Jak chronić firmowe dane? Technologia w służbie bezpieczeństwa

AUTOMATYCZNA TRANSKRYPCJA PODCASTU

do wysłuchania podcastu zaprasza Klaudia Air Polska wielka chmura zmian, a o ten Karolina Wasilewska i Karol Jurga zapraszają na podczas technologiach witam państwa w kolejnym odcinku podcastu wielka chmura zmian poświęconym bardzo szeroko rozumianym nowym technologiom, ale na ogół tym pożytecznym rzeczom, które my jako ludzie możemy tym nowym technologiom zawdzięczać dziś pochylimy się nad tematem bezpieczeństwa dostępu danych w przypadku, kiedy pracujemy zdalnie temat jest od Rozwiń » 2 lat bardziej aktualne niż kiedykolwiek praca zdalna mocno się upowszechniła z powodu pandemii koronawirusa została z nami do tej pory, zwłaszcza w branży technologicznej, ale nie tylko w związku z tym nowe już nowe wyzwania w przypadku, kiedy ten pracownik musi mieć dostęp do zasobów firmy, ale ze swojego prywatnego sprzętu, jakkolwiek nowe wyzwania nie tylko do tego się sprowadzają a czego właściwie no właśnie o tym będą rozmawiać z państwa moim dzisiejszym gościem Łukasz Kuflowski architekt projektant i deweloper rozwiązań dostępu z firmy Cloudera Polska część część w no właśnie wspomniała o tym, że praca zdalna upowszechniła się wraz z pandemią koronawirusa, która zamknęła nas wszystkich domach, a później właściwie nasi przełożeni doszli do wniosku, że są całkiem fajny pomysł, żebyśmy tak dalej pracowali ale jakie nowe wyzwania pojawiło się w związku z tym, jeżeli chodzi właśnie bezpieczeństwo dostępu do zasobów firma, a przede wszystkim my mamy tutaj ten elementy wykorzystania sprzętu służbowego do celów pracy, ale jako, że pracujemy w domu to się rzeczy też ten sprzęt wykorzystujemy prywatnie poniekąd czasem gdzieś zajrzeć na pocztę dziś na jakiś portal społecznościowy inne jakieś implikacje to jest rzecz naturalna są firmy posiadają różnego rodzaju regulaminy zobowiązujące pracownika do wykorzystania tylko sprzętu w celach służbowych natomiast no nie oszukujmy się tak każdy z nas ja mając pod ręką laptopa, bo pracuje akurat no nie będzie szukał drugiego czy przesiadam się tajne do innego biurka żeby, żeby skorzystać z prywatnego sprzętu, a to jak wiadomo no niesie za sobą sporo zagrożeń, bo jednym z najczęściej i wykorzystywanych ataków to są ataki phishingowe i możemy sobie bardzo łatwy i często nieświadomy sposób zainfekować komputer to jest sytuacja, gdy ktoś nam wysyła maila z jakimś linczem dach dodała miast zniknąć tak i w ten sposób nasz komputer zostaje zaatakowany tak nogi jednym z właśnie też najczęściej wykorzystywanych ataków to jest wykorzystanie poświadczenie mógł kradzież tych oświadczeń od użytkownika ten użytkownik nieświadomy drugie jedno z najbardziej istotnych i teraz takich zagrożeń, które cały czas przybiera na sile już od wielu wielu lat to są takie samo rowy, czyli szyfrujące dane, a no to wszystko może nam się przytrafić właśnie, kiedy korzystamy ze sprzętu, które na, którym zarówno pracujemy jak realizujemy różne nasza prywatne cele powiedzmy, ale czy w pracy jest tak samo nie oszukujmy się nie pierwszy rzuci kamieniem ten, kto nigdy nie wszedł na Facebooka w procesach no zgadza się z tym się zgodzę tylko tutaj jest jeszcze 1 uwaga to te ataki na ataki to te zagrożenia tak naprawdę jesteśmy też narażeni przy wykorzystaniu z ze sprzętu prywatnego tylko żoną w przypadku, że sprzętu firma lego no to mamy tam już w dostępie łączymy się do firmy, więc możemy możemy narazić już systemy nasze korporacyjne firmowe na zagrożenia i rozumiem, że jedną z odpowiedzi na zagrożenia wynikające właśnie