Fysisk edb-sikring EN EIRM NETWORK HÅNDBOG. kopiering tilladt med kildeangivelse. Network

Transkript

1 Fysisk edb-sikring kopiering tilladt med kildeangivelse Network

2 Introduktion Publikationen har til formål, at informere om hvorledes man med enkle tiltag og sund fornuft kan forhindre tyveri af edb-udstyr. Publikationen er opbygget med konklusioner først, efterfulgt af mere tekniske beskrivelser. Hvorfor sikre? Erfaringer viser, at der stjæles edb-udstyr i danske virksomheder og institutioner som aldrig før men også at skadeudgiften ved disse tyverier til stadighed er stigende (på trods af, at priserne på hardware falder). Der er en tendens til, at tyvene skifter interesseområder indenfor tyveri af edb-udstyr. I perioder var de primært interesseret i komplette løsninger, så var det ram, senere var det bundkort og nu er det fladskærme. Samtidig siger erfaringen, at tyverialarmanlæg (elektronisk alarmovervågning) ofte kun har en begrænset effekt, da det gennemsnitlige tyveri af én computer varer ca. 90 sekunder. Den garanterede gennemsnitlige udrykningstid ved tyverialarmer er ca. 20 minutter. Der kan altså stjæles en række computere, inden vagtselskab og eventuel politi er fremme! Erfaringer viser også, at første indbrud ofte følges op af yderligere indbrud 2-3 uger efter. Her stjæles det nyindkøbte/nyleverede edb-udstyr, og ofte er første indbrud blot foretaget, for at man kan lave et opfølgende indbrud! Det er derfor vigtigt at sikre, og mange har også erfaret, at når de havde sikret deres edb-udstyr, så kom der ikke flere indbrud eller indbrudsforsøg. De mange virksomheder og institutioner, der har haft edb-tyveri, kan alle fortælle, at de ikke fik arbejdet effektivt i en, to eller tre dage. Opsparet viden mistes, ugers, måneders eller års arbejde er måske gået tabt, eksamen kan ikke afholdes, produktionsstop indtræffer og meget mere. Typisk vurderes konsekvenserne af tyveri af edb-udstyr i en række materielle værdier - men der er også en række immaterielle værdier som imagetab, medarbejdertryghed, tag af fortrolighed og meget mere - værdier der kun vanskeligt kan opgøres - men som ofte viser sig at være endog særdeles væsentlige. Det kan altså være katastrofalt og tyveriet kan få større konsekvenser end man umiddelbart kan forestille sig. Denne håndbog er skrevet af European Institute for Risk Management A/S og stillet til rådighed for EIRM Network. European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 2

3 Konklusion Det er vanskeligt at give en generel konklusion på hvordan man optimalt sikrer edb-udstyr. Men skal vi prøve, kan følgende tommelfingerregel anvendes: SKAL Der installeres en form for elektronisk overvågning der medfører en sikker vagtreaktion. Der anvendes en vagt der hurtigt kommer frem når alarmen er gået. Glaslister sikres med envejs-skruer og der monteres sikringsbeslag på vinduerne. Udstyret fjernes minimum 100 centimeter fra vinduer og åbninger samt gemmes. Alt edb-udstyr sikringsmærkes. BØR Pc ere sikres i sikringskabinetter og fladskærme med en specialløsning. Er der en særlig stor værdikoncentration af edb-udstyr sikres yderligere med en tågegenerator (som komponent på alarmsystemet) alternativt eller supplerende med gitre for vinduerne. KAN Der monteres/anvendes genfindingssystemer hvis man vil fange tyven én gang for alle (til han/hun slippes fri) eller vil have yderligere præventiv sikring. På de efterfølgende sider kan der læses mere om de forskellige sikringsbegreber. European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 3

