U Francuskoj majke moraju prevoditi za sitniÅ¡. U Kini mladi rade danju i noću na usavrÅ¡avanju video-igrica za velike ameriÄke tvrtke. Internet ima svoj pakao: naoružani će kineski zaposlenik pred naÅ¡im kamerama uzeti za taoca drugu zaposlenicu kako bi dobio svoju plaću. Putujemo na tamnu stranu mreže… (izvor: www.kamo.hr)
Zanimljiv osvrt na temu možete proÄitati ovdje.
Na fotokopirnim ureÄ‘ajima se Äesto mogu vidjeti naljepnice proizvoÄ‘aÄa koje ukazuju na Äinjenicu kako je “nelegalno” kopirati neke vrste dokumenata. Zanimljivo je kako proizvoÄ‘aÄi aparata te naljepnice uglavnom stavljaju prema vlastitom nahoÄ‘enju, bez citiranja zakona i države na koje bi se takva zabrana trebala odnositi, vjerojatno pokuÅ¡avajući unaprijed odreći se odgovornosti za zlouporabu ureÄ‘aja koje  proizvode (poznat je vic – “Koliko Amerikanaca treba da bi promijenili žarulju?” “Dvanaest – jedan da promijeni žarulju i jedanaest da tuže ovoga koji ju je promijenio.”)
Å toviÅ¡e, iskustvo je ljudi izvan Hrvatske kako pojedini centri (trgovine) za fotokopiranje ne žele kopirati u boji razne dokumente poput osobnih iskaznica, pasoÅ¡a (putovnica), odnosno vozaÄkih dozvola, Äak i kada ureÄ‘aji za fotokopiranje posjeduju opciju za naknadnu obradu dokumenata koja omogućuje umanjivanje ili povećavanje fotokopija ili dodavanje vodenog žiga koji nedvojbeno ukazuje na to kako se radi o fotokopiji.
Uostalom, ne postoji razlog zbog kojega bi bilo nelegalno izraÄ‘ivati kopije dokumenata, važna je namjera koja iza toga stoji. Ovo bi podruÄje trebalo u svakom sluÄaju biti detaljnije ureÄ‘eno zakonima i pozakonskim aktima kako bi se izbjegao voluntarizam u tumaÄenju.
ÄŒinjenica je kako svijet i pogled na sigurnost te u okviru nje informacijsku sigurnost neće biti isti nakon 11-tog rujna 2001 godine te kako je nažalost taj teroristiÄki Äin omogućio niz ograniÄavanja sloboda ljudi i  podgrijavanje atmosfere paranoje u kojoj se Äak niti ne propituju ograniÄenja koja je netko svojevoljno uveo ili pretpostavio da bi “tome trebalo biti tako”. Ovo je samo jedan od takvih sluÄajeva, pri Äemu u praksi niz pravih prijetnji osobnoj privatnosti, korporativnoj sigurnosti informacija i sukladnosti sa lokalnim zakonima prolazi posve neopaženo.
Sky News objavio je juÄer zanimljivu reportažu o tome Å¡to se dogodilo u servisima raÄunalne opreme u koje su odnijeli raÄunala na popravak. Serviseri su pregledavali podatke, skidali lozinke, bankovne podatke i korisniÄka imena, pokuÅ¡avali ih koristiti, te Äak instalirati keylogger programe koji bilježe aktivnosti na raÄunalima i Å¡alju ih njima u formi logova (dnevnika) te pristupali ugradjenoj Web kameri. Gotovo u svim posjećenim servisima situacija je bila ista osim u jednom.
Komentar ovakve situacije bi bio da su za ovo jednako krivi i serviseri i ljudi koji svoja raÄunala daju u posjed drugima ne vodeći brigu o tome Å¡to sadrže. Å to oÄekivati ukoliko netko ostavi svoj novÄanik prepun zapisanih lozinki, kreditnih i debitnih kartica te gotovine nasred ceste? Otprilike isto Å¡to može oÄekivati preda li svoje osobno raÄunalo u servis nepoznatoj osobi.
Iako koncept nigerijske poÅ¡tanske prijevare postoji već desetljećima (prvo je bio razvijen redovnom a zatim i putem elektroniÄke poÅ¡te), vrlo Äesto se može susresti ljude, osobito one koji su nedavno poÄeli koristiti elektroniÄku poÅ¡tu i koji je koriste srazmjerno rijetko, koji su zaÄuÄ‘eni kada u poÅ¡tanski sanduÄić zaprime email od nepoznate osobe koja traži pomoć u transferu novca i nudi nebulozne svote.
Prije desetak godina nekoliko ljudi iz Hrvatske, toÄnije, Dalmacije, bili su žrtva ove prijevare te su Äak osobno otiÅ¡li u Nigeriju u pokuÅ¡aju povrata novca koji su poslali kako bi se “procesirale” obećane transakcije. Neki od njih jedva su izvukli živu glavu.
