13. nädal: Andmeturveː tehnoloogia, koolitus ja reeglid

Seekord tuli uurida ja kirjutada IT-turvariskidest ning kirjutada mida tuleks „Mitnicki valemi“ komponentidega riskide maandamiseks ette võtta.

IT-turvariskina vaatleks siinkohal igasugu äppe, mida telefoni/tahvelarvutisse lihtsalt installeerida saab. Kui tasuliste äppide korral inimesed veel mõtlevad kas neil seda vaja on siis tasuta äppide puhul on kiusatus installide ja proovida suur. Äppid küsivad aina enam ligipääsu igasugustele telefoniga seotud rakendustele (kaamera, kontaktid, kalender, SMS, telefon, e-mail jms). Nutiseadmete kasutuse kohta Eestis  on tehtud uuring 2014 aastal. Uuringus on kirjutatud (1)

„ ..enamik (76%) Eesti üle 15– aastastest nutiseadmeid kasutavast elanikkonnast loeb alati õigusi, mida rakendus installeerimisel küsib. Rahvusvahelised uuringud näitavad samas, et inimesed ei saa täpselt aru, mida erinevad õigused tegelikult tähendavad ja millistele andmetele juurdepääsu soovivad (Kelley jt. 2012; Felt jt., 2012). Käesolev uuring ei andnud hetkel kahjuks ülevaadet selle kohta, kas kasutajad ka tegelikult aru saavad, millistele andmetele rakendused ligipääsu soovivad ning kuidas neid andmeid hiljem kasutama hakatakse. See peaks olema edasiste (kvalitatiivsete) uuringute teemaks. „

Ehk siis ca veerand inimestest isegi ei vaata mis õigusi nad äppi loojatele annavad ja nähtavasti enamik kes ka loeb ei saa aru, millele tegelikult ligipääs antakse. Äppi katsetada tundub aga ahvatlev (eriti kui telefon satub mõne lapse kätte kes mingit ägedat mängu katsetada soovib). Mõnedel andmetel (2) ei pea 45% kastajatest oma nutiseadme kaitsmist oluliseks.

Huvitav kas need inimesed ei lukusta ka autot ja eluaset. Auto puhul pigem jätavad võtmed ka ette ja hoolitsevad, et paak ka ikka täis oleks, et kurjategijad muretult võimalikult lihtsalt ja kaugele ära sõita saaks, tõenäoliselt on autos ka pangakaart kuhu PIN markeriga peale kirjutatud juhuks kui vajadus lisakütust osta või lihtsalt veidi raha võtta.  Eluaseme puhul ka nähtavasti mõned kutsumata võõrad üllatust ei valmista – seltsis pigem lõbusam. Häda on majas nähtavasti siis kui auto ongi läinud ja eluaseme uued kasutajad on lukud ära vahetanud, väärtuslikum kraam kadunud ja uusasunikud ei kipu enam endist omanikku sisse laskma või soovivad selle eest kopsakat rahasummat.

Mida siis Mitnicku valemi järgi tegema peaks.

Tehnoloogia poole pealt, oleks nähtavasti soovitused, et operatsioonisüsteem oleks uuendatud ja nutiseade kaitstud viirusetõrjetega ning uute rakenduste installeerimisel oleks vaja ka parooli sisestada (ja parool peaks olema ka tugev). Järgmise asjana oleks vaja olla veendunud, et uut rakendust on ikkagi vaja installeerida (kes selle taga on ja mida võidakse andmetega teha, kas järgmine kord kui uuendust teha on ikka sama seltskond rakenduse taga ja mis ohud uuendustega kaasneda võivad) ja see leiab ka kasutust.

Koolituse poole pealt, peaks aegajalt lugema, millised ohud nutiseadmete maailmas aktuaalsed on ja kuidas nende vastu ennast kaitsta. Samas tavakasutaja puhul, kes tehnoloogia ja sellega kaasnevate ohtude vastu suurt huvi ei tunne on seda palju oodata. Aga võib olla on mõni sõber, kes asjadega kursis aitab olla. Abiks on ka telekomiettevõtete kodulehed.

Reeglid peaks olema lihtsad ja täidetavad. Võttes aluseks õppematerjalides olevad soovitused tavainimesele võiks need olla: 1) kasuta paroole ja ka vaheta neid teatud aja tagant, seejuures kasuta erinevates kohtades erinevaid paroole, 2) uuenda tarkvara ja veendu, et uuendused ei kahjusta kasutaja huve; 3) kustuta rakendused mida kaua aega ei ole kasutanud üldse ära (kui ei ole rakendust kasutanud juba mitmeid kuid siis nähtavasti ei kasuta seda enam ka tulevikus) 4) ära ava suvalisi e-kirju ja seal olevaid manuseid või kliki kahtlastel reklaamidel.

Mitnicku valemit võiks iseenesest täiendada veel sellega, et näiteks kui hinnata nutiseadmete turvalisust siis iga rakendus on ohu allikas ehk siis rakenduste puhul ei peaks hindama mitte rakenduste keskmist turvalisust vaid nende korrutist (kui rakenduste turvalisuse tase oleks sama siis saaks kasutada lihtsalt astendamist) ehk siis kui on 10 rakendust, mille turvalisust null kuni üks skaalal hinnata eraldi vaadates 0,99-ga siis kokkuvõttes oleks turvalisuse tase ca 0,9. Mida rohkem on kahtlasi rakendusi seda suuremaks risk läheb ehk kui usin inimene on näiteks installinud 20 rakendust, mille üksik hinne turvalisusele oleks 0.95, siis kokkuvõttes oleks turvalisusindeks (jättes koolituse ja reeglite koefitsiendid arvestamata) aga vaid ca 0,36 ehk päris suure tõenäosusega on varem või hiljem probleemid majas (nutitelefoni puhul siis taskus) - tark-mees-taskus asemel võib hoopis oodatust palju suurem kratt taskus olla.

Allikad:

1.    TNS Emor, “Nutiseadmete kasutajate turvateadlikkuse ja turvalise käitumise uuring“, Riigi Infosüsteemide Amet, 05.12.2014, (https://www.ria.ee/public/Programm/Nutiseadmete_kasutajate_turvateadlikkuse_ja_turvalise_kaitumise_uuring_ARUANNE_2014_LUHI2.pdf)

2.    Ronald Liive, „Kohtlane Nuti-Mati õpetab 120 000 eurot maksnud kampaanias netiturvalisust“, Geenius, 03.10.2016https://geenius.ee/uudis/kohtlane-nuti-mati-opetab-120-000-eurot-maksnud-kampaanias-netiturvalisust/