Bezpečnostné riziká na cestách a mimo bežného pracovného prostrieda

Rád by som sa podelil s radami, ktoré som pred nedávnom spísal pre kolegov na ABÚ v Bratislave a RKCMBF UK.
Ide o niektoré bezpečnostné riziká, s ktorými je možné sa vo zvýšenej miere stretnúť počas práce mimo bežného pracovného prostredia, na dovolenkách a v rámci cestovania.

1. využívanie verejných USB nabíjačiek

Odporúčam vyhýbať sa využívaniu verejných USB nabíjačiek, ktoré môžu byť kriminálnymi skupinami skryto modifikované so zámerom kompromitovať nabíjané zariadenia.

2. verejné wifi – bezdrôtové pripojenie na námestiach, v hoteloch, reštauráciách a pod.

Odporúčam pri využívaní bezdrôtového pripojenia použiť pripojenie cez VPN (virtuálnu privátnu sieť), ktorá vytvorí bezpečný šifrovaný kanál medzi vaším zariadením a dôveryhodným bodom pripojenia na internet.

3. využívanie cudzej techniky

Odporúčam na všetky vážne úkony (prihlasovanie do systémov organizácie, osobných účtov, internet bankingu, komunikáciu s úradmi a pod.) používať len dôveryhodnú techniku.
Všade tam, kde je to možné, zároveň odporúčam využívať dvojfaktorovú autentifikáciu (2FA/MFA), vo všeobecnosti overovať stránky, cez ktoré sú vykonávané úhrady so zadávaním čísla kreditnej karty, ak je to možné, využívať jednorazovo vygenerované čísla kreditných/debetných kariet pre úhrady na internete a pod.

4. využívanie QR kódov

Odporúčam na skenovanie QR kódov využívať funkcie bezpečnostných aplikácií (napr. Eset Mobile Security, Sophos Internet X for Mobile, Kaspersky a pod.).

5. zopakovanie základných pravidiel informačnej bezpečnosti

Je vhodné v pravidelných intervaloch obnovovať svoje povedomie o informačnej a kybernetickej bezpečnosti.

6. informovanie o informačných incidentoch

V prípade, že by i napriek uvedeným radám, prišlo ku kybernetickému incidentu (napr. ste zadali prihlasovacie údaje k systémom vašej organizácie tam, kde ste nemali), neodkladne kontaktujte IT oddelenie vašej organizácie.

Širší opis jednotlivých rizík...

1. využívanie verejných USB nabíjačiek

USB pripojenie umožňuje nielen nabíjanie zariadenia (mobil, tablet, notebook,...), ale aj dátový prenos smerom do/von zo zariadenia a inštaláciu i aktiváciu škodlivého kódu.

Preto odporúčam vyhýbať sa využívaniu verejných USB nabíjačiek, ktoré môžu byť kriminálnymi skupinami skryto modifikované so zámerom kompromitovať nabíjané zariadenia.

Verejné nabíjačky bežne nájdete na letiskách, v moderných prostriedkoch verejnej dopravy, na rôznych verejných miestach, hotelových zariadeniach a pod.
Na cesty si treba zo sebou zobrať vhodnú vlastnú usb nabíjačku s dostatočným výkonom.

2. verejné wifi – bezdrôtové pripojenie na námestiach, v hoteloch, reštauráciách a pod.

Prístupové body wifi, t.j. zariadenia, na ktoré sa môžete bezdrôtovo pripojiť z mobilu, tabletu, notebooku a pod. a ktoré či už vy alebo vaša organizácia nemá pod kontrolou, môžu byť skryto modifikované či už na odpočúvanie, filtrovanie a modifikáciu prenášaných dát alebo na celkové presmerovanie komunikácie (napr. na falošnú stránku internet bankingu).

Alternatívou pre útočníkov je využívanie svojich vlastných prístupových bodov, ktoré silným signálom dokážu prekryť verejné wifi a presmerovať celú komunikáciu na seba a svoje nekalé aktivity.

