Welcome to ITBoard Sign in | Join | Help

August 2008 - Posts

Dupa “conspiratia globala” nici ca era mai potrivit un alt titlu de senzatie…

Ce inseamna de fapt FUD? Fear, Uncertainty, Doubt – este o tehnica de inducere a unei senzatii de nesiguranta, de influentare a perceptiei publice sau a clientilor prin raspandirea de informatii negative si vagi.

Unul dintre pionierii FUD se pare ca a fost chiar IBM, care a folosit aceasta tehnica in anii 70 pentru promovarea IBM PC. Ceva mai tarziu aceasta arma a fost folosita cu succes de Microsoft chiar impotriva IBM in situatia concurentei intre Windows 3.1 si OS/2. Microsoft s-a mai facut remarcata in domeniul FUD cu documentele “Halloween”.

Problema este ca aceasta tactica de marketing este in continuare folosita din plin de producatorii de software, mai ales de cei din domeniul securitatii IT. Am asistat chiar de curand cum un mare producator de software a apelat la FUD pentru a-si promova niste produse destinate zonei de securitate. Este interesant faptul ca tehnica este incununata de succes mai ales cand prezentarea se adreseaza zonei de management si managerii respectivi nu au prea multe cunostinte tehnice.

Un exemplu: specialistul in vanzari arata cum traficul prin retea poate fi interceptat de angajatii curiosi care vor sa afle salariul CxO - FUD; pentru a fi protejati recomanda sa cumpere modulul Y al aplicatiei X care cripteaza traficul prin retea (LAN) - FUD. Adevarul este ca cel putin jumatate din participantii la prezentare habar nu aveau principul de functionare al unui switch de retea…

Un alt exemplu: administratorii de baze de date isi baga mereu nasul prin tabelele ce contin salariile managerilor - FUD; un studiu a aratat ca peste 62% din angajati pleaca cu informatii confidentiale de la ultimul loc de munca - FUD; modulul Z al aplicatiei X ofera posibilitatea criptarii informatiilor dintr-o baza de date - FUD. Dar daca administratorul sau un alt rol are permisiunea de a citi acele inregistrari din baza de date, ce mai conteaza ca sunt criptate? Sau ce conteaza ca niste fisiere confidentiale sunt criptate pe server, daca angajatul are permisiunile necesare sa le citeasca? A, da, e bine sa fie criptate documentele confidentiale de pe un laptop care poate fi pierdut/furat sau de pe medii de stocare/backup care pot fi ratacite, dar criptarea informatiilor de pe servere, in majoritatea cazurilor, aduce reducerea performantelor fara o imbunatatire substantiala a securitatii. Inainte de a ne repezi la solutii de criptare a datelor existente pe servere ar fi bine sa avem un inventar si o clasificare a tuturor informatiilor si apoi sa stabilim cine si la ce informatii are nevoie de acces.

Cum poate fi combatuta tehnica de marketing FUD? Ar fi bine ca managerul sa aiba alaturi un analist tehnic; inainte sa se apuce de lansarea unui proiect sa adune o echipa de specialisti, de preferinta din interior, sa le descrie scopul proiectului si sa le ceara sa vina cu mai multe solutii. Prea des manageri IT fara prea multe cunostinte tehnice intr-un anumit domeniu musca momeala FUD si cumpara produse/solutii care nu le folosesc aproape la nimic…

Nu e deloc incurajator sa vezi ca librariile sunt inlocuite de sali de jocuri de noroc... As zice ca e un semn al "evolutiei" unui popor...

Legenda spune de ceva timp incoace cum ca aproximativ 80% din cazurile de scurgeri de informatii au ca sursa persoane rau intentionate din interior, angajati ai firmelor sau institutiilor de stat. Ei bine, se pare ca lucrurile nu mai stau chiar asa, desi un studiu al Secure Computing Corporation efectuat in martie 2008 la conferinta InfoSecurity Europe, pe un esantion de 103 directori IT, arata ca in continuare 80% din acestia considera amenintarea interna mai mare decat cea externa.

Da, scurgerile de informatii au in continuare ca principala sursa angajatii, dar nu neaparat cu intentie – studiile (pentru acces este necesara inregistrarea) Ponemon Institute releva ca pentru anul 2007, in USA, 49% dintre acestea se datoreaza laptop-urilor sau altor device-uri (PDA, USB storage, etc.) pierdute sau furate, fata de 36% in UK.

Se pare ca implementarea criptarii datelor a intervenit in majoritatea cazurilor DUPA ce firma/institutia a fost pusa in situatia neplacuta de pierdere a unor date confidentiale…

Legat de scurgerile  de informatii, m-am apucat de citit de curand The New School of Information Security, carte pe care o recomand celor interesati de securitatea IT. Un capitol este dedicat pierderilor de informatii (indiferent ca au ca sursa neglijenta sau o actiune rauvoitoare) si a posibilitatii de imbunatatire a securitatii in urma publicarii si detalierii circumstantelor in care s-au desfasurat acestor evenimente.