Wideoszkolenie: Cyberbezpieczny Samorząd

W programie m.in., wybrane zagadnienia:

• Jakie działania warto przeprowadzić w ramach grantu Cyberbezpieczny Samorząd aby realnie zwiększyć cyberbezpieczeństwo?
• W jaki sposób utrzymać usługi i poziom bezpieczeństwa po zakończeniu grantu Cyberbezpieczny Samorząd?
• Co trzeba zrobić, żeby stworzyć solidną konstrukcję sieci informatycznej w urzędzie?
• Coraz częściej urzędy odchodzą od swoich serwerów, kupują usługi w chmurze. Jak wygląda kwestia bezpieczeństwa takich usług?
• Czy warto wydawać pieniądze na testy bezpieczeństwa (testy penetracyjne)? Jak często testy powinny być przeprowadzane, co należy testować?
• Jak wybrać odpowiednie licencje Windows Server? Licencja na liczbę rdzeni, nie gniazd procesora
• Dlaczego częstotliwość robienia kopii zapasowych zależy od kontekstu i specyfiki systemu?
• Każdy urząd indywidualnie interpretuje zasady bezpieczeństwa i KRI. Jakie są dobre praktyki w zabezpieczeniu urzędu?

Szczegółowy program szkolenia:

1. Projekt „Cyberbezpieczny Samorząd” – jakie kroki należy podjąć, żeby uzyskać grant na polepszenie cyberbezpieczeństwa w urzędzie? Jak napisać wniosek? Na jakie zabezpieczenia można przeznaczyć uzyskane pieniądze?

• Jakie działania warto przeprowadzić w ramach grantu Cyberbezpieczny Samorząd aby realnie zwiększyć cyberbezpieczeństwo?
• Czy inne jednostki samorządowe np. szkoły, instytucje miejskie np. szpital lub spółki miejskie mogą ubiegać się o grant Cyberbezpieczny Samorząd?
• Jak wycenić poszczególne zadania w projekcie Cyberbezpieczny Samorząd?
• Czy można wykorzystać środki z grantu na skorzystanie z usług zewnętrznej firmy w celu zmodernizowania dokumentacji i procedur? Np. polityki bezpieczeństwa?
• Jak określić zakres, czas i koszty projektu Cyberbezpieczny Samorząd?
• Które urządzenia i technologie z zakresu cyberbezpieczeństwa należy wdrażać w zależności od poziomu dojrzałości cyberbezpieczeństwa w danej jednostki samorządowej?
• W jaki sposób utrzymać usługi i poziom bezpieczeństwa po zakończeniu grantu Cyberbezpieczny Samorząd?
• Które działania z zakresu szkoleń warto przeprowadzić, kogo szkolić i z czego aby to miało rzeczywisty skutek w postaci podniesienia bezpieczeństwa?
• Czy testy socjotechniczne pracowników to dobry pomysł?
• Czy projekt Cyberbezpieczny Samorząd dotyczy tylko działów informatyki czy jest szerszy i dotyczy również innych działów? Kto powinien wchodzić w skład zespołu projektowego?
• Czy warto kupować usługi SOC? Które logi powinny być monitorowane i w jaki sposób aby na wczesnym etapie wykryć atak i zapobiec aby nie przekształcił się w incydent?
• W jaki sposób sprawdzić czy nasza sieć nie jest już od długiego czasu zaatakowana? Jak sprawdzić czy w naszej sieci nie siedzi cyberprzestępca?
• Czy warto wydawać pieniądze na audyt dokumentacji? Czy dokumentacja powinna integrować obszar RODO oraz cyberbezpieczeństwa?
• Dlaczego warto zrobić audyt przed wykorzystaniem środków na działania związane z cyberbezpieczeństwem?
• Czy można wykorzystać środki z grantu na zakup licencji oprogramowania? Jakich?
• Czy można wykorzystać pieniądze na zakup 5-cio letniego wsparcia producenta, mimo, że projekt jest do 2026 roku?
• Co jest kosztem kwalifikowanym? Na jakie działania nie można przeznaczyć pieniędzy?
• Czy warto zasięgnąć informacji od firm zewnętrznych, które specjalizują się cyberbezpieczeństwem, żeby ustalić na co warto przeznaczyć pieniądze?
• Czy klasyczny, sygnaturowy antywirus jest wystarczający w obecnych czasach?
• Czy warto wydawać pieniądze na testy bezpieczeństwa (testy penetracyjne)? Jak często testy powinny być przeprowadzane, co należy testować?
• Jak wdrażać zabezpieczenia i jednocześnie nie utrudniać pracy pracownikom?