z tego zdalnego kontaktu z pracownikiem jest polityka 0 tras, czyli wzrost zaufania widzę toż zniechęcająco powiedziała tak, kiedy pierwsza dowiedziałam, jakie mniej więcej rok temu, że to się tak nazywa poruszam się świetnie ktoś nie rekrutuje w właściwie założenie jest takie, że nic nie mogę tak na dzień dobry jest podejrzana, ale takim samym końcu to nie polega na tym wydaje się, że to jest narzędzie, które jednak pomaga zarówno pracodawcę pracownikowi na czym polega zgadza się jest to nie tyle samo narzędzie co sposób podejścia do bezpieczeństwa w naszej organizacji i to podejście zakłada, że nawet najbardziej złożone najbardziej zaawansowane systemy, jakie mamy wdrożone odnośnie bezpieczeństwa IT są zawsze narażone na ataki te, czyli tam takie główne zasady którymi kierujemy się, stosując tą strategię 0 tras to jest przede wszystkim nadawanie naszym pracownikom użytkowników generalnie najmniej najmniejszego możliwego dostępu, jaki powinni posiadać cykliczna weryfikacja czy dostępu czy tego co wykonują naszej organizacji oraz zakładanie, że zawsze istnieje ryzyko ataku nie oszukujmy się nie ma systemu 100% bezpiecznych zawsze jeśli powstają nowe zabezpieczenia to gdzieś na drugim końcu świata kolokwialnie mówiąc będzie człowiek grupa ludzi, którzy będą się starali to obejść, więc zawsze będą powstawać nowe odmiany już tych samych ataków czy też w ogóle nowe sposoby stwarzania zagrożeń w sieci ale gdy w związku z tym, że cyklicznie weryfikujemy ten dostęp to on równie dobrze może się poszerzyć, bo wyobrażam by taką sytuację, że zatrudniamy pracownika określone stanowisko zostaje minimalny dostęp, który mówi wszystkie niebezpieczne Alona odkrywa, że tego nie może tam tego nie może, a jest to np. w jego zakresie obowiązków czy jego rozszerzanie dostępu czy jakiekolwiek zmienianie jego zakresu właśnie odbywa się jakoś we współpracy z tym pracownikiem jak to wygląda, owszem, naturalną rzeczą jest nabywanie uprawnień przez pracowników do tego są dedykowane oczywiście narzędzia to są narzędzia z obszaru zarządzania tożsamością dostępem i tu konkretnie mówiąc identyfikowana jest nad ministerstwem kiedyś pewnie więcej osób kojarzy ten skrót IDM czy jak and Management Government Administration jest takie rozwinięcie tego zarządzania tożsamością polegające na tym, że już nie tylko mamy informacje mamy centralne bazy centralny system z z danymi o kontach uprawnienia na pracowników, ale również to są systemy, które właśnie są stworzone do tego, żeby przeprowadzać taką kontrolę weryfikację teraz wracając dopytania o o to, że pracownik potrzebuje dostępu jak najbardziej ten dostęp osobie wnioskuje były zyskują te występy, wykorzystując właśnie wspomniane systemy zarządzania tożsamością czy Gove nas czy te systemy klasy go u nas ma dzięki temu po pierwsze mamy audyt tak kto, kiedy za wnioskował otrzymał uprawnienia, kto mu je zatwierdził, więc jest ten element odpowiedzialności za uprawnienia, a z drugiej strony też rolą tych systemów jest cykliczne przeprowadzanie tzw. kampanii certyfikacji innych i polega na tym, że określone grupy uprawnień czy kont w zależności od tego jakie to są systemy czy sam może systemy dostępne dostępu do danych wrażliwych to może wtedy warto częściej weryfikować nie uruchamiany jest taki proces, w ramach którego osoba najczęściej przełożony potwierdza, że dana osoba jeszcze wykonuje potrzebuje dostęp dzięki temu minimalizujemy ryzyko nadmiaru gości uprawnień, bo naturalną rzeczą jest to, że jeśli mamy naszego pracownika istnieje w organizacji zmienia swoją rolę zmienia stanowisko może