Bezpieczeństwo, prawo i BHP

Część A, lekcja 1

Złośliwe oprogramowanie

Malware (ang. malicious software) to każdy program stworzony, żeby zaszkodzić użytkownikowi, wykraść dane albo przejąć kontrolę nad urządzeniem. Na egzaminie zwykle trzeba rozpoznać rodzaj malware po opisie działania.

Jak malware trafia na komputer

• załączniki i linki w wiadomościach e-mail (phishing),
• pirackie lub pobrane z nieznanych źródeł programy i „cracki”,
• zainfekowane nośniki USB,
• niezałatane luki w systemie i aplikacjach,
• złośliwe reklamy i przejęte strony internetowe.

Część A, lekcja 2

Ataki: phishing, DDoS, XSS i SQL injection

Malware to narzędzie. Atak to sposób, w jaki napastnik próbuje uzyskać dostęp, dane albo zakłócić działanie usługi. Najczęściej spotykane w pytaniach egzaminacyjnych:

Przykład: podatne i bezpieczne zapytanie SQL

Zapytanie sklejane z tekstu wpisanego przez użytkownika jest podatne na SQL injection. Jeśli ktoś wpisze w polu loginu ' OR '1'='1, warunek stanie się zawsze prawdziwy i logowanie może zostać ominięte.

// PODATNE: dane użytkownika trafiają bezpośrednio do polecenia SQL
var zle = new SqlCommand(
    "SELECT * FROM Uzytkownicy WHERE Login = '" + login + "'", polaczenie);

// BEZPIECZNE: zapytanie parametryzowane, dane nigdy nie są wykonywane jako SQL
var dobrze = new SqlCommand(
    "SELECT * FROM Uzytkownicy WHERE Login = @login", polaczenie);
dobrze.Parameters.AddWithValue("@login", login);

Jak chronić się przed XSS

Wszystko, co pochodzi od użytkownika, trzeba zakodować (escapować) przed wstawieniem do strony, tak aby znaki < i > były wyświetlane jako tekst, a nie interpretowane jako znaczniki HTML. Dodatkowo stosuje się walidację danych wejściowych i nagłówek Content-Security-Policy.

Część A, lekcja 3

Hasła, funkcje skrótu i szyfrowanie

Silne hasło

Siłę hasła zwiększa przede wszystkim długość, a potem różnorodność znaków (małe i wielkie litery, cyfry, znaki specjalne). Hasło powinno być unikalne dla każdej usługi i nie może zawierać danych, które łatwo odgadnąć (imię, data urodzenia, „qwerty123”). Dobrym rozwiązaniem jest menedżer haseł albo długa fraza złożona z kilku słów.

Funkcja skrótu (haszująca)

Funkcja skrótu zamienia dowolnie długie dane na ciąg o stałej długości (hash). Ma kilka cech, które często pojawiają się w pytaniach:

• jednokierunkowa — ze skrótu nie da się odtworzyć danych wejściowych (skrót nie jest odwracalny),
• deterministyczna — te same dane zawsze dają ten sam skrót,
• nawet drobna zmiana danych daje zupełnie inny skrót,
• służy do sprawdzania integralności plików i do przechowywania haseł.

using System.Security.Cryptography;

byte[] sol = RandomNumberGenerator.GetBytes(16);          // losowa sól
byte[] skrot = Rfc2898DeriveBytes.Pbkdf2(
    "Tajne123!", sol, 100_000, HashAlgorithmName.SHA256, 32);

// do bazy zapisujemy sól i skrót, nigdy samo hasło
string wBazie = Convert.ToBase64String(sol) + ":" + Convert.ToBase64String(skrot);

Szyfrowanie

W odróżnieniu od skrótu, szyfrowanie jest odwracalne: kto zna klucz, ten odczyta dane.

Połączenie HTTPS korzysta z protokołu TLS: szyfruje transmisję między przeglądarką a serwerem, a certyfikat potwierdza tożsamość serwera. Pozwala to chronić przed podsłuchem (m.in. atakiem man-in-the-middle). Podpis cyfrowy potwierdza autora i to, że dokument nie został zmieniony.

