Management oborových řešení (ImorK)

Cíle předmětu

• Znalosti o specifických problémech a odlišnostech při oborovém řešení informační bezpečnosti
• Porozumění jednotlivých řešení na úrovni případových studií
• Přehled o rozdílných aspektech v závislosti na oborové řešení ISMS
• Metodika pro budování bezpečných IS na bázi norem řady ISO/IEC 27000

Osnova

1. Bezpečnost v kyberprostoru
2. Budování bezpečnostního povědomí — SAE
3. Manažerská informační bezpečnost
4. Problematika GDPR
5. ISMS v ISVS
6. ISMS v univerzitním prostředí
7. ISMS ve zdravotnictví
8. ISMS v energetice
9. ISMS poskytovatelů konektivity (ISP)
10. Bezpečnost konvergovaných sítí
11. Řízení bezpečnosti www aplikací
12. Řízení bezpečnosti mailových aplikací
13. Řízení mobilní bezpečnosti

Témata kurzu

Souhrnné koncepční stránky, na nichž stojí celý kurz:

• ISMS — systém řízení bezpečnosti informací; rodina ISO 27000
• Řízení rizik — proces ISO 27005 / ISO 31000, RTP, SoA
• Kybernetická bezpečnost — útoky, obrana, defense-in-depth
• SAE — budování bezpečnostního povědomí, NIST SP 800-50/16
• BCM a Disaster Recovery — kontinuita činnosti, ISO 22301, RPO/RTO
• Ochrana dat — NAC, IDS/IPS, SIEM, DLP, kryptografie, eIDAS
• GDPR — nařízení (EU) 2016/679, DPIA, Privacy by Design, ISO 27701

Referenční výstupy

• Přehled norem podle sektoru — rodina ISO 27000, NIST SP 800, EU regulace (GDPR, NIS2, DORA, MiCA), české předpisy (ZKB, VKB), frameworky (NIST CSF, MITRE ATT&CK, OWASP, CMMC); řazeno podle oborového sektoru
• Glosář pojmů a zkratek — abecední slovník ~120 zkratek a pojmů kurzu

Záznamy přednášek

Manažerské a strategické téma

• Detail předmětu — sylabus, hodnocení, literatura
• Manažerská informační bezpečnost — governance, SIEM, IAM, incident management, penetrační testy
• Bezpečnostní strategie — ENISA NCSS, CMMC, NÚKIB strategie ČR
• Záznam přednášky SAE — bibliografická karta zdroje
• Záznam přednášky Risk Management — bibliografická karta zdroje

Oborová ISMS

• Akademické prostředí — kampus, eduroam, BICSI, VIS, TLP
• Finanční sektor — DORA, MiCA, DLT/blockchain
• Zdravotnictví — HIPAA, ISO 27799, PACS, DICOM
• Energetika — ISO 27019, IEC 61850, PLC/SBC/RTU
• Smart Grid — NISTIR 7628, IEC 62351, prosumers, IoT
• Doprava (železnice) — CLC/TS 50701, kritická infrastruktura
• Automotive — CAN bus, TISAX, UN Reg. 155
• ISP a telekomunikace — ISO 27011, NGN, IMS, 5G, RTBH
• Mission Critical Networks — NCPI, model hrozeb ITU-T X.805

Bezpečnost aplikací a dat

• Bezpečnost webových služeb — OWASP, IPsec, TLS, XML Security
• Bezpečnost emailových služeb — SPF, DKIM, DMARC, S/MIME, BEC
• Záznam přednášky Ochrana dat — bibliografická karta zdroje

Kontinuita a obnova

• Záznam přednášky BCM — bibliografická karta zdroje
• Disaster Recovery — RPO/RTO, cloud DR, 7 tiers, DRaaS

Kybernetické útoky

• Anatomie kybernetického útoku — APT, vektory, MITRE ATT&CK, ISO/OSI
• AI útoky a obrana — WormGPT, BEC 5 typů
• Síťové útoky — DDoS, spoofing, kill chain Emotet→Trickbot→Ryuk
• Ransomware — historie 1989–2024, RaaS, NISTIR 8374, IR plán
• Řízený hacking a APT skupiny — APT28/29/41, Ghost Net
• Internetová bezpečnost — kyberprostor, OSINT, KRACKs

Případové studie

• Útoky na nemocnice — Benešov, FN Brno, Nymburk
• Krádež dat — PII, ISO 27701, Privacy by Design
• Správa přihlašování — privilegované účty, NIST SP 800-63
• eHealth — telemedicína, NSeZ, WBAN
• TOR — anonymizační síť — onion routing, NSA X-Keyscore
• Bezpečnost plateb — PCI DSS v4.0.1, NFC/tokenizace, EMV
• Mobilní bezpečnost — SIMJaker, SIM swapping, 5G
• Audio Hack — fyzická zranitelnost HDD, CVE-2022-38392

Další

• Digitální identita a digitální stopa — online identita, footprint

Doporučená literatura

• JORDÁN, V. a ONDRÁK, V.: Integrovaná podniková infrastruktura. Brno: CERM, 2016. ISBN 978-80-214-5241-1
• SEDLÁK, P. a KONEČNÝ, M.: Přeměna ISMS v manažerské informatice. Brno: CERM, 2023. ISBN 978-80-7623-110-8
• SEDLÁK, P. a KONEČNÝ, M.: Kybernetická (ne)bezpečnost. Brno: CERM, 2021. ISBN 978-80-7623-068-2
• ČSN EN ISO/IEC 27011 — Bezpečnost pro telekomunikační organizace
• ČSN EN ISO/IEC 27019 — Bezpečnost pro energetický průmysl
• ČSN EN ISO 27799 — Bezpečnost ve zdravotnictví