Konference SECURITY 2018

Pohled vnitrostátního dozorového úřadu pro ochranu osobních údajů na změny, které do ochrany osobních údajů přinášejí unijní předpisy, které buď vstupují v platnost v květnu 2018 nebo mají být ve vnitrostátních předpisech provedeny. Po obecném přehledu významnějších změn v porovnání se stávající vnitrostátní legislativou (zejm. zákonem o ochraně osobních údajů) podle obecného nařízení o ochraně osobních údajů (GDPR) a směrnice o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů (směrnice LED) se porovnávají povinnosti při zabezpečení osobních údajů.

IT Security has changed over the past years. We faced a period of attacks on single passwords, followed by the first viruses. Nowadays, IT security researches are dealing with social engineering, ransomware attacks and millions of weakly secured IoT devices. This presentation demonstrates live a handful of attacks from the past and from today. It is intended to launch a discussion about

GDPR nám ukládá zaměstnance chránit před neoprávněnými zásahy do soukromí. Současně však musíme chránit také data klientů a jiných osob, což vyžaduje součinnost zaměstnanců a mnohdy také opatření, která mohou soukromí zaměstnanců omezovat. K jakým činnostem potřebujeme souhlas zaměstnance? Jak provádět monitoring zaměstnanců v souladu s GDPR? A jak nastavit pravidla zpracování osobních údajů, aby byl naplněn tzv. princip odpovědnosti, tedy požadavek GDPR na zajištění a prokázání souladu?

Presentation with the Dutch police found the criminals behind a ransomware campaign. In 2014 the Coinvault ransomware emerged, a year later it stopped. If you want to know why, but also what a Swedish furniture company, bananas, minions, and teamwork have to do with this, then this presentation is for you.

Účinnost nařízení GDPR se blíží a společnosti které již prošly analýzou, nyní finišují s implementací požadavků GDPR, zejména v oblasti naplňování práv subjektů. Jako konzultanti zaměřující se na tuto oblast bychom se rádi podělili o zajímavé příklady a postřehy z praxe včetně pohledu na vztah cloudové služby a GDPR. Jedná se především o to, jak řešit konkrétní požadavky na systémové úrovni, jak se postavit k některým podstatným otázkám, které při implementaci vznikají a jak optimálně navrhnout související procesy tak, aby soulad s nařízením neznamenal neúnosnou administrativní, personální či finanční zátěž.

V posledních letech došlo k překotnému vývoji malware, objevily se zcela nové techniky i cíle útočníků. Ti dokázali celé odvětví dokonale monetizovat a s příchodem evropské směrnice GDPR budou mít ještě více příležitostí. Prezentace Vás seznámí s aktuálními trendy tzv. Next-gen malware a představí myšlenku synchronizovaného bezpečnostního řešení, které díky tomu, že jednotlivé bezpečnostní složky navzájem kooperují a automaticky přizpůsobují své chování, je schopno reagovat i na nejnovější druhy útoků.

Implementace požadavků GDPR může být komplikovaná i pro jednu společnost. Co se pak může stát v prostředí, kde probíhají akvizice s rozsáhlými klientskými bázemi. Kdo ponese odpovědnost za nedostatky, jak postupovat při sloučení, kde jsou slabá místa. Přednáška bude zaměřená na praktickou stránku implementace GDPR z pohledu zákazníka, příklady z praxe, na co si dát pozor, jak řídit dodavatele apod.

V naší prezentaci se podíváme na to, jak se z původně nevýznamné hrozby – jakou ve svých počátcích ramsomware byl – stal miliardový zločinný byznys ohrožující firmy a uživatele po celém světě. Naše časová přímka obsahuje množství zajímavých a pozoruhodných příkladů, včetně nejnovějších trendů a predikcí. Nechybí mezi nimi ani WannaCryptor, který zasáhl počítače ve 150 zemích světa a ani výsledky výzkumu ESET k případu Diskcoder.C (známého jako NotPetya). Právě tento ransomware použili jeho autoři na útok vůči byznysu na Ukrajině, čímž nečekaně způsobili miliardové škody mnohým globálním korporacím.

If you read the news, it looks like the world is on ‘cyber-fire’ and the ‘bad guys’ are winning. But, is that true? And if yes, what can we do?
Fred Streefland will explain why it’s so hard to secure an organization in today’s complex world and why the security needs a new approach. Based on the Zero Trust concept, he will show that only a holistic, integrated and automatic security approach can be successful. Based on his own CISO experiences and his vision, he will challenge the audience for a ‘food for thought’ discussion during an energetic session!

Jak vypadá kyberválka? Odkryjeme karty! Souboj dvou týmů v přímém přenosu. Tři simulované útoky. Jaké taktiky použije red team? Jak se blue team vypořádá s krizovou situací?
Red Teaming je zvyšování kompetencí a schopností týmů v reakci na probíhající útoky. V prezentaci si ukážeme, jak Red Teaming v podaní specialistů AEC probíhá na příkladech útoků a jak se musí obranný tým vypořádat s probíhající krizovou situací. Ukázka proběhne na třech simulovaných útocích, které budou jednoduše vysvětleny. Cílem je ukázat přínos vzdělávání bezpečnostních specialistů ve společnosti nejen v oblasti technických znalostí, ale také v schopnostech reagovat a správně se rozhodovat v kritických momentech útoku.

