Taková slova často slyším od SMB (malých a středních podniků). Nečekejte ode mě kritiku; je to podobné jako se zdravím. Problémy řešíme, až když nastanou. V dané oblasti nejsme odborníci a je snadné nám nasadit „růžové brýle„.
Vlastně na internetu můžeme najít návody na všechno, i na bezpečnost (Cybersecurity), tak proč si to nezbouchat doma na koleně?
💡 Problém jsou 2 věci a třetí je jen třešnička na pomyslném dortu:
1) Kontext – ten je třeba vždy, bez toho budete jen slepě následovat návody (a ty mohou být sakra dobré, ale také nemusí)
2) Složitost – když Vám vaše company trochu povyroste, máte přes 50 lidí a pořád to tak trochu jede na punk
3) Lákavá nabídka „pilulek“, které všechno, levně a navždy vyřeší. Bez ajťáků – prostě MAGIC, co se nainstaluje a je to. Můžou mít třeba tyhle zkratky MFA, EDR, XDR, atd. Sami o sobě jsou to skvělé technologie, ale dost často výrobci hodně přehánějí …
🤔 Co s tím?
1) Mám kolegu, co je profík v oblasti Cybersecurity
Tak to máte skoro vyhráno. Stačí, když se bude pravidelně vzdělávat a když bude „přiměřeně rozumný“. Vhodná je pravidelná oponentura někoho, kdo je mimo vaši firmu. Získáte tím jistotu, že jdete správným směrem a možná dostanete pár zajímavých tipů, názor kompetentního člověka se vždy hodí.
2) IT a teda vlastně i bezpečnost řeší náš ajťák (případně IT firma) a říká, že to máme všechno vyřešené.
Tady je to složitější. Lidé nejen v menších firmách si myslí, že každý ajťák je expert na všechno. Od výměny tonerů v tiskárně, přes fyzické a virtuální servery až po Firewally a Cybersecurity. A to minimálně na zařízení všech výrobců … Ne tak to fakt není.
Škodovku Vám taky neopraví ve Volvu, lakýrník nerozumí auto elektrice, i když pracuje v autoservisu apod.
👉 Novoroční dárečky 🎁
Kategorie 1) – je připravena jedna oponentura v Q1/2024, stačí mi napsat, první vyhrává 🔥
Kategorie 2) – jsem připravil několik otázek – určitě to není vyčerpávající, ale základní přehled tím získáte. Měli byste na ně dostat jasné odpovědi od vašeho IT, ať už je to interní člověk nebo externí firma. Kdo bude chtít review/zhodnocení stavu/doporučení, tak mám pro vás celkem 3 x 🎁 pro ty nejrychlejší.
🎯 Cílem je minimalizovat kybernetická rizika a finanční ztráty. O peníze jde vždy až na prvním místě. 🎯
🤚 Zálohování
1) Zálohujeme naše systémy a data?
2) Používáme systém zálohování 3-2-1?
3) Máme tzv. nesmazatelnou zálohu – to je záloha, kterou nebude moci smazat ideálně ani váš „ajťák“?
4) Zálohujeme i naše cloudová prostředí?
5) Testujeme, popř. nebo kdy jsme naposledy testovali obnovu zálohy?
👮♂️ Bezpečnost uživatelských účtů
1) Uživatelé nemají právo administrátora – ať už se jedná o notebooky nebo cloudové aplikace?
2) Kde je to možné, tak používáme více faktorové ověřování (MFA)?
3) Používám princip nejmenších oprávnění – tj. mám pouze taková oprávnění, která potřebuji pro běžnou práci. Ani admin nebude posílat e-maily pod účtem, který bude mít admin oprávnění.
4) Neukládám hesla do webového prohlížeče?
5) Moji zaměstnanci/spolupracovníci tuší, co je to phishing, proč to útočníci dělají a jak to funguje?
💻 Bezpečnost koncových zařízení a SW
1) Používám pokročilé antivirové řešení, ideálně EDR, XDR?
2) Mám zařízení, která přistupují k datům společnosti pod správou? Tzn. jsem schopen je centrálně konfigurovat, popř. třeba i vymazat, když to bude potřeba.
3) Všechny zařízení mají šifrovaný disk? Například pro případ ztráty nebo krádeže zařízení.
4) Nedělám výjimky a moje zařízení a veškerý software pravidelně automaticky aktualizuji a mám o tom přehled?
5) V případě, že má nějaké zařízení nějakou známou a zásadní zranitelnost, tak se o tom automaticky dozvím?