Uživatelská bezpečnost

Nezbytnou součástí bezpečností politiky je pravidelné vzdělávání uživatelů, jak se mají chovat při používání počítače.

Demo lekcí:
2/13

Náročnost:
2 h + 10 min test

Úvod

Naučte se bránit počítačové kriminalitě.


Latinské přísloví „Repetitio mater studiorum“, česky „Opakování matka moudrosti“ neplatí nikde tak přesně, jako pro počítačovou uživatelskou bezpečnost.

Zatímco se vývoj v oblasti počítačů, internetu, přenosných zařízení, internetu věcí apod. překotně žene dopředu a hackeři udržují svůj krok o půl až jeden napřed, podvodníci přicházejí s novými způsoby a stále se po čase vrací i již vyzkoušené a známé triky, na které se jen trochu zapomnělo.

Proto je více než vhodné pravidelně informovat uživatele nejen o vývoji nových triků a možnostech útoků ve „virtuálním“ prostředí počítačů, sítí a internetu, ale také stále znovu a znovu připomínat staré triky a vždy platná standardní pravidla.


Proč jsou kyberzločiny takovou hrozbou?

  • počítačový svět a internet se stal běžnou realitou – bez chytrého telefonu s daty, emailem, facebookem a několika messengery typu skype, whatsapp apod., vypadáte v dnešním světě jako marťan z předminulého století,
  • život se přesouvá do mobilních zařízení a sociálních sítí – mobilní banking, platby mobilem, sledování sportovních výkonů – sdílení v rámci skupiny či kohokoli, sdílení pohybu – polohy, navštívených míst, hodnocení navštívených míst on-line, sdílení životních událostí, atd.
  • využívání firemních zařízení snižuje vnímání rizika uživatelem – v práci to přeci vždycky někdo spraví, opraví, nastaví ….. atd. – není to přeci moje, oprava se nedotýká osobního rozpočtu, obdobně to platí i pro užívání firemních zařízení i doma se souhlasem zaměstnavatele, které začíná být zcela běžné,
  • kyberzločince se daří odhalit jen v malém procentu případů a v ještě menším procentu se podaří prokázat úmysl a dosáhnout soudního řízení a uložení trestu,

Nejsou-li totiž aplikována bezpečnostní opatření, a to jak technická (přímo nainstalovaná na příslušná zařízení), tak i ty uživatelská (co může vidět a ovlivnit uživatel svou činností), jste ohroženi nejen vy, ale i osoby či společnosti, se kterými nejvíce komunikujete (např. právě přes email, jehož obsah a adresář škodlivý software nejčastěji používá pro své další šíření), což mohou být vaši zákazníci, dodavatelé, ale i přátelé a rodina.

Při většině kyberzločinů jde především o získání finančních prostředků, buď přímo – uživatelé zaplatí sami v rámci na nich spáchanému podvodu či vydírání, nebo nepřímo – zločinec získá přístupové údaje k účtům nebo data či informace, které lze zpeněžit.

K tomu se využívají různé metody a triky (viz další kapitoly) a předejít jim jde používáním základních zásad uživatelské bezpečnosti.

V následujících kapitolách najdete jak obecné informace k jednotlivým základním prvkům uživatelské bezpečnosti, tak i praktické rady k vašemu užití a praktické ukázky bezpečnostních incidentů.


Hesla a uživatelské účty

Chraňte si své elektronické klíče.


Uživatelský účet slouží k přístupu k vyhrazeným informacím a službám, jak na počítači, ve firemní síti, tak i na internetu (webové služby, cloud, apod.). Skládá se obvykle z uživatelského jména a z hesla.

Zatímco uživatelské jméno může znát více lidí (i když, také čím méně, tím lépe), tak heslo může znát pouze vlastník (uživatel) konkrétního uživatelského jména. Uživatelské heslo automaticky nezná ani administrátor, ani vedoucí pracovník a neměl by ho znát ani kdokoli jiný.

Pokud se někdo cizí dostane k vašim přihlašovacím údajům (uživatelské jméno, heslo), může přistupovat k programům pod vaší identitou. To znamená, že např. za všechny aktivity provedené ve firemním informačním systému pod Vaším uživatelským účtem ponesete plnou odpovědnost , ať již se jedná o finanční transakce, či manipulaci s citlivými daty společnosti.

