Na začiatku tisícročia sa postupne začala informatizácia v podnikoch, písacie stroje vymenili počítače, papierové evidencie vystriedali informačné systémy. V tých časoch bola bezpečnosť údajov a informácií sekundárna, zamestnanci a IT pracovníci boli radi, že systémy fungujú a všetci museli vynaložiť svoj čas a energiu aby sa oboznámili s tým, ako tieto nové technológie tisícročia používať.

Postupom času sa menilo prostredie a prichádzali prvé počítačové siete – vnútorné siete v rámci organizácií, ktoré sa neskôr rozšírili o prístup do internetu. S tým prišli aj súvisiace nástrahy – škodlivé stránky, emaily a podobne. O súčasných nástrahách akými sú napríklad falošné videá na sociálnych sieťach, škodlivé odkazy na reklamu mnohých ďalších nehovoriac.

Aktuálna situácia v informačnej bezpečnosti

Situácia v informačnej bezpečnosti je z pohľadu pripravenosti jednotlivcov a podnikov čoraz horšia, nakoľko bezpečnostné opatrenia boli z historického hľadiska dorábané do systémov postupne a bezpečnosť často nebola súčasťou návrhu.
Národný bezpečnostný úrad v súvislosti so zhoršujúcou sa bezpečnostnou situáciou pravidelne vydáva varovania pre verejnosť, ktoré obsahujú odporúčania ako sa ochrániť, respektíve ako odolať. Žiaľ, iba máloktorá organizácia je schopná sama sebe priznať, že odporúčania, ktoré NBÚ vydáva nemá pokryté a potrebuje v tejto veci vykonať nápravu.

Ako príklad z našej krajiny môže poslúžiť nedávny bezpečnostný incident v IT-spoločnosti či na univerzite. Pri takýchto situáciách je vhodné si klásť otázku: „Čo teraz? Čo by som spravil, ak by sa to týkalo mňa, našej firmy, organizácie?“.
Učebnicová odpoveď by bola jednoduchá – implementovať bezpečnostné opatrenia na základe odporúčaní, metodickým prístupom a najmä konceptuálne a systematicky. Čo to znamená v praxi? Každému rozhodnutiu musí predchádzať štúdium aktuálnych možností, analýza rizík, zamyslenie sa nad súčasným stavom a dostupnými prostriedkami, ktoré už máme, aby ste napokon dospeli k najvhodnejšiemu (teda najefektívnejšiemu) riešeniu vhodnému pre Vašu situáciu.

Ako príklad uvádzame zamyslenie nad procesným riadením súvisiacej oblasti – zálohovania

Zálohovanie je prostriedok na zabránenie straty/ udržanie dostupnosti údajov. Organizácia by mala mať stanovenú politiku (alebo aspoň formálny dokument upresňujúci predstavu) zálohovania a realizovaný systém zálohovania ako technické opatrenie.

Stanoviť kritériá na dostupnosť údajov sa však nedá „od stola“, je potrebná komunikácia s vlastníkom aktíva, teda najčastejšie garantom toho-ktorého informačného systému, sieťového priečinku a podobne. Takáto komunikácia je pre organizáciu základom pre stanovenie potrieb na vytváranie záloh informácií, softvéru a systémov.
Následne musia byť vyčlenené kapacity, kam budú zálohy ukladané – či už to budú osobitné zálohovacie servery, diskové polia vrátane NAS, pásky alebo cloud. V rámci pravidiel dobrej praxe zálohovania sa nesmie zabúdať na viaceré kópie záloh a ich geografické oddelenie.

Ďalším krokom je samotné nastavenie procesov a technológií, aby výsledkom boli funkčné zálohy, ktoré budú pre útočníka nedostupné. Nesmie sa pritom zabúdať na fyzickú či logickú ochranu záloh.
Posledným a v praxi často prehliadaným krokom je testovanie záloh – aby boli údaje k dispozícií, ak nastane kritický bod – incident.

Ak Vás naše poučenie zaujalo a potrebujete poradiť napr. v oblasti zálohovania či kontinuity činností, radi budeme Vaším sprievodcom vo svete informačnej bezpečnosti.

Referencie:

https://www.nbu.gov.sk/2022/02/23/narodny-bezpecnostny-urad-mimoriadne-varuje-kriticku-infrastrukturu/index.html

https://www.nbu.gov.sk/2023/02/27/varovanie-pred-zvysenym-rizikom-kybernetickych-utokov/index.html

https://www.sk-cert.sk/sk/varovanie-pred-zvysenym-rizikom-ransomverovych-utokov-na-vzdelavacie-institucie/index.html