Skuteczność przeglądu bezpieczeństwa osobistego (i firmowego) zależy od tego ile czasu przeznaczysz na odpowiedzi.
W zakresie ochrony firm, pytania dotykają wycinka widzianego przez pryzmat mikrofirmy. Potrzebujesz pytań dotyczących większych organizacji? Odezwij się.
Poniżej znajdziesz wiele pytań, których kombinacja dla każdej osoby jest inna.
Każdy ma inny kontekst bezpieczeństwa w sieci.
Odpowiadając na te pytania, zaczynasz interpretować tą odpowiedź.
Nie ma złych odpowiedzi, są tylko źle podjęte decyzje.
99% internautów nigdy nie zadało sobie połowy tych pytań.
Dlatego oni będą łatwą ofiarą czarnej ręki internetu.
Życzę Ci powodzenia w udzielaniu odpowiedzi.
Na część pytań nie znajdziesz samodzielnie odpowiedzi, ale możesz zacząć szukać wiedzy. Np. nie wiesz czy chcesz mieć ukrytą nazwę sieci bezprzewodowej, a to sugeruje Ci, że można ją ukryć. Dlaczego to zrobić, czy robić, jak robić to jest pole interpretacji odpowiedzi, refleksji związanej z pytaniem.
Jeśli będziesz potrzebować wsparcia w interpretacji to znajdziesz namiar w dziale kontakt.
- Abstract (najważniejsze pytania):
- Czy są różne hasła do różnych rzeczy?
- Czy kontrolujesz wycieki haseł na https://haveibeenpwned.com?
- Czy aktualizujesz wszystkie urządzenia, programy, systemy operacyjne?
- Czego nie masz w kopii zapasowej?
- Zagrożenia:
- Przed kim chcę strzec swoich danych i prywatności (konkurencja, współpracownik były/obecny, mściwy przyjaciel/były partner/rodzina?
- Przed jakimi zagrożeniami, konsekwencjami robisz swoje bezpieczeństwo?
- Czy znasz zagrożenia przed którymi powinnaś/powinieneś się chronić?
- Ile czasu zastanawiasz się nad otwarciem załącznika do maila?
- Ile czasu zastanawiasz się nad zasadnością wpisania hasła tam gdzie masz je teraz wpisać?
- Obszar firmy:
- Co by było gdyby dziś w twojej firmie pojawił się mail do przestępcy, że ma twoje dane, jak zareagujesz? Czy zarząd jest zaangażowany w it? Czy umiesz podejmować decyzje?
- Komu zaufasz, do kogo masz kontakt w zakresie pomocy z zagrożeniami (wypłaszczaniu i identyfikowaniu ich)?
- Czy RODO w twojej firmie działa? Ktoś to testowa?
- Czy pracownicy wiedzą jak reagować na zauważone zagrożenie (próbę oszustwa)?
- Czy przewidziałeś choć 10 wektorów ataków na swoją firmę/dane?
- Czy wiesz jak się komunikować w kryzysie na linii IT-biznes-decydenci?
- Czy słownik takiej komunikacji jest zrozumiały dla wszystkich?
- Jakich narzędzi technicznych użyjesz do takiej komunikacji?
- Kiedy odetniesz Świat od zasobów firmy w przypadku ataku? Jakie KPI musi wystąpić?
- Czy trenowałeś scenariusze, planujesz symulację takiej sytuacji u siebie?
- Skąd będziesz wiedział czy właśnie jesteś atakowany?
- Co zrobiłeś w zakresie #BIA, #BCP?
- Jak wygląda polityka działań pro aktywnych?
- Jeśli jesteś atakowany, to czy wiesz co masz do stracenia?
- Czy jako szef (kierownik, manager, dyrektor) masz cierpliwość na wyjaśnienie pracownikowi czy, jak i dlaczego jest oszustwo w mailu (lub przy innych kanałach komunikacji jak SMS, telefon)?
- Jako szef jakie ryzyka przesuwasz na inne podmioty?
- Ile masz działań kontrwywiadowczych w firmie?
- Jaka informacja w rękach konkurencji jest dla twojej firmy druzgocąca?
- Jaka informacja w rękach przestępcy jest dla twojej firmy druzgocąca?
- Skąd będziesz wiedzieć o ataku, wycieku danych?
- Co zmieni polisa związana z cyberryzykami?
