Incident response ili odgovor na incidente službeno se definira kao strateško-organizacijski odgovor na kibernetičke napade koji uključuje dogovorene planove, procedure i alate nakon što se dogodi incident. U stvarnom svijetu to je proces gdje ne znate tko ima viši tlak, tko roni suze i tko je u predinfarktnom stanju

Ljudi, bez obzira što vam kažu, nepopravljivi su optimisti. Svaki dan bezglavo se bacamo u potencijalno opasne situacije i sretno nastavljamo dan kao da se nikad nije ništa dogodilo. Zanemarujemo statistiku i rizik jer ružne stvari se događaju nekom drugom. Nekome o kome piše članak na portalu.

Izloženost kriminalu je nekako slična tome; da, u ovom dijelu svijeta svi smo žrtve gospodarskog i političkog kriminala, doslovno cijele nacije pate radi toga, no kriminal na osobnoj razini ne doživljavamo često. Malo nas, i neka tako i ostane, može reći da su bili žrtve pljačke, provale, krađe, onoga što osjetimo osobno.

Oni koji su se nažalost s time susreli kažu da itekako ostavi traga – kad vam npr. netko provali u kuću, u dom, osjećate se oskvrnjeno, izgubili ste onaj osjećaj sigurnosti koji vam je do onda pružao.

Mrtvo poslovanje

Teško je uspoređivati zlu kob, ne bismo ni trebali, ali pokušajte zamisliti situaciju kad se kriminal dogodi nekom biznisu. Ništa posebno veliko – recimo, 15-ak zaposlenih ljudi, neka proizvodnja, tvrtka koja je nadrasla svoju obrtničku povijest.

Kibernetički napad u jednoj sekundi sve strojeve učini beskorisnima jer su spojeni na neko računalo. Svi podaci s kojima su ti strojevi “napajani” su zaključani. Računovodstvo je mrtvo. Popis kupaca i narudžbi je nepostojeći. Svaka minuta mirovanja košta. A ona realizacija da ovo nije problem koji se može riješiti tjera tlak na 180.

To sve možete bez problema skalirati jer nije da se velikim organizacijama s puno novaca ovako nešto ne može dogoditi; dovoljno je samo prisjetiti se problema koji je INA imala 2020. nakon kibernetičkog napada.

Ekspres lonac

U takvu situaciju stiže incident responder – tu mislimo zapravo na jednog ili više “point” čovjeka i cijeli tim iza njih. Ako vam se incident response tim sastoji stvarno od jednog čovjeka, možda biste trebali razmisliti koga ste unajmili.

Njegov zadatak je napraviti identifikaciju problema, prikupiti dokaze, napraviti inicijalnu analizu, zauzdati napadača, izbrisati problem i onda osposobiti sustav natrag. Svaki od tih koraka je prepun zamki jer svaki sustav je drugačiji zbog suludo visoke kombinacije hardvera, softvera, konfiguracija i ljudi upletenih.

Responder želi prikupiti dokaze no netko je ugasio sva računala i sada se ne mogu prikupiti memory dumpovi. Svi garantiraju da su je na mreži točan broj uređaja, no ispada da ih je zapravo puno više. Dovoljno je samo jedan pametni uređaj spojen na mrežu koji baca u vodu sve pretpostavke temeljene na krivim izjavama. A kad pokušavate dokučiti da li je napadač još uvijek u vašem sustavu ili ne, to je itekako bitno – svaki put kad responder uvidi da ima krive podatke, određeni proces mora krenuti ispočetka.

Zato responder radi temeljitu analizu, provodi intervjue, prikuplja dokaze bez kontaminacije i hrani tim koji provodi analizu. U isto vrijeme ne smije se zaboraviti na onaj ljudski element jer kompletno poslovanje je blokirano. Sve ono što inače generira novac za plaće, za ljude koji tamo rade, stoji nepokretno, a to je izvor nevjerojatnog stresa za sve uključene.

Nemili događaji

Sad, događa li se to često? Nažalost, da, jako često. I nije to samo nešto što se događa u većim tržištima, gledamo li i Hrvatsku, to je svakodnevna pojava. Neki put se čuje u javnosti, ali većinom se sve obavi daleko od znatiželjnih očiju i uključena su samo tijela koja su potrebna zakonom.

Neke tvrtke smatraju da će im kibernetički napad srušiti ugled. Neke su i u pravu. Neke ne žele asocijaciju s bilo kakvim događajem koji bi mogao biti protumačen kao oblik slabosti. Nekima je to još jednostavno jedan vid rizika na koje su bile spremne.

Svaki incident ima na kraju svoj lessons learned – tvrtka koja mu je bila izložena dobiva lekcije koje su se izvukle iz napada kojima bi se trebalo onemogućiti sličan takav napad u budućnosti i podignuti opću kibernetičku spremnost. Bilo bi super kad bi se takve lekcije mogle puno lakše dijeliti – znate onu, bolje spriječiti nego liječiti – no kako je dosta toga obavijenog velom tajne, neki put to nije lako.

No postoji rješenje! Na .debugu, vašoj omiljenoj konferenciji, predaje Mato Vlajčić, glavni incident responder Infigo IS-a. Čovjek koji je proveo na incidentima nebrojene sate, spašavao tvrtke iz cijele Europe, nagledao se svega i svačega, ali se redovito vraćao podignute glave, pobjedničkog stava. On će ispričati kako incident response izgleda, pričati o stvarnim primjerima (dakako, anonimiziranim) te podijeliti neke mudrosti koje svakodnevno prosipa svojem incident response timu. Hard core tehničke stvari sačuvat će za neku drugu priliku jer sigurnosne lekcije moraju biti jasne svima, na kraju puno toga u svijetu sigurnosti počinje s najširim krugom ljudi.

Ovo predavanje otvara program .debuga na #cyber tracku, 9. lipnja u 11:15 sati.

Objava Stresna stvarnost incident responsea pojavila se prvi puta na .debug.

Tvrtka Infigo IS proslavila je značajan jubilej od dvadeset godina postojanja, koji je obilježen paralelno sa strateškim ulaskom u švedsku grupaciju Allurity. Cilj grupacije je postati vodeća organizacija za cyber sigurnost na europskom tlu u idućih nekoliko godina.

Unatoč promjeni vlasničke strukture, tvrtka je zadržala svoju operativnu autonomiju i fokus na specifične domene poput incident responsea i ofenzivne sigurnosti, otkrio je CEO Hrvoje Šegudović u .debug TV studiju. Grupacija trenutno zapošljava između 800 i 900 stručnjaka diljem Europe, dok zagrebački ured Infiga broji stotinjak zaposlenika, uz istodobni rast ureda u Osijeku. Sve o Infigu i njihovom nastupu na .debugu doznajte u video intervjuu i, naravno, dođite na .debug 9. i 10. lipnja!

Objava Infigo IS je ključni stup europske cyber sigurnosti unutar grupacije Allurity pojavila se prvi puta na .debug.

Niti 10 godina nakon prve NIS direktive, na popravnom smo ispitu koji nije zahvatio samo “loše” učenike nego sve. NIS2 direktiva je sveobuhvatna, a neki na nju gledaju kao na skupi davež i u tom mišljenju nisu usamljeni

O NIS-u (Network and Information Security Directive) pričamo već godinama. Zapravo, pričamo oko desetljeća jer je originalni NIS usvojen na ljeto 2016. i zamisao je bila da će se pomoću njega popraviti sigurnost mreža i informacijskih sustava diljem Europske unije. Tih davnih dana svi koji su imali prste u informacijskoj/kibernetičkoj sigurnosti bili su većinom sretni jer se konačno počelo pričati o sigurnosti na najvišoj razini, ne samo za određene sektore koji su sami po sebi morali biti itekako sigurni (ako ništa drugo, financijski).

No kad čovjek malo baci pogled unatrag, originalni NIS je izgledao kao slikovnica “Kibernetička sigurnost za djecu”.

Davna kompleksnost

Maštati o tome kako 2016. svijet, barem onaj koji se tiče sigurnosti, nije bio kompleksan kao danas malo je promašeno. Itekako smo znali da su kibernetički napadi na kritičnu infrastrukturu mogući. Samo godinu dana prije, 2015., ruski kibernetički napad na ukrajinsku električnu mrežu ostavio je 230.000 kućanstava bez struje dva dana prije Božića. Ono što je u tom trenutku Ukrajincima pomoglo je bilo stanje sustava koji nije bio u potpunosti digitaliziran pa su se velikim naporom dosta brzo uspjeli oporaviti od napada. Američki stručnjaci su procjenjivali da se takav napad dogodio u SAD-u, u potpuno digitaliziranom i automatiziranom sustavu, oporavak bi trajao skoro mjesec dana.

