Analýza stavu kybernetické bezpečnosti

1. Základní analýza stavu kybernetické bezpečnosti
   Základní služba sloužící ke zjištění skutečného stavu informační a kybernetické bezpečnost z pohledu ISMS s cílem určit kvalitu procesů, bezpečnostních nástrojů a řídící dokumentace.
   
   Služba vychází z kritérií dle metodiky CIS v8. Služba probíhá formou jednoduchého interview s předpokladem vyplnění jednoduchého dotazníku, který pokrývá jednotlivé oblasti.
2. GAP analýza
   Jedná se o analýzu současného stavu kybernetické bezpečnosti. Šetření probíhá formou analýzy interních dokumentů (směrnic), nástrojů, procesů, analýzou a zpracováním údajů ze zaslaných dotazníků a řízenými online rozhovory s pracovníky společnosti a IT specialisty.
   
   GAP analýza se provádí na základě standardů CIS v8 a na základě standardů ISO 27001, NIST a požadavků ZoKB, případně NIS 2.0, GDPR nebo TISAX. Výstupem je závěrečná zpráva, která předkládá náhled ve čtyřech perspektivách, jejichž popis reprezentuje hlavní cíle analýzy.
3. Analýza rizik
   Jedná se o analýzu bezpečnosti informačních aktiv současného stavu kybernetické bezpečnosti. Šetření probíhá formou analýzy interních dokumentů (směrnic), nástrojů, procesů, analýzou a zpracováním údajů ze zaslaných dotazníků a řízenými osobními nebo online rozhovory s pracovníky společnosti a IT specialisty.
   
   Výstupem je komplexní správa o analýze rizik včetně BIA (Business Impact Analyze) a zmapování míry naplnění požadavků ISO/IEC 27001 s přihlédnutím k ISO/IEC 27002 a 27005 formou SOA, tzn. analýzou aplikovatelnosti požadavků v prostředí subjektu anebo pro prostředí dodavatelského řetězce.
4. Skenování zranitelností
   Služba CRA Skenování zranitelností zahrnuje externí skenování známých zranitelností, tzn. skenování aktiv účastníka, která jsou dostupná z internetu.
   
   Skenovací scénáře služby obsahují výběr aktiv, typy skenů, interval skenování a další informace důležité pro jejich provádění. Rozsah skenování je předem definován při přípravě skenovacích scénářů. Seznam testovaných známých zranitelností je pravidelně aktualizován. Pro skenování zranitelností je používáme nástroj Nessus, který je v našem vlastnictví.
5. Penetrační testy
   1. Perimetr
      Jedná se o vnější bezpečnostní test perimetru, který představuje komplexní simulaci napadení síťových komponent útočníkem z vnějšího prostředí. Cílem je zjistit, jak snadno identifikovatelný cíl testovaná infrastruktura síťových komponent představuje, a jaké informace, které mohou být následně zneužity pro získání neautorizovaného přístupu, lze získat z vnějšku.
   2. Wi-Fi
      Jedná se o vnitřní bezpečnostní test Wi-fi technologií, který představuje komplexní simulaci jejich napadení útočníkem z vnějšího prostředí. Cílem je zjistit, jak snadno identifikovatelný cíl testovaná infrastruktura síťových komponent představuje, a jaké informace, které mohou být následně zneužity pro získání neautorizovaného přístupu, lze získat z vnějšku.
   3. Webové aplikace a portály
      Jedná se o vnější nebo vnitřní bezpečnostní test webové aplikace. Představuje komplexní simulaci napadení útočníkem z vnějšího nebo z vnitřního prostředí. Cílem je zjistit, jak snadno identifikovatelný cíl testovaná infrastruktura síťových komponent představuje, a jaké informace, které mohou být následně zneužity pro získání neautorizovaného přístupu, lze získat z vnějšku.
6. Pokročilá analýza provozu se zaměřením na malware
   Prostřednictvím umělé inteligence a strojového učení analýza identifikuje kybernetické hrozby a útoky, které ostatní technologie nezaznamenají. Cílem analýzy je prostřednictvím auditu síťového provozu ověřit stav IT infrastruktury organizace a doporučit opatření pro zvýšení bezpečnosti.
   
   Součástí je detekce neznámých a cílených útoků a hrozeb, detekce známých útoků a hrozeb, ověření souladu s bezpečnostními zásadami a politikami, test výkonnosti sítě a aplikací, vizualizace sítě a forenzní analýza.

1. Evropská směrnice, která se zaměřuje na zvýšení bezpečnosti sítí a informačních systémů v EU.
2. Týká se poskytovatelů kritické infrastruktury (např. energetické, dopravní nebo finanční služby) a poskytovatelů digitálních služeb (např. cloudové služby nebo e-commerce platformy) nebo orgánů státní správy a samosprávy, které spravují data o občanech.
3. Ukládá povinnost firmám identifikovat a hodnotit rizika komunikačních systémů, datových sítí a informačních systémů. Musí implementovat odpovídající opatření ke snížení rizik.
4. Ukládá povinnost firmám zajistit, aby jejich sítě a informační systémy byly schopny rychle reagovat a obnovit se po útoku nebo jiné kybernetické hrozbě.
5. Vyžaduje, aby firmy informovaly o všech kybernetických incidentech, které by mohly ohrozit funkčnost jejich sítí nebo informačních systémů. Musí umět incident zdokumentovat a vyhodnotit.
6. Požaduje, aby státy členské EU zřídily národní entitu (například NÚKIB), která bude firmy a organizace kontrolovat a spolupracovat na minimalizaci rizik.
7. Vyžaduje, aby státy členské EU aktivně kontrolovaly implementaci a dodržování směrnice NIS 2.
8. Zavádí povinnosti pro subjekty týkající se incident managementu, mezi které patří reporting, implementace nástrojů pro incident management a business continuity management.
9. Vyžaduje, aby subjekty prováděly bezpečnostní audit a prováděly kontinuální monitoring stavu svého informačního systému a komunikačních technologií.
10. Ukládá povinnosti týkající se informační bezpečnosti a definuje postihy za jejich nedodržování (10 000 000 Kč, nebo 2 % z celkového celosvětového ročního obratu společnosti).

Přehledný souhrn o směrnici NIS2 ke stažení zde.