski sustav treba proraditi, pa nije čudo da se to gotovo četiri godine kasnije još uvijek nije dogodilo. Naši izvori iz banke otkrivaju da je bivša uprava s partnerima, indijskom kompanijom Infosys te domaćim Compingom, dosad dogovarala šest ili sedam termina za implementaciju sustava, ali da ti rokovi nikada nisu ispoštivani. S obzirom da oni nisu ugrađeni u ugovor, moguće ih je bez posljedica pomicati u nedogled. Ipak, i indijska tvrtka, ali i lokalni partner Comping na svojim internetskim stranicama hvale se dosad ostvarenim poslovima s HPB-om. Na Compingovoj stranici posao s HPB-om je naveden kao jedna od referenci uz tvrtke kao što su HT, HEP, ali i Grad Zagreb i Grad Zadar te nekoliko državnih institucija, među kojima je i Ministarstvo zdravstva.

Iako se s primjenom kasni, Poštanska banka je dosad za sustav koji nije proradio platila 112 milijuna kuna, službeno su otkrili iz HPB-a, najavljujući da će ostatak platiti tek po »završetku projekta«. A projekt bi trebao završiti, odnosno sustav početi s radom, početkom sljedeće godine, vjeruju u HPB-u, jer, kako poručuju, to je projekt od najvećeg prioriteta za banku, Upravu, ali i sve zaposlenike koji ulažu napore u njegov završetak.

Na pitanje zašto gotovo četiri godine nakon potpisivanja ugovora informacijski sustav nije proradio, iz banke odgovaraju da za to postoje tri osnovna razloga, a prvi je »širenje opsega projekta uzrokovanog rastom i razvojem banke kroz ponudu novih proizvoda i usluga te velikim brojem poslovnih i informatičkih projekta«. U 2005. godini banka je, napominju, imala tri poslovnice dok sada ima poslovnu mrežu od 40-ak podružnica i poslovnica te nudi cijelu paletu konkurentnih proizvoda i usluga, a broj zaposlenika je narastao s 300 na tisuću. Uz drugi razlog, veliki broj potrebnih prilagodbi, radi toga što banka posluje u preko tisuću poštanskih ureda, ali i zbog zahtjeva regulatora, iz HPB-a priznaju i treći razlog, odnosno »premali broj vlastitih kvalitetnih resursa za sve projekte koji su bili u tijeku ili su dovršeni u posljednje četiri godine«.

Tako ispada da banka od tisuću ljudi ima premalo resursa, da je implementaciju informacijskog sustava onemogućavalo to što je širila broj poslovnica i što posluje na šalterima Hrvatske pošte, kao da to i tadašnja uprava, ali i oni koji su se prihvatili posla implementacije novog informacijskog sustava, nisu morali znati 2006 godine. Jedan od članova Nadzornog odbora banke s kojim smo razgovarali ističe da nije stručnjak za informatiku, pogotovu za specifičnosti koje na tom polju traži bankarski sustav, ali da i veće neznalice znaju da je četiri godine u informatičkoj tehnologiji cijela vječnost, pa najavljuje da će tražiti podatke o tome je li u međuvremenu kupljena neka oprema i koliko je ona i danas u korak s vremenom te koliko je banka izgubila na tome.

Razlozi kašnjenja

– širenje banke s tri poslovnice na 40 podružnica i poslovnica,

– veliki broj potrebnih prilagodbi,

– premali broj vlastitih kvalitetnih resursa.

Amortizacija povećava gubitak

Iako se još ne može koristiti novim informacijskim sustavom za kojeg je već platila 112 milijuna kuna i koji će je koštati još 38 milijuna kuna, banka bi zbog tog projekta, koji je trebao unaprijediti njezino poslovanje, mogla dodatno povećati ionako zabrinjavajući gubitak od 400 milijuna kuna. Na visoko ulaganje u imovinu od 150 milijuna kuna banka dosad nije »odradila« amortizaciju, odnosno smanjila njezinu vrijednost, pa će to morati učiniti možda već u idućoj godini, S obzirom na visoke stope amortizacije na informatičku imovinu, bit će visoki i troškovi amortizacije koji će dodatno utjecati na gubitak ili dobit banke. Moguće je da će banka morati predvidjeti troškove amortizacije i prije nego što sustav proradi.

Dodane nove prezentacije - računalna forenzika u Hrvatskoj i integralna sigurnost energetskog sektora

November 26, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

U sekciji pod “Radovi“, dodane su dvije prezentacije s konferencije u Gorici posvećene informacijskoj sigurnosti, sa sljedećim temama:

  1. Intricacies of integral security in oil and gas sector
  2. Forensic computer crime proceedings of ICT court experts and legislative requirements - Croatian experience

iGod

November 24, 2009 // Posted in Ostalo  |  No Comments

iGod - sudski vještak informatike i telekomunikacija Saša Aksentijević

Banka.hr - Informacijska sigurnost: Stotinjak prijavljenih incidenata godišnje

November 23, 2009 // Posted in ICT sigurnost  |  No Comments

Banka.hr - Informacijska sigurnost: Stotinjak prijavljenih incidenata godišnje

Posted using ShareThis

INFOSEK 2009 - report

November 21, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

INFOSEK 2009 is over! This is the first time I have visited it and I am more than just pleasantly surprised!

