Gode råd til en sikker it-adfærd It-sikkerhed starter og slutter med dig! Hvis du benytter dig af denne folders 18 gode råd, er både du som personlig bruger og bruger af Aarhus Universitets it-udstyr på vej mod en mere sikker hverdag med it. 1
Sikker it-adfærd, hvorfor? Der findes utallige eksempler på, at folks data og informationer bliver kompromitteret på mange måder og af forskellige karakter. I sådanne tilfælde er det ikke kun data og informationer der bliver kompromitteret, men i lige så høj grad brugernes tiltro og fortrolighed med de it-systemer, hvor de har oplevet sikkerhedsbrud. Det er derfor vigtigt for en organisation som Aarhus Universitet (AU), at sikre at informationssikkerheden er på et så højt et niveau som muligt, da det ellers vil skade den tiltro universitetets bruger har af deres arbejdsredskaber, samt den opfattelse omverdenen har af AU som en troværdig organisation. Informationssikkerhed på AU vedrører derfor alle der arbejder og benytter sig af it-systemer. Alle studerende, videnskabelige medarbejdere, teknisk-administrativt personale og alle som i øvrigt har deres gang på universitetet har et ansvar for ikke at være med til at sprede sikkerhedsproblemer til andre, og at de selv lever op til nogle basale sikkerhedsforskrifter. De nedenstående 18 gode råd til en sikker it-adfærd er et tillæg til Aarhus Universitets informationssikkerhedshåndbog, som omhandler universitetets generelle sikringsforanstaltninger af informationsaktiver. Informationssikkerhedshåndbogen følger standarden DS484, som er den obligatoriske informationsstandard for statens institutioner. Informationssikkerhedshåndbog omhandler metodikker og forskrifter på, hvordan AU sikre sine informationsaktiver. Denne folder er et tillæg til informationssikkerhedshåndbogen, og ved tvivlsspørgsmål omkring hvordan man sikre sine informationsaktiver, er det informationssikkerhedshåndbog eller AU sikkerhedsansvarliges afgørelser der er gældende Hvem har ansvaret for it-sikkerheden? Mange tror at it-sikkerhed er noget computeren selv sørger for, eller at det er den lokale IT-afdelings ansvar at opretholde it-sikkerhed på alle computere, men denne tankegang er langt fra rigtig og dækkende. Det gælder for it-sikkerhed at: det største sikkerhedshul er dig, der sidder bag skærmen! Hvis du som it-bruger ikke sørger for, at din computer og dit netværk er tilstrækkelig sikret og opdateret, eller at dine passwords er svære at regne ud, så er det dig, der udgør den største sikkerhedsrisiko, både for dig selv, men også for alle andre der er på dit netværk (= internettet = resten af din omverden). Opretholdelse af it-sikkerhed er ikke kun et spørgsmål om at sikre dine oplysninger eller din computer, men i højere grad en kontinuerlig proces der sikre, at sikkerheden i alle netværk og computere er på så højt et sikkerhedsniveau, at ingen eksterne skadevoldere kan få adgang til de informationer og data som AU bruger i sit daglige virke, og som oftest er af fortrolig karakter. Hvad kan jeg selv gøre noget, og hvad sørger de andre for? En del af nedenstående punkter er automatisk sikret gennem universitetets generelle sikkerhedsforanstaltninger, men de enkelte råd kan være med til at give en viden om, hvordan man 2
udviser sikker it-adfærd så man minimerer ens risiko for tab af data og informationer. Ligeledes kan de enkelte råd benyttes når der arbejdes med den personlige computer i hjemmet eller når ens arbejdet foregår fra en distancearbejdsplads. Ved nedenstående råd er der henvisninger til guides til sikring af de enkelte råd. Disse guides findes bagerst i denne folder, og er forklaringer på hvordan man rent praktisk sikre at man opfylder de enkelte råd. Det er en god ide, at tjekke alle råd og guides igennem for at sikre sig, at ens computer har de rette indstillinger, samt at man er fortrolig med omgangen med af de enkelte sikkerhedsråd. 