Stručně: Bezpečnostní povědomí zaměstnanců v týmu správy webu znamená: Každá osoba, která web spravuje, zná tři až čtyři rizika své role, rozpozná nápadnosti a hlásí je rychle a bez strachu z výčitek. Redaktoři potřebují jiný obsah než administrátoři. Krátké, opakující se jednotky s příklady z vlastního CMS fungují lépe než jedno povinné školení ročně.
Proč je tým správy webu právě teď ve středu pozornosti
Situace kolem PHP2Shell ukázala, kolik toho se za pár dní na provozovatele webů sesype: varování BSI (německého Spolkového úřadu pro informační bezpečnost), hlášení poskytovatelů hostingu, rady na fórech a sociálních sítích, mezi nimi i nesprávné. V takových týdnech nerozhodují jen administrátoři, ale i redaktoři, marketing a asistence o tom, který e-mail otevřou a na který odkaz kliknou.
Velké zpravodajské události jsou podle zkušeností pro podvodníky příležitostí. Počítejte s e-maily, které se vydávají za poskytovatele hostingu, výrobce CMS nebo „IT oddělení“ a vyzývají k naléhavému přihlášení nebo údajné bezpečnostní aktualizaci. Kdo zná skutečnou situaci, naletí méně často. Technickou zranitelnost redaktor neuzavře, ale ukradený administrátorský přístup otevře dveře i bez zranitelnosti.
Bezpečnostní povědomí zaměstnanců: kdo co potřebuje?
Školení pro všechny se stejnými slajdy většinou míjí cíl. Smysluplnější je přizpůsobení podle rolí. Následující přehled pomáhá s plánováním:
| Role | Typická rizika | Co by osoba měla umět |
|---|---|---|
| Redaktor, marketing | phishingové e-maily, nezabezpečené nahrávání souborů, sdílené přístupy | ověřit odesílatele, nahrávat jen očekávané typy souborů, své přihlašovací údaje nikdy nepředávat |
| Administrátor CMS | pluginy z neznámého zdroje, příliš mnoho administrátorských účtů, staré účty bývalých zaměstnanců | práva přidělovat střídmě, účty pravidelně kontrolovat, rozšíření jen po schválení |
| Administrátor serveru | neověřené rady z internetu, změny bez záznamu, zapomenuté testovací soubory | hodnotit zdroje, změny dokumentovat, znát nouzovou cestu |
| Vedení firmy | tlak na rychlá rozhodnutí, nejasné odpovědnosti | stanovit rozhodovací cesty, brát hlášení vážně, uvolnit rozpočet na prevenci |
| Externí agentura | společné přístupy, chybějící dohody | používat vlastní, osobní účty, změny oznamovat |
Tabulka ukazuje i to, kde musí pomoci technika. Osobní účty místo sdílených přístupů a dvoufázové přihlášení pro všechny s právem zápisu školení výrazně odlehčí. Jak na to, najdete v Dvoufázové přihlášení pro administrátorské přístupy.
Co musejí redaktoři vědět, aniž by se stali techniky
Redaktoři nemusejí vědět, co je worker PHP. Měli by však jistě ovládat tři věci. Za prvé: Výzva k novému přihlášení „kvůli bezpečnostnímu incidentu“ se nikdy nevyřizuje přes odkaz v e-mailu, ale obvyklou cestou do CMS nebo dotazem u administrátora.
Za druhé: Hlásit nápadnosti. Patří sem neznámé uživatelské účty v seznamu uživatelů, stránky nebo příspěvky, které nikdo nevytvořil, náhlá přesměrování a varování v prohlížeči. Redaktor vidí web často častěji než administrátor a změny si všimne dříve.
Za třetí: Nahrávání souborů vědomě. Obrázky a PDF jsou běžné, ale soubor s neobvyklou příponou, archiv „k přeposlání“ nebo dokument s makry do CMS nepatří. Pokud se soubor nahrát nedá, je to většinou záměr a ne chyba, kterou by bylo třeba obcházet.