działy to uprawnienia będą przybywać, bo najczęściej najłatwiej zweryfikować komuś czegoś brakuje wtedy nawet wnioskuje o dostęp, ale mało, kto pochyla się nad tym, żeby sprawdzić czy to co kiedyś miał jeszcze jest dane potrzebne tutaj też trzeba pamiętać, że właśnie jednym z takich no najmniej takie podatności jeśli chodzi o dostęp do tych dodanych do systemów to jest wykorzystanie właśnie kąt użytkowników, którzy nawet nie będą tego świadomi, bo jeśli ktoś nie korzysta z systemu powiedzmy pół roku to nawet gdyby ktoś niepowołany sposób wykorzystał jego konto jego poświadczenia do tego systemu on tego nawet sam nie zauważą nie musi nigdy nie wyświetli informację, że ostatnie logowanie było przedwczoraj, a on pamięta, że to było pół roku temu, więc no dzięki dzięki tego tej klasy systemom jesteśmy w stanie minimalizować i redukować nadmiarowe uprawnienia użytkowników, a otwieranie dostępu to pytanie być może już oczywiste, ale ja tego nie wiem ile otwieranie dostępu jest jako ograniczone czasowo, czyli o ramy komuś dostęp do danego zasobu ten dostęp musi być otwarty już tak jak mówisz na bardzo długo do momentu aż ta osoba zapomni żałoba ten dostęp miała czy np. dajmy na to ktoś na jedno popołudnie potrzebuje dostępu do jakiegoś zasobu zgłasza taką potrzebę firma mu ten zasób udostępnia, po czym zamyka dostęp są takie podejścia do tego, żeby dostać 5 uprawnienia właśnie na określony czas natomiast często ograniczeniem w realizacji tego są same systemy, bo albo nie mają takiej funkcjonalności znaczy systemy zarządzania tożsamością uprawnieniami albo nie mają takiego do takiej możliwości bądź też jest wymuszany proces, żeby ktoś pamięta o tym żeby, żeby te uprawnienia, a zawnioskować o odebranie albo, żeby w tej sprawie tutaj znowu mamy ten element człowieka, który tak naprawdę też najbardziej ryzykownym elementem, bo człowiek może zapomnieć może się pomylić natomiast przypadku nasze rozwiązania jak najbardziej my mamy takie tego typu możliwość właśnie możemy umożliwić wnioskowania by wymusić, że wnioskowanie czasowe, że to uprawnienia nie mogą być nadane nazwijmy to do do końca pracy oraz nie zawsze organizację tylko tylko można wymusić, że to musi być musi być poddane czas na jaki ma być przyznany dostęp do teraz wchodząc w technikalia wspomniała o tym, że weryfikuje tożsamość użytkownika, które otrzymuje dostęp do określonych zasobów jak wygląda weryfikacja tożsamości, bo teraz takim bardzo popularnym sposobem jeśli mówimy naszym takim prywatnym korzystaniu z internetu to jest podwójne uwierzytelnianie tak choćby jak już odbywa właśnie na poziomie tego też zabezpieczenie pracę, a przyznam szczerze najczęściej spotykamy się, że jeśli to są występy wewnątrz firmowe, do których ograniczenie jest ten dostępu tylko sieci wewnętrznej, czyli albo jeśli jesteśmy firmie podpięcie do szczytowej Fitch czy do sieci internetowej no to mamy dostęp do danych systemów bądź też pijana jeśli już dostaniemy się wymiana to najczęściej są to jest login hasło, a dopiero ten dostęp ze mną z internetu no jest przeprowadzała przeprowadzane w oparciu o tu faktor czy dwustopniowych wskaźnikowe już uwierzytelnianie bądź wielu wręcz składnikowi uwierzytelnianie to jest jedyne rozsądne i takie przynajmniej minimalne podejścia, jakie powinny istnieć to przynajmniej to dwuetapowa weryfikacja dziękuj często już znamy Maków Ano choćby zwane systemy bankowe, bo banki są do tego zobligowany, żeby systemy, które z, których klienci korzystają robią przelewy, żeby obligatoryjnie było to wieloskładnikowe uwierzytelnianie do tego tego