Dobrý den. Já jsem Martin Hurych a tohle, tohle je Zážeh.

Dnešní Zážeh bude s Romanem Krutinou,

majitelem společnosti ICT-GROUP, vášnivým sportovcem,

toho času cyklistou,

bývalým účastníkem několika, a úspěšným účastníkem několika

Ironmanů a co mě teda úplně dostalo, i spolumajitelem

Montessori školek. Ahoj, Romane.

-Ahoj, Martine. -My dneska se budeme primárně bavit

o IT bezpečnosti, ale než se k tomu dostaneme, tak,

když jsem si pročítal tvoji přípravu, tak mě napadlo,

říká se, že všechno, co potřebuješ, jsi se naučil

v mateřské školce. Co naučily tebe tvoje Montessori školky?

-Nejdřív bych ti rád poděkoval za to, že jsi mě pozval.

Montessori školky, rád bych to uvedl jako na pravou míru,

my už Montessori školky nemáme. Měl jsem je se svojí ségrou

Štěpánkou, to je moje dvojče, takže tímto ji zdravím.

Jsem rád, že jsme to úspěšně dotáhli do nějakého zdárného

konce a že jsme se každý pak už pustili cestou,

která nám byla asi jako trochu bližší.

Ségra dneska pracuje zase v Montessori školce.

A co mně daly, no ve školce mě naučilo, že ne všechno

je byznys, ne všechno musí být byznys a že jsou možná

důležitější věci, než je vydělávání peněz.

A strašně mi to pomohlo v tom, že tam chodily dvě moje děti,

takže řekl bych, že těm to dalo asi nejvíc z nás,

že prostě získaly nějakou samostatnost,

o kterou hned přišly potom, co nastoupily do běžných škol.

Takže tam je zbavili tady těch skvělých věcí, které se tam,

neříkám naučily, ale ve kterých je tam podporovali a to úspěšně

zvládli podle mě jako v pohodě ubýt už na té základce,

takže ano. Bydlím kousek od Úval v malém městě, takže prostě

tam je takový ten klasický přístup těch učitelů, neříkám,

že špatný, ale oni v podstatě nemají moc šanci kdekoliv jako

přijít na to, že by se to možná mohlo dělat malinko jinak.

Takže nejsem žádný aktivistický rodič,

takže jsem nikdy do toho nikomu nekecal a nic jsem neříkal,

že to je špatně a dodneška, ať se mi to líbí, nebo ne,

tak jim tam nějak se snažím pomáhat s tím IT v té škole.

Takže tak. -O pomáhání je celé tvoje podnikání.

Než se dostaneme k IT bezpečnosti v malých

a středních firmách, pojď nám říct, jak jsi se vlastně

k ICT-GROUP dostával.

Jaká je tvoje ve zkratce profesní historie?

-Jasně. Tak složitá, protože když jsem byl na gymplu ještě,

tak jsem byl v podstatě asi poslední ve třídě,

kdo neměl počítač, takže trápilo mě to, tak jsem nakonec teda jako

doma ukecal, aby mi něco koupili, takže mi koupili

486ku v té době. A já jsem nikdy nebyl žádný talent,

ani, prostě měl jsem nějaké

zpoždění vůči spolužákům, takže v té době,

kdy prostě jsme na gymplu programovali,

tak já jsem neměl na čem, že jo, tak logicky jsem

to nemohl umět. Takže v tom jsem rozhodně nějakým

způsobem nevynikal, ale já jsem, mě to vždycky nějak jako

učarovalo, jo, prostě připadalo mi to skvělé a chtěl jsem

to umět, takže i když jsem k tomu prostě neměl znalosti,

tak co jsem měl, tak jsem měl výdrž, jo.

Takže začalo to tím, že jsem ty Windowsy asi 170krát

přeinstaloval, až jsem teda pochopil,

jak to asi funguje. No, ale abych to přeskočil,

tak pak v podstatě jsem se teda přihlásil na ČZU

na obor systémové inženýrství a informatika,

to jsem za 6 let nějak jako s pomocí boží dokončil.

No a pak jsem přemýšlel, co jako dál.

Po nějakých základních brigádách na recepci v Kauflandu

a takových těch běžných věcech, kde se s IT člověk nedostane,

tak jsem se přihlásil do výběrového řízení pro servisní

organizaci na Ministerstvu zahraničních věcí,

kde jsem pracoval asi 2 roky na helpdesku.

Taková ta klasika, chodíš prostě k uživatelům,

něco jim tam opravuješ atd.

-Zasouváš kabely do tiskárny. -Přesně tak, stěhuješ lidi.

A tam jsem první pochopil, že jako, jak funguje

státní správa. To bylo pro mě první jako prozření,

že to je šílené, že tam byli prostě pro mě lidé neuvěřitelně

chytří, které jsem nechápal, co na tom ministerstvu dělají,

až prostě po něco, co jsem nebyl schopný ani pojmenovat, jo.

V podstatě se tam jako v těch kancelářích nic moc

jako extra nedělo. No ale proč to říkám.

V té době Česká republika se připravovala na předsednictví

Evropské unie a v té chvíli to byla skvělá věc

pro nějaké nové věci, unlimited budget,

unlimited prostě všechno jako, jo.

A já jsem tam přišel s tím, že by bylo fajn mít nějaké jako

mobilní technologie pro, v podstatě pro tady tu akci

a oni řekli, fajn, co, jak si to představuju,

já jsem říkal, v té době prostě byla jediná hvězda BlackBerry

a říkal jsem, super, tak já to tady nasadím a oni,

ty tomu rozumíš, a já říkám, ne, já tomu nerozumím vůbec,

ale prostě líbilo se mi to, tak jsem prostě se do toho nějak

jako uvrtal, zároveň jsem si na to jako napsal diplomku na

výšce, už v té době jsem se tomu nějakým způsobem jako

věnoval, takže nemůžu říct, že jsem byl úplně mimo.

