Hacking

BEZPIECZEŃSTWO INFORMACJI CYBER AI KSC SZBI ISO 27001 Moduł 2 Ryzyko i myślenie audytowe

Dariusz Gołębiowski

BEZPIECZEŃSTWO INFORMACJI CYBER AI KSC SZBI ISO 27001 Moduł 2: Ryzyko i myślenie audytowe Ryzyko w cyberbezpieczeństwie często kojarzy się z tabelami, skomplikowaną matematyką, audytowym żargonem i straszeniem katastrofami. Ten eBook pokazuje coś zupełnie innego: ryzyko jako praktyczne narzędzie podejmowania decyzji, zarządzania organizacją i budowania realnego bezpieczeństwa. **Moduł 2 "Ryzyko i myślenie audytowe"** prowadzi czytelnika od podstawowego zrozumienia, czym naprawdę jest ryzyko, przez odróżnienie zagrożenia, podatności i skutku, aż po praktyczne podejście do traktowania ryzyka, priorytetów, decyzji kierowniczych i spojrzenia audytora. To materiał napisany prostym, zrozumiałym językiem - bez "ISO-bełkotu", bez sztucznego strachu i bez oderwania od codziennej pracy organizacji. Autor pokazuje, że bezpieczeństwo informacji nie zaczyna się od narzędzi technicznych, ale od właściwego sposobu myślenia: zauważania ryzyk, rozumienia skutków, dokumentowania decyzji i budowania powtarzalnego systemu działania. W środku znajdziesz m.in.: * wyjaśnienie, czym jest ryzyko w rzeczywistym świecie, * różnicę między zagrożeniem, podatnością, skutkiem i ryzykiem, * przykłady błędów popełnianych przez organizacje, * praktyczne studia przypadków, * spojrzenie na ryzyko z perspektywy zarządu, CISO, audytora i pracownika, * odniesienia do NIS2, uKSC, ISO 27001 i SZBI, * ćwiczenia refleksyjne pomagające przełożyć teorię na praktykę. Ten moduł jest szczególnie przydatny dla osób, które chcą zrozumieć cyberbezpieczeństwo nie tylko jako zbiór zabezpieczeń technicznych, ale jako element zarządzania organizacją, odpowiedzialności kierowniczej, ciągłości działania i świadomego podejmowania decyzji. To eBook dla dyrektorów, kierowników, administratorów, inspektorów ochrony danych, osób odpowiedzialnych za IT, bezpieczeństwo informacji, compliance, zarządzanie ryzykiem oraz wszystkich, którzy chcą przygotować organizację do wymagań NIS2, uKSC i podejścia zgodnego z ISO/IEC 27001. **Jeżeli chcesz przestać bać się słowa "ryzyko" i zacząć używać go jako praktycznego narzędzia zarządzania - ten moduł jest dla Ciebie.**

