Neizgovoreni rizik: Ljudski čimbenici potkopavaju pouzdane platforme

S obzirom na dizajn Aplikacija za signal poruka I inherentna sigurnosna kontrola, odgovor je da. Šifrirane platforme za razmjenu poruka tehnički su zdrave, nudeći vrhunsku enkripciju krajnjeg do kraja. Međutim, šifriranje nije zamjena za prosudbu ili postupak. Ovi su alati osjetljivi na zlouporabu i zlouporabu ako nedostaju kontekstualno upravljanje i disciplina korisnika. Pretpostavka da sigurni alati osiguravaju sigurnu komunikaciju opasno je pogrešna. Ljudska pogreška – poruke o osvajanju, loše upravljanje pristupom ili nerazumijevanje konteksta – mogu u potpunosti potkopati čak i najjače sigurnosne okvire. Čak i najbolji primjeri sigurnog dizajna mogu uspjeti kada dodate ljude. Alati se rijetko razbijaju, ali povjerenje i kontrola oko njih često to čine.

Razmotrite ovu studiju slučaja oprez i poziv na akciju. Pogreške su neizbježne, ali sustavi mogu biti dizajnirani za otkrivanje i minimiziranje utjecaja tih pogrešaka. Sigurnost komunikacije mora se preoblikovati kao izazov usmjeren na čovjek, gdje se tehničke kontrole nadopunjuju kulturnim promjenama i operativnim mjerama. Profesionalci za cyber sigurnost koji žele oblikovati pristup sigurnosti u središtu čovjeka trebali bi imati na umu sljedeća načela.

• Ljudska pogreška uvijek trudi šifriranje: Bez obzira koliko su robusni kriptografski protokoli ili koliko je sigurna platforma za razmjenu poruka, jedan pogrešan korak – poput dodavanja pogrešnog sudionika u osjetljivi grupni chat – može učiniti sve tehničke zaštitne mjere beskorisnim. Šifriranje osigurava podatke u mirovanju i u tranzitu, ali ne može spriječiti korisnika da nenamjerno dijeli te podatke s neovlaštenom osobom. Najslabija veza nije algoritam, već čovjek koji ga upravlja.
• Sigurna platforma ne izjednačava sigurnu provedbu politike: Korištenje sigurne platforme poput signala ne izjednačava se sa sigurnošću politike komunikacije – platforme ≠ politika. Iako Signal pruža snažne značajke šifriranja i privatnosti, on ne može nametnuti organizacijska pravila, upravljati osjetljivošću na informacije ili spriječiti zlouporabu od strane pouzdanih korisnika. Sigurnost nije ugrađena u alat, već u načinu na koji se koristi, upravlja i nadgleda. Bez jasnih politika u vezi s upravljanjem grupama, provjerom sudionika, klasifikacijom rasprave i odgovornosti korisnika, čak i najsigurnije platforme mogu postati vektori za slučajna ili zlonamjerna curenja.
• Metapodaci su skriveni rizik: Čak i kada je sadržaj poruke šifrirano, metapodaci su i dalje važni – i mogu se opasno otkriti. Metapodaci uključuju tko komunicira, kada, koliko često i odakle. U kontekstu curenja signala, iako su poruke možda zaštićene, specifični obrasci sudionika u komunikaciji mogli su izložiti osjetljive operativne uvide. Protivnici mogu iskoristiti metapodatke za mapiranje mreža, zaključiti odnose, pratiti obrasce aktivnosti ili vremenski osjetljive radnje bez dešifriranja jedne riječi.
• Zero-Trust se odnosi i na komunikacije: Nul-Trust se često primjenjuje na mreže, identitete i krajnje točke, ali u današnjem krajoliku prijetnji također se mora proširiti na komunikaciju. Samo zato što se poruka šalje unutar šifrirane aplikacije ne znači da je primatelj provjeren, prikladan ili čak ovlašten za primanje tih podataka. U slučaju propuštanja signala, kršenje se nije dogodilo tehničkim kompromisom – dogodilo se jer je pretpostavljeno povjerenje pogrešno. Primjena principa nultog povjerenja na komunikaciju znači provjeru sigurnosnog držanja uređaja svakog sudionika, dinamički kontroliranje pristupa, reviziju grupne aktivnosti i kontinuirano potvrđivanje identiteta i konteksta.