Szyfrowanie danych jako podstawa bezpieczeństwa

Pra­wi­dło­wo wdro­żo­ne szy­fro­wa­nie danych zapi­sa­nych w pamię­ci kom­pu­te­ra, ser­we­ra, smart­fo­nu, table­tu czy jakie­go­kol­wiek inne­go urzą­dze­nia sta­je się prak­tycz­nie nie­moż­li­wą do poko­na­nia barie­rą dla oso­by pró­bu­ją­cej uzy­skać nie­upraw­nio­ny dostęp do danych. Z moich obser­wa­cji wyni­ka, że czę­sto to pro­ste i nie gene­ru­ją­ce kosz­tów roz­wią­za­nie zapew­nia­ją­ce napraw­dę pod­sta­wo­wą ochro­nę prze­twa­rza­nych w przed­się­bior­stwie infor­ma­cji nie jest w ogó­le wdra­ża­ne. Co gor­sza, czę­sto przed­się­bior­cy kie­ru­ją się wia­rą, że zabez­pie­cze­nie sta­no­wi­ska robo­cze­go pra­cow­ni­ka poprzez hasło kon­ta użyt­kow­ni­ka jest wystar­cza­ją­cym roz­wią­za­niem. To bar­dzo poważ­ny błąd, któ­ry może nieść za sobą sze­reg kon­se­kwen­cji. Zna­ne podat­no­ści sys­te­mów z rodzi­ny Micro­soft poka­zu­ją, że hasło do kon­ta użyt­kow­ni­ka na typo­wym Win­dow­sie XP moż­na prze­ła­mać w cza­sie oko­ło minu­ty. Ale nawet takie posu­nię­cie nie jest koniecz­ne, gdyż dane zapi­sa­ne na nośni­ku i bez tego zabie­gu będą widocz­ne jak na dło­ni. Nato­miast prze­ła­ma­nie wolu­me­nu danych zaszy­fro­wa­nych w stan­dar­dzie AES dobrze spo­rzą­dzo­nym hasłem będzie trwać miliar­dy (to nie żart!) lat. A czas ten to i tak wer­sja opty­mi­stycz­na, któ­ra zakła­da nie­od­po­wied­nie zabez­pie­cze­nie mecha­ni­zmu wpro­wa­dza­nia hasła. Dopó­ki nie doj­dzie do prze­ła­ma­nia hasła, dane zaszy­fro­wa­ne będą dla poten­cjal­ne­go napast­ni­ka nie­czy­tel­ną siecz­ką przy­pad­ko­wych war­to­ści. I to jest wła­śnie naj­więk­sza zale­ta sto­so­wa­nia kryptografii.

Fir­mo­wa infra­struk­tu­ra śro­do­wi­ska prze­twa­rza­nia danych bez wdro­żo­nych odpo­wied­nich roz­wią­zań kryp­to­gra­ficz­nych jest po pro­stu podat­na na kom­pro­mi­ta­cję. I nie cho­dzi tutaj wca­le o to, że ktoś wła­mie się do sie­dzi­by Two­jej fir­my i ukrad­nie ser­wer czy dys­ki twar­de (wbrew pozo­rom takie sytu­acje się zda­rza­ją). Ale pomyśl o tym w kon­tek­ście sprzę­tu, któ­ry cza­sa­mi się psu­je i wyma­ga inge­ren­cji fachow­ca spo­za Two­jej fir­my. Pomyśl rów­nież o tym, co może się stać ze skra­dzio­nym lub zgu­bio­nym lap­to­pem, tele­fo­nem czy smart­fo­nem posia­da­ją­cym w pamię­ci choć­by wia­do­mo­ści z Two­jej fir­mo­wej pocz­ty…  Na nic zda­dzą się fir­my ochro­niar­skie, naj­lep­sze fire­wal­le i inne urzą­dze­nia sie­cio­we, w któ­re zain­we­sto­wa­ła Two­ja fir­ma by dbać o bez­pie­czeń­stwo, gdy każ­da zain­te­re­so­wa­na oso­ba będzie mogła odczy­tać prze­cho­wy­wa­ne na urzą­dze­niu dane.

Szy­fro­wa­nie wraż­li­wych danych w przed­się­bior­stwie to koniecz­ność, cho­ciaż­by ze wzglę­du na wpro­wa­dze­nie tzw. dobrych prak­tyk. Jeśli wyko­nu­jesz wol­ny zawód praw­ni­czy, w szcze­gól­no­ści jeśli jesteś adwo­ka­tem, to pamię­taj, że obo­wią­zek szy­fro­wa­nia danych wyni­ka wprost z Kodek­su Ety­ki Adwo­kac­kiej, a dokład­nie z § 19 ust. 5 („Adwo­kat posłu­gu­ją­cy się w pra­cy zawo­do­wej kom­pu­te­rem lub inny­mi środ­ka­mi elek­tro­nicz­ne­go utrwa­la­nia danych obo­wią­za­ny jest sto­so­wać opro­gra­mo­wa­nie i inne środ­ki zabez­pie­cza­ją­ce dane przed ich nie­po­wo­ła­nym ujaw­nie­niem.”). Obo­wią­zek szy­fro­wa­nia danych w kan­ce­la­rii adwo­kac­kiej jest więc ści­śle zwią­za­ny z tajem­ni­cą adwo­kac­ką. Tego, jakie kon­se­kwen­cje nie­sie­nie naru­sze­nie tajem­ni­cy adwo­kac­kiej, zarów­no celo­we jak i wyni­ka­ją­ce z zanie­cha­nia, tłu­ma­czyć chy­ba już nie muszę…

P.S.

Jeśli nadal nie wie­rzysz w sku­tecz­ność szy­fro­wa­nia, to poczy­taj pod tym lin­kiem o jed­nym z naj­now­szych wiru­sów typu ran­som­wa­re o nazwie Cryp­to­Loc­ker, któ­re­go dzia­ła­nie opie­ra się na… zaszy­fro­wa­niu pli­ków na dys­ku ofia­ry. Naj­więk­sze fir­my z bran­ży IT nie potra­fią obec­nie zna­leźć spo­so­bu pozwa­la­ją­ce­go na odszy­fro­wa­nie danych bez zapła­ce­nia oku­pu dla cyber­prze­stęp­ców (a ten wyno­si 300 euro!). Niech i to będzie dla Cie­bie potwier­dze­niem, że dobrze wdro­żo­ne szy­fro­wa­nie potę­gą jest i basta!