Je vyšším rizikem narušení bezpečnosti dat provoz aplikace on-premise nebo v cloudu?

Organizace provozuje již roky své vlastní datové centrum, ale management se rozhodl, že nově vyvíjená aplikace poběží v bezpečném cloudu provozovaném důvěryhodnou třetí stranou, a chce vědět, zda se nějak změní rizikový profil.

Zde je třeba si uvědomit, že se nám zde podstatně mění povrch útoku, který se zásadně zvětšuje, protože kromě vlastních zaměstnanců (insiderů) budou mít k datům a systémům přístup i zaměstnanci třetí strany.

Štítky:
celý článek

CRISC aneb certifikovaný expert na řízení rizik

Certified in Risk and Information Systems Control je certifikace od společnosti ISACA, která prověřuje znalosti kandidáta v oblasti řízení rizik a to hned ve čtyřech doménách jako je identifikace rizik, hodnocení rizik, zvládání rizik a monitoring rizika.

Stejně jako v případě zkoušky CISM i zde máte na zodpovězení 150 otázek v angličtině 4 hodiny a vybíráte ze čtyř nabízených odpovědí tu nejvhodnější odpověď.

Štítky:
celý článek

S daty do cloudu a bezpečně: šifrování nebo tokenizace

Po sérii předchozích článků by se mohlo nezasvěcené osobě zdát, že jsme proti cloudům. Není tomu tak, jsme jen proti bezhlavému přesunu dat do cloudů bez provedené analýzy rizik.

Např. SME až na výjimky zpravidla nejsou schopny dosáhnout takové úrovně bezpečnosti jako korporace, takže se pro ně může jevit jako výhodnější svěřit správu dat někomu, kdo tomu opravdu rozumí, tedy CSP. Ovšem nenechte se zmást odbornými termíny a zkratkami (HSM, FISP, BYOK, key splitting, apod.)

Štítky:
celý článek

Mikroslužby a rizika s nimi spojená

Mikroslužby (microservices) jsou většinou menší, zpravidla jednoúčelové aplikace komunikující spolu prostřednictvím výměny zpráv.

Vycházejí z filozofie Linuxu, a to dělat jen jednu věc, ale zato pořádně. Snáze se vyvíjí, testují, spravují a mění.

celý článek

Aktivní obrana nebo protiútok? – 2. díl

V minulém dílu jsme si definovali zásadní problém a to kybernetický útok přicházející z jiného státu.

V tomto příspěvku se podíváme, jak by mohla ČR, a potažmo i jakákoliv jiná malá otevřená ekonomika na tento kybernetický útok reagovat.

Štítky:
celý článek

Vishing jak jej možná neznáte

vishingVishing, voice phishing nebo prostě phishing přes telefon je technika používaná v rámci sociálního inženýrství, kdy se útočník snaží druhou osobu přimět k poskytnutí informace anebo provedení určité akce.

Dle posledního výzkumu skutečné úrovně kybernetické bezpečnosti v organizacích v ČR se s vishingem během roku setkala témě třetina organizací a pětina se s ním setkala dokonce i opakovaně.

Štítky:
celý článek

Aktivní obrana nebo protiútok? – 1. díl

V tomto příspěvku se podíváme na některé obecné problémy spojené s operacemi v kyberprostoru.

Budeme předpokládat, že kybernetický útok přichází z jiného státu, a že je veden na naše systémy anebo se to tak alespoň jeví.

Štítky:
celý článek

Bring Your Own Key aneb přines si svůj klíč do mého zámku

Minule jsme si ukázali, že data-at-rest šifrování není všespásné, a že naopak jen mitiguje rizika, která nejsou až tak pravděpodobná.

V praxi jsem se setkal s tím, že uživatelé jsou přesvědčení, že jejich data v AWS, SalesForce, GCP,.. jsou šifrována jejich klíčem a poskytovatel tedy k datům nemá přístup, což je zásadní omyl.

Štítky:
celý článek

Cloud computing: Vaše data ukládáme šifrovaně

Fyzická bezpečnost datacenter, ve kterých jsou cloudy provozovány bývá zpravidla na velmi vysoké úrovni. Občas sice nějaké lehne popelem, ale jsou zde mnohém větší rizika, např. únik informací.

To se řeší řízením přístupu a šifrováním. Šifrování je vůbec takové magické slovo. Šifrují zločinci, agenti ve filmech, a spousta dalších institucí a poskytovatelů. A na ty se podíváme. Když je něco šifrované, tak je to přeci zabezpečené nejlépe, jak to jde. Opravdu?

Štítky:
celý článek

Data v cloudu, data v čoudu

Dali data do cloudu, a teď je tam skutečně mají, ve velkém mraku kouře, do kterého se tato data rychle přetransformovala.

K požáru došlo ve středu 10. 03. 2021 v 00:47  v datacentru v budově Alsace Tourisme SBG2 ve Štrasburku. Krátce na to se objevila zpráva na Twitru: SBG2 just gone. SBG1 damaged. SBG3 at risk. SBG4 safe. Customers told to activate DR plans.

Štítky:
celý článek