Monika R.

Monika R. zarządzanie
projektami -
wdrożenia

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo danych (np. banki) a potem wszystko i tak się wali bo jakiś cwaniak im wyprowadza dane? Czy banków nie stać na fachowców z górnej półki? Czy może tym najlepszym bardziej się opłaca działać po drugiej stronie? Jak myślicie, dlaczego duże pieniądze inwestowane w bezpieczeństwo dają tak mizerne efekty. Czy są metody inwigilacji przed którymi nie można się w żaden sposób ustrzec? Zapraszam do wymiany poglądów!

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Myślę, ze to nie jest kwestia pieniędzy, a przynajmniej nie tylko pieniędzy. Za pieniądze wbrew pozorom nie można kupić wszystkiego. To co najczęściej zawodzi w systemach bezpieczeństwa korporacyjnego, w dużych organizacjach jak np. wywołane wcześniej banki to ludzie. Każdy z nich robi swoje i nie szczególnie ma pojęcie co robi kolega. W efekcie nie ma koordynacji a to skutkuje powstawaniem wielu luk w systemie bezpieczeństwa które to są umiejętnie wykorzystywane przy chociażby nieuprawnionym uzyskiwaniu dostępu do informacji chronionych. Zresztą nie tylko w tym zakresie. Duże organizacje często ponoszą sporo niepotrzebnych kosztów tylko dlatego, że szwankuje komunikacja i wymiana informacji pomiędzy działami czy poszczególnymi pracownikami. Każdy kto się przyglądał takiej organizacji doskonale wie o czym mówię i sam pewnie potrafi wskazać masę przykładów.
Marek F.

Marek F. Doradca
Ubezpieczeniowy

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

lojalności nie da się kupić, można ją co najwyżej na chwilę wypożyczyć
Monika R.

Monika R. zarządzanie
projektami -
wdrożenia

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

A znasz może jakiś konkretny przykład dotyczący bezpieczeństwa i odnoszący się do sytuacji o której pisałeś? Jak ten brak koordynacji odbił się na bezpieczeństwie np w jakimś banku? Nie chodzi mi o konkretne porady jak wykradać dane ale o przykładowe zdarzenia (albo hipotetyczne) nie koniecznie jakieś spektakularnie groźne.

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

No cóż... Wkraczamy na grząski grunt :-). Ale OK.
Zapewne znasz bank Millennium. Tam w praktycznie każdym oddziale można zaobserwować skutki takiego właśnie niedopilnowania pewnych kwestii co może prowadzić do naruszeń poufności informacji. Otóż ktoś zaprojektował wygląd oddziału. Zadbał o wszystko. Odpowiednio ustawił stanowiska obsługi klientów tak aby stojąc przed ladą nie można było zbyt łatwo przeczytać informacji wyświetlanych na monitorze. Jeżeli pracownik dochowa procedur i zasad bezpiecznego ustawienia monitora, to klient stojący przy stanowisku nie da rady zobaczyć co jest wyświetlone w danym momencie na monitorze. Czyli pozornie wszystko jest OK. Pozornie bo jak już wspomniałem pracownik powinien dbać o właściwy sposób ustawienia monitora, a to jak pokazuje praktyka nie zawsze ma miejsce, szczególnie że kąt ustawienia najbezpieczniejszy nie koniecznie jest również tym najwygodniejszym.
A wracając do tematu koordynacji między działami.
Większość oddziałów tego banku jest standaryzowana i wygląda bardzo podobnie. Z reguły jest strefa w której poruszają się klienci ograniczona z jednej strony ścianą zaś z drugiej ladą na której znajdują się dwa lub trzy stanowiska kasowe (obsługi klienta), a za tymi stanowiskami też jest ściana. Tak mniej więcej wygląda każdy oddział (pomijam oczywiście inne jego elementy nieistotne z punktu widzenia tego przykładu). Otóż jak już wcześnie wspomniałem, ktoś projektując oddział zadbał o kwestie bezpieczeństwa i to ustawienie jest z wszech miar prawidłowe. Ale jakiś czas później, zapewne jakiś marketingowiec obejrzał sobie oddział i doszedł do wniosku, że taka piękna wielka ściana za plecami stanowisk kasowych i za razem na wprost oczu klientów nie może się marnować i być pusta. Trzeba ja wykorzystać. Jak pomyślał tak zrobił. Zagospodarował ścianę wieszając na niej plakaty promujące poszczególne produkty banku. A żeby było estetycznie to każdy plakat umieścił w ramkach i pod szkłem. I tutaj właśnie powstał problem... Bo o ile zawartości monitora nie da się przeczytać stojąc przed ladą o tyle jakby się odpowiednio ustawić to można bez problemu zobaczyć odbicie zawartości monitora w szybie ramek za którymi umieszczono wspomniane wcześniej plakaty. Oczywiście stojąc w kolejce w oddziale nie da się tego przeczytać z odbicia, ale można sfotografować i później już swobodnie odczytać wspierając się ogólnodostępnym oprogramowaniem komputerowym.
To taki przykład gdzie brak koordynacji spowodował że działania jednego działu poniekąd zniweczyły pracę drugiego.
Może wielkich strat finansowych i dużej utraty informacji nie spowoduje, ale jeden czy dwa spektakularne ujawnienia informacji w ten sposób pozyskanych mogą zdrowo nadszarpnąć reputację banku i zaufanie klientów. A to już może sporo kosztować :-).
Jan Mazur

Jan Mazur Student, Szkoła
Główna Nauk
Ekonomiczno-Społeczn
ych

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Dobre!!!!!!!!!!!!!!!!!!!!!
Aż dziś poszedłem zobaczyć w oddziale czy to prawda i rzeczywiście!!!!!!!!!!!!
Ale jaja!!!!!!!!!!!!!!!!
Moim zdaniem powinni jak najszybciej pozdejmować te reklamy bo to granda! Szczególnie, że właśnie dzięki Panu Arturowi każdy może się dowiedzieć jak zrobić coś na co sam by może nie wpadł!

konto usunięte

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Zgadzam się z Tobą Arturze. To jest grząski grunt. Nawet bardzo grząski więc może byś najpierw pomyślał kto to czyta a dopiero później dawał publicznie takie przykłady?
Michał L.

Michał L. Independent Business
Security Consultant

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

To o czym pisze Artur S. to prawda.
Tak się zdarza gdy personel banku:
a) nie jest świadomy,
b) brak jest prawidłowego nadzoru kogoś "od bezpieczeństwa".
Tak czy inaczej sprowadza się to do dość niskiej kultury w zakresie bezpieczeństwa.
Podstawą bowiem jest świadomość zagrożeń od najniższych do wyższych stanowisk w hierarchii banku i wiem, że są placówki bankowe których dyrektorzy natychmiast reagują na takie "wyklejanki" zgłaszając to do biura bezpieczeństwa. Tym bardziej na awarie lub systemów zabezpieczeń.

Wracając jednak do pytania to uważam, że to pomijając kwestie świadomości personelu nie chodzi bynajmniej o inwestowanie dużych pieniędzy lecz o rozsądne inwestowanie. Nie sztuką jest wydać np. 1mln na CCTV IP z inteligentną analizą obrazów lecz aby sprzęt był dostosowany do specyfiki danego obiektu czyli szyty na miarę.
Ważna jest też lojalność personelu a tutaj to już rolę gra kultura organizacji (i ewentualne testy psychologiczne) oraz komórka bezpieczeństwa ;-)Michał L. edytował(a) ten post dnia 29.07.09 o godzinie 21:58

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Jan Mazur:
Dobre!!!!!!!!!!!!!!!!!!!!!
Aż dziś poszedłem zobaczyć w oddziale czy to prawda i rzeczywiście!!!!!!!!!!!!
Ale jaja!!!!!!!!!!!!!!!!
Moim zdaniem powinni jak najszybciej pozdejmować te reklamy bo to granda! Szczególnie, że właśnie dzięki Panu Arturowi każdy może się dowiedzieć jak zrobić coś na co sam by może nie wpadł!