Usually, going to professional conferences is not exactly entertaining event. A lot of technical people, a lot of people that are sent there by their department heads and do not want to be there and people who are not interested in the topics, perhaps here and there some know-it-alls strutting around in three piece suits.

INFOSEK is everything but your average ICT professionals’ conference!

The first thing that distinguishes it from other conferences is the team. PALSIT company, the organizer, is just amazing. The conference is organized by Mr. Aleksander Sinigoj and his team of people - among whom I want to mention Ms. Masa Arcon, Ms. Tanja Grdina and Ms. Jasmina Vrtovec, but also a team of temps (students) that made sure everything is fine. There were some changes in the conference agenda due to illness and absence of some lecturers, but it did not detract from the conference’s appeal!

PRE-CONFERENCE DAY

I have arrived to Hotel Perla on the pre-conference day and met Palsit team and was immediately surprised how professional they are - all the time they were with the guests and presenters and I cannot remember how many times I was asked by Jasmina for opinion and is everything OK! The first day I have attended presentations from Mr. Richard Mayall (Acuity Risk Management LLP, United Kingdom) who has presented how his company’s risk management software STREAM functions in real life and the presentation by Mr. Daniel Blander (Infosecuritylab Inc., California, USA) who spoke in details on managed security services and importance of raising security awareness in corporations. After them, I had my own presentation, Forensic computer crime proceedings of ICT court experts and legislative requirements - Croatian experience. During the whole first day there was a parallel hacking workshop held by Mr. Zubair Khan.

On the evening of the pre-conference day, we were taken on a surprise trip to Sveta Gora just outside Gorica, where we have visited a local church on the top of the hill where we were driven by a safe hand of a bus driver through a series of amazing tight bends leading to the mountain top. After the visit to the church run by Franciscan Brothers, we have spent the rest of the evening in a local restaurant where we tasted some amazing Slovenian traditional meals.

The biggest surprise was Aleksander’s hidden talent as a tourist guide and his tireless entertainment aimed towards all of us guests!

1ST CONFERENCE DAY

The first conference day I have attended Biometrics and Privacy Invasion lecture by Mr. Zubair Khan, Tranchulas, Pakistan and Social Engineering lecture by the same author. There we were shown how it is possible to remotely hack and clone EU passports without any particular problems and surprisingly, it was not possible to hack Pakistani passport because they have included social security number in the code, thus making hacking very problematic. In the afternoon I had my second lecture, Intricacies of integral security in upstream oil and gas sector. Unfortunately, not many people have attended it considering it was quite late in the afternoon, but I was asked many questions at the end of the session and was even told that this was one of the best presentations of the conference.

In the evening we were invited to a local club just beside the hotel called Marco Polo, where we were offered a buffet of Slovenian meals called “Hacker Menu” and many Slovenian wines and liquors. The entertainment provided during the evening was just short of amazing: Aleksander was again in the spotlight with his entertainer qualities, among many things offered there was body painting session and even contest where the visitors were involved and had to paint three “living canvases”, show by one of the Slovenia’s most famous bartender, dancing contest and even lectures, go go dancers and oriental belly dancers! I was literally *entertained to death* and went back to hotel around 11.30 pm and I hear that the atmosphere was so good that people stayed there after 2 am!

2ND CONFERENCE DAY

During the 2nd, final day, I have attended one more lecture by Mr. Daniel Blander who has presented two case studies of successful implementation of some of his risk management techniques in one retail store chain and aviation company.

During the conference we have received many gifts and freebies from PALSIT, ranging from PALSIT socks to special farewell gift! I even won the lottery award of the 1st day, a dinner for two persons in one village restaurant in the valley of the Vipava river!

I have met many interesting people during the conference including whole PALSIT team, Mr. Janko Savnik, member of the council of experts of the Slovenian Institute for Forensics  of Information Technology, Mr. Peter Perdich, Channel Account Manager Eastern Europe from Austrian company phion AG, Mr. Peter Dolinar, sales manager of Slovenian ITsec company astec and Mr. Danijel Starman, voice administrator of Croatian ISP company Iskon Internet, whose services I am daily using at work and last but not least, Mr. Marko Potokar, CISO of Bankart company, who is also a Master of ICT in the field of operational research and speaks perfect Croatian language.