BEZPIECZEŃSTWO INFORMACJI CYBER AI KSC SZBI ISO 27001 NIS2 MODUŁ 3 DOKUMENTACJA, KTÓRA MA SENS

Gołębiowski Dariusz

Wstęp: Manifest Praktyka 12 Lekcja 3.1 Po co w ogóle dokumentować? 16 Rola lekcji 16 Cel lekcji 3.1 18 Dlaczego dokumentacja ma złą reputację 19 Najważniejsze tezy tej lekcji 21 Dokumentacja jako przedłużenie myślenia ryzykiem 23 Przykład - "mamy procedury, ale..." 25 Trzy prawdziwe cele dokumentowania 27 Uporządkowanie decyzji 27 Przypisanie odpowiedzialności 28 Zapewnienie powtarzalności 28 Błąd organizacji: dokumentacja "na zapas" 30 Dokumentacja w kontekście NIS2 31 Case - "kopiuj-wklej" 32 Kiedy dokumentacja zaczyna działać 33 Ćwiczenie refleksyjne 34 Puenta lekcji 3.1 35 Co dalej 35 Lekcja 3.2 Co dokumentować w SZBI 36 Rola lekcji 36 Cel lekcji 3.2 37 Dlaczego dokumentowanie "wszystkiego" nie działa 38 Najważniejsza zasada tej lekcji 40 Trzy pytania, które decydują, czy coś dokumentować 40 Co dokumentować w SZBI - bezwzględnie 42 Decyzje dotyczące ryzyka 42 Role i odpowiedzialności 43 Zasady postępowania w sytuacjach krytycznych 44 Zasady korzystania z kluczowych zasobów 44 Uzasadnienia decyzji 45 Czego NIE dokumentować i dlaczego 46 Oczywistości 46 Rzeczy jednorazowych 47 Szczegółów technicznych 47 Dokumentów "na wszelki wypadek" 48 Case - organizacja, która dokumentowała za dużo 49 Dokument jako narzędzie, nie archiwum 50 Ćwiczenie praktyczne: Analiza wartości dokumentu 52 Przykład analityczny: Polityka Hashingu Hasła 53 Puenta lekcji 3.2 55 Co dalej 55 Lekcja 3.3 Dokumentacja jako mapa odpowiedzialności - kto, za co i kiedy 57 Rola lekcji 57 Cel lekcji 3.3 58 Najczęstszy problem organizacji 59 Najważniejsze tezy tej lekcji 60 Odpowiedzialność a wykonywanie zadań 61 Pułapka: "IT się tym zajmuje" 63 Obszary, które dokumentacja musi jasno pokazywać 64 Odpowiedzialność w kontekście KSC i NIS2 65 Pułapka "wszyscy byli zaangażowani" 66 Dokumentacja, która faktycznie porządkuje 67 Gdzie najczęściej dochodzi do rozmycia odpowiedzialności? 68 Ćwiczenie praktyczne 70 Puenta lekcji 3.3 71 Co dalej 71 Lekcja 3.4 Jak dokumentować ryzyko, a nie strach 72 Rola lekcji 72 Cel lekcji 3.4 73 Dlaczego większość rejestrów ryzyka nie działa 75 Najważniejsze tezy tej lekcji 76 Co odróżnia zapis ryzyka od zapisu strachu 77 Przykład - to samo zdarzenie, dwa zapisy 78 Cztery elementy dobrego zapisu ryzyka 80 1. Kontekst organizacyjny 80 2. Skutek (a nie tylko zdarzenie) 81 3. Decyzja 81 4. Odpowiedzialność 82 Błędne określenia: "wysokie, średnie, niskie" 83 Jak audyt i NIS2/KSC czytają ryzyko 85 Jak uprościć dokumentowanie ryzyka 86 Ćwiczenie praktyczne: Transformacja zapisu 87 Przykład pomocniczy 88 Puenta lekcji 3.4 90 Co dalej 90 Lekcja 3.5 Procedury, które pomagają, a nie przeszkadzają 91 Rola lekcji 91 Cel lekcji 3.5 93 Dlaczego ludzie nie lubią procedur 94 Najważniejsze tezy tej lekcji 96 Kiedy procedura jest naprawdę potrzebna 97 Przykład - procedura, która pomaga 99 Częsty błąd: procedury pisane "pod audyt" 100 Czego procedura NIE powinna robić 101 Jak powinna wyglądać dobra procedura 102 Struktura dobrej procedury 103 Procedury w kontekście NIS2 104 Case: "procedura, która była, ale nikt o niej nie wiedział" 105 Ćwiczenie praktyczne 106 Puenta lekcji 3.5 107 Co dalej 107 Lekcja 3.6 Dokumentacja w praktyce - jak audyt i NIS2 ją czytają 108 Rola lekcji 108 Cel lekcji 3.6 109 Najważniejszy mit do obalenia 110 Najważniejsze tezy tej lekcji 112 Jak audytor czyta dokumentację? 113 1. Skuteczny system daje spójność 113 2. Dokumentacja a decyzje 114 3. Wszyscy to brak odpowiedzialności 114 4. "Żywy dokument" daje realność działania 115 Czego audyt i NIS2/KSC NIE oczekują 116 Czego audyt i NIS2/KSC OCZEKUJĄ 117 Case: "kontrola, która niczego nie znalazła" 118 Jak przygotować dokumentację "do obrony" 119 Pytania, które warto sobie zadać PRZED audytem 120 Ćwiczenie końcowe 121 Puenta lekcji 3.6 122 Co dalej 122 Lekcja 3.7 Podsumowanie MODUŁU 3 - od dokumentów do działania 123 Rola lekcji 123 Jak MODUŁ 3 domyka MODUŁ 2 125 Co organizacja realnie zyskuje dzięki dokumentacji 127 Stabilność operacyjna i ciągłość wiedzy 127 Skuteczność w sytuacjach kryzysowych 128 Ochrona prawna i dowód świadomego zarządzania 128 Transparentność i zaufanie 129 Dokumenty jako wsparcie, a nie zastępstwo 130 Przygotowanie do kolejnego etapu: Od projektowania do działania 132 Puenta MODUŁU 3 134 PODSUMOWANIE 136 DODATEK - PRZYKŁADOWE PROCEDURY 138 Informacje o prawach autorskich i moich utworach 157 ZAPROSZENIE 158 Zostańmy w kontakcie! 161 Ebooki poswojsku.pl 162 Prawa autorskie i znaki towarowe 166

