Výzkum skutečné úrovně kybernetické bezpečnosti v ČR – dotazník

Zajímá vás, jaké hrozby vás skutečně ohrožují, jaké jsou následky jednotlivých kybernetických útoků, a jak jste vůči těmto kybernetickým útokům odolní?

Pokud ano, tak přesně na tyto otázky se snaží najít odpověď právě probíhající výzkum skutečného stavu kybernetické bezpečnosti v ČR. Zapojte se prosím i vy do tohoto výzkumu a vyplňte dotazník níže. Čím více se nás zapojí, tím lepší představu o situaci v kyberprostoru získáme.

Děkuji za váš čas,
Miroslav Čermák

  • Ihned po odeslání dotazníku se vám zobrazí rychlé zhodnocení vaší situace, tedy jaké hrozby vás ohrožují a jaká bezpečnostní opatření byste měli přijmout.
  • S odkazem na výsledky výzkumu dokážete lépe obhájit své investice do bezpečnostních řešení a přispějete ke zmapování skutečného stavu kybernetické bezpečnosti v organizacích v ČR.

I. Identifikace respondenta

Poskytnutá emailová adresa bude použita pro zaslání odkazu na výsledky výzkumu, a nebude nikde zveřejněna.

Zadejte vaši e-mailovou adresu:

II. Vyhodnocení opatření

Následující otázky slouží k posouzení celkové úrovně bezpečnostních opatření z pohledu běžného uživatele, který přistupuje ze svého koncového zařízení k informačním systémům a datům organizace.

Otázka 1 - Šifrujete data na disku vašeho koncového zařízení?

Pokud šifrujete data, případně celé disky na svých koncových zařízeních a rovněž i paměťová média ve vašich mobilních zařízeních jako jsou SD karty a USB flash disky, na kterých přenášíte data, odpovězte ANO. V opačném případě odpovězte NE.

Otázka 2 - Používáte pro přihlášení do počítače komplexní hesla, passphrase nebo 2FA?

Pokud jsou vaší bezpečnostní politikou pro přihlašování do systému a aplikací vynucována komplexní hesla obsahující velká a malá písmena, čísla a speciální znaky a jsou dlouhé více jak 9 znaků anebo používáte passphrase obsahující minimálně 4 slova či dvoufaktorovou autentizaci, odpovězte ANO. V opačném případě odpovězte NE.

Otázka 3 - Dochází k automatickému uzamčení obrazovky při nečinnosti?

Pokud používáte zámek obrazovky a vaše zařízení se automaticky po určité době uzamkne, odpovězte ANO. Pokud se vaše koncové zařízení po určité době nečinnosti samo neuzamkne, odpovězte NE.

Otázka 4 - Zálohujete pravidelně svá data?

Pokud svá data zálohujete pravidelně, odpovězte ANO. Pokud pravidelně nezálohujete, odpovězte NE.

Otázka 5 - Školíte a testujete své zaměstnance ohledně možných kybernetických útoků?

Pokud školíte a testujete své zaměstnance, zda bezpečně zachází s informacemi a jsou odolní vůči technikám sociálního inženýrství, abyste si ověřili, jak zareagují např. na spear phishing, vishing, SMShing apod. alespoň jednou ročně, odpovězte ANO. Pokud školení a testy v této oblasti neprovádíte, odpovězte NE.

Otázka 6 - Provádíte pravidelné bezpečnostní testy vašich webových aplikací a infrastruktury?

Pokud penetrační testy vašich webových a mobilních aplikací a rovněž i síťové infrastruktury provádíte alespoň jedenkrát ročně, odpovězte ANO. V opačném případě odpovězte NE.

Otázka 7 - Jsou všechny vaše systémy a aplikace aktuální?

Pokud provozujete jen podporované verze OS, máte nastavené automatické aktualizace OS včetně aplikací jako je prohlížeč, MS Office, JAVA, Adobe apod., případně jste schopni nasadit příslušný patch nebo novou verzi firmware ve vašich síťových zařízeních jako jsou Wi-Fi routery apod. do několika málo týdnů od zveřejnění zranitelnosti, odpovězte ANO. Pokud vám nasazení patche nebo nové verze trvá až několik měsíců, odpovězte NE.

