Tento odborný e-book je určen vlastníkům firem, CEO a vrcholovému vedení, kteří nechtějí bezpečnost jen platit, ale skutečně ji řídit.

Tahle kniha nejde po povrchu. Neopakují se v ní fráze, které už jste slyšeli stokrát. Neprodává iluzi, že pár směrnic, několik technologií a jedna prezentace o phishingu udělají z firmy odolnou organizaci. Ukazuje, kde vedení firem selhává a co musí udělat jinak, pokud chce mít bezpečnost skutečně pod kontrolou.

Anglicko-český a česko-anglický výkladový slovník kybernetických rizik pro manažery, architekty, bezpečnostní specialisty a risk analytiky.

Slovník vysvětluje pojmy používané při řízení, analýze a kvantifikaci kybernetických rizik. Online verze je dostupná po přihlášení, umožňuje přecházet mezi jednotlivými pojmy a je doplněna o flash cards pro rychlé procvičení terminologie.

Tento krátký článek navazuje na již publikované články white box, black box, grey box a předpokládá, že čtenář již ví, jaký rozdíl mezi těmito způsoby testování je a jaké jsou jejich hlavní výhody a nevýhody.

Nutno podotknout, že používání termínů jako je black box, white box a grey box se stalo tak trochu módou, a proto bychom se měli zaměřit spíše na popis toho, co a jak by se mělo testovat, než diskutovat o tom, jakého typu ten či onen test vlastně je.

Grey box testování, známé též jako translucent box předpokládá omezenou znalost interních datových a programových struktur za účelem navrhnutí vhodných testovacích scénářů, které se realizují na úrovni black box.

Způsob testování je tak kombinací black box a white box testování. Nejedná se o black box, protože tester zná některé vnitřní struktury, ale zároveň se nejedná ani o white box, protože znalosti vnitřních struktur nejdou do hloubky.

Black box testování, známé také jako opaque box, closed box, behavioral nebo funkční je realizováno bez znalosti vnitřní datové a programové struktury.

To znamená, že tester nemá k dispozici žádnou dokumentaci, binární ani zdrojové kódy. Tento způsob testování vyžaduje testovací scénáře, které jsou buď poskytnuty testerovi nebo si je tester u některých typů testů sám vytváří.

White box testování, známé též jako glass box, clear box, open box nebo také strukturální, předpokládá znalosti vnitřní struktury.

Přesněji řečeno vyžaduje znalost vnitřních datových a programových struktur a také toho, jak je systém naimplementován. Testerovi jsou v případě white box testování poskytnuty veškeré informace, to znamená, že má k dispozici nejen příslušnou dokumentaci, ale i binární a zdrojový kód testované aplikace.

Bezpečnostní incident je událost v IS, která způsobila narušení důvěrnosti, integrity, dostupnosti nebo neodmítnutelnosti informace v důsledku selhání bezpečnostních opatření nebo porušení bezpečnostní politiky.

Za bezpečnostní incident se často považuje i podezření na porušení bezpečnostní politiky nebo pokus o překonání bezpečnostních opatření. Bezpečnostní incident má obvykle tento průběh: detekce incidentu – analýza incidentu – reakce na incident.

Cílem tohoto příspěvku je upozornit na rizika vyplývající z používání spreadsheetů a poskytnout návod jak tato rizika minimalizovat.

Už jste někdy učinili rozhodnutí na základě informací uvedených ve spreadsheetu? Ať už jste na tuto otázku odpověděli kladně nebo záporně, měli byste si přečíst tento článek. Problém je v tom, že zatímco původní data jsou pořizována, zpracovávána a uchovávána v relativně bezpečných systémech, tak poté jsou exportována do velice zranitelných spreadsheetů, ve kterých lze velice obtížně zajistit požadovanou integritu. A je jedno, zda se jedná o spreadsheet vytvořený v produktu OpenOffice.org Calc nebo MS Excel.

Tento příspěvek navazuje na již publikované články o důvěrnosti, integritě a dostupnosti a pokouší se nastínit, jaký je vztah mezi těmito třemi základními atributy bezpečnosti.

Nežádoucí odhalení (Disclosure), modifikace (Alteration) nebo zničení (Destruction) určitých informací může vést k finanční ztrátě, poškození dobrého jména společnosti a v nejhorším případě i k ohrožení života jejich zaměstnanců nebo klientů. Z těchto důvodů je nutné informace před narušením důvěrnosti (Confidentality), dostupnosti (Availability) a integrity (Integrity) odpovídajícím způsobem chránit a to během celého jejich životního cyklu.

Dostupnost je nejčastěji definována jako zajištění, že informace je pro oprávněné uživatele přístupná v okamžiku její potřeby.

O zničení (destruction) určitých informací se v informační bezpečnosti hovoří jako o narušení jejich dostupnosti (availability). Co to ale znamená, když výrobce u svého systému uvádí dostupnost 99,999%? Pokud jako základ vezmeme 365 dní v roce, tak jednoduchým výpočtem zjistíme, že systém může být až 5 minut za rok nedostupný.

Integrita je nejčastěji definována jako zajištění správnosti a úplnosti informací.

O nežádoucí modifikaci (alteration) se proto v informační bezpečnosti hovoří jako o narušení integrity (Integrity). V případě integrity je třeba si uvědomit, že pokud dojde k nežádoucí změně dat, a to ať už úmyslně, náhodou, nebo technickým selháním v důsledku působení vyšší moci, nemusí být tato nežádoucí změna vůbec odhalena a může uplynout dlouhá doba, než si někdo něčeho všimne. Čím později se na tento bezpečnostní incident přijde, tím závažnější bude jeho dopad.

Důvěrnost je nejčastěji definována jako zajištění, že informace jsou přístupné nebo sděleny pouze těm, kteří jsou k tomu oprávněni.

O nežádoucím zpřístupnění (disclosure) určitých informací se v informační bezpečnosti proto hovoří jako o narušení jejich důvěrnosti (confidentiality). Většina společností pracuje se spoustou informací, které je třeba klasifikovat a volba vhodného klasifikační schématu (classification scheme) je proto pro úspěšné zavedení klasifikace informací ve společnosti naprosto zásadní.