Tag Archives: bezpieczeństwo

[PL] Cyberbezpieczeństwo RP. Czy naprawdę nic się nie zmieniło?

Administracja państwowa nie dysponuje wiedzą na temat skali i rodzaju incydentów występujących w cyberprzestrzeni, a ustanowiony w Prawie telekomunikacyjnym system zbierania i rejestrowania takich informacji okazał się być całkowicie nieskuteczny.

Dziś rano Najwyższa Izba Kontroli podała do Polskiej Agencji Prasowej wiadomość o najnowszym raporcie dotyczącym “Stanu Bezpieczeństwa Cybernetycznego Rzeczpospolitej Polskiej”. Czy raport ten może zadziwić w jakikolwiek sposób? No niestety nie. Szczególnie, że informacja pracowa opublikowana dzisiaj, prawie nie różni się od informacji opublikowanej ponad rok temu, która to była przyczynkiem do powstania raportu. 

© Fotolia.com

Cytat z informacji opublikowanej 30 czerwca 2015 roku (5:40 rano):

Bezpieczeństwo w cyberprzestrzeni nie jest w Polsce właściwie chronione. Nie podjęto dotąd spójnych i systemowych działań w zakresie monitorowania i przeciwdziałania zagrożeniom występującym w cyberprzestrzeni. Aktywność państwa paraliżował przede wszystkim brak jednego ośrodka decyzyjnego, koordynującego działania innych instytucji publicznych oraz bierne oczekiwanie na rozwiązania, które w tym obszarze ma zaproponować Unia Europejska.

Cytat z informacji opublikowanej 18 czerwca 2014 roku (8:00 rano):

Bezpieczeństwo Polski w cyberprzestrzeni jest obecnie na dramatycznie niskim poziomie – uważają eksperci zgromadzeni w NIK podczas debaty poświęconej temu zagadnieniu. Państwo musi jak najszybciej zająć się regulowaniem tego obszaru, by skutecznie zapobiegać oszustwom i szpiegostwu w sieci. Czy jest do tego przygotowane? NIK zamierza to sprawdzić.

Zacznijmy jednak od początku. Rok temu Najwyzasza Izba Kontroli stwierdziła:

…Dlatego NIK chce sprawdzić, czy istnieje spójny system działania organów administracji państwowej dotyczący monitorowania i przeciwdziałania zagrożeniom w cyberprzestrzeni. – Warto odpowiedzieć sobie dziś na pytanie: Czy budujemy w Polsce sensowny system i czy mamy na niego zabezpieczone środki? – mówi Marek Bieńkowski, dyr. Departamentu Porządku i Bezpieczeństwa Wewnętrznego NIK.

Kontrolerzy wejdą m.in. do ministerstw: Administracji i Cyfryzacji, Obrony Narodowej i Spraw Wewnętrznych. Pojawią się także w Agencji Bezpieczeństwa Wewnętrznego, Urzędzie Komunikacji Elektronicznej, Rządowym Centrum Bezpieczeństwa i Komendzie Głównej Policji. NIK zbada aktywność tych instytucji od 2008 r., ale najmocniej przyjrzy się ostatnim dwóm latom.

Funkcjonariusze NIK odwiedzili więc wspomniane instytucje, popytali, popatrzyli, przetestowali procedury i przeprowadzili trochę wywiadów. Efektem tych prac są dane zawarte w raporcie:

…Kluczowym czynnikiem paraliżującym aktywność państwa w tym zakresie był brak jednego ośrodka decyzyjnego, koordynującego działania innych instytucji publicznych. Nie zidentyfikowano podstawowych zagrożeń dla krajowej infrastruktury teleinformatycznej oraz nie wypracowano narodowej strategii ochrony cyberprzestrzeni, stanowiącej podstawę dla działań podnoszących bezpieczeństwo teleinformatyczne. Nie określono też struktury i ram prawnych krajowego systemu ochrony cyberprzestrzeni, nie zdefiniowano obowiązków i uprawnień jego uczestników oraz nie przydzielono zasobów niezbędnych do skutecznej realizacji zadań. A co najważniejsze nie przygotowano procedur reagowania w sytuacjach kryzysowych, związanych z cyberprzestrzenią.