jeszcze do tak całkiem niedawno nie było można było po prostu zachować się do banku i wykonywać przelewy tarasy to nie każdy zauważył, że jak przelewy nie robił to musi potwierdzić albo aplikacja albo sama sam albo jakieś ma kody jeść wygenerowane przez bank na karteczce np. były takie rozwiązania i z tego skorzystać czy są takie zasoby firmy, które są jakoś trudniej dostępne to znaczy trzeba, że tak powiem jeszcze bardziej piętrzyć przeszkody przed użytkownikiem, bo to jest to są dane wyjątkowo wrażliwe albo wyjątkowo cenna tak jak najbardziej to są wszelki rodzaj chociażby bazy danych czy tzw. minęła red całe całej całej infrastruktury wszystkich aplikacji urzędnik, czyli tak naprawdę one serwery bazodanowe serwery aplikacji zasoby sieciowe, które niekoniecznie muszą być wy nadawane bezpośrednio użytkownikowi także miał dostęp bezpośrednio z komputera i bijące serce systemów informatycznych firmy tak, bo generalnie powinniśmy dawać użytkownikom znaczy użytkownicy powinni mieć dostęp taki fizyczny do o adresu do do do do osy, a czy IT czy ten nas do tego co po prostu wykorzystują zwykły użytkownik nie potrzebuje dostać się bezpośrednio do bazy danych robić jak sam raporty SQL Love coś w tym rodzaju więc, więc nie narażali nas, żeby nie narażać tego typu danych, gdzie najczęściej są też dane wrażliwe te elementy znajdują się w odseparowanych sieci zabezpieczone dodatkowymi faulami regułami, które w no, któremu też utrudnią dostęp osobie, która się w niepowołane sposób dostanie już do naszej sieć okej cały czas rozmawiamy tutaj o pracowniku i 66 błędów w przypadku, kiedy mamy do czynienia właśnie z pracownikiem osobą, która jest w tej firmie w jej działalność jakoś założona sprawa wydaje się dość oczywista, ale nie oszukujmy się był taki moment, że byliśmy w kontakcie znanym również z kontrahentami klientami zewnętrznymi partnerami być może jeszcze wróci nie wiemy i co wtedy podejście jest podobne tylko jest ograniczenie dostępu odpowiednie odpowiednio zdefiniowane role dla takich typów tożsamości jak może tak bardziej pod od strony właśnie zarządzania użytkownikami tożsamością mówię, gdyż jest to moja główna rola tak w moim filmie i w tym przypadku nawet te wszystkie te systemy Otóż niezależnie od tego kto jest producentem on zawsze mają rozdział chociażby na taki podstawowy rozdział na tożsamość pracownika etatowego tożsamość pracownika zewnętrznej tak, żeby to też i widoczność była dobrana tego typu użytkowników, ale też łatwiej, żeby było w ten sposób zarządzić, bo jak wiadomo pracownik mamy większą kontrolę nad naszymi pracownikami, którzy są na etacie niż nad tzw. to też zahacza trochę się nazywa Customer identycznie access manager to może nie jest do końca współpracownik, bo to się z tym takiej klient, czyli tak jak by jak dla banku tak ale, toteż są do tego dedykowane rozwiązania po to, żeby jeszcze dodatkowo zabezpieczyć dostęp dla takich osób Nogaj na poziomie technicznym bo gdy się głównie tym zajmujesz jak wygląda śledzenie, bo z tego co wiem to tego rodzaju systemy umożliwiają śledzenie tych dostępów do danych tego jak się z nich korzysta w czasie rzeczywistym to rzeczywiście prawda tak to jest prawda znaczy to to tutaj już schodzimy troszkę też oczywiście dziedzinie RN bezpieczeństwa natomiast to już nie jest zarządzanie tożsamością tylko to jest to są systemy klasy Siem, które na bieżąco monitorują czy to wykorzystanie sieci co się dzieje w naszej sieci są w stanie nas na w czasie rzeczywistym zbierać informacje drogą przesyłać właśnie to do centralnego systemu, który zbiera dane analizuje