Tehnike prijevare nisu vezane uz tehnoloÅ¡ki kontekst – elektroniÄka poÅ¡ta koristi se samo kao medij masovne distribucije elektroniÄkih poruka – nego uz tehnike socijalnog inženjeringa, te psihologiju uvjeravanja. ElektroniÄka poÅ¡ta tu pomaže samo utoliko Å¡to omogućuje masovnu distribuciju poruka a statistiÄki gledano, zakonom velikih brojeva, Äim je veći broj poslanih pisama, veća je mogućnost da se naiÄ‘e na lakovjernu osobu koja je voljna uložiti, toÄnije, izgubiti svoj novac.
Evo nekoliko poveznica s viÅ¡e informacija o tom naÄinu prijevare – poveznica 1 – poveznica 2 – poveznica 3.
U kolumni “Even parity” na portalu Internet monitor, autor Radoslav Dejanović objavio je zanimljiv osvrt na novi zakon o Kaznenom postupku.
Na vodećem hrvatskom financijskom i raÄunovodstvenom portalu, Orkis, upravo je objavljen Älanak s naslovom “Kaznene odredbe Zakona o zaÅ¡titi na radu (ZNR), Kaznenog zakona i posljedice neprovoÄ‘enja mjera ZNR”.
U Älanku se daje osvrt na kaznene odredbe Zakona o zaÅ¡titi na radu te na Äinjenicu kako se teže povrede aktivnosti zaÅ¡tite na radu nalaze i u okviru kaznenih odredbi Kaznenog zakona. Nadalje, obrazlažu se sve potencijalne posljedice neprovoÄ‘enja mjera zaÅ¡tite na radu.
Na sjednici hrvatskog Sabora 30.06.2009. godine izglasan je Zakon o izmjenama i dopunama Zakona o kaznenom postupku koji je objavljen u Narodnim novinama od 01.07.2009. kada je i stupio na snagu.
Zakon možete skinuti ovdje, a na sljedećim poveznicama – poveznica 1 – poveznica 2 – nalazi se zanimljiv Älanak objavljen 04.07.2009. u rijeÄkom Novom listu vezano uz tu tematiku.
“Birokrat je osoba koja otvoreno tvrdi da niÅ¡ta neće uÄiniti, a onda se toga tvrdoglavo drži”
Guste Santini, HRT1, 08.07.2009.
U Europskoj uniji po pitanju zaÅ¡tite informacija postoje detaljna zakonska podloga i operativni instrumentarij za osiguravanje sukladnosti sa relevantnim zakonima. Dvije su temeljne direktive koje reguliraju podruÄje zaÅ¡tite podataka: direktiva 95/46/EC (direktiva o zaÅ¡titi podataka) te direktiva 97/66/EC koja se odnosi na zaÅ¡titu informacija u telekomunikacijama. Direktive obvezuju države EU da svoje nacionalno zakonodavstvo usklade sa zahtjevima direktiva.
Temeljna pravila kojih se moraju pridržavati svi koji upravljaju privatnim podacima (terminoloÅ¡ki radi se o tzv. data controllers – onima koji kontroliraju podatke) su sljedeća:
Temeljna odredba kojom se svi zakoni u EU povode po pitanju zaštite podataka je:
Everyone has the right to respect for his private and family life, his home and his correspondence – European Convention for the Protection of Human Rights and Fundamental freedoms
Integralnu verziju dokumenta koji reguliraju ovu problematiku možete skinuti s ovih stranica s ove poveznice.
U Hrvatskoj je situacija trenutaÄno takva da su direktive implementirane djelomiÄno, nadzorna tijela su ustanovljena ali u praksi se ne primjećuje da provode legislativu a u trenutku pisanja ovog Älanka, sredinom 2009 godine, van financijskog i bankarskog sektora naglasak na pitanja zaÅ¡tite podataka, informacija, informacijskih sustava i osobnih informacija izostaje dok se u svakodnevnoj praksi krÅ¡e i hrvatska predmetna legislativa i strukovna pravila i pravila zdrave logike, osobito u podruÄju neovlaÅ¡tenog i nepotrebnog prikupljanja privatnih podataka te pohrane i mjera tehniÄke zaÅ¡tite spremljenih podataka i podataka unutar komunikacijskih kanala i informacijskih sustava. Nažalost, situacija je jednako loÅ¡a i ova se aktivnost oÄito smatra marginalnom i unutar državne uprave i unutar privatnog sektora, osobito u malim i srednjim poduzećima Äija granska aktivnost i tehnoloÅ¡ki procesi nisu povezani uz tehnoloÅ¡ki kontekst pa se makar temeljna zaÅ¡tita informacija ne provodi “po inerciji”, zbog samoinicijative ukljuÄenih struÄnjaka.
