Tento odborný e-book je určen vlastníkům firem, CEO a vrcholovému vedení, kteří nechtějí bezpečnost jen platit, ale skutečně ji řídit.

Tahle kniha nejde po povrchu. Neopakují se v ní fráze, které už jste slyšeli stokrát. Neprodává iluzi, že pár směrnic, několik technologií a jedna prezentace o phishingu udělají z firmy odolnou organizaci. Ukazuje, kde vedení firem selhává a co musí udělat jinak, pokud chce mít bezpečnost skutečně pod kontrolou.

Anglicko-český a česko-anglický výkladový slovník kybernetických rizik pro manažery, architekty, bezpečnostní specialisty a risk analytiky.

Slovník vysvětluje pojmy používané při řízení, analýze a kvantifikaci kybernetických rizik. Online verze je dostupná po přihlášení, umožňuje přecházet mezi jednotlivými pojmy a je doplněna o flash cards pro rychlé procvičení terminologie.

Ransomware představuje jednu z nejzávažnějších hrozeb současného kyberprostoru. Jeho dopad dalece přesahuje rámec běžného provozního narušení a zasahuje samotnou existenci organizací.

V tomto článku analyzujeme průběh ransomwarových útoků, techniky exfiltrace dat a specifika útoků v cloudovém prostředí. Zaměřujeme se jak na teoretická východiska, tak na empirické poznatky z praxe, které ukazují skutečný způsob, jakým útočníci operují.

Každá organizace, která to s kybernetickou odolností myslí vážně, si dříve či později položí otázku, jak vlastně testovat svou odolnost? A odpověď je nasnadě.

Ale má to být table top, technický dry run, automatizovaná BAS simulace, nebo rovnou red teaming?

Můžete si vybrat. Rudě zářící pole risk matice, jedno číslo vyjadřující roční ztrátu v korunách anebo smyslné ladné křivky slibující vědeckou přesnost.

Asi už tušíte, že je řeč o kvalitativním, semikvantitativním a kvantitativním přístupu k analýze rizik. Rozdíl mezi jednotlivými přístupy je ale mnohem větší, než si většina lidí připouští. A bohužel právě na tom často stojí nebo padá správné rozhodnutí managementu o investicích do informační bezpečnosti.

Obrana 21. století se nevede jen tanky, letouny a raketovými systémy, ale i v kyberprostoru, prostřednictvím dronů, umělé inteligence a informační války.

Jenže právě v těchto oblastech má ČR dlouhodobý deficit a závislost na zahraničních technologiích ji činí zranitelnou.

Když přijde řeč na praktický výpočet rizika bez chytrých pomůcek, všichni logicky sahají po známém vzorci: R = likelihood × impact. Jenže v pojmu „likelihood“ může být zakopaný pes.

Jedni oním pojmem myslí klasickou pravděpodobnost, druzí zase frekvenci výskytu události, typicky za nějaké časové období (ARO — Annualized Rate of Occurrence, jinak bychom asi mohli říci i míra výskytu v jednom roce). Dokonce i norma ISO připouští oboje.

Kniha kvantitativní analýza kybernetických rizik přináší detailní návod jak kvantifikovat kybernetická rizika. Dozvíte se, jak stanovit hodnotu dopadu, pravděpodobnost vzniku dopadu a spočítat výsledné riziko v korunách.

Budete tak schopni svému managementu, předložit reálné rizikové scénáře, které přinesou odpověď na tu nejzákladnější otázku, kterou chce znát každý vlastník firmy. Jaká je pravděpodobnost, že se staneme obětí nějakého kybernetického útoku a jak vysoká bude škoda.

O problematickém postavení CISO v hierarchii organizace jsem naposledy psal zde.

Otázka je, zda se od té doby něco změnilo. Nic zásadního, ale k určitým změnám přesto došlo, dochází a bude i nadále na této pozici docházet.

Bezpečnostní firmy a média se v posledních měsících předhánějí, kdo silněji varuje před „novými“ technikami zvanými ClickFix a FileFix.

Ale když se na ně podíváme blíže, zjistíme, že tyto útoky jsou jen další variací dávno známých sociálně-inženýrských principů.

Matice rizik patří k nejrozšířenějším nástrojům v oblasti řízení rizik. Nabízejí jednoduchou formu vizualizace rizik podle dvou dimenzí – dopadu a pravděpodobnosti.

Právě tato srozumitelnost stojí za jejich popularitou u managementu i auditorů. Jak je ale ukázáno v článku o hanojském masakru krys, popularita je někdy důsledkem iluze efektivity, nikoli reálné užitečnosti.

Většina mezinárodních certifikací v oblasti kybernetické bezpečnosti pochází z USA, což odráží dlouhodobou dominanci amerických organizací v této oblasti.

Nicméně, tyto certifikace jsou uznávané globálně a často slouží jako standardy v oboru. Uveďme si ty nejznámější: