Hrozby v oblasti IT jsou rozmanité a nemusí být nutně úmyslné nebo mít trestní povahu. IT může být také ohroženo „vyšší mocí“ nebo technickým selháním, například zemětřesení by mohlo způsobit výpadek napájení, který by vedl ke ztrátě dat.
Samozřejmě je však myslitelná i lidská chyba. Klasickým příkladem je zapomenutí hesla pro online bankovnictví a ztráty přístupů k důležitým informacím. Nyní se dozvíte o možných IT hrozbách, přičemž mějte stále na paměti cíle ochrany z předchozí kapitoly.
Důležité
Potenciální hrozba nebo zranitelnost neznamená automaticky, že je IT v ohrožení. O skutečnou hrozbu se jedná pouze v případě, pokud se zranitelnost (např. chyba programování nebo snadno přístupná WLAN) setká s hrozbou (např. útok hackerů).
Cílené útoky lidí nebo organizací
V první řadě musí IT bezpečnost zabránit útokům, obvykle nazývaným jako „hacking“, které jsou prováděny záměrně. Jednotlivec nebo dokonce celá organizace obvykle získává neoprávněný přístup k cizím datům a pokouší se obejít cíle ochrany. To může probíhat za různými účely: krádež finančních prostředků, sabotáž konkurenčních společností, politická motivace a někdy dokonce jen „pro zábavu“. Vždy se ale jedná o získávání, manipulaci nebo ničení cizích informací prostřednictvím sítě, ke které jsou cílová zařízení připojena.
Nejdůležitější nástroje takových hackerských útoků jsou známé z hollywoodských filmů z přelomu tisíciletí a obvykle mají legrační jména – „viry“, „trojské koně“, „červi“, „spoofing“, „phishing“ a další. Podívejme se blíže na některé z těchto příkladů:
Viry Počítačové viry jsou jednoduše programy, které automaticky provádějí své naprogramované úlohy v cílových systémech: například vysledují heslo. Viry potřebují k jejich šíření tzv. hostitele. Může se jednat o hromadný e-mail nebo o tzv. „vyskakovací okno“ – například samo otevírací web, který odkazuje na údajně nutnou aktualizaci.
Počítačoví červi
Jedná se o viry, které se dokáží samy aktivně šířit – to znamená, že aktivně detekují slabá místa v systémech a sítích a podle toho postupují vpřed bez nutné přítomnosti takzvaného „hostitele“.
Trojský kůň
Jedná se o na první pohled užitečné programy, které si oběť nainstaluje, ale v pozadí instalace trojské koně otevírají zadní vrátka v systému, předávají data a informace a mohou například zaznamenávat zadaná hesla.
Odepření služby (anglicky „denial of service attacks“, zkráceně DoS)
V tomto případě je pravděpodobnější manipulace s daty – záměrným přetížením systému zvenčí (to lze provést například automatickým opakovaným vyvoláním webové stránky) se systém zastaví. Někdy se to stane, dokud například postižená organizace nezaplatí výkupné. Mimochodem, software pro metody vydírání je také označován jako „ransomware“ (složení anglických slov „ransom“ – výkupné a „software“).
Spoofing/Phishing
Jedná se zejména o krádež identity. Falešné weby na internetu a e-maily, které na ně odkazují, lákají oběť k aktivnímu sdílení hesel nebo informací o účtu. Vyskytují se hlavně v soukromém sektoru IT bezpečnosti.
Spam
Asi nejznámější termín v oblasti IT bezpečnosti nepopisuje nic jiného než nevyžádané e-maily – může se jednat o obtěžující e-mail s novinkami, ale samozřejmě také o hostitele virů nebo phishingových pokusů.
Výše uvedený malware lze samozřejmě také osobně „vpustit“ do počítačového systému – informace mohou být odcizeny nebo manipulovány fyzickým vloupáním do budovy společnosti nebo do domu. Vzhledem k propojení počítačových systémů to však obvykle již není nutné.
K fyzické manipulaci však někdy dochází jednoduše interně. Například když pracovníci vaší společnosti ukradnou data o zákaznících nebo produktová tajemství bez povolení, aby je mohli externě prodat.
