Vlákno názorů k článku
NÚKIB vydal dokument Ransomware – doporučení pro mitigaci, prevenci a reakci od anonym - Z pohledu člověka, který o bezpečnosti něco už...

Z pohledu člověka, který o bezpečnosti něco už slyšel, se na všechny dokumenty vydané NÚKIB dívám také jako na překonané.
ALE! Je třeba si uvědomit, že tyto dokumenty by měly mít dopad na masové publikum. Necílí na odborníky, ani na lidi, kteří se bezpečností již zabývají, ale na jejich doplněk.
A jak tak chodíme po firmách, kdyby 100% společností a nemocnic mělo ALESPOŇ to, co NÚKIB vydává, mohli bychom se zabývat skutečnou bezpečností. Toto je spíše poukázání na typické hříchy správy. Které jsou ale všude, a to bohužel nejen v malých společnostech.

Přesně takhle jsem ten dokument pochopil - po přečtení každému soudnému musí být jasné, že jsou to jakási základní opatření, která dokážou výrazně zvýšit bezpečnost sítě takovým, co tomu nerozumějí a mají zavedeno úplné h***o. A takových je mraky v různých firmách či nemocnicích (že?), to je skutečnost, nad kterou nemá smysl dlouze dumat. A tady se z toho dělá aféra.

Ta s prominutím šaškárna s Huawei (dejte si na ně pozor ale neřekneme vám proč, ale máme razítko tak nám věřte) byla přesně příklad, jak se to dělat nemá.

Vidíte, ale zrovna toto považuji za příklad, jak se to dělat má. Jsou oblasti, kde důkaz existovat nemůže - nemůžete prokázat, že riziko neexistuje, pouze to, že jste žádné (doposud) neobjevili. V takovou chvíli nastupuje politika (státu): pokud víme, že systémové nebezpečí existovat může, pak je na místě neřešit riziko samotné (nevyřešíte), ale to, kdo by z něj mohl mít jaký prospěch. Tu je naprosto na místě preferovat technologie spojenců před zeměmi, které považujeme za potenciální riziko.

Pochopitelně, NÚKIB by mohl jít hlouběji, např. se zabývat otázkou, jak rizika mitigovat, např. kombinací různých technologií. V tomto případě vnímám, že takový návrh, jak vyloučit rizika, by měl být spíš na dodavateli. Ten by měl přijít a říct: rizika pro vás nejsou, protože naši technologii můžete kompletně odizolovat od internetu (a popsat, jak by vypadalo technické řešení).

Je samozřejmě taky možné, že úřad dojde k tomu, že rizika mitigovat nelze; cenné důvěrné informace a případně i pokyny pro vzdálené ovládání (např. v případě války) lze u mnoha technologií předávat mezi metadaty běžného provozu (telefonního hovoru, v hlavičkách packetů, ...); to je hodně podobné průšvihu Intelu s AMT.

Tady vidím dva velké nedostatky. Činnost, kterou popisujete, by měla být jen doplňková a dokumenty tak označené. NÚKIB v lidech - a nezapomeňte, že i významní manažeři jsou IT-laikové - svojí činností spíš vzbuzuje pocit, že stačí splnit pár doporučení a vše je v pořádku. Druhý nedostatek je, že se stejným úsilím neposkytují svá stanoviska ani těm, kteří by chtěli / by měli na bezpečnost dbát mnohem víc.

Podle mě by hlavně mělo být základem stanovit, jakých cílů chce bezpečnost docílit. Nevyjmenovávat přesné postupy, ale říct: očekává se, že všechna zařízení a všechny externí služby jsou chráněny před: <vyjmenovat>. Měla by být vedena dokumentace o: <vyjmenovat>. Minimálně jednou za <dobu> by měla být provedena tato ověření: <vyjmenovat>.

Dále by měli vést osvětu směrem k vedením společností a upozornit, za co odpovídá vedení - např. GDPR a vysvětlit, že řádné provádění bezpečnostních postupů může firmu efektivně vyvinit z průšvihu (který se nevyhýbá nikomu).

Na to, aby nám někdo řekl, že máme mít silná hesla a zálohovat, na to opravdu nepotřebujeme celý úřad.