Definice hodnocení informačních rizik je zásadní pro celkovou strategii kybernetické bezpečnosti společnosti. Pomocí doporučení od Britského Národního centra kybernetické bezpečnosti (NCSC UK) zvládnete nastavit základy risk managementu vlastní silou.

Hodnocení informačních rizik, společně s devíti přidruženými bezpečnostními oblastmi popsanými níže,  pomůže s ochranou Vašeho podnikání před většinou kybernetických útoků.

1. Nastavte si schéma hodnocení informačních rizik

Zvažte svoji ochotu riskovat -> Přiřaďte kyber rizikům vyšší prioritu -> Implementujte procesy podporující systém řízení rizik.

Zhodnoťte míru rizika, kterou představují interní informace a systémy vaší organizace se stejnou vervou, jakou byste udělali pro právní regulační, finanční nebo provozní rizika. Chcete-li toho dosáhnout, vložte do své organizace režim řízení rizik podporovaný managementem.

2. Zabezpečte svoji síť

Chraňte svoji interní síť před útoky z internetu, filtrujte neautorizované přístupy a škodlivý obsah. Využívejte systémy pro monitorování a testování protokolů kybernetické bezpečnosti

3. Zvyšujte povědomí a vzdělání zaměstnanců

Vytvořte zásady uživatelského zabezpečení, pokrývající přijatelné a bezpečné používání interních systémů. Investujte do vzdělávání zaměstnanců. Udržujte povědomí o kybernetických rizicích

4. Připravte se na malware

Při nastavení zásad a procesů kybernetické bezpečnosti nezapomínejte na malware. Vytvořte anti-malwarovou obranu napříč celou firmou.

5. Kontrolujte používání vyměnitelných zdrojů

Niky, ale opravdu NIKDY, do svého PC nepřipojujte neznámé USB. Vytvořte jednotnou politiku pro kontrolu a používání vyměnitelných zdroj (USB, externí HDD, atp.). Sjednoťte typy používaných médií a používejte je co nejméně. Před stažením dat, vždy médium otestujte proti malwaru.

6. Zabezpečte konfiguraci

Aplikujte bezpečnostní patche a udržujte bezpečnou konfigurace pro všechny systémy a zařízení. Vytvořte systémový inventář a definujte jednotné základní nastavení pro všechny.

7. Kontrolujte uživatelská práva

Nastavte efektivní manažerské procesy a limitujte počet uživatelských účtu s vyšším oprávněním. Omezte práva běžných uživatelů a monitorujte aktivitu jednotlivých uživatelů. Kontrolujte přístupové aktivity a provádějte audit přihlašovacích logů.

8. Řešte jednotlivé incidenty

Zajistěte schopnost okamžité reakce na bezpečnostní incidenty a připravte se na zotavovací proces. Testujte bezpečnostní procesy a plány řízení. Proveďte odborné školení Vašeho IT oddělení. Okamžitě hlaste kriminální aktivitu na příslušné orgány.

9. Kontrolujte a monitorujte

Naplánujte kontrolní strategii monitoringu aktivit svých zaměstnanců, včetně podpůrných interních nařízení. Průběžně monitorujte všechny systémy, zařízení a sítě. Kontrolujte uživatelské logy a zaměřte se na podezřelé aktivity, které mohou naznačovat kybernetický útok.

10. Vytvořte pravidla pro práci z domu

V případě, že zaměstnanci pracují z domu, přizpůsobte nastavení pravidel pro používání zařízení a pro přístupy do interní sítě. Vyškolte zaměstnance a dbejte na dodržování stanovených pravidel. Aplikujte základní bezpečnostní nastavení všech používaných zařízení. Chraňte přenos a ukládání dat.

Vždy mějte na paměti základní trade-off:

ZVYŠOVÁNÍ KYBERNETICKÉ BEZPEČNOSTÍ JDE  VŽDY RUKU V RUCE SE SNIŽOVÁVÁNÍM UŽVATELSKÉHO KOMFORTU !

Autor: Ondřej Vanáč, spoluzakladatel CyberBlog.cz

Zdroj: NCSC UK

Foto: Unsplash