Ali ni sam taj napad nije trebao biti previše šokantan jer su Amerikanci još 2007. napravili tzv. Aurora Generator test gdje su pokazali kako se dizelski generator može uništiti s par redova računalnog koda. Ovo je postala javna informacija 2010. kad je North American Electric Reliability Corporation (NERC) upozorio industriju.

Već onda smo itekako dobro znali kako su moderni sustavi povezani i ranjivi.

Originalni NIS je tako htio zaštiti kritične sustave, tj. podignuti zrelost sustava kibernetičke obrane, ali na kraju je to sve ispalo više birokratski nego stvarno učinkovito, pogotovo jer su se svi ponašali kao da veliki sustavi nisu spojeni na puno manjih. I distribuiranih. I da supply chain napadi ne postoje.

Bullyjingom do otpornosti

NIS direktiva, nije bila ono što smo očekivali. Niti blizu. No koštala je, provedba je koštala, nevjerojatna količina novca prostrujala je sustavom i od toga je sigurno netko imao koristi. Ali uvijek je pitanje tko.

I zato smo sad na popravnom – NIS direktiva je bila preuska, nije računala da su umreženi sustavi skloni kaskadnom padu, kao da nije shvaćala koliko su sustavi međusobno zavisni i povezani.

Ono na čemu stvarno treba čestitati Uniji je da je imala hrabrosti pogledati dosad napravljeno, zaključiti da nije dobro i krenuti raditi bolje – jer političari i zakonodavci nisu baš ljudi koji su poznati po tome da imaju kapaciteta priznati svoje greške…

Nažalost, i ovaj novi pokušaj, koji je barem tisuću puta bolji, će koštati. Iterativni proces stvarno je najbolje što se u ovom slučaju moglo napraviti, ali da li će to usrećiti one koji to moraju financirati, to je upitno.

Je l’ moglo u rukavicama?

Ovisi koliko ste se spremni kladiti da sustavi koji drže moderne društvo mogu izdržati kibernetičke napade. I koliko volite imati struju, vodu, internet, siguran prijevoz…

Prema službenom izvještaju Europske unije o digitalnoj transformaciji, Digital Decade Policy Programme (DDPP), samo 55,6% europejaca ima osnovne razine digitalnih vještina. OSNOVNE RAZINE. I, kako dalje kažu, dostupnost ICT specijalista s naprednim vještinama ostala je niska.

Društvo samo od sebe neće se početi baviti zaštitom sustava koji služe da bi to isto društvo funkcioniralo.

OK, onda NIS2

Tako da ispada da je NIS2 direktiva potrebna. Prijeko potrebna. Ali je njezina provedba, u Hrvatskoj transponirana kroz Zakon o kibernetičkoj sigurnosti, dosta kompleksna. Najveći problem je što NIS2 zahtjeva strukturalne promjene; lako je kupiti softver, lako je nabaviti hardver, ali promijeniti strukturu odlučivanja, definirati tko je odgovoran i za koji dio, formalizirati procese koji dosad nisu postojali, to je ogromna borba.

Pogotovo jer sada kazne, jer nema regulative bez kazni, nisu namijenjene samo organizaciji nego i odgovornoj osobi – ovisno o tome da li ste se našli u ključnom ili važnom subjektu (ima puno razlika), kazne su drugačije definirane.

Ono što je problem u cijeloj ovoj situaciji je što kad nešto morate napraviti, najednom svatko i njegov brat počne pružati uslugu NIS2 usklađivanja. A koristiti nekog nevježu u kompleksnoj promjeni sustava, na kraju koga možete završiti s ogromnom kaznom ili sustavom zaštite koji uopće ne funkcionira, koliko je to mudro? Kao i obično, izbor stručnjaka ili “stručnjaka” itekako je važan.