Neúmyslné ohrožení lidskými chybami
Hrozby pro IT bezpečnost však nemusí být vždy vysoce trestné a úmyslné. Někdy dochází k ohrožení jednoduše kvůli neznalosti zacházení s IT:
Hesla
Dobré heslo je v nejlepším případě těžko zapamatovatelné, což je samozřejmě nepraktické. Mnoho lidí stále používá hesla, která jsou příliš slabá. 12345 je například slabé heslo. Heslo UfNS3-? SssDa-hUdk& už vypadá trochu jinak. Čím více různých symbolů, speciálních znaků, čísel a písmen, tím lépe. Ale ne v případě, že je heslo zaznamenáno znovu na kus papíru a nalepeno přímo na obrazovku počítače.
Jak vidíte, že najít vhodné a bezpečné heslo, které si dotyčná osoba zapamatuje, není tak snadné. Zejména proto, že mnoho systémů vás pravidelně vyzývá k změně hesel a stejné heslo se nedoporučuje používat víckrát než jednou.
Exkurz
Existuje tzv. správce hesel, který lze použít jak soukromě, tak i ve společnostech. Jedná se o programy, které mohou generovat a ukládat zabezpečená hesla pro weby nebo jiné programy. Samotný program je zabezpečen tzv. hlavním klíčem, tj. jedním hlavním heslem.
Výhody a nevýhody jsou zřejmé: můžete použít celou řadu různých zabezpečených hesel a nemusíte si je jednotlivě pamatovat. Pokud je však hlavní klíč odhalen, lze získat přístup ke všem uloženým heslům. Správce hesel je bezpečný pouze v případě, že hlavní heslo je silné a pokud možno pravidelně měněné.
Problém je však také předávání hesel, což nemusí být úmyslně nedbalé. Chcete pomoci kolegovi a rychle mu dát svůj vlastní přístup do systému. Nebo správce systému požaduje heslo pro kontrolu. To může vést ke kritickým situacím, zejména pokud se jedná o lidi, kteří tímto způsobem záměrně hesla ukradnou.
Přines si vlastní zařízení (anglicky „Bring Your Own Device“)
“Přines si vlastní zařízení” – to neznamená divoký vánoční večírek ve firmě, ale spíše nošení vlastních zařízení, jako jsou externí pevné disky, USB klíče, chytré telefony a podobně do firmy. Pokud jsou interní informace společnosti uloženy nebo upravovány na těchto zařízeních, pak interní IT bezpečnost opravdu nedokáže pomoci. To je potřeba si obzvlášť uvědomit v případě tzv. „home office“, tj. práci pro firmu z domova.
Mimochodem, paměťová média mohou být někdy záměrně třetími stranami „připravena“ s malwarem a poté distribuována lidem, kteří pracují například pro určité společnosti. To se děje například na profesionálních veletrzích, kde jsou USB klíče často rozdávány.
Instalace neautorizovaných aplikací
Váš firemní notebook je příliš pomalý, takže se o něj „staráte sami“ pomocí instalace antivirových programů a dalších věcí. Nebo rádi hrajete ve svém volném čase v práci hry a stahujete malware do svého firemního počítače. To také může kvůli nedostatečnému věnování pozornosti vést k ohrožení IT bezpečnosti.
Toto jsou v podstatě největší hrozby pro IT bezpečnost. Jak již bylo vysvětleno, zcela nepředvídatelné události mohou samozřejmě také ohrozit IT, například přírodní katastrofy, jako je požár, zásahy bleskem nebo povodně, mohou zcela ochromit nebo zničit počítačové systémy.
Zapamatujte si
O skutečné hrozbě, co se IT bezpečnosti týče, mluvíme v případě, když se interní zranitelnost setká s externí hrozbou. Takovou hrozbou může být úmyslný útok nebo může být neúmyslně způsobena lidmi nebo „vyšší mocí“ jako jsou přírodní katastrofy.
Úmyslné útoky:
Malware jako jsou viry, počítačoví červi a trojské koně
Fyzické vniknutí a krádež nebo manipulace s informacemi nebo počítačovými systémy
Krádež identity nebo vydírání pomocí phishingu, ransomwaru a odepření služby.
