Konference SECURITY 2023

Ransomware útoky jsou čím dál častější a není nic horšího, a vlastně ani lepšího, než ho zažít na vlastní kůži. Pojďme se blíže podívat na jeden takový útok. Projdeme celou časovou osu útoku od první reakce až po forenzní analýzu. Zhodnotíme, co se povedlo a co se naopak nepovedlo a zda je vůbec možné se na podobný útok připravit. Jak se na takový útok dívá technik a jak ho vnímá manažer? Na závěr zhodnotím, jaké zkušenosti jsme během útoku a po něm získali a co si z něj odnášíme do budoucna.

1. Historie elektronického sledování PC a mobilních telefonů.
2. Kauza Hacking Team z roku 2015 a co si objednala česká policie.
3. NSO Group a malware Pegasus - rozsah použití.
4. Aktuální informace o výskytu a detekci pokročilého mobilního malware.
5. Bezpečnostní, obchodní a právní důsledky nasazení této technologie - stát přišel o monopol na odposlechy.
6. Ukázka postupu skenování mobilního zařízení.
7. Ukázka pozitivního záchytu malware.
8. Možnost skenování mobilních zařízení odvážným účastníkům konference.

Válečný konflikt v konvenční oblasti doprovází ruku v ruce i střet v kybernetickém prostoru. Pojďme se společně podívat, jak se tento konflikt mezi Ukrajinou a Ruskem během uplynulého roku vyvíjel. Jaké „kyberzbraně“ byly nasazeny, kdo a jak vítězil a prohrával. V přednášce minulého roku jsem se věnoval především historii útoků (od roku 2014), které byly na Ukrajinu podniknuty. V úvodu tyto poznatky stručně shrnu. V poslední době na ně útočníci znovu navázali a snažili se o podobnou strategii vyřazení klíčové infrastruktury, jako se snaží i v konvenční oblasti pomocí raket a granátů. Přiblížíme si další techniky útoků APT skupin a to co následovalo především v druhé půlce minulého roku. Pokusím se Vám představit trendy, které probíhaly, zaspekulujeme si, co bude následovat. V závěru shrnu i dopad na ČR, jak nás kyberválka ovlivňuje a zdali se máme bát podobného vývoje i v naší zemi. Pozor, na několika obrázcích se může objevit i programový kód popisující útok na technické úrovni.

Zero Trust v oblasti cyber security není novým pojmem. Ale jak vypadá realita? Není to jen další marketing? A co třeba výrobci, kteří Zero Trust technologie nabízí, jak jsou na tom s nasazením ve vlastním prostředí? Společnost Cisco Systems patří mezi technologické giganty, ale ne vždy je vnímána jako společnost dodávající řešení v oblasti cyber security. Pojďme si ukázat, jak společnost se 70 tisíci zaměstnanci a více než 30 tisíci kontraktory prochází procesem Zero Trust nasazení, jaké zdroje, aplikace a zařízení jsou nyní nastaveny a aktivně využívají politiky pro přístup, kontrolu nastavení a připojení k firemním zdrojům. Přidám i osobní - uživatelský pohled na aplikované Zero Trust principy a jak moc jsou pro běžného uživatele obtěžující.

Microsoft nástroje pro spolupráci a komunikaci nejen nabízí svým zákazníků, ale stejné technologie také interně používá. Přijďte se inspirovat, jak probíhala implementace nástroje pro klasifikaci a šifrování dokumentů Microsoft Information Protection v prostředí Microsoftu. Dozvíte se a bude mít možnost se inspirovat, jak jsme postupovali, aby nasazení bylo úspěšné a které faktory úspěšné nasazení ovlivňují.

Skutečný příběh o bezpečnosti v multi-tenant i sigle-tenant prostředí Microsoft cloudu. Jaké nástrahy na vás čekají? Zkušenosti z finanční skupiny Erste.

Na konci roku 2022 byla přijata nová evropská úprava kybernetické bezpečnosti v podobě průřezové směrnice NIS2 a nařízení DORA, které upravuje specifická bezpečnostní pravidla pro finanční sektor. Oba předpisy kladou požadavky na dodavatele informačních technologií, ať už nepřímo v podobě regulace zákazníků využívajících IT produkty, kteří musí přijmout opatření spojená se snížením dodavatelských rizik, nebo přímě v případě, kdy se dodavatel sám stává regulovanou osobou. Příspěvek se zaměří na povinnosti, které NIS2, resp. její česká transpozice – návrh nového zákona o kybernetické bezpečnosti a DORA ukládají zákazníkům vůči IT dodavatelům a na přímé povinností dodavatelů samotných. Bude vysvětleno, na koho se vztahují pojmy významný dodavatel podle NIS2 a poskytovatel služeb IKT z řad třetích stran podle DORA a jaké jsou povinnosti regulovaných osob vůči těmto dodavatelům. Dále bude představen pojem poskytovatele řízené služby jako povinné osoby podle NIS2 a kritického poskytovatelem služeb IKT z řad třetích stran jako povinné osoby podle DORA a budou rozebrány jejich povinnosti.

Návrh nového zákona o kybernetické bezpečnosti přináší vedle implementace směrnice NIS2 i novou koncepci mechanismu prověřování bezpečnosti dodavatelského řetězce, který je vnitrostátní inciativou. Mechanismus má směřovat především k ochraně kritických částí strategicky významné infrastruktury. Navrhovaná právní úprava dopadá jak na povinné osoby mechanismu (především vybrané subjekty spadající do režimu vyšších povinností), tak na dodavatele tzv. bezpečnostně významných dodávek. Příspěvek se zaměří na praktické dopady připravované legislativy jak na povinné osoby mechanismu, tak na dodavatele IT řešení. Dále bude především vysvětleno, jak se vhodně připravit na implementaci povinností plynoucí z mechanismu v organizaci a jakým způsobem ve smlouvách ošetřit možné využití nových regulačních nástrojů v rámci mechanismu (např. vydání opatření obecné povahy ze strany NÚKIB, ve kterém stanoví podmínky nebo zakáže použití plnění konkrétního dodavatele u bezpečnostně významné

Přednáška bude zaměřena na praktické zkušenosti z analýz dopadu změn národní regulace kybernetické bezpečnosti v kontextu transpozice EU směrnice NIS2. Pozornost bude věnována kreativní formě provádění dopadových analýz a jednotlivým poznatkům získaným v průběhu jejich realizace v různých typech společností. Téma je vhodné pro zástupce budoucích regulovaných služeb podle návrhu nového kybernetického zákona a to bez rozdílu, jestli už v jejich společnostech dopadová analýza probíhá, či nikoliv.