Analýza rizik v rámci SDLC

Je určitý rozdíl, když provádíte analýzu rizik již existujícího nebo nově vyvíjeného systému.

V obou případech byste měli začít stanovením kontextu, tedy ujasněním, kdo daný systém provozuje nebo bude provozovat, k čemu daný systém slouží nebo bude sloužit, a konečně jaké služby a informace poskytuje anebo bude poskytovat a komu.

celý článek

Problematické postavení CISO v hierarchii organizace

Cílem tohoto příspěvku je nastínit problematiku začlenění CISO v hierarchii organizace.

V zásadě zde máme dva základní modely organizačního začlenění CISO v hierarchii organizace. CISO mající sice C v názvu pozice, ale zanořen hluboko v organizační struktuře a pak CISO jako člen vrcholového vedení.

Štítky:
celý článek

Hodnocení bezpečnostních řešení dle MITRE Engenuity ATT&CK

Tento článek se zamýšlí nad tím, jak přistoupit k hodnocení bezpečnostních řešení dle MITRE, a jak interpretovat výsledky hodnocení.

Na stránkách MITRE jsou uvedeny taktiky a techniky, které jsou zpravidla používány v rámci vedení kybernetických útoků.

Štítky: ,
celý článek

Řízení rizik a KRI

Když přijde řeč na řízení rizik, tak nemůžeme opomenout ani indikátory klíčových rizik, někdy též klíčové indikátory rizika, v originále Key Risk Indicators, zkr. KRI.

Co je to KRI, k čemu slouží, kdo a jak jej stanovuje, o tom všem je tento příspěvek.

Štítky:
celý článek

Linkless phishing

V zásadě se jedná mezi útočníky o poměrně oblíbenou techniku, která jim umožňuje projít skrze většinu antimalware řešení.

Spočívá v silně obfuskované HTML příloze phishing e-mailu, který přichází z cloudu, např. ze SendGridu. Odesílatelem e-mailu je důvěryhodný mailový server, z kterého chodí i naprosto legitimní e-maily.

Štítky:
celý článek

Posuzování rizik

Vzhledem k turbulentním změnám, ke kterým v posledních letech dochází, se ukazuje, že posuzovat rizika již nestačí jen jednou ročně, ale že je nutné rizika posuzovat prakticky neustále a okamžitě na ně reagovat.

Jedině tak organizace může na trhu dlouhodobě uspět a naplnit svou misi a vizi.

celý článek

Lesk a bída HR v ČR: Za únikem většiny informací stojí samotní zaměstnanci

Byť nás média neustále informují o únicích informací, za kterými stojí nejrůznější organizované skupiny, tak drtivou většinu úniků informací mají stále na svědomí samotní zaměstnanci.

Ti jsou nejslabším článkem celého systému, a nezdá se, že by tomu v dohledné době mělo být jinak.

Štítky:
celý článek

Integrované řízení podnikových rizik

O integrovaném řízení podnikových rizik se hodně mluví, ovšem málokdo jej dělá, a jen pár expertů jej skutečně ovládá.

Řízení podnikových rizik (Enterprise risk management, zkr. ERM) by mělo přinést komplexní a konsolidovaný pohled na všechna rizika napříč organizací. Někdy se proto též hovoří o integrovaném řízení rizik (Integrated Risk Management, zkr. IRM), kdy je na rizika nahlíženo z pohledu celé organizace.

celý článek

Aktivní obrana nebo protiútok? – 3. díl

V rámci probíhající hybridní války roste riziko přelití válečného konfliktu i do zemí, které s konfliktem původně neměly nic společného.

To je dáno především postupující globalizací a využíváním společné infrastruktury, technologií a produktů, které mohou být napadeny. Riziko napadení pak roste s mírou zapojení dané země do válečného konfliktu, a vyjádřením podpory, ať už přímé či nepřímé.

Štítky:
celý článek

Simulovaný phishing

Simulovaný phishing nepochybně zlepšuje schopnost uživatelů rozpoznávat phishing, bohužel zpravidla jen ten generický, takže spear phishing zůstane nadále nerozpoznán.

Můžeme se však chlácholit tím, že drtivá většina reálných phishing útoků je spíše plošná a nedochází při nich ke zneužívání zeroday zranitelností.

Štítky:
celý článek