18 gode råd til en sikker it-adfærd Man kan inddele informationssikkerhed i to retninger 1. Beskyttelse af eget udstyr, samt minimering af risikoen for at sprede sikkerhedsproblemer til andre bruger 2. Beskyttelse af personlige og fortrolige oplysninger Listen over måder at minimere sikkerhedsproblemer på er lang, men følgende punkter er nogle enkle og nemme metoder til at sikre at din it-adfærd ikke bliver det svageste led i kampen mod informationssikkerheden. Beskyttelse af eget udstyr, samt minimering af risikoen for at sprede sikkerhedsproblemer til andre brugere: 1) Brug et antivirusprogram med automatisk opdatering, en firewall og et antispywareprogram. Forklaring: Sammen beskytter programmerne din pc mod mange angreb og skadelige programmer. Se mere om hvilket antivirus programmer man benytter på AU under Guide til antivirusprogrammet Sophos Antivirus på Aarhus Universitet 2) Anvend opdaterede versioner af dit styresystem, din webbrowser og dit e-postprogram. Forklaring: Hvis al den software man benytter er opdaterede versioner, er der mindre risiko for at en ekstern skadevolder kan få adgang til ens systemer gennem de sikkerhedshuller, som der tidligere er blevet opdaget. Derfor skal man altid slå automatisk opdatering til, hvor det er muligt, så glemmer man det nemlig ikke. Se hvordan man slår automatisk opdatering til i Windows under Guide til automatisk opdatering af Windows. 3) Vær ekstra opmærksom, når du åbner vedhæftede filer. Forklaring: Vedhæftede filer kan indeholde virus. Pas især på filer med underlige eller lokkende navne, også hvis de kommer fra nogen du kender. Se yderligere under Guide til opmærksom om trafik på nettet. 4) Hvis du benytter trådløse netværk (eks. trådløst internet), så slå kryptering til. Forklaring: Hvis man ikke kryptere sin forbindelser kan andre kigge med eller misbruge din internetforbindelse. Se mere om kryptering, og hvordan kryptering benyttes på Aarhus Universitet under Guide til kryptering af trådløse netværk 3
5) Bed andre om hjælp, hvis du er i tvivl, og brug i øvrigt din sunde fornuft. Forklaring: Selv om du har både antivirusprogram, firewall og et antispywareprogram, så forhold dig kritisk til de netsteder, du besøger. Sikkerhedstrusler opstår hele tiden og er ofte en anden trussel, end den der var i går. Derfor er det altid godt at følge med i medierne og lytte til hvilke sikkerhedstrusler der florere lige nu. Hvis man løber ind i problemer kan det være der er andre der har hørt om lignende problemer og derfor kan man sammen finde ud af at løse problemet. Hvis der opstår sikkerhedsproblemer, så kontakt da gerne din lokale it-enhed, for at høre, om de har hørt eller oplevet et lignende problem. Beskyttelse af personlige og fortrolige oplysninger 6) Adgangskoder er den vigtigste beskyttelse af dine personlige oplysninger. Forklaring: Adgangskoder bliver brugt til næsten alle it-systemer og er dem der afgøre om en person har ret til at se data eller ej. Hvis andre kender dine adgangskoder, så har de mulighed for at se og gøre de samme ting som du selv kan i de forskellige it-systemer. Adgangskoder skal derfor altid være personlige og leve op til nogle basale minimumskrav for, at ingen, hverken personer eller hackercomputere kan regne dem ud. En sikker adgangskode er: En kode, som andre ikke kan gætte. En kode, som består af minimum 8 tegn En kode, som består af både små og store bogstaver En kode, som består af et eller flere tal En kode, der evt. er brugt specialtegn som #,!,? eller * En kode, som ikke er et ordbogsord, ens personlige navn, ens brugernavn, ens børns navne, eller ord der er nemme at gennemskue for andre. En kode, som er nem at huske for dig, men ikke indlysende for andre. Man kan med fordel lave personlige huskeregler for sin adgangskode - fx. en sangtekst Osp1k&s (Ole sad på en knold og sang) En kode, som ikke er tilgængelig for andre (f.eks. en gul seddel på din skærm) Det er endvidere en god ide, at ændre sine adgangskoder jævnligt. Mange af AU s systemer kræver at adgangskoden ændres, fx. hver 3. måned, og derfor opnår man denne beskyttelse automatisk. Man må gerne anvende den samme adgangskode på flere systemer internt på AU. Men det frarådes at man anvender samme adgangskode privat og arbejdsmæssigt, ligesom man også bør anvende en anden adgangskode hvis der etableres en konto på et websted uden for universitetet. 