Identiteetti on muutakin kuin pelkkä nimi tai henkilöllisyyspaperit. Psykologiassa identiteetillä on tietty merkitys. Mutta tietojenkäsittelyssä se merkitsee usein sitä, että henkilö on oikeutettu tietynlaiseen järjestelmän käyttöön. Vahva identiteetti tarkoittaa sitä, että henkilö on luotettu. Mikäli tuollaisen luotetun henkilön identiteetti varastetaan, niin se tarkoittaa hyvin vaarallista tilannetta. Henkilö voi olla luonnollinen- tai oikeushenkilö. Ja ajatelkaa mitä tapahtuisi, jos joku väärentää esimerkiksi jonkun valtiollisen toimijan tai pankin kotisivut, eli ohjaa kirjautumistietoja omalle koneelleen?
Jo Se on asia joka kattaa kaiken toiminnan, ja yksi noista toiminnoista on tietenkin se, millainen asema henkilöllä on yhtiössään suhteessa sen tietojärjestelmiin. Eli me voimme tietää henkilön nimen, osoitteen sekä jopa puhelinnumeron ja kengän numeron, mutta me emme tiedä kuka tai mikä hän oikeasti on. Siis jos henkilö on esimerkiksi jonkun yhtiön tietoturvapäällikkö, tai johtava tietoturva-asiantuntija, niin hän ei ehkä sitä kerro esimerkiksi talkoissa tai muissa vastaavissa tapahtumissa.
Juuri tuo käyttö-oikeus tietojärjestelmiin on asia, mikä varmasti halutaan salata. Jos esimerkiksi enterprise-luokan globaalin yrityksen tietojärjestelmiin pääsee joku, jolla ei ole siihen valtuuksia, niin silloin seuraukset voivat olla erittäin laajat, koska kansainväliset yhtiöt hallitsevat laajalle alueelle ulottuvia verkostoja.
Aina kannattaa miettiä sitä, mikä on se, mitä rikolliset voivat haluta omasta yrityksestä. Ja globaali yhtiö voi tarjota esimerkiksi kuljetuskapasiteettia rikollisille, joiden tavoite on kuljettaa huumeita tai aseita tuon yhtiön kuljetuksissa, tai sitten se voi tarjota mahdollisuuden tarkkailla toisen maan kansalaisia. Jos esimerkiksi Kiinan tiedustelu pääsee käsiksi metron valvontakameroihin, niin se voi valvoa toisen maan kansalaisia poistumatta maasta. Ja sen takia esimerkiksi valvontalaitteiden käytön ulkoistaminen BRICS maissa oleileville toimijoille voi rikkoa tietoturvaa.
Kun sitten puhutaan identiteeteistä, niin ne käyttäjätunnukset, joilla pääsee arkaluonteisiin materiaaleihin kannattaa erottaa niistä tunnuksista, joita käytetään esimerkiksi jossain auditoriossa tapahtuvan esitelmän muistiinpanojen tekemiseen. Keskittäminen ei ole kannattavaa siksi, että jos vääriä tiedostoja avataan auditorioissa, niin silloin voi käydä niin, että vääriä tietoja voi vuotaa tahoille, jotka eivät ole hyväntahtoisia.
Phishing-hyökkäykset käyttäen varastettua identiteettiä ovat asioita, joista pitäisi aina puhua. Perinteisen tietoturvan ongelma on siinä, että jos joku yrittää kirjautua esimerkiksi kriittistä tietoa sisältäville servereille esimerkiksi väärään aikaan, niin passiivinen järjestelmä ei tuota yritystä kerro, mikä sitten tarkoittaa sitä, että hyökkäys jää "pimeäksi". Yhtiön johdon pitäisi aina saada tietoa siitä, jos joku sattuu tarvitsemaan salasanojen päivitystä työajan ulkopuolella.
Tekoälyn luomien virtuaalinäyttelijöiden sekä äänen muunnosten avulla voidaan ihmistä pettää hyvin nopeasti ja tehokkaasti. Tekoälyn avulla toki voidaan tuollaiset yritykset paljastaa, eli ei pitäisi olla kovin vaikeaa lähettää kokoukseen osallistujille viestiä, että ovatko he oikeasti paikalla? Jos tekoäly lähettäisi ilmoituksen jokaisesta Teams-palaveriin osallistujalle vaikka he olisivat näennäisesti paikalla, niin silloin myös tuollaisten virtuaalisten hahmojen käyttö muuttuisi vaikeammaksi.
Ei kommentteja:
Lähetä kommentti
Huomaa: vain tämän blogin jäsen voi lisätä kommentin.