Kybernetická bezpečnosť

Prevencia je vždy lacnejšia ako náprava škôd

KYBERNETICKÉ HROZBY SÚ NEODDELITEĽNOU SÚČASŤOU DIGITÁLNEHO SVETA

94% firiem v ČR čelilo v roku 2019 kybernetickému útoku

NÚKIB v roku 2019 vyšetroval 8417 prípadov útoku

Kyber. kriminalita spôsobila v roku 2019 škody za 6 biliónov USD

Počet kybernetických útokov sa zvyšuje o viac ako 20% ročne

So stále postupujúcej digitalizáciou štruktúr, nástupom rýchlych 5G sietí a kontinuálne sa zvyšujúci závislosťou na digitálnych technológiách sú prirodzene na vzostupe aj nebezpečenstvo z tejto modernizácie vyplývajúce.

Otázka kybernetickej bezpečnosti sa stala úplne samostatnou a vysoko špecializovanú technickú disciplínou, ktorej primárnou úlohou je ochrana digitálneho prostredia cieľovej organizácie.

Kontaktujte nás, radi Vám pomôžeme zvoliť to správne riešenie.

AUDIT KYBERNETICKEJ BEZPEČNOSTI

Audit kybernetickej bezpečnosti slúži na zistenie miery ohrozenia organizácie zo strany súčasných aj budúcich digitálnych rizík, odhaľuje zraniteľné miesta vnútrofiremných systémov a preveruje politiku riadenia kybernetickej bezpečnosti v prostredí obstarávateľa.

Výsledkom auditu kybernetických rizík je súhrnná správa o stave kybernetickej bezpečnosti organizácie obsahujúce okrem súpisu zistených hrozieb tiež metodické pokyny k ich obmedzeniu či úplnej eliminácii.

Vzhľadom k rozdielnym požiadavkám a úrovni kybernetickej bezpečnosti u rôznych organizácií ponúkame tri úrovne auditu kybernetických rizík – Primárne, Štrukturálne a Hĺbkový. V konkrétnych prípadoch možno audit nastaviť aj individuálne.

Príklady úspešných kybernetických útokov

Kompromitácie elektronického podpisu – Útočníkovi sa podarilo pomocou phishingového útoku kompromitovať účet poškodeného. Pomocou tohto účtu nainštaloval do zariadenia softvér pre sledovanie a vzdialenú kontrolu.

Následne objavil útočník v zariadení certifikát elektronického podpisu, prostredníctvom ktorého odoslal niekoľko žiadostí na vybavenie nových dokladov z dôvodu straty / odcudzenia, pričom tieto nechal vystaviť na bieleho koňa. Následne si s pomocou týchto dokladov vybavil počas jedného dňa nebankové pôžičky v celkovej výške cca. 150 000, – EUR.

Príklady úspešných kybernetických útokov

Presmerovanie platieb zákazníkov – Útočníkovi sa podarilo po niekoľko mesiacov sledovať e-mailovú komunikáciu účtovného oddelenia poškodené firmy.

Následne vo vytipované dobe prevzal kontrolu nad odchádzajúcimi e-maily a po cca. tri týždne upravoval na vydaných faktúrach čísla účtu pre platbu, pričom dokázal zachytiť a potvrdiť niekoľko otázok zákazníkov práve na zmenu čísla účtu. Keďže si útočník vyberal iba zákazníkov s bankovými ústavmi mimo EÚ, nebola poškodená firma schopná sa dovolať žiadne kompenzácie a vzniknutá škoda presiahla 235 380 EUR.

Príklady úspešných kybernetických útokov

Vydieranie softvérové spoločnosti – Úspešným získaním prístupu do vnútornej siete poškodenej spoločnosti sa podarilo útočníkovi nainštalovať do prostredia firmy ransomware, ktorý sa po niekoľko mesiacov nekontrolovateľne šíril systémy spoločnosti. Akonáhle sa mu podarilo preniknúť aj do dlhodobej zálohy, zašifroval kompletne dáta spoločnosti a vyžadoval platbu výkupného vo výške asi 59 000, – EUR.

