GDPR, phishing i CIA trijada

Informacijska Sigurnost i CIA Trijada

• Informacijska sigurnost štiti informacije i sustave koji ih obrađuju, pohranjuju i prenose.
• CIA trijada uključuje povjerljivost, cjelovitost i dostupnost podataka.
• Cilj je spriječiti neovlašten pristup informacijama, njihov gubitak ili zloupotrebu.

Objašnjenje CIA Trijade

• CIA trijada je temeljni koncept informacijske sigurnosti.
• Povjerljivost osigurava pristup informacijama samo ovlaštenim osobama.
• Cjelovitost jamči točnost i potpunost informacija, sprječavajući neovlaštene izmjene.
• Dostupnost osigurava da su informacije dostupne ovlaštenim korisnicima kada su im potrebne, štiteći od prekida rada sustava i gubitka podataka.
• Cilj CIA trijade je pouzdanost i sigurnost informacija u organizacijama.

Definicija Socijalnog Inženjeringa

• Socijalni inženjering manipulira ljudima kako bi se došlo do povjerljivih informacija ili omogućio neovlašten pristup sustavima.
• Napadači koriste psihološke tehnike poput povjerenja, straha ili osjećaja hitnosti.
• Phishing e-poruke ili prevarantski telefonski pozivi su primjeri socijalnog inženjeringa.

ISMS i PDCA Model

• ISMS je sustav upravljanja za identificiranje, upravljanje i smanjenje rizika za informacijske resurse.
• PDCA model uključuje faze planiranja, implementacije, nadzora i poboljšanja.
• PDCA osigurava kontinuirani proces osiguravanja sigurnosti podataka.

PDCA Model Detaljnije

• PDCA (Plan-Do-Check-Act) je ciklički proces kontinuiranog poboljšanja.
• Faze PDCA modela su planiranje, provedba, provjera i djelovanje.
• U fazi planiranja postavljaju se ciljevi i identificiraju rizici.
• U fazi provedbe provode se planirane aktivnosti, edukacija zaposlenika i sigurnosne mjere.
• U fazi provjere prati se učinkovitost sustava.
• U fazi djelovanja poduzimaju se korektivne mjere i poboljšanja sustava.
• PDCA model osigurava stalno poboljšanje ISMS-a.

Objašnjenje ISO 27001

• ISO 27001 je međunarodni standard za sustav upravljanja informacijskom sigurnošću (ISMS).
• ISO 27001 pruža okvir za zaštitu informacija osiguravanjem njihove povjerljivosti, cjelovitosti i dostupnosti.
• ISO 27001 uključuje definiranje sigurnosne politike, procjenu rizika i primjenu kontrola za smanjenje prijetnji.

Komponente ISO 27001

• Komponente ISO 27001 uključuju definiranje sigurnosne politike, procjenu i obradu rizika, implementaciju kontrola, upravljanje incidentima, dokumentaciju, edukaciju zaposlenika te nadzor i reviziju.
• Cilj je smanjiti rizike i osigurati usklađenost sa zakonskim zahtjevima.

Ciljevi ISMS-a

• Ciljevi ISMS-a su zaštita imovine, smanjenje rizika i nesmetano poslovanje.
• Uključuje usklađenost sa zakonskim propisima, smanjenje incidenata i izgradnju povjerenja korisnika i poslovnih partnera.
• Implementacija ISMS-a pruža konkurentsku prednost.

Proces ISMS-a

• Prvi korak u procesu ISMS-a je definiranje opsega primjene, što uključuje resurse, procese, lokacije i informacije koje treba zaštititi.
• Definiranje sigurnosne politike uključuje izradu dokumenta koji postavlja ciljeve i smjernice za upravljanje informacijskom sigurnošću.
• Procjena i umanjivanje rizika uključuje identifikaciju prijetnji i ranjivosti, procjenu njihovog utjecaja i poduzimanje mjera.
• Definiranje kontrola uključuje odabir odgovarajućih mjera za upravljanje rizicima.
• Priprema dokumentacije uključuje dokumentiranje procesa, procedura i kontrola.