Ak ide o profesionálne vytvorený alternatívny prístupový bod wifi alebo skryto modifikovanú (hacknutú) oficiálnu wifi, je veľmi malá šanca, že by ste to dokázali odhaliť a pre ochranu mnohokrát nestačí ani využívanie šifrovaných protokolov pri prístupe na webové stránky (https) alebo k iným službám.

Preto odporúčam pri využívaní bezdrôtového pripojenia použiť pripojenie cez VPN (virtuálnu privátnu sieť), ktorá vytvorí bezpečný šifrovaný kanál medzi vaším zariadením a dôveryhodným bodom pripojenia na internet.

3. využívanie cudzej techniky

Cudzie technické vybavenie (mobilov, tabletov, notebookov, PC,...), resp. techniku, u ktorej nevieme, aký je stav jej zabezpečenia, musíme apriori považovať z pohľadu bezpečnosti súkromia, dát a osobných údajov za nedôveryhodnú!

Táto technika môže byť kompromitovaná, skryto zachytávať zadávané heslá, presmerovávať na falošné stránky internet bankingu, odosieľať vaše údaje a pod.

Môže ísť o techniku v internetových kaviarňach, zariadenie požičané od kamaráta na dovolenke, počítač člena domácnosti a pod.

Preto odporúčam na všetky vážne úkony (prihlasovanie do systémov organizácie, osobných účtov, internet bankingu, komunikáciu s úradmi a pod.) používať len dôveryhodnú techniku.

Všade tam, kde je to možné, zároveň odporúčam využívať dvojfaktorovú autentifikáciu (2FA/MFA), vo všeobecnosti overovať stránky, cez ktoré sú vykonávané úhrady so zadávaním čísla kreditnej karty, ak je to možné, využívať jednorazovo vygenerované čísla kreditných/debetných kariet pre úhrady na internete a pod.

4. využívanie QR kódov

V súčasnosti je veľmi populárne využívanie QR kódov na odkazovanie sa na rôzne informačné zdroje (napr. po naskenovaní QR kódu mobilom sa zobrazia informácie z webovej stránky, na ktorú sa odkazoval QR kód).

V princípe pri skenovaní QR kódu nevieme, aké dáta sú naskenované a či nie sú nebezpečné (napr. neodkazujú na škodlivú stránku a pod.).

Preto odporúčam na skenovanie QR kódov využívať funkcie bezpečnostných aplikácií (napr. Eset Mobile Security, Sophos Internet X for Mobile, Kaspersky a pod.).

5. zopakovanie základných pravidiel informačnej bezpečnosti

Je vhodné v pravidelných intervaloch obnovovať svoje povedomie o informačnej a kybernetickej bezpečnosti. Pre tento účel je možné absolvovať napríklad kvalitne pripravené on-line školenie informačnej bezpečnosti od firmy Eset, prípadne si pozrieť len vybrané témy, ktoré sa týkajú osobitne dovolenkového obdobia a cestovania.

Školenie je dostupné na webovej stránke:
https://bezpecnevofirme.eset.com/sk/category/skolenie-kybernetickej-bezpecnosti-pre-zamestnancov/

6. informovanie o informačných incidentoch

V prípade, že by i napriek uvedeným radám, prišlo ku kybernetickému incidentu (napr. ste zadali prihlasovacie údaje k systémom vašej organizácie tam, kde ste nemali), neodkladne kontaktujte IT oddelenie vašej organizácie.

V prípade, že by prišlo ku kompromitácii osobných údajov (napr. by vám ukradli notebook s nešifrovaným diskom, na ktorom boli spracúvané alebo uložené nejaké osobné údaje v rámci vašej organizácie a pod.), okamžite kontaktujte tím ochrany osobých údajov (DPO) vašej organizácie.

Ak ste tento článok dočítali až sem, dúfam, že uvedené rady vám budú nápomocné pri bezpečnom využívaní vašich IT zariadení v akomkoľvek prostredí, kde sa budete nachádzať...

Publikované/aktualizované dňa 15.08.2024

Peter Šantavý Technológie v službe evanjelia a ľudstva