Turvaaugud (0)

Sissejuhatus

Nõrkus ehk turvaauk on kaitstava objekti suvaline nõrk koht, mille kaudu saab realiseeruda objekti varasid ähvardav oht. Mõned standardmääratlused eristavad turvaauku ja nõrkust, mõned ei tee vahet ohul ja nõrkusel. Sageli analüüsitakse nõrkusi puuduvate turvamehhanismide terminites. Nõrkused suurendavad riski, sest nad „lubavad“ ohul kahjustada objekti.

Infastruktuuri nõrkused

Kaitstava objekti ebasoodne asukoht

Reeglina suurendab mitmesuguste ohtude realiseerumistõenäosust, aga ka lisada spetsiifilisi
keskkonnaohte.

Primitiivne või amortiseerunud infrastruktuur

Ei paku adekvaatset kaitset stiihiliste ohtude ega füüsiliste rünnete eest ning ei võimalda
Realiseerida mitmeid organisatsioonilisi ja infotehnilisi turvameetmeid, näiteks sissepääsu reguleerimisega seotuid.

Sidesüsteemi või infrastruktuuri puudused

Eravõrk tagab andmete turvalisuse kindlamalt kui avalik võrk. Kaabelvõrke peetakse kindlamaks kui traadita võrke. Traadita võrgud sõltuvad rohkem keskkonnast ja on avatumad pealtkuulamisele.

Infotehnilised nõrkused

Piiratud ressursid

Ohustavad ammendumisel eeskätt käideldavust, aga ka andmeterviklust. Ketta täitumise tõttu võivad kaotsi minna näiteks sisenev meil või revisjoniandmed. Infokadu tekib ka automaatvastaja salvestuskandja täitumisel. Sisemise toiteallika tühjenemisega tuleb arvestada peamiselt sülearvutite jm mobiilseadmete, aga ka näiteks automaatvastaja puhul.

Aparatuuri või sideliinide väär paigaldus

Võimaldab realiseeruda mitmetel keskkonnaohtudel, füüsilistel rünnetel ning andmeluurel.

Vead, defektid või dokumenteerimata omadused programmides

Võivad tekitada mitte ainult stiihilisi tõrkeid, vaid ka turvaauke rünnete suhtes. Läbi aastate on avastatud turvadefekte brauseris Internet Explorer ja tõsiseid turvaauke operatsioonisüsteemis Windows. Nagu ikka, on juhuslikest programmivigadest märksa kaalukamad ja raskemini kõrvaldatavad programmide projekteerimise vead.

Protokollide ja sideprotseduuride puudused

Turvaauke võivad pakkuda näiteks keerukad kaugpääsu võimalused võrgustatud Unix -süsteemis. Autentimisvõimaluse puudumine X-serveri ja –kliendi vahel annab kõigile X-Windowsi kasutajaile juurdepääsu kõigile ressurssidele, võimaldades näiteks saada koopiaid teise arvuti kuvadest. Autentimisvõimaluse puudumine NIS-serveri ja –kliendi vahel võimaldab kliendil saada piiramatu juurdepääsu serveril olevale informatsioonile.

Andmehalduse puudused

Alates ebasobivatest andmevormingutest ja andmete ebaratsionaalsest struktureerimisest ning lõpetades varukoopiate puudumisega, tähendavad riskimist asutuse peamise infovaraga. Andmehaldust raskendavad ka arhiivide indekseerimisvõtmete puudused, arhiivisüsteemi migreerimise puudused ja ebasobiva andmekandja kasutamine arhiveerimiseks.

