Fenyegetési modellezés
A biztonság, a magánszféra és a használhatóság közötti egyensúly megtalálása az egyik első és legnehezebb feladat a magánszférád védelme során. Minden kompromisszumokkal jár: minél biztonságosabb valami, általában annál korlátozóbb vagy kényelmetlenebb, és így tovább. Sokan éppen azt érzik problémának az ajánlott eszközökkel kapcsolatban, hogy túl nehéz elkezdeni használni őket.
Ha az elérhető legbiztonságosabb eszközöket szeretnéd használni, nagyon sok használhatóságról kellene lemondanod. És még akkor is igaz, hogy semmi sem lehet teljesen biztonságos. Létezik magas szintű biztonság, de tökéletes biztonság nem. Ezért fontosak a fenyegetési modellek.
De mi is az a fenyegetési modell?
A fenyegetési modell a biztonságodat és magánszférádat érintő legvalószínűbb fenyegetések listája. Mivel lehetetlen minden támadás vagy támadó ellen megvédened magad, a legvalószínűbb fenyegetésekre érdemes összpontosítanod. Az informatikai biztonságban fenyegetésnek nevezünk minden olyan eseményt, amely alááshatja a magánszférád és biztonságod megőrzésére tett erőfeszítéseidet.
Ha azokra a fenyegetésekre koncentrálsz, amelyek számodra valóban számítanak, leszűkítheted, milyen védelemre van szükséged, és kiválaszthatod az adott feladathoz megfelelő eszközöket.
A fenyegetési modelled elkészítése
Annak megállapításához, hogy mi történhet a számodra értékes dolgokkal, és kikkel szemben kell megvédened őket, válaszold meg ezt az öt kérdést:
- Mit szeretnék megvédeni?
- Kitől vagy mitől szeretném megvédeni?
- Mekkora az esélye annak, hogy valóban szükségem lesz erre a védelemre?
- Milyen súlyosak a következmények, ha kudarcot vallok?
- Mennyi kényelmetlenséget vagy ráfordítást vagyok hajlandó vállalni a lehetséges következmények megelőzéséért?
Mit szeretnék megvédeni?
Az „érték” vagy „védendő eszköz” olyan dolog, amely fontos számodra és amelyet meg szeretnél védeni. A digitális biztonság összefüggésében a védendő érték rendszerint valamilyen információ. Ilyen lehet például az e-mailjeid tartalma, a névjegyzéked, az azonnali üzeneteid, a tartózkodási helyed vagy a fájljaid. Maguk az eszközeid is lehetnek védendő értékek.
Készíts listát a védendő értékeidről: milyen adatokat őrzöl, hol tárolod őket, ki fér hozzájuk, és mi akadályozza meg másokat a hozzáférésben.
Kitől vagy mitől szeretném megvédeni?
A kérdés megválaszolásához fontos azonosítanod, ki vagy mi akarhat téged vagy az információidat célba venni. Az a személy vagy szervezet, amely veszélyt jelent a védendő értékeidre, „ellenfélnek” vagy fenyegető félnek tekinthető. Lehetséges ellenfél lehet például a főnököd, egy korábbi partnered, egy üzleti versenytárs, a kormányod vagy egy nyilvános hálózaton tevékenykedő támadó.
Készíts listát azokról az ellenfelekről vagy szereplőkről, akik meg akarhatják szerezni a védendő értékeidet. A listán szerepelhetnek magánszemélyek, állami szervek vagy vállalatok.
Attól függően, kik az ellenfeleid, ezt a listát akár érdemes lehet megsemmisítened, miután elkészült a fenyegetési modelled.
Mekkora az esélye annak, hogy valóban szükségem lesz erre a védelemre?
A kockázat annak valószínűsége, hogy egy meghatározott védendő értéket érintő konkrét fenyegetés ténylegesen bekövetkezik. Ez szorosan összefügg az ellenfél képességeivel. Bár a mobilszolgáltatód technikailag képes lehet hozzáférni sok adatodhoz, annak kockázata, hogy a jó hírneved tönkretétele céljából közzéteszi a személyes adataidat, alacsony.
Fontos különbséget tenni aközött, hogy mi történhet meg, és mekkora annak a valószínűsége, hogy valóban meg is történik. Fennáll például annak a veszélye, hogy összeomlik az épület, amelyben tartózkodsz, ennek kockázata azonban jóval nagyobb San Franciscóban — ahol gyakoriak a földrengések —, mint Stockholmban, ahol nem azok.
A kockázatértékelés személyes és szubjektív folyamat. Vannak, akik bizonyos fenyegetéseket a bekövetkezés valószínűségétől függetlenül elfogadhatatlannak tartanak, mert már maga a fenyegetés létezése sem éri meg a kockázatot. Más esetekben valaki akár magas kockázatokat is figyelmen kívül hagyhat, mert az adott fenyegetést nem tekinti problémának.
Írd le, mely fenyegetéseket fogod komolyan venni, és melyek lehetnek annyira ritkák, ártalmatlanok — vagy annyira nehezen kivédhetők —, hogy nem érdemes rájuk összpontosítanod.