Dosad ste, kao organizacija, već trebali dobiti svoju kategorizaciju ako spadate u ključne ili važne subjekte. Pitanje je samo kako ste krenuli dalje.

Infigo IS (www.infigo.is) bavi se više od 20 godina kibernetičkom sigurnosti. Isključivo, ne kao neki poslić sa strane. Konzultanti, hakeri, programeri, sigurnosni analitičari, svi oni su kroz pet odjela povezani kako bi krajnji rezultat njihovog rada bio vrhunski kroz sve domene.

Ne samo to nego se među njima nalazi pregršt specijalista poput konzultanta Danijela Hanžeka, principala s, među ostalim, certifikatom NIS 2 Directive Senior Lead Implementer koji garantira da je razina usluge koju klijenti dobivaju vrhunska i nikakva drugačija.

Tako da je pitanje na organizacijama – žele li da vas takvi stručnjaci vode kroz kompleksni proces ili netko tko je čuo za konzalting prije godinu dana, ali će mu neki LLM pomoći?

Objava NIS2, najveća snaga i najveći popravni ispit Europske unije pojavila se prvi puta na .debug.

.debug 2024 održava se sljedećega tjedna, a mi se bližimo kraju serijala s video najavama partnera, koji će se tamo predstaviti. Jedan od preostalih je Infigo IS, domaća tvrtka i stručnjak za računalnu sigurnost, čiji je CEO Hrvoje Šegudović još jednom bio gost u .debug TV studiju.

Otkrio je kako je za Infigo IS izgledala protekla poslovna godina, koliko su rasli i koje su velike projekte provodili u području kibernetičke sigurnosti, a bilo je riječi i o tome što pripremaju za .debug i koje prilike nude svojim zaposlenicima. Pogledajte intervju u nastavku, pa ugrabite jednu od posljednjih ulaznica za .debug, jer ih u ponudi ima još zaista malo…

Posljednje ulaznice za .debug su još u ponudi!

Kupi ulaznicu

Objava VIDEO: Najavljujemo nastup tvrtke Infigo IS na .debugu pojavila se prvi puta na .debug.

U svijetu sigurnosti SIEM, iliti Security Information and Event Management, bi trebao biti osnovni blok na kojem se gradi ostatak sigurnosne arhitekture. Normalno, firewalli, zaštita endpointova, kontrola pristupa, upravljanje ranjivostima i još puno drugih komponenti nikako se ne bi trebali zanemariti, ali SIEM omogućava organizacijama da dobe, uz malo sreće, apsolutnu vidljivost i znaju što se događa u njihovom sustavu.

SIEM je središnji sustav koji usisava ogromnu količinu podataka, logova i sigurnosnih događaja, koji se mjere u gigabajtima dnevno, u nekim slučajevima penju se i u terabajte, sve to obrađuje u realnom vremenu i na temelju dobivenih informacija daje određena upozorenja ili izvještaje raznoraznim dionicima.

Kako to koji SIEM radi, što je ispod haube, to je ono gdje se svaki od njih razlikuje.

Četvrta verzija

Infigo IS, hrvatska tvrtka koja se isključivo bavi informacijskom sigurnošću od 2005., itekako zna što znači dobar SIEM. Osim što je godinama integrirala partnerska rješenja na tri kontinenata, u često izrazito kompleksnim sustavima, napravila je svoj SIEM jednostavnog imena Infigo SIEM (www.infigosiem.com).

Lansirana je četvrta verzija, Infigo SIEM 4.0, koja kao bazu koristi Splunk, platformu za rad s velikim setovima podataka, kako bi se iskoristila Splunkova mogućnost unosa gigabajta podataka, dok sva logika i ono što čini SIEM dobrim, je interno napravljena.

Sve što čini moderni SIEM je tu, prikupljanje podataka, korelacija, uzbunjivanje, istraživanje incidenata, izvještavanje, vizualizacija, no Infigo je odlučio dodati mogućnosti koje se obično ne nalaze pri samoj integraciji nego se plaćaju dodatno ili, dosta često, uopće ne postoje za određene tipove proizvoda.

Infigo SIEM tako ima podršku za multitenancy što bi reklo da više entiteta, odjela, kompanija, mogu koristiti jednu instancu SIEM-a bez miješanja podataka; to je posebno zanimljivo MSP-ovima (Managed Service Providers) ili velikim organizacijama koje žele segmentirati neke svoje dijelove.

