Napísal Ing. František KALUŽA

Oblasť elektronickej komunikácie a jej bezpečnosti je na Slovensku roztrúsená vo viacerých zákonoch, normách a smerniciach. Nie je možné, aby sa v danom smere niekto zorientoval bez množstva omylov. Neexistuje žiaden skutočný orgán ako usmerniteľ orientácie v oblasti elektronickej komunikácie a aj keď existuje, neexistuje komunikácia. Bezpečnostným pracovníkom a pracovníkom správy siete z toho často vznikajú nemalé vrásky - preto je im to vhodné trochu uľahčiť. Daný výber je však skutočne len základom v spletitej orientácii legislatívnej úpravy el. komunikácie a smeruje viac k oblasti represie.

Poznámka: Pri každej oblasti je uvedená zodpovednosť za implementáciu, hrozby v daných oblastiach (tie sú len uvedené len informatívne a silne závisia od konkrétnych situácií) a príslušný hlavný rámcový zákon.

1. ELEKTRONICKÝ PODPIS

• Zamestnanci zodpovední za implementáciu: osoba zodpovedná za komunikáciu s NBÚ SR (bezpečnostný manažér) + marketingový, ekonomický manažér.
• Hrozby: zákon nie je prakticky rozšíriteľný [ firmy a občania nie sú v úradnom styku prakticky prinútený používať el. podpis, zatiaľ však možno hovoriť len o hrozbách slabej administratívnej infraštruktúry, slabých politík hesiel, nedostatočných bezpečnostných opatreniach kom. strán, príp. certifik. autorít,...
• Zákon NR SR č. 215/2002 Z.z. o elektronickom podpise a o zmene a doplnení niektorých zákonov v znení neskorších predpisov:

§ 11 Kontrola: Ak úrad pri kontrole zistí, že certifikačná autorita porušuje povinnosti vyplývajúce z tohto zákona, môže najmä:

• Obmedziť, alebo zakázať certifikačnej autorite vykonávanie alebo pokračovanie vo vykonávaní niektorej certifikačnej činnosti alebo certifikačnej služby, na obdobie do 3 mesiacov z dôvodu nesplnenia zákonných požiadaviek, nespoľahlivosti,
• Nariadiť zrušenie kvalifikovaných certifikátov, ak boli sfalšované (neboli pred ním dostatočne chránené), zariadenia na vyhotovenie zaručených elektronických podpisov vykazovali vážne bezpečnostné nedostatky.

Zodpovednosť za škodu:

• § 19 Zodpovednosť za škodu akreditovanej certifikačnej autority: primerane platia ustanovenia §420 a §420 a Občianskeho zákonníka, obmedzenia zodpovednosti sa môžu týkať obmedzenia použitia kvalifikovaného certifikátu, príp. obmedzenie na výšku transakcií, na ktoré sa môže kvalifikovaný certifikát použiť,
• § 22 Zodpovednosť za škodu držiteľa certifikátu: primerane platia ustanovenia §420 a Občianskeho zákonníka,

§ 26 Sankcie: za porušenie povinností zákona hrozia pokuty (uložením pokuty nie je dotknuté právo na náhradu škody):

