Názory k článku Adam Kučínský (NÚKIB): Nečekám, že kybernetický zákon půjde na vládu bez rozporů

Oni ale o nejake realne bezpecnosti nevedi zhola nic, takze se neni cemu divit, ze vyrabeji co vyrabeji.

Jeslti mate pocit ze to ma vest k nejake bezpecnosti, tak to je naprosty omyl. Vysledkem toho bude hora papiru. A to je vse. Oni nebudou pripadne kontrolovat, jestli ma nebo nema firma neco zabezpeceno, ale jestli ma tu horu papiru. A pokuty se budou udelova na zaklade libovule za to, ze v te hore papiru vam chybi 1/2 vety, o ktere budou tvrdit ze tam byt musi.

Ostatne vidim to denne kolem i v jinych oborech, jakmile se do toho hrabe stat, je z toho vzdy jen ta hora naprosto nesmyslnych papiru, a technicka realita je uplne jinde. Napriklad bezpecnost prace, to je presne totez. Firmy jen generuji ty papiry, ve snaze pripadny prusvih hodit na toho nejposlednejsiho delnika.

Mě ty argumenty stejně přijdou zcela nesmyslné a při analýze centrálního řízení za komunismu téměř totožné s ním (poznámka - fakt to nefungovalo).

Pokud někdo bude mít špatně zabezpečenou službu obvykle zkrachuje. Nikdo soudnej si od něj nic neobjedná. Netřeba žádná regulace, protože se to reguluje samo. Chápu, že stát klidně ano, ten nakupuje běžně odpad - soukromníci těžko.

Nutnost zabezpečení lokálního ISP mě příjde celkem mylná - internet byl vždy nebezpečný.

Těch extrémně komplexních bezpečnostních chyb sice přibývá, ale běžně o nich ani nečtu (začíná to být hodně specializované - hluboko ukryté přilinkované knihovny atd.). Ono i backporty hotfixů, nejsou zcela nepřesností prosté.

Standardy NIST sám NÚKIB příliš nečte, neb jeho opatření s tím moc nerespondují.

Jediná mantra která defakto vyleze ven je "dejte si tam pět firewallů, 2 antiviry a heslo pravidelně přehazujte - proboha záplatujte ten exchange :-)".
Viděl někdy někdo z nich nějaký větší systém??? Než nějakou tupou infrastrukturu s fileserverem a mailserverem, která už dneska nikoho nezajímá?

Jako nerad to říkám, ale antivir ani firewall není záruka ničeho. Často je jejich užití zcela nesmyslné. Stejně tak "podpora" papíráků je zcela k ničemu. Firmám to naopak ubere kapacitu na zabezpečení od někoho kdo ví co dělá, na úkor papíráka - co ví jak to napsat. Specialista ty tabulky fakt vyplňovat nebude, na to se musí najmout sekretářka (holt jí budeme říkat bezpečnostní analytik).

Argument s neprehlednosti "zmenoveho" zakona kvuli paragrafum "aa" je vtipny :-) Ne, pro bezneho cloveka je prehlednejsi, kdyz se muze podivat, co se zmenilo oproti drivejsimu stavu a co je jinak a jak je to ocislovane je v prakticke rovine jedno. V momente, kdy se jednim paragrafem jen zrusi stary zakon a zcela se nahrani novym textem se jenom usetri prace na strane uradu - nemusi tam resit zadne rozdilove tabulky, vyznacovani zmen v podkladovych materialech atd. Odsere si to povinna osoba na konci (tedy radovy obcan) - ktera si to musi cele prostudovata a porovnat od nuly. A nejake chlacholeni z uradu, ze se toho vlastne moc nezmeni smeroplatny opravdu neni.

A jinak pristup stylem "my nejlepe vime, co je pro kyberbezpecnost dobre" je zabavny :-) Akorat by se mel nekdo zeptat, co za tech devet let zvladli u subjektu, ktere reguluji uz dnes. Zatim nezvladli ani takovou banalitu, jako je spravne nasazeni DNSSEC ve statni sprave. A podobne low-level problemy budou pribyvat s tim, jak se stat bude posouvat s nasazovanim IPv6.

A dobre ze zminil zeleznici, i zavadeni moderniho ETCS je zatim jeden velky prusvih. Ano, vlaky nam to proti sobe sice nastesti neposila (i kdyz tim uz jsme si take prosli), ale to jak to (ne)funguje o vnitrni kvalite systemu vypovida hodne. A spousta bezpecnostnich prvku je pritom postavena jen na obscurity, tedy na neverejnosti a utajovani toho jak je neco doopravdy udelane (ruzne skryte "bastly") - jenze pak to muze dopadat jako v Polsku - a samozrejme podobne slabiny se najdou i na nasich zeleznicich (nase TRS moc zabezpecene take neni a rozhodne jen tak z nasich koleji nezmizi). Obdobne jako zabezpeceni u TETRA vysilacek, co pouzivaji i nase bezpecnosti slozky a co zas tak bezpecne vlastne nejsou. I tam je ta jejich "bezpecnost" postavena na obscurity, primo pod zastitou ETSI. Copak s tim asi na NUKIBu delaji... ;-)