Bezpečná komunikace – případová studie

Úvod

Společnost Vzdálená plocha, s. r. o. se zabývá vzdálenou správou informačních technologií a systémů. Své služby poskytuje menším podnikům, pro které by bylo zbytečně nákladné podporovat vlastními zaměstnanci. Firma má kolem 40 zaměstnanců, z toho 5 administrativních pracovnic, které koordinují IT specialisty (vyřizují objednávky, fakturaci, objednávky náhradních dílů atd.), ředitele a jeho asistentku, obchodní zástupce, marketingového specialistu, účetní. IT specialistů je v podniku 30. Společnost je ve smluvním vztahu s firemními zákazníky, kteří si objednávají zásahy, rovněž figuruje v mnohých „Zlatých stránkách“ a jiných firemních katalozích, kde nabízí servisní zásahy z případě problému s HW či SW firmám i jednotlivcům.

Ve firmě je již vybudovaná výpočetní infrastruktura. Firma má interní počítačovou síť zabezpečenou firewallem a pracovní stanice pro všechny zaměstnance. Všechny stanice mají operační systém Windows XP Professional. Jako e-mailový klient se ve firmě používá MS Outlook Express, e-mailové účty pro zaměstnance jsou od externího poskytovatele a zaměstnanci mají přístup do schránek zřízen přes IMAP. Od stejného poskytovatele mají přístup v kanceláři na internet. Ředitel firmy, obchodní zástupce a marketingový pracovník mají navíc mobilní telefony s tarifem, který umožňuje připojení generace 3G. Všichni zaměstnanci mají celodenně možný přístup do svých e-mailových schránek.

Komunikace ve firmě probíhá interně mezi ředitelem a asistentkou, mezi obchodníky, ředitelem, účetními a asistentkami a rovněž spolu komunikují administrativní pracovnice a technici, a to telefonicky a prostřednictvím e-mailů. Dále probíhá komunikace externě mezi všemi pracovníky a smluvními partnery – zákazníky. Specialisté navíc provádějí zásahy pomocí služby „vzdálená plocha“, Norton Host a pod. Dalšími externími subjekty komunikace jsou státní správa (finanční a živnostenský úřad, zdravotní a sociální pojišťovny a další) a dodavatelé (HW a SW, kancelářské potřeby, leasingová společnost, pojišťovny a služby poskytující pronájem podnikatelských prostor).

Problém

Značná část komunikace v rámci firmy i s externími partnery probíhá po e-mailu. Firmě jsou služby související s elektronickou komunikací poskytovány třetí stranou, navíc tento poskytovatel negarantuje bezpečnost ani soukromí. Hlavním problémem je skutečnost, že privátní data obsahující obchodní informace jak o firmě tak i jejích klientech putují v otevřené formě jak internetem, tak zůstávají na nezabezpečených serverech, což je nežádoucí.

Řešení

S partnery, u kterých dochází k výměně elektronické pošty obsahující citlivé informace byl vyjednán způsob šifrování inkriminovaných zpráv. Byly zabezpečeny zprávy přenášené mezi jednotlivými zaměstnanci i komunikace administrativních složek s okolím firmy – zákazníky, partnery a dodavateli.

Zabezpečení elektronické komunikace bylo dosaženo pomocí standardních postupů ochrany: zavedením používání elektronického podepisování a šifrování přenášených informací. Pro ředitele firmy byl vygenerován kvalifikovaný certifikát, pro ostatní bylo vytvořeno 40 zaměstnaneckých certifikátů. Všechny certifikáty byly ověřeny certifikační autoritou První certifikační autorita, a. s.[*]

Certifikáty byly doporučeny i ostatním z okolí firmy, kteří se chtěli účastnit bezpečné výměny informací.

E-mailový klient používaný ve firmě již podporuje elektronické podepisování a asymetrické šifrování zasílaných zpráv. Certifikáty tedy byly distribuovány na všechny pracovní stanice. Bylo provedeno školení všech zaměstnanců, jak pracovat s nově zabezpečenou elektronickou poštou. Účast na školení byla nabídnuta všem externím spolupracovníkům, se kterými firma komunikuje. Pravidla bezpečné komunikace byla zapracována do firemních standardů a bezpečnostní politiky.

Řešení pomocí certifikátů bylo v hodné pro případ, že externí účastníci komunikace byli ochotni akceptovat bezpečnostní pravidla firmy. Pokud druhá strana odmítla certifikáty pořídit, zvolila firma Vzdálená plocha řešení pomocí šifrování odesílaných souborů. Tento postup se osvědčil i v případech, kdy komunikace proběhne pravděpodobně pouze jednorázově.

Pro tyto případy naši konzultanti doporučili využít systému šifrování souborů, které je podporováno funkcionalitou operačního systému MS Windows XP Professional, který je ve firmě používán. Tak byly sdílené soubory chráněné heslem, které je předáváno druhé straně jiným komunikačním kanálem, například telefonicky, prostřednictvím SMS nebo osobně.

Hodnocení řešení

Společnost ocenila bezpečný a „oficiální“ kanál pro komunikaci se státní správou. Administrativa je již  unavená neustálým pobíháním od úřadu na úřad (např. pravidelné odvádění DPH atd.) pomocí kvalifikovaného certifikátu pro jednatele společnosti. Při komunikaci se státní správou je kvalifikovaný certifikát akceptován jako dostatečná záruka. Je tedy možné finanční výkazy atd. odesílat elektronickou poštou a odpadají osobní návštěvy na úřadech. Jednotliví zaměstnanci pak vlastní každý po svém certifikátu, který zaručuje pravost odesílatele, a je možné ho využít k šifrováni elektronické pošty.

Dále bylo kladně hodnoceno využití stávající infrastruktury IT a SW, především snadnost instalace a použití certifikátů a šifrování souborů a vysoká úroveň zabezpečení sdílených dat. Navíc je jednoznačně identifikován každý jednotlivý odesílatel sdílených informací.

Jako potenciální riziko firma uvedla administrativní náročnost postupu při fluktuaci zaměstnanců a možnou chybu lidského faktoru při nedodržení firemních standardů.

[*] http://www.ica.cz/home_cs/