Modul 9 · 9.3
Vaše vlastní bezpečnostní kontrola a plán
Modul 9: Pravidla a organizace · Doba čtení: 12 minut
Cíl lekce: Po této lekci dokážete provést vlastní bezpečnostní kontrolu podle pevného seznamu a vytvořit z ní plán priorit.
Klíčové pojmy: základní opatření, nulové měření, stanovení priorit (pravděpodobnost x dopad, rychlé a levné nejdřív), vlastník a datum, roční opakování
Od vědění k jednání
V tomto kurzu jste viděli mnoho věcí: hesla, phishing, e-mail a doménu, zařízení, zálohy, oprávnění, incidenty a pravidla. Teď hrozí riziko, že se pustíte do všeho trochu, ale nic nedotáhnete do konce. Tato lekce vše přemění ve dvě věci, které si sami vytvoříte:
- nulové měření: upřímný snímek toho, jak na tom aktuálně jste;
- plán: co uděláte nejdřív, kdo to udělá a kdy to bude hotové.
Seznam níže obsahuje základní opatření: opatření, která zastaví většinu oportunistických útoků (lekce 1.1) a která obvykle vyžaduje i klient, pokud klade požadavky na své dodavatele (lekce 9.1). Není to úplná norma jako ISO 27001, a ani to není potřeba. Je to základ, který u malé firmy udělá rozdíl.
Bezpečnostní kontrola: dvacet bodů
Na každý bod odpovězte ano, částečně nebo ne. Buďte přísní: "myslím, že ano" znamená "částečně". Za každým bodem je uvedena lekce, kde jste se to naučili.
Účty a přihlašování
| Č. | Bod | Lekce |
|---|---|---|
| 1 | Existuje přehled všech účtů, zařízení, webových stránek, domén a dodavatelů, u každé položky s vlastníkem. Vše, co se již nepoužívá, je uklizeno. | 1.1, 7.2 |
| 2 | Každý používá správce hesel a má pro každou službu jedinečné, dlouhé heslo. Hesla se nesdílejí přes e-mail nebo chat. | 2.1, 2.2 |
| 3 | Dvoufázové ověření je zapnuté na e-mailu, bance, účetnictví, hostingu, registrátorovi a sociálních sítích; u správců je upřednostněna forma odolná vůči phishingu, jako je passkey nebo bezpečnostní klíč. | 2.3, 2.4 |
| 4 | Kódy pro obnovení a záložní klíče jsou bezpečně uloženy a víte, co dělat, pokud se ztratí telefon. | 2.3, 2.4 |
| 5 | Zkontrolovali jste, zda se firemní adresy neobjevují ve známých únicích, a víte, jak odvolat relace a zkontrolovat pravidla přeposílání. | 1.4, 2.5 |
Lidé a procesy
| Č. | Bod | Lekce |
|---|---|---|
| 6 | Existuje platební postup: zpětné zavolání na známé číslo při změně čísla účtu a druhá osoba u velkých nebo neobvyklých plateb. | 1.2 |
| 7 | Každý dokáže rozpoznat phishing podle skutečné domény odkazu a ví, co dělat po kliknutí. | 3.1 až 3.5 |
| 8 | Existuje jedno kontaktní místo pro hlášení se zástupcem, hlášení probíhá bez obviňování a alespoň několikrát ročně se koná krátké opakování. | 9.2 |
E-mail, web a doména
| Č. | Bod | Lekce |
|---|---|---|
| 9 | Vaše doména má SPF, DKIM a DMARC, přičemž DMARC je minimálně na p=none s plánem přejít na quarantine nebo reject. | 4.1 |
| 10 | Váš web všude funguje přes https s platným certifikátem, přesměrovává http, a CMS s pluginy se aktualizuje. HSTS a bezpečnostní hlavičky jsou zapnuté nebo jste o nich vědomě rozhodli. | 4.2 |
| 11 | Údaje o držiteli Vaší domény souhlasí, automatické obnovení je zapnuté, registrátor má 2FA, nejsou tam žádné osiřelé DNS záznamy a DNSSEC je zapnuté, kde je to možné. | 4.3 |
Zařízení a síť
| Č. | Bod | Lekce |
|---|---|---|
| 12 | Aktualizace jsou automaticky zapnuté pro operační systémy, aplikace a pluginy; router, NAS a tiskárna se také aktualizují; neběží nic, co by aktualizace nedostávalo. | 5.1 |
| 13 | Notebooky a telefony mají zamykání obrazovky a šifrování disku, lze je na dálku vymazat a nikdo denně nepracuje se správcovským účtem. | 5.2 |
| 14 | Wifi používá WPA2 nebo WPA3, výchozí heslo routeru bylo změněno a návštěvníci a chytrá zařízení jsou na hostovské síti. | 5.3 |
Zálohy
| Č. | Bod | Lekce |
