Kliknąłeś w wilka brawo !

O wadze świadomości bezpieczeństwa IT oraz darwinowskim podejściu do komputerów opowiada Krzysztof Jonak, Dyrektor Intela w regionie Europy Środkowo-Wschodniej.

Wedle zrealizowanego przez Intel badania nt. bezpieczeństwa IT w dużych firmach, główne wyzwania stojące przed polskimi przedsiębiorstwami to coraz szersze spektrum urządzeń, rosnące obowiązki działów IT, egzekwowanie polityki BYOD oraz brak bezpieczeństwa wynikający z najczęściej stosowanych, jednopoziomowych metod uwierzytelniania. Co proponuje Intel, by wyjść naprzeciw tym problemom?

Po pierwsze, kluczowe jest, aby przedsiębiorstwa zdawały sobie sprawę, że są różne aspekty bezpieczeństwa, na które trzeba zwrócić uwagę, związane m. in. z pojawieniem się nowych typów urządzeń. Jednym z ciekawszych przypadków włamania do sieci korporacyjnej w Stanach Zjednoczonych było wykorzystanie połączonych z siecią klimatyzatorów. Ktoś zdołał włamać się do modułu zarządzającego klimatyzatora, który podłączony był do sieci korporacyjnej, i w efekcie dostał się do środka. Firmy muszą mieć świadomość, że pojawiły się nowe urządzenia, ale i różne metody autentyfikacji użytkownika. Ponadto liczba urządzeń cały czas rośnie. Pierwszy krok to zatem świadomość. Drugi krok to centralna polityka zarządzania bezpieczeństwem. Nasz raport pokazuje, że taką politykę posiada już bardzo duży odsetek przedsiębiorstw. Zdają one sobie sprawę, że do tematu bezpieczeństwa trzeba podejść kompleksowo. Jaka jest polityka antywirusowa? Jaka jest polityka dostępu – np. czy można podłączyć się z własnym tabletem? Czy można korzystać z maila korporacyjnego na dowolnym telefonie, czy też musi on posiadać specjalne zabezpieczenia? Jeśli firma jest świadoma, będzie szukała dostępnych mechanizmów, by się zabezpieczyć. Tutaj doskonale sprawdzi się np. rozwiązanie Intel Authenticate.

Załóżmy zatem, że firma jest już świadoma zagrożeń. Co teraz? Jakie konkretne kroki może zaproponować Intel?

Wrócę jeszcze na chwilę do kwestii świadomości – potrzebne jest świadome inwestowanie w rozwiązania, które zwiększą poziom bezpieczeństwa. Zastosowanie różnych mechanizmów, bądź kombinacji mechanizmów autentyfikacji: hasła, bliskości urządzenia mobilnego, biometrii. To jeden element. Drugi aspekt – stosowanie nowych rozwiązań, aktualnych wersji systemów operacyjnych, nowych komputerów także zwiększa bezpieczeństwo. Jeżeli nie odświeża się ochrony antywirusowej oraz kombinacji oprogramowania i sprzętu, firma jest narażona na ataki. Prościej jest przecież atakować starsze urządzenia.

Odchodząc na chwilę od strony zarządczej – co wejście w chmurę i duży wzrost liczby urządzeń Internetu Rzeczy będzie oznaczał dla użytkowników końcowych? Jak im pomóc?

To ważny i trudny aspekt. Zgadzam się, że użytkowników końcowych będzie od menedżerów IT różnić zarówno podejście, jak i poziom świadomości. Wydaje mi się, że istotna jest kwestia edukacji – tak, aby ludzie dbali na przykład o to, czy mają aktualne oprogramowanie antywirusowe. Z drugiej strony, muszą mieć świadomość, jakie informacje udostępniają publicznie, jakiego rodzaju dane trzymają w chmurze, i w jakiego rodzaju chmurze. Jedne zasoby są w końcu lepiej chronione, inne gorzej. Trudno oczekiwać wyższego poziomu bezpieczeństwa od usług świadczonych bezpłatnie.

Swojego czasu spotkałem się z ciekawą tezą: świadomość bezpieczeństwa wśród pracowników jest mitem. Przykład: wedle takiego podejścia trzeba by np. uczyć specjalistę ds. HR, by nie otwierał załączników z CV. Może rzeczywiście większa odpowiedzialność powinna spocząć na menedżerach IT, zarządach i dostawcach?

