Co se stane, když převedete papírové postupy do digitálního světa

Začněte tím, že sepíšete, co všechno je v domácnosti připojené. Ne jen kamery a zámky, ale i termostaty, žárovky, zásuvky, senzory otevření dveří, robotické vysavače a chytrou televizi. U každého zařízení napište, k čemu slouží a co se stane, když přestane fungovat. Zjistíte, že některá zařízení jsou kritická, jiná jen pohodlná. Kritická jsou ta, která ovládají vstup do domu, vodu, topení nebo plyn. U těch musíte mít záložní postup, který nezávisí na síti.

Počítač zpomaluje, dochází místo na disku a systém hlásí, že nelze provést aktualizaci. Než začnete uvažovat o novém disku, projděte si, co vlastně zabírá prostor. Většina nepotřebných souborů vzniká běžným používáním: dočasné soubory prohlížečů, stažené instalátory, staré zálohy, smazané položky v koši a mezipaměti aplikací. Cílem není smazat vše, co vypadá neznámě, ale zbavit se dat, která už nikdy nebudete potřebovat.

Po nasazení sledujte, co se děje v praxi. Ptejte se lidí, kteří podle dokumentu pracují, kde museli improvizovat. Každé takové místo je slabina. Opravujte ji hned, dokud je v paměti, co bylo špatně. Digitální postup není projekt s koncem, ale živý text, který se mění spolu s prací. Když ho necháte bez údržby, za pár měsíců dopadne stejně jako ta vytištěná verze ve šuplíku.

Nakonec definujte, co dělat při podezření na kompromitaci. Musíte mít připravený postup, jak okamžitě zablokovat konkrétní účet a zařízení, aniž byste odstřihli celou firmu, a jak zjistit, ke kterým systémům se připojovalo. Bez tohoto postupu se při incidentu rozhodujete ve stresu a pod tlakem. Dobře nastavený VPN není ten s nejsilnějším šifrováním, ale ten, u kterého přesně víte, kdo se kam dostane, proč a co se stane, když se něco pokazí.

Třetí kopie musí být geograficky jinde. Možností je cloudové úložiště, disk u příbuzných nebo trezor v bance. U cloudu si dejte pozor na to, zda služba umí obnovu i po smazání souborů a zda data šifruje. Pokud nahráváte citlivé soubory, použijte vlastní šifrování ještě před odesláním. U fyzického disku mimo domov mějte na paměti, že data musí být šifrovaná – ztráta disku pak neznamená únik informací.

Co se týče samotného ovládání hlasem, držte se krátkých povelů. Dlouhé věty asistenti pletou a přepisují je do nesmyslných příkazů. Osvědčuje se jedna rutina na běžnou zálohu a druhá na „zálohu teď hned", která ignoruje podmínky a spustí se okamžitě. U druhé si dejte pozor na potvrzovací otázku. Někteří asistenti se před spuštěním ptají, jestli opravdu chcete nahrávat. To je užitečné, ale jen když odpovíte jasně „ano". Tiché „mmm" nebo „jo" může být vyhodnoceno jako nesouhlas a záloha se nespustí.

Oddělte přístupová práva od samotného tunelu VPN je jen dopravní cesta, nikoli oprávnění. Po navázání spojení musí následovat autorizace na úrovni služeb a aplikací. Nastavte pravidla tak, aby uživatel po připojení viděl pouze to, co potřebuje ke své práci. Prakticky to znamená segmentovat síť, filtrovat provoz mezi segmenty a logovat každé navázání spojení včetně přiřazené IP adresy a času. Bez logů nemáte při vyšetřování incidentu odkud zjistit, kdo a kdy byl v síti. Logy ukládejte mimo zařízení, které je produkuje, a chraňte je proti přepisu.

Jeden postup, jedno místo, jedna platná verze Digitální podoba má smysl jen tehdy, když existuje jediné místo, kde je vždy aktuální verze. Rozdělte dokument na krátké úseky s jasnými nadpisy, aby se v něm dalo vyhledávat. Nahraďte věty typu „provede se kontrola" konkrétním popisem: co se kontroluje, podle čeho se pozná správný stav a co se udělá při odchylce. Odkazy na jiné dokumenty nahraďte přímým zněním, jinak se při první změně řetěz rozpadne.

Typická chyba je snaha přepsat vše najednou a do posledního detailu. Vznikne dokument, který nikdo nepoužívá, protože je příliš dlouhý a byl hotový dřív, než se stihl schválit. Lepší je rozdělit práci na části a každou zveřejnit, jakmile je hotová. U každé verze uveďte datum a jméno toho, kdo změnu provedl. Bez toho se za půl roku nikdo nedoví, proč je v postupu nějaká věta.

Dále vyřešte správu zařízení. VPN klient na nezařízeném počítači s neaktuálním systémem je vstupní brána do sítě. Do plánu proto patří podmínka, že připojení se povolí jen z evidovaného zařízení, které splňuje minimální stav záplat a má zapnuté šifrování disku. Zvažte, zda přístup nenahradit pro některé role webovým přístupem k jedné aplikaci místo plného tunelu do sítě. Menší rozsah přístupu znamená menší dopad při úniku přihlašovacích údajů.

Začlenit VPN do bezpečnostního plánu neznamená koupit licenci a nainstalovat klienta. Znamená to rozhodnout, k čemu má tunel sloužit, kdo ho bude používat a jaká data přes něj potečou. Nejprve si napište seznam scénářů: vzdálený přístup zaměstnanců, propojení poboček, připojení externích dodavatelů, správa serverů. U každého scénáře určete, zda jde o trvalý přístup, nebo jednorázový. Bez tohoto kroku skončíte s jedním univerzálním tunelem pro všechno, což je přesně ten typ konfigurace, která při incidentu neumožní nic vypnout, aniž by spadla celá firma.