I will be at the cover page of the November issue of Varnostni Forum, Slovenian ITsec magazine, so soon I will post scans of the front page and the interview on the ICT forensics. Also, Mr. Blander, Mr. Porada, Mr. Mayall, Mr. Kjell Kalmelid from ENISA and myself were discussing the conference with a panel of Slovenian news reporters during the first day and there was also Slovenian TV crew present at the conference.

I can only say the best about INFOSEK 2009 and people who have attended it and hope to be able to present at INFOSEK 2010 too! I understand that the next event organized by Palsit will be in Ljubljana, Slovenia, with main topic being Business Continuity at the end of January 2010.

Once again, many thanks to Mr. Aleksander Sinigoj, Ms. Masa Arcon, Ms. Tanja Grdina and Ms. Jasmina Vrtovec for organizing this marvelous event and bringing together ITsec specialists from all over the world to share their experience!

Here are some pictures to show what was INFOSEK atmosphere like.

INFOSEK 2009 je gotov!

November 20, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Danas je bio zadnji dan konferencije INFOSEK 2009! Uskoro ide detaljniji opis konferencije, te temeljni razlozi zašto je to jedna od najboljih konferencija na kojima sam ikada prisustvovao!

Upravljanje ljudskim resursima: Politika plaća

November 16, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Na portalu Orkis objavljen je sljedeći u nizu članaka s problematikom upravljanja ljudskim resursima pod naslovom “Politika plaća”. U članku se objašnjava značaj politike plaća te ukupnost kompenzacije rada djelatnika pri čemu je plaća samo jedna od sastavnica. Naposlijetku, ukratko se objašnjava uobičajena praksa Europske unije po pitanju politike plaća.

Oporavak od katastrofe i kontinuitet poslovanja lučkih informacijskih sustava (znanstveni rad)

November 12, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Nedavno je objavljen zanimljiv znanstveni rad koji se bavi problematikom kontinuiteta poslovanja lučkih informacijskih sustava autora s Pomorskog fakulteta u Rijeci - Edvard Tijan; Serđo Kos; Dario Ogrizović.

Sažetak

Rad predstavlja strukturnu analizu objedinjenog sustava informatičko-telekomunikacijske razmjene poruka i podataka u lučkom okruženju (PCS-Port Community System), kao i glavnih sudionika u sustavu, internih i eksternih, koji sudjeluju u lučkim poslovnim aktivnostima. Definirana je tipična informacijska i telekomunikacijska infrastruktura PCS-a, s glavnim izazovima prilikom uvođenja sustava. Značajan naglasak je stavljen na informacijsku sigurnost unutar PCS-a, što predstavlja čvrst temelj za uvođenje koncepta i modela integralne sigurnosti. Zaključno, dvije često zanemarene poslovne funkcije su detaljno definirane: oporavak od katastrofe (disaster recovery) i upravljanje kontinuitetom poslovanja (business continuity management), kao i zahtjevi za kreiranjem robusnog plana kontinuiteta poslovanja. Cilj takvog plana je osigurati rad PCS-a u slučaju katastrofe ili predviđenog prekida u skladu s analizom sustavnih rizika informacijsko-telekomunikacijskog sustava u lučkom okruženju.

Rad na hrvatskom jeziku
Rad na engleskom jeziku

Odgovor na sigurnosne incidente

November 8, 2009 // Posted in ICT forenzika  |  No Comments

Odgovor na sigurnosne incidente u tehničkom smislu je zahtjevna aktivnost, no u svojoj osnovi se oslanja na iskustvo, tehničko znanje i imaginaciju tehničkog osoblja zaduženog za pojedine funkcije unutar korporacije. Najvećim dijelom tehnička reakcija na sigurnosne incidente je problematična aktivnost jer je vremenski ograničena na čim kraći rok - kako bi se sačuvali dokazi, spriječila dodatna šteta po informacijske sustave i djelatnost organizacije, odgovor na sigurnosni incident mora biti čim brži, ali i u skladu sa zakonskim propisima odnosno principom očuvanja dokaza.

U ovoj interesantnoj knjizi su na granularni način izložene konkretne tehničke aktivnosti koje se provode kako bi se osigurala adekvatna reakcija na sigurnosne incidente.

Incident Response - Computer Forensics Toolkit

No, čak i kada je tehnički odgovor na sigurnosne incidente adekvatan, odnosno ukoliko je on možda bio automatski, koristeći već preinstalirana hardverska i softverska rješenja, u kompleksnim organizacijama potpunost odgovora na incidente često se oslanja na onu komponentu organizacije koja je najviše podložna voluntarizmu a to je organizacijska komponenta. Odluka o posljedicama sigurnosnog incidenta najčešće je na upravi organizacije ili službi za ljudske resurse a ako te procedure nisu jasno određene, moguće je da prijetnja koja je rezultirala incidentom i dalje ostane ugrađena u sustav, odnosno da osim tehničke nema i organizacijske reakcije na incident.

