Názory k článku Nepodceňujme bezpečnost přenosných zařízení

Slečno, nebo paní. Tolik gramatických chyb jsem v článku na Lupě už dlouho neviděl...

No, v clanku, ktery je zcela o nicem, to snad az tolik nevadi.

Korektor je stizen tezkou chripkou, a mozna proto chyby nevidi (ac na clanek zira jiz podruhe). Vypisete je, prosim?

Korektor již nějaké chyby opravil. Ráno jsem tam našel minimálně 4. Teď už jen dvě. Škoda, že jsem si neudělal ranní kopii.

A k těm zbývajícím:

Neustálý rozvoj technologií ... JSOU výhodou pro uživatele,

Do firemní sítě může být nahrán velký objem dat ... kterÁ pak mohou

Chyby jsem zvýraznil velkým písmem.

No, nemám s Lupou nic, dokonce mě tuhle její majitel dost naštval, ale ten druhý příklad není chybný. I když je v první větě předmětem "objem", klidně lze v druhé větě jako podmět použít "data, kterÁ...". První příklad je podobný. Myslím, že eLKa je šťoura nebo postižený Ústavem pro jazyk český. Ale i s profesionální deprivací lze žít.
Mimochodem, po slovek "tolik chyb" jsem u tak dlouhého článku očekával asi 30 chyb, a tak si myslím, že až jako stará škola se stále rozčiluju na hrubkami mladých, že to eLKa přehání.

Elka neni stoura, to jsem ja!!

Zabezpečení tohoto typu lze ve standardních operačních systémech provést bez jakéhokoliv zvláštního software. Tohle je jenom sprostá reklama.

Záleží na velikosti a typu organizace. A jsem zvědav, jak bez takového softu uhlídáš práci s USB klíči třeba na Ministerstvu vnitra. Myslím, že paní píše o případech, kde je to třeba. Jestli to tam nenapsala, tak to by měla, aby to fakt nebyla jen plošná reklama. Taky to možná k nám koupíme. :-)

U nas jsou pravidla primo paranoidni. HTTP funguje jen pres Citrix (cti Shitrix), jakykoliv import z medii do site musi projit pres extra oddeleni a u priloh v mejlech funguje spis presumpce malwaru. Ja v tom clanku zadny zaznak reklamy, natoz sproste, nevidim.

Sprostý výkřik... takhle by měl fungovat idealní SW na kontrolu výměnných zařízení, ať už OS nebo od komerční firmy. Ve standardních operačních systémech jde zakázat přístup k USB portům. To přece není řešení. A který OS provádí logování?

Ani jedno. Doporučuji scp (nebo rsync přes ssh). Je to bezpečné a je to doma dříve než já.

Ani jedno, ani druhé ani třetí..

rozhodně nedovolit aby data šla na jiný než firemní a odpovídající způsobem zabezpečený pc (notebook se stejnou politikou, klientem blokování, security atd..)

metod je více - firemní notebook, práce jen přes remote na firemních terminálech atd....

když už to chcete brát trošku seriozněji ..

další stupeň může být označování dokumentů tajnými "informacemi" aby se případně nechal najít viník (nemusí to udělat, ale bude za to piiiiikat:-)(y)

Já doporučuju teleworking bootovaný z CD, takže OS domácího PC je mimo. To je spolehlivě nejbezpečnější, pochopitelně skrz VPN. :-)

Kdyz se Vam podari nastoupit do prace kde si spravce precetl takovyto clanek, musi te si nejdrize zprovoznit PC, aby jste mohli pracovat.

- pomoci boot CD ziskejte lokalniho admina
- povypinejte vsechny corporate service (vzdalene instalace, monitorovani)
- promazte "Run" registry
- pripojte svuj externi 300GB hardisk
- nainstalujete si vsechny potrebne programy
- rozhodne se nelogujte do domeny
- pokud je omezeny internet propojte si vlastni wi-fi AP a pripojte s k internetu
- casto je take potreba rozsirit pamet a koupit si poradnou mys

Pak uz konecne muzete plnit sve pracovni povinosti za normalnich podminek.

každý si myslí že zrovna on je ten schopný (většinou je opak pravdou, typicky různí projektanti a stavaři kteří si myslí že je WEP na wifi spasí...)

ve velkých korporacích máte stáda a davy tupounů od kterých žádnou kreativitu nepotřebujete - takže nejjednodušší je minimalizovat spolehání že "zrovna oni budou rozumní"..

takže tenký klient, IS frontend a pošta (samozřejmě blokovaná)

a co se týče improvizace - prostě jsou firmy které to nepotřebují - jsou velcí, všechny změny a "dohledatelnost" by stála víc než kretivní zaměstnanec

To je ovsem typicky nazor zvirete kteremu rikame Prazak. Jez ma po cele praze rozeseto mnoho korytek ze kterych se muze nazrat.