Takže měl jsem přehled na tom trhu a šel jsem za svým šéfem

a říkám, že tady je takovýto a takovýto projekt, že primárním

tím tahounem byla kancelář ministra,

protože oni v podstatě potřebovali komunikovat,

potřebovali mít online kalendář, protože se jim to pořád měnilo,

tak pro ně to bylo extrémně zajímavé tady to,

že by tady to mohli mít. Já jsem říkal, dobré,

tak jsem za ním přišel a říkám, je tady takovýto projekt,

mám podporu tady z kanceláře ministra,

bude to stát tolik a tolik, já chci tolik a tolik.

Upřímně na rovinu říkám, že jsem byl trochu jako naivní,

takže neříkám, že jsem byl jako neskromný, to ne,

ale rozhodně už v té době jsem byl docela jako ambiciózní na to,

co jsem neměl za sebou. Takže jsem přišel s nějakým

návrhem, který prostě mi řekli, že to je nereálné,

že prostě tady to prostě nemůže jako prostě dopadnout.

No, tak jsem dal výpověď, zašel jsem si na živnostenský

úřad, zašel jsem do kanceláře ministra, šel jsem se zeptat,

co jako mám udělat pro to, abych to mohl jako dělat.

A oni říkali, no tak my vypíšeme výběrové řízení. Říkám,

no tak dobře, tak já tam, já se přihlásím. No a teď

začala taková půlroční jako šílenost, kdy v podstatě

všichni kolem jako říkali, že prostě to jako není možné,

jako že prostě to se jako nedá jako vyhrát a že jako prostě co,

až se tam přihlásí IBM, která prostě i v té době

tam prostě provozovali mailový systém Lotus Domino,

to je asi jedno, a že přece s tady tím nemůžu jako

nějak konkurovat. No, tak jsem prostě přišel,

dal jsem si tam něco, abych přežil, že jo,

takže prostě nějakou servisní smlouvu, no a vyhrál jsem to.

No, takže to začala jako první věc a začalo to být všechno

strašně růžové. Já jsem si říkal, super,

to je super byznys, za celou tu dobu jsem v podstatě

potkal asi 4 výměny ministrů, takže jsem viděl,

jak se to tam jako politicky různě jako hýbalo,

ale mělo to jedno jako obrovské negativum.

Já jsem prostě pořád musel být na drátě, pořád prostě,

jo, tady ti lidé,

obzvlášť v těch politických funkcích,

měli obrovskou moc a obrovskou, jak bych to řekl no,

prostě ti vám ten kontrakt tam mohli zrušit hned druhý den,

co já jsem si nemohl dovolit, protože jsem jiný

zdroj příjmů neměl. Takže a v té době už jsem začal

trénovat na Ironmana, rozhodl jsem se, že po delší době

začnu zase něco dělat, takže jsem říkal,

dobré, triatlon, triatlony asi, to mě zajímá, jsem bývalý plavec,

tak OK, tak to vyzkoušíme. No jo, ale odjel jsem na první

soustředění na Kanáry a samozřejmě první problémy,

že někde něco nefunguje, já prostě někde,

kde moc nefungoval v té době tam internet fungoval jako

naprosto příšerně a začaly první jako šílené věci,

kdy jsem tam po nocích něco opravoval a dělal.

Tak jsem si řekl, tak takhle to nejde.

Takže z toho, z té role super ičaře, kdy vyděláváš dost peněz,

je to všechno super, tak si říkáš, dobré,

tak si teda někoho najdu. Tak jsem si našel prvního

zaměstnance, shodou okolnosti

můj kámoš z výšky, Jirka, tím ho teda zdravím,

dodneška to spolu děláme, i když to je občas náročné.

No a říkal jsem, super, a měl jsem pocit,

že Jirka to bude dělat stejně, jak to dělám já,

se stejným nadšením, úsilím a hlavně, že to bude

řešit úplně stejně jako, já jsem měl pocit, že efektivně,

ale to bylo první prozření, že takhle to prostě jako

nefunguje, a začalo to martyrium okolo.

V té době moc nefungovaly systémy jako dneska coworkingy,

že byste si někoho vzal na IČO jenom na part time,

prostě v té době ti lidé chtěli pracovat jinak,

jo, chtěli mít práci, chtěli mít za to peníze.

Tak to bylo moje první prozření, že to musíme změnit.

Takže asi po pěti letech, co jsem to dělal na IČO,

jsem říkal, dobré, chci to dělat jako firmu,

tak jsme založili ICT-GROUP, nebo já jsem založil ICT-GROUP,

v té době mně připadalo, že to je strašně skvělé,

že to zakládám sám, a dneska si říkám,

že to byla ta největší chyba, kterou jsem mohl udělat,

protože mně strašně chybí někdo druhý, kdo by mi

k tomu něco řekl, nebo by mě zastavil v blbých nápadech,

podpořil ty dobré nápady, řekl, že tady už je to přes čáru,

takže samozřejmě za posledních 14 let bylo prostě mnoho failů,

jak jsem to, já říkám, že mnohokrát jsme jezdili

na mrtvém koni, mnohokrát jsme jezdili opakovaně

na mrtvém koni a až v podstatě

za, teď jsem se rozhodl po, nevím, poslední 2 roky jsem si

říkal, že to potřebuju nějakým způsobem

změnit. A pro mě vždycky byla sprostá slova korporát,

protože jsem znal Kaufland.

Pak se mně moc nelíbila státní správa, protože

po tom, co jsem dělal na ministerstvu,

tak jsme samozřejmě už jenom s tím, s jakými člověk je lidmi

v kontaktu, tak prostě přišlo i pár dalších zakázek,

které byly velice jako podobné se stejným průběhem,

se stejnou neefektivitou a hlavně jsme se dostávali

do stavu, že měli jsme už jiné klienty,

ale my jsme nebyli schopní žádné státní zakázky vyhrát.

A říkali jsme si, jak je to možné.