Vahendite ja meetmete tülikus

Võib ilmneda nii infotehnoloogilistes tööprotsessides kui ka turvasüsteemides.
Sobimatud juht- või indikatsiooniseadised ja vääralt projekteeritud või keelelt sobimatud kasutajaliidesed suurendavad inimvigade tõenäosust. Ebamugavaid ja või ülepingutatud turvameetmeid hakatakse tõenäoliselt sageli ignoreerima.
Puuduste seas on muuhulgas järgmised:

• Andmebaasikasutajate vahetumise halb korraldus;
  
• Andmebaasihalduri keerukus ;
  
• Andmebaasipöörduse keerukus;
  
• Tulemusteta otsingud;
  

Seadmete ja vahendite mobiilsusest tulenevad ohud

Eeskätt tundlikkus keskkonnategurite suhtes. Võimalikud on ka füüsilised ründed ning oht, et pidevad võrguühenduse puudumise tõttu hilineb andmete või olulise tarkvara automaatne uuendamine. Arvestada tuleb toiteallika vajadusega ja seadme või vahendi napimate ressurssidega võrreldes paikse seadme või vahendiga.

Personali nõrkused

Väärad menetlused

On teadmatusest või mugavusest tulenevad süstemaatilised toimisvead, näiteks:

• Failisüsteemide väär eksport Unixi all jätab failid kaitsetuks;
  
• Andmekandja riskantne saatmine ;
  
• Faksi juriidilise siduvuse ülehindamine;
  
• Ühenduse lahutamata jäämine;
  
• Krüptomoodulite väär kasutamine;
  
• Indeksiandmete halb sünkroniseerimine arhiveerimisel;
  
• Andmebaaside sünkroniseerimisviga;
  
• Vead mobiilseadmete sünkroniseerimisel;
  

Teadmatus ja motivatsioonitus

Turvaauk mitte ainult infotehnika kasutajate, vaid ka näiteks koristajate ja väljastpoolt kutsuvate või saadetud töötajate puhul. Juhendamatuse ja järelevalvetuse korral võivad nende tegutsemisega kaasneda ühenduste lahutamine, koristusveega tekitatud kahjustused, dokumentide või andmekandjate äraviskamine, katsed arvutitel mängida jne.
Puuduste seas on muuhulgas järgmised:

• Andmekandjate ja dokumentide puudulik hävitamine kodutöökohas;
  
• Sündmuste väär tõlgendamine;
  
• Konfidentsiaalsuse kadu peidetud andmeosade kaudu;
  
• Andmete kogemata manipuleerimine;
  
• Väljasttellimisprojekti negatiivne mõju organisatsiooni personalile;
  

Turvanõuete eiramine

Levinumad juhtumid on järgmised:

• Hooletus üldiste turvameetme suhtes;
  
• Andmete konfidentsiaalsuse kadu infotehnoloogia kasutaja hooletuse tõttu;
  
• Infotehnoloogilise süsteemi turvatehniliselt väär kasutamine;
  
• Väär PC kasutajate vahetumine;
  
• Infotehnoloogilise süsteemi väär haldus;
  
• Väär pääsuõiguste haldus;
  
• Arhiivi andmekandja volitamata ülekirjutus või kustutus;
  
• Infoturbe puudulik aktsepteerimine;
  
• Meiliteenuste väärkasutus;
  
• Töötava haldusserveri blokeerimine;
  
• Puudulik infoturve väljasttellimise teostusjärgus;
  
• Arhiivide andmekandjate puudulik hävitamine;
  
• Andmete konfidentsiaalsuse või tervikluse kadu kasutaja vea tõttu;
  
• Õigusaktide ja lepingute sätete rikkumine;
  
• Mehaaniliste koodlukkude võtmete väär kasutamine, eriti koodi muutmisel;
  
• Registreerimata komponentide kasutamine;
  
• Vead kaugpöörduse autentimisteenuse kasutamisel ;
  
• Puudulik paroolihaldus;
  
• Andmebaasisüsteemi hooletu haldus;
  
• Teabe hooletu kasutamine;
  

Turvanõuete eiramine võib tuleneda teadlikkusest või puudulikust töökultuurist; ka on võimalik, et töötajad tajuvad turvanõudeid ebamugavate või ülepingutatuna.

Organisatsioonilised nõrkused

Ohtude realiseerumist soodustavad asutuse üldise töökorralduse ning infotehniliste ja turvalahenduste valimise ja kasutamise puudused.