Metodický plán workshopu pro zaměstnance Jak se (ne)chovat ve firemní síti [1]
Obsah: Strana: 1. Úvod. 3 2. Metodický plán workshopu.... 4 2.1 Co se událo v poslední době... 5 2.2 Počátky škodlivých sw (malware), způsob jejich šíření a dopady (dobové případové studie a příklady)... 5 2.3 Rozdělení malware...co je to virus, červ, trojan, spam, phishing, spyware, ransomware, scareware, (vysvětlení pojmů a příklady).. 5 2.4 Nové formy útoků s rozvojem internetu a mobilních technologií (dobové případové studie a příklady)... 5 2.5 Hackeři, crackeři a hacktivisti jejich původ, charakteristika, motivace a nebezpečnost.. 5 2.6 Proč je neznalý zaměstnanec největší hrozbou pro podnikovou síť a co riskuje (příklady zaměstnaneckých selhání). 6 2.7 Jak nejčastěji unikají firemní data (dobové případové studie a příklady) 6 2.8 Nejnovější forma útoku v podobě sociálního inženýrství, jak ji rozpoznat a jak se bránit (dobové případové studie a příklady).. 6 2.9 Proč zaměstnavatelé neradi vidí sociální sítě, free maily, herní portály a chatovací nástroje.. 6 2.10 Jak si zabezpečit svůj počítač a data.. 6 2.11 Důležitost správně zvoleného hesla a jeho ochrana, praktický návod, jak zvolit správné heslo.. 6 2.12 Jak bezpečně zacházet s mobilním zařízením (smartphone, tablet, notebook, )... 7 2.13 Právní aspekty stahování a šíření nepovoleného obsahu.. 7 2.14 Vývoj nových technologií všedního života a spojená bezpečnostní rizika (úvaha s posluchači). 7 2.15 Desatero zásad, které pomůže předejít útokům a ztrátám dat.. 7 2.16 Závěrečné shrnutí nejdůležitějších poznatků... 7 2.17 Prostor pro diskuzi s posluchači. 7 2.18 Závěrečný interaktivní test 7 [2]
1. Úvod Charakter útoků na firemní infrastrukturu a data se mění. Pro útočníky je nejjednodušší využít nejslabší článek bezpečnostního řetězce, a tím je lidský faktor, resp. zaměstnanec. Toto podporují i soudobé statistiky a výroky renomovaných světových expertů na bezpečnostní problematiku. Počet útoků a zcizení dat kvůli zaměstnanecké neznalosti, nedbalosti či neloajalitě stále roste. Kvalitně vyškolený zaměstnanec je proto jedním z pilířů bezpečného IT prostředí a je stejně důležitý, jako např. kvalitní síťový firewall. Zaměstnavatelé se často ptají: proč bychom měli investovat do workshopů, když se nám ještě žádný incident nestal? Na toto tvrzení existuje jednoduchá odpověď, která nachází paralelu v reálném světě zdravotnictví. Stejně jako ve zdravotnictví, tak i zde je nejdůležitějším bodem prevence. Čekat na bezpečnostní incident se může hrubě nevyplatit. Ztráty mohou nastat nejen po finanční, ale i osobní stránce. Běžně se stává, že po incidentu musí IT manažeři vyvodit svou osobní odpovědnost. Tak zvané ututlání bezpečnostního incidentu je dnes již také nepřípustné. Všechny společnosti a instituce v rámci EU mají dle direktivy Evropského parlamentu (eprivacy Directive 2002/58/EC) povinnost oznamovat zjištěné průniky do svých datových sítí, včetně podrobného popisu. IT manažeři získávají s vyškolenými zaměstnanci nejen větší pocit bezpečí a ochrany, ale také jistou formu obrany před eventuálním napadáním ze strany managementu při výskytu bezpečnostního incidentu. Pokud zaměstnanec absolvuje workshop, získává certifikaci s platností 2 roky, která ho zároveň zavazuje k zodpovědnému chování a zacházení s IT technikou. Vyškolený zaměstnanec je za své chování plně zodpovědný a nemůže svalovat vinu na firemní správce IT. Certifikace je mnohonásobně efektivnější, než interní směrnnice, které zaměstnanci zpravidla vůbec nečtou a pouze je podepíší. [3]