Otázka 8 - Můžete na svém koncovém zařízení spustit jakýkoliv program nebo skript?

Pokud můžete na firemním zařízení instalovat nový SW, doplňky do prohlížeče anebo spouštět spustitelné soubory a makra, které si stáhnete z internetu, pošlete e-mailem anebo donesete na USB flash disku, tak odpovězte ANO. V opačném případě, tj. kdy nic z výše uvedeného nemůžete, odpovězte NE.

Otázka 9 - Používáte pro přístup do internetu/e-mailu jiné zařízení než do firemních systémů?

Pokud můžete z firemního zařízení přistupovat jak na webové stránky na internetu, tak i zároveň pracovat v podnikovém systému, tak pak na tuto otázku odpovězte NE. V případě, že používáte dvě různá zařízení a to ať už fyzické nebo virtuální, odpovězte ANO.

Otázka 10 - Dostanete se jen k datům nezbytně nutným pro vaši práci?

Pokud se dostanete jen k datům, které nezbytně nutně potřebujete pro svoji práci a k jiným datům a informacím se nedostanete, odpovězte ANO. Pokud se dostanete i k datům, které pro výkon své práce nepotřebujete, např. k datům, se kterými spíše pracují zaměstnanci z vedlejšího oddělení anebo kolega na jiné pozici, než jste vy, odpovězte NE, protože je zřejmé, že přístup k datům není striktně řízen.

III. Vyhodnocení četnosti hrozeb

Cílem následující sady otázek je zjistit, s jakými útoky jste se v minulém roce setkali a jak často. Pokud jste se s takovým útokem vůbec nesetkali, zvolte možnost "vůbec". Pokud jste se s takovým útokem setkali jen jednou, zvolte možnost "jednou". Pokud jste se s takovým útokem setkali během roku vícekrát, zvolte možnost "opakovaně" a konečně pokud se s takovým útokem setkáváte prakticky skoro každý týden nebo dokonce ještě častěji, zvolte možnost "soustavně".

Otázka 11 - Zaznamenali jste skenování, inventarizaci, enumeraci ve vašich systémech?

Někdo skenoval naše systémy, weby, aplikace, API, porty a snažil se zjistit, co na nich běží za služby, jaké jsou jejich verze, pokoušel se o enumeraci uživatelů apod.

Otázka 12 - Došlo k hacknutí nějakého vašeho zařízení?

Došlo ke zneužití zranitelnosti v provozovaném síťovém prvku, systému, webové aplikaci vystavené do internetu, spoofing, tampering, eskalace privilegií, neošetřeném vstupu.

Otázka 13 - Byl na vás veden volumetrický DDoS útok?

Byl deketován volumetrický DDoS, realizovaný z více počítačů.

Otázka 14 - Byl na vás veden aplikační DoS útok?

Byl detekován aplikační DoS na zdroje jako je paměť, diskový prostor, web, aplikace, služby.

Otázka 15 - Došlo k nakažení nějakého vašeho koncového zařízení drive-by download malwarem?

Při surfování po internetu byl na webové stránce antivirem detekován škodlivý kód.

Otázka 16 - Byl někomu z vašich zaměstnanců doručen phishing e-mail se škodlivým kódem?

V příloze e-mailu byl antivirem detekován škodlivý kód.

Otázka 17 - Byl někomu z vašich zaměstnanců doručen phishing e-mail e-mail s odkazem?

Do e-mailové schránky byl doručen e-mail, který byl příjemcem e-mailu označen jako phishing.

Otázka 18 - Byl někomu z vašich zaměstnanců doručen spear phishing e-mail?

Do e-mailové schránky byl doručen e-mail, který byl přesně zacílený na danou osobu.

Otázka 19 - Volal do vaší firmy někdo, kdo se vydával za někoho jiného a snažil se ze zaměstnanců vytáhnout informace?

Bylo voláno konkrétní osobě a proběhl pokus získat informace nebo ji donutit k provedení určité akce.

Otázka 20 - Stáhl si někdo z vašich zaměstnanců do svého koncového zařízení trojanizovanou aplikaci?

