EU plánuje povinné hlášení "kyberincidentů"

V Evropské komisi se plánuje to, že by firmy musely povinně hlásit bezpečnostní incidenty, ke kterým na jejich systémech došlo. Dotknout by se to mělo jen ISP a provozovatelů datových center ("cloudy"). Smyslem je (mimo jiné) to, aby se úniky dat nemohly zametat pod koberec.

27.11.2012 11:59 | Luboš Doležel (Doli) | Zajímavý článek

Komentáře

[AlYoSHA]

Jedinym zmyslom je pomaly pritahovat skrutky a dostat internet pod absolutnu kontrolu nariadeniu zakonom. Tym ktory to zavadzaju, je IT bezpecnost u prdele.

[Franta]

+1, bohužel

[momo]

keď ti kvôli nejakému bezpečnostnému incidentu zmiznú z nejakého cloudu a firma to ututlá, aby si sa nemohol pripraviť (alebo získať odškodnenie), tak čo? Lieky sa testujú niekoľko rokov, než ich pustia na trh, kvalita potravín je pravidelne kontrolovaná, banky sú pod dohľadom národných bánk a konečne sa pod dohľad a kontrolu dostanú aj cloudy.

[w4rr10r]

Bez jídla se neobejdeš. Bez využívání služeb finančního sektoru v dnešní společnosti je to podobné. K lékům pořádná alternativa neexistuje. Kdo tě ale nutí používat cloud?

[momo]

Tak, ako si môžeš miesto gmailu urobiť schránku na vlastnom servery, môžeš si aj potraviny dorobiť na vlastnej farme. V oboch prípadoch sa to dá, ale v prípade potravín nie sme v polovici minulého storočia a rovnako v prípade emailu nie sme pred desiatimy rokmy. Jednoducho je to najrýchlejšie a pre ekonomiku najvhodnejšie riešenie rôznych životných situácií a problémov.

[Franta]

Všechno má užitek i náklady – nesmíš vidět jen ten užitek – náklady jsou s tím neodmyslitelně spojené a v případě cloudu je to (příliš velká) moc dodavatele* nad daty a „velké průšvihy“ – když už k němu dojde, tak se ztratí/zveřejní data milionů uživatelů. Je to megaprůšvih a je přirozeně i větší tlak na ty útoky (je atraktivnější nabourat cloud s miliony uživatelů než nějaký malý server – tomu odpovídá i vyšší úsilí, které tomu útočník věnuje).

je to najrýchlejšie a pre ekonomiku najvhodnejšie

Vždy je potřeba si porovnat ty náklady a užitek a rozmyslet si, jestli do toho chce člověk jít – a ne že mu do toho bude mluvit unie/stát a říkat mu, co je pro něj dobré.

*) a nejen dodavatele, ale i třeba unie/vlády, která ho může vydírat

[JS]

Vzdyt do toho muzes jit! Muzes si klidne provozovat svuj vlastni mail, stejne jako si pestovat vlastni jidlo. Akorat abys ho mohl nabizet *ostatnim*, musis splnit urcite podminky. Co je na tom nefer?

[Jiří Kadeřávek]

Nefér je na tom samozřejmě to, že státu může být u zadku, jaké podmínky si mezi sebou dva soukromé subjekty dohodnou. Už se tohohle paternalistického uvažování lidi zbavte, jinak nepoznáme, že je ta voda už nesnesitelně vroucí, jen budeme přemýšlet proč je nám tak blbě od žaludku.

[xkucf03]

Viz #21, ale ta zbytečnost státních zásahů se dá dokázat i jinak:

Internet je globální síť a stát může své zákony prosazovat jen na svém území (pokud to není terorista typu USA). Takže vždycky budou existovat v Internetu nějaké služby mimo tvoji „bezpečnou zónu“, které můžou být nespolehlivé nebo nekvalitní. A pokud se budeš spoléhat na regulaci EU, musíš tyto služby ignorovat a sám si omezit výběr potenciálních dodavatelů na ty, kteří podléhají regulacím EU. Prostě si představíš, že neexistují a nebudeš používat globální Internet ale jen jeho podmnožinu.

A tady je právě vidět, jak jsou tyhle experimenty typu EU nesmyslné. Kontrolu kvality lze řešit v rámci soukromého sektoru, stát k tomu není potřeba – může vzniknout aliance poskytovatelů, jejíž členové se zavážou dodržovat nějaká pravidla (např. zveřejňovat bezpečnostní incidenty) a uživatelé/zákazníci můžou věřit této alianci, můžou ignorovat dodavatele, kteří nejsou členem, představí si, že neexistují (podobně jako výše, když si představují, že neexistuje nic mimo EU). A má to výhodu v tom, že je to nezávislé na geografickém rozložení – aliance se můžou překrývat s územími států a může jich být dokonce víc a překrývat se navzájem (jeden poskytovatel členem víc aliancí) a/nebo si konkurovat (uživatel/zákazník si vybere tu nejlepší alianci, které bude důvěřovat a jejímiž doporučeními se bude řídit).