• do 10 mil. Sk PO aFO, ktorá poskytuje akreditované certifikačné služby bez akreditácie,
• do 10 mil. Sk akreditovanej certifikačnej autorite za to, že:
  • neposkytuje certifikačné služby v súlade s týmto zákonom a s bezpečnostnými pravidlami, ktoré ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad,
  • neposkytuje službu zrušovania certifikátov,
  • nezverejňuje ňou zrušené certifikáty,
  • nezverejňuje svoje identifikačné údaje alebo certifikáty, ktoré používa pri poskytovaní certifikačných služieb,
  • poruší povinnosť ohlásiť úradu začiatok svojej činnosti
  • vykonáva činnosť, ktorá jej bola dočasne pozastavená,
• do 5 mil. Sk akreditovanej certifikačnej autorite (aj opakovane), ktorá neposkytne alebo zatají informácie, alebo nespolupracuje pri kontrole vykonávanej úradom
• do 1 mil. Sk akreditovanej certifikačnej autorite (aj opakovane), ktorá nevykonáva certifikačné činnosti tak, aby nebolo možné vyhotovovať kópie súkromných kľúčov alebo uchovávať údaje o súkromných kľúčoch používateľov jej služieb
• do 1 mil. Sk certifikačnej autorite, ktorá poruší povinnosť zrušiť certifikát alebo poruší povinnosť viesť požadovanú dokumentáciu
• do 1 mil. Sk certifikačnej autorite, ktorej registračná autorita:
  • neposkytuje služby podľa postupov a v súlade s bezpečnostnými pravidlami certifikačnej autority,
  • nezabezpečí presnosť, pravdivosť a úplnosť údajov o registrovaných osobách,
  • nevedie dokumentáciu o spôsobe poskytovania a bezpečnosti poskytovaných služieb, nechráni osobné údaje registrovaných osôb podľa zákona o ochrane utajovaných skutočností,
• do 1 mil. Sk PO, ktorá zneužila súkromný kľúč podpisovateľa,
• do 500 tis. Sk akreditovanej certifikačnej autorite (aj opakovane), ktorá nesplní povinnosti podrobiť sa auditu alebo nepredloží záverečnú správu o výsledku auditu v stanovenej lehote,
• do 500 tis. Sk certifikačnej autorite, ktorá:
  • nesplní oznamovaciu povinnosť najneskôr do 30 dní oznámiť úradu zmeny v obsahu a rozsahu certifikačných služieb, ktoré poskytuje,
  • neoznámi úradu v lehote ustanovenej týmto zákonom ukončenie svojej činnosti,
  • poruší povinnosti držiteľa certifikátu podľa § 22 zákona,
  • poruší povinnosť vedenia archívu
• do 100 tis. Sk fyzickej osobe, ktorá zneužila súkromný kľúč podpisovateľa alebo predložila nepravdivé údaje pri podávaní žiadosti o vydanie certifikátu.

2. ELEKTRONICKÁ KOMUNIKÁCIA, TELEKOMUNIKÁCIE (INTERNET, PEVNÁ A MOBILNÁ TEL. KOMUNIKÁCIA, DÁTOVÉ SLUŽBY)

• Zamestnanci zodpovední za implementáciu: správca siete + bezpečnostný manažér.Hrozby: neoprávnené zaznamenávanie (odposluch) tel., sieťovej komunikácie medzi jednotlivými lokalitami a z toho vyplývajúce hrozby zneužitia osobných, lokalizačných, marketingových údajov, infiltrácie do siete za účelom ďalších nelegálnych činností, ....

1) Zákon NR SR č. 195/2000 Z.z. o telekomunikáciách v znení neskorších predpisov:

§ 8 Telekomunikačné tajomstvo:

• Telekomunikačné tajomstvo (informácie a dáta prijímané, prenášané, sprostredkúvané a uchovávané, mená a adresné údaje komunikujúcich strán, prevádzkové doklady súvisiace s verejnými telekomunikačnými službami) je povinný zachovávať každý, kto príde s jeho predmetom do styku pri vykonávaní telekomunikačných činností alebo pri užívaní verejných telekomunikačných služieb.

§ 9 Ochrana informácií a dát:

• Vykonávatelia telekomunikačných činností sú povinní pri tvorbe, prijímaní, spracúvaní, uchovávaní, vysielaní a distribúcii informácií a dát zabezpečiť ich ochranu pred zneužitím. Zakazuje sa nahrávanie, odpočúvanie a ukladanie informácií a dát prenášaných prostredníctvom verejných telekomunikačných sietí inými osobami, ako sú komunikujúce osoby, okrem zmluvne dohodnutého spôsobu s užívateľom telekomunikačnej služby a v rámci výkonu zákonných oprávnení štátnych orgánov (pri výhražnom anonymnom, obťažujúcom, zlomyseľnom volaní, šírení poplašnej správy, pri zneužívaní telekom. služby).
• Povinnosťou je podľa § 9, ods. 3 poskytnutie súčinnosti príslušným orgánom pri objasňovaní trestnej činnosti - vrátane porušenia telekomunikačného tajomstva a ochrany osobných údajov.

§ 45 Základné povinnosti: Každý je povinný počínať si tak, aby svojou činnosťou nepoškodzoval telekomunikačné zariadenia a nerušil ich prevádzku a aby neoprávnene nezasahoval do poskytovania verejných telekomunikačných služieb; inak zodpovedá za škodu, ktorú tým spôsobil vykonávateľovi telekomunikačných činností.