Część A, lekcja 4

Jak się chronić: firewall, kopie, uwierzytelnianie

Bezpieczeństwo to zestaw nakładających się zabezpieczeń (tzw. obrona warstwowa), a nie pojedyncze narzędzie.

Uwierzytelnianie, autoryzacja i audyt

• uwierzytelnianie — kim jesteś (login i hasło, kod, odcisk palca),
• autoryzacja — co ci wolno (uprawnienia do zasobów),
• audyt (rozliczalność) — zapis, kto i co zrobił (logi).

W aplikacji webowej dostęp do wybranych części ogranicza system logowania i kontroli dostępu (role, uprawnienia). Obowiązuje zasada najmniejszych uprawnień: użytkownik dostaje tylko te prawa, które są mu potrzebne do pracy.

Część B, lekcja 5

Cyfrowa tożsamość i prywatność

Cyfrowa tożsamość to wszystko, co składa się na Ciebie w sieci: konta, loginy, zdjęcia, wpisy, historia aktywności. Ślad cyfrowy zostaje po każdej Twojej aktywności i bywa trudny do usunięcia — treści łatwo kopiować, a archiwa i wyszukiwarki je zapamiętują.

Co zagraża tożsamości

• klikanie w podejrzane linki i otwieranie załączników w wiadomościach e-mail (phishing),
• ten sam login i hasło w wielu serwisach — wyciek z jednego daje dostęp do pozostałych,
• zbyt publiczne profile i publikowanie danych wrażliwych (adres, numer telefonu, plany wyjazdu),
• logowanie na cudzych lub niezabezpieczonych urządzeniach i w publicznych sieciach Wi-Fi.

Jak chronić prywatność

Część B, lekcja 6

RODO w pigułce

RODO (ang. GDPR, pełna nazwa: Ogólne rozporządzenie o ochronie danych) to akt prawny Unii Europejskiej o ochronie danych osobowych. Obowiązuje we wszystkich państwach UE, także w Polsce, od 25 maja 2018 roku. Jego podstawowym celem jest ochrona danych osobowych przed nieuprawnionym dostępem i wykorzystaniem.

Najważniejsze pojęcia

Zasady przetwarzania danych

• zgodność z prawem, rzetelność i przejrzystość — wiadomo, co się z danymi dzieje,
• ograniczenie celu — dane zbieramy w konkretnym celu i nie używamy ich do innych,
• minimalizacja — zbieramy tylko tyle danych, ile potrzeba,
• prawidłowość — dane mają być aktualne,
• ograniczenie przechowywania — nie trzymamy danych dłużej, niż trzeba,
• integralność i poufność — zabezpieczamy dane przed utratą i wyciekiem.

Podstawy prawne przetwarzania

Dane można przetwarzać tylko, gdy istnieje podstawa: zgoda osoby, umowa, obowiązek prawny, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym albo prawnie uzasadniony interes administratora. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz można ją w każdej chwili wycofać. Zgoda na przetwarzanie danych dziecka w usługach internetowych wymaga w Polsce zgody opiekuna, jeśli dziecko nie ukończyło 16 lat.

Prawa osoby, której dane dotyczą

• dostęp do swoich danych i uzyskanie ich kopii,
• sprostowanie nieprawidłowych danych,
• usunięcie danych („prawo do bycia zapomnianym”),
• ograniczenie przetwarzania,
• przenoszenie danych do innego administratora,
• sprzeciw wobec przetwarzania,
• wniesienie skargi do organu nadzorczego — w Polsce to Prezes Urzędu Ochrony Danych Osobowych (UODO).

Część B, lekcja 7

Zagrożenia społeczne i netykieta

Cyberprzestrzeń niesie zagrożenia nie tylko dla komputerów, ale też dla człowieka. W pytaniach egzaminacyjnych pojawiają się trzy obszary: zdrowie psychiczne i emocje, zdrowie fizyczne i zasady zachowania w sieci.

Jak przeciwdziałać

• wprowadzać regularne przerwy od urządzeń cyfrowych,
• utrzymywać równowagę między relacjami online i offline,
• dbać o ruch i higienę snu,
• reagować na cyberprzemoc: nie odpowiadać agresją, zachować dowody (zrzuty ekranu), zgłosić do administratora serwisu, rodziców lub nauczyciela, a w poważnych przypadkach na policję.