|---|---|---|
| 15 | Existuje záloha všeho důležitého, včetně e-mailu a cloudových služeb, podle pravidla 3-2-1. | 6.1 |
| 16 | Alespoň jedna kopie je offline nebo neměnná a má vlastní přihlášení, které se nepoužívá na pracovních počítačích. | 6.2 |
| 17 | Za poslední rok proběhl test obnovy a víte, kolik práce si můžete dovolit ztratit a jak rychle musí být obnova hotová. | 6.3 |
Přístupy, dodavatelé a incidenty
| Č. | Bod | Lekce |
|---|---|---|
| 18 | Každý má vlastní účet pouze s oprávněními, která potřebuje, správcovské účty jsou oddělené a při odchodu se všechny přístupy odeberou ještě týž den. | 7.1 |
| 19 | Důležití dodavatelé a cloudové služby byli posouzeni, kde je to potřeba, existují smlouvy o zpracování osobních údajů, a soubory se sdílejí přes odkazy s datem vypršení. | 7.2, 7.3 |
| 20 | Visí papírová karta pro řešení incidentů, existuje registr úniků osobních údajů a víte, kdy hlásit ÚOOÚ, Policii ČR a, pokud se Vás to týká, NÚKIB. | 8.1, 8.2, 8.3, 9.1 |
Spočítejte si své odpovědi. Hodně odpovědí "ne" není důvod se lekat: je to Váš výchozí bod. Proto se tomu říká nulové měření.
Část lze nechat zkontrolovat automaticky
Několik bodů lze změřit zvenčí, protože se týkají veřejných údajů o Vaší doméně: bod 9 (SPF, DKIM, DMARC), bod 10 (https, certifikát, HSTS, hlavičky) a bod 11 (DNSSEC, nameservery, datum vypršení). V úkolu A9.3 to provedete najednou pro svou vlastní doménu, se stejnými kontrolami jako v úkolech modulu 4. Nezávislé testy jako https://internet.nl a veřejné kontroly na https://www.weboke.cz/zdravi-domeny a https://www.weboke.cz/kontrola-e-mailu se zaměřují na podobné body.
Pozor: zelený výsledek u těchto bodů nic neříká o zbylých sedmnácti. Vaše doména může být dokonale nastavená, zatímco Vaše e-mailová schránka má heslo z nějakého úniku. Automatická kontrola je jen částí nulového měření, ne náhradou za něj.
Od kontroly k plánu: stanovení priorit
Nyní máte možná osm nebo deset bodů na "ne" nebo "částečně". Nelze dělat vše najednou. Pořadí zvolíte podle dvou otázek.
1. Jak velké je riziko? Použijte pravděpodobnost x dopad (lekce 1.1). Bod, na který cílí oportunistický útok, jako znovupoužitá hesla bez 2FA nebo web bez aktualizací, má vysokou pravděpodobnost. Bod, který by v případě selhání zastavil celou Vaši firmu, jako nefunkční záloha, má velký dopad.
2. Kolik úsilí to stojí? Některá opatření stojí hodinu a nic jiného, jako zapnutí dvoufázového ověření nebo domluva platebního postupu. Jiná stojí týdny, jako výměna všech notebooků.
Umístěte body do jednoduchého schématu:
| Málo úsilí | Mnoho úsilí | |
|---|---|---|
| Vysoké riziko | Udělat hned (tento týden) | Naplánovat (toto čtvrtletí) |
| Nízké riziko | Zahrnout, až se to bude hodit | Později nebo vědomě přijmout |
Pravidlo zní: rychlé a levné nejdřív, pokud je riziko vysoké. U většiny malých firem spadají do kolonky "udělat hned": dvoufázové ověření na e-mailu a v bance (3), platební postup (6), zapnutí automatických aktualizací (12) a kontrola, zda existuje kopie zálohy mimo dosah (16).
Vědomé přijetí rizika
Riziko lze také přijmout: rozhodnete se, že ho neřešíte, protože je malé nebo náklady příliš vysoké. To je platná volba, pokud ji učiníte vědomě a zapíšete si ji. "Zapomenutí" není přijetí.
Vlastník a datum u každého bodu
Plán bez jmen zůstane ležet nedotčený. Ke každému bodu přidejte:
- vlastníka: jednu osobu, která zajistí, že se to stane. Nemusí to být ten, kdo to provádí; IT firma může práci vykonat, ale někdo ve Vaší vlastní firmě zkontroluje, že je to hotové;
- datum: kdy to má být hotové;
- definici hotového: jak poznáte, že je to hotové? Ne "zařídit 2FA", ale "2FA je zapnuté na pěti účtech ze seznamu, kódy pro obnovení jsou v trezoru".
Příklad tří řádků z plánu Pekařství Example:
| Bod | Akce | Vlastník | Hotovo do | Hotovo, pokud |
|---|---|---|---|---|
| 3 | 2FA na e-mailu, v bance, účetnictví a u registrátora | Petra | za 1 týden | Zapnuto na všech čtyřech, kódy pro obnovení ve správci hesel a na papíře v trezoru |
| 6 | Platební postup na A4, projednaný s Joostem a Sanne | Petra | za 2 týdny | A4 visí v kanceláři, oba ho přečetli |
| 16 | Týdenní kopie na disku, který se poté volně uloží v trezoru | Joost | za 1 měsíc | První tři týdny provedeno, jeden soubor obnoven jako test |
Opakování
Bezpečnost nikdy není hotová. Přibývají noví zaměstnanci, nové služby, nová zařízení a nové triky. Proto si domluvte:
- každý rok opakovat celou kontrolu, ve stanoveném měsíci, a aktualizovat plán;
- mezitím provést kontrolu při velkých změnách: nový tvůrce webu, přesun hostingu, nové účetnictví, prudký růst;
- po incidentu projít body, které s ním souvisely (lekce 8.3).
Uchovávejte výsledek každé kontroly. Po roce pak uvidíte černé na bílém, co se zlepšilo, a budete mít odpověď, pokud se klient zeptá, jak jste na tom s bezpečností. NÚKIB má také vlastní doporučení pro OSVČ a malé a střední firmy, která můžete použít vedle tohoto seznamu; vede k akčnímu seznamu.
Shrnutí
- Nulové měření podle dvaceti pevných bodů poskytuje upřímný snímek; každý bod odkazuje na lekci, kde jste se to naučili.
- Část (e-mail, web, doménu) lze zkontrolovat automaticky, ale to nic neříká o ostatních bodech.
- Stanovte priority podle pravděpodobnosti x dopadu a úsilí: vysoké riziko s nízkým úsilím nejdřív.
- Každý bod v plánu dostane vlastníka, datum a definici hotového; přijetí rizika je možné, ale vědomě a písemně.
- Opakujte kontrolu každý rok a při velkých změnách a uchovávejte výsledky.
Kvíz
Úkol
Úkol A9.3: Automatická kontrola Vaší domény. Vyplňte svou vlastní doménu. Program najednou zkontroluje e-mail (SPF, DKIM, DMARC), web (https, certifikát, přesměrování, HSTS, hlavičky) a doménu (nameservery, DNSSEC, datum vypršení) a ukáže, které body bezpečnostní kontroly jsou zelené, oranžové nebo červené.
Úkol D9.3: Vaše bezpečnostní kontrola a plán. Proveďte kontrolu dvaceti bodů pro svou vlastní firmu. Poté vyberte alespoň pět bodů, umístěte je do schématu rizika a úsilí a vytvořte plán s vlastníkem, datem a definicí hotového pro každý bod. Zapište si do kalendáře, kdy kontrolu provedete znovu.
Úkol D9.3: Vaše bezpečnostní kontrola a plán
Postupujte takto: (1) Projděte dvacet bodů z lekce a u každého vyplňte: ano, částečně nebo ne. U bodů 9, 10 a 11 použijte výsledek z úkolu A9.3 (tlačítko převezme červené a oranžové body). (2) Každý bod s odpovědí "částečně" nebo "ne" zařaďte do schématu rizika (velké/malé) a námahy (málo/hodně). (3) Vyberte alespoň pět bodů. Začněte políčky "velké riziko, málo námahy". (4) Ke každému vybranému bodu přiřaďte akci, odpovědnou osobu, termín a definici hotovo. (5) Napište, která rizika vědomě přijímáte, a uveďte důvod. (6) Zapište si do kalendáře pevný měsíc pro další úplnou kontrolu a poznamenejte si, při jakých změnách se k tomu vrátíte dříve. (7) Uložte si výsledek (kurz uloží vyplněnou kontrolu, pokud chcete; pouze ano/částečně/ne u každého bodu a Váš plán, žádné jiné údaje).
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučené zdroje
Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje podobně.
- Příručka WebOké 5.17: Zdraví domény a e-mailu: kontrola a náprava
- WebOké, Zdraví domény / e-mailu (veřejná kontrola): https://www.weboke.cz/zdravi-domeny
- WebOké, Kontrola e-mailu: https://www.weboke.cz/kontrola-e-mailu
- Internet.nl, otestujte svůj web a e-mail: https://internet.nl
- NÚKIB, doporučení pro OSVČ a malé a střední firmy: https://nukib.gov.cz/