§ 48 Ochrana proti rušeniu: Telekomunikačné zariadenia a telekomunikačné siete sa zriaďujú a prevádzkujú tak, aby sa predchádzalo rušeniu, ktoré by neprijateľne zhoršovalo, opakovane prerušovalo alebo inak ohrozovalo prevádzku iných telekomunikačných zariadení a verejných telekomunikačných sietí.

§ 51 Správne delikty (pre oblasť informačnej bezpečnosti): ak podnikateľ porušil telekomunikačné tajomstvo alebo nezabezpečil ochranu prenášaných informácií a údajov, hrozí mu pokuta do 5 mil. Sk.

2) Zákon NR SR č. 610/2003 o elektronických komunikáciách v znení neskorších predpisov.

§ 55 Ochrana súkromia (obdoba § 8 telekomunikačného zákona)

§ 59 Prevádzkové a lokalizačné údaje:

• Prevádzkové údaje sa nesmú bez súhlasu dotknutej osoby uchovávať a podnik je povinný ich po skončení spojenia bezodkladne zlikvidovať alebo anonymizovať; to neplatí, ak tieto údaje žiada oprávnený orgán štátu alebo orgán činný v trestnom konaní.
• Prevádzkové údaje sú oprávnené spracúvať len osoby oprávnené nariadenie prevádzky siete, služby alebo siete a služby alebo nimi poverené osoby, a to na účel vyúčtovania, zodpovedania otázok užívateľa, zisťovania protiprávnych konaní, na marketingové účely alebo poskytovanie služby s pridanou hodnotou. Podnik môže použiť prevádzkové a lokalizačné údaje na marketingové účely len so súhlasom užívateľa. Rozsah použitých prevádzkových údajov sa musí obmedziť na nevyhnutnú mieru.
• Podnik, ktorý poskytuje služby, je povinný informovať užívateľa pred získaním jeho súhlasu o lokalizačných údajoch, iných ako prevádzkových, ktoré sa budú spracúvať, o účeloch a čase ich spracúvania a či sa údaje budú prenášať tretej strane na účely poskytovania služby s pridanou hodnotou. Užívateľ musí mať možnosť kedykoľvek zrušiť svoj súhlas daný na spracúvanie takýchto lokalizačných údajov.
• Ak užívateľ súhlasil so spracovaním lokalizačných údajov, iných ako prevádzkových, podnik poskytujúci službu je povinný užívateľovi umožniť, aby pri každom pripojení k sieti alebo pri každom prenose správy mohol jednoduchým spôsobom a bezplatne dočasne odmietnuť spracúvanie takýchto lokalizačných údajov.
• Pri tiesňových volaniach je podnik povinný poskytovať koordinačnému alebo operačnému stredisku integrovaného záchranného systému, ak je to technicky možné, zobrazenie identifikácie volajúcej stanice a lokalizačné údaje, a to aj v prípade, že volajúca stanica zamedzila zobrazeniu identifikácie volajúcej stanice alebo nedala súhlas na spracovanie lokalizačných údajov. Koordinačné alebo operačné stredisko integrovaného záchranného systému od okamihu, keď mu boli poskytnuté žiadané údaje, zodpovedá za škodu spôsobenú zneužitím poskytnutých informácií o osobných a lokalizačných údajoch.

§ 60 Uchovanie obsahu prenášaných informácií

• Obsah prenášaných informácií je zakázané uchovávať s výnimkou, ak jeho uchovanie predstavuje podstatnú súčasť služby. Ak je z technických dôvodov nutné krátkodobé uchovanie obsahu, je podnik povinný takto uchované informácie po skončení dôvodu ich uchovania bezodkladne zlikvidovať. Podnik je povinný urobiť technické a organizačné opatrenia zabezpečujúce, aby obsah prenášaných informácií nebol uchovaný vôbec alebo len v nevyhnutnom rozsahu z technických dôvodov. Ak je uchovanie obsahu prenášaných informácií vlastnosťou služby, je podnik povinný takéto informácie zlikvidovať bezodkladne po skončení poskytnutia služby.

