Embed Size (px)
Citation preview
KYBERNETICKÁ A INFORMAČNÍ BEZPEČNOST
Statutární město Kladno
Ing. Ivan Hanušzáří – říjen 2018
2
AGENDA
❖ Úvodní test❖ Proč se zabývat bezpečností informací❖ Aktuální hrozby pro informace❖ Škodlivý software (malware)❖ Sociální inženýrství❖ Mobilní bezpečnost❖ Obecné bezpečnostní zásady❖ Sociální sítě❖ Požadavky interních předpisů Města
❖ Bezpečnostní pravidla pro uživatele informačních systémů
❖ GDPR - Pravidla pro ochranu osobních údajů
❖ Shrnutí❖ Závěrečný test
3
ČASOVÝ ROZVRH
Od – do Min. Náplň
08.00 – 08.45 45 Blok 1
08.45 – 08.50 5 Přestávka
08.50 – 09.35 45 Blok 2
09.35 – 09.40 5 Přestávka
09.40 – 10.25 45 Blok 3
10.25 – 10.35 10 Přestávka
10.35 – 11.20 45 Blok 4
11.20 – 11.25 5 Přestávka
11.25 – 12.10 45 Blok 5
12.10 – 12.15 5 Přestávka
12.15 – 13.00 45 Blok 6, vč. Závěru a diskuse
4
4
ZÁKLADNÍ POJMY
❖ Důvěrnost
❖ Zajištění, že informace jsou přístupné (sděleny) pouze těm, kteří jsou k tomu oprávněni.
❖ Integrita
❖ Zajištění správnosti a úplnosti informací, tj. že informaci během jejího zpracování nikdo neoprávněně nepozměnil.
❖ Dostupnost
❖ Zajištění, že informace je pro oprávněné uživatele přístupná v okamžiku potřeby a na požadovaném místě.
❖ Autentizace
❖ Prokázání identity uživatele (např. heslem, tj. něco „znám“).
❖ Dvoufaktorová autentizace
❖ Prokázání identity uživatele pomocí „předmětu“ (čipová karta) a hesla/PINu (něco „mám“ a něco „znám“)
5
MÍSTA A FORMY VÝSKYTU INFORMACÍ
6
MÍSTA A FORMY VÝSKYTU INFORMACÍ
7
NEJVĚTŠÍ „RIZIKOVÝ FAKTOR“
Zaměstnanec
až 80% všech incidentů působí vlastní
zaměstnanci
8
❖ Neúmyslné nedodržování zásad, pravidel
❖ uživatelé nevědí o jejich existenci
❖ zásady neznají
❖ nepamatují si je
❖ Uživatelé zásady znají, ale:
❖ Nevěří, že jsou osobně vystaveni rizikům.
❖ Nevěří, že budou za jejich nedodržování vedeni k zodpovědnosti.
❖ Chování požadované bezpečnostními mechanismy je v rozporu se „společenskými normami“ („nemám důvod nedůvěřovat kolegovi“).
❖ Chování požadované bezpečnostními mechanismy je v rozporu s image uživatele („pouze burani a paranoidní lidé dodržují bezpečnostní pravidla“).
PŘÍČINY OHROŽENÍ INFORMACÍ – LIDSKÝ FAKTOR
9
❖ Používání firemního ICT/Internetu pro osobní účelyZákon č. 262/2006 Sb., zákoník práce, § 316:
“Zaměstnanci nesmějí bez souhlasu zaměstnavatele užívat pro svou osobní potřebu výrobní a pracovní prostředky zaměstnavatele včetně výpočetní techniky ani jeho telekomunikační zařízení.”
PROČ?1. Ztráta produktivity na 1 zaměstnance
❖ cca 1,5 hod denně
❖ cca 5.300,- Kč/měs.
Zdroj: http://www.sodatsw.cz/nejcastejsi-nesvar-je-brouzdani-po-internetu
2. Zanesení škodlivého SW (malware) na výpočetní techniku
3. Snížení přenosové kapacity vnitřních sítí
TROCHA LEGISLATIVY
10
❖ Zákon č. 40/2009 Sb., trestní zákoník
definuje několik trestných činů ve vztahu k informacím a informačním
systémům:
❖ §230 Neoprávněný přístup k počítačovému systému a nosiči informací
❖ §231 Opatření a přechovávání přístupového zařízení a hesla k
počítačovému systému
❖ §232 Poškození záznamu v počítačovém systému a na nosiči informací
a zásah do vybavení počítače z nedbalosti.
Až 5 let
TROCHA LEGISLATIVY
11
DALŠÍ PŘÍČINY OHROŽENÍ INFORMACÍ
❖ Překotný vývoj technologií
❖ „počítač“ je ve „všem“
❖ nastupuje Internet věcí (IoT)
❖ výrobci podceňují bezpečnost
❖ nedostatek času na testování (nových verzí, výrobků)
❖ Rozvoj škodlivého software
❖ tvorba se komercionalizuje
❖ vývojové sady (kity) „pro děti“
❖ Zaostávání výrobců bezpečnostních technologií
❖ kyberzločinci jsou „z principu“ o krok napřed
12
ÚTOKY Z NEDÁVNÉ DOBY …
13
ÚTOKY Z NEDÁVNÉ DOBY …
14
ÚTOKY Z NEDÁVNÉ DOBY – „RANSOMWARE“
Policejní virus dál straší Čechy Už od minulého roku se internetem šíří takzvaný policejní virus,
prostřednictvím kterého se počítačoví piráti snaží v lidech vzbudit strach
z trestního stíhání. Tento trojský kůň infikovaný stroj zcela zablokuje a za
jeho odemčení požaduje výkupné v řádech tisíců korun.
Policejní virus se šíří internetem už od loňského roku. FOTO: Novinky
pondělí 4. listopadu 2013, 12:27
15
ÚTOKY Z NEDÁVNÉ DOBY – „PHISHING“
Výtah z publikací NCKB - Bezpečnostní incidenty leden 2015
http://www.govcert.cz/cs/informacni-servis/bulletiny/
16
ÚTOKY Z NEDÁVNÉ DOBY – „PHISHING“
17
ÚTOKY POSLEDNÍ DOBY – „PHISHING“
18
JAK POZNÁM PODVODNÝ MAIL (PHISHING)
Zdroj: https://www.csirt.cz/page/2789/zakladni-rady-pro-uzivatele
19
ÚTOKY Z NEDÁVNÉ DOBY – „PHISHING“
20
NETYPICKÝ ÚTOK
❖ Stuxnet
❖ napadl průmyslové řídicí systémy (SCADA), nepřipojené do
Internetu!
❖ Napadení pomocí USB flashdisku
❖ cílem zřejmě Íránská jaderná zařízení (elektrárna, zařízení
na obohacování uranu)
❖ Stuxnet údajně vyvinuli v laboratořích Národní agentury pro
bezpečnost (NSA) američtí experti ve spolupráci s Izraelem
21
DALŠÍ HROZBY – QR KÓDY
❖ Co je QR kód
❖ Quick Response code – obdoba čárového kódu
❖ Použití
❖ Zakódování adresy webu, na kterém se nachází popis produktu nebo služby.
❖ Čím jsou nebezpečné
❖ Není zřejmé, co kód obsahuje. Může to být odkaz na stránku se škodlivým obsahem.
❖ Původní legální QR kód může být nahrazen QR kódem útočníka.
22
DALŠÍ HROZBY – „MUŽ UPROSTŘED“
❖ „Muž uprostřed“ (Man In the Middle, MITM)
❖ odposlouchá nebo mění komunikaci mezi
odesílatelem a příjemcem
❖ může přesměrovat komunikaci na podvodnou
stránku
❖ ohrožuje hlavně bezdrátová spojení (WiFi)
Zdroj: Kyberkriminalita, Petr Klučka, Bakalářská práce
23
DALŠÍ HROZBY – „MUŽ V PROHLÍŽEČI“
❖ „Muž v prohlížeči“ (Man in the Browser, MITB), alias Bankovní trojan (trojský kůň)
❖ Cíl: zneužít transakci on line bankovnictví
❖ Obchází i bezpečnou (2 faktorovou) autentizaci, tj. přihlášení
❖ Jménem a heslem +
❖ jednorázovým kódem
❖ i potvrzovací (autorizační) SMS může být „upravená“
❖ pokud používáte na vše jedno zařízení (smartphone), nebo máte více zařízení ale synchronizovaných
❖ MITB se stále vyvíjí, často není detekován AV programy
24
TROCHA TERMINOLOGIE
❖ Škodlivý SW (malware) (Zdroj: http://cs.wikipedia.org)
❖ vir ❖ pro množení se vkládá do jiných
spustitelných souborů či dokumentů.❖ červ
❖ je schopen automatického rozesílání kopií sebe sama na jiné počítače.
❖ trojské koně❖ skrytá část programu nebo aplikace se škodlivou funkcí.
Může to být i samostatný program, který se tváří užitečně –hra, spořič obrazovky, jednoduchý nástroj.
❖ Někdy se vydává za program k odstraňování malware (dokonce může takto fungovat a např. odstraňovat konkurenční malware).
25
TROCHA TERMINOLOGIE
❖ příklady funkcí malware
(Zdroj: http://cs.wikipedia.org/)
❖ Keylogger – sledování (záznam) znaků zadávanýchz klávesnice, některé umí snímat celé obrazovky
❖ SW
❖ HW
❖ Spyware – sleduje chování uživatele počítače posílá o tom zprávy svému autorovi
❖ Spam server – rozesílání nevyžádané elektronické pošty (e-mail) z napadeného počítače
❖ Blokování software pro zabezpečení PC (antivir, Firewall)
❖ Účast na DDoS útoku (botnet)
❖ „botnet“ mohou tvořit i IoT zařízení
26
TROCHA STATISTIKY
Podle posledního celosvětového průzkumu prováděného společností Check Point po celý rok 2015 prostřednictvím 25.000 sond v průměrné organizaci:
(Zdroj: Check point – 2016 security report)
Každých 5 (24) vteřin nějaký počítač navštíví infikovanou webovou stránku
Každé 4 (34) vteřiny je stažen nějaký neznámý škodlivý software
Každou 53 vteřin (1 minutu) nějaký "bot" ("zombie PC") komunikuje se svým řídicím centrem
Každých 81 vteřin (6 minut) je stažen známý škodlivý software
Každých 32 (36) minut jsou z organizace odesílána citlivá data
Poznámka: modře jsou hodnoty za rok 2014
27
TROCHA STATISTIKY
vlastní statistiky Města (informace od p. Jorga, OŘBR)
každý měsíc je zavirován jeden počítač
min. 30% je způsobeno účty s privilegovaným přístupem (někdo
pracoval s administrátorskými právy)
většinou se jedná o lidskou zvědavost (platy zaměstnanců, slevy,...)
připojování neznámých (a „nakažených“) USB zařízení (flashdisků,
externích disků,..)
28
TROCHA STATISTIKY
vlastní statistiky Města (informace od p. Jorga, OŘBR)
každý měsíc je zavirován jeden počítač
min. 30% je způsobeno účty s privilegovaným přístupem (někdo
pracoval s administrátorskými právy)
většinou se jedná o lidskou zvědavost (platy zaměstnanců, slevy,...)
připojování neznámých (a „nakažených“) USB zařízení (flashdisků,
externích disků,..)
29
TROCHA STATISTIKY
Průzkum od Symantec (Internet security threat report, 2016 )
uvádí celosvětové statistiky.
30
PROČ SE TO VŠECHNO DĚJE?
❖ Motivace kybernetických útočníků1. Peníze – zisky vyšší než z drog
2. Špionáž
❖ průmyslová, vojenská,…
3. Politické cíle - koordinované kybernetické útoky na webové stránky (vládní, soukromé)
❖ Estonsko, Litva, Gruzie,
❖ Google (e-mailové účty čínských disidentů?)
4. Individuální zájmy
❖ nejznámější hacker Kevin Mitnick
5. Skupinové zájmy
❖ hacktivisti (Anonymous), …
31
JAK SE TO DĚJE?
32
CO S TÍM?
❖ být přiměřeně paranoidní („nikomu a ničemu nevěř“) při používání mailu, Internetu, …
❖ 2x měř, 1x řež (zamyslet se, než na něco kliknu, otevřu, spustím, opravdu to potřebuji?,…)
❖ pravidelně zálohovat
❖ zásada minimálních privilegií (s admin. právy pracuji jen v nejnutnějším případě)
❖ měnit přednastavená hesla u různých zařízení (router,..), systémů, aplikací
❖ A dále …?
33
CO S TÍM – „TECHNICKÁ“ OCHRANA PŘED MALWAREM“
Aktualizovat (OS, aplikace)
Antivirový program, antispyware
34
SOCIÁLNÍ INŽENÝRSTVÍ
❖ Sociální inženýrství je:
způsob manipulace s lidmi za účelem provedení určité
akce nebo získání určité informace. Zdroj: http://cs.wikipedia.org/
❖ „není třeba prolamovat hesla“
❖ „oběť“ je sama sdělí
❖ často si není vědoma, že se stala obětí podvodu
35
SOCIÁLNÍ INŽENÝRSTVÍ – JAK TO, ŽE TO FUNGUJE?
❖ Stres
❖ důležitost daného úkonu
❖ časová tíseň,…
❖ Respektování autorit
❖ přeje si to šéf
❖ už to chtěl mít dávno hotové
❖ Důvěra
❖ Strach
❖ o místo
❖ o prémie
❖ Ochota napomáhat
36
SOCIÁLNÍ INŽENÝRSTVÍ – NEJČASTĚJŠÍ TECHNIKY
❖ Nastražení infikovaných médií
❖ např. CD s lákavým obsahem
❖ Prohledávání odpadků
❖ Výjimečně i osobní návštěva
❖ (video – ESSET)
❖ Zdroj: https://www.youtube.com/watch?v=ktfDjnDIeo8
37
SOCIÁLNÍ INŽENÝRSTVÍ – OBRANA
❖ dobrá bezpečnostní politika/směrnice
❖ dodržování pravidel
❖ používat „hlavu“
❖ „důvěřuj, ale prověřuj“
❖ nepodléhat nátlaku
❖ dostatečné bezp. povědomí (školení)
38
MOBILNÍ BEZPEČNOST
❖ zmizely hranice (mezi státy, LAN x Internet)
❖ data jsou všude s námi
❖ notebooky, tablety, smartphony, flashky,…
❖ chytré hodinky, „Google Glass“
❖ cloud computing (iCloud, Google Apps, OneDrive,...)
❖ data: osobní (i citlivá), služební vč. mailů
❖ rizika
❖ ztráta/odcizení zařízení s daty
❖ odcizení dat ze zařízení (malware)
❖ mobilní malware: viry, bankovní trojany, ransomware,...
❖ zneužití telefonu (posílání prémiových SMS)
39
MOBILNÍ BEZPEČNOST
Zdroj: 2017 MOBILE THREAT LANDSCAPE, February 26 2018, Trend Micro
❖ Nárůst ransomware v roce 2017: o 417% (oproti 2016)
40
MOBILNÍ BEZPEČNOST
❖ jak chránit data „na cestě“
❖ opatrnost
❖ nenechávat bez dozoru (v autě, veřejné prostory,..)
❖ šifrovat data (na disku, flashky,..),VeraCrypt
❖ čtěte licenční podmínky, většina mobilních aplikací:
❖ vyžaduje internetové připojení
❖ čte ID a stav telefonu
❖ zjišťuje GPS polohu
❖ některé mohou samy odesílat prémiové SMS
❖ správa mobilních zařízení
❖ vyhledání ztraceného zařízení, vzdálené smazání dat
❖ pozor na nezabezpečené veřejné sítě
❖ internetové kavárny, veřejně přístupné wi-fi sítě
41
MOBILNÍ BEZPEČNOST
❖ jak chránit data „na cestě“ – pokračování
❖ posílání důvěrných informací mailem❖ šifrování v MS Outlooku (interně jednoduché, mimo
síť Města složité - nutný systém výměny klíčů, certifikáty,..)
❖ zazipovat (7zip, WinZip) s heslem (doporučený postup):
❖ zadat silné heslo
❖ heslo poslat např. SMS (rozhodně ne mailem) a informovat adresáta o odeslání ZIPu s heslem (AV SW může zablokovat)
❖ POZOR: i samotný název souboru může leccos prozradit
42
MOBILNÍ BEZPEČNOST
❖ jak chránit data „na cestě“ – pokračování
❖ bezpečné vzdálené připojení
❖ vzdálené připojení do vnitřní sítě přes VPN (Virtual Private
Network)
❖ nepoužívat automatické přihlašování k WiFi sítím (riziko
MITM)
❖ používat připojení pomocí HTTPS (POZOR, někdy je HTTPS
jen pro přihlášení)
43
MOBILNÍ BEZPEČNOST
❖ jak zabezpečit domácí WiFi síť
❖ nejjednodušší zabezpečení sítě - zablokovat vysílání
SSID (zdánlivé skrytí)
❖ používat šifrování WPA2/WPA3 – nejkvalitnější
zabezpečení (šifra AES)
44
OBECNÉ ZÁSADY PRO OCHRANU INFORMACÍ
❖ Zásada prázdného stolu
45
OBECNÉ ZÁSADY PRO OCHRANU INFORMACÍ
❖ Zásada prázdné obrazovky
46
ZACHÁZENÍ S HESLY
❖ za cca 80% úniků dat mohou zneužitá hesla
❖ Obrana:
❖ používat kvalitní (silná) hesla
❖ nezapisovat, je povolena aplikace
❖ neukládat hesla lokálně (pro další přihlášení)
❖ pozor na odpozorování
❖ pro každou aplikaci/systém mít jiné heslo
❖ důsledně odlišovat firemní a soukromé aplikace
❖ pravidelně obměňovat
http://www.slunecnice.cz/sw/keepass-password-safe/
47
TVORBA A UŽÍVÁNÍ HESEL
• Tvorba „silného“ hesla:
o min. 8 znaků
o VELKÁ+malá písmena +min. 1 nealfabetický znak, např. číslice nebo jiný
symbol (.,_?!:)
o dobře zapamatovatelné
o nesmí být snadno uhodnutelné
❖ NE: obecně užívaná slova (česká ani v jiné řeči), geografické názvy, obecně
užívané zkratky
vlastní jméno, přezdívky
jméno potomka, partnera
datum narození, rodné číslo, číslo pojistky
jméno osobnosti, kapely, fotbalového týmu, domácího mazlíčka
48
PŘÍKLADY SILNÉHO HESLA
Následující hesla slouží pouze jako metodická pomůcka,
zásadně je nepoužívejte jako svoje vlastní hesla!
❖ Zkomoleniny a složeniny
❖ 4Beatleas
❖ .ceCylka
❖ duna1Pivo
❖ Tvorba akronymu (passphrase) za použití textu básně,
písně, rčení
❖ Vařila myšička kašičku, na zeleném rendlíčku: Vmk,nzr1
49
PŘÍKLADY NEJHORŠÍCH HESEL
Spashdata každoročně zveřejňuje žebříček nejhorších hesel.(https://s13639.pcdn.co/wp-content/uploads/2017/12/Top-100-Worst-Passwords-of-2017a.pdf)
50
KONTROLA UNIKLÝCH HESEL
❖ Pastebin (https://pastebin.com/)
❖ anonymně publikují rozsáhlé úniky dat prostém textu
❖ má fulltextový vyhledávač
❖ vedle e-mailové adresy lze najít i dešifrované heslo
❖ Haveibeenpwned (https://haveibeenpwned.com/)
❖ vyhledání přihlašovacího jména v uniklých seznamech
❖ funkce notifikace v případě, že vaše přihlašovací údaje se
nově objeví mezi uniklými daty
51
SOCIÁLNÍ SÍTĚAktivní uživatelé v milionech v roce 2017
52
SOCIÁLNÍ SÍTĚ
❖ rizika:
❖ šíření malware (i prostřednictvím aplikací třetích stran)
❖ posílání SPAMu, phishingu
❖ krádeže identity
❖ zneužití zveřejněných informací
❖ ztráta jakékoliv kontroly nad zveřejněnými informacemi
❖ riziko při používání stejných hesel
❖ pozor na zveřejňování svých plánovaných aktivit (dovolená)
❖ pozor na službu zjišťování polohy
❖ Facebook umí rozpoznávat obličeje
❖ Facebook zakládá „stínové účty“ o každém uživateli internetu
53
DALŠÍ RADY
❖ Kde se dají najít další rady
❖ e-bezpečí (http://www.e-bezpeci.cz/index.php/home)
❖ Kyberšikana, Sexting, Rizika sociálních sítí,…
❖ Bezpečný internet (http://www.bezpecnyinternet.cz/)
54
BEZPEČNOSTNÍ POLITIKA
Politika systému řízení bezpečnosti
informací
Statutárního města Kladna
Účinnost od: 17.7.2018
55
CO JE (BEZPEČNOSTNÍ) POLITIKA
❖ Obecný význam slova politika:
❖ správa věcí veřejných
❖ Bezpečnostní politika
❖ státu
❖ úřadu/organizace
❖ celková, finanční,... informační
❖ Bezpečnostní (informační) politika:
❖ souhrn bezpečnostních zásad (pravidel), které definují způsob zabezpečení informací úřadu/organizace
❖ Systém řízení bezpečnosti informací (SŘBI)
❖ dokumentovaný systém, ve kterém jsou chráněna definovaná informační aktiva, jsou řízena rizika a zavedená opatření jsou kontrolována.
56
POLITIKA SŘBI
❖ Přílohy Politiky❖ č. 1 - Pojmy a zkratky
❖ č. 2 - Klasifikace a ochrana informací
❖ č. 3 - Bezpečnostní pravidla pro uživatele informačních systémů
❖ č. 4 - Desatero bezpečnosti informačních systémů
❖ č. 5 - Zvládání kybernetických bezpečnostních incidentů
❖ č. 6 - Strategie řízení kontinuity činností
❖ č. 7 - Metodika pro identifikaci a hodnocení aktiv a rizik
❖ Bezpečnostní pravidla a Desatero❖ rozpracovávají a upřesňují povinnosti, odpovědnosti a
pravomoci uživatelů
57
KLASIFIKACE INFORMACÍ
❖ Klasifikace – roztřídění informací podle důležitosti, zde
podle „důvěrnosti“
58
KLASIFIKACE INFORMACÍ
59
KLASIFIKACE INFORMACÍ
60
PRAVIDLA OCHRANY/ZACHÁZENÍ
61
PRAVIDLA OCHRANY/ZACHÁZENÍ
62
BEZPEČNOSTNÍ PRAVIDLA
❖ Odpovědnosti a povinnosti uživatelů - obecné
❖ používat pouze schválená zařízení, která mu byla svěřena
❖ používání jiných zařízení a jejich připojování je zakázané
❖ využívat pouze pro výkon svých pracovních povinností
❖ uživatel je odpovědný za veškeré akce prováděné z jeho účtu a
nesmí umožnit práci pod svým účtem jiné osobě.
❖ uživatel nesmí zpracovávat a uchovávat informace Města na
nepovolených zařízeních:
❖ soukromé počítače, soukromé tablety a telefony, veřejné servery,
soukromá externí úložiště apod.
❖ uživatel nesmí měnit HW ani SW konfiguraci zařízení, ani jeho
nastavení.
63
BEZPEČNOSTNÍ PRAVIDLA
❖ Uživatelé mobilních zařízení s OS Windows jsou povinni
❖ připojit zařízení nejdéle po 1 měsíci do sítě Města, spustit restart
a vyčkat provedení všech automatických servisních úkonů.
❖ bezpečně používat zařízení na veřejných místech
❖ ochrana před ztrátou/odcizením, ochrana před odpozorováním
informací, nepřipojovat do veřejných WiFi sítí,...
❖ pro vzdálený přístup do informačního systému Města používat
pouze schválené komunikační technologie (VPN) a prostředky
❖ ztrátu nebo krádež neprodleně nahlásit
64
BEZPEČNOSTNÍ PRAVIDLA
❖ Uživatelé chytrých telefonů a tabletů jsou povinni❖ umožnit zařazení telefonu a tabletu do centrální správy mobilních
zařízení
❖ neměnit nastavení telefonu a tabletu
❖ chránit zařízení
❖ před ztrátou/odcizením, používat heslo/PIN, automatické zamykání, automatické smazání dat (po 10 pokusech)
❖ nepůjčovat zařízení jiným osobám, ani rodinným příslušníkům
❖ používat pouze oficiální zdroje aplikací
❖ pokud není datové úložiště v mobilním zařízení šifrováno, neuchovávat v něm Neveřejné informace („Interní informace“, „Chráněné informace“ atd.)
❖ vypnout nebo zablokovat vlastnosti a aplikace, pokud nejsou aktuálně používány (např. Bluetooth, wi-fi, určování polohy,...)
❖ ztrátu nebo krádež neprodleně nahlásit
65
BEZPEČNOSTNÍ PRAVIDLA
❖ Řízení přístupů
❖ účelem je předcházet neoprávněnému přístupu, modifikaci,
prozrazení nebo krádeži informací a výpočetních prostředků
❖ mohou být přidělena pouze taková oprávnění, která jsou nutná k
vykonávání pracovních povinností, tzv. zásada „need to know“
❖ platí zásada: „co není výslovně povoleno, je zakázáno
66
BEZPEČNOSTNÍ PRAVIDLA
❖ Přihlašování, používání hesel, uživatelské účty❖ Uživatelé jsou v rámci informačního systému Města povinni
❖ hlásit se pouze pomocí svého uživatelského účtu a hesla
❖ chránit svá hesla/PIN
❖ chránit „autentizační předměty“, např. čipové karty
❖ na výzvu systému měnit hesla
❖ neopakovat žádné z 5 posledních použitých hesel
❖ platnost hesla je nastavena na 12 měsíců
❖ změnit bez prodlení dočasná hesla při prvním přihlášení
❖ nikdy neukládat hesla do automatizovaného přihlašovacího procesu (např. do internetového prohlížeče, maker nebo funkčních kláves)
❖ Uživatelský účet
❖ je zrušen nebo blokován, není-li používán déle než 3 měsíce
❖ je zablokován po 10 neúspěšných pokusech o přihlášení (odblokování řešit přes HelpDesk)
67
BEZPEČNOSTNÍ PRAVIDLA
❖ Bezpečná obsluha zařízení❖ dodržovat Zásadu prázdného stolu
❖ pro tisky na síťových tiskárnách ve společných prostorech využívat pouze režim důvěrného tisku
❖ dodržovat Zásadu prázdné obrazovky
❖ automatické uzamčení po 30 minutové nečinnosti
❖ Ochrana proti škodlivým programům❖ Je zakázáno
❖ používat nechválený SW
❖ připojovat soukromá zařízení (USB disky, mobilní telefony,...)
❖ měnit nastavení „AV“ programů, operačních systémů apod.
❖ navštěvovat neznámé webové stránky
❖ stahovat soubory neznámého původu
68
BEZPEČNOSTNÍ PRAVIDLA❖ Zálohování a ukládání informací
❖ povinnost uchovávat všechna důležitá data na síťových úložištích (diskových polích a discích serverů (obnovu garantuje OVTI)
❖ za data uložená na lokálních discích koncových stanic a notebooků odpovídá uživatel, jejich obnovu OVTI negarantuje
❖ při ukládání dat (záloh) na média (DVD, flash disky, apod.) se při manipulaci s nimi řídit požadavky „Klasifikace a ochrana informací“
❖ Předávání/výměna informací❖ používat pouze schválené služby a prostředky
❖ je zakázáno používat (pro výměnu „neveřejných“ informací v „otevřené podobě“, tj. pokud nejsou chráněny např. šifrováním)❖ veřejně dostupné systémy jako ICQ, Skype ,Miranda, Yahoo, ...
❖ soukromé e-mailové schránky a freemailové služby (Seznam, Gmail,...)
❖ webové diskusní skupiny/servery, veřejné blogy
❖ cloudová úložiště a služby (DropBox, Google Drive, OneDrive,...)
❖ sociální sítě (Facebook, Twitter, LinkedIn,...)
❖ externí elektronická uložiště (např. Úschovna, LeteckáPošta, atd.)
69
BEZPEČNOSTNÍ PRAVIDLA❖ Užívání elektronické pošty
❖ povinnost❖ vyplňovat položky "předmět" (subject)
❖ dodržovat kulturu a etiku e-mailové korespondence
❖ je doporučeno ve zprávě informovat o tom, že odesíláte e-mail s přílohou
❖ Je zakázáno❖ otevírat nevyžádané, neznámé a potenciálně nebezpečné maily a jejich
přílohy,klikat na odkazy v takovýchto mailech; tyto maily bez otevření ihned mazat
❖ z výpočetní techniky v majetku Města používat soukromé e-mailové schránky
❖ zneužívat elektronickou poštu pro zasílání nevyžádaných zpráv
❖ přesměrovávat služební elektronickou poštu na soukromé e-mailové schránky nebo freemailové služby
❖ zasílat e-mailové zprávy, které obsahují pomluvy, poplašné zprávy, hanlivé a vulgární výrazy nebo jinak urážejí či snižují lidskou důstojnost
❖ přihlašovat svou e-mailovou adresu do elektronických konferencí, pokud toto přímo nesouvisí s jejich pracovní náplní
70
BEZPEČNOSTNÍ PRAVIDLA
❖ Užívání Internetu (ze svěřené techniky provádíte jménem Města)❖ pracovní stanice se smí připojovat k Internetu pouze prostřednictvím
sítě Města
❖ je zakázáno předávat „neveřejné“ informace prostřednictvím Internetu v otevřené (čitelné) podobě, viz Předávání/výměna informací
❖ Internet nesmí být využit k protiprávnímu jednání (pomluvy, poplašné zprávy, rasismus,...)
❖ Monitorování provozu a činností❖ monitoruje se zejména
❖ navštívené webové stránky
❖ využití programového vybavení
❖ uložení multimédií a her
❖ průběh zpracování mailů poštovními servery
❖ objem uživatelem přenášených dat
71
BEZPEČNOSTNÍ PRAVIDLA
❖ Narušení bezpečnosti ❖ zavirování zařízení
❖ ztráta/krádež výpočetní techniky vč. mobilů, médií s daty (vč. písemností), apod.
❖ únik dat, jejich poškození/zničení, neoprávněná modifikace,...
❖ neoprávněný přístup k datům, k výpočetní technice, do sítě, do vyhrazených prostorů
❖ ztráta/krádež čipové karty, kompromitace hesla/PINu
❖ nedostupnost nebo nezvyklé chování aplikací nebo komunikačních služeb (např. samovolný pohyb kurzoru myši)
❖ porušení/nedodržování bezpečnostních pravidel (testování zranitelností, hádání hesel, instalace vlastního zařízení WiFi,...)
❖ odesílání spamu, phishingových zpráv (i bez vědomí uživatele)
❖ narušení/poškození bezpečnostních opatření/zařízení
72
BEZPEČNOSTNÍ PRAVIDLA
❖ Hlášení (kybernetických) bezpečnostních incidentů (KBI)
❖ Bezpečnostní událost❖ událost/situace, která by mohla znamenat narušení bezpečnosti
informací, informačních systémů
❖ Bezpečnostní incident❖ (zjevné) narušení bezpečnosti informací v důsledku bezpečnostní
události
❖ Povinnosti uživatelů❖ předcházet vzniku bezpečnostních incidentů❖ bezodkladně oznámit jakýkoli bezpečnostní incident nebo podezření
na něj (tzn. Událost) nebo zranitelné místo nebo chybu v IS Města❖ na HelpDesk
❖ mimo pracovní dobu Manažerovi kybernetické bezpečnosti
❖ veškeré kontakty jsou uvedeny v Bezpečnostní pravidla pro uživatele informačních systémů
73
„DESATERO“❖ Svěřené prostředky výpočetní techniky používejte pouze k pracovním účelům
❖ Používejte silná hesla
❖ pro každý systém jiné heslo
❖ můžete použít aplikaci – manažer hesel (KeePass)
❖ Nikomu nesdělujte své přihlašovací údaje
❖ Zamykejte obrazovku počítače
❖ Přemýšlejte, než otevřete přílohu e-mailu nebo kliknete na odkaz
❖ Nepoužívejte neznámá datová média
❖ Používejte pouze schválený SW a HW
❖ Nestahujte filmy, hudbu nebo software
❖ Hlaste bezpečnostní incidenty
❖ Pokud nevíte nebo váháte, raději se obraťte na HelpDesk
74
GDPR
General Data Protection Regulation
Obecný úvod
75
GDPR
❖ GDPR – General Data Protection Regulation
❖ Nařízení evropského parlamentu a rady (EU) 2016/679
❖ obecné nařízení o ochraně osobních údajů
❖ přímo účinné (od 25.5.2018), není nutno jej zpracovat do
národní legislativy
❖ zákon č. 101/2000 Sb., o ochraně OÚ je nahrazen GDPR a
k němu přibude český adaptační zákon
❖ jednotné pro celou EU
❖ jednotný dozor v rámci EU
76
NĚCO POJMŮ
❖ osobní údaj - jakákoliv informace o „konkrétní“ fyzické osobě (tzv. „subjekt údajů“)
❖ zvláštní kategorie OU – rasový/etnický původ, politické názory, náboženské vyznání, členství v odborech, genetické a biometrické údaje, zdravotní stav, atd. (původně citlivé údaje)
❖ správce - fyzická nebo právnická osoba (FO/PO), orgán veřejné moci, agentura apod., která určuje účely a prostředky zpracování OÚ; může být zároveň i zpracovatelem
❖ zpracovatel - FO/PO, která zpracovává OÚ pro (jménem) správce
❖ dozorový úřad – nezávislý OVM pověřený monitorováním uplatňování GDPR, ~ nynější ÚOOÚ
❖ profilování - automatizované hodnocení některých osobních aspektů (pracovní výkon, ekonomická situace, zdravotní stav, preference, zájmy, spolehlivost, chování, lokalizace vč. pohybu)
77
NĚCO POJMŮ
❖ Zpracovatel v podmínkách Města
❖ samotné Město
❖ dodavatelé nebo partneři (např. advokátní kanceláře nebo
poskytovatelé služeb)
❖ s každým Zpracovatelem musí být uzavřená smlouva, ve
které musí být upraveno, že daná právnická osoba je
Zpracovatelem, a jsou jasně nastavená pravidla ochrany OÚ
včetně sankcí za porušení smluvních ujednání
❖ Město v nejbližší době se svými partnery bude uzavírat tzv.
zpracovatelské smlouvy
78
POVĚŘENEC
❖ Pověřenec pro ochranu OU (DPO)
❖ dohlíží na dodržování GDPR, radí, spolupracuje s ÚOOU
❖ zaměstnanec nebo externista (může být společný pro více společností)
❖ jmenuje ho správce a/nebo zpracovatel
❖ v případech:
❖ a) zpracování provádí orgán veřejné moci či veřejný subjekt
❖ b) hlavní činnosti (správce nebo zpracovatele) představují:
❖ rozsáhlé pravidelné a systematické monitorování subjektů údajů,
❖ rozsáhlé zpracování zvláštních kategorií údajů nebo osobních údajů týkajících se rozsudků v trestních věcech a trestných činů
❖ v podmínkách Města: Petr Jorg, MBA, OŘBR
79
ZÁSADY ZPRACOVÁNÍ OÚ
❖ zákonnost, korektnost a transparentnost
❖ omezení účelem
❖ minimalizace údajů
❖ přesnost (a aktuálnost)
❖ omezení (doby) uložení
❖ integrita a důvěrnost (a dostupnost)
❖ odpovědnost
80
ZÁKONNOST ZPRACOVÁNÍ❖ nutný právní základ
❖ právní povinnost
❖ plnění či uzavření smlouvy
❖ oprávněný zájem (ochrana majetku, přímý marketing)
❖ veřejný zájem
❖ životně důležitý zájem (subjektu)
❖ souhlas
❖ v podmínkách Města
❖ zpracování plyne zejména z právní povinnosti, plnění smlouvy nebo oprávněného zájmu, tzn. není třeba souhlasu a nesmí být vyžadován
❖ zpracování na základě souhlasu je až „poslední možnost“ (typický příklad: fotky úředníků na webu)
❖ nezaměňovat souhlas za informace pro subjekt údajů, že se jeho OÚ zpracovávají, jaké to jsou, proč a jak dlouho
81
ZPRACOVÁNÍ ZVLÁŠTNÍCH KATEGORIÍ
❖ Další podmínky pro zpracování zvl. kategorií:
❖ povinnosti dle českého práva (zákoník práce, oblast soc. zabezpečení, účetnictví, apod.)
❖ významný veřejný zájem
❖ pracovně lékařské posudky
❖ výslovný souhlas
❖ životně důležité zájmy (subjektu)
❖ subjektem zjevně zveřejněné údaje
❖ výkon nebo obhajoba právních nároků
82
SOUHLAS
❖ Musí být (prokazuje správce)
❖ svobodný
❖ konkrétní
❖ informovaný
❖ jednoznačný
❖ GDPR zakazuje přístup „ber, nebo nech být“
❖ udělení jednoznačnou kladnou akcí (neplatí „mlčení je souhlas“)
❖ udělit souhlas je možnost, nikoli povinnost
❖ jasně odlišitelný od ostatních prohlášení (smlouvy,...)
❖ právo kdykoliv odvolat (stejně snadné jako souhlas)
83
PRÁVA SUBJEKTŮ
❖ na přístup a informace
❖ potvrzení od správce, zda jsou jeho OU zpracovávány a pokud ano, má nárok na tyto informace:
❖ účel, kategorie, příjemci, doba zpracování (uložení), ...
❖ kopie zpracovávaných OU (od správce)
❖ informace/reakce od správce do 1 měsíce (bezplatně)
❖ na opravu a výmaz („být zapomenut“)
❖ pominutí účelu, odvolání souhlasu, protiprávní zpracování, námitka
❖ vznést námitku
❖ z důvodu konkrétní situace subjektu proti zpracování vč. profilování
84
PRÁVA SUBJEKTŮ
❖ na omezení zpracování
❖ nepřesné údaje, do vyřešení námitky, žádost o zastavení zpracování
❖ na přenositelnost údajů
❖ pokud údaje poskytl subjekt a zpracování je založeno na souhlasu nebo smlouvě
❖ právo předat své údaje jinému správci
❖ přímo jedním správcem druhému správci
85
GDPR
Aplikace GDPRv podmínkách Města
86
Vnitřní směrnicePravidla pro ochranu osobních údajů
❖ Stav: připravuje se, je ve fázi finalizace
❖ Rozdělená do částí
❖ Povinnosti pro všechny zaměstnance Města
❖ Povinnosti pro vedoucí věcně příslušných útvarů
❖ Povinnosti pro Zaměstnance odpovědného za řízení
ochrany osobních údajů, vedoucího OVTI a Pověřence
❖ každá část zahrnuje vysvětlení pojmů a povinností
❖ Zaměstnanec odpovědný za řízení ochrany OÚ dosud není
určen
87
Povinnosti pro všechny zaměstnance
❖ Požadavek mlčenlivosti
❖ platí i po ukončení pracovního poměru
❖ vztahuje se i na způsob realizace bezpečnostních opatření na ochranu OÚ
❖ Nepředávat/nezpřístupňovat OÚ neoprávněným osobám
❖ Ukládat OÚ pouze na povolená média, nepořizovat neoprávněné kopie
❖ Neposílat OÚ mailem mimo síť Města v otevřené podobě (chránit šifrováním - 7zip)
❖ Hlásit porušení zabezpečení OÚ (dočasně: jako jinou bezp. událost a také p. Jorgovi)
❖ Žádost o uplatnění práv se postupuje Zaměstnanci odpovědnému za ochranu OÚ – totožnost se musí vždy ověřit
❖ Řídit se důsledně pravidly Pravidla pro uživatele informačních systémů
88
ZÁKLADNÍ AXIOM BEZPEČNOSTI
100% bezpečnost neexistuje !
89
Děkuji za pozornost
T-SOFT a.s.
U Zásobní zahrady 2552/1a
130 00 Praha 3 – Žižkov
tel.: +420 261 710 561 – 562
fax: +420 261 710 563
