Po úvodním slovu se ujal mikrofonu Michal Zedníček, Head of Business Development, ALEF, který s klíčovým tématem „Konec digitálního ráje? Probuzení do digitální reality“ představil čtyři aktuální výzvy. Rychlost a adaptace technologií – lze velice jednoduše srovnat se světem, ve kterém dnes žijeme. U všech technologických vynálezů dochází k inovaci a zlepšování. Michal Zedníček toto uvedl na příkladu telefonu, který byl patentován v roce 1876 a trvalo více než 100 let, než se stal obrátkovým zbožím. U modernějších zařízení jako tablet je tomu jinak. Ipad byl představen v roce 2010, nastartoval zájem společnosti, a tak jej začaly vyrábět i další společnosti. Boom trval méně než deset let, což znamená, že doba se zkrátila desetinásobně.
Dalšími výzvami jsou koexistence řízení mezi enterprise architekturou, řízením ICT a řízením informační bezpečnosti, dále podpora velení, která se neobejde bez odvahy výkonné moci a poskytování zdrojů pro plán zvládání rizik, a v (ne)poslední řadě potěmkin odhalující iluzi bezpečnosti PDCA do prvního penetračního testu.
Následujícím řečníkem konference byl Martin Klumpar, NÚKIB, který se věnoval aktuálnímu vývoji v právní úpravě kybernetické bezpečnosti České republiky. Co NÚKIB dělá pro zvýšení bezpečnosti? Sbírá informace, vyhodnocuje je, sdílí je.
„Sledujeme trendy, informujeme, radíme, vzděláváme, stanovujeme pravidla. Dále ověřujeme, jak věci fungují, takže kontrolujeme, testujeme, cvičíme, vyvíjíme a určujeme. A v neposlední řadě problémy řešíme tak, že koordinujeme zvládání incidentů a doporučujeme řešení," popsal Martin Klumpar.
Zároveň upozornil na kybernetické hrozby, jakými jsou především kyberšpionáže (útoky na strategicky významnou českou vládní instituci ze strany RF a ČLR), nebo například útoky proti univerzitám. Stejně tak jsou hrozbou útoky na mobilní internetové bankovnictví či energetický sektor. Zdůraznil, že pro firmy je důležité zavádění opatření v podobě cvičení kybernetické bezpečnosti, vzdělávání a navyšování digitální gramotnosti, kterou lze nabízet i skrze online kurzy pro veřejnou správu.
Nástroje k zajištění informační bezpečnosti
U mikrofonu jej vystřídal Jan Kopřiva, CSIRT senior leader, ALEF. Většina organizací buduje bezpečnost postupně – na počátku se jí v podstatě vědomě nezabývá, v dalším kroku pak často vytvoří nějaký neformální interní standard, dle kterého jí řídí, a teprve později se dostane k formální dokumentaci" popsal. Dodal také ale, že ne vždy se požadavky dokumentace setkávají s praxí.
Formální požadavky je nutné nejen správně implementovat, ale také jejich dodržování testovat, což nelze dělat bez hlubokých technických a odborných znalostí. Jan Kopřiva v souvislosti s tím diskutoval tzv. vulnerability management (zvládání zranitelností), který je procesem definování, klasifikace, analýzy a stanovení priorit zranitelností v informačních systémech, aplikacích nebo síťových infrastrukturách organizace. S tímto konceptem a souvisejícími nástroji mohou organizace začít v podstatě kdykoli. Kromě toho mohou zavést i tzv. penetrační testy. Ty zpravidla vyžadují na straně organizací vyšší úroveň zralosti, nicméně například testy webových aplikací jsou spojeny jen s minimálními požadavky.
Dle jeho slov by tyto techniky a nástroje měly doplnit formální dokumentaci v každé moderní organizaci. A to především v zájmu zajištění informační bezpečnosti.
Milan Habrcetl, Cyber Security Specialist (Cisco), představil během přednášky trendy v kybernetické bezpečnosti. Navázal i na Jana Kopřivu, když zdůraznil, že aplikace výzkumu v oblasti kybernetických hrozeb do reálného života je důležitým úkolem komerčních firem.