7) Vær ekstra omhyggelig med adgangskoder til netbank, digital signatur og det trådløse netværk. Forklaring: Hvis uønskede personer eller computere får adgang til adgangskoder og informationer omkring netbank, digitale signaturer eller trådløse kan det få vidtrækkende personlige konsekvenser. Det er derfor vigtigt disse adgangskoder om muligt sikres endnu bedre, da det efterfølgende arbejde med at udrede skaderne kan være stort. 8) Vær påpasselig med at afgive personlige oplysninger via e-post. Forklaring: Sat på spidsen så svarer det til at sende åbne postkort. Hvis du sender fortroligt materiale 4
som e-post, så brug kryptering og digital signatur. Hold øje med, om netsteder, der beder om fortrolige oplysninger, benytter kryptering (se efter hængelås nederst i browseren). 9) Slet spam uden at åbne det, og svar ikke på spam. Forklaring: Hvis du åbner eller svarer på spam, kan afsenderen se det, og så får du sandsynligvis mere spam. Benyt eventuelt et spamfilter. Se endvidere Guide til opmærksom om trafik på nettet. 10) Hent kun programmer fra internettet, hvis du stoler på netstedet, du henter det fra. Forklaring: Undersøg om du siger ja til reklamer og afgivelse af private oplysninger, før du installerer. Vær især opmærksom over for fildelingsprogrammer og gratis programmer. Se endvidere Guide til opmærksom om trafik på nettet. 11) Undgå spyware og adware. Forklaring: Spyware- og adwareprogrammer er programmer, som opsamler oplysninger om din identitet og adfærd og udsætter dig for uønsket annoncering, samtidig med at de gør din computer langsommere. De bliver typisk installeret i det skjulte, hvis du klikker på lokkende tekst eller billeder eller uskyldigt udseende dialogbokse, vær derfor påpasselig med at sige ja til ting du ikke kender til. 12) Reager ikke på e-post fra banker og betalingstjenester, hvis de indeholder links du skal klikke på eller anmoder dig om personlige og fortrolige oplysninger. Forklaring: Det kan være forsøg på phishing, en form for svindel hvor der linkes til falske kopier af netsteder, som du har tillid til. Se endvidere Guide til opmærksom om trafik på nettet. 13) Undgå metadata i dokumenter man uploader til internettet Forklaring: Metadata er data om data. Metadata kan eksempelvis være de oplysninger (databaseudtræk af personnumre og indkomst) som en graf i et office-dokument illustrerer. Det kan ligeledes være oplysninger om de ændringer der er blevet foretaget i et dokument. Konsekvensen hvis man ikke sørger for at sløre metadata er, at man utilsigtet kan komme til at afslører data som burde være fortrolige. Løsningen er at man omdanner alle dokumenter til pdf er eller grafik inden man uploader dem til internettet. Derved sikre man at søgemaskiner ikke kan finde frem til de bagvedliggende data. 14) Brug adgangskode til log-in på din computer. Forklaring: Hvis der ikke er nogen adgangskode til log-in på din computer, så kan alle få adgang til de samme informationer og data som du selv kan. Derfor er adgangskode til log-in en simpel metode til at sikre ens personlige informationer og data. 15) Log altid ud når du forlader din computer Forklaring: Hvis man ikke logger ud når man forlader computeren, så er den første sikkerhedsbarriere overskredet, og skadevoldende parter har nemmere ved at finde informationer og data, som senere kan bruges til nedbryde den generelle it-sikkerhed. Du kan enten logge helt ud eller anvende den screensaver facilitet, som låser skærmen, hvis den står ubenyttet i et fastsat tidsrum. I Windows aktiveres dette ved at højreklikke på et tomt areal på skrivebordet og vælge egenskaber, og vælge fanebladet 'pauseskærm'. 16) Indstil sikkerhedsniveauet i din browser, så du altid bliver spurgt, når informationer, filer og programmer overføres til din computer. Forklaring: Hvis browserens sikkerhedsniveau ikke står på højt eller mellem så kan filer og programmer automatisk overføres til din computer, og man får ikke muligheden for selv at afgøre om de enkelte programmer eller filer er af troværdig karakter. 5
