Najdôležitejšie body
- inventár systémov, doplnkov a vlastníkov
- MFA a individuálne účty správcov
- aktualizácie podľa závažnosti rizika
- ochrana formulárov a bezpečné spracovanie dát
- zálohy, monitoring a plán incidentu
Účty a prístupy
Každý správca má mať vlastný účet a iba potrebné oprávnenia. Zdieľané heslá znemožňujú audit a zostávajú aktívne po odchode človeka. Zapnite viacfaktorové overenie na hostingu, doméne, CMS aj analytike.
Prístupy pravidelne kontrolujte a odstráňte neaktívne účty. Produkčné tajomstvá neukladajte do verejného kódu ani bežných dokumentov.
Aktualizácie a závislosti
Redakčný systém, doplnky, knižnice a serverové prostredie majú vlastné bezpečnostné cykly. Kritickú opravu treba nasadiť rýchlo, ale s možnosťou návratu. Nepoužívaný doplnok odstráňte, nie iba vypnite.
Pri starom systéme bez podpory vytvorte plán migrácie. Dlhodobé odkladanie zvyšuje riziko aj cenu budúcej zmeny.
Formuláre a osobné údaje
Vstupy validujte na serveri, obmedzte spam a zobrazujte bezpečné chybové správy. E-mailové odoslanie nesmie odhaliť technické údaje. Zbierajte iba údaje potrebné na účel a nastavte primeranú dobu uchovania.
TLS chráni prenos, nie celý systém. Dáta treba chrániť aj v databáze, zálohách, exportoch a e-mailových schránkach.
Pripravenosť na incident
Monitoring má zachytiť neobvyklé chyby, výpadok a zmenu kritických súborov podľa typu riešenia. Tím potrebuje kontakty, spôsob izolácie, obnovy a komunikácie. Pri incidente sa rozhoduje pod tlakom.
Pravidelne testujte obnovu zo zálohy a aktualizujte zoznam vlastníkov. Cieľom nie je tvrdiť, že incident nikdy nenastane, ale znížiť pravdepodobnosť a dopad.
Nexode pohľad: najlepšie digitálne riešenie nie je to s najväčším rozsahom. Je to riešenie, pri ktorom vieme pomenovať používateľa, výsledok, riziko a spôsob merania.
Časté otázky
Otázky a odpovede
Je HTTPS dostatočné zabezpečenie?
Nie. Chráni prenos medzi prehliadačom a serverom, ale nerieši zraniteľný kód, účty, databázu ani zálohy.
Ako často meniť heslá?
Dôležitejšie sú unikátne silné heslá, správca hesiel, MFA a okamžitá zmena pri podozrení. Nútené časté zmeny bez dôvodu nemusia pomôcť.
Kto má byť zodpovedný po spustení?
Konkrétny interný alebo externý vlastník s prístupmi, monitoringom a dohodnutým postupom reakcie.