Analiza Rizika u Informacijskom Sustavu

• Analiza rizika identificira imovinu, prijetnje i ranjivosti koje mogu utjecati na poslovanje.
• Procjenjuju se vjerojatnost i posljedice rizika, kako bi se prioritetno upravljalo rizicima.
• Cilj je smanjiti rizike na prihvatljivu razinu.

Rezidualni Rizik

• Rezidualni rizik je preostali rizik nakon primjene sigurnosnih kontrola.
• Važno ga je kontinuirano pratiti i, po potrebi, dodatno smanjivati.
• Prihvaćanje rizika mora biti opravdano i dokumentirano od strane uprave.

Prijetnje Informacijskom Sustavu

• Informacijski sustavi mogu biti ugroženi prirodnim prijetnjama, ljudskim djelovanjem i tehničkim kvarovima.
• Prevencija uključuje sigurnosne mjere poput backup sustava, antivirusnih programa i edukacije zaposlenika.
• Ključ zaštite je pravilno upravljanje rizicima.

Objašnjenje ISO 22301

• ISO 22301 je standard za sustav upravljanja kontinuitetom poslovanja (BCMS).
• ISO 22301 pomaže organizacijama u pripremi za prekide poslovanja, smanjenju njihovog utjecaja i osiguravanju brzog oporavka.
• Obuhvaća analizu utjecaja, planiranje, implementaciju i testiranje planova za očuvanje poslovnih procesa.

Svrha Norme ISO 22301

• ISO 22301 je međunarodni standard za upravljanje kontinuitetom poslovanja.
• Pomaže organizacijama planirati, implementirati i održavati sustave za odgovor na izvanredne situacije.
• Cilj ISO 22301 je osigurati kontinuitet ključnih poslovnih procesa i minimalizirati štetu.

Što je GDPR

• GDPR (Opća uredba o zaštiti podataka) je europski zakon koji regulira prikupljanje, obradu i zaštitu osobnih podataka u EU.
• GDPR osigurava prava ispitanika poput prava na pristup, ispravak, brisanje i prenosivost podataka.
• GDPR propisuje stroge mjere za transparentnost i odgovornost organizacija te visoke kazne za kršenje.

Temeljna Načela GDPR-a

• GDPR propisuje zakonitost, poštenost i transparentnost obrade podataka.
• Pojedinci imaju prava poput pristupa, ispravka, brisanja i prijenosa podataka.
• Načela uključuju ograničenje svrhe, smanjenje količine podataka i sigurnost obrade.

Ključne Komponente Zakona o Kibernetičkoj Sigurnosti

• Zakon definira mjere zaštite informacijskih sustava i mreža od kibernetičkih prijetnji.
• Zakon obuhvaća kategorizaciju subjekata, obveze prijave incidenata i revizije sustava.
• Naglašava se važnost kibernetičke higijene i strateškog planiranja za sigurnost.

Digitalni Dokazi

• Digitalni dokaz je podatak pohranjen ili prenesen elektronički koji može poslužiti kao dokaz.
• Prema ISO 27037, proces uključuje identifikaciju, očuvanje, prikupljanje i analizu dokaza.
• Važno je sačuvati integritet dokaza.

Post-Mortem i Live Forenzika

• Post-mortem forenzika analizira podatke s isključenih uređaja.
• Live forenzika analizira podatke iz aktivnih sustava (npr. RAM).
• Obje metode ključne su za utvrđivanje uzroka i posljedica sigurnosnih incidenata.

Faze Istrage Digitalnih Dokaza

• Istraga uključuje identifikaciju, prikupljanje, očuvanje, analizu, evaluaciju te prezentaciju dokaza.
• Ključna je rekonstrukcija događaja kako bi se osigurala točnost nalaza.

Tehnike Socijalnog Inženjeringa

• Tehnike socijalnog inženjeringa uključuju phishing, pretexting, tailgating i dumpster diving.
• Obrana uključuje edukaciju, politike provjere i višefaktorsku autentifikaciju.