Hrvatski WhoIs

November 3, 2009 // Posted in ICT tehnologije  |  1 Comment

Na konferenciji ICANN-a održanoj u Seoulu potkraj prošlog mjeseca održana je prezentacija hrvatskog Carneta u kojoj se za 2010. godinu predviđa početak rada WhoIs servisa za .hr domene.

Deset najvećih promašaja u povijesti IT-a

November 1, 2009 // Posted in ICT tehnologije  |  No Comments

TechRepublic je jučer objavio listu deset najvećih promašaja u povijesti IT-a.

1: Windows Vista
2: NeXT
3: BeOS
4: Cobalt Qube
5: Y2K
6: MP3
7: Richard Stallman
8: WordPerfect
9: IPv6
10: Mesh networks

Prikupljanje dokaza tijekom forenzičke analize računala

October 27, 2009 // Posted in ICT forenzika  |  No Comments

Hrvatska industrija softvera

October 20, 2009 // Posted in ICT governance  |  No Comments

Hrvatska industrija softvera pokazuje u 2009 godinu značajnu kontrakciju, kako na području implementacije ERP sustava principala, tako i na području samostalnog nastupa pri izradi “customiziranih” rješenja.

Pogledajmo kako su ti brojevi izgledali u rekordnoj 2008 godini.

Prodavači softverskih rješenja u RH u 2008. godini

Prodavači softverskih rješenja u RH u 2008. godini

 

Proizvodjaci softvera u Republici Hrvatskoj 2008. godine

Proizvodjaci softvera u Republici Hrvatskoj 2008. godine

Zanimljivo je da tisuću najvećih poduzeća u Hrvatskoj ima prihod oko 475 milijardi kuna te zapošljava 400.000 ljudi, odnosno 40 % ukupno zaposlenih.
Možemo se zapitati koji je značaj industrije i trgovine softverom u Republici Hrvatskoj danas?

1-3% IT budžeta hrvatskih tvrtki ulaže se u informacijsku sigurnost

October 15, 2009 // Posted in ICT sigurnost  |  No Comments

“Štednja na krivom mjestu?
Svega 1-3% IT budžeta hrvatskih tvrtki ulaže se u informacijsku sigurnost

Preko polovice ispitanika najviše pozornosti posvećuje zaštiti od interne prevare, dakle manipulacije podacima od strane vlastitih zaposlenika.
Inicijative za smanjenje troškova u svezi informacijske tehnologije u proteklih su godinu dana najviše utjecale na odluke o razvoju IT odjela u hrvatskim tvrtkama. Uprave u našim tvrtkama ne posvećuju dovoljno pozornosti privatnosti podataka, iako u dosta velikom postotku zajednički s IT menadžerima donose odluke o IT projektima. Svega 1 do 3 posto budžeta namijenjenog IT odjelima u hrvatskim tvrtkama troši se na pitanja informacijske sigurnosti, pokazuje istraživanje konzultantsko-revizorske tvrtke Deloitte Uravnoteženost poslovnih i IT odjela.
Kao i u Hrvatskoj, i u ostatku Europe smanjenje troškova je postalo čimbenik koji najviše utječe na odluke u vezi informacijskih tehnologija. Međutim, s tim u vezi postoje primjetne razlike među regijama u svijetu, što je vjerojatno odraz različitog utjecaja ekonomske krize. Tako na odluke u vezi IT-a na području Sjeverne i Južne Amerike najviše utječu fluktuiranja u cijeni tehnologije, dok u azijskoj regiji pojava novih tehnologija igra značajniju ulogu no drugdje.
“Istraživanje je ukazalo na učestalu praksu tvrtki da odluke u vezi IT-a ne donose sustavno. Čak tri od pet ispitanika na globalnoj razini ističe da se na sastancima uprave nikad ne raspravlja o odlukama vezanim za IT. U Hrvatskoj je situacija nešto bolja, pa polovica ispitanika ističe da uprava odlučuje o razvoju IT odjela zajedno s IT menadžerima,” ističe Ivica Perica, menadžer u Odjelu za upravljanje rizicima u Deloitteu.
Međutim, kad je riječ o informacijskoj sigurnosti, preko polovice ispitanika najviše pozornosti posvećuje zaštiti od interne prevare, dakle manipulacije podacima od strane vlastitih zaposlenika. Najskeptičniji po tom pitanju su ispitanici iz Europe, no primjetan je nedostatak svijesti o stvarnom broju povreda sigurnosti i ozbiljnosti te prijetnje. Budžeti alocirani za IT sigurnost i dalje zaostaju za stvarnim razmjerima prijetnji koje postaju sve kompleksnije, baš kao što se usložnjavaju i regulatorni zahtjevi. Oko 45 posto ispitanika u Hrvatskoj prihvaća outsourcing (eksternalizaciju) IT usluga, dok je u svijetu taj trend prošireniji, budući da se outsourcingom koristi 60 posto tvrtki.
U ovogodišnjem Deloitteovom istraživanju sudjelovalo je preko 1800 ispitanika iz 28 zemalja diljem svijeta. Ovo je prva godina da su istraživanjem obuhvaćene i hrvatske tvrtke, s udjelom od 4,4 posto u sveukupnom broju kompanija. U istraživanju su sudjelovale tvrtke iz financijskog sektora, proizvodnje, robe široke potrošnje, tehnologije, farmaceutike, javnog sektora, transporta, telekomunikacija, energetike, automobilske industrije, nekretnina i drugih sektora.”