Myślę, że nie koniecznie trzeba je zdejmować. Nie należy wylewać dziecka z kąpielą :-)
Pomysł z marketingowego punktu widzenia jest OK. Teraz trzeba pomyśleć jak go udoskonalić aby wyeliminować zjawisko o którym pisałem we wcześniejszym przykładzie. Sposobów jest wiele. Można np. odpowiednio oświetlić plakaty albo szybę zastąpić matową plexi lub podobnym tworzywem... Ale zresztą czemu to ja mam się głowić. Jak mi zaproponują konsultacje to się będę zastanawiał co zrobić. Podałem przykład i tyle mnie tutaj :-)

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Michał L.:
Tak się zdarza gdy personel banku:
a) nie jest świadomy,
b) brak jest prawidłowego nadzoru kogoś "od bezpieczeństwa".
Tak czy inaczej sprowadza się to do dość niskiej kultury w zakresie bezpieczeństwa.

Tak się zastanawiam nad Twoją wypowiedzią w kontekście tego co wcześniej napisał Marek " lojalności nie da się kupić, można ją co najwyżej na chwilę wypożyczyć " i wychodzi mi, że przy takim podejściu jak "wypożyczanie lojalności" które jest zjawiskiem powszechnym w naszych firmach, chociaż może mało kto je tak dosadnie nazywa to firma ma niewielkie pole manewru w zakresie bezpieczeństwa. Podstawą jest chyba zmiana mentalności i nastawienia do firmy, co znacznie przekracza kompetencje dz. bezpieczeństwa a dopiero na tym można budować politykę bezpieczeństwa, bo jak ludzie mają takie podejście to właściwie każdy system prędzej czy później zawiedzie.
I moim zdaniem to bardziej kwestia kultury ogólnej organizacji jako całości a dopiero w dalszej kolejności kultury w zakresie bezpieczeństwa. To kwestia motywacji i relacji wewnątrz organizacji. Nie sposób zabezpieczyć wszystkiego, a szczególnie ludzi i to bez ich współpracy i zaangażowania.
Katarzyna R.

Katarzyna R. Naj­piękniej­szych
chwil w życiu nie
zap­la­nujesz. One
p...

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Zastanawiam się Panie Arturze skąd przyszło to Panu do głowy.
Ścianki za kasami są mniej więcej w odległosci jakieś 1,5 m. Trzeba mieć nie lada wzrok, a żeby cokolwiek odczytać. Programy które stosujemy w banku mają naprawdę małą czcionke, więc też odczyt jest jakby utrudniony. Owe ramki o których Pan pisze to zwykkłe plastikowe pleksje. Nie są z żadnego szkła.

Jestem nieco zadziwiona tą wypowiedzią i obiecuję, że jutro to sprawdze ;)))

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Pani Katarzyno, chyba nie dość dokładnie przeczytała Pani moją wypowiedź. Ja wyraźnie napisałem:
" Oczywiście stojąc w kolejce w oddziale nie da się tego przeczytać z odbicia, ale można sfotografować i później już swobodnie odczytać wspierając się ogólnodostępnym oprogramowaniem komputerowym."
Oczywiście, że ma Pani rację co do wielkości literek i ich nieczytelności w odbiciu. Ale jeżeli przyjmujemy, że informację chce przeczytać ktoś zawodowo zajmujący się pozyskiwaniem tego typu informacji, to zapewne nie będzie próbował tego czytać stojąc w kolejce, ale zwyczajnie sfotografuje odbicie. Prawdopodobnie wykona nawet kilkadziesiąt zdjęć w pewnych odstępach czasu zakładając zmiany na monitorze których nie widzi (kolejne wyświetlane informacje). Później z takiego zdjęcia, nawet pozornie niewidoczny tekst będzie w stanie odczytać wykorzystując w tym celu odpowiednie oprogramowanie komputerowe (wyostrzające, filtrujące, rozwarstwiające itd.). Zapewniam, że jest to realne, nawet jeżeli gołym okiem nawet odbicie będzie niewidoczne albo widoczne jedynie jako cień czy plama o nieregularnych kształtach wskazująca na odbicie czegoś w czym gołym okiem nie da się rozpoznać nawet kształtu monitora.
Jakub J.