Da bi se uzbunjivanje riješilo na zadovoljavajući način, napisana je skroz nova ekstenzija Splunkovog mehanizma – Infigo Meerkat, koji je daleko brži i učinkovitiji način od onog tvorničkog, a daje i napredni workflow pri baratanju incidentima što je itekako važno kod jednog sigurnosnog alata.

Normalno, ne treba ni spominjati da su sve uzbune mapirane na MITRE ATT&CK Framework…

Važno je vidjeti, a onda i isprobati

Zapravo, novosti i mogućnosti ima pregršt, no to nije nešto što će prosječna osoba vidjeti jer proizvod poput Infigo SIEM-a nije namijenjen pojedincima nego kompleksnijim sustavima unutar organizacija. Kako bi potencijalni klijenti mogli ipak vidjeti s kakvim sve mogućnostima raspolažu, Infigo SIEM je dostupan globalnoj publici preko Splunkbasea, a moguće je dobiti trial (on-premises) ili demo (Splunk Cloud) licencu prije finalne kupnje.

Infigo IS, makar u svjetskim razmjerima manja tvrtka, sigurno udara u višem razredu zbog svojeg fokusa na sigurnost i velikog broja specijaliziranih inženjera – godine takvog rada omogućili su Infigo IS-u da bude jedan od rijetkih globalnih Splunk partnera koji spada u najvišu, elite, klasu u sva tri Splunk motiona, Sell, Build i Manage. Za tvrtku od stotinjak ljudi iz Zagreba to je itekako velika stvar.

Objava Nova generacija Infigo SIEM-a pojavila se prvi puta na .debug.

Nagrada Zlatna kuna dodjeljuje se za ostvarene poslovne rezultate, znači gledaju se čiste brojke, hladna matematika. Na temelju poslovnih rezultata u 2022. Infigo IS je tako osvoji Zlatnu kunu u kategoriji srednjih trgovačkih društva na razini Zagrebačke županije.

Stariji među nama itekako se sjećaju, te i dan danas zbijaju šale, o tome kako su u relativno nedavnoj prošlosti dobitnici Zlatne kune često završavali u Remetincu radi gospodarskog kriminala, a posebno je zanimljivo kako je Infigov zagrebački ured malo više od kilometra zračne linije udaljen od Remetinečkog zatvora. I apsolutno je normalno da se po Infigovom uredu izredao cijeli niz šala i pošalica na zatvorsku tematiku.

Zainteresirani za kriminal

“Srećom, mi u Infigu nikad se nismo zanimali za kriminal – zapravo, to nije istina, stalno smo zainteresirani za kriminal! Ali, kako ga spriječiti”, kažu.

Infigo IS je dom sigurnosnih stručnjaka koji cijele dane provode sprječavajući kriminalce diljem svijeta da iskoriste propuste u infrastrukturi, programskom kodu, ljudima, procesima, servisima… Isto tako rade softver za sprečavanje pranja novca i prevara u financijskim institucijama te tako pomaže iz ekonomije izbaciti prljav novac, onaj koji bi inače financirao kriminal i terorizam.

“Rado bismo vam rekli kojim smo sve projektima ostvarili taj zavidni financijski uspjeh prošle (ali i svih prijašnjih godina), ali nažalost ne možemo. Svi naši ugovori imaju klauzulu o tajnosti (ipak smo cyber security tvrtka) tako da ne smijemo govoriti o konkretnim projektima, ali možemo vam reći da radimo za međunarodne banke, kartičare, kontrole zračne plovidbe, aviokompanije, proizvođače hyper automobila, nuklearne elektrane, čak i vojne saveze i svemirske agencije!”, poručuju iz Infiga ovom prigodom.

Ali niti jedan projekt, bez obzira za koga je, ne bi bio moguć da nije fantastično pametne i sposobne ekipe koja radi za Infigo IS. Svaki čovjek pridonosi njihovom uspjehu i oni su zaslužni za odlične rezultate tvrtke. Infigo IS stalno raste, lagano se kotrlja prema brojci od 100 zaposlenih, a uvijek im trebaju ti pametni i sposobni ljudi jer, nažalost, svijet ne postaje sigurniji i sigurnosnih stručnjaka nedostaje.