na podstawie określonych reguł czy to zdefiniowanych przeznaczy część z takich dostępnych w tym słowie z pudełka te wszystkie zdarzenia są analizowane pod kątem np. że pojawił się ktoś się zalogował albo ktoś próbuje się dostać do jakiego systemu firmowego adresu, a PiS, który jeszcze do tej pory nigdy nie był nigdy się nie pojawił w naszym środowisku dajmy na to wiemy, że nasi pracownicy są z Polski okej no wiadomo czasem mogą gdzieś wyjechać zagranicę, ale nagle pojawia nam się jakiś adres AP, który wiadomo, że z zakresu np. z Chin albo jakiś jakiegoś innego kraju i to się z potencjalnie sygnał niekoniecznie musi to być już atak albo jakieś zagrożenie, ale jest to te na alarm, że już coś się dzieje, że może coś dziać, że możemy za chwilę mieć jakieś kłopoty warto było to przeanalizować teraz weryfikuje takie sygnały dostajemy właśnie informacja o tym, że ktoś za PiS niech będą Chiny, bo no i nie oszukujmy się chwili jest ryzyko w najbliższym otrzymujemy taki sygnał i co te drogi taką obiekty, która jest po tej drugiej stronie dziś o wydarzyło się coś takiego no to przede wszystkim nowi do, dostając takie zgłoszenie widzę w systemie cały ślad tego tego tego incydentu nazwijmy to to pierwsze do jakiego systemu była prowadzona stania się czy się dostał czy nie dostał jeśli się dostał do naszej sieci już co dalej wykonuje co próbuje, gdzie próbuje się łączyć co próbuje, jakie polecenia wykonywać może spróbuje zainfekować jakimś mają RM te systemy są w stanie po oporu w naszej atrybut tak i z stwierdzić co tak naprawdę dane użytkownik wykonuje i teraz w zależności od tego czy mamy system taki automatyzuje łączący, bo możemy takiego na taki system, który zbiera informacje, które jest w stanie nas o tym poinformować różnie wzbogacić o element to są systemy klasy z kolei Sar, czyli automatycznego reagowania automatycznego bądź też automatyzacji, bo można pewne reguły wtedy za po prostu zaprogramować, że wiemy, że to jest, że żądanie niepożądane wykonujemy przede wszystkim odcinamy dostaną zabieramy wyłączamy wszystkie sesje jeśli danemu użytkownikowi jechało zostawić tak dalej bądź też taki system może po części automatyzować wykonać pierwsze zadanie, jakie się za nas chociażby np. wzbogacić ten wzbogaci znany dane zdarzenie o inne elementy, które są w stanie nam jeszcze więcej nam o nich powiedzieć czynnej odpytać powszechnie znane zaufane bazy ataków czy zdarzeń po to, żebyśmy mieli dokładny pogląd co się w danej chwili dzieje i wtedy my możemy w takiego systemu wykonać odpowiednie działania tak czy też zezwolić możemy zatwierdzić aha wiem, że to jest Okaj tu się nic nie wydarzyło ta osoba czy dany system, bo ktoś zapomniał powiedzieć, że będzie jakaś integracja właśnie startowała tutaj będą te połączenia to tutaj zezwalamy bowiem, że to jest bezpieczne albo po prostu właśnie tak jak wcześniej wspomniałem, czyli po prostu odkręcony dostęp wyobraźmy sobie, gdybym była cyber przestępcą, który chciałby zaatakować taki system to pierwsze co bym zrobiła to właśnie starałam się zaciemnić ten obraz moich ruchów w tym systemie na tej zasadzie, że to widzimy w filmach tak, jeżeli się obrabował bank to pierwsze co zakłada się taśmą kamerek jest w tym banku nasz, więc pytanie jak wyglądają ataki na takie systemy, bo pewnie też system spotkać tak tylko, że w tym przypadku ta to nie jest takie proste do wykonania, bo zawsze gdzieś jakiś ślad musi zostać nawet jeśli będzie nieczytelne to zawsze będzie ślad, że coś się dzieje nie tak, jeżeli w przypadku możemy w przypadku takich systemów one nawet analizują dane na