V rámci posouzení rizik se snažíme vždy nejprve identifikovat klíčová aktiva a hrozby, které na ně působí a následně zavést vhodná bezpečnostní opatření k jejich ochraně.

Na první pohled se takovýto přístup jeví jako velice efektivní, protože co jiného bychom měli chránit než aktiva, která nám generují většinu našeho zisku. Jenže je to krapet složitější.

Organizace provozuje již roky své vlastní datové centrum, ale management se rozhodl, že nově vyvíjená aplikace poběží v bezpečném cloudu provozovaném důvěryhodnou třetí stranou, a chce vědět, zda se nějak změní rizikový profil.

Zde je třeba si uvědomit, že se nám zde podstatně mění povrch útoku, který se zásadně zvětšuje, protože kromě vlastních zaměstnanců (insiderů) budou mít k datům a systémům přístup i zaměstnanci třetí strany.

Certified in Risk and Information Systems Control je certifikace od společnosti ISACA, která prověřuje znalosti kandidáta v oblasti řízení rizik a to hned ve čtyřech doménách jako je identifikace rizik, hodnocení rizik, zvládání rizik a monitoring rizika.

Stejně jako v případě zkoušky CISM i zde máte na zodpovězení 150 otázek v angličtině 4 hodiny a vybíráte ze čtyř nabízených odpovědí tu nejvhodnější odpověď.

Po sérii předchozích článků by se mohlo nezasvěcené osobě zdát, že jsme proti cloudům. Není tomu tak, jsme jen proti bezhlavému přesunu dat do cloudů bez provedené analýzy rizik.

Např. SME až na výjimky zpravidla nejsou schopny dosáhnout takové úrovně bezpečnosti jako korporace, takže se pro ně může jevit jako výhodnější svěřit správu dat někomu, kdo tomu opravdu rozumí, tedy CSP. Ovšem nenechte se zmást odbornými termíny a zkratkami (HSM, FISP, BYOK, key splitting, apod.)

Mikroslužby (microservices) jsou většinou menší, zpravidla jednoúčelové aplikace komunikující spolu prostřednictvím výměny zpráv.

Vycházejí z filozofie Linuxu, a to dělat jen jednu věc, ale zato pořádně. Snáze se vyvíjí, testují, spravují a mění.

V minulém dílu jsme si definovali zásadní problém a to kybernetický útok přicházející z jiného státu.

V tomto příspěvku se podíváme, jak by mohla ČR, a potažmo i jakákoliv jiná malá otevřená ekonomika na tento kybernetický útok reagovat.

Vishing, voice phishing nebo prostě phishing přes telefon je technika používaná v rámci sociálního inženýrství, kdy se útočník snaží druhou osobu přimět k poskytnutí informace anebo provedení určité akce.

Dle posledního výzkumu skutečné úrovně kybernetické bezpečnosti v organizacích v ČR se s vishingem během roku setkala témě třetina organizací a pětina se s ním setkala dokonce i opakovaně.

V tomto příspěvku se podíváme na některé obecné problémy spojené s operacemi v kyberprostoru.

Budeme předpokládat, že kybernetický útok přichází z jiného státu, a že je veden na naše systémy anebo se to tak alespoň jeví.

Minule jsme si ukázali, že data-at-rest šifrování není všespásné, a že naopak jen mitiguje rizika, která nejsou až tak pravděpodobná.

V praxi jsem se setkal s tím, že uživatelé jsou přesvědčení, že jejich data v AWS, SalesForce, GCP,.. jsou šifrována jejich klíčem a poskytovatel tedy k datům nemá přístup, což je zásadní omyl.

Fyzická bezpečnost datacenter, ve kterých jsou cloudy provozovány bývá zpravidla na velmi vysoké úrovni. Občas sice nějaké lehne popelem, ale jsou zde mnohém větší rizika, např. únik informací.

To se řeší řízením přístupu a šifrováním. Šifrování je vůbec takové magické slovo. Šifrují zločinci, agenti ve filmech, a spousta dalších institucí a poskytovatelů. A na ty se podíváme. Když je něco šifrované, tak je to přeci zabezpečené nejlépe, jak to jde. Opravdu?