Neúmyslné nebezpečí:
Slabá nebo předaná hesla
Používání soukromých zařízení v prostředí firmy
Instalace neautorizovaných aplikací
Vyšší moc
Přírodní katastrofy, které následně vedou ke zničení nebo ochrnutí počítačových systémů
Hrozby v oblasti IT jsou rozmanité a nemusí být nutně úmyslné nebo mít trestní povahu. IT může být také ohroženo „vyšší mocí“ nebo technickým selháním, například zemětřesení by mohlo způsobit výpadek napájení, který by vedl ke ztrátě dat.
Samozřejmě je však myslitelná i lidská chyba. Klasickým příkladem je zapomenutí hesla pro online bankovnictví a ztráty přístupů k důležitým informacím. Nyní se dozvíte o možných IT hrozbách, přičemž mějte stále na paměti cíle ochrany z předchozí kapitoly.
Důležité
Potenciální hrozba nebo zranitelnost neznamená automaticky, že je IT v ohrožení. O skutečnou hrozbu se jedná pouze v případě, pokud se zranitelnost (např. chyba programování nebo snadno přístupná WLAN) setká s hrozbou (např. útok hackerů).
Cílené útoky lidí nebo organizací
V první řadě musí IT bezpečnost zabránit útokům, obvykle nazývaným jako „hacking“, které jsou prováděny záměrně. Jednotlivec nebo dokonce celá organizace obvykle získává neoprávněný přístup k cizím datům a pokouší se obejít cíle ochrany. To může probíhat za různými účely: krádež finančních prostředků, sabotáž konkurenčních společností, politická motivace a někdy dokonce jen „pro zábavu“. Vždy se ale jedná o získávání, manipulaci nebo ničení cizích informací prostřednictvím sítě, ke které jsou cílová zařízení připojena.
Nejdůležitější nástroje takových hackerských útoků jsou známé z hollywoodských filmů z přelomu tisíciletí a obvykle mají legrační jména – „viry“, „trojské koně“, „červi“, „spoofing“, „phishing“ a další. Podívejme se blíže na některé z těchto příkladů:
Počítačové viry jsou jednoduše programy, které automaticky provádějí své naprogramované úlohy v cílových systémech: například vysledují heslo. Viry potřebují k jejich šíření tzv. hostitele. Může se jednat o hromadný e-mail nebo o tzv. „vyskakovací okno“ – například samo otevírací web, který odkazuje na údajně nutnou aktualizaci.
Jedná se o viry, které se dokáží samy aktivně šířit – to znamená, že aktivně detekují slabá místa v systémech a sítích a podle toho postupují vpřed bez nutné přítomnosti takzvaného „hostitele“.
Jedná se o na první pohled užitečné programy, které si oběť nainstaluje, ale v pozadí instalace trojské koně otevírají zadní vrátka v systému, předávají data a informace a mohou například zaznamenávat zadaná hesla.
V tomto případě je pravděpodobnější manipulace s daty – záměrným přetížením systému zvenčí (to lze provést například automatickým opakovaným vyvoláním webové stránky) se systém zastaví. Někdy se to stane, dokud například postižená organizace nezaplatí výkupné. Mimochodem, software pro metody vydírání je také označován jako „ransomware“ (složení anglických slov „ransom“ – výkupné a „software“).
Jedná se zejména o krádež identity. Falešné weby na internetu a e-maily, které na ně odkazují, lákají oběť k aktivnímu sdílení hesel nebo informací o účtu. Vyskytují se hlavně v soukromém sektoru IT bezpečnosti.
Asi nejznámější termín v oblasti IT bezpečnosti nepopisuje nic jiného než nevyžádané e-maily – může se jednat o obtěžující e-mail s novinkami, ale samozřejmě také o hostitele virů nebo phishingových pokusů.
Výše uvedený malware lze samozřejmě také osobně „vpustit“ do počítačového systému – informace mohou být odcizeny nebo manipulovány fyzickým vloupáním do budovy společnosti nebo do domu. Vzhledem k propojení počítačových systémů to však obvykle již není nutné.