Akorat abys ho mohl nabizet *ostatnim*, musis splnit urcite podminky.

Nikoli. Jestli chci uzavřít obchod, musím nabídnout něco, o co má druhá strana zájem, za přijatelnou cenu. Podmínky si dohodneme sami a kdyby jedné straně nevyhovovaly, obchod se neuskuteční. Omezení nad rámec této dohody („musis splnit…“) jsou jen výmyslem někoho třetího, kdo se chce na těch prvních dvou přiživit – přitom sám typicky žádnou hodnotu nevytváří, protože to buď neumí nebo je na to příliš líný. Nicméně se tuto domnělou potřebu či nutnost snaží obhájit nějakou líbivou ideologií a když to nestačí, chce k tomu ty první dva donutit násilím.

[anonymator]

bojím sa, že tá globálnosť sa dá pomerne jednoducho riešiť... ak už nie rovno preseknutie káblov na hranici, tak aspoň spôsobom, ktorí odstaví väčšinu "bežných" užívateľov.

[xkucf03]

…a teď se bavíme o nějakých diktaturách kdesi na východě či jihu nebo o zemích, které (o sobě alespoň tvrdí, že) jsou demokratické a svobodné?

[anonymator]

o sobě alespoň tvrdí... tvoj otázku považujem za rečnícku alebo skôr

[w4rr10r]

I na vlastní farmu se vztahují omezení, třeba kvůli epidemiím.

[Antikapitalista]

Blbost! Bez služeb finančního sektoru by ses i v dnešní společnosti obešel, natož že by to mělo být podobné jako u jídla (nebo léků).

A ve skutečnosti tě služby finančního sektoru nikdo nenutí využívat, stejně jako oblak, jehož postavení se stejně může jednoho dne změnit podobně, jak se změnilo postavení finančního sektoru.

Považování tohohle za snahu „dostat internet pod absolutnu kontrolu“ je případ pro doc. Chocholouška...

[AlYoSHA]

Pekna zamienka, ale iba zamienka. Nezostane to pri tom. Je to podobne ako zakony prijate v "boji proti terorizmu", ale bo "pocitacovemu piratstvu".

[Franta]

Důležitá data do cloudu nepatří – dají se tam dát pouze zašifrovaná a zazálohovaná data, pak o nic nejde. Léky se sice testují, ale stejně famaceutické firmy dělají z lidí feťáky a psychopaty, není jejich cílem je vyléčit, ale léčit (dlouhodobý zdroj příjmů), když někdo není nemocný, tak je potřeba ho něčím nakazit nebo mu aspoň vsugerovat, že ty léky potřebuje. Banky a krachují, dochází ke zpronevěrám, manipulacím… Regulace nejsou řešením, mnohdy jsou naopak příčinou problémů a hrají do karet úzkým skupinám lidí, které si dokáží vylobovat regulace vhodné právě pro ně.

Zpět ke cloudům – pokud dojde k incidentu, o zveřejnění se postará útočník a novináři to rozmáznou. Zásah státu není nutný, ba je dokonce škodlivý.

[AlYoSHA]

BTW. Ked mas citlive, alebo velmi cenne data, tak preco ich davas do cloudu? Zverovat svoje data tretej strane, na ktoru nemas technicky a casto krat len aky taky pravny dosah povazujem za hazard. S incidentmi ci bez nich.

[Franta]

Přesně tak. Snad jediný důvod, proč by měla EU zájem na „zvýšení bezpečnosti“ mne napadá: když lidi podlehnou iluzi, že je to bezpečné, budou ochotnější svěřovat data cloudu – a pro byrozmrdy je snazší zatlačit na poskytovatele takové služby (který vydává data někoho cizího, ne svoje), než jít zabavovat servery tomu, na koho chtějí útočit a koho chtějí terorizovat (ten se přirozeně bude bránit víc, protože mu jde o jeho data).

Čím víc lidí/firem si bude provozovat vlastní servery (případně zašifrují a distribuují různě po světě) a čím víc to bude decentralizované a distribuované, tím těžší to budou unijní/státní teroristi mít.