Bootovani z CD se da zakazat v BIOSu ... a pokud si lidi compy ve firme nespravuji sami, tak to tak asi i bude nastavene :)

Nevim jak ted, ale do vetsiny BIOSu fungovala odjakziva univerzalni hesla, ktera neslo jen tak smaznout (nehlede na to, ze sem jeste nevidel firmu, kde by pocitace byly zapeceteny => lze resetovat BIOS).

---
Jinak clanek celkem o nicem, docela sem se zasmal u toho odstavce s administratory "...si jej administrátoři neuvědomují...". Administratori (pokud to teda nejsou "administratori") si uvedomuji lecos, ale managori, kteri o IT a bezpecnosti vedi prd ale rozhoduji o tom co se bude/nebude delat na IT nedavaji vetsinou dost $. Aktualne delam pro jednu firmu, kde je IT nejmene dulezite oddeleni(alespon co se pristupu vedeni a financovani tyce), coz je docela v rozporu s tim, ze narozdil od vsech ostatnich, kde nejaky vypadek prace neznamena vlastne zadny problem, tak v pripade vypadku IT = zastaveni cele firmy.

Jenze IT neni videt (narozdil od drahych aut pro obchodni zastupce, drahych vanocnich pronajmu divadel, rautu ...) tak se dohadujem o kazdou tisicovku (doslova).

Drtiva vetsina chyb, ktere media tak snadno hazou na neschopne administratory jde totiz na vrub neschopnym nanagorum. Zadarmo jak znamo ani kure nehrabe.

BTW: Pristup "neverim ani vlastni rodine", ktery autorka propaguje vede spis k tomu ze zamestnanci v takovem podnebi delaji jen to co opravdu musi a produktivita je miziva.

Tohle dobre znam. Stejna situace (zavislost firmy na IT) a stejny pristup.
Nejvic me vzdycky dostane otazka "Kolik nam to vydela nebo aspon kolik nam to usetri?"
Existuje na takovou otazku odpoved kdyz se jedna napr. prave o zabezpeceni?

Odpovedet se na to da, existujou primo fimy, ktery se zabyvaji nasledky vypadku. Pokud mam infomace, tak firmy, kde dojde k totalnimu vypadku (= vyhori treba serverovna a neni zadna alternativa pouzitelna v radu hodin) bud krachnou hned nebo do roka po vypadku (99.7%).

A to ze neco umre neni jen pravdepodobnost, to je jistota. Je jen otazka kdy.

Ostatne, stejny problem ma spousta firem s prostym zalohovani dat, proc by se melo nakupovat nejake zalohovaci vybaveni, vzdyt mi to jednou tejdne vypalej na DVD.

Osobne zalohuju nektere systemy kazdou hodinu a i tak vim, ze v pripade obnovy te zalohy to bude docela problem (stovky zmen, ktere uz nikdo nikdy nedohleda). Pouziti den stare zalohy by uz byl pruser znamenajici nejspis nekolikatydeni nasledky a tyden stara zaloha = zadna zaloha.

Prikladem budiz firma, kde jednodeni vypadek muze znamenat +- 5M skody, ale nakup zarizeni v cene +- 1M, ktery by zajistil ze vypadek bude trvat maximalne desitky minut = "ste se zbaznili". Tudiz aktualni situace je takova, ze v pripade vypadku kritickych casti systemu = klidne 2 a vice tydnu bez systemu, jelikoz neni zaplacen ani odpovidajici support na ten HW.

Dobrý návod, ale druhý den už budete muset pracovat v jiné firmě. :-)

kamaráde, u nás bys dlouho nevydržel:-) jelikož sem za to placený nechci aby to bylo hozeno na mě - takže bys asi brzo letěl, protože jako první podepíšes s pracovní smlouvou že se na svůj počítač ani křivě nepodíváš:-)

Neda mi to, musim se zeptat - co v danem komentari znamena "pracovat"? Docela by mne to zajimalo...