Bezpieczeństwo informacyjne. Aspekty prawno-administracyjne

Redakcja naukowa: Waldemar Kitler, Joanna Taczkowska-Olszewska

Postęp, wiążący się z przejściem do nowego, wyższego etapu w rozwoju ludzkości, przynosi pozytywne jak i negatywne następstwa w różnych dziedzinach działalności człowieka, a także społeczności zorganizowanej w państwo.Tak samo rzecz się ma z informacją, jej zastosowaniem dla dobra, ale i na szkodę innych ludzi. Dzięki łatwemu i powszechnemu dostępowi do informacji tworzy się społeczeństwo informacyjne wykorzystujące ją w działalności gospodarczej, społecznej, politycznej i kulturowej, służy swobodnemu przepływowi technologii, osiągnięć nauki, idei i poglądów. Pomnażany jest dochód narodowy, jakość zarządzania państwem, a co ważne szybki dostęp do wiarygodnych informacji i ich wymiany między ludźmi skraca czas i zmniejsza wysiłek potrzebny na realizację wielu zadań.Jest też negatywny wymiar skutków rozwoju społeczeństwa informacyjnego i funkcjonowania całej sfery informacyjnej. Rozwój w zakresie komunikowania się ze sobą różnych podmiotów i poznawania świata, a także zbiór podmiotów przekazujących i odbierających informacje oraz technologii i narzędzi (sprzętu informatycznego i telekomunikacyjnego, sieci, systemów informatycznych, infrastruktury informacyjnej, baz, zbiorów, oprogramowania i metod przetwarzania informacji) ich zbierania, gromadzenia, przechowywania oraz nośników i przetworników sygnałów służących tejże działalności mimo, że jest przyczyną pogłębienia współpracy między ludźmi ma też swoją negatywną stronę.Zważywszy na transdyscyplinarny charakter informacji i związanego z nią bezpieczeństwa informacyjnego, z punktu widzenia różnych dziedzin nauki, a głównie prawa, nauki o administracji i nauk o bezpieczeństwie bierzemy na wzgląd informację i powiązane z nią instytucje prawa, by w konsekwencji wypełnić nadal znaczną lukę w pojmowaniu bezpieczeństwa informacyjnego.Autorzy, każdy w zależności od szczegółowego fragmentu przedmiotu naszych rozważań, korzystali z rozlicznej literatury, aktów normatywnych, orzecznictwa i dokumentów źródłowych. Pojawiły się też wnioski i hipotezy nowe w stosunku do już istniejących, czym - mamy nadzieję - sprowokujemy do dalszej eksploracji naukowej przedmiotowej problematyki.

Bezpieczeństwo nowoczesnych aplikacji internetowych. Przewodnik po zabezpieczeniach