A takže jsme si řekli, že asi bude čas tady z toho odejít,

nicméně nikdo nechce přijít o dobrou zakázku na ministerstvu,

ta zakázka byla dobrá, ale jednoho dne prostě se

na ministerstvu rozhodli, že BlackBerry už nepotřebují

a z našeho kontraktu, v podstatě náš kontrakt podělili

50ti a řekli, jestli to chceme za tady to dělat,

a my jsme řekli, ne, nechceme. No a v té době už jsme jako

měli i jiné firmy, takže starali jsme se firmám o IT

a museli jsme začít hledat, abychom to nějakým

způsobem zalátali tady tu díru.

-Takže z ministerstva jsi se dostal mezi malé, střední firmy,

jestli tomu dobře rozumím.

-Je to tak. Nicméně dneska už máme v podstatě ty proudy dva.

Jedna věc je malé, střední firmy, to mě zajímá asi nejvíc.

Tam vidím naši nejvyšší přidanou hodnotu,

tam se snažíme poslední dobou nějakým způsobem být

aktivní na LinkedInu. A druhý ten proud jsou velké,

typicky nadnárodní firmy, kde jim poskytujeme support

typicky pro české pobočky nadnárodních firem,

anebo když jsou nějaké speciality,

které místní IT firmy neumí, tak dost často jsme

v pozici supportu pro IT tým klienta.

Takže nepřicházíme do kontaktu s koncovým uživatelem.

-Já bych se dneska rád pobavil o těch malých, středních firmách,

protože mnohdy, když tyhle ty typy firem navštěvuju,

tak já tomu, co děláš, vůbec nerozumím,

spíš jsem poučený laik, nebo

nadšený uživatel IT technologií, ale mnohdy i s amatérským okem

se podivím, co se v těch firmách děje.

Ze své pozice, jak je to u malých,

středních firem z té bubliny, kterou třeba vidíš ty,

s IT bezpečností

obecně? -Já myslím, že to souvisí s tím, čemu se říká jako proces.

A to vidím i u nás, že prostě čím ta firma je menší,

tak tím míň tady to tam není, jo.

Je to dané prostě tím, že každý si je vědomý toho,

asi co má dělat, a prostě moc se nepřemýšlí o tom,

jestli Frantu nahradíme někým jiným, nebo že by ta firma

nějakým způsobem hodně rostla.

Já bych to přirovnal k něčemu, jako je SEO, jo. SEO určitě znáš,

jo, to všichni taky znají a když se ti,

když se někoho zeptáš, jak být první, tak z toho začnou

všichni dělat woodoo, jo. A teď ten rozdíl je v tom,

kdo umí dělat jako větší woodoo a zapůsobí na toho klienta.

Já nechci dělat to samé jako v IT,

ale takovýto z toho mám já pocit, že v podstatě všichni

z toho dělají woodoo, ale ono to vůbec žádné woodoo není.

Je to stejné jako s tím SEO, jo.

Prostě musíš ty věci dělat pořádně, aby to jako

fungovalo a neexistují žádné zkratky k cíli, ani prostě žádné

obezličky typu drahé krabičky, drazí konzultanti,

když se se základníma věcmi nezačne jako u sebe samotného,

ať už ten inovátor může být třeba majitel té firmy,

tak když ten majitel té firmy bude důsledný a bude

tím příkladem pro ty lidi, tak oni pochopí ten důvod,

proč nějaké základní bezpečnostní jako věci plnit, jo.

To bychom možná mohli tady jako zmínit.

-To je dobrý nápad. Probereme je.

My jsme se domluvili, že to, co vlastně tady teďka

vyjmenujeme, zároveň bude v příloze tohohle toho podcastu

jako bonus pro stažení a nějaký, řekněme, checklist,

nebo krátký návod. Pojď je teda projít ty body,

které myslíš, že jsou potřeba jako úplný základ předtím,

než se začnu hýbat v bezpečnosti dál.

-Je to tak. Pojďme na to. Tak ta nejdůležitější věc,

kterou máš a kterou mají všichni, tak jsou data.

Takže znamená to zálohovat data.

Ideálně, když je budeme zálohovat pomocí metodiky 321,

teď to trochu zjednoduším, takže jestli nás poslouchá

nějaký IT expert, tak mě, prosím vás, za to nelynčujte,

ale snažím se to dělat pochopitelné pro všechny.

Takže je dobré mít tři kopie dat na dvou rozdílných nosičích

a bylo by fajn, aby jedna ta záloha byla mimo firmu.

Co je důležité a dneska se to možná moc nezmiňuje,

tak všichni, odpověď je, my to máme v cloudu, nemusíme

to řešit, Google, Microsoft, AVSko.

-Teď jsi mi sebral moji otázku, no.

-Je to asi jedno. Nicméně u všech tady těch providerů se

podívejte na něco, čemu se říká sdílená odpovědnost,

v angličtině shared responsibility,

a tam je jasně definované podle typu služby,

když se budeme bavit o, asi vám nejbližší služba bude

SaaS typicky, nevím, Office 365, od Googlu Google Docs,

je to asi jedno, tak tam je přesně definované, za co

zodpovídá provider, Microsoft, nebo Google, to už je asi jedno,

a za co zodpovídáte vy. A jedna z těch věcí je,

že vy zodpovídáte za ta data a za ty identity,

které tam jako jsou. Takže co vám doporučuju,

tak je zálohovat tady ty cloudové věci, které máte.

Už dneska z toho geopolitického pohledu vůbec není zřejmé,

co se kde může stát, jestli prostě tady to je úplně

pod kontrolou, na rovinu říkám, není to pod kontrolou, takže

jestli můžete, zálohujte to.

V checklistu budete mít způsoby, jak to udělat, některý z nich

je skoro zadarmo, takže jistojistě doporučuju.

-Ty jsi říkal 321. Tři kopie tomu rozumím.

Dvě různá média, to znamená, jedno mám cloud a jedno mám

nějakou NASku, nebo?

