Interpelacja w sprawie zabezpieczeń stron internetowych urzędów

Nadmierna centralizacja może sprawić, że łatwiej będzie rozłożyć cały system. Internetu nie da się zepsuć tylko dla tego, że usługi w nim są rozproszone.

Infrastruktura powinna być scentralizowana tylko częściowo:

1. Należy używać wspólnego oprogramowania (zamawianego centralnie) lub zaledwie kilku różnych rozwiązań (np. zamawianych na szczeblu wojewódzkim.)
2. Sprzęt serwerowy powinien być częściowo zdecentralizowany.
3. Poza aplikacjami dostępnymi w lokalnych domenach urzędów, rozwiązania powinny być ze sobą kompatybilne aby mogła istnieć krajowa aplikacja (lub kilka) umożliwiająca ujednolicony dostęp do całego systemu.

Większa centralizacja to przede wszystkim niższe koszty i wyższa jakość ale też większe ryzyko awarii całego systemu i uzależnienia się od konkretnego dostawcy oraz brak interoperacyjności.
Jej skala powinna zależeć od istotności danej usługi.
Np. idealnym kandydatem na centralizację i outsourcing są własne strony urzędów nie będące BIPami (o ile w ogóle są nam naprawdę potrzebne przy sensownie prowadzonym BIPie.)

Koncepcja scentralizowanego BIP jest kusząca i sprawia wrażenie racjonalnej, ale to tylko pozory. Posiada ona krytyczne wady, które dyskwalifikują ją z zastosowań w naszej administracji publicznej:

1) Nie da się po cichu zniknąć wcześniej opublikowanego dokumentu ani podmienić go na inną wersję by utrudnić szkalowanie dobrego imienia urzędników przez punktowanie rzekomych błędów lub naruszeń prawa w dokumentach urzędowych, które były przecież tylko drobnymi i niezamierzonymi pomyłkami.

2) Nie da się precyzyjnie sterować czasem dostępności dokumentu na stronie - np. od w piątek 6am do 3pm albo pod nieopublikowanym nigdzie linkiem, co jest niezbędne przy niektórych przetargach by zapewnić ograniczoną dostępność określonych dokumentów dla obejścia nieżyciowych przepisów o zamówieniach publicznych przy równoczesnym jednak zachowaniu warunków formalnych.

3) Redystrybucja środków budżetowych w postaci kosztów utrzymania BIP jest nieuczciwa, bo scentralizowana i wspiera wyłącznie jeden podmiot, zamiast setek drobnych przedsiębiorstw. W ten sposób decydentów pozbawia się istotnego środka nawiązywania korzystnych, osobistych relacji z przedstawicielami lokalnej społeczności.

--
Paweł Krawczyk
IPSec.pl - Podpis elektroniczny i bezpieczeństwo IT

Abstrahując od tego co Pan napisał w kontekście administracji serwisem czy innych elementów związanych z zarządzaniem chciałbym skomentować częste przekonanie że centralizacja podnosi poziom bezpieczeństwa. Otóż jest to nieprawda.

Załóżmy, że koszt włamania na i-tą witrynę BIP urzędu wynosi Ki złotych (gdzie i przebiega zbiór stron urzędów w Polsce) zaś koszt jej zabezpieczenia Yi. Dodatkowo niech włamywacz włamując się na i-ta witrynę uzyska zyski w wysokości Zi. Niech włamanie będzie dla publikującego ( urzędu) związane ze stratą Si. Oczywiście Zi =/= Si gdyż zysk włamywacza to nie tylko strata urzędu. Na ogół zysk jest niewielki a strata duża (np. prestiż)

Tak więc z punktu widzenia włamywacza rachunek zysków i szkód dla pojedynczej i niezintegrowanej witryny i wygląda następująco:

Włamanie jest opłacalne jeśli włamywacz będzie miał zysk większy od zera czyli:

Zi>= Ki

Zabezpieczanie witryny zaś jest opłacalne o ile nie pociąga zbyt wielkich kosztów:

Si>Yi

Jeśli dokonamy centralizacji to spadają bardzo znacząco koszty zabezpieczenia bowiem dla wielu witryn wynoszą one \Suma Yi zaś dla pojedynczej a scentralizowanej tylko Y. Co do tego zgoda ale jednocześnie tu tez kończą się horyzonty domorosłych analityków jakich pełne są banki, korporacje i kancelarie ministrów. Niestety rzeczywistość jest konsekwentna. Oto bowiem zysk z włamania ulega znaczącemu podwyższeniu i równie znaczącemu podwyższeniu ulega strata właściciela serwisu w razie włamania. Jeśli mamy okraść 100 osób na 100 zł każdą, to ryzyko jest olbrzymie, ale jeśli musimy okraść tylko jedną na 100 000 zl o rzecz może stać się warta ryzyka. Dlatego złodzieje nie kradną w zwykłych domach tylko w bogatych, dlatego napada się na banki a nie na GS-y.

Pytanie czy jesteśmy w stanie podnieść koszty włamania Ki tak wysoko aby włamanie które przyniesie wówczas bardzo wielki zysk Zi, było nieopłacalne.

Teza: w administracji publicznej nie jesteśmy w stanie zabezpieczyć centralnych serwerów dostatecznie. Zawsze zyski z włamania będą większe niż koszty.

Powyższy komentarz jest dobitnym przykładem amatorskiego poziomu zarządzania naszą administracją publiczną (nie odnosi się to absolutnie do osoby autora).

Administrator urzędowej sieci komputerowej nie powinien w ogóle zajmować się "wywalczaniem kwot na bezpieczeństwo" ani mniej lub bardziej przekonującym uzasadnianiem potrzeby zakupu "nowych zabawek". Rolą administratora nie jest pisanie uzasadnień biznesowych czy analiz kosztów i zysków!

Profile ryzyka dla urzędów tego samego szczebla są niemal identyczne bo działają one w oparciu o to samo prawo i wykonują niemal te same procesy. Obowiązkiem administracji centralnej jest nie tylko opisanie ich ale także przeprowadzenia dla każdego z nich odpowiedniem analizy ryzyka.

Na jej podstawie powinny być budowane realistyczne regulacje z poziomami obligatoryjnymi oraz rekomendowanymi - i te ostatnie mogą podlegać indywidualnej ocenie na szczeblu lokalnym.

Nie muszę chyba dodawać, że wszystkie stworzone w ten sposób zalecenia powinny być bezpłatnie przekazane wszystkim jednostkom administracji publicznej. Co więcej, znaczną część można oprzeć na już istniejących standardach tego typu publikowanych przez NIST.

--
Paweł Krawczyk
IPSec.pl - Podpis elektroniczny i bezpieczeństwo IT