Diky

Jirka Vejrazka

Tak asi nejsem normalni cech a mi kolegove taky ne :(

No u mně bys neuspěl :):):) Compy jsou bez disket a bez CD mechanik. USB zablokováno case zapečetěný.

Kdo chce něco vypálit, pošle to do určeného adresáře compu který je umístěn spolu s velkokapacitní tiskárnou a skenerem ve společných prostorách. Ten samozřejmě nemá klávesnici ani monitor a jednoduchá službička po obdržení dat do příslušného adresáře jenom vyplázne jazýček referent si tam šoupne blank CD a počká, až mu ho kompík vypálený zase vydá. POtřebuje - li data číst (bootnout se z toho samo nedá), tak si do téhož kompu do druhé čtecí mechaniky šoupne svoje CD službička vše oskenuje antivírem, případně ještě prolusturuje co že to tam máme a pak mu to zkopíruje do sdíleného adresáře. Celé je to hezky zálohované (pamatuje se vždycky posledních 80GB) samo by nebyl problém tam šoupnout i většího pamatováka. Dnes to sice obzvlášť velká úspora není, ale pochází to z doby, kdy CD/RW mechanika koštovala cca 4-5 kKč tak úspora minimálně zaplatila ten comp navíc, kterej zároveň zajišťoval pro všechny skenování jednoduchým a levným skenerem a zajišťoval síťový tisk.

Musím říct, že uživatelé to mají docela rádi a i ti, co přišli odjinud a byli zvyklí si na kompu dělat co chtěli, zase ocení, že pro pracovní účely funguje jejich počítač opravdu nepřetržitě a když zjistí, že za posledních 7 let nebyl v síti ani jeden virus a že počítače není potřeba každé dva měsíce nosit do IT přeinstalovat kvůlivá malware a podobné havěti jsou nadšeni a diví se že to takhle může fungovat.

Pochopitelně, že bez plné důvěry a podpory majitele by to asi nešlo.

pripada mne, ze vsichni spravci porad ziji v dobe pres 10 lety kdy bylo treba Win95 pravidelne preinstalovavat. Od Win2000 uz OS vydrzi docela dost a netreba uzivatelum zakazovat zmenu obrazku na plose :-) Problem viru "resi" realtime antivirus s lokalnim firewall.

PS: jasne, ze si vasi uzivatele nestezuji, kdyz nemuzou nic delat.

PPS: tak staci vytahnout pocitac, ze site a pripojit externi HDD pres sitove rozhrani. A soubory nakopirovat pres FTP.
Ciste tenky klient to by mohlo fungovat, ale pochybuji ze neco tak financne narocneho nekde provozuji.

vim o 3 firmach (v 1 jsem pracoval) kde "čistě" (záleží co tím myslíte, ja jen boot po síti ) funguje a pochvalují si jak je to cenově nastejno a je to dost "blbuvzdorné kupodivu"....

nejsou jen viry - jsou tu i škodiči, ať umyslní nebo neumyslní... takže ve spoustě firem máte mandatorní profily- přepisování nastavení atd... (docela to řeší i pěkně roaming mezi pobočkami, po takove 4-10mbit WANce se to už celkem pěkně procpává...)
to zjednodušuje i telefonní helpdesk např. - všichni mají stejnou plochu a ikonky se jim stejně jmenují:-) např....

s tím souvisí i takové věci jako tiskárny na pin(čip karty) kdy je obr. společná a nesyslí si každý v kanclíku tisk bookletů atd..

Narozdil od vetsiny predchozich komentatoru bych chtel autorce podekovat za rozumny clanek.

Uzivatel chovajici se podle navodu "xdrm" by v mnoha vetsich firmach o sve pracne upravene PC prisel pravdepodobne druhy nebo treti den, spolu s pracovni smlouvou :(

Je mi lito, ale takova je realita. Uniky dat jsou stale vaznejsi a endpoint security je vec, na kterou je treba myslet.

Jirka Vejrazka

Ja ten navod teda pochopil jako znacnou nadsazku ;), ale osobne spis znam pristup "a proc panu rediteli/xy/... nejde nainstalovat ...". Proc by se pak mel admin s nejakou bezpecnosti zabyvat ? Ve firmach, kde jsem mel tu cest, meli az na vyjimky uzivatele admin pristup ke svym stanicim, neomezeny pristup k veskerym datum, .... protoze pro pana majitele/reditele/managora/... bylo dulezitejsi, ze si franta muze nainstalovat soft XY, kterej urcite nutne potrebuje a rozhodne o tom prece vi vic, nez nejakej blbej ITak.