(preuzeto s: Internet Monitor, 15.10.2009.)

Komentar: izbacimo iz analize bankarski i financijski sektor te nekoliko tvrtki koje se bave visokom tehonologijom i naslov bi lako mogao biti “Čak 1-3 promila IT budžeta hrvatskih tvrtki ulaže se u informacijsku sigurnost”.

Novi članak - “Tijela organizacije zaštite na radu u poduzeću”

October 13, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Na portalu Orkis objavljen je članak “Tijela organizacije zaštite na radu u poduzeću”.

INFOSEK (revisited)

October 8, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

INFOSEK 2009 dobio je i svoju LinkedIn najavu na ovoj poveznici (vjerojatno ćete se morati logirati koristeći svoje LinkedIn korisničko ime kako biste vidjeli sadržaj).

Detalji su već objavljeni i na ovim stranicama na sljedećoj poveznici., uključujući i letak te informacije o sudjelovanju i smještaju.

Forenzika GPS uređaja

October 5, 2009 // Posted in ICT forenzika  |  No Comments

Širenjem i integracijom uređaja potrošačke elektronike zadnjih godina pojavila se i forenzika GSM uređaja. GSM uređaji imaju procesor, memoriju i vrlo često u sebi sadrže podatke o rutama i lokacijama na kojima se GSM uređaj nalazio što može biti dodatni pokazatelj u dokazivanju u nekom slučaju s kriminalnom pozadinom.

U zadnjih nekoliko godina pojavili su se i vrlo jeftini uređaji za ometanje GSM signala koji u potpunosti mogu obezvrijediti klasične kombinirane uređaje koji koriste GPS i podatkovnu vezu (GPRS/UMTS/HSDPA) koji se koriste  za osiguravanje praćenih vozila (skupocjeni automobili, vozila koja prevoze vrijedne pošiljke ili novac). Ometači GSM i GPS signala mogu se kupiti već za 60 do 90 US$!

GPS sistem - sudski vještak informatike i telekomunikacija Saša Aksentijević

Smatra se da je sljedeći korak koji će vjerojatno poduzeti pripadnici kriminalnog miljea GPS spoofing. U potencijalnom scenariju tako bi bilo moguće oteti vozilo koje je praćeno preko GPSa a koje prevozi npr. novac, lažirati signal i nastaviti ga emitirati preko podatkovne veze dok je vozilo u biti oteto i prepraćeno na posve drugu lokaciju.

GPS spoofing - sudski vještak informatike i telekomunikacija Saša Aksentijević

GPS spoofing - sudski vještak informatike i telekomunikacija Saša Aksentijević

Testovi provedeni u Velikoj Britaniji pokazuju kako postoje na crnom tržištu uređaji snage 2 W koji su sposobni ovisno o konfiguraciji terena ometati propagaciju GPS signala u radijusu do 30 km i koji vrlo dobro obavljaju svoju zadaću.

Protumjera za ovakve sustave je uglavnom korištenje zemaljskih lokacijskih sustava koji imaju funkciju zamjenskih lokacijskih sustava i koji su se počeli razvijati nakon Drugog svjetskog rata a koji su upravo zbog relativno lakog ometanja GPS signala ponovo dobili na važnosti. Takav sustav je npr. eLoran.  Oni su ipak nešto manje osjetljivi na ometanje ovog tipa no daleko su od komercijalne uporabljivosti u gotovo svim uvjetima i na svim lokacijama što je značajka GPS sustava.

Loran C - sudski vještak informatike i telekomunikacija Saša Aksentijević

CECIIS 2009

October 2, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Varaždinska CECIIS 2009 konferencija je prošla krajem rujna 2009 godine. U sekciji pod “Radovi” objavljeni su i sažetak i cijeli rad pod naslovom “Usage of decision support systems in corporate procurement process” izrađen za tu konferenciju.

DoS napadi

September 30, 2009 // Posted in ICT forenzika  |  No Comments

Ovih dana aktualni su u medijima DoS napadi.

