Milloin instituution tietoturva on riittävä?

[tuovir]

Uuteen Itä-Suomen yliopistoon liittyen Kuopion yliopistossa on tehty tietoteknisiä järjestelyjä. Tähän asti olen joustavasti pystynyt pitämään sp:ni keskitetysti KY:n palvelimella ja käsittelemään niitä niin koti- kuin työpaikan Macilläni sekä iPhonella. Saamani tiedon mukaan turvallisuuden lisäämiseksi sp:n käsittely ei ole enää mahdollista puhelimella eikä kotoa, ei PC:llä eikä Macillä. Ainoa keino kampuksen ulkopuolella on käyttää tosi kökköä Web mail –selainta sp:n lukemiseksi. Toki työnantajan kautta olisi ainakin periaatteessa saatavana nokialainen, joka täyttää kriteerit. Niitä ovat kuulemma mm. puhelimen datan kaukotyhjentäminen. Kysymykseni on, onko tälläinen perusteltua? Onko tälläinen toimenpide missään suhteessa todelliseen uhkaan? Kuulin, että viime vuonna oli kadonnut kaksi kännykkää, jotka oli jouduttu tyhjentämään. Näiden kahden kännykänkö vuoksi suuren joukon ihmisiä jouheva työnteko tehdään vaikeaksi? Kuinka usealla yliopistolaisella on kännykässään sellaista salaista tietoa, joka pitää ehdottomasti saada hävitetyksi? Mikä on yleinen käytäntä muissa instituutiossa, yliopistoissa ja yrityksissä? Kuulin, että ainakaan Helsingin yliopistossa ei ole tälläisiä rajoituksia. Kertokaapa näkemyksenne.

[morbusg]

Instituution tietoturva on lähempänä riittävää (huom.: ei kuitenkaan riittävä) kun yksikään laite ei ole yhteydessä toisiinsa tai mihinkään muuhunkaan, eikä kyseistä laitetta käytä kukaan ihminen tai muu olio.

[securapple]

Hei!

Mitä omaan havaintoosi tulee, luulen että toimenpiteen taustoja ei ole jostain syystä viestetty asianmukaisesti. Epäilen, että toimenpiteen taustalla on yliopistosi smtp-palvelimien joutuminen nk. "mustille Listoille" jolloin ne yritykset ym. yliopistosi yhteistyökumppanit jotka käyttävät ko. "blacklistoja" asettavat kaiken ko. yliopiston spostipalvelimelta lähtevän SP:n spämmiksi. Lopputulemana varsinkin tiedemaailmassa kriittiset tieteellisiin lehtiin lähetetyt artikkelit eivät välttämättä mene perille, tai niiden korjaukset eivät ehdi deadlineen mennessä vastaanottajalle, ym.. Yliopiston tietoverkkojen yliopistojen "akateeminen vapaus" antaa nämä sama "vapaudet" myös haittaohjelmille, jonka vuoksi voisin kuvitella tällaiselle black listalle joutumisen yleiseksi ilmiöksi. Kaiken kukkuraksi listoilta poistaminen kestää jopa viikkoja ja jotkut mustien listojen pitäjät vaativat mokomasta vielä rahaakin.

Noin yleensä, tietoturvan taso on aina subjektiivinen asia, sitä ei absoluuttisesti voi mitata. On olemassa joukko erilaisia parhaita käytäntöjä joihin eri instituutioiden käyttöönottamien menetelmien määrää/tasoa verrataan. Tällaisia yleisen tason ohjeistoja ovat mm. suomen valtiovarainministeriön VAHTI-ohjeistot, Visan ja Mastercardin PCI,jne.... Teknisiä standardeja ja konfigurointipuolen parhaita käytäntöjä taas tuottavat mm. NSA, Center Of Internet Security (CIS), yhdysvaltojen NIST, jne..

Lopputulemana, yliopistollasi tehdyn toimenpiteen tavoitteena liene vähentää näille spostin black listoille joutumista ja näin varmistaa paremmin tieteellisten artikkeleiden tuottajien kommunikointi tieteellisten lehtien toimitusten kanssa. Tässä vaakakupissa yksittäisten henkilöiden kokemat hankaluudet eivät valitettavasti paljoa paina.

-Securapple

[filosofi]

Vähän riippuu että mitä tässä yliopistolla ns työnantajana käsitetään. Esimerkiksi yliopiston alaisessa tutkimusryhmässä voi olla hyvinkin tiukat ja tarkat säännöt kaikesta mahdollisesta kommunikoinnista työhön liittyen. Eikä tarvitse olla välttämättä perustutkimusta kummempi alue. Tietysti mitä syvemmälle mennään niin sitä tiukemmat säännöt. Sitten taas jos on esim opettajana tai lehtorina päätöimisesti en kyllä ymmärrä mikä siellä sähköpostissa voisi olla tulenarkaa tietoa. Vaikka melko harvinaista kyllä on nykypäivänä että olisi vaan opettaja vaan monestihan tutkijan hommat ja opettajan hommat on koplattu yhteen. Kait tämä "etäkontrolli" on vaan varmistuskeino ettei mitään pääse valumaan ulkopuolisten käsiin jos sattuu häviämään.

[EL5]

MobileMe:n kanssa iphonen voi paikantaa ja etatyhjentamaan. http://www.apple.com/fi/mobileme/whats-new/

Jos kaytossa on kampuksen sisaverkossa oleva vapaasti sovellettava kone voi nuo esteet kiertaa suht turvallisesti ssh:n avulla. (suht sen takia etta vaarin tehtyna tulet avanneesi reijan sinne verkkoon ja siita ei hyva seuraa..)