-Třeba, je to jedna z možností, abychom to udělali

jednodušší, tak aspoň to mít na dvou rozdílných zařízeních,

když to vezmeme. Není to asi úplně přesně,

jak by to mělo být, ale dvě rozdílná zařízení

jsou fajn, aby se vám nestalo takové to,

co vidíte asi na LinkedInu, takové ty joky, kde vidíte,

spadl nám server, kde je záloha, no záloha je na tom serveru.

Tak to nechcete řešit, protože všechno vymyslíte,

ajťáci jsou super, takže vám všechno nainstalují,

ale data vám nevymyslí, když prostě, to nejde.

Takže data je všechno, co máte, dělejte to takhle.

A poslední věc, kterou dělejte,

dělejte to tak, aby vaše zálohy vám případný

útočník nesmazal nebo nezašifroval.

Je to dneska velké téma,

říká se tomu nesmazatelná záloha, anglicky immutable

backup, a je to v podstatě způsob řešení nebo nastavení

takový, aby v případě, že vám útočník kompromituje

infrastrukturu, tak když v té infrastruktuře jsou

i ty zálohovací servery, tak ti útočníci nejsou blbí, jo.

Když na vás opravdu útočí, opravdu jste jejich cíl,

tak první, co budou řešit, je, že vám chtějí zničit zálohovací

infrastrukturu. A v případě, že jsou kompromitované ty účty

na tom zálohovacím systému a ten identitní systém,

jakoby ty identity jsou stejné jako v té infrastruktuře,

tak jste ve velkém problému. Protože velice pravděpodobně

dojde k tomu, že vám ty zálohy zašifrují nebo smažou.

Takže co doporučujeme, nebo co je jako doporučení,

buďto zálohovat na nějakou cloudovou storage,

která tady to umí by design,

umí to například AVSko, umí to i Azure,

nebo to zálohujte na nějakou NASku a login

do té NASky si ideálně

zabezpečte pomocí dvoufaktorového ověřování

a nepoužívejte stejné loginy, nebo nepoužívejte integraci

s vaší infrastrukturou, aby v případě té kompromitace se

on tam opravdu ten útočník nedostal.

Jsou i nějaké další

možnosti, ale asi to tady technicky nebudeme rozebírat,

hodíme to do toho checklistu, kdo bude potřebovat,

nebo chtít jenom poradit, tak na webu mám všechny kontaktní

údaje na sebe, není to nic tajného, takže...

-K tomu se ještě dostaneme určitě.

Ty jsi říkal, zálohovat 321, teď jsi říkal, nesmazatelné zálohy.

To jsou teda dva body, jestli to chápu.

-To s tím souvisí, to je v podstatě bod 1.

-Okay, tak další. -Druhá věc, která

tam je a která je nejčastější a nejšílenější, tak je používání

stejných hesel v různých službách. A lidé občas

argumentují a říkají, já jsem si nechal vygenerovat

supertajné heslo a to používám teď všude.

Já říkám, no super, to je fajn, ale prostě to není dobře,

jo, protože vy nikdy nevíte, tam ani nemusí dojít

k žádnému útoku, ale vy ani nikdy nevíte,

jestli náhodou v tom systému, kde používáte to heslo,

ten administrátor náhodou ho třeba neukládá jako plain

text, takže on se podívá do databáze a uvidí

vaše heslo, jo. Může to někdo napadnout tu službu.

Typicky to prostě funguje tak, že používáte mnoho služeb

na internetu, používáte stejný login a stejné heslo,

dojde k nějakému úniku nebo kompromitaci z jedné služby,

no a ten útočník je automat, jo, to nedělá člověk.

A ten automat prostě vyzkouší tady tu kombinaci těch

uživatelského jména a hesla pro přihlášení, kde to jde.

No a kde to jde, tak kam se dostane,

tak tam to použije. Takže rozhodně používejte prostě

pro každou službu unikátní uživatelské jméno a heslo a kde

to jde, tak používejte multifaktorové ověřování.

Jde to skoro všude, takže začněte u Facebooku,

začnete u LinkedInu, začněte u Skypu, začněte na Gmailu

a začněte na Office 365 a nedělejte žádné výjimky.

Výjimky se dělají, když k tomu mají nějaké opodstatnění,

ale pro vás pro běžné uživatele to berte tak,

že žádné výjimky neexistují. Snažte se nepoužívat služby,

které to neumí. -Teď mě napadlo,

tohle si přece nedokážu zapamatovat.

To je nejtypičtější odpověď, kterou slyším.

-Jasně, to nejde zapamatovat. Takže prostě bude to tak,

že vám nezbyde nic jiného než používat password manager

a teď už je na každém z vás, jestli chcete věřit

nějaké cloudové službě, logicky chápu lidi,

kteří tomu nechtějí důvěřovat, anebo jestli si to budete

ukládat někde u vás, ať už na NASce, nebo na počítači,

nebo si to budete synchronizovat v nějakém šifrovaném souboru.

Zase uvidíte, dostanete v tom checklistu nějaké nápady nebo

návrhy, jak to jako udělat. Každopádně bez tady toho se

jakoby nehnete dál. Zase neberte to jako bernou minci,

že když tady to mám, tak to mám jako vyřešené.

Zase je to software, zase software může mít zranitelnosti,

takže třetí rada je, aktualizujte.

Bude vám to dělat spoustu problémů, aktualizace,

to znáte, jo, prostě cokoliv, Microsoft tím je super známý,

myslím, že se trošku zlepšil. A všichni ostatní prostě vendoři,

kteří jsou, tak když se dneska podíváte,

kolik je za poslední, nevím, 3, 4 měsíce problémů bezpečnostních

super velkých firem, které mají téměř neomezené

budgety, takže představa toho, že vy to děláte dobře

a vás nikdo nehackne, na to zapomeňte.

Je to otázka času, úsilí a motivace toho útočníka

tady to udělat, jo. Když bude mít velkou motivaci,

tak stačí se podívat do Ruska. Nemyslím si, že by v Rusku

byli všichni úplní takoví zoufalci

a prostě se jim to povede.