§ 64 Identifikácia zlomyseľného volania

• Identifikácia zlomyseľného volania je identifikácia čísla volajúcej stanice nezávisle od vôle volajúceho. Ak účastník požiada podnik o sledovanie volaní na identifikáciu zlomyseľného volania, podnik zabezpečí identifikáciu čísla volajúcej stanice alebo zrušenie zamedzenia zobrazenia identifikácie čísla volajúcej stanice pre budúce volania. Podnik je oprávnený za poskytnutie tejto služby požadovať úhradu.

§ 65 Nevyžiadaná komunikácia

• Na účely priameho marketingu je dovolené volanie, zasielanie faksimilných správ, správ elektronickej pošty, vrátane služby krátkych správ užívateľovi len s jeho predchádzajúcim súhlasom. Za súhlas sa považuje aj súhlas osoby, ktorú užívateľ splnomocnil na používanie svojho prístupu k sieti. Udelený súhlas možno kedykoľvek odvolať. Je zakázané zasielanie elektronickej pošty na účely priameho marketingu, z ktorej nie je známa adresa a totožnosť odosielateľa, na ktorú môže užívateľ zaslať žiadosť o skončenie zasielania takýchto správ.

§ 71 Správne delikty:

• Úrad uloží pokutu do 10 000 000 Sk alebo ich ekvivalent v EURO tomu, kto:
  • neprijal zodpovedajúce technické a organizačné opatrenia na ochranu bezpečnosti svojich sietí, služieb alebo sietí a služieb (§ 57 ods. 1),
  • nezabezpečil bezpečnosť a ochranu osobných údajov v prevádzke siete (§ 57),
  • porušil telekomunikačné tajomstvo (§ 55 ods. 2),
• Úrad uloží pokutu do 1 000 000 Sk alebo ich ekvivalent v EURO tomu, kto:
  • neinformoval účastníka najneskôr pri uzavretí zmluvy o pripojení, aké osobné údaje sa získavajú a spracúvajú, na základe akého právneho podkladu, na aký účel a na aký dlhý čas budú údaje spracúvané (§ 57 ods. 5),
  • nezlikvidoval osobné údaje najneskôr po skončení zmluvných vzťahov (§ 57 ods. 3),
  • uchoval bez súhlasu dotknutej osoby prevádzkové údaje po skončení spojenia alebo ich v tomto čase bezodkladne nezlikvidoval alebo neanonymizoval (§ 59 ods. 2) alebo uchoval obsah prenášaných informácií, ak jeho uchovanie nepredstavovalo podstatnú súčasť služby (§ 60 ods. 1),
• Úrad uloží pokutu do 500 000 Sk alebo ich ekvivalent vEURO tomu, kto:
  • získal a spracúval osobné údaje užívateľov na iný, ako určený účel (§ 57 ods. 2),

3. ELEKTRONICKÝ OBCHOD

• Osoby zodpovedné za implementáciu: marketingový manažér + správca siete + bezpečnostný manažér.
• Hrozby: nevhodný obsah prenášaných správ a z toho plynúce hrozby, ...
• Zákon NR SR č. 22/2004 Z.z. o elektronickom obchode:

§ 6 Vylúčenie zodpovednosti poskytovaných služieb:

Poskytovateľ el. služby nezodpovedá za obsah prenášaných ukladaných informácií. Podľa ods. (6), ak poskytovateľ el. komunikačnej služby nevie o protiprávnom obsahu informácií prenášaných, ukladaných elektronicky odosielateľom príjemcom, nekoná protiprávne (a naopak).

4. ELEKTRONICKÁ KOMUNIKÁCIA V OBLASTI ŠTÁTNEJ SPRÁVY

• Zamestnanci zodpovední za implementáciu: bezpečnostný manažér + správca siete.
• Zákon NR SR č. 275/2006 Z.z. o informačných systémoch verejnej správy:

§10 Správne delikty:

• Pokuta podľa závažnosti 750 tis.-1 mil. Sk: porušenie povinností orgánov pri vypracovaní a predkladaní koncepcie rozvoja rozvoja IS, zabezpečenia plynulej, bezpečnej a spoľahlivej prevádzky informačných systémov verejnej správy,
• Pokuta podľa závažnosti 500 tis.-1 mil. Sk: porušenie povinností správcom IS pri zabezpečovaní, aby IS verejnej správy vyhovoval štandardom (Výnos MDPaT č. 1706/M-2006), pri poverovaní FO alebo PO prevádzkovaním IS,
• Pokuta podľa závažnosti 300 tis.-500 tis. Sk: porušenie povinností prevádzkovateľom IS pri zabezpečení sprístupňovania údajov IS,
• Pokuta podľa závažnosti 100 tis.- 1 mil. Sk: porušenie stanovených povinností povinnej osoby pri vydávaní elektronického odpisu alebo výstupu zIS (§8), osvädčujúcej osoby (§9),