Ciljani i Masovni Napadi

• Masovni napadi su poput phishinga i ciljaju široku publiku, dok su ciljani (spear phishing) usmjereni na određene osobe ili organizacije.
• Ciljani napadi su sofisticiraniji jer koriste prilagođene informacije o žrtvi.

Pseudonimizacija i Anonimizacija

• Pseudonimizacija zamjenjuje osobne podatke oznakama koje ne omogućuju identifikaciju bez dodatnih podataka.
• Anonimizacija trajno uklanja identifikatore.
• Obje metode smanjuju rizik zloupotrebe.

Kazne za Kršenje GDPR-a

• Kršenje GDPR-a može rezultirati kaznama do 20 milijuna eura ili 4% globalnog prihoda.
• Kazne uključuju upozorenja, zabranu obrade podataka te obvezu ispravljanja propusta.

Prava Pojedinaca Prema GDPR-u

• Prema GDPR-u pojedinci imaju pravo na pristup podacima, ispravak, brisanje, ograničenje obrade, prenosivost podataka i prigovor obradi.
• Organizacije moraju omogućiti transparentno ostvarivanje tih prava.

Primjena ISO 22301

• ISO 22301 omogućuje organizacijama pripremu za prekide poput prirodnih nepogoda ili kibernetičkih napada.
• Primjer je implementacija plana za brzi povratak poslovanja nakon incidenta.

Koraci Izrade Plana Kontinuiteta Poslovanja

• Koraci uključuju definiranje politike, analizu utjecaja, procjenu rizika, razvoj strategije, izradu plana i provođenje testiranja.
• Ključno je redovito ažuriranje plana kako bi ostao učinkovit.

Neovlašteni Pristup Računalnim Sustavima

• Neovlašteni pristup računalnim sustavima podrazumijeva ulazak u sustav bez dozvole s namjerom pristupa podacima, nanošenja štete ili ometanja sustava.
• Ovo djelo se kažnjava novčanom kaznom ili zatvorskom kaznom.

Kazneno Djelo Neovlaštenog Presretanja Podataka

• Neovlašteno presretanje podataka uključuje nezakonito presretanje komunikacija unutar računalnih sustava, kao što su e-pošta, mrežne komunikacije ili prijenosi podataka.

Oštećenje Računalnih Podataka ili Programa

• Oštećenje računalnih podataka ili programa odnosi se na namjerno brisanje, izmjenu, uništavanje ili oštećivanje, što može uzrokovati štetu sustavu ili korisnicima.
• Predviđene su novčane ili zatvorske kazne.

Posljedice Kaznenih Djela Protiv Računalnih Sustava

• Posljedice uključuju gubitak povjerljivih podataka, financijske štete, narušavanje sustava te pravne sankcije za počinitelje.

Kazne Protiv Računalnih Sustava

• Kazne uključuju novčane kazne i zatvorske kazne, ovisno o težini djela, poput nanošenja velike materijalne štete, ugrožavanja kritične infrastrukture ili ponovljenih prekršaja.

Izvori i Oblici Prijetnji Informacijskoj Imovini

• Izvori prijetnji informacijskoj imovini mogu biti ljudi (namjerni i nenamjerni utjecaj), oprema i priroda.
• Namjerni utjecaj može uključivati neautorizirani pristup, krađu, prisluškivanje, viruse ili sabotažu.
• Nenamjerni utjecaj može uključivati nepažnju, nedisciplinu, nemar ili neznanje.
• Prijetnje od opreme mogu uključivati tehničke pogreške, prestanak napajanja, ispade ili prekide komunikacije.
• Prirodne prijetnje uključuju požare, oluje, potrese ili poplave.

Poslovna Tajna

• Poslovna tajna su podaci određeni zakonom ili aktom trgovačkog društva, a predstavljaju proizvodnu tajnu, rezultate istraživanja ili druge podatke čijim bi priopćavanjem mogle nastupiti štetne posljedice.

