'Večina zlorab se začne iz zabave'

Hekerji v sisteme vdirajo iz različnih motivov. Lahko gre za okoriščanje z vdorom, za dokazovanje samega sebe ali pa tudi za politično dejanje (cyber war ali internetni terorizem).

Tudi na policiji pravijo, da se večina internetnih zlorab začne iz zabave, vendar je kaznivo, če gre za vdor v poslovni informacijski sistem, napad na informacijski sistem, zlorabo osebnih podatkov ali veliko tatvino, če gre za krajo denarja. Za napad na informacijski sistem je zagrožena kazen do dveh let, če pa gre z vdorom za materialno okoriščanje,  pa do petih let zapora.

Vdor v aplikacijo ali pridobitev gesla

Hekerji v informacijske sisteme najpogosteje vdirajo s pridobitvijo uporabnikovega gesla (phishing) ali pa najdejo kakšno napako v aplikaciji oziroma onesposobijo varnostni sistem.

Hekerji, ki želijo vdreti v sistem, običajno poiščejo neko ranljivost aplikacije, preko katere potem lahko dostopajo do različnih podatkov, je povedal Andrej Rant iz podjetja Prorang, ki se ukvarja z varnostjo informacijskih sistemov. V izobraževalne namene obstaja veliko forumov, kjer najrazličnejši uporabniki objavljajo ranljivosti aplikacij. S tem opozarjajo ustvarjalce, da jih izboljšajo.

Kraja gesel (phishing) lahko poteka prek lažnih spletnih strani, ki od vas zahtevajo gesla, lahko pa hekerji poskušajo tudi ugotoviti vaše geslo. Kot je znano, ima namreč večina uporabnikov spletna gesla, ki so povezana z njimi (rojstni datum, hišna številka ipd.)

Blackhat se imenujejo hekerji, ki se poskusijo okoristiti z vdori. Whitehat pa hackerji, ki to počnejo v raziskovalne namene, da bi izboljšali aplikacijo, lahko pa jih najamejo tudi podjetja, ki želijo preveriti, ali je sistem varen.

Policijske evidence niso povezane z zunanjim spletom

Na policiji pravijo, da imajo za zaščito podatkovnih baz zgrajen kompleksen sistem varovanja. Policijske evidence se nahajajo na centralnem računalniku in niso dostopne prek spleta. Dostop do podatkov v teh evidencah pa je varovan s sistemom, ki preveri indetiteto uporabnika in njegovo upravičenost za dostop do podatkov. Za dostop je treba imeti ustrezno avtorizacijo, ki jo pisno dodeli predstojnik oddelka. Vsi dostopi do podatkov v evidencah pa se izvajajo s transakcijami, brez direktnega dostopa do podatkovnih baz. Vsi dostopi se zapisujejo v dnevnik centralnega računalnika. S poskusi vdora v informacijski sistem se na policiji občasno srečujejo, vendar jim jih je do zdaj uspelo preprečiti.

MORS: Za prenos podatkov uporabljamo šifrirni sistem

Tudi v vojski imajo podatke shranjene v komunikacijsko-informacijskem sistemu, ki ni povezan z zunanjimi sistemi. Prenos podatkov zunaj varovanih območij pa je zaščiten s šifrirnim sistemom, zato vdori od zunaj niso mogoči, pravijo na MORS.

Pred notranjimi vdori pa podatke ščitijo z dodelanim sistemom dodeljevanja pravic in z zaščitnimi mehanizmi v računalniških omrežjih.

Durs: Vdora v računalniški sistem še nismo zabeležili

Tudi na Dursu imajo sistem podatkov ločen od zunanjega sistema eDavki, do katerega imajo dostop zunanji uporabniki. "Na vseh nivojih (pristopnem, aplikacijskem in podatkovnem) so kapacitete pomnožene, tako da nimamo na nobenem nivoju ene točke odpovedi sistema,“ pravijo še na Dursu. Kot pravijo, so davčni podatki zelo občutljivi podatki, zato se na vseh sistemih beležijo dostopi oziroma vpogledi v podatke davčnih zavezancev.