[momo]

lebo je to najjednoduchšie riešenie rôznych problémov. Samozrejme si môžem urobiť vlastný server, ale tak isto si môžeš spraviť vlastnú farmu a vykašľať sa na štátnu veterinárnu a potravinovú správu a obchodnú inšpekciu.

[AlYoSHA]

Potraviny su jedna vec a ukladanie dat druha. Dopestovat a priparavit potraviny da dost casu a namahy a treba tomu neustale (rozumej denne) venovat cas. Pripravit si vlastne datove ulozisko (hoci aj domace) je jednorazova zalezitost ktora vela namahy nestoji a nie je nutne jej venovat hodiny casu denne. Maximalne par krat do roka pri urdzbe. Pokial na to tvoj know-how nestaci, urite sa najde niekto v okoli kto ti to rozchodi (ci uz lin, alebo win riesenie) a opet je to jednorazova zalezitost. Ale pochopiol som myslienku. Z pohladu koncoveho uzivatela je jednoduchsie sa spolahnut na nejaky ten kloud v sieti. V tom pripade by mal plne ratat zo vsetkymi dosledkami ktore to nesie a teda data sifrovat a zalohovat. V kazdom pripade snaha EUkratov hlasit im incidenty mi pride ako kontraproduktivna a iba ako uvodny krok k dalsim nariadeniam ktore budu coraz menej koser.

[frEon]

At ma povinnost hlasit nebo nema, hlasit muze jenom ty bezpecnostni incidenty, o kterych se dozvi. Takze taky provozovatel muze risknout trochu vetsi ostudu a tvrdit, ze o tom ani nevedel.

[Radovan]

Léky se testují několik let, ale jednotlivé testy trvají jen týdny, takže zabíjí víc lidí než nemoci které by měly léčit, kvalita potravin je kontrolované proto, aby se do nich náhodou nedostaly nějaké přírodní suroviny kromě chemie a recyklovaných náhražek, banky jsou tunelované a krachují stejně tak v USA jako v Afghánistánu, a držení zbraní jako první omezil Adolf Hitler. Opravdu si myslíš že totalita (ať úřednická nebo korporátní) tě před něčím ochrání?

[VM]

U cloudu bych to ještě chápal, ale u ISP? To jako že budou povinně hlásit třeba všechny slovníkové útoky proti SSH, kterých je na každém serveru několik denně? V tom případě přeji příjemcům dostatečné kapacity na zpracování. Navíc některé útoky není schopen rozpoznat ISP, ale pouze oběť (např SQL injection pod HTTPS)...

[Mti.]

Ano, ano! Bude veselo. A kazdy (i neuspesny) pokus jednotlive!

[Vskutečnosti Saýc]

Otazkou samozrejme je, jak to planuji implementovat. Pokud by chteli hlasit kazde napadeni, tak je to neco jineho, nez zavest opatreni, ze pokud facebook zkusi zamest pod koberec ze mu nekdo ukradl duverna data, tak dostane tucnou pokutu.

[poiu]

Otazka je: ako FB / niekto iny spolahlivo zisti, ze mu ukradli doverne data? Je to vobec mozne?

Ide mi o preukazatelne zistenie a tam sa na IDS neda spolahnut - okrem toho nie vsetko musi hlasit sebelepsi IDS, napriklad ak ide o logicke chyby v aplikacii.

[pavlix]

Na pár místech mám při volném SSH portu neúspěšných útoků spíš pár do minuty.

[vencas]

Mne to teda tak hloupy napad neprijde. Stat (v tomto pripade nadstat) se stara o bezpecnost ve fyzickem prostoru, a trestne ciny se povinne hlasi. Samozrejme z toho vyplyva i to, ze se vice vi o tom, co se deje, ale primarnim ucelem je (doufam) udrzet postor do nejake miry bezpecny.

[Jendа]

a trestne ciny se povinne hlasi

Ne.

A to, že mi někdo vyownoval moje třijedenáctky, bych nechtěl mít povinnost hlásit, stejně, jako že mi někdo ukradl nezamčené kolo (>5kKč).

[l4m4]

Jenže to je tvoje kolo, s tím si dělej, co chceš.

Bavíme se ošem o tom, že firma zamete pod koberec, že někdo čórnul tvoje data, identitu, ...

[Standa]

Doposud se ohlašovací povinnost vztahovala na vraždu, zabití, mučení, obchodování s lidmi, a podobné trestné činy.

Teď k tomu přibude krádež dat ve stádiu pokusu.

Proč?

[l4m4]

Krádež ve stádiu pokusu? To máte ve vaší zemi svérázný tresný zákoník...

