Sikkert nok ved tilkobling til Internet?

---

Rene tekniske løsninger som Firewall kan være kostbare, og tar ikke hensyn til den menneskelige faktor.

---

Denne typen sensitiv informasjon skal både beskyttes mot uautoriserte endringer (integritet/kvalitet) og uautorisert innsyn (konfidensialitet). I den papirbaserte verden skal det sørges for at ikke fremmede får tilgang til å lese eller endre den sensitive informasjonen. Dette inkluderer å forhindre at fremmede får tilgang til data på de kontor hvor informasjonen blir behandlet. I tillegg skal de sensitive data ikke bringes ut av kontorene uten at noen har ansvaret for å påse at informasjonen ikke kommer uvedkommende i hende.

Kravene som er stilt av Datatilsynet i forbindelse med tilkobling av Internet mot interne nett med sensitiv informasjon, ivaretar begge disse typer krav. Det vil si krav til integritet/kvalitet og konfidensialitet. Kravene er gitt for å gi hver person som informasjonen gjelder, samme grad av beskyttelse som et rent papirbasert system gir.

Man må med andre ord forsikre seg om at informasjonen til enhver tid er korrekt, og at ikke andre enn de som har med informasjonen å gjøre får tilgang til den. Dette beskrives i Datatilsynets "Sikkerhetsregulering av delte edb-systemer" versjon 2.0 av 5. januar 1995 som påpeker kravene til taushetsplikt:

"Taushetsplikt pålegges i de tilfeller der lovgiver mener det ville være til skade for personen om opplysningen kom uvedkommende til kunnskap. Dette er som oftest også situasjoner der man er avhengig av at de registrerte har tillit til den eller de som behandler informasjon om ham eller henne.

Med skade forstår vi i denne sammenheng de problemer som manglende sikkerhet kan medføre for de registrertes personlige integritet, helse, omdømme, rettigheter eller økonomi. Dersom kompromittering av opplysninger, manglende datakvalitet, eller at informasjonen i en gitt situasjon ikke er tilgjengelig, vil kunne medføre slike problemer, pålegges registereieren å gjennomføre tiltak for å hindre dette. Graden av antatt skade vil gjenspeiles i ulike tiltaksnivå."

Det er dermed den personen informasjonen gjelder og vedkommendes interesser som er styrende i hvilke krav som må stilles i denne sammenheng. Bruk av EDB og tilgang til eksterne forbindelser som Internet, øker risikopotensialet for misbruk av den sensitive informasjonen.

Forslagene til løsning av beskyttelse ved tilkobling til Internet, som har vært diskutert i CW, har vært bruk av brannmur mellom det interne nettet og Internet. Dette vil til en viss grad forhindre inntrengere i å nå det interne nettet fra Internet. De sensitive data vil på denne måten kunne beskyttes mot uautoriserte endringer og innsyn av utenforstående ved inntrengning via Internet mot det interne nettet.

Bruken av en brannmur vil derimot ikke kunne forhindre at den sensitive informasjonen blir sendt ut på Internet. Dette kan skje bevisst, begrunnet i praktiske årsaker uten hensyn til sikkerhet, eller ubevisst ved uhell. I begge tilfeller er det ikke ond vilje hos brukeren, men resultatet blir likevel at den sensitive informasjonen blir gjort tilgjengelig på Internet, og kravene om å forhindre uautorisert innsyn blir brutt, og brudd på taushetsplikten vil skje.

I tillegg er en brannmurløsning både kostbar og kompetansekrevende å installere og vedlikeholde.

Behovet for tilgang til Internet kan løses på en alternativ måte ved at tilgangen gis på separate maskiner, som ikke er tilkoblet det interne nettet, eller et separat internt nett som ikke inneholder sensitiv informasjon. Siste alternativ innebærer to interne nett.

I denne sammenheng bør det vurderes i hvilken grad det er behov for å distribuere tilgangen til Internet til alle arbeidsplasser eller om det er nok å ha en eller et par dedikerte maskiner som kun gir tilgang til Internet.

Dette gir selvfølgelig ikke fullt ut den samme funksjonalitet som ett internt nett med all informasjon og tilkobling mot Internet. Men hensynet til den potensielle skade for de registrerte må telle sterkere enn maksimal funksjonalitet. Det skisserte alternativ med eget nett eller dedikerte PC'er gir tross alt tilgang til alle funksjoner, selv om enkelte operasjoner kan bli noe mer tungvinte.

Vi kan nås på vår dedikerte Internet-maskin :

hth@system.sikkerhet.no eller amr@system.sikkerhet.no

SYSTEM SIKKERHET A/S, SENIORKONSULENTENE ANNE M. REINSNES OG HEIDI THORSTENSEN

Artikkel automatisk generert, 21/02-95, kl. 15.56 cw@oslonett.no