2. Metodický plán workshopu Workshop s názvem Jak se (ne)chovat ve firemní síti je určeno běžným uživatelům a je zaměřen na obecnou a firemní bezpečnost v oblasti informačních technologií. Workshop je logicky rozdělen do tří na sebe navazujících tematických bloků. Každý blok tvoří interaktivní přednáška v rozsahu 45 minut. Po každé přednášce následuje pauza 15 minut. Praktikujeme osvědčený školský systém. V prvním bloku nejprve prověříme aktuální znalost uživatelů problematiky IT bezpečnosti. Následně seznámíme uživatele se zajímavými událostmi z poslední doby a současným charakterem prostředí podnikových datových sítí, s návazností na síť internet a spojenými hrozbami, nacházejícími se v tomto prostředí. Jednotlivé hrozby pojmenujeme, přiblížíme jejich podstatu a předvedeme na reálných příkladech jejich rizikovost. V tomto bloku se také zabýváme novodobými hrozbami, jež jsou spojeny s mobilními technologiemi. S uživateli rozebereme problematiku hackerských útoků a jejich formy. Ve druhém bloku je stěžejním bodem vysvětlit uživatelům jejich úlohu v celém systému a rizika, spojená s jejich počínáním. Zaměřujeme se především na to, aby uživatel získal na celou věc zcela obrácený pohled a začal o bezpečnosti uvažovat samostatně. Uživatel by měl získat dostatek znalostí na to, aby si mohl sám klást otázky ohledně bezpečnostních rizik svého počínání a ve většině případů by si měl také být schopen na ně i sám správně odpovědět. V tomto bloku se dotkneme také problematiky sociálního inženýrství, jakožto novodobého trendu v oblasti získávání citlivých informací. Třetí blok je zaměřen na praktické rady, techniky a doporučení, v oblasti IT bezpečnosti. Dále je prostor k úvaze o budoucím vývoji a tematické diskusi. Následně s uživateli shrneme probranou tématiku a dáme prostor pro otázky. Závěrem celého workshopu je interaktivní test, kdy jsou uživatelům předloženy formuláře s otázkami a možnými odpověďmi. Lektor provází uživatele celým testem a zodpovídá případné dotazy. Cílem je, aby v tomto testu uživatelé již projevili změnu uvažování. [4]
2.1 Co se událo v poslední době Seznámení uživatelů s aktuálními temáty z oblasti IT bezpečnosti. V drtivé vetšině případů se jedná o události, které se objevovaly v médiích. Seznámíme uživatele s podstatou těchto událostí a osvětlíme principy. 2.2 Počátky škodlivých sw (malware), způsob jejich šíření a dopady (dobové případové studie a příklady) V této kapitole zmapujeme historický vývoj (evoluce) škodlivého software od dob prvních osobních počítačů. Rozebereme způsoby šíření, typické formy útoků a jejich cíle. Na dobových příkladech ukážeme nejzajímavější události. 2.3 Rozdělení malware...co je to virus, červ, trojan, spam, phishing, spyware, ransomware, scareware, Vysvětlení pojmu malware a jeho základní rozdělení podle kategorií. Ke každé kategorii je uvedeno několik příkladů a bližší informace, jak se proti danému typu útoku chránit. 2.4 Nové formy útoků s rozvojem internetu a mobilních technologií (dobové případové studie a příklady) Rozbor nových forem útoku v návaznosti na rozvoj webových aplikací, mobilních zařízení a přesunu dat do cloudů. Zvláštní pozornost je věnována podvodným aplikacím pro mobilní platformy. 2.5 Hackeři, crackeři a hacktivisti jejich původ, charakteristika, motivace a nebezpečnost Seznámení uživatelů s pojmem hacker, jeho mutacemi a hacktivistickými skupinami. Původ a vývoj hackerů a hackerských skupin, jejich motivace a společenská nebezpečnost. Typické příklady hackerských útoků a jejich dopady na firemní i státní infrastruktury. [5]