Jakub J. Graphic Designer

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

By nie być gołosłownym proponuję by Artur stanął w kolejce, wyciągnął aparat i pokazał kilka przykładowych zdjęć... o ile uda się mu w ogóle je zrobić.

JJ
Michał L.

Michał L. Independent Business
Security Consultant

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Artur S.:
Michał L.:
Tak się zdarza gdy personel banku:
a) nie jest świadomy,
b) brak jest prawidłowego nadzoru kogoś "od bezpieczeństwa".
Tak czy inaczej sprowadza się to do dość niskiej kultury w zakresie bezpieczeństwa.

Tak się zastanawiam nad Twoją wypowiedzią w kontekście tego co wcześniej napisał Marek " lojalności nie da się kupić, można ją co najwyżej na chwilę wypożyczyć " i wychodzi mi, że przy takim podejściu jak "wypożyczanie lojalności" które jest zjawiskiem powszechnym w naszych firmach, chociaż może mało kto je tak dosadnie nazywa to firma ma niewielkie pole manewru w zakresie bezpieczeństwa. Podstawą jest chyba zmiana mentalności i nastawienia do firmy, co znacznie przekracza kompetencje dz. bezpieczeństwa a dopiero na tym można budować politykę bezpieczeństwa, bo jak ludzie mają takie podejście to właściwie każdy system prędzej czy później zawiedzie.
I moim zdaniem to bardziej kwestia kultury ogólnej organizacji jako całości a dopiero w dalszej kolejności kultury w zakresie bezpieczeństwa. To kwestia motywacji i relacji wewnątrz organizacji. Nie sposób zabezpieczyć wszystkiego, a szczególnie ludzi i to bez ich współpracy i zaangażowania.

Zgadzam się i podtrzymuję wcześniejszą opinię.
Brak świadomości personelu (pkt.a) to właśnie kwestia kultury ogranizacyjnej.
Tutaj też kłania się ciążący od lat błąd w kwestii ocen pracowniczych i obsługi psychologicznej. Według badań tylko ok.20% firm w skali Polski korzysta z pomocy profesjonalnego psychologa np. w rekrutacji. A poprawnie przeprowadzona rekrutacja (i użyte baterie odpowiednich testów) potrafią wychwycić osoby które albo nie powinny pracować w danej organizacji albo na które należy zwrócić uwagę. Myślę oczywiście o testach psychologicznych a nie o dość popularnej Metodzie Thomas International itp.. Ciekawostka: podczas szkolenia trener zapytany o wartości psychometryczne Metody Thomas Intl. odparł, że to są dane poufne?! :-))) Czyli pic na wodę.
Wracając jednak do zmiany mentalności i kultury organizacyjnej to moim zdaniem dużą rolę powinien tu ogrywać dział bezpieczeństwa lub osoba za bezpieczeństwo odpowiedzialna. Osoba ta powinna posiadać nie tylko wiedzę z zakresu bezpieczeństwa ale i szczególnie z psychologii, zarządzania, marketingu i PR, IT, prawa, BHP, i w zależności od profilu działalności pracodawcy finansów, produkcji, medycyny i innych. Wszystko bowiem się przydaje w codziennej pracy ;-)
Michał L.