- Czy audyt bezpieczeństwa robisz by był zrobiony czy by poprawić zastaną sytuację?
- Co dokładnie chroni dane twojej firmy? Czy to działa?
- Ile nowych umiejętności zdobyli pracownicy w zakresie cyberbezpieczeństwa?
- Twój dział IT ile ma czasu na podnoszenie kompetencji?
- Czy twój pracownik widzi, że mail pochodzi spoza organizacji?
- Czy można z poczty organizacji wysłać maila UDW do 300 osób?
- Czy pracownicy wiedzą o czym nie można rozmawiać w domenie publicznej?
- Jak restrykcyjnie są przestrzegane reguły dotyczące weryfikacji płatności?
- Czy stać Cię na przelew 250000 zł na konto oszusta internetowego?
- Czy testujesz aplikacje wykorzystywane w firmie?
- Czy musisz mieć środowisko testowe?
- Wiesz jak podejmować decyzję o tym gdzie ma być poczta firmowa?
- Edukacja:
- Kiedy i w jakiej formie miałaś/miałeś edukację z bezpieczeństwa w sieci?
- Co pamiętasz z tej edukacji a co zostało wdrożone w życie?
- Czy twoi bliscy, współpracownicy, partnerzy biznesowi mają wystarczający poziom świadomości zagrożeń w sieci?
- Ile czasu dziennie/tygodniowo/rocznie chcesz przeznaczyć na dbanie o bezpieczeństwo?
- Znasz popularne ataki?
- Nigeryjski szwindel
- Przekierowanie płatności na fałszywy bank
- Dopłata do przesyłki i wgranie złośliwej aplikacji
- Telefoniczne wyłudzenie (blik, dostęp do banku, dane osobowe)
- Urządzenia:
- Z jakich urządzeń korzystasz?
- Jak bardzo są pojedynczym punktem awarii, utrudnią możliwość pracy gdy się zepsują, zostaną przejęte?
- Gdzie kończy się prywatne życie a zaczyna zawodowe w przestrzeni danych i urządzeń?
- Co zrobisz pierwsze gdy zorientujesz się, że straciłeś komputer/telefon/tablet?
- Czy ktoś jeszcze pracuje na twoich urządzeniach?
- Hasła:
- Jakie znasz dobre praktyki związane z hasłami?
- Czy wiesz do czego służą hasła (czym jest poufność w IT)?
- Gdzie mam zapamiętane hasła, kto ma do tego dostęp?
- Jak przechowujesz hasła (w głowie, w notesie, karteczki, przeglądarka, menedżer haseł)?
- Czy twoje hasło jest przewidywalne (ma imiona, daty, nazwy własne)?
- Czy kontrolujesz wycieki haseł na haveibeenpwned.com?
- Czy wiesz jak wyciekają hasła?
- Ile % haseł się powtarza?
- Czy wiesz dlaczego warto mieć różne hasła do różnych rzeczy (usług, maili, kont, profili)?
- Czy powtarzające się hasła są do ważnych rzeczy?
- Czy włączone są drugie składniki logowania (2FA) tam gdzie jest taka możliwość? Dlaczego nie?
- Czy wiesz kiedy nie używać 2FA jako kodów z SMSów?
- Do czego użyjesz klucza U2F?
- Czy hasła do spraw prywatnych są inne od tych do służbowych?
- Czy umiesz stworzyć bezpieczne hasło i je zapamiętać?
- Kiedy odkleisz karteczki z hasłami z komputera służbowego?
- Płatności w sieci:
- Czy masz zdywersyfikowane sposoby płatności?
- Co zrobisz gdy omyłkowo bank odetnie Cię od pieniędzy?
- Jak zwracasz uwagę na bezpieczeństwo płatności w sieci?
- Czy zawsze czytasz dokałdnie treść SMSów z kodem potwierdzającym płatność?
- Czy korzystasz z różnych form płatności (np. Karta dedykowana do subskrypcji, karta do impulsywnych zakupów, konto do stałych płatności)?
- Co zrobisz gdy znajomy poprosi Cię (poprzez komunikację elektroniczną) o pożyczenie 500 złotych?
- Jak chronisz swoje kryptowaluty?
- Jakie masz limity transakcji bankowych?
- Czy widzisz powiadomienie SMSem o każdej operacji bankowej (w tym kartowej)?
- Czy wiesz gdzie zadzwonić gdy zgubisz kartę lub zostanie jej numer skompromitowany?