-Já se vrátím ještě o krok zpátky, napadlo mě podle toho,

co jsi povídal,

dost často teďka spousta majitelů firem třeba odevzdává

svůj linkedinový účet na správu nějaké marketingové agentuře.

Jak se chovat v tenhle ten moment, kdy sharuješ s někým

heslo a možná nechceš, aby ho tak úplně věděl?

Dá se to vyřešit? -Hele, já to primárně vidím

jako problém těch služeb, jo, protože ty bys v podstatě

svoji identitu nikdy nikomu neměl dávat, jo. To je stejně,

jako kdybys svému finančnímu řediteli odevzdal tvůj jako

přístup k soukromému účtu, protože ti tam chodí peníze.

To nedává žádný smysl. Takže všechna ta řešení,

která jakoby existují a ty password managery to třeba

některé umí, tak jsou fajn, ale primárně

je problém v té službě. Ta služba nebyla dělaná na to,

aby byla více uživatelská, možná to je LinkedIn,

možná to je, co mě napadá, třeba Facebook, že jo,

ten taky v podstatě nějak moc jako rozumně nemůžeš udělat,

a úplně stejně tak to bude třeba Twitter. Takže asi

pravděpodobně mu budeš muset důvěřovat,

asi pravděpodobně by bylo fajn i tak si prostě zapnout

nějaký multifaktor a když budete moc chtít,

tak si pořídíte jedno číslo, kam budou chodit ty esemesky nebo

ten autentikátor a holt si to budete předávat,

jo, ale ideální řešení to rozhodně není.

Tady ti vendoři by na tom měli zapracovat.

Já se bohužel obávám, že tady tím chováním částečně

možná porušuješ některá ta pravidla používání těch

služeb, takže oni jsou z toho asi z obliga, no.

-Okay. Tak jsme zálohovali a aktualizovali,

máme password manager. Co dál? -Super. Čtvrtá věc,

která tam je, tak nepracujte pod privilegovanými uživateli.

Co to znamená? To znamená, aby to bylo bezpečné,

tak je potřeba, abyste pracovali pod nejmenšími právy,

které prostě umožní vaši bezproblémovou práci.

Typicky malé firmy, je tam majitel, ředitel, někdo,

kdo si dupne, je to taková ta hlava, která vydělává,

řídí a chce mít přístup všude.

-To jsem býval já. -Nedělejte to, nedělejte to.

Tím nutně neříkám, že ten přístup někde nemáte mít,

ale vy pro 99 % své práce ho v podstatě nepotřebujete.

Vy ho tam máte jako zálohu a dobrý pocit,

že až bude potřeba, tak se tam dostanete.

Pracujte pod userem, který není administrátor,

a když budete potřebovat něco nainstalovat,

protože v SMBčku prostě budete řešit ty peníze, budete řešit,

kolik peněz vás bude stát správa IT.

Jakmile všem seberete práva administrátora a oni budou

chtít něco nainstalovat, tak to někdo bude muset udělat.

Takže buď někdo z vás bude administrátor,

anebo zavoláte té IT firmě, no a to něco bude stát.

Ale řešení typu, že to vyřešíme tím,

že všichni budou administrátoři, tak to je cesta do pekla.

Takže jestli svým lidem věříte, tak je naučte pracovat

pod běžným userem.

Tady to asi není jako security super doporučení,

ale je to nějaký kompromis, který...

Teď jsem si vzpomněl na Radima Paříka

a jeho kompromis, tak to neberu.

Ale je to kompromis, který asi řeší jako vaši situaci.

Budete běžně pracovat pod normálním účtem,

který není administrátor, a buď jeden pověřený pracovník

u vás, nebo ti uživatelé budou znát heslo administrátorské,

lokálního administrátora na té stanici v případě,

že potřebujete něco nainstalovat, něco si

aktualizovat, co vyžaduje administrátorská práva.

Dneska spousta těch softwarů už je inteligentních,

že tady to nepotřebuje, takže to by bylo fajn používat,

ale nejsme v ideálním světě, takže těch problémů je tam pořád

ještě spousta. Takže to je další věc, kterou jako nechcete řešit,

a tak jsou všichni administrátoři.

A v případě, že jste ve velké firmě,

tak všichni jsou takzvaně jako domain administrátoři,

to znamená, máte něco, kde máte jednotnou správu

identity a všichni jako můžou všechno.

Tak to není dobrý nápad.

Tak to je další průser, který jakoby vzniká tím,

když to takhle funguje. -Co tam máš dál?

-Česká republika je unikátní místo,

kde vzniklo neuvěřitelné množství skvělých softwarů,

ale i těch ekonomických softwarů.

A jak bych to řekl, ta doba, kdy ten software se vyvine

a dál se používá, tak je tak asi 20 let,

co jsem slyšel, než se to té firmě jako úplně

celé zaplatí, aby to udělala moderně.

Takže dneska všichni máme Pohody, Money,

cokoliv a když se k tomu chcete připojit na dálku,

tak k tomu používáte vzdálenou plochu.

Nedělejte to, nedělejte to, nedělejte to.

Je to jeden z nejběžnějších jako způsobů útoku na

v podstatě identitu. Dost často tady to řešení

není chráněné nějakým druhým faktorem,

takže jde opravdu o nějaký

útok hrubou silou, kdy ten útočník pořád dokola

zkouší kombinaci, až se mu to jednoho dne povede.

A je tady jeden takový malý tip, nezapomeňte si disablovat

defaultního usera, který se jmenuje administrátor,

protože tady ten user má jednu skvělou věc.

Ten se nikdy nezamkne, i když to zkouší ten útočník milionkrát.

Když si ho disablujete, vytvoříte si jeho kopii,

tak už se dají nastavit pravidla na to, aby to takhle nešlo.

Ale moje doporučení je, nedělejte to takhle.

Buď si to zamkněte za VPNku, nebo si to nějakým

způsobem ochraňte, aby tady k těm útokům nedocházelo, no.