17) Vær påpasselig, når du bruger chat og instant messaging. Forklaring: Disse tjenester er nye og spreder sikkerhedsproblemer endnu hurtigere end e-post. Vær derfor særligt opmærksom, og klik kun på links, hvis du kan gennemskue hvor de fører hen, og du har tillid til afsenderen. 18) Lav sikkerhedskopier af dine vigtige dokumenter og filer tjek, at de kan genindlæses. Forklaring: Selv om man udviser den bedste it-adfærd, kan og vil der altid ske sikkerhedsnedbrud. Man skal derfor altid sørge for, at man har en opdaterede sikkerhedskopi af alt ens data og informationer. Se mere om sikkerhedskopier i Guides til sikker it-adfærd. Hvem definerer it-sikkerheden? Informationssikkerhed vedrører alle på Aarhus Universitet - studerende, videnskabelige medarbejdere, teknisk-administrativt personale og alle som i øvrigt har deres gang på universitetet. Det svageste led definerer organisationens generelle it-sikkerhed og derfor bør man altid sørge for at overholde ovenstående råd og holde sig orientere om universitetets regler og vejledninger om brug af informationssystemerne, specielt it-systemerne. Hvis der opstår spørgsmål eller problemer om hvordan man udviser sikker it-adfærd kan man altid holde sig orienteret i AU s sikkerhedshåndbog, eller kontakte den lokale it-afdeling eller Datakontoret. Hvor kan jeg få mere at vide På siden www.au.dk/it kan man finde oplysninger omkring Aarhus Universitets it-organisation, it-strategi, it-udviklingsprojekter og it-sikkerhedsudvalg. Siden vil løbende blive opdateret med nyt omkring formelle og strukturelle organiseringer og en række praktiske oplysninger som det er rart for alle universitetets itbrugere at holde sig opdateret med. Links til andre sider omkring informationssikkerhed DK CERT - www.cert.dk IT- og Telestyrelsen - www.it-borger.dk/sikkerhed Offentlig Informationer Online www.oio.dk 6
Guides til sikker it-adfærd Guide til antivirusprogrammet Sophos Antivirus på Aarhus Universitet Det er vigtigt at din computer er beskytter mod virusangreb. Dette sikres bedst ved at du har installeret et antivirusprogram som løbende holdes opdateret fra leverandøren. Universitetet har en fælles licens til programmet Sophos Antivirus. Du kan få Sophos Antivirus installeret/udleveret hos din lokale itenhed. Sophos Antivirus er ved installationen konfigureret til automatisk opdatering, og denne funktion må ikke deaktiveres. Hvis man ønsker yderligere at opdatere sit antivirus program kan man ved at højreklikke på Sophos Antivirus ikonet (Ligner et lille skjold) nederst i højre hjørne af menubaren finde funktionen Update now. Man kan endvidere kontrollere hvornår sidste opdatering er foretaget ved at holde musen hen over Sophos Antivirus ikonet. Guide til automatisk opdatering af Windows Sørg for at din computers operativsystem og programmer er opdaterede, da computere er udsat for angreb fra mange sider. En god sikring mod skadelige angreb fra skadevoldere er, at holde styresystemet og programmerne opdaterede. Hvis du anvender Microsoft Windows skal du sørge for, at din maskine er sat op til at foretage automatiske opdateringer af Windows styresystemet. Hvis du højreklikker på ikonet "Denne Computer" på skrivebordet og vælger "Egenskaber" skal du i fanebladet "Automatiske opdateringer" vælge "Automatisk" som vist her. 7
