Snaha o zlepšenie bezpečnosti, ktorá nevyšla

Kto si to sám neskúsil, nemusí uveriť, že zaistiť informačnú bezpečnosť a ochranu osobných údajov v čo len troche väčšej organizácií nie je vôbec jednoduché. Nedávno medializovaný prípad z Veľkej Británie pekne ilustruje viaceré úskalia, ktorým je pri tom potrebné čeliť …

Príbeh začal v októbri 2011 bezpečnostným incidentom v jednej z britských väzníc, patriacich pod ministerstvo spravodlivosti – stratou nezašifrovaných prenosných diskov so záložnými kópiami údajov o cca 16 000 väzňoch. Následne ministerstvo zistilo, že obdobne zálohujú údaje v ďalších väzniciach pod jeho správou a tak v rámci reakcie na incident v máji 2012 zabezpečilo 75 väzniciam v Anglicku a Walese prenosné disky umožňujúce šifrovanie uložených údajov a nariadilo ich používanie na zálohovanie údajov. Po pár mesiacoch (v septembri 2012) ešte nasledovala kontrola, či toto opatrenie bolo naozaj realizované. Napohľad ukážková reakcia na bezpečnostný incident.

Prešiel rok a v inej väznici (v jednej z tých 75 väzníc spomenutých vyššie) sa vyskytol v podstate rovnaký bezpečnostný incident … jedného dňa zistili, že prenosný disk na týždenné zálohovanie údajov nebol uložený do vyhradeného trezoru, ako to predpisovala príslušná procedúra. Čo je ešte horšie, nenašiel sa ani po dôkladnej dvojdňovej prehliadke celej budovy. Teoreticky bolo všetko ešte OK, veď zašifrovanie disku malo poskytnúť dodatočnú ochranu pre takéto prípady a práve preto boli tie disky zakúpené a nasadené do prevádzky.

Čoskoro však ministerstvo zistilo (informácie z médií neuvádzajú, ako sa na to prišlo), že onen disk vyžadoval, aby bola funkcia šifrovania manuálne aktivovaná – a to nikto neurobil. Čo je horšie, platilo to aj pre ostatné väznice, ktoré boli týmto typom disku vybavené – dodávateľ diskov tú funkciu neaktivoval, ministerstvo nevydalo pokyn, aby sa to urobilo … Kontrola realizácie nápravného opatrenia sa zas uspokojila so zistením, že disky boli dodané a nainštalované a nešla do takých detailov, že by overovala, či bolo aktivované ich šifrovanie.

Suma sumárum, vynaložené úsilie vyšlo nazmar. Postup ministerstva bol pritom v zásade správny, problém bol v detailoch realizácie (prehliadnutie skutočnosti, že požadovanú bezpečnostnú funkciu bolo potrebné výslovne aktivovať, spoľahnutie sa na to, že to urobí dodávateľ, …). Výsledok nebol príjemný – britský ekvivalent nášho Úradu na ochranu osobných údajov si síce dal načas, ale po roku “ocenil” výsledok úsilia ministerstva i bezpečnostný incident pokutou 180 000 libier.

Jozef