Rozmawialiśmy już na temat mechanizmów wykorzystania analityki Big Data i sztucznej inteligencji, jako sposobów na rozpoznawanie, że coś się stało. Zakładamy, że użytkownik nie zawsze sobie poradzi, musimy więc zastosować takie mechanizmy, które go w pewnym sensie zastąpią. W wielu przypadkach znajdzie to zastosowanie w przyszłości. Dostęp do urządzeń jest coraz bardziej powszechny, podobnie jak świadomość, że trzeba uważać na bezpieczeństwo. Pytanie tylko, co użytkownicy mają dokładnie zrobić? Zakleić kamerkę w laptopie? Teoretycznie średniej klasy haker jest w stanie przejąć ją i w efekcie podglądać, kiedy wychodzimy z domu, ustalać jakie mamy nawyki itd. Im więcej użytkowników będzie świadomych, tym mniej działy IT będą musiały się nimi zajmować.

Promujecie obecnie rozwiązania bezpieczeństwa zaimplementowane sprzętowo, na poziomie BIOS-u. Dlaczego miałoby się opłacać wdrożenie takiego zabezpieczenia?

Bardzo dużo ataków odbywa się w momencie rozruchu systemu. Dopiero po podniesieniu systemu i warstwy aplikacji uruchamiane są programy antywirusowe i inne aplikacje związane z bezpieczeństwem. Im bliżej będziemy początku procesu bootowania, im bliżej sprzętu, tym atak będzie trudniejszy. Nie będziemy oczywiście w stanie zapobiec mu na 100%, niemniej hakerowi będzie trudniej. Na koniec dnia wszystkie dyskusje o bezpieczeństwie wyglądają jak klasyczny wyścig policjantów i złodziei – kto jest o krok do przodu, kto nie nadąża. Chodzi o to, by sprowadzić zabezpieczenia jak najbliżej sprzętu, by zaczynały działać już w momencie, kiedy system jest uruchamiany. Rozwiązanie Intel Authenticate składuje wszystkie hasła w zaszyfrowanej pamięci, dostępnej z poziomu systemu. System działa jeszcze zanim komputer zostanie w pełni uruchomiony.

Intel jest w trakcie zmiany priorytetów, w związku z czym zapowiadali Państwo zwolnienia, o czym zdążyliśmy już pisać na łamach Computerworld. Zwolnionych miało być 11% załogi, tj. ok. 12 tys. osób. Jak to przekłada się na biznes Intela w Polsce?

Cały proces restrukturyzacji związany jest z optymalizacją i zmianą priorytetów. Wierzymy, że to centra obliczeniowe, chmura i Internet Rzeczy będą obszarami, gdzie będzie działo się najwięcej. Wiele naszych zasobów skupionych było dotąd na sprzęcie. Zmieniamy priorytety, by przesunąć profil w kierunku firmy, której technologie napędzają chmurę obliczeniową czy Internet Rzeczy. Przekierowujemy zasoby na rozwiązania dedykowane data center i IoT. Polska jest dla nas bardzo ważnym rynkiem – w Gdańsku zatrudniamy ponad 2 tys. inżynierów, i zatrudnienie to cały czas rośnie. Pracujące tam osoby zajmują się już szerokim spektrum rozwiązań, m. in. adresowanych do data center.

Prezentując wyniki raportu „Bezpieczeństwo IT w dużych firmach w Polsce 2016” powiedział Pan, że komputery to „tylko jedno z urządzeń podłączonych do Internetu”…

To jedno z urządzeń końcowych – pierwsze w Internecie Rzeczy. W pewnym sensie smartfon to także komputer. Proszę spojrzeć, jak zmieniły się komputery, jak zmieniły się notebooki. Pojawiły się takie urządzenia, jak compute stick – komputery wielkości klucza, które podpina się przez port HDMI do telewizora. Pojęcie komputera zmieniło się. Około 12 lat temu – albo i dawniej – Andy Grove, jeden ze współzałożycieli Intela, powiedział, że komputer jest urządzeniem darwinowskim. Sądzę, że miał rację. Mówił to w momencie, kiedy komputer był beżowym pudełkiem i dopiero pojawiały się pierwsze notebooki. A teraz mamy urządzenia typu All-In-One czy compute stick.