På tilsvarende vis bør du jævnligt opdatere øvrige programmer på din computer. I de forskellige programmer findes ofte funktioner, der hedder automatisk opdatering eller Update, og disse funktioner skal være aktiveret, for at programmerne automatisk bliver opdateret. På siden http://update.microsoft.com kan du hente øvrige Microsoft opdateringer. Hvis du bruger andre styresystemer bør du kontakt din lokale it-afdeling. Guide til kryptering af trådløse netværk Hvis du benytter dig af trådløst netværk er det altid vigtigt at denne forbindelse er krypteret. Aktivering af kryptering er meget afhængigt af hvilket netværk og it-udstyr der benyttes, og derfor skal man kontakte den lokale it-enhed, som vil være behjælpelig med aktivering og registrering af adgang til de enkelte trådløse net. Guide til opmærksom om trafik på nettet. Som regel er det ikke skadeligt blot at besøge en webside og bruge de funktionaliteter, der findes på almindelige websider. Der findes og opstår dog nogle sikkerhedshuller i Internet Explorer og andre programmer, som gør at man skal udvise sikker adfærd når man færdes på nettet eller læser mails (og især åbner vedhæftede filer). Disse sikkerhedshuller gør det muligt for en webside at installere et program på din pc, hvis eksempelvis bare klikker på et link eller siger ja til nogle installationer, og derfor skal man udvise kildekritik, når man bevæger sig rundt på internettet. En måde til at udvise kildekritik kan være at stille spørgsmål som eksempelvis: "Virker siden troværdig?", "Hvem står bag den?" og "Hvad er deres motivation for at lave siden?" Det der kan opfattes som sikkerhedshuller, er ofte også at betragte som funktioner som har gjort moderne hjemmesider dynamiske og brugbare. Derfor kan det ofte også være svært at gennemskue hvad der er godt og skidt. Et af de vigtigste redskaber mod at lade eksterne skadevoldere udnytter de enkelte sikkerhedshuller, er at du selv får muligheden for at afgøre hvad der er godt og skidt. Derfor er der nogle indstillinger i dine programmer som kan hjælpe med at synliggøre nogle funktioner, inden de installeres på ens pc. Ligeledes er det også vigtigt at man selv tænker over hvilke filer man aktivere og læser. Nedenstående findes en forklaring af de enkelte funktioner. Aktivt indhold på hjemmesiden En webside er i sin natur blot et passivt dokument, der viser tekst og billeder. Men den kan tilføjes aktivitet i form af knapper, man kan trykke på og ikoner, der kan bevæge sig. Det gøres ved hjælp af programmer. Der er tre hovedtyper af programmer, som kan være på en webside: Scripts, Java-applets og ActiveX-komponenter. Java-applets er som regel ufarlige, da de har meget begrænsede rettigheder på computeren. Derimod kan scripts og ActiveX være farlige. Især ActiveX-komponenter er risikable, da de har samme rettigheder som et program, du har installeret på pc'en. Derfor skal du overveje det en ekstra gang, før du giver en ActiveX-komponent lov til at køre. Indstillingerne i Internet Explorer indstilles på følgende måder: Gå ind i menuen "Funktioner" og vælg "Internetindstillinger 8
Vælg fanebladet "Sikkerhed" Sæt sikkerhedsniveauet til "Høj" eller "Mellem". Dernæst vælges fanebladet Beskyttelse af personlige oplysninger Sæt sikkerhedsniveauet til mindst "Mellem" Tryk derefter OK 9
Og sikkerhedsniveauet skulle nu være indstillet på den måde, at man bliver spurgt, inden eksterne programmer bliver aktiveret eller installeret. Vedhæftede filer i e-mails En e-mail kan indeholde en vedhæftet fil. Det kan for eksempel være et tekstbehandlingsdokument, et billede eller et regneark. Vedhæftede filer er en nyttig funktion i e-mail-programmer, men de kan også være skadelige. Derfor skal du være kritisk, når du modtager en vedhæftet fil. Stil to spørgsmål: 1. Har jeg bedt om at få tilsendt filen? 2. Kender jeg afsenderen? Overvej, om det i øvrigt virker sandsynligt, at afsenderen ville sende dig en mail med en vedhæftet fil. Der kan være to slags farer i en vedhæftet fil: Virus og e-mail-baserede orme. Virus i vedhæftede filer Virus er en form for skadevoldende program, der inficerer andre filer. Hvis en virus har inficeret en brugers pc, kan den for eksempel gemme sig i alle de Word-dokumenter, brugeren udarbejder. Hvis du modtager et sådant Word-dokument og åbner det, kan din pc også blive inficeret med virussen. Det kan dog undgås, hvis du har indstillet Word til ikke at bruge makroer. Det gør du således i Word: Gå ind i menuen "Funktioner" og vælg "Indstillinger 10