Co navíc potřebují administrátoři
U administrátorů jde méně o phishing než o úsudek pod časovým tlakem. V týdnu PHP2Shell kolovaly rady, které odborní autoři výslovně odmítají, například blokovat všechny požadavky s PHPSESSID. Přehled takových bludných cest nabízí příspěvek Nebezpečné falešné rady k PHP2Shell. Dobří administrátoři nejdřív ověří primární zdroj, tedy php.net, BSI nebo výrobce, než změní konfiguraci.
K tomu patří disciplína při změnách: Co se kdy a proč změnilo a jak to lze vrátit? Stačí krátký záznam v ticketu nebo wiki. V krizi je tento seznam k nezaplacení, protože ukazuje, která změna pochází od vás a která ne.
Konečně by administrátoři měli vědět, podle čeho poznají možný průnik a co v takovém případě nedělat: nemazat ve spěchu, hned neinstalovat znovu, ale zajistit a nahlásit. Typické příznaky shrnuje Jsem už napaden?.
Za 90 dní k bdělému týmu správy webu
Program nemusí být velký, aby fungoval. Tyto kroky se osvědčily:
- Ujasnit stav (týden 1 až 2): Kdo má jaké přístupy do CMS, hostingu, domény a serveru? Sdílené účty zrušit, staré účty zablokovat.
- Určit cestu hlášení (týden 2): Jedna adresa nebo kanál pro „něco mi připadá divné“. Na každé hlášení se odpoví, i když bylo neškodné.
- První krátká jednotka pro každou roli (týden 3 až 4): 20 minut, příklady z vlastního CMS, snímky obrazovky skutečných nabídek.
- Zavést dvoufázové přihlášení (do týdne 6): Pro všechny s právem zápisu, s nouzovými kódy na bezpečném místě.
- Cvičný e-mail a vyhodnocení (týden 8): Ohlášená zkušební kampaň bez zostuzování jednotlivých osob. Vyhodnocuje se, zda se hlásilo, ne kdo klikl.
- Druhá jednotka k aktuálnímu důvodu (týden 10 až 12): Například aktuální bezpečnostní situace, procvičená na vlastním systému.
Úspěch měřte podle hlášení, ne podle míry prokliků. Tým, který hlásí hodně, je bdělý. Tým, který nehlásí nikdy, je buď dokonalý, nebo nejistý, a to první je vzácné.
Jak konkrétně pomáhá PHP SOS?
- Společně s vámi zjišťujeme, kdo má jaké přístupy, a ukazujeme sdílené účty, přebytečné administrátory a zapomenuté přístupy.
- Krátké jednotky pro jednotlivé role vedeme na dálku, s příklady z vašeho CMS a serverového prostředí.
- Pomůžeme zřídit cestu hlášení a na přání vyhodnocujeme došlá hlášení podezření.
- V rámci smlouvy o bezpečnostní údržbě jednotky opakujeme k aktuálním důvodům a pravidelně kontrolujeme účty.
Závěr
Bezpečnostní povědomí v týmu správy webu nevzniká strachem, ale jasností: Každý zná svou roli, svá typická rizika a cestu, jak nápadnosti hlásit. V kombinaci s osobními účty a dvoufázovým přihlášením je to ochrana, která obstojí i v příštím krizovém týdnu.
Časté dotazy
Potřebují redaktoři vůbec bezpečnostní školení?
Ano. Redaktoři mají přístup do CMS, nahrávají soubory a dostávají e-maily, které vypadají jako systémové zprávy. Nemusejí rozumět technice, ale musejí poznat, kdy je něco neobvyklé, a vědět, komu to nahlásit.
Jak často by se tým správy webu měl školit?
Lépe krátce a pravidelně než jednou ročně dlouho. Osvědčily se jednotky po 15 až 20 minutách v odstupu několika týdnů, doplněné o mimořádný důvod, například aktuální bezpečnostní situaci.
Co dělat, když zaměstnanec klikl na phishingový odkaz?
Nechat ho to okamžitě nahlásit, bez výčitek. Poté změnit dotčené heslo, ukončit aktivní relace a zkontrolovat, zda se s účtem něco nezměnilo. Čím dřív přijde oznámení, tím menší bývá škoda.
Nahrazuje školení technická ochranná opatření?
Ne. Školení a technika se doplňují. Dvoufázové přihlášení, oddělené role a aktuální software zachytí chyby, které se stávají i dobře proškoleným lidem.