Keďže nebola firma schopná vyvolať ani zálohy systému a bola tiež pod silným tlakom zákazníkov, ktorým útok odstavil niekoľko softvérových produktov, rozhodla sa výkupné v Bitcoin zaplatiť. Útočník v tomto prípade skutočne napadnuté systémy odblokoval, však firma sa rovnako niekoľkých sankciám zo strany zákazníkov a kompletné revíziu systémov nevyhla.

PRIMÁRNY AUDIT

Primárny audit kybernetickej bezpečnosti je určený predovšetkým pre malé a stredné firmy, prípadne organizácie, u ktorých odcudzeniu dát či odstavenie vnútrofiremných systémov nespôsobí výrazné škody na majetku či plynulosti premávky. Audit sa zameriava predovšetkým na ochranu dát a identít, prístupnosti prostredia a systému záloh. V prípade, že primárny audit neodhalí žiadne nedostatky či sú tieto nebodtatky na základe predložených odporúčaní odstránené, je organizácia pripravená čeliť viac ako 90% bežných kybernetických hrozieb.

štrukturálnY audit

Cieľovú skupinu zákazníkov štrukturálneho auditu tvoria firmy a organizácie, pre ktoré je už samotný potenciál existencia rizika straty dát alebo zablokovanie digitálnych systémov prakticky neakceptovateľný. Patrí medzi ne napríklad digitálne riadené prevádzky, keď škoda spôsobená zastavením prevádzky narastá každou minútou, digitálne archívy obsahujúce citlivé alebo inak nenahraditeľná dáta či systémy z rôznych dôvodov nepripúšťajúce dlhodobý výpadok prístupnosti.

hĺbkový audit

Primárne systémy štátnej správy či kritickej infraštruktúry vyžadujú zabezpečenie podľa zákona o kybernetickej bezpečnosti č. 181 / 2014Sb. alebo aspoň minimálneho bezpečnostného štandardu podľa NÚKIB. Hĺbkový audit kybernetickej bezpečnosti teda nerieši iba faktickú stránku digitálneho zabezpečenia, ale posudzuje, či je systém s vyššie spomínanými štandardy v súlade.

CERTIFIKÁT KYBERNETICKEJ BEZPEČNOSTI

Súčasne so súhrnnou správou alebo po odstránení nedostatkov získa zadávateľ certifikát kybernetickej bezpečnosti úrovne I, II alebo III, ktorým preukazuje dosiahnutú úroveň digitálnej bezpečnosti organizácie. Certifikát sa udeľuje na jeden rok. V prípade, že má zadávateľ záujem certifikáciu predĺžiť, vykonáva sa iba zrýchlený kontrolný audit, ktorý platnosť certifikátu potvrdí na ďalší rok. Toto predĺženie pomocou kontrolného auditu možno vykonať maximálne trikrát a ďalší rok je nutné vykonať zodpovedajúce audit v jeho plnej šírke znova. Rovnako tak, ak nebol vykonaný kontrolný audit najneskôr rok od zisku alebo predĺženia certifikácie.

VZDIALENÁ SPRÁVA KYBERNETICKEJ BEZPEČNOSTI

Po zisku ktoréhokoľvek certifikátu má zadávateľ možnosť, pokiaľ to jeho prostredie dovoľuje, požiadať o zriadení vzdialenej správy kybernetických rizík. Ide o službu, ktorá spravidla vyžaduje niekoľko drobných zásahov v systémoch obstarávateľa, ale organizácia tým získa profesionálny dohľad nad riadením kybernetickej bezpečnosti, a navyše je zbavená povinnosti absolvovať ročný kontrolný audit pre potreby predĺženie platnosti certifikátu kybernetickej bezpečnosti. Rozsah služby nie je vzhľadom na komplexnosť problematiky štandardizovaný a podmienky sa stanovujú vždy individuálne.

Spojenie 144 systémov znížilo mzdové náklady na tretinu.

Kritická infraštruktúra vyžaduje najvyššiu zabezpečenia.

Doklady číta umelá inteligencia.

Pridaná hodnota na hodinu práce z 8 EUR na 16 EUR za 2 roky.

