Není možné se soustředit jen na ochranu klíčových aktiv

V rámci posouzení rizik se snažíme vždy nejprve identifikovat klíčová aktiva a hrozby, které na ně působí a následně zavést vhodná bezpečnostní opatření k jejich ochraně.

Na první pohled se takovýto přístup jeví jako velice efektivní, protože co jiného bychom měli chránit než aktiva, která nám generují většinu našeho zisku. Jenže je to krapet složitější.

Obzvláště pro někoho, kdo roky slýchával, jak je nutné se soustředit na ochranu klíčových aktiv, které jsou jakýmisi korunovačními klenoty, a nevynakládat zbytečně prostředky na ochranu těch ostatních, jenže takhle jednoduše to bohužel nefunguje.

Stejně jako vždy, i tady je jeden naprosto zásadní problém, který tuto jinak bryskní úvahu staví do trochu jiného světla. Útok totiž nebývá zpravidla veden na dobře zabezpečená klíčová aktiva, nýbrž na ta ostatní, hůře zabezpečená, ať už jsou to webové servery vystrčené do internetu anebo běžní zaměstnanci a jejich koncová zařízení.

A je to naprosto logické, protože proč by měl útočník hledat nové zranitelnosti a pokoušet se překonat vícevrstvou ochranu, když může zneužít zranitelnosti v nějaké hůře zabezpečené službě, kompromitovat ji, dostat se dovnitř a teprve odsud pak vést útok na aktivum, které jej skutečně zajímá.

Ve výsledku to tedy znamená, že základní sadu bezpečnostních opatření nestačí zavést jen k ochraně klíčových aktiv, ale musíte ji zavést prakticky všude a rovněž musíte dbát na to, aby i všichni zaměstnanci organizace bez rozdílu dodržovali určité bezpečnostní zásady, protože jsou nejslabším článkem.

Nikdy totiž předem nevíte, kdo se stane příštím cílem útočníka. Může to být stejně tak recepční jako personalistka, skladník anebo dokonce i zaměstnanec třetí strany, který má profil na nějaké sociální síti, pošta mu chodí na firemní e-mail a rovněž má i přístup do informačního systému společnosti.

Kybernetický útok na tato hůře zabezpečená aktiva je mezi útočníky velice oblíbený, protože téměř vždy uspějí. Ostatně času na to mají dost. Podle posledních průzkumů se nepozorovaně pohybují v sítí oběti i po dobu několika týdnů a v některých případech i měsíců a postupně se dostávají ke svému cíli.

Ukazuje se, že stanovení hranic analýzy je naprosto klíčové, neboť podstatným způsobem ovlivňuje rizika, která budou v další fázi identifikována a kvantifikována. Vyloučení některých aktiv nebo dokonce i části organizace z bezpečnostního programu, jak se tomu občas děje i v rámci ISMS certifikace, je cesta do pekel, protože právě tudy bude veden příští útok.

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.