Názory k článku Regulace podle NIS2: Řízení rizik počítá s analýzou logů, pomohou nástroje SIEM

SIEM je abstraktní pojem, každý dělá něco jiného. Žádný SIEM, který jsme implementovali přímo neřeší kontrolu na úniky hesel, může to být pro něj ale jeden ze vstupů jako jakýkoliv jiný event.

Ani těch 18 měsíců není nepřekonatelný parametr, pořád tady můžeš udělat prohlášení o aplikovatelnosti, zohlednit to v systému řízení rizik a řádně odůvodnit, pak si to můžeš nastavit podle svých obhajitelných představ, tak to i děláme a dělat budeme. Ne všechny systémy, které navrhuji spadají a budou spadat pod NÚKIB.

Kdybys pozorně četl celý ten NIST, viděl bys tam poměrně rozsáhl diskuzi a odůvodně, není to jen o tom, že přestaneš expirovat hesla, ale že vyřešíš ty problémy, které vedly k nastavení platnosti hesla. Pořád to je doporučení a musíš to číst jako celek, ne si z toho vyzobávat třešničky.

Jsou tady i důvody, které NIST nepokrývá a to je třeba problém přehešování dlouho nepoužitých hesel a tak se často volí kompromis v podobě rozumného dlouhé období.

Každopádně i těch 18 měsíců dalo dost práce s argumentací a vyjednávání, bohužel tohle je spíše politická než technická otázka. Já raději energii věnuji minimalizaci systémů, kam heslo musím zadávat (čti SSO), v tomhle se udělal třeba v bankovním prostředí za poslední roky neskutečný pokrok. A také se soustředí na prodloužení délky sezení, aby každý zaměstnanec nemusel svoje hlavní heslo zadávat několikrát denně před očima spousty lidí a kamer, pak ztrácí obestřetnost, nahrazujeme to piny nebo jen 2FA pro obnovení sezení jednou za pár dní. A v tomhle jsem rád, že do toho nezačal NÚKIB víc vrtat, to má potenciál daleko více zpříjemnit prožitek pro uživatele a zvýšit bezpečnost než se hádat o expiraci hesla.

Mimochodem, u datovek to můžeš vypnout a pak ti nechají heslo neomezeně dlouho.

To s temi systemy prave neni pravdive - NUKIB si to v ramci zjednodusovani sve prace pri transpozici NIS2 nastavil tak, ze kdyz spadne organizaci byt jen jedine aktivum do rezimu vyssich povinnosti, pak do toho razem spadnou systemy vsechny. Protoze je pro urad systemem vyssi bere jednodussi aplikovat kriteria na celou organizaci a vsechny jeji systemy a nikoliv jen na konkretni skutecne kriticky system takto identifikovany (aneb odpadne rozlisovani toho, co kriticke je a co ne). Proste klasika - mit to jednoduche pro urad, zato z toho udelat pakarnu pro povinnou osobu.

U datovek to sice vypnout muzu, ale pak ve smyslu tech politik z NUKIBu uz nebudu compliant. Uz vidim, jak prijde kontrola a v ramci auditu si necha zrovna tohle policko ukazat... :D Presne veci, co se kontroluji (a sankcionuji) snadno. Zato do hloubky proverit treba uz jen to, cimze se ty hesla teda realne hashuji da uz podstatne vic prace. A zkouset bruteforce na unikle Argon2, no to vam preju hodne stesti a pevne nervy... :D Stejne tak do hloubky proverit, jestli v te kriticke infrastrukture jsou skutecne aplikovane vsechny nutne bezpecnostni zaplaty, to opet da vic prace. Ne, skonci to u te kontroly papiru a veci, co jsou na prvni pohled lehce videt ;-) Takova ta bezpecnost... jen naoko. Na papire. A ostatne i stav nekterych verejne dostupnych systemu kyberuradu dava tusit, jak moc tam bezpecnost zvladaji - kovarova kobyla chodi bosa.

Dělám vyloženě i zahraniční projekty přímo pro zahraniční klienty, tam NÚKIB nešahá, tam je zase jen jiný "NÚKIB" a vlastně nejsou moc rozdílní.

Ano, s tím, že tam spadne vše nesouhlasím a to bude velká třecí plocha, protože nikdo zatím nevyčíslil náklady, jakmile je vyčíslí aspoň úřady, budou to asi na vládě stejně měnit. Klienti se na to ale už připravují, přesouvají aktiva do dceřiných společností a zavádějí smluvní vztah dodavatel<>od­běratel.

S tím souhlasím, to bude šílené papírování. Také obecně se nám ty bezpečnostní týmy rozdělily na dva, jeden jsou papírovači bez znalosti hard skills, zato se znalostí procesů a legislativy. Druhý tým jsou zase hard skilled kluci/holky, kteří reálně problémy řeší. Jinak to ani nepůjde. Já se řadím do toho druhého, ale projektově musím s prvním komunikovat.

V případě kontroly asi nechceš ověřovat, jestli zrovna tenhle sestavený balíček má aplikovanou konkrétní záplatu, ale chceš vidět graf jak rychle se která zranitelnost vyřešila a kolik jich ještě svítí, jestli se to vůbec sleduje. Běžně zabere 1 - 2 FTE třeba jen probíráním se Qualys skenů, rozebíráním false positive, komentováním, nastavením pravidel. Tohle malé úřady a firmy ubije.