Andrew Hoffman

Wydawałoby się, że ze względu na szeroki dostęp do materiałów poświęconych bezpieczeństwu systemów informatycznych, temat ten powinien być świetnie znany każdemu inżynierowi. Mimo to media regularnie donoszą o spektakularnych naruszeniach zabezpieczeń. Następstwem udanych ataków mogą być nie tylko straty finansowe i uszczerbek na wizerunku, ale również zagrożenie bezpieczeństwa narodowego. Zapewnienie wysokiego stopnia bezpieczeństwa systemu informatycznego wymaga ciągłego uczenia się, aktualizowania i systematyzowania swojej wiedzy. Tylko w ten sposób mamy szansę pokonać hakerów w tym niekończącym się wyścigu zbrojeń. Książka systematyzuje wiedzę dotyczącą ataków hakerskich i technik zabezpieczania przed nimi aplikacji internetowych. Autor dogłębnie opisuje metody ataków na poziomie kodu i architektury systemu. Sporo uwagi poświęca eksperckim technikom prowadzenia rekonesansów, dzięki którym nawet bez wiedzy o strukturze i kodzie aplikacji można samodzielnie zrozumieć sposób jej działania i zidentyfikować wrażliwe punkty systemu. Następnie omawia różne techniki ataków, począwszy od łamania zwykłych zabezpieczeń, a skończywszy na metodach obchodzenia zaawansowanych mechanizmów obronnych. Kolejne rozdziały dotyczą zapobiegania włamaniom do systemu. Jednym z ciekawszych zagadnień jest ocena kompromisu pomiędzy zapewnieniem akceptowalnego poziomu bezpieczeństwa a kosztami i wydajnością użytkowania aplikacji. Poszczególne zagadnienia zostały ujęte w ciekawy sposób i przedstawione z kilku różnych punktów widzenia. W książce między innymi: typowe luki bezpieczeństwa podstawowe techniki atakowania aplikacji niestandardowe metody omijania typowych zabezpieczeń wdrażanie zabezpieczeń aplikacji najlepsze praktyki bezpiecznego kodowania w cyklu programistycznym poprawa poziomu bezpieczeństwa aplikacji internetowych Myśl jak haker - twórz niezawodne zabezpieczenia!

Bezpieczeństwo sieci firmowej. Kontrola ruchu wychodzącego

Marek Serafin

Bezpieczeństwo sieci firmowej w dużym stopniu zależy od kontroli, jaką administrator ma nad połączeniami inicjowanymi przez komputery użytkowników. Jej brak umożliwia użytkownikom otwieranie adresów niebezpiecznych stron, pobieranie zainfekowanych plików, a w konsekwencji naruszenie bezpieczeństwa całej sieci. W dobie zmasowanych ataków typu ransomware wprowadzenie kontroli nad połączeniami wychodzącymi to absolutna konieczność. Autor książki nakreśla w niej zagrożenia, a także omawia różne koncepcje blokady połączeń i filtracji stron WWW z wykorzystaniem dostępnych na rynku rozwiązań. Przedstawia zarówno darmowe narzędzia open source, na przykład Squid, E2guardian, OPNsense, jak i produkty komercyjne - Fortigate UTM czy Web Safety. To propozycja dla administratorów sieci w małych i średnich firmach, jak również w instytucjach, urzędach, szkołach i na uczelniach. Autor od lat zajmuje się administrowaniem sieciami i systemami komputerowymi, jego wcześniejsza pozycja, Sieci VPN. Zdalna praca i bezpieczeństwo danych, uzyskała status bestsellera. Dzięki książce poznasz: najlepsze praktyki zabezpieczania sieci różne koncepcje filtrowania ruchu metody blokowania niepożądanych połączeń metody ochrony użytkowników przed niepożądaną treścią

Bezpieczeństwo sieci komputerowych - Praktyczne przykłady i ćwiczenia w symulatorze Cisco Packet Tracer

Jerzy Kluczewski

Książka Bezpieczeństwo sieci komputerowych - Praktyczne przykłady i ćwiczenia w symulatorze Cisco Packet Tracer, kierowana jest do szerokiego grona osób chcących poszerzyć swoją wiedzę z zakresu bezpiecznego wykorzystania sieci komputerowych w codziennym życiu. Nauczyć się od podstaw projektować i wdrażać zasady bezpieczeństwa. Nie jest to jednak materiał uczący bezpiecznego korzystania z usług sieciowych od strony standardowego użytkownika Internetu. Pozycja ta, to również idealny podręcznik dopełniający wiedzę praktyczną podczas nauki w techniku informatycznym, technikum teleinformatycznym i Akademiach CISCO CCNA. To materiał uzupełniający, dzięki któremu w prosty sposób można poszerzyć i uzupełnić swoją wiedzę i przygotować się do uzyskania kwalifikacji potwierdzających kompetencje zawodowe. Książka zawiera materiał poświęcony klasyfikowaniu zagrożeń w sieciach, zasadom pozwalającym na unikanie cyber-ataków, założeniom polityki bezpieczeństwa, protokołom SSH, NTP, SYSLOG, RADIUS, TACACS+, GRE, IPsec, usługom AAA a także problemom związanym z prawem ogólnego rozporządzenia o ochronie danych osobowych RODO (GDRP). Istotną zaletą książki są załączone gotowe rozwiązania w postaci plików PKT oraz PKA, zawierających prawidłowe rozwiązania przykładów i ćwiczeń. Wszystkie opisane pliki, są dostępne poprzez witrynę naszego wydawnictwa pod adresem https://security.itstart.pl Autorem tej książki jest Jerzy Kluczewski, długoletni instruktor Akademii CISCO CCNA, wykładowca akademicki a zarazem nauczyciel dyplomowany. Pan Jerzy, w swoim dorobku autorskim posiada już kilka publikacji książkowych na temat symulatora Packet Tracer. Jest osobą zaangażowaną w proces tłumaczenia materiałów edukacyjnych CCNA Routing & Switching na język polski. Swoje doświadczenie zdobywał podczas pracy w przemyśle, obecnie jest wykładowcą w Wyższej Szkole Bankowej w Gdańsku.