Ve stahované aplikaci byl antivirem detekován škodlivý kód.

Otázka 21 - Připojil někdo z vašich zaměstnanců do sítě externí médium se škodlivým kódem?

Bylo zajištěno externí paměťové médium, např. USB flash disk, SD karta se škodlivým kódem, HW keylogger.

Otázka 22 - Došlo k fyzickému průniku neoprávněné osoby do chráněných prostor?

Neoprávněná osoba fyzicky pronikla do prostor organizace, piggybacking, tailgating apod.

IV. Vyhodnocení dopadů

Cílem této sady otázek je zjistit, jaký byl následek útoku, tedy zda vznikla nějaká škoda a pokud ano, tak v jaké výši. Pokud jste uvedený útok na vaši organizaci neznamenali, tak zvolte možnost "nedošlo". Pokud útok proběhl, ale nevznikla žádná škoda, např. proto, že máte účinná bezpečnostní opatření, tak zvolte možnost "žádná" a konečně, pokud vám nějaká škoda vznikla, zkuste určit, v jaké výši, stačí hrubý odhad, tedy zda škoda by v řádu tisíců, statisíců anebo přes milión, a nezapomeňte do škody započíst ztrátu produktivity, tržní příležitosti, náklady na obnovu apod.

Otázka 23 - Došlo u vás k výpadku proudu?

(výpadek dodávky el. proudu)

Otázka 24 - Došlo k výpadku služby u třetí strany?

(výpadek u provozovatele DC, cloudu, ISP)

Otázka 25 - Došlo k selhání vašeho vlastního HW/SW?

(selhání vlastního HW/SW bez cizího přičinění v důsledku vyšší moci)

Otázka 26 - Došlo k nedostupnosti v důsledku volumetrického DDoS útoku?

(systém/služba/infrastruktura nedostupná v důsledku volumetrického DDoS útoku)

Otázka 27 - Došlo k nedostupnosti v důsledku aplikačního DoS útoku?

(systém/služba/infrastruktura nedostupná v důsledku aplikačního DoS útoku)

Otázka 28 - Došlo ke kompletnímu ovládnutí vašeho systému útočníkem? (APT)

(informační systém organizace nebo ICS/SCADA zcela pod kontrolou útočníka, došlo ke změně kritických dat, výroba stála/služba nebyla poskytována, docházelo k chybám, produkce zmetků)

Otázka 29 - Došlo k začlenění nějakého vašeho zařízení do botnetu? (hacking)

(hack serverů, stanic, IoT a jejich zneužití k dalším podvodným aktivitám, začlenění do botnetu, rozesílání SPAMu, provoz PROXY, phishing web, VoIP volání, apod.)

Otázka 30 - Došlo v důsledku hackingu ke změně vaší webové stránky? (Defacement)

(pozměněna úvodní webová stránka)

Otázka 31 - Došlo k neautorizovanému převodu peněz z vašeho firemního účtu? (APT)

(odčerpání značného množství finančních prostředků z účtu v důsledku napadení a ovládnutí systému umožňující bezhotovostní převod finančních prostředků)

Otázka 32 - Došlo k nakažení nějakého vašeho zařízení malwarem?

(v systému byl nalezen škodlivý kód, který musel být odstraněn)

Otázka 33 - Došlo k zašifrování některých vašich dat ransomwarem?

(zašifrována data na discích v důsledku napadení koncového zařízení nebo serveru)

Otázka 34 - Došlo ze strany vašeho zaměstnance nebo třetí strany k sabotáži?

(zneužití přístupu zaměstnancem, který měl nebo získal přístup do systému a k datům a pozměnil je nebo nainstaloval logickou bombu)

Otázka 35 - Došlo k úniku citlivých informací v důsledku APT útoku?

(zcizeny citlivé osobní údaje klientů, zaměstnanců, hesel, strategické plány, chráněné receptury, firemní know-how, popisy a technické výkresy nových produktů a služeb)

Otázka 36 - Došlo ke krádeži citlivých dat vaším zaměstnancem?