V MJU opravljajo poskuse vdorov v sistem

Kot pravijo na ministrstvu za javno upravo, v računalniško omrežje vgrajujejo vse potrebne varnostne naprave, ki preprečujejo ali zaznavajo vdore in preprečujejo zlonamerne programske kode. Hkrati pa imajo tudi posebno službo, ki nadzira delovanje informacijsko-komunikacijske infrastrukture, na ministrstvu pa opravljajo tudi t. i. teste vdora. Ministrstvo sodeluje tudi pri načrtovanju sistemov v javni upravi. Dostop do informacijskih sistemov, ki zbirajo, obravnavajo ali obdelujejo, naj bi imeli le pooblaščeni delavci. Poskuse vdorov sicer zaznavajo dnevno, najpogosteje gre pri tem za znane metode tipanja informacijskih sistemov, na katere pa se sistem, po zagotovilu ministrstva, ne odziva. Pravijo, da so sistemi varni, morebitne težave pa odpravljene v najkrajšem možnem času. Poskusov vdora, ki bi predstavljali posebnjo grožnjo sistemom, pa še niso zaznali.

Največ se na MJU pojavlja nezaželene pošte, nekaj pa je bilo tudi poskusov phishinga. Na minsitrstvu so naročili tudi poskus DoS napada, kjer so ugotavljali možnost ukrepanja v sodelovanju z ARNESom v takšnih primerih. Primera zlorabe osebnih podatkov na MJU še niso odkrili.

Zdravstvo: Ministrstvo uvaja nov centralni informacijski sistem

Posamezni izvajalci zdravstvene dejavnosti, Inštitut za varovanje zdravje (IVZ) in Zavod za zdravstveno zavarovanje Slovenije (ZZZS) imajo svojo varnostno politiko, pravijo na ministrstvu za zdravje. Na ministrstvu si prizadevajo, da bi varnostno politiko čim prej poenotili in stopnjo varnosti osebnih podatkov uskladili z veljavnimi standardi. V ta namen so začeli projekt eZdravje. S tem projektom bodo ves zdravstveni informacijski sistem združili na enem mestu.

V ZZZS pravijo, da je zavod dnevno izpostavljen različnim nepooblaščenim poskusom vdorov, predvsem gre za nezaželeno elektronsko pošto. Kot so povedali pa tudi vseskozi preverjajo in nadgrajujejo programsko opremo.

IP: Pred notranjimi zlorabami je najslabše zaščiteno zdravstvo

V Uradu informacijskega pooblaščenca se ukvarjajo le z notranjo zlorabo informacij. To pomeni, da nekdo od zaposlenih nepooblaščeno dostopa do različnih podatkov. Najpogosteje sicer iz radovednosti, lahko pa gre tudi za okoriščanje s podatki. Ugotovitve inšpekcijskih pregledov informacijskega pooblaščenca so pokazale, da je z vidika zagotavljanja sledljivosti dobro stanje na policiji in vojski. Na policiji ukrepe za zagotavljanje sledljivosti kombinirajo z ustreznim in učinkovitim internim nadzorom. V sektorju obrambe pa pooblaščenec do zdaj ni odkril pomembnejših kršitev, ministrstvo pa je dobilo tudi nagrado za najbolj dovršen sistem varovanja dostopa do osebnih podatkov.

Po opravljenih inšpekcijskih pregledih v sektorju zdravstva pa je pooblaščenec ugotovil, da je stanje na področju zavarovanja osebnih podatkov zelo pomanjkljivo. "Pogosto naletimo ne le na nezagotavljanje sledljivosti obdelave, temveč tudi na odsotnost urejenih in dokumentiranih dostopnih pravic, posledično pa je praktično nemogoče odkriti odgovorne za posamezne kršitve varstva osebnih podatkov.“ To pomeni, da lahko kdor koli dostopa do osebnih zdravstvenih podatkov. V Uradu informacijskega pooblaščenca zato pravijo, da se v tem sektorju "zelo izrazito kaže potreba po sistematičnem in celovitem pristopu varovanja podatkov".