-Máš tam ještě něco takového, co najdeš skoro všude?

-Nevím, jestli všude, ale především u těch malých

firem, které, nechci říkat, že jsou to výdejoví vrtači kolem,

ne, to ne, ale prostě hodně přemýšlí o tom,

kolik co bude stát. A tady ty vymýšlí neuvěřitelné

jako skvělé záležitosti, jak používat jako personální účty

cloudové pro firemní potřeby. A ono to funguje strašně super

do té doby, než vám ten zaměstnanec odejde s tím účtem.

A ten účet není totiž váš, ale toho zaměstnance.

To je jako velký rozdíl. Takže jestli prostě budete

používat nějaké systémy pro back office,

ať už jsou to u ukládání souborů, e-maily,

ať už je to od Microsoftu, nebo to je od Googlu,

pořiďte si i ten nejlevnější firemní,

kde v podstatě vy máte pod kontrolou správu identit

a těch uživatelů i těch dat, které tam jsou,

protože jinak to jako nevymyslíte a hlavně

se k tomu nedostanete. Až napíšete na ten support,

tak vám nikdo nepomůže, jo. Takže rozdíl tady těch

personálních věcí, které jsou dost často zdarma,

tak ad 1 nejsou zdarma, to je první věc,

která je potřeba si jako říct, že ta firma na tom musí

nějakým způsobem vydělávat, takže asi pravděpodobně na těch

datech, které tam máte, a druhá věc, že to absolutně

nemáte pod kontrolou. Takže to nedělejte,

to za to nestojí, jo, takže... -Když tě tak poslouchám,

tak mi přijde, že drtivá většina, co jsi tady řekl,

nevím, možná žiju v jiné bublině,

ale vlastně jako není raketová věda,

mluví se o tom dlouho, tak mě napadlo z té tvojí vlastní

zkušenosti, protože se tím zabýváš dnes a denně,

co vede ty lidi,

se kterými se potkáváš, vlastně k ignorování těchto

doporučení, které jsou na trhu relativně dlouho?

Každý ajťák o nich mluví a přesto se to nedělá.

-Pohodlnost, to je jednoduché, pohodlnost. Já to vidím

i u nás ve firmě u ajťáků, jo. Ten proces té změny musí nastat

u toho člověka, který tu změnu jako táhne nebo který ji tam

má na starosti.

To je, v té firmě si musíte najít někoho, kdo to riziko vidí.

Já moc nemám v oblibě ty lidi moc strašit, ale

asi poslední dobou chápu, že je potřeba, aby si

ti lidé uvědomili, co se stane, až se jim nějaký problém nastane.

A ten problém může být, nemusí to být žádné hacknutí,

jo, to může být, že se jim prostě rozbije server,

jak to mají zazálohované, jak to mají vymyšlené,

kolik si můžou dovolit ztratit času do té doby,

než se to obnoví. A problém je, že ty firmy to nemají na papíře

vyčíslené, takže prostě, když přijdete do výrobní firmy,

nebo do nějaké firmy, to už je jedno,

můžou to být právníci, tak když jim to 4 hodiny nepůjde

a oni si sami na papíru podívají, že 4 právníci,

že to je 8000 jako, jo, že to je 8000 jenom jakoby

za hodinu krát 4 a tady to, když uvidí a uvidí,

že ty náklady na to to dělat přiměřeně dobře jsou, neříkám,

že jsou malé, jo, ale nejsou tak šílené,

tak možná o tom začnou jako přemýšlet.

Takže já si myslím, že to je jenom jako pohodlnost,

lenost a hlavně nějaká historická, a mě se to netýká,

mně se to nemůže stát, protože kdo by na mě útočil,

já nikoho nezajímám. -To jsem přesně chtěl říct.

-Není to pravda.

-Jestli se toho můžeme právě lehce dotknout. Tohle já slyším.

Proč já bych zálohoval, já tady nic nemám, kdokoliv chce,

ať se na mě podívá, já tu nic netajím.

Co s tímhle tím?

-To je super, to je skvělé, že jste supertransparentní.

Zamyslete se nad tím, jak to bude fungovat,

až ty dokumenty mít nebudete, jo.

Prostě vy jste s tím strávili obrovské množství úsilí,

je tam nějaká historie, třeba se do těch dokumentů nekoukáte,

ale rozhodně člověk přijde na, jakoby

na to, že to je velký problém, až v té chvíli,

kdy tu informaci potřebuje a nemá ji tam, jo.

Typicky přijdeme, my jsme totiž jakoby v

takové jako schíze. Model fungování IT firmy v SNB

segmentu je takový, že někam přijdete, dejme tomu,

že někdo vypíše výběrové řízení a vyhraje ten,

kdo dá nejnižší cenu. Ale nejnižší cenu za co,

to nikdo jako moc neví.

Takže my jsme vždycky jako ve schíze v tom, že oni říkají,

dobré, bude nás to stát 5 000, vy se dohodnete na nějaký paušál

a když se nic neděje, tak jsou naštvaní,

že jako to funguje a my nic neděláme,

a když se pořád něco děje, tak jsou naštvaní,

že platí těch svých 5 000 a ono to pořád nefunguje. Takže tak, no.

-Spousta lidí si útočníka představí jako někoho

z Anonymous, někoho, kdo sedí v černé kukani a hledá,

kam by se probořil.

To tak asi dneska už dávno není, ne?

-Ne, já vždycky říkám, tady to je, to je prostě

James Bond tady ta představa a já vždycky říkám, hele,

tak to není, představte si člověka,

který vezme cihlu a hodí vám ji do auta

a ukradne vám notebook. To je typický obraz toho,

jak to jako vypadá. To prostě normálně takhle

jako na drsno a nejsou to žádní hezcí lidé,

jsou to prostě normálně kriminálníci, jo.