(zneužití přístupu zaměstnancem, který měl nebo získal přístup k datům a zkopíroval je, zneužil pro svoji potřebu anebo prodal)

Otázka 37 - Došlo k úniku informací v důsledku nedbalosti?

(odeslání e-mailu omylem, ztráta/vyřazení počítače či médií s citlivými daty)

Otázka 38 - Došlo k očerňující kampani vaší organizace na internetu?

(negativní recenze, příspěvky v diskusním fóru, desinformační kampaň, otrávení výsledků vyhledávání apod.)

V. Obavy

Cílem této sady otázek je zjistit, jakých událostí se jako manažer informační a kybernetické bezpečnosti nejvíce obáváte.

Otázka 39 - Obáváte se výpadku proudu?

(výpadek dodávky el. proudu)

Otázka 40 - Obáváte se výpadku služeb u třetí strany?

(výpadek u provozovatele DC, cloudu, ISP)

Otázka 41 - Obáváte se selhání vlastního HW/SW?

(selhání vlastního HW/SW bez cizího přičinění v důsledku vyšší moci)

Otázka 42 - Obáváte se volumetrických DDoS útoků?

(systém/služba/infrastruktura nedostupná v důsledku volumetrického DDoS útoku)

Otázka 43 - Obáváte se aplikačních DoS útoků?

(systém/služba/infrastruktura nedostupná v důsledku aplikačního DoS útoku)

Otázka 44 - Obáváte se kompletního ovládnutí vašeho systému útočníkem? (APT)

(informační systém organizace nebo ICS/SCADA zcela pod kontrolou útočníka, došlo ke změně kritických dat, výroba stála/služba nebyla poskytována, docházelo k chybám, produkce zmetků)

Otázka 45 - Obáváte se se začlenění vašeho zařízení do botnetu? (hacking)

(zneužití k dalším podvodným aktivitám, začlenění do botnetu, rozesílání SPAMu, provoz PROXY, phishing web, VoIP volání, apod.)

Otázka 46 - Obáváte se neautorizované změny vašich webových stránek? (Defacement)

(pozměněna úvodní webová stránka)

Otázka 47 - Obáváte se neautorizovaného převodu peněz z vašich účtů? (APT)

(odčerpání značného množství finančních prostředků z účtu v důsledku napadení a ovládnutí systému umožňující bezhotovostní převod finančních prostředků)

Otázka 48 - Obáváte se generického malware?

(v systému byl nalezen škodlivý kód, který musel být odstraněn)

Otázka 49 - Obáváte se ransomware?

(zašifrována data na discích v důsledku napadení koncového zařízení nebo serveru běžným ransomwarem)

Otázka 50 - Obáváte se sabotáže ze strany zaměstnance.

(zneužití přístupu zaměstnancem, který měl nebo získal přístup do systému a k datům a pozměnil je nebo nainstaloval logickou bombu)

Otázka 51 - Obáváte se krádeže informací ze strany konkurence nebo organizovaných skupin?

(zcizeny citlivé osobní údaje klientů, zaměstnanců, hesel, strategické plány, chráněné receptury, firemní know-how, popisy a technické výkresy nových produktů a služeb)

Otázka 52 - Obáváte se krádeže informací ze strany vlastních zaměstnanců?

(zneužití přístupu zaměstnancem, který měl nebo získal přístup k datům a zkopíroval je, zneužil pro svoji potřebu anebo prodal)

Otázka 53 - Obáváte se úniku informací v důsledku nedbalosti?

(odeslání e-mailu omylem, ztráta/vyřazení počítače či médií s citlivými daty)

Otázka 54 - Obáváte se očerňující kampaně na internetu?

(negativní recenze, příspěvky v diskusním fóru, desinformační kampaň, otrávení výsledků vyhledávání apod.)

Po kliknutí na tlačítko Vyhodnotit dojde nejprve ke kontrole úplnosti formuláře a v případě, že budou zodpovězeny všechny otázky, tak se vám na další stránce zobrazí váš index exploitovatelnosti, nebo chcete-li vaší odolnosti vůči kybernetickým hrozbám, tedy jak na tom vaše firma skutečně je, resp. vůči jakým útokům nejste dostatečně chráněni, a na co byste se měli zaměřit.