poziomie pakietu samych czy bardzo nisko poziomowi w sieci te i no i atakując ktoś i tak musi się połączyć, więc będzie wiadomo, że coś wykonuje nawet jeśli to w jaki sposób zakryje nie będzie można poznać po podać sygnatury czy innej takiej informacji, która jedno 1 podpowie co tu się dzieje to da nam sygnał, że po prostu coś się, że jeżeli faktycznie jest to na tyle nieczytelne no to już wiemy, że to na pewno jest, zwłaszcza że ktoś nie ma dobrych zamiarów jak wtedy blokujemy absolutnie wszystko do pan ten możemy po prostu od razu odciąć od cięć dostaw no widzisz tutaj rozmawiamy o takiej dość istotnej roli człowieka w zarządzaniu powiedziałbym tym systemie tym systemem, chociaż koordynowania jego pracę my spotkamy się taką opinią, że tak naprawdę najkorzystniejsza w przypadku stosowania systemu jest czas jest całkowita automatyzacja zarazem, że no, ale tego chyba nie zrobi to musi być ktoś, kto właśnie w sytuacji zagrożenia boję, że ten system służy bezpieczeństwu to przygotowujemy się na sytuację zagrożenia jednak będzie reagował no, że tak to ujmę kolokwialnie po ludzku no zgadza się tylko teraz to wszystko zależy od odpowiedniego wdrożenia tego też nie da się zrobić w 1 podejściu tylko najlepiej wykonywać pracy nie to co do czego nie mamy wątpliwości automatyzuje Emmy, a pozostałe elementy mamy tworzymy zespół bądź też, a sortujemy, bo są też takie podejścia, żeby odstresować tzw soki, czyli z skryty Operations Center, czyli zespoły, które właśnie mają wgląd do wszystkich zdarzeń weryfikują to co się dzieje i są w stanie zareagować i korzystanie z tych systemów buduje też nam się obraz naszego środowiska tutaj też nad o tym pamiętać, że każde środowisko zależności od aut od organizacji będzie inna będzie inaczej zachowywać, bo ma inne elementy nowej infrastruktury, więc te systemy też muszą się uczyć w i taktu Sojusz czy myśli w zasadzie walczymy także, żeby odpowiednio to wykorzystać może te jeśli chodzi o to automatyzację to wszystkiego tak dos do końca się nie nie będzie dało zautomatyzować zawsze będzie jakiś element, który się pojawi nowy jeśli byśmy chcieli od razu coś, o czym nie wiemy nie ma nic nie pojawiło się wcześniej takie zdarzenie czy taka sytuacja od razu nazwijmy to opanować to też nic nie możemy być do końca dobre podejście, bo boi się okaże, że mamy dużo tzw. spoza PiS, że mamy potencjalny zgłoszenia taką okazuje się, że to nie jest taktykę po prostu system tak zareagował, bo nie miał świadomości wcześniej miał takiej sytuacji, więc wolał zaalarmować niższy nie robić niczego, bo lepiej jednak zgłosić sprawę i potwierdzić wysoka, więc jedno z biegiem czasu jak systemy są wykorzystywane po prostu one cały czas jakby się buduje tutaj czy myślę, że warto wspomnieć, bo te najnowsze rozwiązania właśnie z tej z tego zakresu zaczynają się opierać oś działanie sztucznej inteligencji, która jednak też jest w stanie więcej rzeczy zrobić krótszym czasie niż niż człowiek oka na końcu zawsze będzie po, gdy taki taki nasz system jest tam przeanalizuje na podstawie dniem setki tysięcy innych podobnych zdarzeń w różnych innych organizacjach, bo tak tak tak działa właśnie to uczenie maszynowe w nam zgłosić coś co my zadecydujemy tak czy naszej organizacji faktycznie jest to zła łącznie, ale po prostu, żeby wręczyć trochę tych administratorów, żeby tak naprawdę chcielibyśmy, żeby te zespoły administratorzy czy generalnie jest działem reagowania na tego typu incydenty skupiły się właśnie tej pracy operacyjnej ani na analitycznej jak najwięcej analityki przez przerzucić na procesy automatyczne ich