- Komputer:
- Konto użytkownika czy administratora jest kontem, na którym pracujesz?
- Dlaczego administratora jest lepszym wyborem?
- Aktualizacje systemu czy się robią?
- Aktualizacje innych narzędzi się wykonują?
- Aktualizacje przeglądarki czy się wykonuje?
- Backup czego, czym, jak często i na jak długo?
- Co się wydarzy gdy dysk twardy padnie (co stracisz)?
- Jeśli potrzeba to ile czasu zajmie zmiana komputera na inny?
- Czy antywirus działa?
- Jakiego AV używasz i dlaczego tego?
- Jak jest ograniczona prywatność i profilowanie reklamowe?
- Dlaczego chcesz ograniczać prywatność? Czy nie będzie to strata czasu?
- Czy są udostępnione pliki/katalogi dla każdego w tej samej sieci?
- Czy za każdym razem gdy odchodzisz od komputera blokujesz pulpit?
- Czy dyski w komputerze są zaszyfrowane?
- Czy kasujesz dane tak, żeby były wykasowane bezpowrotnie?
- czy korzystasz ze zdalnego dostępu do tego komputera (RDP)?
- Przeglądarka:
- Jakiej używasz?
- Czy zastanawiało Cię kiedyś dlaczego warto używać różnych przeglądarek, do różnych rzeczy?
- Czy przeglądarka się aktualizuje?
- Czy zapamiętuje hasła, czy korzysta z ogólnego managera haseł?
- Jakie strony mają domyślnie włączony dostęp do mikrofonu i kamery?
- Czy wiesz dlaczego chcesz kasować historię przeglądania, ciastek i jak często to robić i czy robić?
- Czy używasz dodatków, które zapewniają prywatność?
- Czy aktualizują się dodatki do przeglądarki?
- Czy korzystasz z dodatków, które zmniejszają liczbę reklam?
- Czy zwracasz uwagę na literówki w adresie internetowym?
- Korzystasz z zakładek, żeby przejść do panelu logowania?
- Telefon:
- Czy jest blokada ekranu (PIN, hasło, biometria)?
- Czy jest szyfrowanie (iPhone i flagowce mają domyślnie właczoną)?
- Czy jest zaktualizowany?
- Czy uprawnienia nie są przyznane nadmiarowo dla aplikacji?
- Co ma dostęp do książki telefonicznej, mikrofonu, kamery, pamięci, SMSów?
- Czy robi się kopia zapasowa?
- Czy umiesz uruchomić dokładnie to samo na nowym telefonie?
- Czy masz na drugim urządzeniu generujące się kody jednorazowe?
- Co zajmuje miejsce w telefonie?
- Co używa dostępu do internetu (czy powinno)?
- Czy umiesz zdalnie zlokalizować telefon?
- Czy umiesz zdalnie wykasować dane z telefonu?
- Czy wiesz ile czasu spędzają w sieci twoi podopieczni?
- Blokujesz niechciane SMSy i połączenia?
- Wiesz jak wyrobić klon karty SIM?
- Masz w bezpiecznym miejscu kartę SIM, którą wiesz jak aktywować?
- Czy blokujesz usługi premium?
- Czy twój rachunek telefoniczny może być obciążony zakupami w aplikacjach, subskrypcjami, abonamentami?
- Poczta internetowa:
- Z jakich skrzynek pocztowych korzystasz?
- Na czym odbierasz pocztę?
- Czy chroni je unikatowe hasło i 2FA?
- Czy masz dedykowany profil użytkownika do pracy z pocztą biznesową?
- Co zrobisz gdy zauważysz złośliwą informację?
- Jak twoja firma reaguje na zagrożenia pocztowe?
- Czego twoja firma oczekuje jako reakcji na złośliwe maile?
- Co z wiedzą o złośliwych wiadomościach robi IT twojej firmy?
- Jakich białych filtrów używasz do poczty?
- Czy oznaczasz wiadomości spoza domeny?
- Czy są filtry na pliki wykonywalne?
- Czy wypisujesz się z niechcianych newsletterów?
- Po czym poznajesz oszustwo w mailu?
- Czy musisz otworzyć każdy załącznik?
- Kogo zapytasz o radę gdy masz wątpliwości o prawdziwości maila?
- Potrafisz przeczytać kto jest nadawcą maila?
