Nädal 14. Andmeturveː tehnoloogia, koolitus ja reeglid

Phishing

IT turvariske on väga palju erinevaid ning ideaalsetes tingimustes võivad nad kõik omajagu kahju teha. Oma blogipostituses peatun ma nendest ühel, milleks on „phishing“ või eesti keelse terminiga õngitsemine. Nagu Wikipedia ütleb „Not to be confused with Fishing or Pishing“.

Õngitsemine on küberkuritegu, kus oma ohvrid leitakse e-maili, telefoni või tekstisõnumite teel, presenteerides end kui ametlikku ettevõtet/inimest ning meelitades nii ohvrilt välja olulist infot nagu näiteks isikuandmeid, panga paroole ja kasutaja nimesid või krediitkaardi andmeid.

Õngitsemine on üsna levinud küberkuriteo liik, mille katsetega on kokku puutunud tõenäoliselt paljud interneti kasutajad. Ajapikku muutuvad ka saadetavad võltskirjad järjest professionaalsemaks ja usaldusväärsemaks, mistõttu järjest enam tuleb hoida valvsust. Vähemalt, siis kui soovitakse mingeid andmeid. Enam ei kaitse meid ka eesti keel, kuna „Nigeeria petturid“ on ka selle selgeks saanud, olgu see läbi Google´i tõlke või kohalike pättide abil.

Kuidas aitaks "Mitnicki valemi" kolme komponendi (tehnoloogia, koolitus, reeglid) rakendamine riski maandamisele kaasa?

Tehnoloogia poole pealt aitab õngitsemise vastu peamiselt see, et kasutajal poleks liiga palju õigusi, mille edastamisel (arvuti kasutajanimi ja parool) saaks pahalane palju kurja teha. Samas see ei aita muudes keskkondades tehtava kahju vastu (pangakontod). Võimalus on ka e-mailiserverile lisada filter, mis kahtlastest allikatest pärit kirju läbi ei lase. Näiteks meil korjab spämmifilter enamus kahtlaseid kirju ära ning kord päevas tuleb spämmi kiri, mis toob välja ära korjatud kirjad. Kui mõni päris kiri on ka sinna juhtunud, siis ei lähe see kaotsi.

Kuna õngitsemine põhineb peamiselt sotsiaalsel manipulatsioonil, siis tehnoloogia kasutamise efektiivsus on piiratud. Kõige nõrgem lüli on ikkagi „tihend arvuti ja tooli vahel“. Aitavad koolitused ning nende järjepidev kordamine. Olgu selleks iga aastane IT turvalisuse koolitus, mida kõik töötajad peavad läbima, või infokirjad, mida saadetakse mitu korda aastas, et pea valvsust. Probleemi lihtne lahti seletamine, näidete toomine, teadlikkuse tõstmine aitavad õngitsemise vastu. Mitte küll 100%, aga rohkem kui mitte midagi tegemine.

Reeglite osas aitab kui ettevõttes on toimivad tööprotsessid ning töötajad teavad, mida nad teevad. Tihti see siiski nii pole. Sellisel juhul aitab, kui ettevõttes on näiteks maksete tegemisel või andmete andmisel lisakontroll. Kui on keeruline küsimus, siis on võimalik küsida kolleegi abi ning ettevõttes on soositud pigem ettevaatlik käitumine kui kiirustamine.

Õngitsemine on kahjuks siiski valdkond, kus 100% turvalisust pole võimalik tagada, kui inimene on süsteemis. Lisatud on ka mõned näited võimalikest õngitsuskirjadest, mida pahalased saadavad.