one same się uczą nie zgłaszają my tylko zweryfikuję czy wypadku maszynami polega na tym, że przy iluś tam incydentach danego rodzaju system już wie jak interpretować dany sygnał, że niekoniecznie musi to być zagrożenia także za niekoniecznie musi być coś naturalnego jeszcze tutaj może dodam, że też one te systemy mają już bazę wiedzy sposobu działania w przypadku różnego rodzaju ataków, więc one już nawet po samym samym sposobie tego co się dzieje są w stanie stwierdzić to jest atak tego typu to jest atak tego typu albo tutaj nie wiem co się dzieje nad morze po prostu użytkownik to ich gdzieś na wakacje się zalogował po prostu, bo ktoś poprosił o jakiś raport do wygenerowania, więc zrobią Europę np. tak w przypadku, kiedy przyznajemy dostęp taki wyż najbardziej oczywiste skojarzenie, które mam o to, że dostęp do określonych danych wynika ze stanowiska, które mamy i jego zakresu obowiązków tak, która jest stanowiska związane jakieś kryteria bierze pod uwagę wszystko zależy od organizacji, bo każda każdy każdy każda firma nazwisk tak będzie miała inny sposób rozdziału obowiązków niektórych Fina będzie to może to być na podstawie właśnie stanowiska więcej może być na podstawie działu, gdzie mogą być tworzone zespoły generalnie powinna dążyć do tego, żeby przechodzić na sposób zarządzania Airbus, czyli angielskiego to jest rola akces bez kontroli polega na tym, że odchodzimy staramy się te dążyć do tego, żeby przydzielać uprawnienia, stosując rolę budujemy rolą rola to zbiór uprawnień i przyporządkowany właśnie teraz może to być stanowiska może to być do funkcji w zespole czy do zespołu do struktury organizacyjnej albo nawet pomieszane różne rzeczy po to, że wiemy, że jeżeli ktoś wie zatrudniamy np. pracownika, który trafia nam do działu IT do np. Development tu mogę to wiemy, że podstawowy dostęp dostaje każdy dostaje każdy zostaje dostęp do konta Donalda uwagę najczęściej skrzynki pocztowej, ale jako, że jest deweloperem no to dostaje rola deweloper, w której są zawarte uprawnienia mówiąca o tym, że ma dostęp do środowisk deweloperskich określonych to, że jest w zespole x no to wynikają uprawnienia do jakiego znam projektu dostęp do systemu danego projektu w ten sposób buduje hierarchię, toteż później upraszcza nam z audyt i to widoczność do czego ma dostęp i odchodzimy od tego, że mamy 2 osoby, które zajmują się tym samym mają w pełni może niezupełnie, ale mają różny zestaw uprawnień, czyli noszenia na poziomie takich konkretów można oglądać także w zespole deweloperskim mamy dajmy na to programista i mamy skromną stara tak jak w domu zajmuje się koordynacją pracy zespołu i pracą na tym, żeby ten zespół sam organizował domyślam się do pewnych zasobów oni mogą mieć wspólny dostęp, ale ten programistą będzie miał raczej mną większy dostęp do tych narzędzi stricte programistycznych technicznych do Platformy, która pisze kod itd. itd. która odmiany skromna stara może niekoniecznie interesować taką możliwość zagony takiemu to będzie niepotrzebne, więc nie otrzyma takiej rani natomiast on dla przykładu otrzyma uprawnienia albo wręcz do innych systemu, który daje mu potrzebne, bo co z innymi uprawnieniami do Kozielska Starem to powinien mieć możliwość wykonania czegoś więcej nie mieć system raportowy czy czy ewidencji czasu pracy, ale obaj czy oboje będą mieli dostęp do systemu, które są przewidziane dla zespołu deweloperskiego albo dla działu IT księża mówiła dokładnie okej po mieście zakończenie, bo wszystko, o czym rozmawiamy wydaje się oczywiste w kontekście potężnych korporacji, które mają duże działy