4 Kort fortalt om sikring Indledningsvis skal siges: Intet kan desværre sikre en virksomhed eller institution 100%. Det handler om at have den optimale kombination af fysisk sikring, elektronisk overvågning, taktisk sikring, aktiv sikring (eksempelvis sikringståge og genfindingsystemer) og menneskelig sikring (eksempelvis vagt), som tilsammen giver optimal sikkerhed. Disse 5 områder kaldes populært sikringens fem-enighed, og de fire førstnævnte vil blive gennemgået i det efterfølgende. Den optimale kombination af sikring skal, ud over værdiopgørelsen af det der skal sikres, også vurderes på grundlag af viden om eksempelvis virksomhedens eller institutionens geografiske beliggenhed, områdets kriminalitet, virksomhedens eller institutionens bygningsmæssige kvaliteter og meget mere. Kort sagt, risikostyring bør inddrages! Illustration af de 4 geografiske sikringsområder med de vigtigste tjekpunkter Perimetersikring Nærtstående træer/pæle Skalsikring Døre/vinduer Nærtstående træer/pæle Indgangspartier Bagindgange Hegnets højde og styrke Porte og låger Adgangsveje Cellesikring Lokalernes tilstand Døre, vægge og interne vinduer Objektsikring Værdiopbevaringsenheder Sikringskabinetter Sikringsmærkning Kort om sikringsbegreberne Elektronisk overvågning Elektronisk overvågning er betegnelsen for automatiske indbrudsalarmanlæg (AIA-anlæg), TV-over-vågning (ITV-anlæg), adgangskontrol (ADK-anlæg) og lignende. Vi definerer normalt elektronisk overvågning som sikringssystemer der registrerer et indbrud og videresender information om dette til en godkendt kontrolcentral eller anden modtager. Der er tale om systemer der stresser tyven i form af akustisk lydsirener (eventuelt også lys) der i kombination med alarmudrykning giver tyven mindre tid - men de forhindrer ikke direkte et tyveri. Der bør som minimum være et alarmsystem med rumovervågning i de lokaler, hvori der er placeret edb-udstyr. Rumovervågningen medfører, at maskinerne kun kan være overvåget, når der ikke er mennesker i bygningen, hvilket kan være en ulempe. Derfor kan man alternativt vælge at sikre skallen på bygningen, således at man frit kan færdes i virksomheden/institutionen, selvom alarmen er slået til. European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 4

5 En del vælger at installere TV-over-vågning som vi også har meget positive erfaringer med - specielt når disse systemer kombineres med alarmreaktion. Der er flere der anvender mobile overvågningssystemer der periodevis flyttes rundt mellem de enkelte lokationer/lokaler. Det er en fin ide, men man skal være opmærksom på, at man så løber en risiko der hvor systemet ikke er placeret. Fysisk sikring Vi definerer fysisk sikring som sikringssystemer der fysisk hindrer eller gør et tyveri mere besværligt. Fysisk sikring opdeles i 4 begreber: Perimetersikring (ejendommens omkreds med hegn og lign.), skalsikring (bygningens skal, der sikres med gitre, låse og beslag), cellesikring (lokale, der sikres med gitre, stålplader og lign.) og endelig objektsikring (sikring af enkelte inventardele, edb-udstyr og værdigenstande i skabe eller ved fastboltning). Låse Alle udvendige døre bør være aflåste med mindst én Skafor godkendt låseenhed. Det er vigtigt, at anvende dirkesikre låse da man hermed typisk ikke vil kunne have et indbrud uden tegn på indbrud hvilket blandt andet er relevant i forbindelse forsikringsdækning (læs vor publikation Kode 12 angreb ). Vinduer og døre Særlige udsatte indgange til bygningen/lokalerne bør sikres med gitre eller alternativt kan lokalerne sikres med sikringståge (se separat afsnit). Placer eventuelt persienne i vinduerne så maskinerne ikke kan besigtiges i dagtimerne. Vi anbefaler også i stor udstrækning at sikre glaslister med envejsskruer samt at montere sikringsbeslag på vinduerne. Man skal dog være opmærksom på at såfremt vinduer er redningsåbninger eller andet form for flugtvej, bør man sikre, at der fra brandmyndighederne er accept for aktuelle tiltag. Pc-sikring Der findes mange metoder til at sikre pc-udstyr fysisk. Desværre er det oftest sådan, at jo kraftigere sikringen er, jo mere besværligt bliver det for brugerne. Derfor er man nødt til at gå på kompromis med fleksibiliteten og funktionaliteten for ikke at få stjålet edb-udstyr. Fælles for alle fysiske sikringsløsninger er, at de bør fastboltes forsvarligt til fast bygningsdel. Såfremt sikringsløsningerne monteres på borde og lignende, bør de fastboltes med gennemgående bolte og/eller med kraftig dobbeltklæbende tape samt skruer. Derfor anvendes oftest kabinetsystemer hvori hard-disken placeres (prisniveau kr. 800,00 til 2.500,00) som skrues fast til bord/gulv eller væg. Kabelsystemer (prisniveau kr. 150,00 til 500,00) bør ikke anvendes som sikring (med mindre de anvendes sammen med eksempelvis sikringståge- eller genfindingssystemer), men kan eventuelt anvendes til mindre printere, telefoner og monitorer, der ofte ikke kan sikres med kabinetter. Fladskærme er vanskelige at sikre, hvorfor man i praksis vælger specialdesignet løsninger eller kombinationer af de forskellige sikringsløsninger. Der er set flere nye systemer til sikring af fladskærme - løsninger, der sikrer fladskærmens fod. Vi har på det seneste hørt om en del virksomheder og institutioner der ganske enkelt ikke længere anvender fladskærme, da de er for tyveriattraktive! En anden vanskelig ting at sikre er programlåse (hardwarelåse/donkels). De kan sikres ved, at hele edb-udstyret opbevares i et pc- eller serverskab eller ved at indbygge hardwarelåsene i pc erne, og så aflåse hele pc eren i et kabinetsystem. Det billigste alternativ er dog, at bruge de såkaldte SmartCables hvor man ganske enkelt flytter donklen (hardwarelåsen) eksempelvis 180 cm væk fra pc eren ved, at anvende et 180 cm langt kabel der monteres mellem pc eren og donklen. Dermed reduceres sandsynligheden for tyveri af donklen væsentligt - ikke mindst - hvis man samtidig eksempelvis fastgør donklen med dobbeltklæbende tape under bordet. Serversikring Vil ikke blive særskilt beskrevet i nærværende publikation, da der er så mange individuelle forhold der skal tages i betragtning i forbindelse med dette. Som udgangspunkt anbefales dog, at man sikrer serverne endnu bedre end pc erne. European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 5