K fyzické manipulaci však někdy dochází jednoduše interně. Například když pracovníci vaší společnosti ukradnou data o zákaznících nebo produktová tajemství bez povolení, aby je mohli externě prodat.
Neúmyslné ohrožení lidskými chybami
Hrozby pro IT bezpečnost však nemusí být vždy vysoce trestné a úmyslné. Někdy dochází k ohrožení jednoduše kvůli neznalosti zacházení s IT:
Dobré heslo je v nejlepším případě těžko zapamatovatelné, což je samozřejmě nepraktické. Mnoho lidí stále používá hesla, která jsou příliš slabá. 12345 je například slabé heslo. Heslo UfNS3-? SssDa-hUdk& už vypadá trochu jinak. Čím více různých symbolů, speciálních znaků, čísel a písmen, tím lépe. Ale ne v případě, že je heslo zaznamenáno znovu na kus papíru a nalepeno přímo na obrazovku počítače.
Jak vidíte, že najít vhodné a bezpečné heslo, které si dotyčná osoba zapamatuje, není tak snadné. Zejména proto, že mnoho systémů vás pravidelně vyzývá k změně hesel a stejné heslo se nedoporučuje používat víckrát než jednou.
Exkurz
Existuje tzv. správce hesel, který lze použít jak soukromě, tak i ve společnostech. Jedná se o programy, které mohou generovat a ukládat zabezpečená hesla pro weby nebo jiné programy. Samotný program je zabezpečen tzv. hlavním klíčem, tj. jedním hlavním heslem.
Výhody a nevýhody jsou zřejmé: můžete použít celou řadu různých zabezpečených hesel a nemusíte si je jednotlivě pamatovat. Pokud je však hlavní klíč odhalen, lze získat přístup ke všem uloženým heslům. Správce hesel je bezpečný pouze v případě, že hlavní heslo je silné a pokud možno pravidelně měněné.
Problém je však také předávání hesel, což nemusí být úmyslně nedbalé. Chcete pomoci kolegovi a rychle mu dát svůj vlastní přístup do systému. Nebo správce systému požaduje heslo pro kontrolu. To může vést ke kritickým situacím, zejména pokud se jedná o lidi, kteří tímto způsobem záměrně hesla ukradnou.
“Přines si vlastní zařízení” – to neznamená divoký vánoční večírek ve firmě, ale spíše nošení vlastních zařízení, jako jsou externí pevné disky, USB klíče, chytré telefony a podobně do firmy. Pokud jsou interní informace společnosti uloženy nebo upravovány na těchto zařízeních, pak interní IT bezpečnost opravdu nedokáže pomoci. To je potřeba si obzvlášť uvědomit v případě tzv. „home office“, tj. práci pro firmu z domova.
Mimochodem, paměťová média mohou být někdy záměrně třetími stranami „připravena“ s malwarem a poté distribuována lidem, kteří pracují například pro určité společnosti. To se děje například na profesionálních veletrzích, kde jsou USB klíče často rozdávány.
Váš firemní notebook je příliš pomalý, takže se o něj „staráte sami“ pomocí instalace antivirových programů a dalších věcí. Nebo rádi hrajete ve svém volném čase v práci hry a stahujete malware do svého firemního počítače. To také může kvůli nedostatečnému věnování pozornosti vést k ohrožení IT bezpečnosti.
Toto jsou v podstatě největší hrozby pro IT bezpečnost. Jak již bylo vysvětleno, zcela nepředvídatelné události mohou samozřejmě také ohrozit IT, například přírodní katastrofy, jako je požár, zásahy bleskem nebo povodně, mohou zcela ochromit nebo zničit počítačové systémy.
Zapamatujte si
O skutečné hrozbě, co se IT bezpečnosti týče, mluvíme v případě, když se interní zranitelnost setká s externí hrozbou. Takovou hrozbou může být úmyslný útok nebo může být neúmyslně způsobena lidmi nebo „vyšší mocí“ jako jsou přírodní katastrofy.
Úmyslné útoky:
Neúmyslné nebezpečí:
Vyšší moc
Přírodní katastrofy, které následně vedou ke zničení nebo ochrnutí počítačových systémů
-
Add a note