Pokud zjistíte, nebo máte podezření, že byly vaše přihlašovací údaje zcizeny, je třeba to neprodleně ohlásit na příslušné kontaktní místo IT oddělení.

Heslo, resp. přihlašovací údaje, je z výše uvedených důvodů potřeba udržovat v tajnosti, nikomu je nesdělovat a je též nemyslitelné si jej psát někde kolem počítače (oblíbená místa jsou různé papírky nalepené kolem monitoru či položené na stole, nalepené zespoda klávesnice apod.).

Heslo, resp. přihlašovací údaje (jméno účtu a heslo) slouží k autentizaci uživatele, tedy k ujištění, že dále přistupuje konkrétně identifikovaný uživatel. Některé aplikace či webové služby mohou vyžadovat pro identifikaci konkrétního uživatele tzv. autentizaci vícefaktorovou, která poskytuje vyšší úroveň zabezpečení tím, že kromě zadání standardních přihlašovacích údajů požaduje zadání dalšího, jiným způsobem získaného, jednorázového hesla / kódu, obvykle prostřednictvím SMS či pomocí mobilní aplikace. Nejčastěji se s tímto způsobem autentizace setkáváme při využívání služeb internetového bankovnictví či některých cloudových služeb.

S ohledem na rozvoj poskytování on-line služeb nejen v rámci komerčního sektoru, ale čím dál častěji do veřejných služeb (státní správa), bude se využití vícefaktorové autentizace rozšiřovat a rovněž tak využití osobních elektronických podpisů.


Zajímavá informace

Uživatelé nejčastěji volí jednoduché heslo, protože jej považují za snadno zapamatovatelné (to lze ale zajistit i jinak –viz. Tip - jak jednoduše vytvořit silné heslo) nebo jednoduše zadatelné (po sobě jdoucí číslice či písmena na klávesnici).

Takováto hesla nazýváme „slabá“, protože je jednoduché je prolomit pomocí specializovaných programů, které využívají seznamy jednoduchých, intuitivních / snadno zadatelných a nejvíce používaných hesel. Takto lze jednoduché heslo prolomit v řádu minut, max. hodin.

Obdobně mnoho uživatelů postupuje i při tvorbě hesel pro mobilní zařízení a používané aplikace, přičemž platí, že hesla do mobilních zařízení obsahují kratší řetězec znaků (obvykle jen 4 nebo 5, což vychází ze zvyklosti, kdy PIN k SIM kartě má jen 4 znaky) a současně jsou hesla psaná na klávesnici telefonu či tabletu snáze odečitatelné pohledem než na klasické klávesnici.

Jak nejčastěji vznikají „slabá“ hesla:

  • po sobě jdoucí řada číslic, např. „123456“, „12345678“, „12345“, „111111“
  • řada písmen jdoucí po sobě, např. „qwertz“ nebo „qwerty“, „aaaaaa“, „abcdefgh“
  • název uživatelského účtu (uživatelského jména), např. uživatelské jméno: „Nováková“ – heslo: „novakova“, uživatelské jméno: „petr@seznam.cz“ – heslo: „petr@seznam.cz“
  • jméno domácího mazlíčka, nejčastěji psa nebo kočky: „mourek“, „micinka“, „azor“, „certik“, „pacička“
  • jméno partnera, dětí, vlastní či dalšího člena rodiny, např.: „Martin“, „Verunka“, „Jurasek“, „Blanka“
  • čísla ve vztahu k uživateli, např. datum narození nebo rodné číslo
  • informace ve vztahu k uživateli, např. telefonní číslo, telefonní číslo partnera, současná adresa, bývalá adresa
  • koníčky a záliby, např. „fotbal“, „hokej“, „cyklistika“, „hory“


Vzniklo vaše heslo obdobně?

Kolik z těchto údajů pro vznik, např,. jména dětí“, běžně sdělujete kolegům, přátelům, přátelům přátel či dokonce komukoliv na sociálních sítích?