W ocenie NIK, istotnym czynnikiem wpływającym negatywnie na realizację zadań w obszarze bezpieczeństwa w cyberprzestrzeni było niewystarczające zaangażowanie kierownictwa administracji rządowej, w tym Prezesa Rady Ministrów, w celu rozstrzygania kwestii spornych między poszczególnymi urzędami oraz zapewnienia współdziałania organów i instytucji związanych z bezpieczeństwem teleinformatycznym państwa…

…W czerwcu 2013 r. Rada Ministrów przyjęła „Politykę ochrony cyberprzestrzeni Rzeczypospolitej Polskiej” – dokument będący wynikiem źle rozumianego kompromisu, nieprecyzyjny i obarczony licznymi błędami merytorycznymi. Nieliczne zadania wynikające bezpośrednio z „Polityki” nie były realizowane przez większość skontrolowanych przez NIK podmiotów, co pozwala stwierdzić, że praktyczne zastosowanie strategii w celu poprawy bezpieczeństwa teleinformatycznego państwa było raczej symboliczne…

Ale na całe szczęście jest trochę pozytywów:

Jako działania pozytywne w obszarze ochrony cyberprzestrzeni można wskazać w szczególności:

  • powołanie i utrzymywanie na wysokim poziomie zespołów CERT (zespołów ds. bezpieczeństwa informatycznego) przez takie instytucje jak NASK, ABW oraz MON;
  • utworzenie przez Ministra Obrony Narodowej systemu reagowania na incydenty komputerowe w resorcie obrony narodowej oraz wyspecjalizowanej jednostki – Narodowego Centrum Kryptologii;
  • upowszechnianie przez Rządowe Centrum Bezpieczeństwa wytycznych i dobrych praktyk z zakresu ochrony teleinformatycznej infrastruktury krytycznej;
  • prowadzenie przez NASK i Policję aktywnych działań edukacyjnych dotyczących m.in. przestępczości komputerowej i bezpieczeństwa w cyberprzestrzeni.

NIK zauważa, że poszczególne kontrolowane podmioty posiadały własne, odrębne procedury zapobiegania zagrożeniom w cyberprzestrzeni. Ale suma tych systemów nie tworzyła spójnej całości – jednego spójnego systemu.

Pełna notatka z zapowiedzi kontroli (wraz z materiałami audio oraz wideo) znajduje się pod adresem:  https://www.nik.gov.pl/aktualnosci/bezpieczenstwo-rp-w-cyberprzestrzeni.html

Połna notatka z wyników kontroli (wraz z materiałami audio oraz wideo) znajduje się pod adresem: https://www.nik.gov.pl/aktualnosci/nik-o-bezpieczenstwie-w-cyberprzestrzeni.html

Dodatkowo pełen raport [KPB-4101-002-00/2014] dostępny publicznie pobrać można pod adresem (1.21 MB / 87 stron): https://www.nik.gov.pl/plik/id,8764,vp,10895.pdf

[PL] Magazyn Informatyki Śledczej Numer 25

Najnowszy dwudziesty piąty numer Magazynu Informatyki Śledczej i Bezpieczeństwa IT jest – co ze wstydem wielkim przyznaję – pierwszym wydaniem jakie zamierzam przeczytać. Nie wiem, dlaczego do tej pory nie trafiłem na to wydawnictwo, ale hurtowo pobrałem nie tylko wszystkie numery archiwalne:

mis_nr_1mis_nr_2mis_nr_3mis_nr_4mis_nr_5mis_nr_6mis_nr_7mis_nr_8mis_nr_9mis_nr_11mis_nr_12

mis_nr_13mis_nr_14mis_nr_15mis_nr_18mis_nr_19mis_nr_20mis_nr_21mis_nr_22mis_nr_23mis_nr_24mis_nr_25

Ale również numer specjalny poświęcony stricte zagadnieniom prawnym:

image

Połączenie informatyki, informatyki śledczej, bezpieczeństwa, dobrych praktyk, prawa, chmur, systemów, aplikacji i wszelkich aspektów tej specyficznej gałęzi świata informatycznego, nie pozwala mi napisać co znajdziecie w środku tych magazynów. Ale z radością moge zaprosić do szukania artykułów napisanych przez duże i doświadczone gremium redaktorów, którymi są:

Grzegorz Mucha, Jakub Ślązak, Emil Melka, Janusz Tomczak, Piotr Szeptyński, Grzegorz Idzikowski, Paulina Skwarek, Karol Szczyrbowski, Tomasz Chmielewski, Błażej Sarzalski, Michał Gluska, Bartosz Pudo, Adrian Wróbel, Maciej Gajewski, Tomasz Pietrzyk, Łukasz Bartecki, Michał Tatar, Przemysław Krejza, Maciej Szmit, Deborah Leary, Jarosław Góra, Mateusz Witański, Mateusz Hajnysz

Zapraszam do pobrania magazynów {LINK} i zapoznania się z treścią, a także do darmowej prenumeraty.