Stupnjevi Tajnosti Klasificiranih Podataka

• Stupnjevi tajnosti klasificiranih podataka su: vrlo tajno, tajno, povjerljivo, ograničeno.

Ransomware

• Ransomware je zlonamjerni softver koji šifrira podatke na računalu žrtve i onemogućuje im pristup.
• Napadač traži otkupninu, kako bi omogućio dešifriranje podataka.
• Širi se putem phishinga ili iskorištavanjem ranjivosti.

VPN

• VPN (Virtual Private Network) omogućuje sigurno povezivanje s internetom.
• VPN skriva IP adresu i enkriptira podatke koji se prenose.

SDLC

• SDLC (Software Development Life Cycle) je proces za planiranje, razvoj, testiranje i održavanje softverskih sustava.
• Faze SDLC-a uključuju planiranje, analizu, dizajn, razvoj, implementaciju i održavanje.

SOA

• SOA (Sigurnosno-obavještajna agencija) je središnje tijelo u Republici Hrvatskoj za zaštitu nacionalne sigurnosti, uključujući informacijske i kibernetičke prijetnje.
• Funkcije SOA-e su nadzor i otkrivanje prijetnji, zaštita kritične infrastrukture, koordinacija i suradnja te upravljanje krizama.

VNS

• Vijeće za nacionalnu sigurnost (VNS) savjetuje Vladu RH i koordinira pitanja nacionalne sigurnosti na području informacijske sigurnosti.
• Funkcije VNS-a su donošenje strateških odluka i koordinacija aktivnosti.

ZSIS

• Zavod za sigurnost informacijskih sustava (ZSIS) je tehničko tijelo za informacijsku sigurnost.
• Funkcije ZSIS-a su tehnička podrška, zaštita klasificiranih podataka, izdavanje certifikata i akreditacija, praćenje incidenata i razvoj politika i standarda.

CARNET

• CARNET je nacionalna organizacija koja pruža podršku obrazovanju i znanosti u području informatičke sigurnosti.
• Funkcije CARNET-a su sigurnost mrežne infrastrukture, reagiranje na incidente, edukacija i osvješćivanje, razvoj alata i usluga, sigurnosne preporuke i podrška e-uslugama.

CARNET-ov CERT

• CARNET-ov CERT je nacionalni tim za reagiranje na računalno-sigurnosne incidente unutar CARNET-ove mreže.
• Funkcije CARNET-ovog CERT-a su praćenje prijetnji, reakcija na incidente, prevencija i edukacija, analiza, obavještavanje, suradnja i koordinacija i sigurnosne preporuke.

Blockchain

• Blockchain je digitalna knjiga koja pohranjuje podatke u povezanim blokovima, osigurana kriptografijom.
• Blockchain je decentraliziran je što ga čini sigurnim.

Osobe u Procesu GDPR-a

• Ispitanik (Data Subject): Fizička osoba čiji se podaci obrađuju.
• Voditelj obrade (Data Controller): Osoba koja odlučuje o svrsi i načinu obrade.
• Izvršitelj obrade (Data Processor): Osoba koja obrađuje podatke u ime voditelja obrade.
• Službenik za zaštitu osobnih podataka (DPO): Osoba koja osigurava usklađenost s GDPR-om.

Phishing

• Phishing je kibernetička prijevara u kojoj napadači lažno predstavljaju pouzdane institucije kako bi ukrali osjetljive podatke.
• Phishing funkcionira putem lažnih e-poruka, SMS-ova ili web-stranica.
• Postoje razni oblici phishinga (spear phishing, vishing, smishing).
• Ključna obrana je provjera vjerodostojnosti komunikacije.

Pitanja o GDPR-u, ulozi službenika za zaštitu podataka (DPO) i phishing prijevarama. Razmatra se i pravo na zaborav te mjere zaštite od phishing napada. Objašnjava se CIA trijada i cjelovitost podataka.