- Czy musisz umieć czytać nagłówki maili by znaleźć informację o oszustwie?
- Konta internetowe (i pocztowe):
- Z jakich portali korzystasz (wymień media społecznościowe, portale zakupowe, sprzedażowe, banki, gry, seriale)?
- Gdzie jesteś zalogowany (na jakich urządzeniach, przeglądarkach) – gdzie możesz korzystać z tych usług?
- Co zrobisz pierwsze gdy zorientujesz się, że straciłeś komputer/telefon/tablet?
- Czy umiesz założyć konto i przekazać dostęp innej osobie (np. Programista, partner biznesowy, konsultant)?
- Czy masz włączone powiadomienia bezpieczeństwa (np.. O nowym logowaniu, zmianie hasła, wyłączeniu konta, zmienia adresu mail, wyłączeniu 2FA)?
- Czy administrujesz jakąś stroną internetową, profilem na mediach społecznościowych?
- Dane osobowe:
- Czy monitorujesz i zabezpieczasz swoją zdolność kredytową na bik.pl lub chronpesel.pl lub w innym miejscu?
- Jeżeli ktoś Cię obciąży kredytem, zobowiązaniem to czy chcesz się dowiedzieć od tego od komornika?
- Czy monitorujesz swój PESEL (i sprawy przeciwko sobie) w Sądzie elektronicznym (https://e-sad.gov.pl)?
- Czy zawsze musisz podawać prawdziwe dane w sieci?
- Jak wiele danych można znaleźć o Tobie w sieci?
- Poufna komunikacja:
- Czy wiesz z kim powinnaś/powinieneś zachować wysokie wymogi poufności?
- Jakimi narzędziami się komunikujesz poufnie?
- Czy masz dedykowane narzędzia i urządzenia do poufnej komunikacji?
- Czy określasz jakie informacje powinny być przedmiotem poufnej komunikacji?
- Co zrobisz gdy poufność zawiedzie?
- Praca na danych:
- Jakich danych nie chcę i nie mogę nigdy stracić?
- Kto ma dostęp do twoich dokumentów?
- Które są ważne, a które pilne?
- Czy masz podział na dane publicznie dostępne, poufne, tajne – PPN?
- Jak chronisz dane wg tych kategorii PPN?
- Czym i jakie dane chcesz szyfrować?
- Czy używasz makr w pakiecie office? Jeśli nie, to czy umiesz na stałe wyłączyć możliwość z nich korzystania?
- Jak dziś udostępniasz innym dane?
- Czy widzisz różnicę między udzieleniem dostępu do pliku a do treści w pliku?
- Kopie zapasowe:
- Co i jak długo przechowuje, chcę przechowywać, jak często do tego sięgam ?
- Na. Jakich i ilu nośnikach, jak długo przechowujesz kopie zapasowe?
- Ile czasu mogę sobie pozwolić na pracę po np. kradzieży komputera i z jakiego czasu wstecz i ile danych mogę stracić ?
- Backup – co, jak często, gdzie przechowywany?
- Ile czasu wytrzymam bez komputera po kradzieży i ile danych stracę?
- Ile czasu po awarii mogę być bez dostępu do usług krytycznych, ważnych (RTO (recovery time objective) – czyli czas w jakim należy przywrócić procesy po wystąpieniu awarii)?
- ile danych mogę stracić w wypadku awarii (liczone w godzinach, dniach) (RPO (recovery point objective) – czyli akceptowalny poziom utraty danych wyrażony w czasie)?
- czy sprawdzasz czy backup działa?
- Dostęp do internetu:
- Czy wiesz kiedy korzystać z VPN?
- Jakich narzędzi używasz do połączeń VPN?
- Jakie narzędzie VPN kupisz?
- Czy wykorzystujesz VPN łącząc się z nieswojej sieci z internetem?
- Czy masz wytyczne biznesowe kiedy, czym i jak łączyć się poprzez VPN?
- Jak się połączysz z siecią gdy nie masz swojego punktu dostępowego (np. telefonu z jego hotspotem)?
- Router domowy (dostęp do internetu):
- Czy się automatycznie aktualizuje?
- Z kiedy jest ostatnia aktualizacja?
- Czy hasło jest silne?
- Czy ma możliwość włączenia 2FA do logowania?
- Jakie są opcje kontroli rodzicielskiej?
- Czy jest sieć dla gości?
- Jakie urządzenia są podłączone?