Ostavimo na stranu konkretan slučaj, moguće motive i počinitelje, pa čak i način na koji je konkretno napad učinjen. Orijentirajmo se na komentar što bi točno trebalo učiniti kod prevencije DoS napada te kod oporavka od istoga. Naime, kod ovakve vrste prijetnji, koje bi trebale biti obuhvaćene općom implementacijom ISMS-a, najvažnije je proaktivno ponašanje. Reaktivna (povratna) reakcija svodi se na uspostavljanje ugroženih mrežnih servisa, sanaciju eventualno počinjene štete i naposlijetku, eventualno, otkrivanje počinitelja.

Pet je temeljnih mjera koje je potrebno poduzeti kako bi se unaprijed smanjila mogućnost uspješnih DoS napada, odnosno smanjio njihov utjecaj na mrežne i aplikativne sustave:

  • Procedure konfiguriranja i nabave mrežne opreme (firewalli, routeri, switchevi) moraju biti u skladu s temeljnim ciljevima politika osiguranja mrežne sigurnosti, odnosno u ovom slučaju dostupnosti (u okviru klasične C-I-A trijade, izbjegavanje DoS napada je klasična razrada “Availability” vrha trokuta - u zadnje vrijeme postoje i tzv. permanent DoS napadi, kod kojega hackeri postižu kontrolu nad hardverskim komponentama i flashaju sustave programima blokirajući permanentno njihov rad, čime se ne ugrožava samo raspoloživost sustava nego i njihov integritet - “I” vrh trokuta)
  • Hardverski sustavi za prevenciju uskraćivanja usluge - radi se o samostalnim hardverskim komponentama (”appliances”) koje se instaliraju u mreži prije samog aplikacijskog servera koji se štiti a mogu podržavati i zajednički način rada sa mrežnom opremom. Postoji čitav niz ponuđača ovakvih uređaja od kojih svaki ima svoje mane i prednosti a zajedničko im je da posjeduju postavljanje i određivanje prioriteta u mrežnom prometu, mogućnost hardverske akceleracije prometa te inteligentne (proaktivne) analize prometa u potrazi za sumnjivim obrascima. Ovisno o mogućnosti regulacije prometa, brzini rada te implementiranim algoritmima cijena ovakvih sustava najčešće u osnovnoj konfiguraciji kreće od 15.000 EUR nadalje, uvećano za godišnje održavanje (u pravilu oko 20 % nabavne cijene)  pa je njihova cijena najčešći razlog zašto se svjesno ne primjenjuju u zaštiti mrežnih sustava
  • Sustavi za prevenciju upada (intrusion prevention systems), hardverski ili softverski, u slučaju DoS napada mogu biti efikasni ukoliko se radi o napadima koji imaju tipični obrazac odvijanja uz koji se može povezati određeni “digitalni potpis”. IPS sustavi tipično funkcioniraju slično sustavima antivirusne zaštite, tako da se od strane pružatelja zaštitnih usluga koji održava bazu “digitalnih otisaka” napada primjenjuju najnovije definicije koje zatim hardversko ili softversko rješenje koristi u analizi mrežnog prometa tragajući za tipičnim obrascima ponašanja. IPS sustavi moraju imati jaku procesorsku snagu jer moraju biti sposobni odvojiti legitimni promet od onoga koji je dio DoS napada, moraju vršiti online analizu sadržaja mrežnog prometa. Glavni ograničavajući čimbenik je taj što većina DoS napada koristi legitimne oblike prometa koji zbog svog volumena postižu maliciozne ciljeve.
  • Jasno dokumentirane procedure implementacije ISMSa, a unutar njih, razrada postupaka i kontingencijskih procedura vezano uz IP adrese, komunikacijske kanale i serverske resurse te oporavak od katastrofe i kontinuitet obavljanja temeljne djelatnosti i pružanje usluga; vezano uz to jasni SLA ugovori
  • Ugovori sa specijaliziranim konzultantskim kućama koje se bave tzv. odgovorom na napad. Takve kuće tipično pružaju specijalizirane usluge kriznog rukovođenja incidentom na tehničkom nivou, odnosno visoko su specijalizirane pri zaustavljanju napada, otklanjanju štetne radnje koja blokira pružanje mrežnih usluga i oporavak usluge na početne razine.Pritom je važno reći kako u Republici Hrvatskoj ne postoji niti jedna tvrtka koja bi se ekskluzivno bavila samo ovom djelatnošću - tržište ovakve usluge čiji korisnici su isključivo osviješteni korporativni korisnici je jednostavno previše malo da bi si tvrtke dozvolile specijalizaciju ove vrste. Stoga neka poduzeća nude odgovor na incidente u svojoj ponudi, no radi se o vrlo dinamičnoj grani tehničke informacijske sigurnosti i ostavlja se klijentima procjena validiteta takvih ugovora i ponuđenih usluga pošto nije jednostavno dobiti komercijalnu ponudu a još je teže obaviti komparaciju

