Čoraz častejšie sa stretávame s diskusiami o bezpečnosti rôznych technických zariadení používaných štátom, firmami aj bežnými používateľmi. A spolu s nimi sa opakuje jedna veta: Zariadenie má certifikát.
Lenže práve tu vzniká zásadná otázka – aký certifikát a čo vlastne potvrdzuje?
Certifikát môže dokazovať veľmi rozdielne vlastnosti. Môže potvrdiť, že zariadenie správne meria, spĺňa určitú technickú normu, požiadavky na elektromagnetickú kompatibilitu alebo podmienky prevádzky. To však ešte automaticky neznamená, že bolo dôkladne preskúmané aj z pohľadu informačnej či kybernetickej bezpečnosti.
Slovo „certifikované“ by nemalo automaticky znamenať „bezpečné“. Význam a aj samotný proces bezpečnostnej certifikácie je exaktný a náročný.
Zjednodušene povedané, pri bezpečnostnom hodnotení sa zariadenie „rozoberie do šróbika“. Neskúma sa iba to, či plní svoju hlavnú funkciu. Posudzujú sa jeho hardvérové komponenty, plošné spoje, vstupy a výstupy, komunikačné rozhrania, softvér, spôsob aktualizácie, správa prístupov, kryptografické mechanizmy, dokumentácia aj možné zraniteľnosti.
Rovnako dôležité je preveriť, kam zariadenie komunikuje, aké údaje spracúva, kto k nim môže pristupovať. Preveruje sa, či je možné zariadenie ovládať alebo meniť jeho funkcionalitu spôsobom, ktorý používateľ neočakáva.
Bezpečnostná certifikácia však súčasne neznamená, že zariadenie je absolútne bezpečné za každých okolností. Znamená, že bolo posúdené podľa jasne stanovených bezpečnostných požiadaviek a zároveň boli určené podmienky ako ho možno bezpečne používať.
Tento princíp je dlhodobo samozrejmosťou napríklad pri prostriedkoch určených na ochranu citlivých a utajovaných informácií. Nestačí totiž iba tvrdenie výrobcu, že jeho zariadenie používa silné šifrovanie alebo moderné bezpečnostné mechanizmy. Rozhodujúce je nezávislé odborné overenie, ako sú tieto mechanizmy implementované a či ich nemožno obísť.
Pri technológiách, ktoré pracujú s citlivými údajmi alebo sú pripájané do dôležitých informačných systémov, by sme sa mali pýtať viac.
Kto zariadenie certifikoval? Čo presne bolo predmetom hodnotenia? Podľa akých kritérií? Boli skúmané komunikačné rozhrania, dátové toky, softvér, vzdialený prístup či možnosti aktualizácie?
Preto najdôležitejšia otázka neznie: Má toto zariadenie certifikát? Zásadná otázka v bezpečnosti znie: Čo tento certifikát skutočne potvrdzuje?
Hodnota bezpečnostnej certifikácie je najmä v tom, že dôveru vo výrobcu nahrádza nezávislý a overiteľný dôkaz o bezpečnosti produktu.
Bibiana Magáthová riaditeľka divízie
Alison Slovakia