- Czy poznajesz wszystkie urządzenia?
- Czy włączone jest WPA2 (lub WPA3)?
- Czy chcesz by SSID (nazwa sieci bezprzewodowej) było widoczne?
- Inne urządzenia:
- Co zobaczy znalazca twojego pendrive?
- Co zrobisz gdy znajdziesz jakiś pendrive?
- Aktualizujesz urządzenia takie jak TV, odkurzacz, lodówka, mikser?
- Procesy biznesowe w firmie:
- A co w sytuacji gdy dany system nie działa?
- A co w sytuacji gdy drukarka nie działa?
- A co w sytuacji gdy Internet nie działa?
- Gdzie jest zapisywany ten dokument?
- Kto jeszcze ma do niego dostęp?
- Co by się stało gdyby dany plik zginął?
- Co by się stało gdyby dany plik został ujawniony?
- Kto nadaje uprawnienia do danego systemu?
- Co gdy dany pracownik jest niedostępny?
- Gdzie zapisywane są kalkulacje ofertowe sporządzane dla klientów?
- Kto może mieć do nich dostęp?
- Kto jest odpowiedzialny za nadawanie tego dostępu?
- W jaki sposób przekazywana jest informacja o konieczności odebrania uprawnień gdy pracownik odchodzi z firmy?
- Co by się stało gdyby dany dokument został ujawniony?
- Co by się stało gdyby został przypadkowo wysłany do innego klienta?
- Co by się stało gdyby dostał się w ręce konkurencji?
- Strona internetowa:
- czy jest zaktualizowana?
- Kto ma dostęp administracyjny?
- czy komentarze są akceptowane automatycznie?
- Kto robi backup, jak długo jest przechowywany?
- Czy robisz regularne testowanie czy backup działa?
- Jak się dowiesz o ataku typu DDoS i co wówczas zrobisz?
- Jakie elementy są najważniejsze dla działania jednostki biznesowej?
- Jakość stosowanych procedur
- Przygotowanie na zdarzenia
- Jakość personelu IT
- Kultura organizacyjna w obszarze cybsec
- Jakość audytu wewnętrznego
- Dla IT i decydentów na polu cyberbezpieczeństwa:
Czy znasz te technologie, sposoby na bezpieczeństwo, czy są ujęte w projektach, procesach i zasobach organizacji?- Proxy services
- Stateful packet inspection
- Deep packet inspection
- Real-time packet decryption
- Email handling
- Intrusion detection and blockage
- Application controls
- Virtual private network or remote access devices
- network access control (NAC)
- firewalls
- endpoint protection (EPP)
- endpoint detection and response (EDR)
- security incident and event management (SIEM)
- security orchestration automation and response (SOAR)
- intrusion detection/prevention systems (IDS/IPS)
- breach and attack simulation (BAS)
- threat and vulnerability management (TVM)
- identity and access management (IAM)
- secrets management
- privilege account management (PAM)
- network traffic analysis (NTA)
- static application security testing (SAST)
- dynamic application security testing (DAST)
- security awareness training – smishing , phishing
- secure email gateways
- cloud access security brokers (CASB)
- secure web gateway
- credentials management
- web application firewalls (WAF)
- encryption
- Prywatność i anonimowość w sieci:
- Kiedy i do czego potrzebujesz prywatność i/lub anonimowość?
- Wiesz czym się różni prywatność od anonimowości w sieci?
- Czy będziesz mieć cierpliwość na konsekwencję w działaniu?
- Czy wiesz czym jest VPN, TOR, DNS?
- Umiesz pracować na 3 i więcej przeglądarkach jednocześnie?
- Stać Cię na pracę na 3 i więcej urządzeniach?
- Masz kryptowaluty?
- Umiesz czyścić historię przeglądarki?
- Czy wiesz jak czyszczenie historii przeglądarki wpłynie na komfort twojej pracy?
- Inne obszary?
Interesuje Cię informacja o aktualizacjach tego tematu?
Chcesz uczestniczyć w dedykowanym szkoleniu z interpretacji odpowiedzi?
Potrzebujesz wsparcia, konsultacji, pomocy w bezpieczeństwie? Chętnie Ci w tym pomogę.
Zdalnie, lokalnie, przez mail lub telefon – jak będzie najwygodniej.
Zostaw swój adres lub napisz mail cyberkurs@cyberkurs.online