Od kontaktu cez objednávku a výrobu až po doručenie bez jediného papiera.

primárny audit

Primárny audit kybernetickej bezpečnosti je určený predovšetkým pre malé a stredné firmy, prípadne organizácie, u ktorých odcudzeniu dát či odstavenie vnútrofiremných systémov nespôsobí výrazné škody na majetku či plynulosti premávky. Audit sa zameriava predovšetkým na ochranu dát a identít, prístupnosti prostredia a systému záloh. V prípade, že primárny audit neodhalí žiadne nedostatky či sú tieto nedostatky na základe predložených odporúčaní odstránené, je organizácia pripravená čeliť viac ako 90% bežných kybernetických hrozieb. Primárne audit slúži väčším organizáciám ako pôvodnej dokumentácie pre audit štrukturálnej alebo hĺbkový, prípadne ako doklad o splnení podmienok vedúcich k uzavretiu poistenia kybernetických rizík na vyššie poistné sumy.

primárny audit zachytí viac ako 90% kybernetických hrozieb

  • Zabezpečenie a správa identity (prístupov)
  • Dátové a dokumentovaná úložiska (politika ochrany dát)
  • Systém záloh

štrukturálný audit

Cieľovú skupinu zákazníkov štrukturálneho auditu tvoria firmy a organizácie, pre ktoré je už samotný potenciál existencia rizika straty dát alebo zablokovanie digitálnych systémov prakticky neakceptovateľný. Patrí medzi ne napríklad digitálne riadené prevádzky, keď škoda spôsobená zastavením prevádzky narastá každou minútou, digitálne archívy obsahujúce citlivé alebo inak nenahraditeľná dáta či systémy z rôznych dôvodov nepripúšťajúce dlhodobý výpadok prístupnosti. Štrukturálne audit sa zameriava okrem iného na elimináciu rizík z útoku vedeného na účely poškodenie konkrétnej firmy a tiež na fyzickú bezpečnosť vnútorných digitálnych štruktúr zadávateľa. Prostredie neobsahujúce vady odhaliteľné štrukturálnym auditom možno považovať za reálne kybernetické bezpečné podľa najvyšších možných štandardov a pripravené pre získanie certifikácie ISO 27000.

Štrukturálný audit preverí riziká na všetkých úrovniach prístupu

  • Zabezpečenie a správa identity
  • Politika prístupu k citlivým informáciám
  • Bezpečnosť vnútrofiremných aplikácií
  • Fyzická prístupnosť a bezpečnosť infraštruktúry
  • Obmedzenie vnútorných rizík organizácie (insider risk)

hĺbkový audit

Primárne systémy štátnej správy či kritickej infraštruktúry vyžadujú zabezpečenie podľa zákona o kybernetickej bezpečnosti č. 181 / 2014Sb. alebo aspoň minimálneho bezpečnostného štandardu podľa NÚKIB. Hĺbkový audit kybernetickej bezpečnosti teda nerieši iba faktickú stránku digitálneho zabezpečenia, ale posudzuje, či je systém s vyššie spomínanými štandardy v súlade. Hĺbkový audit odhaľuje aj také detaily, ako je fyzická prístupnosť komunikačné siete a jej zabezpečenie proti napadnutiu pomocou sofistikovaných zariadení, testovanie dodržiavanie predpisov kybernetickej bezpečnosti dotknutými pracovníkmi alebo možnosť zanesenia škodlivého kódu prostredníctvom napadnutia zariadenia zvnútra organizácie. Odstránenie chýb na úrovni hĺbkového auditu v podstate znemožňuje úspešné vykonanie útoku na kybernetické prostredie zadávateľa tak, aby bola spôsobená väčšia škoda.

Hĺbkový audit podľa odporúčania NÚKIB a platnej legislatívy

  • Komplexná ochrana prístupu do prostredia organizácie
  • Najvyššia miera zabezpečenia dát a dokumentácie
  • Viacstupňové zálohovanie a stabilita systému
  • Detailný rozbor politiky riadenia bezpečnosti
  • Maximálna úroveň fyzickej bezpečnosti prostredia

We will contact you

Do you need to discuss your intention with an expert, find out if the service is suitable for your company, get answers to questions or a quote?

Contact us at:

Roman Caha, Sales Director
phone: +420 776 371 143
email: r.caha@altairgroup.eu

or via the contact form.

New Field

New Field

3 + 7 =

Call Now Button