[PL] Ryzyko, bezpieczenstwo, informacja…

Dawno, dawno temu odbywały się spotkania ISSA Wrocław pod przewodnictwem Michała Sobiegraja {LINKEDIN}. Na spotkaniach (który były bardziej lub mniej regularne) spotykało się sporo osób. Potem Michał “oddelegował się do innych zadań” a grupa lekko przymarła. Na całe szczęście po kilkunastu miesiącach rozpoczęła się swoista reaktywacja.

IMG_6595W miniony wtorek, dwudziestego drugiego lipca, około godziny osiemnastej rozpoczęło się pierwsze (organizacyjne) spotkanie nowej grupy społecznościowej: Technology Risk & Information Security Wrocław. Spotkanie to zgromadziło około pięćdziesieciu osób obracających się w kręgach specjalistów od bezpieczeństwa, audytorów, specjalistów od testów penetracyjnych i wielu podobnych zagadnień. Michał i kilku jego kolegów z Credit Suisse, przy wsparciu ISSA Polska, ISACA Polska, OWASP oraz Cloud Community Alliance zaprosił poprzez LinkedIn oraz mailing wszystkich ewentualnie zainteresowanych. Grupa zorganizowała się przede wszystkim na portalu branżowym i liczy na chwilę obecną stu dwudziestu czterech członków. Spotkanie wtorkowe było głównie spotkaniem organizacyjno-integracyjnym. Na podstawie wcześniejszej ankiety na portalu organizatorzy wybrali cztery główne domeny, w których grupa ma zamiar się poruszać, organizując spotkania co miesiąc lub dwa.

Audyt, Analiza Ryzyka, Zarządzanie Bezpieczeństwem Informacji, Bezpieczeństwo Sieci, Bezpieczeństwo Aplikacji – to i wiele innych tematów grupa chce poruszyć na spotkaniach. Ze swojej strony mam nadzieję, że dużo prelegentów oraz dużo tematów będzie się pojawiać w najbliższych miesiącach. mam też nadzieję, że grupa ta podejmie też współpracę z Polskim Towarzystwem Informatycznym, a konkretnie z działającą we Wrocławiu Sekcją Bezpieczeństwa Informacji: http://www.sbi.pti.org.pl/

Post Scriptum I: Zapomniałbym dodać, że poza uczestnikami na miejscu mieliśmy okazję podyskutować z przedstawicielami zainteresowanych instytucji, takich jak OWASP, ISACA czy ISSA Polska (ta ostatnia w osobie Julii Juraszek, która mam nadzieję przekona się do krótkiego skoku do Wrocławia na następne spotkanie).

Post Scriptum II: Chwilę temu zorientowałem sie że na profilu grupy pojawił się opis/podsumowanie spotkania. I tak. Najważniejsze to wyodrębnienie pierwszych czterech domen do omówienia/zaprezentowania (na podstawie ankiety zorganizowanej przed spotkaniem) oraz ich liderów wiodących. Efektem zaś pracy w podgrupach – związanych z tymi właśnie domenami – są wstępne deklaracje prezentacji na kolejnych spotkaniach. Szczegóły ogólnie poniżej, szczegółowo na LinkedIn.

1. Audyt IT i zarządzanie bezpieczeństwem informacji
Osoba wiodąca: Paweł Pietrzyński
Prezentacje, które zostały zgłoszone przez członków grupy:
– audytor czyli kto?
– assessment projektów IT (sposoby prowadzenia projektów)
– IT Governance / CGEIT
– audyt stron trzecich z perspektywy audytora i jednostki audytowanej, co wolno audytorowi?

