Проблеми на етиката и сигурността в информационната система
Редакционен екип
⚡ Умно обобщение
„Етични и сигурствени проблеми в информационните системи“ разглежда как неправилното използване на информационните технологии създава рискове. Обхваща видовете киберпрестъпления, контрола за сигурност на информационните системи, професионалната етика и ИКТ политиката, която организациите приемат, за да защитават данните и да се държат отговорно.
Информационните системи са направили много бизнеси успешни днес. Някои компании, като например Google, Facebook, eBay и др. не биха съществували без информационните технологии. Неправилното използване на информационните технологии обаче може да създаде проблеми за организацията и служителите.
Престъпниците, които получават достъп до информация за кредитни карти, могат да доведат до финансови загуби за собствениците на картите или за финансовата институция. Използването на организационни информационни системи, т.е. публикуването на неподходящо съдържание във Facebook или Twitter с помощта на фирмен акаунт, може да доведе до съдебни дела и загуба на бизнес.
Този урок ще разгледа такива предизвикателства, които са поставени от информационните системи и какво може да се направи, за да се минимизират или премахнат рисковете.
Киберпрестъпност
Киберпрестъпността се отнася до използването на информационни технологии за извършване на престъпления. Киберпрестъпленията могат да варират от просто досадни компютърни потребители до огромни финансови загуби и дори загуба на човешки живот. Ръстът на смартфоните и други от висок клас подвижен Устройствата с достъп до интернет също допринесоха за растежа на киберпрестъпността.
Видове киберпрестъпления
Кражба на самоличност
Кражба на самоличност се случва, когато киберпрестъпник се представя за чужда самоличност, за да извърши неправилна работа. Това обикновено се прави чрез достъп до лични данни на някой друг. Данните, използвани при такива престъпления, включват номера на социално осигуряване, дата на раждане, номера на кредитни и дебитни карти, номера на паспорти и др.
След като информацията бъде придобита от киберпрестъпника, тя може да се използва за извършване на покупки онлайн, докато се представя за някой друг. Един от начините, които киберпрестъпниците използват, за да получат такива лични данни, е фишингът. Фишингът включва създаване на фалшиви уебсайтове, които изглеждат като законни бизнес уебсайтове или имейли.
Например, имейл, който изглежда сякаш идва от YAHOO, може да поиска от потребителя да потвърди личните си данни, включително телефонни номера и парола за имейл. Ако потребителят се хване на трика, актуализира данните и предостави паролата, нападателят ще има достъп до личните данни и имейла на жертвата.
Ако жертвата използва услуги като PayPal, тогава нападателят може да използва акаунта, за да прави покупки онлайн или да прехвърля средства.
Други техники за фишинг включват използването на фалшиви Wi-Fi точки за достъп, които изглеждат като легитимни. Това е често срещано на обществени места като ресторанти и летища. Ако нищо неподозиращ потребител се влезе в мрежата, киберпрестъпниците могат да се опитат да получат достъп до чувствителна информация, като потребителски имена, пароли, номера на кредитни карти и др.
Според Министерството на правосъдието на САЩ, бивш служител на Държавния департамент е използвал фишинг по имейл, за да получи достъп до имейли и акаунти в социалните медии на стотици жени и е получил достъп до нецензурни снимки. Той успя да използва снимките, за да изнудва жените и заплаши, че ще направи снимките публични, ако не се поддадат на исканията му.
Нарушение на авторските права
Пиратството е един от най-големите проблеми с дигиталните продукти. Уебсайтове като Pirate Bay се използват за разпространение на материали, защитени с авторски права, като аудио, видео, софтуер и др. Нарушаването на авторски права се отнася до неразрешеното използване на материали, защитени с авторски права.
Бързият достъп до интернет и намаляването на разходите за съхранение също допринесоха за нарастването на престъпленията за нарушаване на авторски права.
Кликнете върху измама
Рекламни компании като например Google AdSense предлага рекламни услуги с плащане на клик. Измама с кликвания възниква, когато човек кликне върху такава връзка без намерение да знае повече за кликването, а само да спечели повече пари. Това може да се постигне и чрез използване на автоматизиран софтуер, който извършва кликванията.
Измами с авансови такси
На целевата жертва се изпраща имейл, който ѝ обещава много пари в полза на ада.ping да си поискат парите от наследството.
В такива случаи престъпникът обикновено се преструва на близък роднина на много богат, известен човек, който е починал. Той/тя твърди, че е наследил/а богатството на починалия богаташ и се нуждае от помощ, за да получи наследството. Той/тя ще поиска финансова помощ и ще обещае да възнагради по-късно. Ако жертвата изпрати парите на измамника, той изчезва и жертвата губи парите.