Michał L. Independent Business
Security Consultant

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Jakub J.:
By nie być gołosłownym proponuję by Artur stanął w kolejce, wyciągnął aparat i pokazał kilka przykładowych zdjęć... o ile uda się mu w ogóle je zrobić.

JJ

Chyba nie w tym kierunku idzie dyskusja.
Myślę, że osoba zajmująca się zdobywaniem informacji mogłaby to udowodnić - kwestia sprzętu i umiejętności. Tylko po co?

Może niekoniecznie powinno się podawać nazwę banku ale skoro już padła to nasuwa się skojarzenie z napadami na banki. Sprzęt czy ludzie zawodzą?

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Nie będę wdawał się w dyskusję nt. możliwości sprzętu foto oraz robienia nim zdjęć z ukrycia, bo wydaje mi się, że każdy kto ma jakakolwiek profesjonalną styczność z tą branżą doskonale wie jakie są możliwości w tym zakresie.

Jeżeli chodzi o podanie nazwy, to uważam, że jest pewna grupa instytucji których nazwy w takim kontekście można, a nawet trzeba podawać, a banki są na jej czele. Ale można się z tym nie zgodzić.

Co do banku Millennium, to nie postrzegam go jako szczególnie źle zabezpieczonego na tle pozostałych. Odpowiadając na pytanie podałem pierwszy z brzegu przykład jaki mi przyszedł do głowy. Trafiło w ten bank czystym przypadkiem. Jeśli bym komuś ewentualnie chciał odradzić współpracę z tym bankiem, to na 100% nie argumentowałbym tego kwestiami bezpieczeństwa banku.

Niepokojąca wydaje mi się z punktu bezpieczeństwa inna kwestia, której objawy tutaj obserwujemy. Swoiste zaklinanie rzeczywistości. Jak długo będziemy upierać się, że wszystko jest dobrze, tak długo będzie dobrze. Powiem krótko, taka metoda niekiedy sprawdza się w PR. W bezpieczeństwie zawodzi zawsze.

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Michał L.:
Może niekoniecznie powinno się podawać nazwę banku ale skoro już padła to nasuwa się skojarzenie z napadami na banki. Sprzęt czy ludzie zawodzą?


Swoją drogą to ciekawe pytanie. Ja się zastanawiam czy w ogóle coś zawodzi? Niekiedy odnoszę wrażenie, że te napady są niejako wkomponowane w politykę banku. Ktoś zrobił kalkulację i ocenił, że utrata stosunkowo niewielkich pieniędzy (bo przecież te mini oddziały na które napady są najczęstsze praktycznie nie dysponują gotówką) jakie ginął w trakcie napadu jest mniejszym kosztem niż solidne zabezpieczenie.

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Michał L.:
Wracając jednak do zmiany mentalności i kultury organizacyjnej to moim zdaniem dużą rolę powinien tu ogrywać dział bezpieczeństwa lub osoba za bezpieczeństwo odpowiedzialna. Osoba ta powinna posiadać nie tylko wiedzę z zakresu bezpieczeństwa ale i szczególnie z psychologii, zarządzania, marketingu i PR, IT, prawa, BHP, i w zależności od profilu działalności pracodawcy finansów, produkcji, medycyny i innych. Wszystko bowiem się przydaje w codziennej pracy ;-)


Zgadzam się. Menadzer Bezpieczeństwa to chyba najbardziej interdyscyplinarne stanowisko w firmie. Całkiem niezle zostało to ujęte tutaj: http://www.goldenline.pl/forum/cso-szkolenia-realizacj... Choć sądząc po komentarzu nie wszyscy problem zrozumieli. Tak czy siak warto przeczytać. Polecam :)
Michał L.

Michał L. Independent Business
Security Consultant

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Artur S.:
Michał L.:

Może niekoniecznie powinno się podawać nazwę banku ale skoro już padła to nasuwa się skojarzenie z napadami na banki. Sprzęt czy ludzie zawodzą?