A samozrejme, jakmile k nejakemu pruseru dojde, vyhodime ITaka, ten za to prece muze. Proto od jiste doby nepracuju jako zamestnanec. Bud nekdo ma zajem a pak si zaplati, nebo nema zajem("no dyk prece pepa rikal ze staci tohle za ty 2 tisice, proc by sme meli kupovat tamto za 5") a pak ho poslu k certu.

A pravda, vnitrni zabezpeceni siti i na ceske pomery velkych firem (obraty v miliardach Kc) je tristni, casto staci danou firmu navstivit s notebookem se spravnymi tools (treba jako obchodni zastupce nabizejici nejakou pitomost) a nemusite ani nic hackovat, jednoduse si ze site stahnete desitky/stovky GB dat.
A pokud chcete potesit mistni ITky, jeste tam nechte nejakeho cerva, ktery vesele napadne nezaplatovane servery a stanice, protoze ITci musej resit dulezitejsi veci nez bezpecnost site (jako treba instalovat hry na domaci pocitac financniho reditele a pod.).

Ja bych to taky rad chapal jako nadsazku, ale uz jsem se bohuzel potkal s prilis mnoha lidmi, kteri se chovali podobne :( A jeste potkavam, ostatne v ramci svoji prace se tak musim chovat taky, jsem za to placeny :)

Co se tyka instalovani her a programu pro pana reditele/majitele, tak souhlasim s tim ze to neni lehke. V takovem pripade muze existovat pouze jedno ze dvou reseni:
- sepsani (klidne kratke) firemni bezpecnostni politiky, ktera definuje co se muze a co ne. Tu musi podepsat reditel a vedeni firmy (ne sef IT!). Bez takoveho dokumentu je sebelepsi admin (i manazar) prakticky bezmocny
- pokud se takovy papir nepovede v rozumnem casovem horizontu sepsat a prosadit, rozumny admin / manazer se zacne rozhlizet jinde, protoze jinak by bojoval s vetrnymi mlyny :(

To vsechno samozrejme plati od urcite velikosti firmy, chapu ze firma s deseti zamestnanci se musi chovat trochu jinak a ma i jine moznosti.

Mám-li být upřímný, tak toto je první článek, který se mi od dotyčné autorky líbil aspoň trochu. Odhlédnu-li od její neschopnosti komunikovat rodným jazykem (je vidět, že čte víc anglicky, než česky), tak musím přiznat, že uhodila hřebíček na hlavičku.
Kdosi tu psal, že je nesmysl mít v práci bandu robotů, kteří na cestách nebudou mít šanci cokoliv udělat. Ale co chcete aby zaměstnanci dělali? Pracovali řádně, nebo aby hackovali svůj počítač? K řádné práci nepotřebujete mít heslo lokálního administrátora - nic instalovat nebudete, budete psát dokumenty a nebo dělat tabulky. Připojení na internet dostanete leda přes firewall na počítači, připojení do sítě zaměstnavatele dostanete přes VPNku, Zapisovačky a čtečky na karty, CD a DVD? Na co? USB? Jen na myš. Nic víc. Nejde tu mnohdy o data, která zavlečete do firmy, ale o data, která z vytáhnete z ní. Já pracuji v automobilovém průmyslu (ne ve Škodovce) a zde jsou takováto opatření běžná a vyžadována.
Pánové (a dámy), ta paní sice obsah toho článku vzala ze zdroje, který jej publikoval už asi před šesti měsíci, ale u Gartnerů moc dobře vědí, co se děje.

Jen me napadlo jestli by slo nasledujici?:
Pripojim externi USB disk, zapnu pocitac a nabootuju z diskety anebo CD - je velmi pravdepodobne, ze jedno z toho pujde. Na dane diskete nebo CD mit jednoduchy OS + ovladace na externi USB disk + nastroj na provedeni bitove kopie disku. Po nabootovani provest z OS kopii lokalniho disku na externi USB disk?

není velmi pravděpodobné že toto půjde v pořádné firmě...
bez nějakého extra hackovaní bedny a resetování biosu..

a tam kde mají tenké klienty tam.... (a na dost místech je mají, mimo jiné i z těchto důvodů...)

jasne toto je nejlepsi zpusob zalohovani domaciho pocitace a da se pouzit i tak jak popisujete.

Napr: http://www.czechcomputer.cz/product.jsp?artno=35730
vcetne zalohovaciho software.