Netykieta

Netykieta to zbiór zasad kulturalnego zachowania w sieci. Do najważniejszych należą:

• nie pisz WIELKIMI LITERAMI — w sieci oznacza to krzyk,
• zwracaj się z szacunkiem i nie obrażaj,
• pisz zwięźle i poprawnie, z czytelnym tematem wiadomości,
• nie rozsyłaj spamu ani łańcuszków,
• nie publikuj cudzych danych i zdjęć bez zgody,
• przed odpowiedzią przeczytaj całą dyskusję, a cytując, wskaż źródło.

Część C, lekcja 8

Własność intelektualna i prawa autorskie

Własność intelektualna to koncepcja praw chroniących twórczość i wynalazki. Dzieli się na dwie grupy:

Utworem jest każdy przejaw działalności twórczej o indywidualnym charakterze, ustalony w jakiejkolwiek postaci. Program komputerowy jest chroniony jak utwór literacki. Podstawowym aktem jest ustawa o prawie autorskim i prawach pokrewnych.

Prawa osobiste i majątkowe

Co wolno bez zgody autora: dozwolony użytek

• użytek osobisty — korzystanie z legalnie nabytego utworu we własnym gronie (rodzina, znajomi),
• prawo cytatu — przytoczenie fragmentu w uzasadnionym zakresie z podaniem autora i źródła,
• kopia zapasowa legalnie nabytego programu, jeśli jest to niezbędne do korzystania z niego,
• cele dydaktyczne i naukowe w określonym zakresie.

Co jest naruszeniem

• publikowanie filmu, muzyki lub zdjęcia chronionego prawem autorskim bez zgody właściciela,
• pobieranie i używanie pirackich wersji programów,
• przypisanie sobie cudzego dzieła (plagiat),
• kopiowanie fragmentów cudzego kodu lub grafiki bez sprawdzenia licencji.

Domena publiczna to utwory, których ochrona wygasła albo do których autor się zrzekł. Można z nich korzystać swobodnie (z zachowaniem autorskich praw osobistych, czyli podania autorstwa). Symbolem domeny publicznej jest znak CC0 lub okrągła ikona z napisem Public Domain.

Część C, lekcja 9

Licencje oprogramowania i Creative Commons

Licencja to umowa, w której właściciel praw określa, co wolno robić z programem lub utworem. Kupując program, zwykle nie kupujesz praw autorskich, tylko prawo do korzystania w zakresie licencji.

Popularne licencje otwarte

Creative Commons (CC)

Licencje Creative Commons stosuje się głównie do treści (zdjęcia, teksty, muzyka). Składają się z czterech elementów, które można łączyć:

Część D, lekcja 10

Podstawy BHP i ryzyko zawodowe

BHP to bezpieczeństwo i higiena pracy: przepisy i zasady, które mają chronić zdrowie i życie pracowników. Podstawowym aktem prawnym jest Kodeks pracy, a szczegóły określają rozporządzenia.

Obowiązki pracodawcy i pracownika

Najważniejsze definicje

Kategorie zagrożeń na stanowisku pracy

• fizyczne — hałas, oświetlenie, mikroklimat, drgania, promieniowanie,
• chemiczne — substancje szkodliwe, pyły, opary,
• biologiczne — bakterie, wirusy, grzyby (w pracy biurowej zwykle nie dominują),
• psychofizyczne — przeciążenie wzroku, praca w niewygodnej pozycji, stres, monotonia,
• mechaniczne i elektryczne — ruchome elementy, porażenie prądem.

Środki ochrony

Część D, lekcja 11

Ergonomiczne stanowisko komputerowe

Ergonomia to dopasowanie stanowiska i narzędzi do możliwości człowieka. Przy pracy z komputerem celem jest zmniejszenie obciążenia kręgosłupa, nadgarstków i wzroku.

Przerwy w pracy

Dla pracownika, który pracuje przy monitorze przez większość czasu, przepisy wymagają co najmniej 5 minut przerwy po każdej godzinie pracy (albo innej organizacji pracy zmniejszającej obciążenie wzroku). W przerwie wstań, rozprostuj ręce i spójrz w dal.