V zákonnej legislatívnej oblasti bola úmyselne vynechaná (avšak dôležitá) banková sféra a to kvôli náročnosti a rozsiahlosti (BASEL II, Sorbanes-Oxley, PAS 56, Zákon NR SR č. 483/2001 Z.z. o bankách, Anti-Money Laundering Compliance, ...). Tak isto nie sú spomenuté niektoré rozsiahle firemné oblasti, ktoré sa okrajovo dotýkajú problematiky informačnej bezpečnosti, napr. účtovníctvo, archív a registratúra. Samozrejme nemožno popísať všetky typy kriminality vykonanej prostredníctvom automatizovaných technických prostriedkov, pretože tieto prostriedky sa dnes vyskytujú skoro v každom spracovaní informácií - pravdupovediac si už neviem predstaviť firmu, ktorá vykonáva spracovanie informácií neautomatizovaným spôsobom.

Poznámka: V súčasti možno sledovať ako stále viac zákony sledujú politické, mocenské a podobné záujmy a menej logiku. Typický príklad je v zákone o elektronickom podpise, ktorý nie je dotiahnutý natoľko, aby ho bolo nariadené používať, rep. neexistuje rozvinutá štruktúra portálov orgánov a inštitúcií, aby bol pre spoločnosť el. podpis efektívny. Pričom by stačilo 1 nariadenie vlády prikazujúce vytvorenie a nahlásenia portálov pre komunikáciu, čo je omnoho jednoduhšie ako prechádzať celou štruktúrou schvaľovania zákona.

5. INTERNÉ LEGISLATÍVNE PROSTRIEDKY
V oblasti personálnej bezpečnosti v súčasnosti vládne veľká benevolencia a pritom v informačnej bezpečnosti sú personálna ochrana spolu s technickou ochranou základnými stavebnými kameňmi. Zatiaľ čo väčšina firiem má aspoň základnú (väčšina však vysoko vyvinutú) technickú ochranu, personálna bezpečnosť akoby „lapala dych" za technickou. Firmy túto oblasť veľmi podceňujú a často ju kontrolujú len pri nástupe do zamestnania, čo je chyba. Veľmi dôležité pre boj s informačnou kriminalitou sú psychologicko-personálne prostriedky. Tu vychádzame z 2 premís:

• „príležitosť robí zlodeja" - povolený prístup k vybraným informačným zdrojom len nevyhnutnému počtu zamestnancov,
• Najviac príležitostí vychádza zvnútra firmy; štatisticky možno povedať, 4 z 5 incidentov sú zapríčinené samotnými zamestnancami.