Kada je jednom došlo do uspješnog napada, vrlo često je uz tehnički odgovor potreban i odgovor korištenjem metoda socijalnog inženjeringa. Vrlo je teško a s praktičnog stajališta ponekad i potpuno nemoguće utvrditi odakle dolazi napad i tko je za njega “kriv”, odnosno tko je inicijator u smislu jedne osobe ili organizacije. Naime, sofisticirane DoS napade koji nisu jednostavni “flooding” moguće je uz nešto detaljne pripreme pokrenuti na način da je čak i teoretski gotovo nemoguće otkriti koja osoba fizički stoji iza napada. Stoga je česta pojava neadekvatne reakcije onih koji su napadom pogođeni a koja često ide u smjeru “otkrivanja i kažnjavanja jednog krivca”. Potrebno se primarno orijentirati na načine zaustavljanja napada i sprečavanja ponavljanja istih napada u budućnosti.

Uobičajeno je da su investicije u informacijsku infrastrukturu na granici minimalno mogućeg i praktičnog umjesto da djeluju razvojno i proaktivno, jer još uvijek postoji svijest o tome kako je ICT isključivo trošak pošto se u Hrvatskoj danas vrlo rijetko računa povrat na investiciju u ICT sektoru a uprave korporacija posjeduju jako malo praktičnog znanja o ulozi i položaju strateške informatičke funkcije svodeći je na uslužnu potpornu djelatnost. Primjena ili nekorištenje nekih ili većine navedenih principa zaštite mrežnih usluga u svjetlu te činjenice spada u domenu procjene odnosno prihvaćanja objektivno postojećeg rizika.

U slučaju medijskih kuća koje kao isključivi komunikacijski medij koriste Internet i računalne mreže, mišljenja sam kako je poslovni model u kojemu se prihvaća rizik napada na mrežne sustave ili mu nije posvećena maksimalna pažnja (u praksi se to svodi na investicije i znanje, interno ili konzultantsko) u najmanju ruku manjkav, odnosno nije u skladu s temeljnim pravilima poslovne logike.

Curenje informacija

September 26, 2009 // Posted in ICT sigurnost  |  No Comments

U dijelu hrvatskih medija prije nekoliko tjedana na senzacionalistički način je prenesena informacija o tome kako je u HEP-u internim dopisom zabranjeno odavanje osobnih informacija o zaposlenicima (u ovom kontekstu, vjerojatno se to odnosi na plaće rukovoditelja).

Zanimljivo je kako se u biti radi o klasičnoj zamjeni teza. Čak i one tvrtke koje nemaju striktne procedure upravljanja informacijskom sigurnošću primjenju po “automatizmu” procedure ili politike tajnosti osobnih podataka zaposlenika, njihovih plaća itd. Zapravo bi bilo bolje postaviti pitanje - što je točno činio u HEP-u do sada onaj koji je bio zadužen za osiguranje sigurnosti takvih podataka?

Ili možda mediji smatraju kako bi korporacije trebale držati sve svoje podatke na nekakvom front-endu, dostupnom javnosti?

Ovaj mini-slučaj definitivno govori o tome kakvo je stanje informacijske sigurnosti i sigurnosti osobnih podataka u Hrvatskoj danas.

Sigurnost cloud computinga s osvrtom na SaaS (Software as a Service)

September 18, 2009 // Posted in ICT sigurnost  |  No Comments

U članku “Zašto ISO 27001 (možda) nije dovoljan” osvrnuli smo se na činjenicu kako razvoj sustava koji prate kvalitetu ISMS-a (možda!) ne prati dovoljno brzo tehnološki razvoj. Naravno, sustavi upravljanja kvalitetom temelje se na fleksibilnosti i tako su “univerzalni” i “uvijek primjenjivi” - dovoljno je reći kako Annex A ne predstavlja definitivni skup kontrola, nego svaka organizacija može dodati kontrole koje nisu u njemu predviđene.

Ostavimo za sada po strani ISO sustave i prokomentirajmo npr. SaaS (Software as a Service) koncept koji već nekoliko godina pružaju mnoge softverske kuće u Hrvatskoj i svijetu koje proizvode specijalizirane softvere. Cijela priča izgleda dobro -  softver radi na gotovo svim računalima koja imaju Internet browser tako da nisu potrebna ulaganja u novu opremu, cijena komunikacijskih linkova danas je toliko pala da predstavlja za manje i srednje firme gotovo zanemariv trošak u odnosu na sve ostale troškove poslovanja a što je najvažnije, SaaS koncept omogućuje tretiranje računalnog softvera kao usluge, čime se smanjuje potreba za većom količinom novčanih sredstava kojima bi se kupio softver kao stalna imovina, osobito ako je broj računala veći. Upravljanje licencama je isto jednostavno, tako da u slučaju smanjenja ili povećanja poslovne aktivnosti, ovisno o ugovoru, dovoljno je deklarirati povećanu ili smanjenu količinu licenci u sljedećem razdoblju. Naravno, u praksi se pokazalo kako su CIO-i vrlo nezadovoljni implementirani SaaS sustavima o čemu se više može pročitati u ovom članku.