Choroby związane z pracą przy komputerze

Część D, lekcja 12

Pożar i pierwsza pomoc

Znaki bezpieczeństwa

Pożar

Pożary dzielimy na grupy: A (ciała stałe: drewno, papier), B (ciecze palne), C (gazy), D (metale), F (oleje i tłuszcze kuchenne). Urządzeń elektrycznych pod napięciem nie gasi się wodą — używamy gaśnicy proszkowej lub śniegowej (CO₂).

• zachowaj spokój i zaalarmuj osoby w pobliżu oraz straż pożarną (112 lub 998),
• jeśli to bezpieczne, gaś pożar w początkowej fazie gaśnicą,
• wyłącz urządzenia i zasilanie, o ile możesz to zrobić bez ryzyka,
• ewakuuj się wyznaczoną drogą ewakuacyjną, nie używaj wind, zamknij za sobą drzwi,
• zbierz się w miejscu zbiórki i sprawdź obecność.

Numery alarmowe

Pierwsza pomoc: kolejność działań

• upewnij się, że Tobie i poszkodowanemu nic nie grozi (np. odłącz źródło prądu przy porażeniu),
• sprawdź reakcję: zapytaj głośno, delikatnie potrząśnij za ramiona,
• wezwij pomoc (112) lub poproś o to kogoś, kto jest w pobliżu; poproś też o AED,
• udrożnij drogi oddechowe (odchylenie głowy, uniesienie żuchwy) i sprawdź oddech przez 10 sekund,
• jeśli brak prawidłowego oddechu — rozpocznij resuscytację krążeniowo-oddechową (RKO).

Część E, lekcja 13

Komunikacja i aktywne słuchanie

Komunikacja to przekazywanie informacji między nadawcą a odbiorcą. Komunikat zawsze ma treść i sposób przekazu, a odbiorca może go zrozumieć inaczej, niż chciał nadawca.

Bariery w komunikacji

• hałas i rozproszenia, pośpiech,
• używanie żargonu niezrozumiałego dla odbiorcy (np. wobec klienta),
• uprzedzenia, ocenianie i przerywanie,
• sprzeczność między słowami a mową ciała.

Aktywne słuchanie

Aktywne słuchanie to nie tylko milczenie, gdy ktoś mówi, ale potwierdzanie, że rozumiesz. Stosujesz w nim kilka technik:

Część E, lekcja 14

Zespół, negocjacje i cele SMART

Praca w zespole

Zespół działa lepiej, gdy każdy zna swoją rolę, cel jest wspólny, a komunikacja otwarta. Zgodnie z modelem Tuckmana grupa przechodzi przez etapy: tworzenie → burza (konflikty i ustalanie zasad) → normowanie → działanie.

Pracując w grupie i dbając o jej poprawne funkcjonowanie, nie należy dbać wyłącznie o własny interes. Dobry członek zespołu dzieli się wiedzą, dotrzymuje terminów, daje i przyjmuje informację zwrotną oraz pomaga innym.

Rozwiązywanie konfliktów

• oddziel problem od osoby, mów o faktach, nie o ocenach,
• wysłuchaj drugą stronę (aktywne słuchanie),
• szukaj rozwiązania, które zaspokaja potrzeby obu stron (win-win),
• ustal konkretne kroki i terminy, a w razie potrzeby poproś o mediację osobę trzecią.

Negocjacje

Negocjacje to rozmowa, w której strony o różnych interesach szukają porozumienia. Cechy dobrego negocjatora to m.in. opanowanie, cierpliwość, asertywność, intuicja, empatia i umiejętność słuchania. Dobre negocjacje dążą do rozwiązania korzystnego dla obu stron, a nie do „wygrania” kosztem drugiej.

Reguły wywierania wpływu (R. Cialdini)

Cele SMART

Dobrze określony cel spełnia kryteria SMART:

Zarządzanie czasem i stres

Pomaga macierz Eisenhowera: zadania dzielimy na ważne i pilne (zrób od razu), ważne i niepilne (zaplanuj), nieważne i pilne (deleguj), nieważne i niepilne (odrzuć). Stres ograniczają planowanie, przerwy, ruch i sen.