Tradicionalna tehnologija koja se koristi kako bi se osigurali podaci je enkripcija – upotreba kompleksnih algoritama za kodiranje informacija koja se ustalila kao industrijski standard koji poÄiva na Äinjenici da iako je moguće dekriptirati kriptirane informacije, većina napadaÄa nema pristup znanju, algoritmima ili procesorskoj snazi koja je potrebna za dekriptiranje kodiranih informacija.
Tehnika kriptiranja podataka u raznim oblicima i tehnoloÅ¡kim rjeÅ¡enjima primjenjuje se na podatke sadržane na mrežama, na podatke koji se nalaze u tranzitu unutar komunikacijskih kanala od izvora do primatelja, te na osobnim raÄunalima i “pametnim” telefonima.
Međutim, ukoliko se gleda razvojnost informacijskih sustava, možemo lako posumnjati da li je enkripcija pravi odgovor na pitanje kako osigurati sigurnost podataka. Razlozi su sljedeći:
1. Upravljanje kljuÄevima
Za dekodiranje enkriptiranih datoteka korisnik treba enkripcijski kljuÄ. Upravljanje velikim brojem takvih kljuÄeva može biti problematiÄno – iako postoje rjeÅ¡enja za korporativno upravljanje kljuÄevima (EKM – Enterprise Key Management) koja obećavaju mogućnost upravljanja i promjene kljuÄeva tijekom njihovog životnog ciklusa – ona su viÅ¡e “flaster na otvorenoj rani” cjelokupnog sustava. PoÅ¡to je lanac jak koliko je jaka najjaÄa karika, korporativno upravljanje kljuÄevima sigurno je toliko koliko su sigurni integrirani sustavi upravljanja kljuÄevima. Ako je kljuÄ kompromitiran u hijerarhijski nižem sustavu od sigurnog managera kljuÄeva ili neki sistem nije dizajniran da bi adekvatno adresirao odreÄ‘enu prijetnju, Äitav sustav upravljanja kljuÄevima postaje nesiguran.
2. Zakonska regulativa
U mnogim državama postoje zakoni koji zahtijevaju od raznih organizacija, poduzeća i državnih tijela da obavijeste pojedince o tome kako postoji sumnja ili saznanje da su njihove osobne informacije kompromitirane od neautoriziranih osoba. U praksi to Äesto rezultira medijskim aferama koje su noćna mora za sve pogoÄ‘ene organizacije. Dobro razumijevanje tehnika enkripcije zasigurno može pomoći u tome da odgovorne osobe budu sigurne kako su podaci zaÅ¡tićeni, no to ne pomaže javnom mnijenju. Jednom kada su osobni podaci postali ranjivi ili lako dostupni, izgubljeno je povjerenje onih na koje se oni odnose i javnosti općenito. Stoga enkripcija nije dovoljna mjera za adresiranje poslovnih zahtjeva za sigurnost podataka.
3. RaÄunalna moć
Temeljna postavka klasiÄne tehnologije enkripcije, kao Å¡to je reÄeno, je nesrazmjer izmeÄ‘u procesorske moći potrebne za enkripciju i dekripciju podataka te odvraćanje onoga tko pokuÅ¡ava kompromitirati podatke kompleksnošću postupka. MeÄ‘utim, porast procesorske snage je tako eksponencijalan da je posve izvjesno kako ono Å¡to je danas sigurno, sutra viÅ¡e neće biti. Iz tog razloga već danas su mnoge organizacije prisiljene sistematski vrÅ¡iti re-enkripciju kako bi ostale sigurne od potencijalnih hakera. Sustavna je pak enkripcija problematiÄna, skupa, povezana s dodatnih problemima po pitanju sigurnosti sadržanih podataka i zahtijeva puno ljudskog rada, odnosno direktnih intervencija.
Jedna od tehnika kojom se ova problematika može donekle rijeÅ¡iti je tehnika rasapa (disperzije) koja dijeli podatke na dijelove (“tranÅ¡e”) koje su spremljene na razliÄitim logiÄkim ili geografskim lokacijama. Svaki djelić sadrži premalo informacija da bi bio koristan sam za sebe ili da bi mogao kompromitirati sadržane podatke, no sve podatke moguće je rekreirati iz inicijalno zadanog broja dislociranih tranÅ¡i. Nadalje, u sluÄaju ispada nekog od servera ili lokacija na kojima su sadržani podaci, ne dolazi do njihovog gubitka jer se mogu rekreirati iz preostalih lokacija i sadržanih tranÅ¡i. Neovisno o napretku procesorske snage, maliciozni hakeri ne mogu na jednostavan naÄin doći do podataka a tehnika disperzije ne zahtijeva znaÄajno vrijeme i rad u postupak re-enkripcije kako bi podaci bili dodatno zaÅ¡tićeni.
Zanimljivo je da norma ISO 27001:2005 u okviru Aneksa A *ne predviÄ‘a* kontrole vezane uz tehniku disperzije niti adresira temeljni koncept “cloud computinga”.