Nám všechno funguje

3/6 Série článků o firemních případech - Slepé skvrny firem

kompletní serii naleznete zde

Zeptáte se, jak na tom firma je po IT stránce, a odpověď zní: „V pohodě, nám všechno funguje.“ Servery běží, nikdo si nestěžuje, e-maily chodí. Zní to jako dobrá zpráva.

Jenže „funguje“ většinou znamená jen „nikdo si zatím nevšiml problému“, ne že problém neexistuje.

Klidně, nebo jen naslepo?

Mezi „všechno je v pořádku“ a „nikdo se nikdy nepodíval, jestli je všechno v pořádku“ je obrovský rozdíl, který zvenku vypadá úplně stejně. Firma může roky fungovat bez incidentu a přitom mít otevřené dveře dokořán, prostě proto, že tudy zatím nikdo nešel.

Co se schová pod „funguje“

Věci, které vypadají v pořádku, dokud se na ně nikdo nezeptá:

• Otevřené porty směrem na internet, nikdo neřešil, protože „to tak vždycky bylo“.
• Zálohy, které se nikdy nezkoušely obnovit, záloha, co jen tiše běží, ale nikdo neví, jestli z ní jde něco reálně dostat zpět.
• Nejasné vlastnictví dat, nikdo přesně neví, kde všude firma data má a kdo za ně odpovídá.
• Doménový administrátor použitý na zápis skenů, tiskárna nebo skener má na sdíleném fileserveru nastavený účet s právy doménového administrátora, jen aby mohla ukládat naskenované soubory do sdílené složky.
• Oprávnění na sdílených složkách, nastavená kdysi narychlo, dnes je vidí úplně každý, i lidi, co je dávno nepotřebují.
• Platnost certifikátů, nikdo neví, kdy vyprší, dokud jednoho dne nepřestane fungovat něco důležitého.
• Používání AI, bez rozmyslu a procesů. Manažer si urychlí práci a naleje všechna data do ChatGPT, se jmény kolegů a měsíčními výsledky. Není kontrola a citlivá data putují na servery korporací.
• Administrace / dokumentace, víte jak se co dělá když nepřijde Jirka do práce, který jediný spravuje TOP dodavatele?

IT bezpečnost firmy

IT bezpečnost firmy se často řeší až ve chvíli, kdy se něco pokazí, do té doby je „funguje“ dostatečná odpověď na každou otázku. Jenže IT bezpečnost firmy není jednorázový projekt, který se jednou nastaví a pak o něm firma dalších pět let neslyší. Je to spíš pravidelná kontrola základních věcí: kdo má kam přístup, co je vystavené na internet a jestli data, na kterých firma stojí, jdou v případě potřeby skutečně obnovit. IT bezpečnost firmy nestojí na jednom velkém zásahu, ale na tom, že se občas někdo zeptá i na věci, které „vždycky fungovaly“.

Blažená nevědomost

Blažená nevědomost je přesně tenhle stav, všechno vypadá klidně, protože se nikdo nezeptal. Blažená nevědomost je pohodlná, dokud vydrží, a nebezpečná v momentě, kdy přestane. Firmy v blažené nevědomosti nejsou o nic bezpečnější než firmy s otevřeně přiznaným problémem, jenom o tom zatím nevědí.

Kontrola zálohování

Kontrola zálohování patří mezi věci, které firmy nejčastěji odškrtnou jako hotové, aniž by je kdy reálně vyzkoušely. Záloha, která podle logu proběhla v pořádku, ještě neznamená, že se z ní dá cokoliv obnovit, soubor může být poškozený, neúplný, nebo se zálohuje jen část dat, o které si firma myslí, že má celé. Pravidelná kontrola zálohování by měla končit skutečným obnovením souboru nebo databáze na testovacím místě, ne jen zeleným zaškrtnutím v administraci.

Jak to zjistit u sebe

Pár otázek, které „nám všechno funguje“ rychle otestují:

• Zkusili jste v posledním půl roce reálně obnovit zálohu, ne jen zkontrolovat, že proběhla?
• Víte, jaké porty má vaše síť otevřené směrem ven?
• Odpovídají oprávnění na sdílených složkách tomu, kdo je dnes skutečně potřebuje?
• Nepoužívá se náhodou účet doménového administrátora jen proto, aby tiskárna nebo skener mohly ukládat soubory na sdílený fileserver?
• Máte přehled, kdy vyprší vaše certifikáty?

Pokud u víc než jedné otázky nevíte odpověď hned, „funguje“ znamená hlavně „zatím se nic nestalo“.

Co s tím

• Otestujte obnovu zálohy naostro, ne jen kontrolu, že proces doběhl.
• Zkontrolujte otevřené porty směrem ven, jednoduchý sken to ukáže během chvíle.
• Projděte oprávnění na sdílených složkách a zrušte přístupy, které už nikdo nepotřebuje.
• Zrušte doménového administrátora u tiskáren a skenerů a nahraďte ho účtem s právy jen na konkrétní sdílenou složku.
• Veďte si přehled certifikátů a jejich expirace, ideálně s předstihovým upozorněním.