6 Taktisk sikring Taktisk sikring definerer vi som "sikringssystemer" der i stor udstrækning baseres på sund fornuft, eksempelvis, at placere værdier så de ikke er synlige udefra, at fjerne værdier fra skriveborde og vindueskarme, huske at låse døren og så fremdeles. En typisk form for taktisk sikring er sikringsmærkning (se eksempler). Det er dog vigtigt at være opmærksom på, at mærkning ikke kan stå alene som sikringsmetode, da mærkning reelt kun kan forebygge tyveri, ved at gøre det svært for tyven selv at besidde eller sælge udstyret. Mærkning kan ske med ridsepen, gravørmaskine, pillesikre etiketter og kemisk ætsning. Mærk så stort og tydeligt som muligt, og såfremt du kan leve med det, så gør det så grimt som muligt! Sikringsmærkning Edb-udstyret bør desuden placeres således, at det ikke umiddelbart kan ses eller nås udefra ved blot at knuse en rude. Bærbare computere er specielt udsatte, da de er nemme at fjerne, og bør derfor altid gemmes i et sikringsskab hvis de ikke medbringes. Placering af servere bør ikke ske i lokaler med nemt tilgængelige vinduer og døre, men bør gemmes af vejen - dog ikke i en fugtig kælder med risiko for oversvømmelse. Taktiske sikringsforanstaltninger Edb-udstyr bør placeres minimum 100 centimeter fra åbningerne (døre og vinduer). Samtidig bør alt tyvetækkeligt udstyr mærkes med kemisk ætsende sikringsmærkning med virksomhedens/ institutionens navn og eventuelt logo samt et tydeligt tyverisikret. En godt råd er at skilte med den sikring man har. Det vil sige, at der eksempelvis skal alarmskilte op og gerne så mange som muligt og anvendes sikringsmærkning bør man også skilte med dette. Vi har alle piktogrammer tilgængelige på vor hjemmeside. Aktiv sikring Vi definerer aktiv sikring som systemer, der aktivt forhindrer indbrud eksempelvis usynliggøre objekter med tåge, destruerer værdier ved forsøg på tyveri og lignende. Aktiv sikring er et relativt nyt fænomen og de forskellige sikringsmetoder får enorm mediedækning - dels da det er nyt - men også fordi de repræsentere løsninger der virker og er løsninger der reelt giver flere sikringsmuligheder end de traditionelle metoder. Det er dog vigtigt at være opmærksom på, at aktiv sikring også sjældent kan stå alene og derfor bør kombineres med de andre sikringsformer. Sikringståge Hensynet til fleksibilitet i kontorer og undervisningslokaler samt dårlige erfaringer med de traditionelle sikringssystemer har medført en stor fokus på sikringståge. Vi anbefaler systemerne, men mener de bør kombineres med de øvrige sikringsformer. Dels udgør en tågegenerator trods alt kun ét punkt der skal uskadeliggøres og dels er tågegeneratorer typisk ikke virksomme indenfor åbningstid. Dette har vi lavet en separat publikation om der kan downloades gratis fra vor hjemmeside på Vore erfaringer med tågegeneratorer er meget positive, hvis de monteres korrekt og testes løbende. Det har nemlig vist sig, at leverandørerne ofte sjusker med projektering, installation og test. Vi anbefaler at der altid laves en demonstration af systemet der hvor det skal installeres. European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 6