Swoją drogą to ciekawe pytanie. Ja się zastanawiam czy w ogóle coś zawodzi? Niekiedy odnoszę wrażenie, że te napady są niejako wkomponowane w politykę banku. Ktoś zrobił kalkulację i ocenił, że utrata stosunkowo niewielkich pieniędzy (bo przecież te mini oddziały na które napady są najczęstsze praktycznie nie dysponują gotówką) jakie ginął w trakcie napadu jest mniejszym kosztem niż solidne zabezpieczenie.

Koszt utraty gotówki to jedno a reputacji to drugie ;-)
Warto by sięgnąć do badań na temat opinii o bankach na które dokonywane są napady. Ryzyko ryzykiem ale taki napad to a) uderzenie w reputacje i zaufanie do solidności/niezawodnosci instutycji, b) zdarzenie kryzysowe wywołujące określone działania (lub nie) oraz powodujące dodatkowy stres u pracowników.
Może to też kwestia ambicji osób zarządzających. Znam osoby z bankow, którym nie przyszło by na myśl aby napad na bank tylko wkalkulować w ryzyko i nic z tym nie zrobić. Jeśli bank ma być bezpieczny dla funduszy klientów to i dla nich samych bo nie wiadomo jak napad będzie przebiegał. Choć samo uczestniczenie jako świadek podczas napadu pozostawia pewne piętno w psychice.

Zabezpieczenia też nie są drogie. Zależy co mamy na myśli.
Wystarczy spojrzeć na europejski Raport o napadach na banki. Od lat najistotniejszą rolę grają tam zabezpieczenia organizacyjne a nie techniczne. Jeśli jednak już techniczne to pomijając multisejfy czy sejfy, to mały system CCTV czy SSWiN obecnie też nie stanowi tak kolosanych kwot jak kilka lat temu.
Brałem udział w kilku szkoleniach personelu banków i stwierdzam, że znacznie zwiększył się poziom świadomości. To czego jeszcze brakuje to współpracy z organami scigania. O ile banki mogą wiedzą się podzielić to nie ma wzajemności a wiadomo, że sieci banków mają znacznie szybszy obieg informacji (i możliwości) niż policja. Dzięki takiej współpracy (choć trochę wymuszonej) kilka lat temu udało się zatrzymać tzw. "bankowca". Niestety znaleźli się naśladowcy. No ale skoro jakiś "dziennikarz" na dużym i znanym portalu pisze, że napady na banki to "prosty i stosunkowo bezpieczny sposób na zdobycie szybkich pieniędzy" to czemu się dziwić.

Temat: Dlaczego firmy ładują tak ogromną kasę w bezpieczeństwo...

Wydaje mi się, że ten dziennikarz w pewnym sensie ma rację. I choć może promowanie tego stanu nie jest wskazane, głownie ze względu na pracowników i klientów którym może się kolejna taka "przygoda" przydarzyć gdy ktoś poczuje się takim artykułem zainspirowany, to fakt pozostaje faktem. Mini oddziały są praktycznie nie zabezpieczone. Już nawet konwój dowożący im gotówkę jest lepiej chroniony fizycznie.
Obecność podczas napadu to trauma dla klientów i pracowników. Ale po to są szkolenia aby przynajmniej tych drugich przygotować, choć do końca zapewne nigdy się nie da.
A co do świadomości, to rzeczywiście wzrasta. Myślę, że nie tylko wśród pracowników banków, ale ogólnie w społeczeństwie. I to dobrze. Ale nie zapominajmy, że profesjonalizm intruzów też nie stoi w miejscu. Gorzej, że często brak pomysłu zastępuje brutalność.
Dobrze by było gdyby media podobnym zaangażowaniem jak przy relacji z napadu na bank wykazywały się przy relacjonowaniu zatrzymania sprawców i ich skazywaniu przez sądy.



Wyślij zaproszenie do