Сух
Хакерството се използва за заобикаляне на контролите за сигурност, за да се получи неоторизиран достъп до система. След като нападателят получи достъп до системата, той може да прави каквото си поиска. Някои от често срещаните дейности, извършвани при хакване на система, са:
- Инсталирайте програми, които позволяват на нападателите да шпионират потребителя или да контролират системата му дистанционно.
- Обезобразяване на уебсайтове.
- Откраднете чувствителна информация. Това може да стане с помощта на техники като SQL Инжектиране, използване на уязвимости в софтуера на базата данни за получаване на достъп, техники за социално инженерство, които подвеждат потребителите да предоставят идентификатори и пароли и др.
Компютърни вируси
Вирусите са неоторизирани програми, които могат да дразнят потребителите, да крадат чувствителни данни или да бъдат използвани за контрол на оборудване, контролирано от компютри.
Сигурност на информационната система
Сигурността на MIS се отнася до мерки, въведени за защита на ресурсите на информационната система от неоторизиран достъп или компрометиране. Уязвимостите в сигурността са слабости в компютърна система, софтуер или хардуер, които могат да бъдат използвани от нападателя за получаване на неоторизиран достъп или компрометиране на система.
Хората, като част от компонентите на информационната система, също могат да бъдат експлоатирани чрез техники на социално инженерство. Целта на социалното инженерство е да се спечели доверието на потребителите на системата.
Нека сега разгледаме някои от заплахите, пред които са изправени информационните системи, и какво може да се направи, за да се елиминират или минимизират щетите, ако заплахата се материализира.
Компютърни вируси – това са злонамерени програми, както е описано в горния раздел. Заплахите, породени от вирусите, могат да бъдат елиминирани или въздействието им да бъде сведено до минимум чрез използване на антивирусен софтуер и следване на установените най-добри практики за сигурност на организацията.
Неоторизиран достъп – стандартната конвенция е да се използва комбинация от потребителско име и парола. Хакерите са се научили как да заобикалят тези контроли, ако потребителят не следва най-добрите практики за сигурност. Повечето организации са добавили използването на мобилни устройства като телефони, за да осигурят допълнителен слой сигурност.
Да вземем Gmail като пример. Ако Google е подозрителен към влизането в акаунт, те ще помолят лицето, което се кани да влезе, да потвърди самоличността си, използвайки Androidмобилни устройства или изпратете SMS с ПИН код, който трябва да допълва потребителското име и паролата.
Ако компанията не разполага с достатъчно ресурси за внедряване на допълнителна сигурност, като например Google, те могат да използват други техники. Тези техники могат да включват задаване на въпроси към потребителите по време на регистрацията, като например в кой град са израснали, името на първия им домашен любимец и т.н. Ако лицето предостави точни отговори на тези въпроси, му се предоставя достъп до системата.
загуба на данни – ако центърът за данни се запали или бъде наводнен, хардуерът с данните може да се повреди и данните в него да бъдат загубени. Като стандартна най-добра практика за сигурност повечето организации съхраняват резервни копия на данните на отдалечени места. Архивирането се прави периодично и обикновено се поставя в повече от една отдалечена зона.
Биометрична идентификация – това вече става много често срещано, особено при мобилни устройства като смартфони. Телефонът може да записва пръстовия отпечатък на потребителя и да го използва за целите на удостоверяването. Това затруднява нападателите да получат неоторизиран достъп до мобилното устройство. Подобна технология може да се използва и за предотвратяване на достъпа на неоторизирани лица до вашите устройства.
Информационна система Етика
Етиката се отнася до правилата за правилно и грешно, които хората използват, за да правят избори, които да ръководят поведението им. Етиката в информационните системи (MIS) се стреми да защитава и предпазва индивидите и обществото чрез отговорно използване на информационните системи. Повечето професии обикновено имат определен етичен кодекс или насоки за кодекс за поведение, които всички професионалисти, свързани с професията, трябва да спазват.
Накратко, етичният кодекс прави индивидите, действащи по свободна воля, отговорни и отговорни за действията си. Пример за Code „Етика за специалисти по информационни системи“ може да бъде намерена на уебсайта на Британското компютърно дружество (BCS).
Политика за информационните комуникационни технологии (ИКТ).
ИКТ политиката е набор от насоки, които определят как една организация трябва да използва информационните технологии и информационните системи отговорно. ИКТ политиките обикновено включват насоки относно:
- Закупуване и употреба на хардуерно оборудване и как безопасно да се изхвърли.
- Използване само на лицензиран софтуер и гарантиране, че целият софтуер е актуален с най-новите версии от съображения за сигурност.
- Правила за създаване на пароли (прилагане на сложност), промяна на пароли и др.
- Приемливо използване на информационни технологии и информационни системи.
- Обучение на всички потребители, участващи в използването на ИКТ и УИС.