2. Bezpieczeństwo sieci
Osoba wiodąca: Piotr Krzyżanowski
Prezentacje, które zostały zgłoszone przez członków grupy:
– Edu ROAM (Global Authorization)
– jak przejść od klasycznego firewalla do aplikacyjnego firewalla
– BYOD

3. Ewolucja zagrożeń
Osoba wiodąca: Artur Maciąg, Przemysław Dyk
Prezentacje, które zostały zgłoszone przez członków grupy:
Cybersecurity framework – NIST
Prezentacja dot. ataków

4. Bezpieczeństwo systemów i aplikacji
Osoba wiodąca: Borys Łącki
Prezentacje, które zostały zgłoszone przez członków grupy:
– frameworki PHP, Python (ewolucja – szybkie przejścia, zmiany – czy nie zapominamy o bezpieczeństwie?)
– pentesty jako takie (metodyki), manual vs. automatyzacja – wady i zalety
– analiza kodu binarnego, pisanie exploitów

[PL] ISSA, Bezpieczeństwo, Konferencje…

LOGO__ISSAPL_fullPolski oddział ISSA (Information Systems Security Association) objął patronatem dwie ciekawe imprezy poświęcone bezpieczeństwu, na jakie można się wybrać w najbliższym czasie:

Konferencja Passuss Networks Summit {LINK} 04-05.10.2013

W całości jest poświęcona kwestiom wydajności i bezpieczeństwa sieci oraz aplikacji. Passuss Network Summit  to dwa dni wykładów i warsztatów podzielonych na dwie równoległe ścieżki. Eksperci z Passusa i zaproszeni goście omówią praktyczne zagadnienia oraz przedstawią najnowsze rozwiązania związane z ciągłością działania sieci IT w dużych organizacjach. Partnerami konferencji są firmy oferujące szeroką gamę rozwiązań z zakresu wydajności i bezpieczeństwa sieci â Core Security, Cryptzone, Isec Security Research, Fluke Networks, Riverbed, RSA. W ramach pakietu konferencyjnego otrzymują Państwo:

  • uczestnictwo w programie merytorycznym konferencji (2 dni wykładów i warsztatów),
    materiały konferencyjne,
  • lunch i przerwy kawowe podczas dwóch dni konferencji,
  • udział w evencie wieczornym,
  • nocleg w komfortowym hotelu Narvil z dodatkowymi świadczeniami (basen, sauna, sala fitness)

V Ogólnopolska Konferencja Informatyki Śledczej {LINK} 04.10.2013

Konferencja jest organizowaną przez Stowarzyszenie Instytut Informatyki Śledczej (SIIS) i odbędzie się 4 października w Warszawie w Bibliotece Uniwersyteckiej. Tematyka obraca się wobec zagadnień będących przedmiotem aktualnej dyskusji w świecie bezpieczeństwa informacji, SIIS zapewnia wysoką wartość merytoryczną konferencji.  Szczegółowe informacje o konferencji poniżej:

  • Obserwując gigantyczną ilość danych przetwarzanych każdego dnia w chmurze oraz galopujący wzrost pojemności dysków nietrudno zdać sobie sprawę, że analizy wykonywane tradycyjnymi metodami wymagającymi czasochłonnego zabezpieczenia wszystkich nośników wkrótce stracą rację bytu. Potrzebna jest wstępna selekcja i segregacja danych przeznaczonych do analizy.
  • Nowe podejście do informatyki śledczej pozwala na analizę danych dostępnych w chmurze, podgląd uruchomionych aplikacji, podłączonych urządzeń bez ryzyka utraty danych ulotnych przy jednoczesnej oszczędności czasu i nakładów przeznaczonych na analizę.
  • Rewolucja jaką są metody triage i live forensic porównywana jest z przełomem, który dokonał się w badaniu trzeźwości kierowców podczas zastąpienia badań w laboratorium przenośnym alkomatem.
  • Weź udział w konferencji i przekonaj się jakim skokiem jakościowym w analizie informatycznej są wspomniane metody.

Podczas wydarzenia poznasz zagadnienia teoretyczne, metodykę, najnowsze rozwiązania technologiczne, a także aspekty prawne związane z analizami informatycznymi na „żywym organizmie”. Wśród wykładowców – praktycy informatyki śledczej, liderzy technologiczni oraz prawnicy specjalizujący się w tematyce elektronicznego materiału dowodowego. Organizatorem Konferencji jest Stowarzyszenie Instytut Informatyki Śledczej, największa polska organizacja skupiająca informatyków śledczych.

Chętnych serdeczne zapraszam

Content Protected Using Blog Protector By: PcDrome.
Skip to toolbar