Koncentrirajmo se na trenutak na sigurnost takvih sustava. Mnoge tvrtke u Hrvatskoj koriste SaaS softver za svoje interno računovodstvo, ali i za core business, odnosno CRM i B2B/B2C sustave bez da je ijedna sekunda promišljanja potrošena na pitanja kao što su - gdje su zapravo ti podaci, tko su tvrtke koje pružaju SaaS softver, koja im je reputacija, da li su ugovorom definirane obaveze proizvođača po pitanju kontinuiteta poslovanja, postoje li sustavi oporavka od katastrofe… još gora je situacija kod onih pružatelja aplikativnih rješenja, a takvih je većina, koji svoje aplikacije “hostaju” na stranim serverima, najčešće koristeći najjeftinije solucije kako bi smanjili vlastite troškove poslovanja, a koji niti da hoće, ne mogu odgovoriti niti na jedno od postavljenih pitanja.

Na pitanje da li bi povjerili strancu na ulici svoj novčanik, većina onih koji su implementirali takve sustave odgovorili bi niječno, no sudbinu dobrog dijela svog poslovanja povjerili su nepoznatim tvrtkama o kojima ne znaju ništa, koristeći distribuirane sustave obrade podataka o kojima znaju još manje.

Prema tome, svi koji koriste SaaS tehnologiju,trebali bi minimalno koristiti tehniku “dobrog gospodara” i smjernice koje daje Gartner za sigurnost cloud computing sustava ili sustava distribuirane, dislocirane i eksternalizirane obrade podataka.

  1. Adresiranje rizika pristupa podacima - potrebno je znati koje osobe, funkcije ili instance imaju fizički pristup podacima, pošto su svi podaci u informacijskom oblaku na kraju krajeva ipak negdje fizički sadržani. U okviru toga treba biti siguran kako se pravila fizičkog pristupa podacima u tim tvrtkama uvijek i neizostavno poštuju
  2. Potrebno je znati gdje se točno fizički nalaze smješteni podaci odnosno aplikacije, o kojoj se fizičkoj lokaciji odnosno državi radi, te da li se pružatelj usluga serverskog hostinga doista pridržava dogovorenih normi po pitanju sigurnosti podataka (nadam se kako je jasno da sve ovo treba definirati ugovorom a i nezavisnim auditom ako se to smatra potrebnim!)
  3. Potrebno je točno definirati strategije izrade rezervnih kopija, raspoloživnosti podataka te strategije kontinuiteta poslovanja u čitavom lancu, od hostinga, preko proizvođača softvera do samog korisnika
  4. Za slučaj izlaska iz posla bilo koje od uključenih stranaka (pružatelj hostinga, proizvođač softvera, pružatelji telekomunikacijskih interkonekcija), potrebno je ugovorno definirati strategije i postupke kontinuiteta korištenja podataka i usluga, odnosno uvjete prekida pružanja usluga
  5. Potrebno je internim dokumentom definirati potrebne razine usluga kroz interne i vanjske SLA ugovore o čemu će ovisiti i investicije - nije isto da li je potrebna raspoloživost 95, 99 ili 99,99 % vremena.

Tek nakon što se primijeni ova metodologija uz standardnu ISO 27001 “lingvistiku”, te nakon što se izradi detaljna analiza rizika uz mjere umanjivanja, uklanjanja ili transfera rizika, moguće je napraviti standardnu “buy or lease”, a u ovom slučaju “own or cloud-away” analizu koja će u večini slučajeva ipak potvrditi razočaranje anketiranih CIO-ova po pitanju isplativosti cloud computinga koji se “isplaćuje na rate” i “nečija je tuđa briga”.

Kompenzacijska politika poduzeća

September 13, 2009 // Posted in Članci/konferencije/predavanja  |  No Comments

Na vodećem hrvatskom portalu za financije - Orkis.HR - objavljen je članak pod naslovom “Kompenzacijska politika poduzeća”

Izvadak koji objašnjava tematsku problematiku obrađenu u članku:

“U ovom članku osvrnut ćemo se na ono po čemu prosječni zaposlenik identificira službu za upravljanje ljudskim resursima a to je način određivanja kompenzacijske politike. Inzistira se na nazivu „kompenzacijska politika“ umjesto „plaća“ upravo zato što je novčani dio plaće samo dio cjelokupnog kompenzacijskog paketa koji prima svaki zaposlenik kao protučinidbu za uloženi rad i napor te posljedični doprinos poboljšanju poslovnog rezultata ili ostvarenju ciljeva organizacije.”

Digital Forensics Challenge 2009

September 10, 2009 // Posted in ICT forenzika  |  No Comments

Digital Forensics Challenge

Digital Forensics Challenge