Vælg fanebladet "Sikkerhed" og tryk på knappen Makroindstillinger. Sæt sikkerhedsniveauet til "Høj" eller "Mellem". Tryk på "OK". Tryk på "OK Virus kan gemmer sig også i andre typer filer, som regel i programmer og billeder. Brug et antivirusprogram til at scanne din e-mail med, før du åbner den. E-mail-baserede orme Virus findes altså i filer, der er sendt til dig i den bedste mening. Derved adskiller de sig fra de e-mailbaserede orme. Det er nogle skadevoldende programmer, der selv sender kopier af sig selv af sted som mails. En typisk e-mail-baseret orm fungerer på denne måde: Ormen ankommer som en mail. Emnet kan for eksempel være "Hello", "Your document" eller "Message could not be delivered". Mailen indeholder gerne en kort tekst, men det vigtigste ved den er den vedhæftede fil. Filen kan for eksempel hedde "document.pif" eller "letter.bat". Hvis modtageren dobbeltklikker på den vedhæftede fil, kører ormeprogrammet, og pc'en bliver inficeret. Først standser ormen eventuelle antivirusprogrammer, der kører på pc'en. Derefter sørger den for, at den bliver kørt, hver gang pc'en tændes. Og så går den i gang med at finde e-mail-adresser. Ormen søger efter e-mail-adresser på harddisken. Når den finder en adresse, sender den en mail til den. Som afsender af mailen oplyser den enten en vilkårlig adresse, eller også tager den en anden adresse, den har fundet på pc'en. Så hvis du modtager en orme-mail fra afsenderen "arne@virksomhed.dk", er det ikke et tegn på, at Arnes pc er inficeret. Det viser derimod, at en person, der har både din og Arnes e-mail-adresser i sin adressebog, er blevet offer for en orm. Ud over at sprede sig via e-mail anvender nogle e-mail-baserede orme også andre angrebsmetoder. De kan for eksempel prøve at kopiere sig til alle de netværksdrev, der er koblet til den inficerede pc. Ofte åbner de også en bagdør, som en hacker efterfølgende kan bruge til at kontrollere pc'en. Dobbeltklik ikke Under alle omstændigheder lyder det bedste råd: Du skal aldrig dobbeltklikke på en vedhæftet fil, du får tilsendt uopfordret. Slet hellere mailen med det samme, hvis du ikke kender afsenderen og ikke har bedt om filen. Kender du afsenderen, eller virker mailen af andre grunde legitim, kan du starte med at gemme den vedhæftede fil på din harddisk og scanne den med et antivirusprogram. Som regel kan man se på endelsen af et filnavn, hvilken type fil der er tale om. For eksempel ender Word-dokumenter på.doc og JPEG-billeder på.jpg. Ofte prøver ormene at narre folk til at tro, at de er dokumenter. Det sker ved at lave en dobbelt endelse, så filen for eksempel hedder letter.doc.pif. Følgende endelser markerer, at der er tale om programmer, som vil blive afviklet, hvis man dobbeltklikker på filen:.bat,.cmd,.com,.exe,.pif og.scr. Filer med disse endelser skal du derfor aldrig dobbeltklikke på. Hvis du er i tvivl om en mail, du har modtaget, skal du kontakte din it-afdeling. Guide til sikkerhedskopiering 11
Sørg altid for at have en sikkerhedskopi af dine filer på computeren. Den letteste måde at få taget sikkerhedskopi er, at gemme sine filer på en af universitetets filservere. Der tages dagligt sikkerhedskopi af filserverne, så bruger du disse behøver du ikke selv at gøre noget. Men husk - sikkerhedskopierne fra filserverne er ikke alle steder et historisk arkiv som muliggør gendannelse af filer du er kommet til at slette for lang tid siden. Har du en bærbar PC skal du være særligt opmærksom på sikkerhedskopiering når du ikke har adgang til filserverne. Det er let at få stjålet en bærbar computer ved et uheld. Tag derfor jævnligt en sikkerhedskopi, fx. på en USB-pen eller en ekstern harddisk. Husk at ligge dine filer over på filserveren når du har mulighed for det. Pas på din USB-pen eller eksterne harddisk. Den yder normalt kun ringe sikring mod at andre kan læse indholdet - så arbejder du med fortrolige og/eller følsomme oplysninger bør sådanne medier sikres med kryptering og adgangskode. 12