Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den Computerworld d. 30. maj 2003.
SIKKERHED: De fleste virksomheder håndterer serversikkerheden i relation til de ansatte ens: Man stoler på folk og
sørger for at begrænse antallet af ansatte med adgang til
serverrum og netværk.
Det handler om at se sine ansatte rigtigt an - især dem, der skal udstyres med nøglekort til serverrummet.
I børnehaver er det i dag normalt at undersøge, om en ansøger har et generalieblad hos politiet, der gør ham eller hende uegnet til at arbejde med børn. En lignende kontrol foretager virksomhederne ikke, inden de lukker nye folk ind i deres allerhelligste. Børns velfærd er selvfølgelig vigtigere end en serverparks, men den økonomiske konsekvens ved et servernedbrud kan ikke desto mindre være fatalt for en virksomhed.
Vi har spurgt en række virksomheder om, hvordan de håndterer sikkerheden i forhold til den menneskelige faktor. Det korte svar er: Få ansatte med adgang, nøglekort og koder - resten af sikkerheden bygger på tillid til, at de ansatte lever op til de sikkerhedsklausuler, der er indgået i kontrakten.
Vi er ikke paranoide, men..
- En virksomhed som Jubii kan overleve med fejl til en vis grænse, men når virksomheden har nået en vis grad af modenhed, så går den ikke længere. Derfor skal sikkerheden tages meget seriøst, siger Jubiis Martin Thorborg.
Tre personer har med elektronisk adgangskontrol fysisk adgang til Jubiis servere, der befinder sig i to separate rum med brandsikring, halon-anlæg og backup. Princippet er ren "need to know". De, som har adgang, er stærkt betroede medarbejdere.
- Vi er ikke paranoide, men man kan jo komme til at lave en fejl, så derfor kan alle ikke bare gå ind på serveren. Det er noget andet i vores Testing Environment, men når noget først er sat i produktion, er adgangen meget begrænset, siger Martin Thorborg, som har titel af underholdningschef i Lycos, der i dag ejer Jubii.
- Vi tjekker selvfølgelig folk, når vi ansætter dem, men it-branchen i Danmark er ikke så stor, og vi ansætter typisk folk, vi kender. Hvis der kommer en eller anden fra Novo Nordisk, hvor han har smadret det hele, så vil vi vide det. Men vi er heldige, vi får ansøgninger fra nogle af de bedste, og vi har aldrig været ude for at have et decideret sikkerhedsproblem.
Billedtekst:
Når børnehaven skal have ny medarbejder,
bliver ansøgeren tjekket: Er der pletter på generaliebladet, der gør, at kandidaten udgør en sikkerhedsrisiko? Sådan går it-afdelingerne ikke til værks. De forlader sig på underskriften på en fortrolighedsklausul og på at være
menneskekender nok til at ansætte de rigtige.
Det gælder om at holde øje med sit netværk hele tiden, siger Martin Thorborg og giver et eksempel på, hvordan det kan gå:
- Vi havde en demo af et Spiderman-spil liggende på vores servere. Det fyldte omkring 150 MB. Det var en helt legal demo, men en eller anden amerikansk fyr på nettet troede, at det var en cracket version og linkede til det på sit eget hacker-crackersite. På det tidspunkt var der ingen limit på vores download, og det var først da vores netværk begyndte at køre langsomt, vi opdagede, at demo'en var blevet downloadet 350.000 gange. Terrabyte af data! Det kostede os nogle penge. Det var jo ikke, fordi vores ansatte, som lagde demo'en ud, havde gjort noget forkert eller handlet i ond hensigt. Det viser bare, at man hele tiden skal tænke sig om. Nu har vi konfigureret systemet, så det ikke kan ske igen, siger Martin Thorborg.
Retningslinier fra München
Også hos Siemens er serverrummet svært tilgængeligt. Hvis der skal konsulenter ind og assistere, skal de udfylde en bestemt formular. Og i forbindelse med fremvisninger holdes de besøgende under konstant opsyn. I medarbejdernes kontrakter har de underskrevet de sædvanlige klausuler om tavshedspligt og loyal omgang med virksomhedens data.
