Većina organizacija zna za sustave koji moraju biti javno dostupni. Web stranica, VPN, korisnički portal ili drugi poslovni servis imaju jasan razlog zašto im se može pristupiti s interneta. Veći problem mogu biti sustavi za koje se više nitko ne sjeća da su dostupni. Infrastruktura se s vremenom mijenja. Postavi se novi server, dobavljaču se […]

Imate vanjski IT koji održava računala, korisnike, mrežu, backup i svakodnevnu podršku. Kada nešto ne radi, znate koga nazvati, zaposlenici imaju pristupe koji im trebaju i sustavi uglavnom funkcioniraju kako se očekuje. Zbog toga je razumljivo pretpostaviti da je time pokrivena i sigurnost. Međutim, održavanje IT-a i neovisna sigurnosna provjera nisu ista stvar. Kod hotela, […]

Kad organizacija počne provjeravati koliko je stvarno spremna za NIS2, početna slika često izgleda sasvim dobro. Postoji firewall, backup se radi redovito, MFA je uključen, zaposlenici prolaze sigurnosne edukacije, a za incidente se zna koga treba nazvati. Većina tih stvari nije uvedena zbog NIS2, nego zato što su tijekom godina postale dio normalnog rada. I […]

Jedno od prvih pitanja tijekom ISO 27001 GAP analize često je postoji li određena politika ili procedura. Dokument postoji, odobren je, ima vlasnika, verziju i datum posljednje izmjene. U njemu piše da se korisnički pristupi redovito pregledavaju, da se sigurnosni incidenti evidentiraju, da se backup testira i da se pristupi ukidaju kada zaposlenik napusti organizaciju. […]

Ako danas pitate većinu organizacija kako se štite od ransomwarea, vrlo često ćete dobiti isti odgovor. “Imamo backup.” Prije nekoliko godina to je u velikom broju slučajeva bilo dovoljno. Napadač bi šifrirao poslužitelje, organizacija bi vratila podatke iz backupa i nastavila raditi. Danas više nije tako. Ransomware grupe odavno su shvatile da je backup najveća […]

Mnoge organizacije vjeruju da su zaštićene od ransomwarea jer imaju backup. To na prvi pogled zvuči logično. Backup poslovi se izvršavaju, storage postoji, retention je postavljen i svakog jutra netko vidi zelenu oznaku da je sve prošlo uspješno. To obično stvara osjećaj sigurnosti. Sve dok se nešto stvarno ne dogodi. Problem je u tome što […]

Moderne aplikacije i digitalni proizvodi danas prolaze kroz više razina provjere nego ikada prije. Code review je standardni dio razvoja, automatizirane sigurnosne provjere često su uključene u pipeline, a funkcionalno i sigurnosno testiranje postali su normalan dio release procesa. Ipak, proizvodi koji prolaze takve provjere i dalje završavaju kompromitirani. Razlog nije nužno u tome da […]

U većini slučajeva napad ne počinje s tehničkim iskorištavanjem sustava. Ne počinje s exploitom niti s kompleksnim alatima. Počinje s pristupom. Najčešće kroz korisnički račun koji izgleda potpuno legitimno. Razlog je jednostavan. Korisnički računi su i dalje najlakša ulazna točka. Jedna lozinka korištena na više mjesta, jedan phishing mail ili jedan kompromitirani vanjski servis mogu […]

Mnogi klijenti i dalje misle da su napravili penetration test jer su dobili sigurnosni izvještaj s popisom nalaza. U većini slučajeva radi se o vulnerability scanu. Na prvi pogled oba pristupa izgledaju slično. Oba imaju izvještaj, nalaze i preporuke. No ne odgovaraju na isto pitanje. Vulnerability scan traži poznate tehničke slabosti. Detektira zastarjele verzije softvera, […]

Kada organizacije počnu razmišljati o NIS2 direktivi, prvi korak je često pokušaj razumijevanja samog pravnog teksta. Timovi otvaraju dokument, čitaju članke i pokušavaju protumačiti što točno svaka odredba znači za njihovu organizaciju. Takav pristup rijetko donosi jasnoću jer NIS2 prije svega nije pravni projekt. Ona predstavlja okvir upravljanja rizikom i sigurnošću koji organizacije potiče na […]

Penetracijsko testiranje se u mnogim organizacijama doživljava kao potvrda postojećeg stanja. Test se naruči, odradi i na kraju se traži jedna stvar – je li sve u redu. Kada izvješće ne sadrži ozbiljne nalaze, osjećaj je uglavnom pozitivan. Međutim, u stvarnoj praksi takav ishod često ne znači da je okruženje sigurno, nego da je test […]

Razdoblje između Božića i Nove godine za većinu organizacija znači usporavanje poslovnih aktivnosti, manji broj zaposlenika i fokus na održavanje osnovnih procesa. Za napadače to znači idealan trenutak za djelovanje. Sigurnosni incidenti koji započnu tijekom blagdana često se ne primijete odmah, a njihove stvarne posljedice postaju vidljive tek nakon povratka u redovni radni ritam. Iskustvo […]