6 vět, kterými začíná kybernetický průšvih v každé firmě

Prisposobil som sa security poziadavkam, zabijem kopec casu prihlasovanim sa, hesla, tokeny atd. Obcas sa ani riadne robit neda, mf

Koukam ze nase firma je osvicena, centralni evidence uctu, do vseho se prihlasuji jednim loginem + 2FA. Zadne nucene zmeny hesel apod. Pri prichodu se zridi ucet pri odchodu lockne a pak uklidi. Delame pro dost zakazniku takze musim mit passwordovnik a hraju hru 5 prostredi x 3 ucty + tohle + tohle + tohle na konci mesice 0.5MD menim hesla protoze na SEC sedi vemeno co si precetlo poucku o sile hesla. https://neal.fun/password-game/...

“ Je s podivem, že HR oddělení u končících zaměstnanců důsledně dbá na odevzdání všech klíčů a čipů pro přístup do fyzických kanceláří, ale na mnohem důležitější přístup k datům a kritickým systémům se zapomíná,”Odevzdat klíče je jako odevzdat papírek s heslem. Kdo chce bezpečí musí vyměnit zámek a zablokovat účet.

Je to tak, nejhorší "hack" firmy je odchod zkušeného zaměstnance. Pracoval jsem 3 roky u jednoho z největších hotelích řetězců, který má momentálně více než 15 hotelů a dělal tam IT více než 25 let, takže bych u všech rekonstrukcí a nasazovaní všech systému, za posledních 25 let. Když chtěl přidat, tak ho vyhodili, to že za 3 měsíce se dělala rekonstrukce IP telefonů na hotelu, který má více než 300 pokojů a vždy to dělal kolega a nikdo jiný to neuměl, tak se musela najmou na to firma, která stála jako 2 roční platy kolegy a navíc se každý měsíc platí nemalá částka za držení pohotovosti.

Delka kapitol je prilis dlouha. Vzdal jsem to jiz u te druhe :(

Nejhorší je, když se kazde tri mesice meni hesla do nekolika systémů. Vetsina lidi v kancelari si ta hesla ukladaji do notýsků. Pak si stačí v době oběda ofotit stránku v notýsků telefonem a muzete se prihlasit kam chcete.
Na skole jsme se učili, ze je to dobre i špatně a je jen na správci jak se rozhodne. Ja rikam, ze je to určitě špatně.
Hlavne musite brát v potaz, ze ve většině firem máte omezená práva a nic jako správce hesel si nenainstalujete.

Prusvih dost casto zacina i tehdy, kdyz vsechnu moc drzi v rukou ti, ktere zajima jenom a pouze "bezpecnost" (ne ta opravdova, jen ta v uvozovkach), nikoli pouzitelnost IT systemu.
Extremni problemy tedy nemusi probihat jen po ose nacrtnute v tomto clanku.

"Ono se to samo"

Věta v redakci Computeru: "Nakupte Čížkovi ESP32, sensory a další elektrické kraviny".

V minulých pracích jsem viděl slabé místo v heslech. Hlavně, že se musely měnit každých čtvrt roku a byly požadavky na složitost (malá + velká písmena + číslice + speciální znak). A každý zaměstnanec měl těch přístupů do různých systémů několik.
Ve výsledku papírky na monitorech nebo v lepším případě v šuplíku ve stole. Hlavně, že při různých ISO certifikacích se sundavaly instrukce z nástěnek, to bylo úplně to nejdůležitější. Když firma certifikát obdržela, zase se to na ty nástěnky vracelo.Brigádníci většinou pracovali pod účty někoho jiného (protože zřídit nový účet trvalo i několik dní), o nová oprávnění do SAPu vedoucí žádali stylem "stejná oprávnění jako paní Nováková" (která jich za dobu svého působení nasbírala desítky a většinu z toho už nepotřebovala), aby je nemuseli vypisovat (a často ani nevěděli, jaké oprávnění jejich podřízený potřebuje), atd.

"Především IT zaměstnanci mají znalosti a možnosti, díky kterým mohou svou bývalou firmu doslova srazit na kolena, pokud by chtěli."Jednu firmu jsem "srazil na kolena" nebo spíš nechal zkrachovat tím, že jsem z ní odešel po hádce s majitelem před zbytkem týmu. Následně odešli další seniorní vývojáři a když si rozkřiklo co to je za s*ačku, tak už tam nikdo s nějakými zkušenostmi nastoupit nechtěl a firma nakonec lehla, protože neměla vývojáře.S dnešním stavem v IT není potřeba schovávat nějaké Raspberry Pi pod podlahu, ale pokud chtějí lidé z IT firmě "pořádně zatopit", pak to nejhorší, co mohou udělat, je naprosto legálně z firmy normálně odejít, nic nemazat, nic nepoškozovat, vše korektně ukončit, odevzdat. A následně napsat někam na LinkedIn, Atmoskop, Reddit nebo podobné sítě svoji zkušenost.Případně, pokud by chtěli firmu opravdu "dorazit", tak stačí poskytnout kontakty na správné bývalé kolegy, kteří tam třeba ještě zůstali, těm správným recruiterům - oni už se o to postarají sami.Pokud se firma skutečně chová špatně, pak je "legální zatopení" mnohem větší hrůza než kdyby tam někdo hackoval nějaký server - to si mohou opravit a zákon mají na své straně. Když se jim všichni rozhodnou odejít, tak držet je nemohou a přikazovat jiným lidem "nucené práce" taky ne. LOL

"Na ničem jsme nešetřili."
O pár minut později.
"O penězích se s vámi bavit nehodlám, ani teď ani jindy. Je to jen Váš problém."
"Není o čem debatovat."
Začátek kybernetického problému v jednom známém filmu. Schválně jestli uhádnete jakého.

hjustne mame problem.
musim ist na wece.
musim ist na cígo.
ten enter som este nemal stlacit.
to kvoli zene, volala mi, vraj to este nedostala.
nepovysili ma, takze tak.

Podle všeho je chybou, že uživatelé mají znát příliš mnoho hesel do různých systémů a tak si nastavují stejné heslo. Na všechno. Pak stačí, když někdo prolomí jeden systém (třeba na evidenci stravenek) a pak pod stejným heslem se dostane do systému na evidenci mezd nebo faktur. Je to problém, že nikdo uživatelům nevysvětlil, jak pracovat s hesly, správci jen nastavují vyšší přísnost v zadávání hesel a dál je to nezajímá. To, že existují aplikace na správu hesel, to ví málokdo. A je v tom nulová osvěta, pořád jen slyším, že uživatelé si mají měnit hesla a že v hesle mají být speciální znaky. No jo, ale když takových hesel máte víc než deset, jak to udržíte v hlavě? Jednoduše dáte si stejné heslo všude. Nebo.... Typická jsou hesla uložená v prohlížeči internetu, dost lidí si myslí, že to je zabezpečené. Bohužel není, jsou aplikace, která ta hesla ze souborů prohlížeče dokáží zjistit. Tato hesla se pak synchronizují i v rámci cloudu, je to komfortní, ale nebezpečné. Když někdo hackne třeba google cloud, tak má k dispozici i ta hesla. Dvoufaktorové ověřování pomocí SMS by mohlo trochu pomoci, jenže...

Názor byl 2× upraven, naposled 29. 4. 2022 05:46