Tema IT Security v podjetju

SeMiNeSanja je 11. maj 2017 ob 15:17 izjavil:

IT security je v prvi liniji dvotirna zadeva, na kar se kar lepo pozablja.

To, kar je napisal SeMiNeSanja + še malo je treba na vrh naložit:

Resne velike firme, ki jih to res skrbi (lahko imajo res velike težave zaradi slabe informacijske varnosti in ne samo neprijetnosti), imajo informacijsko varnost navadno zasedeno na približno nekje executive level, pri nas se temu pogosto reče pooblaščenec uprave, če se recimo čif sekjuriti ofiser sliši preveč napihnjeno, ali pa je fizično varovanje ločeno, ker je težko najti heroja, ki se bo spoznal na oboje (Sicer imamo pri nas tudi fakulteto za varnostne vede, ampak ne vem, če je že proizvedla kaj res uporabnega na področju informacijske varnosti). Ker sicer lahko informacijsko varnost kdorkoli povozi. Ta oseba ima tudi manjši budget, morda nekaj malega ljudi
(recimo kakšnega tehničnega guruja, ki spremlja novice in razume nove izzive in zna pogledat nastavitve požarnega zidu, če ustrezajo varnostni politiki in ni kdo navrtal kje kakšne luknje ali tunela) in avtoriteto reči ne kakšnim nevarnim načrtom, ali pa uvesti kakšne ne prav priljubljene varnostne mehanizme in kontrole. V malo manjših organizacijah mora to vlogo prevzeti CIO, vodja informatike ali kakorkoli se že imenuje. Predvsem pa se mora ta oseba znati pogovarjati z drugimi v organizaciji o informacijah, odgovornosti zanje, njih tokovih in hranjenju in redundanci, njihovem pomenu in varovanju na ustreznem nivoju. In pripraviti načrte, kdo in kako se bo odzval, če gre kaj narobe in kakšne so naloge vsakega v organizaciji še preden gre kaj narobe in kako se bo preprečilo ali omililo tveganja in katera od teh tveganj najprej in za kakšno ceno.

Držati vse sisteme na ustreznem patch-levelu in znotraj varnostnih politik, kar je eno od tveganj, pa je navadno naloga vseh sistemskih administratorjev. Kaj je ustrezno se jim pa sproti sporoča (in lahko jasno tudi sami predlagajo). Za kritične sisteme pa se zadeve (downtime ipd.) seveda ustrezno planira in redno presoja tveganja.

Ne, mamo take stranke. Izjava ITjevcev:
"Pa kaj če zaposleni izgubi za 2 dni dela ker nima avtomatskega backup-a svojega desktopa. To je njegov problem, ne moj. Saj ima navodila kako shranjevat podatke na mrežni disk."

Mimogrede:
"On Tuesday, Microsoft took the highly unusual step of issuing security patches for XP and other unsupported versions of Windows. The company did this in a bid to protect the OSes against a series of "destructive" exploits developed by, and later stolen from, the National Security Agency."

https://arstechnica.com/security/2017/0...

Predvidevam da boš imel spet malo dela. Srečno...

Tebi se ne sanja v kaksni firmi jaz delam. Vem...resitev je nova firma. Tudi to se pride, zagotovo, saj v firmi, kjer se vse nekaj na pol dela, ni moj zivljenski cilj.

jukoz je 14. jun 2017 ob 09:19 izjavil:

https://arstechnica.com/security/2017/0...

Predvidevam da boš imel spet malo dela. Srečno...

Hvala za info. Mah me ze pocasi vse skupaj mineva, ker se grem kao enga sekjuritija, a sef bi obenem vsem dovolil usb porte odprte.

Evo pred 5min mi pride nek sodelavc iz financnega sektorja, da rabi ena gospa nekaj na hitro sprintati iz usb stika. Gospo sem videl prvic, zato sem jo vprasal, ce je mogoce na novo pri nas zaposlena ali je externi sodelavec. Pravi eksterni sodelavec...skratka usb smo priklopili na "varno" masino in jo prijazno pomagali...

No sedaj, ce bi bili porti odprti bi pac vstavila svoj xyz stik nekam v neko masino in lahko bi se zgodil "kabuuum"...ampak sef, ki se hvali z 25letnimi izkusnjami ocitno tega ne steka.

Mah poslat vse nekam v tri p in bo mir...

Eh.... šefu pripraviš poseben USB stick, ki ga čisto slučajno pozabiš v njegovi pisarni...

Se da dobiti tiste 'specialne', ki scvrejo cel računalnik, ko ga vtakneš v mašino..... Stane kakšnih 50$, ampak glede na neprecenljiv izraz na šefovem obrazu, bi bila to več kot vredna investicija...

Stavim, da bo še isti dan hotel, da se fizično zablokira vse USB vtičnice v podjetju.