2.6 Proč je neznalý zaměstnanec největší hrozbou pro podnikovou síť a co riskuje (příklady zaměstnaneckých selhání) Seznámení zaměstnanců s riziky, která jsou spojena s charakterem jejich činnosti ve firemní síti. Vysvětlení hrozeb a jejich následků plynoucích z neopatrnosti a neuvědomělého jednání. Ukázky a příklady úniků citlivých dat, které způsobili neopatrní zaměstnanci. 2.7 Jak nejčastěji unikají firemní data (dobové případové studie a příklady) Rozbor možných způsobů, jak mohou z firem unikat citlivá data. Důraz je kladen zejména na úniky spojené s běžnou kancelářskou prací na PC. 2.8 Nejnovější forma útoku v podobě sociálního inženýrství, jak ji rozpoznat a jak se bránit (dobové případové studie a příklady) Vysvětlení pojmu sociální inženýrství, jakožto novodobé hrozby pro firemní data. Zdůraznění jeho společenské nebezpečnosti a vlivu. Nástin možných scénářů napadení běžného zaměstnance, rozpoznání útoku a způsob obrany. 2.9 Proč zaměstnavatelé neradi vidí sociální sítě, free maily, herní portály a chatovací nástroje V této kapitole získají uživatelé zcela obrácený pohled na rizika, spojená s využíváním webových aplikací, jako jsou e-mailové služby pro veřejnost, sociální sítě, chatovací a komunikační nástroje, sdílená úložiště, atp. 2.10 Jak si zabezpečit svůj počítač a data Tato kapitola je věnována zabezpečení domácích stanic uživatelů. Důležité je, aby si zaměstnanci osvojili bezpečnostní praktiky také na domácích stanicích. Bezpečnostní praktiky se musejí stát pro uživatele jakýmsi podmíněným reflexem. 2.11 Důležitost správně zvoleného hesla a jeho ochrana, praktický návod, jak zvolit správné heslo Uživatelé zpravidla opomíjejí praktiky pro vytváření silných hesel, nebo je vůbec neznají. V této kapitole se zaměstnanci naučí vytvářet silná hesla s pomocí osvědčených praktik. [6]
2.12 Jak bezpečně zacházet s mobilním zařízením (smart phone, tablet, notebook, ) Mobilní platformy jsou dnes běžnou součástí firemních sítí a mnoho firem vyznává politiku BYOD. Díky jejich stále rostoucí popularitě se množí i cílené útoky na tyto platformy. Tato kapitola se věnuje bezpečnému zacházení s těmito zařízeními. 2.13 Právní aspekty stahování a šíření nepovoleného obsahu Uživatelé mají tendenci instalovat na svěřené IT technologie nelegální software a kopírovat nelegální obsah. Bohužel riziko nese v tomto případě zaměstnavatel, jakožto vlastní/provozovatel. V této kapitole vysvětlujeme zaměstnancům právní aspekty a dopady takového chování. 2.14 Vývoj nových technologií všedního života a spojená bezpečnostní rizika (úvaha s posluchači) Společně s uživateli prodiskutujeme v teoretické rovině vývoj nových technologií, jejich integraci do sítí a spojená rizika. Pohovoříme o zajímavých novodobých projektech a kyber útocích. 2.15 Desatero zásad, které pomůže předejít útokům a ztrátám dat Uživatelům zdůrazníme desítku nejdůležitějších zásad, kterými by se měli řídit, aby tak předešli ztrátě dat a jejich možnému zneužití. 2.16 Závěrečné shrnutí nejdůležitějších poznatků Shrnutí nejdůležitějších bodů z každé kapitoly. 2.17 Prostor pro diskuzi s posluchači Na závěr přednášky je prostor pro otázky a diskuzi na související témata. 2.18 Závěrečný interaktivní test Závěrečný test má za cíl získat informace o nabytých znalostech. [7]