IT, które mają wielkie paczki danych dane są cena dla potencjalnych też atakujących, ale prawda jest taka, że nie ma osób zajmujących się cyberbezpieczeństwem, z którymi rozmawiał m.in. na potrzeby tego podcastu mówią, że dziś ofiarą cyberataku może paść nawet warzywniak tak, tak więc pytanie czy takie systemy właśnie, kto powinien brać pod uwagę mając, jakiej wielkości firm organizacji itd. korzystanie z takich systemów i czy jest to krótko mówiąc droga zabawa czy tak naprawdę każdy powinien rozważyć twierdzę, że nieważne, jaki jest wielkość Dunaju dla organizacji każdy jest narażony na tak co więcej mniejsze przedsiębiorstwa potencjalnie są bardziej zagrożone właśnie przez to, że no jednak nie przeznaczają może środków bądź może czasem się wydawać, że my jesteśmy mniejsze, więc na pewno będą woleli zaatakować nie ma dużego telekomu niż nas tak jak pułapka chcę panu bardzo lojalni tak to jest to jest pułapka, bo należy pamiętać, że w każdym filmie będą dane szczególnie osobowe, które są to jest głównym takim celem takich ataków naukę ze są takie, które są wycelowane już stricte, ale także określone przedsiębiorstwa mające na celu to to też się całkiem niedawno zaczęły nasilać zatrzymanie produkcji chociażby tak atakowani systemów produkcyjnych, a o to, żeby przynieść straty i coś wymusić w ten sposób natomiast duża firma na sobie zdać z tego sprawę o stanie były przez poświęcić odpowiednie środki zainwestować w tego typu rozwiązania małe firmy mają również z tego wyjście okres pełnienie nie jest to dobre rozwiązanie, żeby grupa działa wytaczać do małej firmy, bo to też kosztuje wdrożenie sam same systemy natomiast jest szereg opcji związanych np. ty z coraz częściej może bardziej za oceanem w tym jej już to jest stosowane, czyli usługi chmurowe można sobie w modelu substytucyjnych wdrożyć tego typu rozwiązanie zintegrować naszym środowiskiem również mieć ten element bezpieczeństwa i to wychodzi korzystniej i też troszkę inaczej wiadomo chodzi o rozliczenie tak, bo płacimy za subskrypcję możemy to płacić cyklicznie musimy od razu wyrzuca się środków na zakup systemu potem jakoś utrzymywać tylko tutaj też nie odpada nam jak to w każdym rozwiązań chmurowych tak skupiamy się na funkcjonalności danego systemu, a nie na infrastrukturze, na której dochodzi po prostu kupujemy usługę ona ma działać na odpowiednie SLA jej i PSL musi być trzymana, więc jak najbardziej zachęcam do zastanowienia się i zweryfikowania czy być może faktycznie wartą u siebie wdrożyć tego typu rozwiązań bardzo dziękuję państwu moim gościem był Łukasz Kuflowski z firmy Ekwador Polska rozmawialiśmy o polityce z euro tras bezpieczeństwie dostępu jak widać się być może już kontrast brzmi jak nazwa jak wspomniano na początku niezbyt zachęcająco, ale wygląda na to, że tak na samym końcu takie podejście chroni nas wszystkich dziękuję bardzo, dziękuję bardzo to była wielka chmura zmian zapraszam na kolejny odcinek naszego cyklu wielka chmura zmian podcast o technologiach zapraszają Karolina Wasilewska i Karol Jurga Zwiń «

Jak chronić firmowe dane? Technologia w służbie bezpieczeństwa

AUTOMATYCZNA TRANSKRYPCJA PODCASTU

PODCASTY AUDYCJI: WIELKA CHMURA ZMIAN

POSŁUCHAJ RÓWNIEŻ

DOSTĘP PREMIUM

SERWIS INFORMACYJNY

Wydanie z godziny 15:00

Najnowsze Podcasty

Iran. Hipersoniczna równowaga sił

Saudyjczycy samotni w ograniczeniu wydobycia ropy. "OPEC nie musi być trwałym formatem"

Pierwsza wizyta Rishiego Sunaka w USA

Protesty we Francji. 14 fala, ale frekwencja coraz niższa

TOK FM

Polecamy

Popularne

GOŚCIE TOK FM

Gazeta.pl

WYBORCZA.PL