Stoga, ako imate nagnuća prema sigurnosti (integratori, developeri, hakeri, konzultanti…), slobodno se javite. “Skupa možemo učiniti svijet sigurnijim mjestom, a možda pokupimo i još kakvu nagradu usput”, zaključuju iz Infiga.

Objava Infigo IS nagrađen Zlatnom kunom pojavila se prvi puta na .debug.

Ruku na srce, velik dio EU direktiva i tko zna čega sve ne previše nas ne dira. I pod nas mislimo na nas, narod, šljakere, ljude koji nešto tipkaju radi posla i onda još tipkaju nešto iz gušta. Te direktive se pretaču u države članice preko zakona i dalje nas, opet narod, ne diraju previše – da, čovjek pazi da ne krši zakon i tu nekako stvari prestaju.

No, postoje neki događaji na koje bismo, ovaj put kao informatičari, trebali malo pažljivije gledati. U Infigo IS-u bavimo se sa svime što ima veze s IT sigurnosti, a to znači da naš konzultantski dio itekako pazi na nove zakone, propise, direktive i što već ne, kako bi ostatku tvrtke osigurao da ne radimo stvari koje nisu po zakonu ili se ne poklapaju s propisima. Što je poprilično važno za naš sektor.

Kad je 2016. donesena NIS (The Network and Information Systems) direktiva, za koju smo kao zemlja članica imali par godina da je “prevedemo” u svoje zakone, svi su malo sa strahom gledali što ona donosi. NIS je bio jedan od većih koraka kojim je EU pokušala dignuti razinu sigurnosti kritičnih sustava – drugim riječima, otežati i spriječiti bilo kome da nam svima kolektivno isključi struju, vodu, prekine komunikacije… Bitne stvari za funkcioniranje društva, kritična infrastruktura, morala se (sigurnosno) osnažiti.

Ispostavilo se da je EU bila malo preoptimistična u razmišljanju što su kritični sustavi jer nam je stigla NIS 2 direktiva koju je izbacila onu originalnu iz opticaja i do kraja ove godine u Hrvatskoj očekujemo novi zakon koji počiva na onome što se u dvojci spominje.

NIS 2 donosi mnogo toga, ako želite utrošiti par sati na čitanje, samo dajte, no glavna stvar je da se višestruko povećava broj sektora koji obuhvaća i broj obveznika (procjenjuje se da raste za više od trostruko) te da su sigurnosni zahtjevi sveobuhvatniji.

Što su te direktive ikad napravile za nas?

Da li to ima ikakvog smisla, tj. kako je prošlo u originalu? Pa, neloše. Pružatelji kritičnih usluga morali su poboljšati sigurnost, to je uvijek dobro. SOA (Sigurnosno-obavještajna agencija) je 2019. uspostavila Centar za kibernetičku sigurnost, a SOA i ZSIS (Zavod za sigurnost informacijskih sustava) izgradili su sustav SK@UT koji služi za otkrivanje, rano upozoravanje i zaštitu od državno sponzoriranih napada koji su, nažalost, svake godine u porastu.

NIS 2 bi, kad se prevede u hrvatske zakone, trebao nastaviti takav trend – sve ono kritično i važno bi trebalo biti dodatno osigurano s mjerama koji prelaze preko tri glavna sastojka sigurnosti (ljudi, procesi i tehnologija). SOA, koja ovaj put koordinira transpoziciju direktive u zakon, predlaže da se njihov Centar za kibernetičku sigurnost transformira u Nacionalni centar za kibernetičku sigurnost – kažu da je to jedino logično jer su najkompletniji nacionalni resurs za kibernetičku sigurnost.

Ruku na srce, Infigo IS ima svoj SOC (Security Operations Center) koji koristimo kako za interne potrebe tako i za “iznajmljivanje” svoje sigurnosne stručnosti tvrtkama diljem Europe, pa vam iz prve ruke možemo reći koliko je uspostavljanje SOC-a zahtjevno. Na nacionalnoj razini graditi tako neki sigurnosni centar od nule, u vremenu kada ne možete dopustiti da ste sekunde bez konstantnog nadzora IT sustava, to je vjerojatno suludo teško.