Nejde ani o krádež (není nic fyzického odcizeno) ani o pokus (skutek byl dokonán).

[2012]

Na to se kazdej akorat tak vy....

[snajpa]

To tu fakt vsichni museli prijit delat chytry, aniz by si vsimli, ze ten odkaz ve zpravicce nevede na zdroj, ale na keyword cloud, nebo mi neco uniklo?

[karel]

Mě to připadá jako dobrý nápad. Otázkou je potom jaké bude konkrétní znění zákona. Chápu, že na tomhle serveru vidí lidi rudě, když vidí EU. Užitečnost nápadů a argumenty potom musí jít stranou.

[pavlix]

Spíš někteří vidí rudě, když přijdou na tento server :).

[anonymator]

v prípade väčších priekakov sa to takmer vždy prevalí, pretože buď samotná služba sa chce ochrániť alebo si z toho množstva zákaznikov niekto spojí, že určitú množinu údajov mala k dispozícii len táto služba.

V prípade menších, aby mala regulácia praktický efekt, bude musieť byť sprevádzaný niečim drahším, než len blbý ohlasovací formulár, pretože vyplniť ho je jedná vec, zistiť, že máš čo vypĺňať je vec úplne iná. To už úplne ignorujem fakt, že každý má možnosť prečítať si podmienky event. zaplatiť "bezpečnejšiu" službu, nehovoriac o tom, že tento nápad povedie k fašizácii odvetvia (rozumej, veľká firma tie povinnosti nejako porieši, pre malú to môže byť existenčná otázka)

[xkucf03]

EU s tím až tak nesouvisí – je celkem jedno, jestli taková pravidla chce vynucovat EU nebo ČR nebo jakýkoli jiný stát. Naopak kdyby to byla nezávislá soukromá iniciativa postavená na dobrovolné bázi, která by přinesla etický kodex poskytovatelů, tak bych to vítal. Je to podobná věc, jako softwarové licence – např. FSF vytvoří GNU GPL licenci a ostatní ji dobrovolně začnou používat pro svůj software – já si ji jednou přečtu, jednou vyhodnotím, že v ní není nic špatného a že se mi líbí, a pak používám různý software pod touto licencí. Stejně tak by to mohlo fungovat u různých obchodních podmínek, které člověk uzavírá s různými poskytovateli. Tady by se taky hodilo, kdyby někdo nezávislý sepsal férové podmínky a ostatní je mohli používat (resp. používali) pro svoje služby. Bohužel to často ale dneska dopadá jedním z těchto způsobů:

• Radši si provozuji službu sám, než abych trávil čas čtením a zkoumáním kilometrů právnických žvástů, které jsou u každé služby jiné.
• Radši si provozuji službu sám, protože jsem v podmínkách narazil na něco, s čím nesouhlasím. (lze shrnout jako: poskytovatel nemusí nic, zatímco uživatel má držet hubu a krok, odevzdat všechna práva ke svým datům a platit nebo aspoň koukat na reklamy)
• S podmínkami nesouhlasím nebo nemám čas na jejich čtení a službu si sám provozovat nechci/nemůžu, tak raději kašlu na počítače jako takové a jdu dělat něco jiného.
• Podmínky nečtu, bezmyšlenkovitě kliknu na „souhlasím“ a pak se jednou budu sakra divit…

Svobodný software se rozšířil spíše navzdory státu (či EU) než s jeho podporou. V případě služeb je potřeba něco podobného. Trochu s tím souvisí GNU Affero GPL licence, díky které se uživatel dostane ke zdrojákům softwaru běžícího na serverech poskytovatele. Ale je potřeba jít ještě dál – aby se počítačové služby poskytovaly podle typových* podmínek, ke kterým bude mít uživatel stejnou důvěru, jako k typovým licencím u svobodného softwaru.

*) nikoli individuálních, jiných pro každou službu, které uživatel nemá šanci všechny přečíst a strávit a do kterých se snadno skryje kdejaká sviňárna

[⧠ A = 0]

V diskusi jsou všichni strašně chytří. Ale připomínkovat nebo se účastnit konsultací, to by tu téměř nikoho ani nenapadlo.

Prostě si uvědomte, že pokud něco chcete, musíte se na patřičném místě ozvat. Hospodské kecy jsou zcela irelevantní. Pak si stěžujte, že si někdo něco nepatřičného prolobuje. Lobbovat může každý. Nebo protestovat.

Nebo jen plkat, ale pak si nemá co stěžovat.

[anonymator]

Nech by aj do šuflíka hospodské kecy patrila väčšina tejto diskusie, tvoj komentár by tam poletel ako prvý.