Mõtted kuidas taltsutada kasutajat

 Pea iga IT süsteemi lahutamatu osa on kasutaja, sest kelle jaoks see süsteem ikka töötab. Laias laastus on tõsi, et ükskõik, mis turvameetmed on süsteemis paika pandud, suudab piisavalt laisk ja liedlik kasutaja nende positiivse mõju nullida. Kõrvalepõikena võib ka mainida, et mingil määral kehtib sama idee ebapädevate küberturbe tiimide kohta, kus üks võimalik rünakuvektor on küberturbetiim niivõrd ära ehmatada, et nad teevad iseenda infrastruktuurile DoS rünnaku. Selline kogemus tuleb asjaolust, et olen osalenud umbes tosina küberturbeharjutuse korraldamisel ning vahe tiimide vahel, kes suudavad stressirohketes olukordades rahulikuks jääda ja nende vahel, kes ei suuda on nagu öö ja päev. Aga nüüd tagasi tavakasutajate juurde. Vaadates Mitnicki valemit soovin esitada mõned mõtted tegelemaks kasutajate negatiivse mõju vähendamiseks süsteemide turvalisuses.

Esimese poolena võtan ette organisatoorse poole, mis hõlmab nii koolitust, kui ka reegleid(policy või ettevõtte sisene poliitika). Koolitus on esmajärgus oluline puht sellepärast, et kasutajad ei tekitaks turvaprobleeme pelgalt teadmatusest. Teisalt võimaldab koolituste tegemine ka läbi mängida standardolukordi ning vähendada organisatsiooni liikme/töötaja stressitaset sarnast olukorda kohates, mis viib jällegi paremate tulemusteni. Koolitust ja reegleid on siinkohal hea käsitleda koos sellepärast, et reeglid määravad rohkemal määral töötaja/lõppkasutaja käitumist olukordades, mis erinevad oluliselt standardist. Reeglite rakendamine vähendab ühle või teisel viisil paratamatult ettevõtte või organisatsiooni efektiivsust oma tuumikmissiooni täitmisel, muutes sageli näiteks kommunikatsiooniahelad kohmakamaks. Näiteks, kui ilma selge reeglistruktuurita saab küsimustele vastused otse ja kiiresti(võtame analoogiks UDP), muudab reeglite lisamine kahe inimese infovahetuse kolme või nelja isikut hõlmavaks protsessiks(TCP, kus on mitu "käepigistust juures"). Viimane oluline asi, mis on silma jäänud on reeglite järgmise koolituste ja reaalse elu vahe. Kui koolitusel on eesmärk täita kõik püstitatud eesmärgid, näiteks probleemide raporteerimine, siis päris elus lisanud eesmärkide hulka ka oma töökoha ja maine säilitamine, mis mõnede juhtimisstiilide korral viib erineva käitumiseni, koolitusel õpitust, töötaja poolt. Selle illustreerimiseks on minu arvates alati hea näide Jaapani autotootja Toyota tehase süsteem, mis on aasta-aastasse viinud toote parema kvaliteedini. Nimelt kehtib nendes tehastes paradigma, kus igal liinitöötajal on õigus terve liin seisma panna, elimineerimaks tuvastatud süstemaatilist viga. Kontrastiks USA autotehastes nähekse seda, kui mõttetut kulu järgmise kvartali aruannetes ning see väljendub sageli autode madalamas kvaliteedis. Ühesõnaga peab koolitusel õpitud reeglite järgimist ka soosima ettevõtte/organisatsiooni kultuur, ning tõrgete raporteerimine ei tohi turvalisuse/protsessi kvaliteedi säilitamise huvides saada karistatud vaid pigem kiidetud.

Tehnoloogia poole pealt soovin püstitada hüpoteesi, et väga range turvasüsteemide implementeerimine tehnoloogia tasemel toob endaga sageli kaasa soovitust vastupidise efekti. Nimelt olen oma töö käigus näinud, et kui turvalahendus, näiteks kaheastmelise autentimise, on kohmakas ning pikendab teenusesse sisselogimise aega rohkem, kui umbes 10 sekundit, siis loob kasutaja väga leidlikke meetodeid, kuidas nedest süsteemidest mööda pääseda. Olen klientide juures näinud, kuidas dokumente, millele turvakaalutlustel õigesti autentimata kasutajal ligipääsu pole, jagatakse suhtlusrakenduste kaudu või, kui töölauaaplikatsiooni ei saa kasutada ilma turvasedeteta, mitemfaktorilise autentimise parooligeneraator pannakse paroolihaldurisse samas arvutis, mis on küll parem, kui mitte midagi, kuid endiselt hävitab mitmefaktorilise autentimise mõtte. Kokkuvõtteks, kui tehnoloogia poole pealt on väga suur fookus rakenduste enda tööpõhimõtete turvamine ja igasuguste ärakasutatavate tõrgete eemaldamine, on teine ja mingil viisil võrdelt oluline aspekt see, et turvameetmete implementeerimine, ei segaks igapäevaseid toiminguid nii palju, et kasutajad neid lihtsalt ei rakenda. See on küllaltki keeruline tasakaaluharjutus.

Lõpetuseks leain, et iga Mitnicki valemi osa on küberturbe seisukohast oluline, kuid ehk noriks veidi väite osas, et kui ühe elemendi rskitase on null, siis on kogu süsteem justkui turvaline. Vähemalt koolituse ja reeglite osad on sellised, et puudulik lahendus nende osas suudab ikkagi terve süsteemi maha võtta, tinigtuna sellest, et iga süsteem mis on kasutatav on ka kasutaja poolt rünnatav.

Kasutatud materjalid:
See nädal eriti ei ole, kogu arutelu on pigem töö ja koolielu käigus läbi töötatud olukordadest.

Toyota näide heast kanbani implementatsioonist: https://kanbanize.com/blog/stop-the-line/