NÚKIB (a ani nikdo obecně) ti nebude dělat kontrolu, jestli jsi tenhle kokrétní server restartovat po aktualizaci nebo jen aktualizoval, ale bude se kontrolovat, jestli se dělá pravidelně aktualizace, jestli se pravidelně sledují zranitelnosti, jestli se systémy reskenují, jestli se objevují již jednou vyřešené věci, jestli je někdo, kdo to validuje, jestli existuje školení a předávání znalostí, jestli funguje dobře směnný provoz, jestli mají všichni potřebné kontakty atd. atd. Pro stát to je jednodušší (přístup ala hygiena s týmem v terénu a vlastní laboratoří asi čekat nemůžeme, tady bude přístup ala stavební úřad, pouze z kanceláře).

No papir snese vsechno :-) A skonci to ala RSD, ktere se take pysnilo certifikaci dle ISO 27001, ze? :-) A najednou error, data fuc... :-)

Tak ISO 27001 je o implementaci řízení rizik, ISMS, nezaručuje, že systém nemám zranitelnost nebo není špatně navržený. I T-mobile má ISO 27001 a stejně si nechá jedno diskové pole a příjde o data při jeho havárii, to ale není v rozporu s ISO 27001. To je dost nepochopení co ta certifikace zaručuje.

Reálná bezpečnost se zajišťuje a ověřuje jinak. To, co se stalo ŘSD není vlastně nic, co by nemohlo postihnout ostatní, zákony, normy a legislativa tenhle stav neřeší, ne dostatečně. Však i sám si opakovaně stěžuješ, že bys čekal, že právě NÚKIB bude řešit tu reálnou bezpečnost, bude sdílet informace a pomáhat s mitigací probíhajících útoků.

NUKIB casto verejnost chlacholi tim, ze pokud mate ISO 27001, tak organizace naplni velkou cast organizacnich a technickych opatreni ze smernice NIS2. A samozrejme co rikate plati i v pripade samotne NIS2, resp. jeji transpozice do naseho pravniho radu :-) A zvyseni bezpecnosti je argument, co se zde uziva.

A co se sdileni informaci tyce, to nefunguje - NUKIB se ochotne vymluvi na to, ze mimo svou konstituenci sdilet informace nemusi, takze to ani nedela. A treba zrovna prubeh utoku NoName057(16) naplno ukazal, ze informace napomahajici mitigaci utoku proste neprichazi. Kazdej se s tim musel poprat sam... vysledkem bylo, ze padaly banky a weby dalsich i statnich instituci jako svestky ;-) Opet... moc prace pro urad.

Obcas neco vydaji - ale ty upozorneni jsou jak mesic stary noviny - a nekdo si dal praci a peclive to zanalyzoval. A tim, ze se okruh povinnych osob dost zvysi nejde ocekavat, ze by se to zlepsilo, spis to bude horsi a vymluvi se na nedostatek lidi. Protoze urad se sam primarne utopi v kontrole toho, ze na papire splnujete vse co mate, to na uradech zvladaji skvele :-) Ale srovnejte si takovy infoservis americke CISA s tim, jak "informuje" nas kyberurad...

Ale tak přece ISO27001 a ani NIS2 ti nezaručí, že máš systém bezpečný, ale jen to, že se k němu bezpečně a odpovědně chováš, tj. že v rámci BAU na to nekašleš, ale už to nic neříká o kvalitě nebo úplnosti. To je dobré pro manažery a politiky, že udělali nutný krok k bezpečnosti, nikoliv ale postačující krok.

Sjednotí se aspoň způsob fungování jednotlivých firem a týmů.

Já to beru jako první z kroků, které mají prostředí narovnat. Když se podívám na jiné obory, jak to funguje, kromě spousty předpisů, norem tady máš státní zkušební ústavy, které ověřují soulad konkrétních výrobků, strojů, staveb, produktů. Tam ty zkoušky jsou někdy dost zevrubné (např. krásná hydraulická mučírna pro vlaky ve VUZ Velim).

Máme něco takového v IT? Existuje Státní zkušenobní ústav bezpečnosti IT systému, s. p.? No, neexistuje a zatím se to ani legislativně neřeší. Máme tady jen obecné normy v prvních, druhých verzích a asi se čeká, co s tím obor udělá sám.

NIS2 může reálně zvednout bezpečnost u subjektů, které doteď žádné takové procesy neměly a dávaly tomu volné ruce (nebudu tady raději konkrétně jmenovat naší největší soukromou televizní stanici), ale ti co to už teď berou vážně jsou prakticky v implementaci mnohem dál.

Expirace hesla po 18 měsících beru za minoritu, je škoda, že tam ten údaj vůbec je, ale netrápí mě tolik jako jiné body. Není závazný, když si změnu obhájíš a pokud víš co děláš, změnu si obhájíš, však i teď ty doporučené expirace neplníme všude.

Ano, mame treba taky inspektorat prace... a kazdy, kdo nekdy nekde pracoval vi, jak to v praxi s BOZP chodi, ze? :-) To se take bavime o bezpecnosti, primo te fyzicke - pri praci. Myslenka NIS2 spatna neni, spatna je narodni transpozice - ktera z toho ten system ala BOZP proste udela. A jak uz to byva, cesta do pekel byva dlazdena dobrym umyslem ;-)

Navic se bavime o regulaci, co se dotkne jen nekolika vybranych subjektu. Rozhodne nejde o plosne reseni bezpecnosti. A sam jste tu popsal, jak lavirujete kolem toho, abyste se tem povinnostem nekde vyhnuli ;-) Z druhe strany ale nektere subjekty pod tu regulaci spadaji uz dnes - a rozhodne nelze rict, ze by si tam co do kyberneticke bezpecnosti vzdy pocinali skvele, zvlast pokud se bavime o IT ve statni sprave...

A pokud NUKIB selhava u mensiho mnozstvi regulovanych subjektu, vazne verite tomu, ze kdyz tech subjektu z moci uredni urcite vic, tak to zacne magicky fungovat lip? :-)