- Det er kun bestemte personer, som har adgang til serverrummet, og de er udstyret med sikkerhedskoder. Siemens har flere faciliteter og flere firmaer. Her i vores afdeling kører vi driften af den administrative og interne it, men i Siemens Business Service, hvor de betjener eksterne kunder, er sikkerheden endnu højere, siger Steen Rehøj, it-direktør.
Siemens tjekker ikke ansøgernes baggrund nøjere, end man kan forvente andre steder, men lever på it-sikkerhedsområdet op til de retningslinier, som udstikkes fra centralt hold i München. De ansattes e-mails overvåges ikke systematisk, men der er spamfilter på mailserveren, og de ansatte har underskrevet en firmapolitik angående brug af virksomhedens it-systemer.
- Det kan blive problematisk for en ansat, hvis han eller hun fanges på det forkerte ben i den sammenhæng, siger Steen Rehøj.
Føler Siemens sig sikker?
- Njae, for en it-mand som mig er sikkerhed et relativt begreb, men jeg tror, at de kvalitetskrav, vi har i forbindelse med vores forskning, gennemsyrer virksomheden og sætter et ret højt sikkerhedsniveau, siger Steen Rehøj.
Hos Jobindex, der er landets største online-jobdatabase, går sikkerhedspolitikken først og fremmest ud på, at ingen medarbejdere har adgang til andre systemer end dem, de har brug. Det er kun medarbejderne i udviklingsafdelingen, der har adgang til at logge ind på serverne og dermed til at se identiteten på de folk, der lægger deres cv'er ind i Jobindex' cv-database. Og når der logges direkte ind på serveren, foregår det krypteret, så passwords ikke bliver opsnappet.
Rent fysisk står Jobindex-serveren i Tele2's serverpark i Valby i anonyme lokaler beskyttet af adgangskort og adgangskode. Derudover tager Jobindex backup fra to forskellige lokationer.
Logfilerne overvåges for mistænkelig aktivitet, der kunne tyde på hackerangreb, men ud over de sædvanlige portscanninger har Jobindex i dens syv år lange historie aldrig været udsat for hackerangreb.
Stoler på medarbejderne
- Det er også min erfaring fra andre websites, at de fleste sikkerhedsbrist sker på grund af menneskelige fejl og ikke på grund af hackere. Til gengæld foretager vi ikke noget baggrundstjek af de medarbejdere, vi ansætter ud over det normale tjek, vi altid foretager. Vi stoler på vores medarbejdere, og det, tror jeg, er meget typisk. Jeg har selv arbejdet som konsulent i Sparekassernes Data Center, uden der blev foretaget nogen form for baggrundscheck. Jeg fik dog heller ikke adgang til følsomme data af nogen art, siger Jobindexs skaber og leder Kaare Danielsen.
Han forklarer, at der heller ikke er noget sikkerhedssystem, der skal sikre mod, at de ansatte for eksempel laver en softwarebug, der kompromitterer sikkerheden i systemet.
- Vi stoler på, at vores programmører er dygtige og ved, hvad de gør. Og ja, det betyder, at vi er sårbare både over for softwarefejl og eventuelle ondsindede medarbejdere, men det er en risiko, vi har valgt at leve med. Vi gør, hvad vi kan for at sikre vores servere og vores data, men 100 procent sikker bliver man aldrig, siger han.
- Jeg har selv arbejdet som konsulent i
Sparekassernes Data Center, uden der blev foretaget nogen form for baggrundstjek,
siger Kaare Danielsen stifter og chef for online-jobdatabasen Jobindex. Foto: Torben Klint
Vi stoler på, at vores
programmører er dygtige og ved, hvad de gør. Og ja, det betyder, at vi er sårbare både over for softwarefejl og
eventuelle ondsindede medarbejdere, men det er en risiko, vi har valgt at leve med.
Kaare Danielsen, Jobindex