Michal Motyčka, F5 Business Development Manager, vyšel ve svém projevu ze statistik, že více než 80 % webového provozu a 70 % celkového internetového provozu je šifrováno.
„Díky šifrování se na internetu cítíme bezpečněji. Ale co když naopak pomáháme útočníkům lépe se schovat? Dá se tomu předcházet? A co mohu dělat já, uživatel?"
Účastníci se tak dozvěděli o moderních hrozbách, na které jsou ne všichni poskytovatelé aplikací zdaleka připraveni. Prezentace poté nezůstala pouze u tipů pro správce IT či bezpečnostní experty - poradila také běžným uživatelům, jak zbytečně nepřijít o cenná data a nabídla tři jednoduché kroky, které stačí dodržovat k dosažení alespoň základní kontroly nad nuceně zveřejňovanými osobními informacemi a prevence úniku hesel.
Následovala prezentace Davida Rusína, NetApp Business Unit Managera, v které připomněl, že problémem pro zabezpečení firemních dat je jejich roztříštěnost a odlišné nástroje pro správu v cloudu a on premise. Vysvětloval také, jak NetApp Data Fabric pomáhá organizacím nasadit Zero Trust bezpečnostní model v multicloud prostředí. Uváděl příklady, jak pracovat s daty a jak zajistit jednotný management a tím zjednodušit správu a lépe zabezpečit data v edge, core i cloudu.
Zajímá bezpečnost malé a střední podniky?
Podstatného tématu se chopil Martin Křepelka z TESCO SW. Proč management kyberbezpečnost (někdy) nezajímá? Odpověděl třemi jednoduchými argumenty.
- Nepřinese to zisk. A podnikání je přece činnost, kterou lidé vykonávají za účelem dosažení zisku.
- „Nás se to netýká." Mezi business rizika zahrnujeme kurzy koruny, vývozní embargo, clo, konkurenční výrobek, trhu práce, změnu legislativy a téměř na posledním místě IT rizika.
- Přináší to komplikace. Míněno vyšší náklady, nebo nároky na administraci.
Bezpečnostní monitoring a jeho vlastnosti
- Centralizované bezpečnostní informace
- Vlastní pravidla vyhodnocování = přizpůsobitelnost
- Threat Intelligence = sdílení informacích o hrozbách
- Rozšířitelné o další moduly
- On-premises / Jako služba = malé vstupní náklady, platím je to, co potřebuji
Co díky zavedení takového bezpečnostního monitoringu získáte? Odhalíte řadu zranitelností předem, budete schopni detekovat incident v reálném čase, snadněji posoudíte dopad, a stejně tak budete mít reálný důkaz incidentu pro pozdější účely. Navíc se můžete poučit z předchozích incidentů a být připraveni na případné další.
Bezpečnostní dohled i pro malé a střední firmy
Tématem bezpečnosti pro malé a střední firmy se zabýval Petr Vejmělek, architekt kybernetické bezpečnosti v Autocont. Z jeho přednášky se účastníci dověděli například to, že kybernetická bezpečnost je o individuální odpovědnosti za bezpečnost vlastních informačních systémů. Význam kybernetické bezpečnosti v menších a středních firmách a organizacích je stále dramaticky podceňován. Naději na zlepšení mohou přinést jen efektivní, uživatelsky přívětivá a přesto, na pozadí, vysoce sofistikovaná řešení. Když jsou navíc podpořena kvalitním bezpečnostním teamem a zázemím moderního Security Operations Centra, je čas zvážit, jestli takto poskytovaná služba, není tou pravou volbou právě pro vás.
Cílem konference bylo upozornit odbornou i laickou veřejnost na hrozby v současném digitálním světem představit oblasti informační bezpečnosti a typizovaná řešení rizik. To se ve dvou informacemi nabitých dnech povedlo a každý si mohl odnést své. Osobně bych zdůraznila možnosti zajištění bezpečnosti, když víme, že se takový dohled v malých a středních firmách často přehlíží. Další prezentovaná témata mohou vést k zamyšlení a k „probuzení do digitální reality".