Bezpieczeństwo sieci w Pythonie. Rozwiązywanie problemów za pomocą skryptów i bibliotek. Wydanie II

José Manuel Ortega

Popularność Pythona wynika z jego wszechstronności, prostoty, a także ze zwięzłości i z łatwości pisania kodu. Rozbudowywana z każdą aktualizacją kolekcja narzędzi i bibliotek pozwala na używanie Pythona do coraz bardziej specjalistycznych zadań, takich jak zabezpieczanie sieci. O tym, że skuteczna ochrona sieci ma krytyczne znaczenie dla organizacji, świadczą powtarzające się przypadki cyberataków i utraty cennych danych. Warto więc wykorzystać możliwości Pythona do wykrywania zagrożeń i rozwiązywania różnych problemów związanych z siecią. Tę książkę docenią specjaliści do spraw bezpieczeństwa i inżynierowie sieci. Dzięki niej zapoznasz się z najnowszymi pakietami i bibliotekami Pythona i nauczysz się pisać skrypty, które pozwolą Ci zabezpieczyć sieć na wielu poziomach. Dowiesz się, w jaki sposób przesyłać dane i korzystać z sieci Tor. Nauczysz się też identyfikować podatności systemu na ataki, aby tym skuteczniej zapewnić mu bezpieczeństwo. W naturalny sposób przyswoisz wiedzę, która pozwoli Ci tworzyć w Pythonie bezpieczne aplikacje, zaczniesz również stosować techniki kryptograficzne i steganograficzne. Znajdziesz tu także wskazówki, jak rozwiązywać różne problemy sieciowe, pisać skrypty do wykrywania zagrożeń sieci i stron internetowych, zabezpieczać urządzenia końcowe, pozyskiwać metadane i pisać skrypty kryptograficzne. Najważniejsze zagadnienia: skrypty automatyzujące procedury bezpieczeństwa i testy penetracyjne narzędzia programistyczne służące do zabezpieczania sieci automatyczna analiza serwerów wykrywanie podatności na ataki i analiza bezpieczeństwa praca z siecią Tor stosowanie narzędzi do analizy śledczej Python w sieci: najlepsza ochrona!

Bezpieczeństwo systemów informatycznych firm i instytucji

Przemysław Jatkiewicz

W dobie społeczeństwa informacyjnego zarządzanie bezpieczeństwem informacji jest kluczowym elementem pozwalającym funkcjonować instytucjom oraz przedsiębiorcom. Zapewnienie poufności, integralności oraz dostępności informacji wynika z przepisów prawa, a także warunkuje poprawne i efektywne realizowanie prowadzonych działań. Systemy informatyczne praktycznie wszystkich nowoczesnych organizacji opierają się o rozwiązania serwerowe. Publikacja obejmuje zagadnienia związane z bezpieczeństwem serwerów w aspekcie środowiska pracy, sprzętu i systemów operacyjnych, ze szczególnym uwzględnieniem systemów z rodziny Linux. Omówiono w niej techniki i metody stosowanych obecnie zabezpieczeń w kontekście zidentyfikowanych zagrożeń oraz podatności. Zaprezentowano normy, przepisy i metodyki odnoszące się do zarządzania bezpieczeństwem informacji i analizy ryzyka w systemach informatycznych, jak również odniesiono się do najnowszych badań prowadzonych nad efektywnością zabezpieczeń i możliwością ich przełamywania.