7 Genfindingssystemer Her taler vi om systemer hvor man kan søge efter udstyret via GPS, GMS, landmobilradio eller via internettet (IP-adresser). Vi overvejer at udarbejde en separat publikation om emnet da der efterhånden er ganske omfattende muligheder og flere forskellige systemer. Man skal inden installationen af genfindingssystemer overveje hvorvidt man ønsker at anvende systemet præventivt eller til opklaring af tyverier. Politiet har stor interesse i genfindingssystemer, da de giver større mulighed for opklaring ved at man reelt kan pejle/søge efter udstyret og dermed typisk også finde tyven, hæleren og/eller køberen. Skal man anvende systemet præventivt skal man skilte med tyverisikring for at opnå effekten. Men med genfindingssystemer beror det på en individuel afgørelse hvor man skal vurdere hvad man vil. Anvendes genfindingssystemer med opklaring som målsætning bør dette under alle omstændigheder drøftes med det lokale Politi inden og man skal også overveje sandsynligheden for, at man reelt får stjålet netop det udstyr der monteres med sikringen. Som udgangspunkt skal man dog være opmærksom på at genfindingssystemer ikke kan stå alene som sikringsmetode da de reelt ikke forhindrer tyveri. Køb af brugt computerudstyr Det er vigtigt at være opmærksom på, at der årligt bliver stjålet for millioner af kroner computerudstyr, der efterfølgende afsættes af hælere både nationalt og internationalt. Afsætningskanalerne formodes at være flersidet. Det betyder desværre, at man som både privat og professionel indkøber kan komme i kontakt med varmt udstyr det være komplette computere eller komponenter til computere computere i original emballage og meget mere. Hæleren er lige så god som stjæleren straffen er den samme. Det er meget vigtigt, at man er opmærksom på problematikken ved køb af brugt computerudstyr, men det er vanskeligt at kontrollere, om man får varme varer. Der er netop kommet en ny løsning på markedet, hvor udstyret kan scannes via Internettet. En dansk producent af et Internet baseret genfindingssystem har netop lanceret en gratis mulighed for, at man via deres hjemmeside kan scanne computeren for dele som eventuelt er registreret i deres efterlysningsdatabase (denne database oplyses at indeholde oplysninger om tusindvis af computere, som har deres program installeret). Det oplyses endvidere, at der ved scanningen ikke registreres personlige oplysninger eller oplysninger om software eller dokumenter, der er gemt på computeren. Hvis det ved scanningen bliver konstateret, at der ikke er nogen komponenter i computeren, som på tidspunktet for scanningen er registreret som efterlyste i efterlysningsdatabase, bliver oplysningerne slettet igen. Hvis scanningen konstaterer, at computeren indeholder komponenter som er registreret som værende stjålet, vil informationerne kunne blive brugt af politiet i en efterforskningssag. Ud over disse scanningsmuligheder er det primært den sunde fornuft, der kan danne grundlag for en beslutning om køb eller ej. Under alle omstædigheder skal man være varsom! European Institute for Risk Management A/S KomuneForsikring-koncernen Telefon Kopiering tilladt med kildeangivelse side 7

8 EIRM Network International Denmark Krumtappen 2 DK-2500 Valby Phone Fax eirm@eirm.net Norway Kjøpmannstredet N-2022 Gjerdrum Phone Fax norway@eirm.net Sweden Vallgatan 12, S Åhus Phone sweden@eirm.net