Dobro, što mi možemo imati od toga?

No što tvrtke u Hrvatskoj mogu imati od nove direktive? Dosta toga. Zapravo, ne od same direktive nego i od ostatka nastojanja EU da poboljša sigurnost diljem Unije. Jedan od aktova, The EU Cybersecurity Act, omogućio je stvaranje frameworka za cybersecurity certificiranje proizvoda, usluga i procesa. Na još uvijek šturom webu možete vidjeti o čemu se radi, no sažetak svega je da će uskoro tvrtke biti u mogućnosti certificirati svoje proizvode za određenu sigurnosnu razinu. Takvim će se onda certifikatom moći javljati na natječaje diljem Unije koja je ogromno i isplativo tržište – svaka domaća developerska tvrtka trebala bi početi pratiti kako napreduje taj projekt jer bi se prvi dio sheme za certifikaciju, ICT proizvodi od hardvera do softvera, uskoro trebao pojaviti.

U sljedećih par godina trebali bismo vidjeti sličnu certifikacije za usluge u oblaku i 5G tehnologije.

EU će u narednih dosta godina jako gurati kibernetičku sigurnost, i sve vezano uz nju, tako da ne bi bilo loše pratiti što se događa u toj sferi. Mi u Infigo IS-u itekako hoćemo.

Objava Nove (sigurnosne) prilike kroz NIS 2 direktivu pojavila se prvi puta na .debug.

Dugo smo kuhali ovu točku za nadolazeći .debug, u želji da vam najbolji čovjek u svemiru ovu temu prenese na najbolji mogući način! Genijalni Bojan Ždrnja drugog će dana našeg programerskog spektakla održati predavanje za koje će, vjerujemo, Lauba (opet) biti tijesna, naslovljeno “From Zero to Hero: kako postati etički haker?”

Pogledali ste Hakere, Wargames i Matrix, i uvjereni ste da je svijet sigurnosti vaša budućnost? Hakiranje u pravom svijetu, na žalost, nije niti blizu onom holivudskom i uključuje puno učenja, pokušaja i promašaja, ali osjećaj kada nešto hacknete svakako jest holivudski, pogotovo ako ste to napravili s dozvolom i nema straha da će vam policija zakucati na vrata. Bojan će vas uvesti u svijet etičkih hakera – najvećih IT f**kera, te pokazati što trebate napraviti ako se odlučite za ovaj životni poziv.

Dugogodišnji autor stručnih članaka iz područja računalne sigurnosti u Bugu i Mreži, Bojan je danas CTO i voditelj penetracijskog testiranja u tvrtki Infigo IS, globalno prepoznatoj kao jednoj od vodećih europskih sigurnosnih IT kompanija.

Hakiranjem aplikacija se počeo baviti 1999. godine, sakupivši gotovo četvrt stoljeća iskustva s informacijskom sigurnošću, te je certificirani SANS instruktor i koautor čuvenog seminara za penetracijsko testiranje i etičko hakiranje web aplikacija, SEC542. SANS Institute je vodeća svjetska organizacija za cybersecurity treninge, certificiranje i istraživanje.

Karata za .debug nam rapidno ponestaje – do sada ih je prodano oko 95% te ćemo vrlo uskoro obustaviti prodaju. Zadnji je tren da nabavite svoj primjerak na www.debug.hr gdje možete proučiti i detaljan program ovogodišnjeg izdanja konferencije.

Objava Keynote Bojana Ždrnje: From Zero to Hero – Kako postati etički haker? pojavila se prvi puta na .debug.

Infigo IS je vodeća domaća i regionalna tvrtka za informacijsku sigurnost, koja će se ponovno predstaviti posjetiteljima .debuga. Specijalizirani su za sigurnosna rješenja, nude i vlastita rješenja za IT sigurnost, a svojim klijentima nude i različite usluge iz tog područja, poput penetracijskih testova.

