Publikováno: 22. 06. 2019, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 2 244x
Indikátory kompromitace (Indicators of Compromise, zkr. IoC), jak již název napovídá, by měly sloužit k identifikaci kompromitovaného zařízení.
Tedy zařízení, kterým může být stejně tak server, jako pracovní stanice, notebook, tablet, mobilní telefon anebo síťový prvek.
Publikováno: 16. 03. 2019, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, aktualizováno: 06. 05. 2019, zobrazeno: 1 736x
Cyber resilience je tak trochu buzzword vyjadřující požadavek na zajištění odolnosti organizace vůči kybernetickým útokům, které by mohly narušit důvěrnost, integritu a dostupnost a ohrozit tak její misi a vizi.
V zásadě se vůbec nejedná o nic nového, nicméně dochází zde k určitému ne nepodstatnému myšlenkovému posunu a změně paradigmatu, kdy se již neptáme, zda k útoku vůbec dojde, ale spíš kdy k němu dojde a co budeme dělat, až taková situace nastane.
Publikováno: 02. 05. 2018, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 1 789x
Dne 16. dubna 2018 tak trochu bez povšimnutí mainstreamových médií věnujících se bezpečnosti spatřila světlo světa nová verze NIST frameworku z roku 2014.
Na vzniku frameworku se podíleli bezpečností experti ze soukromého i veřejného sektoru a akademické sféry.
Publikováno: 29. 05. 2016, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 3 238x
V tomto příspěvku se podíváme, co je to attack surface, attack vector, threat landscape a threat horizon.
V ochraně systému můžeme spatřit určitou analogii s ochranou jakéhokoliv objektu, který čím je větší a členitější, tím je náročnější a také nákladnější jej chránit.
Publikováno: 10. 03. 2016, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, aktualizováno: 09. 06. 2016, zobrazeno: 7 384x
, 1 komentář
Analýzu rizik je možné provést dle doporučení uvedených ve vyhlášce č. 316/2014 Sb. Problém je, že vyhláška, tak jak je napsána, neposkytuje kompletní návod, jak analýzu rizik provést, a také požadavky v ní uvedené, lze vyložit různě.
Doporučuji vám, držet se vyhlášky, co to jde, protože se tím vyhnete pozdějšímu vysvětlování, proč jste to či ono udělali jinak. I tak ale narazíte na několik zásadních problémů, které budete muset vyřešit, abyste mohli vůbec analýzu rizik provést.
Publikováno: 04. 01. 2016, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 8 753x
Cílem tohoto příspěvku je vysvětlit jednotlivé pojmy, se kterými se v případě kybernetických útoků setkáváme a vysvětlit, jaký je mezi nimi vztah.
Jde o to, že byť v kyberprostoru útočníci zpravidla zneužívají nějakou nově objevenou zranitelnost pomocí stejného exploitu, tak na napadený stroj doručují různý payload. Nerozumíte? Pak čtěte dále.
Publikováno: 30. 08. 2015, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 3 121x
V následujících letech lze očekávat poměrně značné investice do zajištění bezpečnosti informací, služeb a sítí v kybernetickém prostoru ze strany subjektů, provozujících kritickou komunikační infrastrukturu nebo významný informační systém.
Ony investice by pak měly spočívat především v zavedení systému řízení bezpečnosti informací a bezpečnostních opatření organizační i technické povahy a to na základě výsledků hodnocení rizik, jak je uvedeno ve vyhlášce 316/2014.
Publikováno: 08. 06. 2015, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 4 746x
V tomto příspěvku najdete několik poznámek týkajících se zákona o kybernetické bezpečnosti a související vyhlášce.
Zákon ani vyhláška nevysvětluje vztah mezi informační bezpečností a kybernetickou bezpečností a není zřejmé, zda autoři považují tyto pojmy za synonyma. Zcela logicky pak mohou panovat i určité nejasnosti kolem definice bezpečnostního incidentu, ale myslím si, že zákon definuje pojem kybernetický bezpečnostní incident poměrně jasně.
Publikováno: 19. 04. 2015, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 6 520x
Kritická infrastruktura je definována v nařízení vlády č. 315/2014 Sb. a významný informační systém pak ve vyhlášce č. 317/2014 Sb.
Víte, že v tomto nařízení si musíte dohledat odvětví, ve kterém působíte a zkontrolovat zda náhodou nesplňujete uvedená kritéria? A že naplnění určujících kritérií významného informačního systému, který není uveden v příloze č. 1 k této vyhlášce, posuzujete dle § 3 odstavce 3 vy, jako správce informačního systému?
Publikováno: 13. 04. 2015, v rubrice:
Bezpečnost, autor:
Miroslav Čermák
, zobrazeno: 5 770x
, 1 komentář
Jednoznačně největším přínosem vyhlášky 316/2014 Sb. o kybernetické bezpečnosti je uvedení konkrétních doporučení a bezpečnostních opatření organizační i technické povahy.
I organizace, kterých se zákon o kybernetické bezpečnosti netýká, ale které se chtějí před nejrůznějšími kybernetickými útoky, které jsou stále častěji vedeny i na malé střední firmy, bránit, získávají prostřednictvím této vyhlášky zdarma komplexní seznam bezpečnostních opatření organizační a technické povahy a návod jak zavést systém řízení bezpečnosti informací.