Takže prostě je to takhle a dost často prostě ten člověk

chodí stejně jako vy oblečený, sedí v kanceláři

a třeba to je celá skupina, která prostě je takhle

organizovaná, to je normálně jako fungující byznys jako váš,

jo, akorát prostě jsou organizovaní, jo.

-Mně spíš šlo o to vytipovávání, jo.

Narážím na tu víru, že mně se nemůže nic stát,

protože co po mně by někdo chtěl. -Jo, je to typické.

Takže to znamená, to souvisí s tím, neaktualizace systému,

to znamená, dneska existují systémy,

které pořád dokola skenují to, co máte vy strčené do internetu.

Jakmile tam je nějaká zranitelnost, která

je zneužitelná, tak se na to automaticky použije skript,

dojde k průniku do té firmy, k nějaké eskalaci privilegií

a pak už to teprve začne řešit ten jako fyzický člověk,

ale dost často ten prvotní jakoby průzkum je absolutně

automatizovaný tady v tom, jo. Rozešlou se phishingové kampaně,

všichni na to klepnou, nebo neklepnou, přihlásí se,

když nemáte ten multifaktor, prásk a už mají vaše uživatelské

jméno a heslo, jo. A dneska rozeznat phishingový

e-mail, když to udělají dobře, od toho nephishingového,

tak to je sakra těžké i pro ajťáky, jo.

Takže já vždycky říkám, ajťáci to mají udělat tak,

aby nespoléhali na to, že to ti koncoví lidé odhalí.

To prostě není pravda, jo. Když to bude dobře udělané,

tak to neodhalí.

-Pro mě je u mě tady takové malé

wow, jak jsi říkal, že to je vlastně automatizovaný

normální byznys. Takže tak, jak se tady bavíme

o automatizacích našeho byznysu,

tak je to vlastně na té černé straně podobné,

možná dokonce stejné? -Je to úplně stejné jako

my v IT, když něco spravujeme, snažíme se to chránit,

tak to dneska není možné to dělat ručně,

protože ručně znamená, že to děláš nepravidelně.

Takže ty potřebuješ to kontrolovat kontinuálně

a to samé dělají ti útočníci. Oni jsou stejně líní jako

my a chtějí toho zvládnout co nejvíc za co nejmíň práce,

takže opravdu jsou to automatizované systémy

a opravdu jim na to dost často pomáhají tituly,

které jsou i na tu druhou stranu, jo. Ty jsou,

ty se dají použít

různým způsobem a teď je jenom otázka,

jestli ten člověk je na té straně toho white

hackera, to jsou ti, kteří odhalují ty jako věci,

které máte špatně, ale nehackují vás,

a pak na toho teda black hackera, který jako prostě

bude chtít něco, že se k vám dostal,

prostě nějaké vydírání, jo. Může to být ten ransom za to,

že vás zašifruje. Dneska už jsou,

všichni říkají, dobře, my to máme zazálohované,

takže až nás někdo jako napadne, tak nemáme problém.

Ale oni vás dneska už budou vydírat za to,

že ta data budou publikovat. Takže vy sice máte zálohy,

ale stejně máte problém, jo. Takže nedá se tomu asi vyhnout,

jestli to máte superzálohované, tak je to skvělé,

ale pravděpodobně stejně budete přemýšlet o tom,

jestli zaplatit nebo nezaplatit, jestli vám to nezkazí

reputaci tady to.

-Jak říká Radim Pařík, připravte si nějaké Bitcoiny.

-Připravte si, připravte si Bitcoiny, ano.

-Chtěl jsem se zeptat ještě na jednu věc.

My tady dost často končíme trendy,

na co se připravit atd. atd.

Jestli to dobře chápu, tak my jsme vlastně probrali

takové to nejklasičtější IT typu servery, notebooky a tak.

Moc jsme se nedotkli mobilů.

S internetem věcí jde vlastně na internet spousta dalšího

hardwaru, který může být napadnutelný,

ty případy už se staly.

Možná se objevují i další zařízení,

o kterých já v tuhle chvíli nemám ani tušení,

které se na internet připojují, auta typicky.

Na co se připravit a jak možná svoji

bezpečnost IT posunout vpřed i v těchhle těch

oblastech a na co se připravit v příštích

měsících, letech, nevím?

-Já myslím, že to je úplně stejné se vším. Důslednost,

to je první věc, nedělejte výjimky. To znamená,

to jsme se bavili, jestli někam používáte nějaký USB token,

jestli někam používáte uživatelské jméno a heslo,

zkuste k tomu vždycky dát ten druhý faktor,

který prostě vy vlastníte a ten útočník ho nemá,

takže v případě, že dojde ke kompromitaci

uživatelského jména a hesla, tak buď máte nějaký token,

kterého se dotknete a to, že to funguje, je to,

že se toho dotknete, nebo máte ten mobil, na kterém pípne

ideálně ta autentizační appka, v horším případě třeba

ta esemeska, pořád je to lepší než nic.

Takže nedělejte výjimky.

Jestli máte mobily,

u těch mobilů je to, to je v podstatě dneska jsou

to počítače, takže dost často ti lidé mají vlastní a v těch

firmách nechtějí používat, nebo dneska už to není tak,

že prostě mají mobil takový, který jim vyhovuje,

a ten zaměstnavatel by jim dal pravděpodobně horší,

který oni nebudou chtít používat, takže prostě, takže...

A asi nedonutíte toho zaměstnance,

aby ten mobil byl pod nějakou jako super správou,

jo, že byste tam mohl vynutit heslo a cokoliv.

Ale dneska prostě už třeba, když budete používat řešení

od Microsoftu, tak to můžete řešit na úrovni té aplikace.

Takže my můžeme říct, že když máte firemní e-mail,

tak máte, musíte k tomu používat appku od Outlooku,

jmenuje se Outlook a my v té appce vynutíme ověření,

dejme tomu, face ID přímo na té appce.