Celosvětově nejpoužívanější hesla roku 2018:

Podle společnosti SplashData, která každý rok zveřejňuje nejpoužívanější hesla roku, přičemž vychází z analýzy více než pěti milionů záznamů, které v daném roce pronikly na internet prostřednictvím hackerských útoků, používá jedno z 25 nejčastějších hesel až 10% uživatelů internetu, přičemž první dvě v seznamu pak 3% všech uživatelů (druhým v ČR by pak nejspíše bylo „heslo“ a analogicky by pak bylo možné dovodit i další používaná slova).


123456666666
passwordabc123
123456789football
12345678123123
12345monkey
111111654321
1234567!@#$%^&*
sunshinecharlie
qwertyaa123456
iloveyoudonald
princesspassword1
adminqwerty123
welcome


Představte si ...

Nejčastější chyby a jak si představit jejich důsledky?

  • Poctivě zamykáte počítač heslem, ale abyste si ho zapamatovali, máte ho na klávesnici ze spodu či na papírku na monitoru?

Zamknete na dva západy svůj dům a pak klíč pověsíte na háček hned vedle vchodu?

  • Vytváříte „silnější“ hesla, ale pak je sdělujete kolegům?

Dáte kolegovi plnou moc, aby vaším jménem dělat jakékoli úkony – např. přístup do banky, zadávání plateb, nákup draných věcí, prodej nemovitostí apod.?

  • Pokoušíte se získat přístupová oprávnění jiného uživatele a tak přístup k jiným systémům a datům?

Pokoušíte se otevřít zamčené dveře planžetou či nelegálně získat kopii klíče a vloupat se dovnitř?.


Vážně byste to udělali?


Opatření – jaká pravidla dodržovat


  • vytvářejte si „silná“ hesla v souladu s firemní politikou hesel nebo v souladu s obecnými doporučeními (viz. Tip - jak jednoduše vytvořit silné heslo), přičemž platí, že delší heslo je samo o sobě „silnější“ než kratší, byť s použitím speciálních znaků,
  • hesla a přístupové kódy zásadně nikomu nesdělujte, v případě nenadálé potřebě heslo sdílet využijte některý z našich Tip – jak sdílet heslo a v případě jeho užití, heslo ihned změňte(potřeba sdílet heslo se obvykle používá v případech odjezdů na dovolenou, mezi administrátory, kdy většinou zná heslo pouze jeden z nich, zákaznicko – dodavatelských vztazích, kdy zákazník by měl mít přístup k heslům na svá zařízení pro případ nouze, a to i když tato zařízení spravuje externí dodavatel, v osobním životě může tato potřeba nastat mezi partnery nebo staršími rodiči a dětmi, aby se v případě náhlé události dostali k údajům, účtům, fakturám, apod.).
  • pro různé účty / účely používejte jiná hesla, tzn. používat různá hesla pro různé aplikace a rozlišovat i účel použití, např. nepoužívejte stejné heslo v práci a pro soukromé účely, jiné heslo pro soukromý email a přístup do vlastního internetového bankovnictví, apod.
  • z principu nikdy nepoužívat cizí přihlašovací údaje, s výjimkou nutné nenadálé potřeby, např. popsané v bodě výše, a to jen v případech, kdy to nelze řešit ve spolupráci s příslušným správcem systémů, ať již v rámci interního IT oddělení nebo externího dodavatele, v případě použití cizího hesla proveďte zápis o jeho užití s uvedením data a času a důvodu použití, informujte IT oddělení nebo správce systému a nadřízeného pracovníka,
  • pravidelně heslo měňte v souladu s firemní politikou hesel,
  • vždy při prvním přihlášení změňte heslo, které vám bylo přiděleno systémem při obdržení přihlašovacích údajů do firemních a jiných informačních systémů,
  • neponechávejte univerzálně nastavená hesla a PINy, např. do systémů, k odblokování karet apod., obvykle jsou ve formátu „1234“, „0000“, „admin“ apod.,
  • nikdy nezkoušejte na internetu nabízené nástroje pro zjištění „síly hesla“, s největší pravděpodobností jen svým heslem doplníte některý ze slovníků používaných aplikacemi pro prolamování hesel,
  • nikdy nezkoušejte získat neoprávněně přístup k programům, informacím a koncovým zařízením jiných uživatelů, pokus o narušení bezpečnosti počítačové sítě bývá obvykle posuzováno jako závažné porušení pracovní kázně.

