Zásady bezpečné práce na internetu

V roce 2020 se několik univerzit po celém světě stalo obětí masivního phishingového útoku. Hackeři*ky rozeslali e-maily, které se tvářily jako zprávy od IT oddělení, vyzývající příjemce*kyně k aktualizaci jejich hesel prostřednictvím přiloženého odkazu. Tento odkaz vedl na falešnou stránku, kde uživatelé*ky zadali*y své přihlašovací údaje, které byly následně zneužity útočníky*icemi. Následkem toho útočníci*e získali*y přístup k citlivým informacím, včetně výzkumných dat a osobních údajů studentů*ek i zaměstnanců*kyň​.

Tento incident odhalil několik klíčových nedostatků ve způsobu, jakým byly zásady bezpečné práce na internetu dodržovány:

• Nedostatečné povědomí o phishingových útocích: Mnoho uživatelů*ek neznalo nebo podcenilo riziko phishingových útoků. Odkazy v e-mailech slepě následovali, aniž by ověřili jejich autenticitu.
• Absence vícefaktorové autentizace (MFA): Přístup k citlivým účtům nebyl chráněn vícefaktorovou autentizací, což útočníkům*icím značně usnadnilo krádež přihlašovacích údajů.
• Nedostatečné školení zaměstnanců a studentů: Chyběla pravidelná školení a informování o aktuálních hrozbách. Uživatelé*ky tak nebyli dostatečně připraveni na rozpoznání podvodných e-mailů.
• Špatná správa hesel: Mnoho uživatelů*ek používalo slabá hesla nebo stejná hesla napříč různými účty, což zvýšilo riziko jejich zneužití.

Co můžeme pro zvýšení odolnosti organizace prakticky udělat?

• Zvýšené povědomí a školení:
  • Pravidelně školme a vzdělávejme pracovní týmy o aktuálních hrozbách a způsobech, jak jim čelit.
  • Vzdělávání by mělo zahrnovat praktické příklady, jak rozpoznat phishingové e-maily, podezřelé odkazy a neznámé odesílatele*ky.
• Zavedení vícefaktorové autentizace (MFA):
  • Použití vícefaktorové autentizace (např. kombinace hesla a SMS kódu) zvyšuje bezpečnost přístupu k účtům.
  • MFA by měla být povinná pro všechny kritické systémy a přístupy.
• Silná hesla a jejich správa:
  • Uživatelé*ky by měli*y být povzbuzováni*y k vytváření silných hesel (viz předchozí kapitola).
  • Můžete používat správce hesel, který může generovat a uchovávat silná a jedinečná hesla pro každý účet.
  • Hesla by měla být pravidelně měněna a nikdy by neměla být používána napříč více účty.
• Technologická ochrana:
  • Nasaďte a pravidelně aktualizujte antivirový software a firewally.
  • Nasaďte ochranu proti phishingu, například blokování podezřelých webových stránek na úrovni firemního firewallu nebo prohlížeče.
• Zavedení jasných bezpečnostních pravidel:
  • Jasně definujte a komunikujte pravidla bezpečnosti týkající se práce na internetu.
  • Tato pravidla by také měla zahrnovat pravidla pro používání osobních zařízení nebo pro používání pracovních zařízení k osobním účelům.

• Omezte používání veřejných wi-fi:
  • Nedělejte cokoli důvěrného, pokud jste připojeni k veřejné wi-fi síti (např. posílání e-mailových zpráv o klientech*kách kolegům*yním). Útočník*ice může takovou síť věrně nasimulovat a data zachytávat.

• Vybudujte atmosféru otevřenosti a upřímnosti:

• • Upřímnost a otevřenost ve vašem týmu jsou hlavním předpokladem úspěšné obrany.

• • Každý by měl odpovědné osobě poctivě veškeré podezřelé a nestandardní aktivity (např. phishingový pokus v e-mailové schránce) i své případně pochybení – čím dříve se začne řešit, tím menší může být škoda.

• Vždy používejte šifrované připojení a weby s bezpečnostnícm certifikátem (https), zvláště při práci z veřejných Wi-Fi sítí.
• Udržujte software aktuální, aby byl chráněn před známými zranitelnostmi.
• Ověřujte odkazy a přílohy v e-mailech, abyste předešli phishingu.
• Uživatelé*ky jsou první linií obrany proti kybernetickým útokům. Znalost rizik a správných postupů je nezbytnou podmínkou úspěchu.
• I sebelepší technologie selže, pokud není podporována odpovídajícím lidským chováním a základním povědomím o bezpečnosti.

• Phishing: Kybernetický útok, při kterém útočníci*ice získávají citlivé informace (např. přihlašovací údaje) tím, že se vydávají za důvěryhodné subjekty.
• Vícefaktorová autentizace (MFA): Bezpečnostní metoda vyžadující ověření identity pomocí více než jednoho faktoru (např. hesla a SMS kódu).
• Firewall: Bezpečnostní zařízení nebo software, který kontroluje a filtruje příchozí a odchozí síťový provoz na základě definovaných bezpečnostních pravidel.
• Antivirový software: Program, který detekuje, blokuje a odstraňuje škodlivý software z počítačů a jiných zařízení.
• Správce hesel: Software, který ukládá a generuje hesla, což umožňuje uživatelům bezpečně spravovat různé přihlašovací údaje bez nutnosti si je pamatovat.
• Bezpečnostní politika: Soubor pravidel a pokynů, které organizace stanovuje pro ochranu svých digitálních zdrojů a informací před kybernetickými hrozbami.
• Zranitelnost: Bezpečnostní slabina softwaru, kterou může útočník zneužít k získání neoprávněného přístupu nebo poškození systému.