Modely sociální komunikace jako nástroje manipulace či propagandy v prostředí on-line a legitimnost prostředků v rámci boje s dezinformacemi.

Pojem „Resilience“ (v českém překladu odolnost) je v poslední době doslova „buzz wordem“, který se skloňuje nejen v rámci Severoatlantické aliance, ale je i jedním ze základních pilířů nové Evropské globální strategie. Historicky ji můžeme znát třeba v souvislosti s klimatickými změnami, nově převážně v souvislosti s otázkami kybernetické bezpečnosti, kde její koncept popisuje schopnost společnosti odolat či adekvátně reagovat na nejrůznější typy rizik, hybridními hrozbami počínaje přes ohrožení kritické infrastruktury, kybernetické útoky až po propagandu.
Informační či digitální společnost však není definována respektive determinována pouze samotnou infrastrukturou, technologií či daty a službami státní správy, kritických oblastí pro fungování státu, ale změnou procesů, návyků, a zejména způsobů komunikace.
Právo na svobodné přijímání i šíření informací je definováno samotnou Listinou základních práv a svobod a cenzura je nepřípustná. Digitální propojení skupin i jednotlivců vykazuje většinově pozitivní aspekty a je pilířem liberální demokracie nesené celou občanskou společností. Paradoxně ji však může zároveň ohrožovat.
V politickém světě kromě transparentních kampaní standardního či virálního typu však dochází k masivnímu „šedému“ ovlivňování veřejného mínění, které se opírá o zcela standardní modely sociální komunikace z dob před internetem.
Kombinace moderních komunikačních prostředků tak slouží k optimalizaci sdělení pro ovlivnění různých cílových skupin ale třeba i k mobilizaci nerozhodnutých voličů na základě mylných či zcela záměrně lživých informací, které pak může ovlivnit směřování voleb, nebo ovlivnit jejich rozhodování v rámci realizace prvků přímé demokracie, jako je třeba referendum.
Demokratická společnost na tento způsob ovlivnění voleb nemá přesvědčivou odpověď.
Signifikantní roli mohou jistě sehrát klíčové instituce v rukou státu, pokud se ovšem nerozhodnou jít cestou, která je v rozporu s Listinou práv a svobod, a to zejména na poli vzdělání a pro občany srozumitelného pěstování informační gramotnosti současné, ale i nastupující politicky odpovědné generace. Primární zodpovědnost vyžadovat i od politiků demokratických stran, pokud ovšem oni sami neuchopili tuto „zranitelnost“ (v sociální rovině je toto označení opakem onoho Resilience) jako nástroj politického boje. Odpovědi v současné chvíli nabízí i občanská společnost, či silné komunikační osobnosti – online opinion makers.
Převzetí odpovědnosti za „odolnost“ v oblasti sociální komunikace a aplikace otevřeného přístupu je výzvou pro následující „post-fact“ společnost a to výzvou zcela zásadní, nejen pro vládu či státní instituce či internetově gramotnou část populace. Případné legislativní úpravy totiž boj na poli diskursu vedený z pozice silnějšího či „protřelejšího“ ve světě online totiž nevyřeší.
Důležité je nejen pochopit podstaty fenoménu informačních 'Šmejdů' a předložit model pro legitimní opatření či kroky při adresování tohoto fenoménu.

In this talk, we will dissect real-world ransomware found by FireEye Investigators and Intel Analysts in the wild. We will discuss some of the most famous ransomware attacks in recent memory such as WannaCry and Petya. The talk will culminate in a demonstration in which we’ll show exactly how the FLARE team reverse engineers malware using a real-world sample.

The principle of security by design suggests that security needs to be aligned with business objectives. But what, exactly, does that mean and where should security professionals start? Below are some factors to consider when aligning security with business objectives. This presentation will discuss the best practices for security within an organisation by design. This includes compliance, risk, incident response, data protection and other factors which should be considered.

V oblasti IT bezpečnosti se běžně vyskytují dva druhy lidí. Ti, kteří se snaží zabezpečit svoji infrastrukturu, většinou přemýšlí jako "obránci", a Ti, kteří se snaží zabezpečení prolomit, přemýšlí jako útočníci. Z jakého pohledu se díváte na bezpečnost vy?

Případová studie z prostředí Skupiny ČEZ na téma budování bezpečnostního povědomí v oblasti informační a kybernetické bezpečnosti. Školíme, inspirujeme, testujeme i šokujeme.
Která z metod vzdělávání je nejúčinnější pro pracovníky HR, IT odborníky, účetní, SCADA adminy, údržbáře, operátora výrobního bloku? … a máme šanci vůbec někoho vzdělat anebo si jen 'kryjeme záda'?

