Čtyři antipředpovědi

Podívejme se pravdě do očí - umění přesně odhadnout, co se bude v příštích dvanácti měsících dít, je bohužel opravdu uměním. Je docela snadné nadhodit pár neškodných předpovědí a doufat, že se alespoň některé vyplní a většinu z nich nebude možné za rok označit za úplné omyly. Místo toho, a právě proto, se pokusím nabídnout pár předpovědí, které by klidně mohly mít předponu anti-. Nejsou nijak bombastické, na druhou stranu jsou asi v rozporu s tím, co se obyčejně dozvídáme od kovaných futurologů.

Internet v roce 2007 žádní tzv. kyber-teroristé nenapadnou.
V prosinci 2006 vydaly některé úřady varování o tom, že se "kyber-teroristé" vyzbrojují destruktivními viry a kdoví čím ještě, aby mohli provést nejničivější virtuální destrukci dějin. Hned na začátek bych se ohradil proti termínu "kyber-terorista". Pokud totiž teroristou míníme "jednotlivce a nevládní organizace, které plánují a provádějí násilné činy směřující proti civilistům a civilním cílům", což je běžně používaná definice, je jasné, že čistě elektronickými prostředky není možné realizovat teroristický čin.
Kdyby však přece jenom mělo nastat to, co si pod pojmem "kyber-terorismus" představujeme, šlo by například o využití jedné nebo více z následujících technik:

- Rozšíření spyware, který ukradne důležité informace nebo čísla našich kreditních karet.

- Virus, který smaže či zakóduje data a zahltí všechny počítače během několika minut.

- Plošný DDoS útok, a to například proti páteřním DNS serverům internetu nebo proti významným firemním webům.

- Narušení burzovního trhu šířením falešných informací po webu.

Je vám něco z toho povědomé? Ano: pokud by lidé filozoficky a organizačně spojení s teroristickými organizacemi spustili některý z uvedených útoků, ten bude vypadat naprosto stejně, jako všechny velké útoky, které realizují organizované kriminální skupiny a amatérští hackeři. A proti nimž se firmy snaží poměrně usilovně bránit.

Elektronické vydírání se v roce 2007 většiny uživatelů nedotkne.
Podle některých odborníků náš čeká nová vlna škodlivých programů, tzv. ransomware neboli elektronické únosy - jedná se o virus, který vám zašifruje data a požaduje za jejich zpřístupnění nějaký poplatek. Znáte však někoho, kdo byl touto novou metodou již napaden? Vezměme to z druhé strany - většina virů s sebou nese nějaké náklady. Ransomware se liší pouze v tom, že za jeho návštěvu zaplatíte jiným způsobem, než je hromadné rozesílání mailů nebo smazaná data, jak to chodilo před pár lety. Jasně, že se to občas stalo a bude se stávat i nadále, nicméně počet skutečně ničivých virů se podle mého pozorování prudce snížil. Mám spuštěný antivirový program na domácím počítači (samozřejmě i na firemním, ale o to se stará podnik) a nemohu si vzpomenout, kdy naposledy antivir na domácím či pracovním PC něco zachytil.
Ne, že bych doporučoval vypínání antivirové ochrany, ale nezdá se mi pravděpodobné, že by se nyní objevila smršť nových virů překonávajících všechny ochrany.

Ředitelé nebudou v roce 2007 věnovat větší pozornost bezpečnosti IT.
Různí komentátoři vyjadřovali naděje, že v roce 2007 se ředitelé a představenstva firem konečně probudí a uvědomí si rizika, která jejich firmám plynou z nedostatečně zabezpečených IT systémů. Zřejmě se tak mělo stát v důsledku zákonných norem, které firmy nutí hodnotit rizika. Ne, to se nestane. Vedení firem ve většině společností ani netuší, co vše pro ně IT zajišťuje. A tento pohled bohužel potrvá ještě mnoho let - dokud nenastoupí nová generace vrcholových manažerů.
Přehled průměrného vrcholového manažera nebo člena představenstva se může v této oblasti v průběhu roku 2007 trochu zlepšit, ale zhruba stejným tempem, jako v uplynulých letech. To je něco jiného než říci, že teď to konečně "pochopí".
Já osobně považuji přiblížení IT a podnikání za jeden z nejdůležitějších úkolů světa informačních technologií. Je to však úkol na dlouhá léta. Nezapomeňme, že IT jsou, ve srovnání s podnikatelskými modely, jimž slouží, relativně velmi mladé.
Problém je i v tom, že my IT odborníci se stále příliš moc zabýváme tím, jaké nové funkce umožní našemu IT systému fungovat rychleji a lépe, a zcela nedostatečně tomu, jak daná část IT systému podpoří vnitřní nebo vnější firemní procesy nebo jakou mu přinese konkurenční výhodu. Překonávání této propasti je dlouhodobý proces, který se možná uzavře těsně před mým odchodem do důchodu (autorovi je 40 let, pozn. red.).

Systém Microsoft Vista nebude plný bezpečnostních děr, ale ani nevyřeší všechny naše problémy.
Mám za to, že operační systém Vista bude odolnější než všechny předchozí systémy Microsoftu a dokonce i hůře napadnutelný (při správné instalaci) než některé jiné operační systémy. Krátce po plošné distribuci GA kódu Visty můžeme očekávat několik nových útoků, ale do konce roku 2007 předpokládám silný úbytek úspěšných vážných útoků zaměřených čistě proti systému Vista. Na druhou stranu, sny o neprůstřelném operačním systému nesplní. Domnívám se, že nejenom letos, ale i v příštích letech budeme mít stále dost a dost práce.

Nechtěl bych, aby tyto antipředpovědi budily dojem, že podnikům v roce 2007 nehrozí téměř žádná rizika. Chtěl jsem však zdůraznit, že většina varovných a strach nahánějících předpovědí točících se kolem bezpečnosti IT je přehnaná a nadsazená. K zabezpečení je potřeba přistupovat maximálně realisticky - uvědomovat si nová rizika a problémy, ale zároveň správně vyhodnocovat, co to skutečně může znamenat pro podnikání a provoz firmy.

Simon Perry
Computer Associates,
viceprezident EMEA pro Security Strategy