Milyen súlyosak a következmények, ha kudarcot vallok?
Egy ellenfél sokféleképpen férhet hozzá az adataidhoz. Például elolvashatja a személyes kommunikációdat, miközben az áthalad a hálózaton, vagy törölheti, illetve megrongálhatja az adataidat.
Az ellenfelek motivációi és módszerei rendkívül eltérőek lehetnek. Egy olyan kormányzatnak, amely meg akarja akadályozni egy rendőri erőszakról készült videó terjedését, elegendő lehet a videó törlése vagy elérhetőségének korlátozása. Egy politikai ellenfél ezzel szemben hozzá akarhat férni titkos tartalmakhoz, majd úgy közzétenni azokat, hogy erről előzetesen ne szerezz tudomást.
A biztonsági tervezés része annak megértése, milyen súlyos következményekkel járhat, ha egy ellenfél sikeresen hozzáfér valamely védendő értékedhez. Ennek megállapításához az ellenfél képességeit is figyelembe kell venned. A mobilszolgáltatód például hozzáfér a telefonos forgalmi adataidhoz. Egy nyílt Wi-Fi-hálózaton lévő támadó hozzáférhet a titkosítatlan kommunikációdhoz. Az állami szervek ennél jóval szélesebb képességekkel rendelkezhetnek.
Írd le, mit akarhat kezdeni az ellenfeled a személyes adataiddal.
Mennyi kényelmetlenséget vagyok hajlandó vállalni a lehetséges következmények megelőzéséért?
Nincs tökéletes biztonsági megoldás. Nem mindenkinek azonosak a prioritásai, aggályai vagy rendelkezésre álló erőforrásai. A saját kockázatértékelésed segít olyan stratégiát kialakítani, amely számodra megfelelő egyensúlyt teremt a kényelem, a költségek és a magánszféra között.
Egy nemzetbiztonsági ügyben eljáró ügyvéd például hajlandó lehet sokkal nagyobb erőfeszítéseket tenni az üggyel kapcsolatos kommunikáció védelméért — például titkosított e-mail használatával —, mint egy anya, aki rendszeresen vicces macskás videókat küld e-mailben a lányának.
Írd le, milyen lehetőségeid vannak az egyedi fenyegetéseid mérséklésére. Jegyezd fel azt is, ha pénzügyi, technikai vagy társadalmi korlátaid vannak.
Próbáld ki: a tulajdonod védelme
Ezek a kérdések online és offline helyzetek széles körére alkalmazhatók. Általános példaként készítsünk egy tervet az otthonod és a tulajdonod biztonságának megőrzésére.
- Mit szeretnél megvédeni? (Vagyis: mid van, amit érdemes megvédeni?)
-
A védendő értékeid közé tartozhatnak például ékszerek, elektronikai eszközök, fontos dokumentumok vagy fényképek.
- Kitől szeretnéd megvédeni?
-
Lehetséges ellenfelek lehetnek betörők, lakótársak vagy vendégek.
- Mekkora az esélye annak, hogy szükséged lesz erre a védelemre?
-
Gyakoriak a betörések a környékeden? Mennyire megbízhatók a lakótársaid vagy a vendégeid? Milyen képességekkel rendelkezhetnek az ellenfeleid? Milyen kockázatokat kell mérlegelned?
- Milyen súlyosak a következmények, ha kudarcot vallunk?
-
Van az otthonodban valami, amit nem tudsz pótolni? Van időd vagy pénzed az elveszett dolgok pótlására? A biztosításod fedezi az otthonodból ellopott tárgyakat?
- Mennyi kényelmetlenséget vagy ráfordítást vagy hajlandó vállalni e következmények megelőzéséért?
-
Hajlandó vagy széfet vásárolni az érzékeny dokumentumoknak? Megengedhetsz magadnak egy jó minőségű zárat? Van időd banki széfet bérelni, és ott tartani az értékeidet?
Csak e kérdések átgondolása után tudod érdemben felmérni, milyen intézkedésekre van szükséged. Ha a tulajdonod értékes, de a betörés valószínűsége alacsony, lehet, hogy nem szeretnél sok pénzt költeni egy zárra. Ha azonban magas a betörés kockázata, érdemes lehet a lehető legjobb zárat választanod, és akár riasztórendszer telepítését is megfontolnod.
Egy biztonsági terv elkészítése segít megérteni a rád jellemző fenyegetéseket, felmérni a védendő értékeidet, ellenfeleidet és azok képességeit, valamint az általad viselt kockázatok valószínűségét.
További olvasnivaló
Azok számára, akik szeretnék javítani online magánszférájukat és biztonságukat, összegyűjtöttük a látogatóinkat gyakran érintő fenyegetéseket és tipikus célokat. Ezek ötleteket adhatnak, és bemutatják ajánlásaink alapját.
Források
A Magánszféra Kalauz a Privacy Guides nem hivatalos magyar változata. Tartalmi eltérés esetén az angol eredeti az irányadó. Eredeti Privacy Guides