Dané prostriedky preto vyžadujú prostredníctvom vcítenia sa do rolí bežných užívateľov, dostatočne ich preverovať a prinútiť ich k bezpečnej práci. Takže preverovať nielen na začiatku, ale aj počas pracovného pomeru [ sociálne, psychologické, materiálne, kariérne a iné pomery sa predsa počas pracovného pomeru menia. Pozor však aj na ochranu osobných údajov a dodržiavanie ustanovení všetkých zákonných legislatívnych noriem, aby sme v snahe o dosiahnutie minimalizácie kriminality túto sami nevyvolali. Vyžaduje si to však skúseného bezpečnostného profesionála so skúsenosťami v oblasti práva, psychológie a samozrejme informačných a komunikačných technológií. Tento sledovaním ľudských slabostí (nebezpečného chovania) a návykov pri práci s informáciami vytvorí súbor personálno-informačných predpisov, obsahujúcich samozrejme postihy a vyvodzovanie osobnej zodpovednosti, ktoré ľudia budú rešpektovať a budú sa ich pridržiavať. Samozrejme postupy vychádzajú z vyššie postavených bezpečnostných dokumentov a rešpektujú aj zákonnú legislatívu. Daný prístup je často jediným možným riešením pri neefektívnej personálnej bezpečnosti, keďže ľudia pracujú s informáciami vždy čo najjednoduchšími spôsobmi a v snahe zjednodušiť si prácu obchádzajú množstvo bezpečnostných opatrení. Samozrejme bezpečnosť ako taká vždy zdržuje, treba sa učiť jej zásadám a preto je úmyselne obchádzaná. Problém býva často umocnený konkrétnymi prípadmi, keď niektorý vinník mal byť a nebol potrestaný, ba dokonca v svojej nekalej činnosti pokračuje. Týmto sa samotný zamestnanci dostávajú do stavu, keď nemusia mať rešpekt pred dodržiavaním vnútrofiremných ustanovení a sami ich často a úmyselne nedodržiavajú. Keď však dostanú zamestnanci reálny prehľad o škodách a ich podielnictve, často už len zo strachu z postihu sa v osobnom záujme poctivo naučia dodržiavať bezpečnostné zásady. Osobne som zástancom tvrdých represívnych opatrení, pretože pri dlhodobom návyku na nebezpečné chovanie sú skutočne jediným prostriedkom zmeny. Tým, že proces zavádzania (manažovania a certifikácie) informačnej bezpečnosti vo firmách je až následkom nezvládnuteľného rozmachu informačných slabín pri informatizácii firiem, je tvrdenie o represii o to opodstatnenejšie. Cesta k certifikácii informačnej bezpečnosti podľa národnej verzie britského štandardu je pritom základným procesom k efektivite informačnej bezpečnosti. Vyselektujú sa tým najvhodnejšie účinné prostriedky a spôsoby ochrany firemných informácií, čím sa zvýši efektivita informačnej bezpečnosti a možnosť ušetrenia zdanlivo efektívne vynaložených nákladov.

V rámci riešenia interných legislatívnych opatrení je dôležité legislatívne ošetriť hlavné kritické oblasti:

• špeciálne zmluvy interné (administrátori, zamestnanci so znalosťou a správou kritických informácií) a externé (upratovanie, outsourcing, servis, údržba, stravovanie): na ochranu informácií pred zneužitím, príp. neúmyselnou stratou bezpečnostných atribútov.
• riešenie externých sieťových prístupov: vzdialené lokality, obchodný zástupcovia, prepravcovia, sprostredkovatelia, vzdialení vývojári a správcovia, ...
• podmienky použitia špecializovaných firemných informačno-komunikačných prostriedkov (mzdový, marketingový systém, bezpečnostné systémy, riadenia a správy zdrojov a dokumentácie, správy majetku, použitie el. pošty a internetu, priepustnosť jednotlivých druhov údajov).

Čím neskôr si toto firma uvedomí, tým je pre ňu riziko vyššie. Veľkým problémom bývajú rozsiahle výnimky bezpečnosti, napr. pre tzv. „šedú eminenciu". Keďže každý vie, že „ryba smrdí od hlavy" musí byť bezpečnosť s čo najmenším počtom výnimiek. Mnohí, hlavne teoretici budú tvrdiť, že výnimky nesmú byť, ale tí, čo sú z praxe mi iste potvrdia, že je to skoro nemožné. Na toto všetko je potrebný účinný systém dostatočných oprávnení, možnosti kontroly, vyhodnocovania a postihovania bezpečnostných chýb a incidentov. Daný odstavec zasahuje do personalistiky a psychológie, je to preto veľmi náročné a ani jeden článok by nestačil na bližší popis možností.

Posledná rada: „Logujte, vyhodnocujte a postihujte!" Vytvorte si efektívnu správu záznamov systémov a aplikácií, preverujte komunikáciu, vytvorte systém administrácie kontroly sieťovej komunikácie. Je to najviac zanedbávaná oblasť informačnej bezpečnosti a pritom jej prínosy sú popri technickej ochrane najúčinnejšie.

LITRATÚRA

[1] http://jaspi.justice.gov.sk/jaspiw1/htm_zak/jaspiw_maxi_zak_fr0.htm - stránky aktuálneho úplného znenia zákonných legislatívnych noriem SR.http://www.zbierka.sk – zákonné legislatívne normy SR v *.pdf forme pod správou IURA EDITION, s.r.o.http://www.bsa.org/slovakia/ - bussiness software aliance