Tento odborný e-book je určen vlastníkům firem, CEO a vrcholovému vedení, kteří nechtějí bezpečnost jen platit, ale skutečně ji řídit.

Tahle kniha nejde po povrchu. Neopakují se v ní fráze, které už jste slyšeli stokrát. Neprodává iluzi, že pár směrnic, několik technologií a jedna prezentace o phishingu udělají z firmy odolnou organizaci. Ukazuje, kde vedení firem selhává a co musí udělat jinak, pokud chce mít bezpečnost skutečně pod kontrolou.

Anglicko-český a česko-anglický výkladový slovník kybernetických rizik pro manažery, architekty, bezpečnostní specialisty a risk analytiky.

Slovník vysvětluje pojmy používané při řízení, analýze a kvantifikaci kybernetických rizik. Online verze je dostupná po přihlášení, umožňuje přecházet mezi jednotlivými pojmy a je doplněna o flash cards pro rychlé procvičení terminologie.

Je možné nahlížet na samotné zařízení, ze kterého uživatel přistupuje do aplikace, jako na autentizační faktor, kdy uživatel „něco má“?

Na internetu lze narazit na několik firem, které prosazují myšlenku využít samotného zařízení, ze kterého se uživatel hlásí, jako dalšího autentizačního faktoru. Bohužel většina z nich řešení, které nabízí, nazývá různě. Setkat se tak lze např. s pojmem Virtual token nebo CDI. Informace o tom, jak přesně jejich řešení fungují, však tyto firmy tají. Je zde patrný „security by obscurity“ přístup. Přitom princip, na jakém tato řešení fungují, je velice jednoduchý.

Co je to autentizace a jakými způsoby může proběhnout, jsme si uvedli již v prvním díle našeho seriálu.

Řekli jsme si, že autentizace může být založena na tom, že uživatel „něco ví“, „něco má“ nebo „něco je“. V dalších dílech jsme se pak věnovali jednotlivým autentizačním metodám. Dnes bychom mohli upřít svůj pohled směrem k vícefaktorové autentizaci.

Tvrdím, že přístup „security through obscurity“ nebo chcete-li „security by obscurity“ má své opodstatnění, byť je mnohými bezpečnostními experty kategoricky odmítán.

Samozřejmě, pokud by byla bezpečnost postavená jen na tomto opatření, jednalo by se o špatný přístup. Ovšem při budování vícevrstvé ochrany plní toto opatření nezanedbatelnou roli a celkovou bezpečnost zvyšuje.

Pokud máme zajistit bezpečnost dat během celého jejich životního cyklu a to jak v úložišti, při přenosů a během použití, musíme zavést vhodná bezpečnostní opatření.

Najít odpověď na otázku, která bezpečností opatření by měla být zavedena v konkrétním případě, není možné bez provedení analýzy rizik. Obecně ale platí, že by měla být zavedena minimálně ta opatření, která patří do základní sady opatření.

Myslíte si, že když úspěšně otestujete přechod na novou verzi systému a v rámci testování se neobjeví žádné problémy, že máte vyhráno?

Vězte, že problémy se obvykle objeví až po nějaké době používání a v některých případech jsou dokonce takového rázu, že není jiné cesty, než se zase vrátit k předchozí funkční verzi. Možná si teď říkáte, v čem je problém, máte přeci zpracovaný a otestovaný DRP a sekundární server pro případ výpadku. Nainstalujete na něj předchozí verzi, uživatele přesměrujete na něj a nikdo si ničeho ani nevšimne. 

Tento příspěvek se zabývá doporučením ohledně autentizace v internetovém bankovnictví, které před několika lety vydal FFIEC (Federal Financial Institutions Examination Council).

V dokumentu Guidance on Authentication in an Internet Banking Environment se uvádí, že finanční instituce by měly efektivně ověřovat identitu svých klientů a že finanční podvody a krádeže identit jsou často výsledkem používání jednofaktorové autentizace (ID a hesla), kterou FFIEC považuje za nevhodnou.

Je SIEM něco, čím bychom se měli vážně zabývat nebo je to jen další buzzword?

V počátcích informatiky nepředstavoval auditing a monitoring informačního systému téměř žádný problém, neboť každá organizace měla zpravidla jen jeden informační systém, ke kterému se uživatelé připojovali prostřednictvím terminálů a vytvářel se tak pouze jeden log. Správce takového systému pak nastavil, které události se mají do logu zaznamenávat, a log pak pravidelně vyhodnocoval.

Pojďme se společně zamyslet nad tím, jaké vlastnosti by měl splňovat nástroj na incident management.

A nezapomínejme přitom na to, že jsou minimálně dvě skupiny uživatelů tohoto nástroje, ti co incidenty hlásí a ti co je řeší. Incident může být uživatelem nahlášen telefonicky, mailem nebo přes webové rozhraní, což je z pohledu řešitele ta nejlepší varianta a z pohledu uživatele mnohdy ta nejhorší, bohužel.

V praxi se setkáváme se dvěma hlavními přístupy k hodnocení rizik. kvalitativním a kvantitativním. Na první pohled jde o dvě srovnatelné metodiky, které mají své výhody a nevýhody.

Přestože se zdají být komplementární, při bližším pohledu zjistíme, že kvalitativní analýza stojí na problematickém základu, který zásadně omezuje její vypovídací schopnost.

Ač je žádoucí informace chránit během celého jejich životního cyklu, tak na jejich bezpečnou likvidaci mnohé firmy stále zapomínají.

Nejen domácnosti ale i firmy problematiku likvidace dat velice často podceňují. Velmi se pak podivují, když se stanou obětí nějakého útoku. Šetřením se navíc ukáže, že právě v PC nebo notebooku, který byl dán do bazaru nebo věnován jakési organizaci v rámci charitativní akce v době, kdy firma nahrazovala zastaralou výpočetní techniku novou, se nacházela citlivá data. Pokud nemáte proces likvidace dat spolehlivě ošetřen, tak vás ani sebelepší DLP řešení neochrání.