Autorem odborného článku k hlavnímu tématu je Tomáš Přibyl, externí redaktor.

Byť si to mnohdy neuvědomujeme, šifrování používáme dnes a denně. Třeba v GSM telefonech, v internetovém bankovnictví, v přijímači satelitní televize… Jenomže často ho pak nepoužíváme tam, kde bychom měli.

Hardware se vesele ztrácí

Aneb jen na největším letišti na světě, v americké Atlantě, se každý rok ztratí, je zapomenuto nebo odcizeno, 7000 mobilních zařízení (flash disky, mobilní telefony či notebooku). Opakujeme: jde o jediné letiště a jediný rok!

Neradostné jsou i statistiky, které hovoří, že během tříleté životnosti má notebook v sektoru školství šanci více než deset procent, že bude „ztracen“ – nejlépe na tom je notebook ve finančním sektoru, který má šanci na ztrátu jen něco málo přes pět procent. Což ovšem znamená, že tento osud postihne každý dvacátý stroj...

Přitom nejcennějším v daném případě nebývá hardware, ale data na zařízení obsažená. Obecně se počítá s tím, že hodnota dat převyšuje hodnotu svého úložiště zhruba padesátinásobně! Jsou k dispozici i data pro Českou republiku (na základě průzkumu společnosti Intel): naše firmy si jeden incident cení na 271 tisíc Kč, z toho na ztracená data mají hodnotu 181 tisíc Kč.

Jedna otázka přitom je, abychom o data v případě „zmizení“ hardware nepřišli. To řeší správně nastavená politika zálohování. Zásadnější otázkou ovšem je, jak zajistit, aby data neskončila v nepovolaných rukách. Tato otázka nabývá na důležitosti ve chvíli, kdy dramaticky roste průmyslová špionáž – a kdy cílené útoky na mobilní datová zařízení rostou jako houby po dešti.

Něco málo dokáže ošetřit autorizace a kontrola přístupu, ale obecně platí, že jedinou skutečně použitelnou a využitelnou technologií v dnešním světě je šifrování.

Také „vnitřní nepřítel“

Nejde ale jen o hardware „na cestách“. Problémem celé informační bezpečnosti je, že se zaměřuje především na ochranu proti externím útokům. Do této oblasti směřují bezpečnostní politiky, nákupy technologií... A ostatní aspekty jsou pohříchu často přehlížené.

Nejčastějším důvodem problémů s daty je totiž právě interní hrozba (nezodpovědný či pomstychtivý zaměstnanec, chyba systému aj.). Z tohoto plyne jednoznačné poučení: na bezpečnost dat je zapotřebí dívat se s větším nadhledem a především po dobu celého životního cyklu. Tedy od pořízení přes používání včetně zálohování až po archivaci.

Navíc si musíme uvědomit, že stoprocentní bezpečnosti nikdy nedosáhneme, takže je rozhodně lepší se na možný incident připravit než slepě spoléhat na štěstí a/nebo náhodu.

Jistota jménem šifrování

Jak už jsme uvedli výše, šifrování je nejjednodušším (a kupodivu i nejúčinnějším) způsobem ochrany dat. Fyzickou bezpečnost nikdy nezajistíme tak, jak bychom potřebovali – stejně tak bezpečnostní politiku nikdy nevynutíme na sto procent. Navíc stará bezpečnostní poučka praví, že „pravděpodobnost vyzrazení tajemství roste s počtem osob, které tajemství sdílejí“.

Přitom při současných výkonech a kapacitách počítačů odpadají dřívější nevýhody šifrování. Ještě před několika lety bylo on-line šifrování noční můrou a zálohování velkých zašifrovaných souborů kvůli nepropustným linkám nelidsky pomalé. Dnes je ale situace zcela jiná a to, co před lety platilo, v současnosti slouží maximálně jako výmluva. Pro velké objemy dat jsou k dispozici specializovaná hardwarová zařízení, která dokážou zajišťovat šifrování se zanedbatelnou prodlevou. Investice do nich se bez diskuse vyplatí.

Kvalitní šifrovací politika je přitom otázkou nejen technickou, ale také obchodním a marketingovým nástrojem. Dává zákazníkům a klientům jistotu, že jejich data jsou v bezpečí.

Jak na šifrování?

Šifrování není nic mimořádně složitého, nákladného nebo náročného – na druhé straně ho ale není dobré zjednodušovat a aplikovat stylem „dnes se rozhodneme, zítra šifrujeme“. Před implementací musíme provést analýzu potřeb a nasazení, aby výsledek měl co nejmenší dopad na běh organizace.

Dá se říci, že je zapotřebí postupovat stejně jako v případě nasazení jiných bezpečnostních prvků. Nejprve je nutné stanovit aktiva – tedy co vlastně budeme šifrovat. Protože šifrovat všechno je zbytečné, nepotřebné a nepohodlné. Potvrdí vám to třeba grafik, který běžně pracuje s obřími soubory, kde by šifrování veškerých dat jeho práci nesmírně prodloužilo. Je dobré stanovit jen určitý okruh chráněných dat a zde být důsledný.

Jakmile víme, CO potřebujeme chránit, můžeme se rozhodnout, JAK to budeme chránit. Čili vybereme si nejvhodnější metodiku ochrany dat a nakládání s nimi (včetně třeba předpisů, které budou zapovídat určitá data byť v šifrované podobě vynášet z organizace nebo které stanoví, že majitelé notebooku budou smět na svých přístrojích uchovávat jen nezbytně nutné minimum dat potřebné k práci).

A až úplně na závěr si vybereme nejvhodnější software, který přesně reflektuje naše požadavky. Jistě, lze postupovat i jinak: nejprve vybrat software a následně dle jeho možností stanovit nejvhodnější metodiku (třeba v případě, že software je již zakoupený nebo je součástí nějakého balíčku, který již používáme). Ale vždy je lepší stanovit si podmínky a ze široké nabídky na trhu vybrat nejvhodnější aplikaci – než se snažit upravit stávající systém dle možností příslušné aplikace. Ostatně, čím menší zásahy do systému bude nutné provést, tím jednodušší bude nasazení šifrování v praxi i jeho přijetí uživateli či managementem.