Když to ztratíte, nebo vás vyhodíme,

tak vám z toho mobilu sice můžeme smazat tu appku,

ale nic jiného, ten mobil je pořád váš,

pod tím nemáme žádnou kontrolu, takže technologická řešení

tady jsou, dost často se nepoužívají,

dost často to není v těch nejlevnějších plánech,

které ti lidé chtějí, takže když chtějí ušetřit,

tak to prostě není možné nasadit. Zároveň vždycky

přemýšlejte o tom, že ten cloud je super pro ty malé

firmy i pro ty velké firmy, jo, v podstatě malá firma si dneska

může dovolit řešení, které před 10 lety nebylo možné,

protože bylo možné akorát v on-premisu a stálo

by to neuvěřitelné množství peněz.

Na druhou stranu ten cloud je pořád připojený do internetu,

přemýšlejte o tom, takže jestli tam něco udělá

špatně ten cloud provider, to je první problém,

a jestli uděláte něco špatně vy, tak ten útočník na tom

už je 24/7, takže ty chyby se tam projeví ještě ve větší míře.

A pak si ještě ve vašich zasedačkách zkontrolujte

ty chytré televize, které máte zapojené

do toho internetu a které jsou z Číny.

To je asi odpověď na to, co všechno je zapojené,

co všechno je zapojené do

internetu. A viděl jsem nějaký jako fajn joke,

jak hackli jedno kasino a hackli ho, měli tam rybičky,

měli tam krásné akvárium a v tom akváriu měli teploměr,

který byl IoT zařízení, které měří teplotu. No, bylo

připojené do internetu, byla tam nějaká zranitelnost

a už to jelo, jo. Takže jsou to drobnosti,

asi jsou to dneska už, takhle, asi pořád tady ten hack na úrovni

tady těch zařízení není tak běžný jako prostě únik hesla,

nebo prostě špatná hesla, stejná hesla a takové ty běžné

věci, ale prostě velice pravděpodobně,

až tady to si lidé vyřeší, tak přijde tady to a těch

IoT zařízení bude strašně moc, jo.

Já jsem koukal dneska, jestli náhodou naše pračka

není IoT, snad není jako, jo, ale nechtěl bych

to mít připojené do internetu.

-To mě napadla taková stará hláška, vtip.

Teď teda ukážu, jak jsem starý, já ještě pamatuju 3,5 palcové

diskety, že nejsnadnější, jak hacknout firmu,

je poslat 3,5 palcovou zavirovanou disketu sekretářce

a na tu obálku napsat seznam propouštěných lidí.

Pořád něco takového platí? -Pořád něco takového platí.

Jestli tady někde budeš mít nějaké etické hackery,

nebo nějaké penetrační testery, tak typicky se prostě

rozhazují flashky tady s tím, na té flashce prostě jsou odměny

vedení, nebo něco takového, co prostě každý bude

chtít jako otevřít.

Prostě, jo, byl jsem i na pár školeních,

kde prostě tam ukazovali vishing, což je v podstatě

něco jako phishing, ale přes telefon jako, jo,

kdy volá ajťák. A ta firma věděla,

že bude tady to školení a volá té paní účetní a teď ona říká,

dobrý den, tady jsem z IT supportu, a ona říká,

no my jsme měli teď takové to školení a měli jsme o tom,

že tady s někým prostě nesmíme o tom mluvit. Ona říká,

to je skvělé, jak jste chytrá, to je ono, teď si jenom

spusťte tady ten program a už to jelo.

Takže samozřejmě

největší problém je, jsou lidé a

mně se vždycky, já, s čím moc nesouhlasím, je,

že řešením toho je, všechny vyškolit a tím vyřeší

celý se ten problém. Čím větší firma,

tím větší fluktuace a tím větší pravděpodobnost,

že ten útok přijde ve chvíli, kdy ti lidé nejsou

vyškolení, to je celé. Takže já si myslím,

že my ajťáci bychom to měli zařídit tak,

abychom moc nespoléhali na ty lidi, že to odhalí

a že budou, že to budou chápat. Ti lidé prostě chtějí dělat

svoji práci a my bychom měli být v pozici toho,

že jim to umožníme dělat komfortně a bezpečně.

Což dost často to zvládáme udělat bezpečně,

ale rozhodně ne komfortně.

-Když to budu chtít udělat bezpečněji,

komfortně, kde tě najdu?

-Hele, určitě mě na najdeš na LinkedInu, určitě mě najdeš

na našem webu, tam je mail i telefon na mě. Myslím si,

že to je všechno, co potřebujete k tomu,

kdybyste se chtěli na něco zeptat.

-Takže ti můžeme volat i přesto, že jsi

nechtěl zákaznické telefony?

-Jo, to jsem se rozhodl teď poslední dobou tam dát i svoje

telefonní číslo. Včera se mně dovolal jeden pán, který říkal,

že by mně rád nabídl jako změnu vlády a když jsem se teda ptal,

kdo to jako bude, tak říkal, že to nebude nikdo jiný a nikdo

menší než Bůh. Tak jsem říkal, okay, tak telefonování začalo,

nevím, jestli to zase nedám nazpátek dolů to číslo.

-Takže rychle Romanovi volejte, než zase číslo z webu stáhne.

Romane, děkuju. Bylo to prima. -Já taky moc děkuju, Martine.

-Tak to byl Roman Krutina z ICT-GROUP.

Pokud jsme vás zažehli pro minimálně audit situace,

IT situace ve vaší firmě, tak jsme naši práci

udělali dobře. Určitě se nebojte tenhle ten díl a jakýkoliv další

díl Zážehu sdílet se svými kamarády a známými, likujte,

dávejte odběry, ať už na YouTube, nebo ve vaší podcastové aplikaci.

Jak už jsme tady s Romanem říkali, k téhle epizodě bude i bonus,

pár bodů, které byste měli začít ve firmě řešit,

pokud svoji bezpečnost považujete za důležitou.

Tenhle bonus najdete na mých webových stránkách,

www.martinhurych.com/zazeh.

No a mně už nezbývá, než jenom držet vám palce

a přát úspěch, díky.