Toto není pokřik neznámého indiánského kmene někde v pralese. SCADA je označení pro neviditelný kybernetický svět, který nás všude kolem obklopuje. Je s námi v autech, v chytrých i hloupých budovách, pomáhá nám vyrábět věci, léky, potraviny. Máme díky tomu teplo, světlo i čistou vodu. Dostáváme díky ní kvalitní lékařskou péči. SCADA nám umožňuje se přepravit rychle a bezpečně z místa na místo. SCADA nám taky umožňuje, že nemusíme mít na rukou mozoly a provádět těžkou a náročnou práci rukama. SCADA je prostě všude. Proto je velmi důležité o ní vědět a hlavně si jí chránit. Dopady na to, že někdo SCADU zneužije a napadne, jsou totiž obrovské...

Ak má človek viac ako 3 heslá, má problém si ďalšie zapamätať, následne si ich píše alebo vytvára veľmi jednoduché. V súčastnosti firmy využívajú technológiu Single Sign On na prihlasovanie do systémov, tým sa počet hesiel výrazne redukuje na prvé heslo na overenie do systému a Legacy systémy. Ukážeme si úspešné nasadenie riešenia, ktoré cez OTP prihlási používateľa do počítača. Ďalej si ukážeme, ako je používateľ zviazaný s počítačom a miestom na ktorom pracuje. Ukážeme si, ako je možné zabezpečiť niektoré významné potreby kontroly pre homworking. Prezentácia sa bude celý čas orientovať na spojenie technickej implementácie a bude popisovať ako implementácia vie pomôcť manažérom riadiť ľudí.

Ukážeme si obecný model hrozeb pro návrh aplikací, které nějakým způsobem spoléhají na infrastrukturu mobilních sítí. Přitom zdůrazníme především principiální slabiny, kterým se nelze jednoduše vyhnout volbou silných kryptografických algoritmů. Příkladem budiž samotná buňková architektura těchto sítí, která nutně klade zvýšené nároky na ochranu rádiového protokolu vyhledání a výběru jak mobilní, tak i základnové stanice. Bezpečnostní požadavky přitom často nejsou zcela splnitelné naráz, a tak je nutné hledat řadu kompromisů. K tomu všemu se ještě přidává zpětná kompatibilita až k sítím druhé generace, která je zhruba stejně ošemetná jako magnetický proužek na čipových platebních kartách.

In the last decade, the concept of Cyber Defence has changed radically in order to adapt to the new threat landscape. The presentation provides an overview on a practical cyber defence concept with special focus on the establishment of the mission, domains and processes. In addition it targets to give an outline about the aspects which might be considered to increase the detection capability of an organization. Also it describes how to extend Cyber Defence to OT (ICS) based on the lessons learned from IT environments.

While communication using APIs have been around since the first programs were written, the use of APIs has changed and they are an emerging technology for integrating applications using web technologies. This approach is exploding in popularity but also increases the attack surface and brings new risks.
API security is a growing enterprise concern due to recent high-profile breaches but also very often overlooked. In this presentation, you will see an API overview, learn possible attack vectors, security challenges and the risk by not protecting your APIs.

Cybersecurity is a young discipline that has been forced to mature quickly. We must look at models from other dynamic fields and embed innovation into the very heart of the way we work. This session gives an inspiring look at the evolution of other disciplines and discover what our industry can and must become to embrace the opportunities of today and get ahead of the attacks of tomorrow. How can we use not just incremental innovation, but RADICAL innovation. What can we become as a security industry by leveraging big data analytics and Machine Learning.

V praxi sa príliš často stáva, že v stredných a veľkých firmách pri požiadavke ''Ukážte mi aktuálny sieťový diagram'' nejeden sieťový administrátor dostane mdloby. Prednáška chce ukázať riešenie, ktoré prináša nielen aktuálnu sieťovú mapu, ale aj ďalšie výhody. Ako sú kontrola vulnerabilít v rámci siete a ich vzájomná previazanosť. Významná oblasť je schvaľovanie zmien v systémoch, kontrola implementácie a následný audit. Na koniec si zhrnieme, čo všetko a ako zásadne sa zlepšilo, a aká je budúca roadmapa.

V súčasnosti každá väčšia spoločnosť používa rôzne bezpečnostné nástroje, väčšinou ide aplikácie zamerané na špecifickú oblasť (zraniteľnosti, netflow, firewall, prístup k databázam a pod.), ktoré sa ideálne stretávajú niekde v SIEM. Zároveň sú tieto nástroje aj vhodne medzi sebou integrované. V prípade, že to tak nie je, načrtneme koncept ako sa dá zefektívniť proces manažmentu zraniteľností a tip na detekciu cielených útokov.

Cloud byl donedávna pro hodně bezpečnostních managerů spíše nadávka než něco, co by měli řešit. Doba se ale změnila a proto je čas projít si možnosti a zkušenosti se zabezpečením našich citlivých dat v cloudu. Co udělat, aby nám data zůstala jen tam kde chceme a abychom měli kontrolu nad přístupem k nim nejen našimi zaměstnanci. Je dobré je šifrovat? A jak zjistíme, že nám data z cloudu zmizela?