Tipy

Jak jednoduše vytvořit silné heslo:

Obvyklá doporučení říkají, že heslo by mělo mít nejlépe minimálně 8 znaků, obsahovat jak velká tak malá písmena, čísla a některý ze speciálních znaků (např. &, #, ?, -, !, ), (, apod.). Heslo by nemělo obsahovat běžné používaná či známá slova, nebo s vámi významově spojená slova či data, které je snazší automatizovanými programy prolomit pomocí slovníků či seznamů hesel.

Když tato doporučení aplikujete, vyjde vám např. něco jako toto „b48Wj?z2iX“.

Lze si něco takového zapamatovat? Těžko. Ale lze si vytvořit něco, čemu budete rozumět jen vy, a přesto to bude podobně vypadat.

Jak na to?:

  • Najděte si oblíbené přísloví nebo vtipnou hlášku z filmu či jiné souvětí, které si dokážete snadno zapamatovat – např. „Jak se do lesa volá, tak se z lesa ozývá“. Dobré heslo pak můžete vytvořit použitím prvních písmen, přičemž u podstatných jmen použijete písmeno velké a celou kombinaci pak doplníte číslem, třeba počtem písmen posledního slova a oblíbeným speciálním znakem, kterým může být třeba oblíbený emotikon. Vaše heslo pak bude vypadat třeba takto: „jsdLvtszLo5:)“.
  • Najděte si kratší úsloví, které nepoužíváte v běžné řeči, název písničky, nebo kratší spojení slov, např. „Včera neděle byla“. Toto spojení použijte, přičemž každé první písmeno bude velké a místo znaků z interpunkcí použijete číslici, která je u tohoto písmena na české klávesnici a před řetězec slov dejte oblíbený speciální znak, třeba „?“. Vaše heslo pak bude vypadat třeba takto: „?V4eraNed2leByla“.
  • Použijte pravidla popsaná v předchozím bodě na nějaké slovo, ve kterém často vznikají přesmyčky, např. „výjimka“, přičemž častou přesmyčku „výjimka“ doplňte speciálním znakem a zaměňte písmeno za v češtině méně obvyklé. Vaše heslo pak bude vypadat třeba takto: „wyj9mka&“.

Pořád si myslíte, že je těžké si zapamatovat „silnější“ heslo?


Jak sdílet heslo:

Může nastat situace, kdy chcete, aby někdo jiný mohl v případě nenadálé potřeby použít vaše heslo. Určitě se to hodí, když plánujete delší dovolenou, nebo v případě dlouhodobé nemoci apod. Ale pak byste museli své heslo vždy po návratu měnit. Někdy to jinak nejde, přesto je potřeba i v tomto případě myslet na bezpečnost.

Jak na to?:

  • Heslo vytiskněte na papír, který vložíte do obálky tak aby nebylo přes světlo čitelné. K tomu slouží speciální tiskový vzor, který má po složení překrývající části přetištěné černým vzorem. Pokud ji nemáte k dispozici, můžete použít tmavý barevný či hustě potištěný papír, který vložíte mezi vámi vytištěné heslo a obálku. Obálku zalepte, opatřete podpisem či pečení a vložte na méně dostupné místo, např. zamykatelný šuplík či trezor, ale ke kterému bude mít váš nadřízený nebo zástupce přístup. Kdykoli pak zpětně můžete kontrolou zabezpečení obálky zkontrolovat, zda heslo bylo zjištěno.
  • Pokud už musíte heslo sdělit veřejnými zdroji (telefon, email), protože dopředu jste jeho předání nestihli zabezpečit, použijte alespoň nejjednodušší „šifrování“. Například heslo napište do textového editoru a soubor zaheslujte (např. heslo do souboru typu Word, nebo textový dokument komprimujte s využitím hesla, např. ZIP soubor). Heslo do souboru je jednorázové, můžete si tudíž vymyslet cokoliv. Zaheslovaný soubor s vaším heslem můžete poslat i z veřejného mailu (s použitím free mailových klientů typu gmail, centrum, seznam apod.). Heslo k souboru doručte adresátovi jiným kanálem, např. SMSkou.