Na .debugu će biti riječi kako o njihovim slučajevima iz prakse, tako i o tome kako postati bijeli haker. O potonjem će govoriti CEO Infigo IS-a i dugogodišnji Bugov suradnik Bojan Ždrnja u svojem keynote predavanju. Druga dva predavanja njihovih stručnjaka bavit će se sigurnošću rada na daljinu te hvatanjem korumpiranih političara – to je nešto što ne želite propustiti. Više detalja doznajte u video razgovoru s Hrvojem Šegudovićem iz Infiga, koji je najavio i zanimljiva događanja na njihovom izlagačkom štandu.

Ulaznice za najveći developerski spektakl ikada viđen u nas u prodaji su na debug.hr

Objava VIDEO: Najavljujemo nastup tvrtke Infigo IS na .debugu pojavila se prvi puta na .debug.

Naganjanje ISO standarda i certifikata nije seksi. To nije nešto čime mahneš ljudima i onda oni pohrle jer svi žive za certifikaciju – vendorski certifikati znaju biti fora, čovjek nauči nešto što nije znao, otkrije brži način obavljanja nečega što je prije trajalo sto godina, ali poštivanje standarda je zapravo muka. Korisna muka, ali muka.

Kao što je davno ljudski rod zaključio da je pametno rukovati se jer smo tako vidjeli da ovaj drugi ne drži oružje, moderni svijet je odlučio da su standardi dobri jer se tako lakše posluje. Zapravo, ne samo da se lakše posluje nego su zbog standarda životi postali sigurniji i bolji. Ali usklađivanje s njima zna biti dugotrajan i skup proces.

S druge strane, svi poslovni partneri kad vide određeni standard znaju točno što mogu očekivati bez da kopaju po vašim poslovnim procesima. Pitanje je samo koji vam standardi sve trebaju da biste uspješno poslovali i izgledali ozbiljno pred ostatkom svijeta – ISO, Međunarodna organizacija za standardizaciju, je od svojeg osnutka 1947. izdala preko 24.500 međunarodnih standarda!

No ako stavimo sa strane ISO standarde i neke od većih certifikata, postoje procesi koje tvrtke provode bez da ih bilo tko tjera, ali su itekakva potvrda da su predani onome što rade. SOC 2 Type 1 je jedna od tih stvari, a u Infigo IS-u možemo pričati o njemu jer ga posjedujemo već drugu godinu te razmišljamo o Type 2 u nekoj (skorijoj) budućnosti.

SOC 2 Type 1 nije ni certifikat, makar ga ljudi tako vole nazivati, nego izvješće o usklađenosti. To je skup i zahtjevan proces za cijelu organizaciju koji provode vanjski revizori i pretresaju sve što stavljate u opseg.

SOC 2 stavlja u fokus sigurnost, zapravo radi evaluaciju organizacijskih kontrola nad sigurnosti, dostupnosti, integritetu, povjerljivosti i privatnosti informacija i sustava koji obrađuju te informacije. Koliko je nama poznato, dvije hrvatske tvrtke koje posjeduju SOC 2 Type 1 su Infobip i Infigo IS (domaće urede vanjskih tvrtki ala Google ne uzimamo u obzir).

Infigo IS je odlučio podvrgnuti evaluaciji svoj Managed Security Services (MSS) dio i FRaud and Anti-Money Laundering (FRAML) sustav za sprečavanje prevara i pranja novca. I uz puno posla i pod čvrstom rukom vodiljom našeg konzultanta Danijela Hanžeka, uspjeli smo zadovoljiti stroge prohtjeve vanjskih revizora.

Mnoge organizacije imaju dosta muke jer uspješna provedba često zahtjeva formiranje posebnog tima kojeg si ne mogu baš svi priuštiti, a nemaju ni praktičnih znanja. Kako Infigo IS ima svoj konzultantski odjel, oni su na svoja pleća preuzeli dobar dio tereta te su djelovali kao središnja točka koja je nadzirala proces u ostalim odjelima (MSS, interni IT, prodaja, HR…).

I što smo s tim dobili? Pa, da vam netko kaže “ja osobno garantiram da su svi vaši podaci sigurni *wink, wink*” ili da vam netko kaže “vanjski revizori su pretresli od tehničkih uvjeta do zaposlenika i jamče ovim izvještajem, kojeg možete dobiti na uvid, da su vaši podaci u našem oblaku sigurni”, kome biste vjerovali?

Objava Infigov trud prema ekstra povjerenju pojavila se prvi puta na .debug.