2. Bezpieczeństwo w urzędzie – jaki wpływ na funkcjonowanie urzędu miasta/gminy będzie miało wprowadzenie „bezpiecznej sieci”? Co wprowadzi nowelizacja ustawy o KSC i jak przygotować się na zmiany? Dlaczego korzystanie z publicznych chmur jest niebezpieczne dla urzędu?

• Czy stosowanie się wyłącznie do zasad określonych w KRI jest wystarczające, żeby zabezpieczyć urząd?
• Każdy urząd indywidualnie interpretuje zasady bezpieczeństwa i KRI. Jakie są dobre praktyki w zabezpieczeniu urzędu?
• Jakie korzyści będą płynąć z wejściem nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa?
• Jaki wpływ będzie miało wprowadzenie „bezpiecznej sieci”?
• Czy wejście regulacji o możliwości poddaniu dostawców sprzętu i oprogramowania procedurze sprawdzającej pod kątem zagrożenia, zminimalizuje niebezpieczeństwo w urzędach? Dlaczego?
• Co trzeba zrobić, żeby stworzyć solidną konstrukcję sieci informatycznej w urzędzie?
• Jakich narzędzi i jakiego oprogramowania użyć do udoskonalenia systemu pod kątem bezpieczeństwa?
• Czy zastosowanie UTM jest konieczne w urzędzie? Dlaczego?
• Czy warto korzystać z outsourcingu, jeżeli chodzi o zarządzanie siecią i systemami? Dlaczego? Jakie są wady i zalety?
• Jakie są wady korzystania z chmury w urzędzie? Do jakich niebezpiecznych sytuacji może dojść, jaką kontrolę nad danymi ma informatyk, jeśli korzysta z publicznej chmury?
• Jak zarządzać maszynami wirtualnymi w chmurze i jakie to niesie zagrożenia?
• Jak odzyskać dane z chmury w przypadku utracenia danych/zaszyfrowania?
• Sposoby reakcji na włam - jak się zachować, gdy dochodzi do incydentu? Czy należy wyłączać serwery?
• Czy są urządzenia, na których można zrezygnować ze wsparcia producenta, jeżeli jest to wymagające finansowo?
• Do jakiego momentu jest wsparcie producenta? Czy po pewnym czasie wsparcie wygasa?
• Jakie korzyści płyną z posiadania sprzętu ze wsparciem technicznym? Dlaczego to jest ważne (szczególnie chodzi o sprzęt wrażliwy, np. serwery)?
• Wykorzystywanie prywatnego sprzętu (laptopów, komputerów stacjonarnych) do wykonywania obowiązków i procedur urzędu - czy jest to w ogóle możliwe? Czy istnieje jakieś ryzyko?
• Dlaczego korzystanie z oprogramowania antywirusowego z maksymalnymi możliwościami bezpieczeństwa jest ważne?
• Czy urząd jako instytucja publiczna ma obowiązek posiadania antywirusa?
• Czy wbudowane zabezpieczenia Windows’a są wystarczające dla urzędu?
• Antywirus komercyjny a wbudowane zabezpieczenia Windows, jakie są różnice, wady i zalety?
• Jak efektywnie zarządzać zabezpieczeniami Windows’a, wiedząc, że to jest tak obszerna architektura?
• Jak wykorzystać VPN’a w urzędzie? Jakie korzyści z tego płyną?
• Jakie korzyści płyną z korzystania z routera z firewallem z technologią UTM?
• Dlaczego należy zadbać o wymianę oprogramowania systemu, jeżeli korzysta się z wersji bez wsparcia technicznego? Jaki wpływ to ma na bezpieczeństwo? Łatanie luk?
• Czy instalowanie oprogramowania przez urzędników jest możliwe? Czy istnieje jakieś ryzyko?
• Kto jest odpowiedzialny za ustalenie, czy dane oprogramowanie jest zdatne do zainstalowania na systemach urzędowych?

3. Licencje, zarządzanie i ewidencja - jakie są dostępne narzędzia do prowadzenia ewidencji kluczy i licencji?Jak ułatwić zarządzanie licencjami bez korzystania z dedykowanego oprogramowania, jeżeli mamy do czynienia z dużą liczbą licencji?

• Jakie są programy, które sczytują licencje i automatyzują ewidencje?
• Jakie są typy i rodzaje licencji, które są używane w urzędach miast i gmin?
• Jaka jest odpowiedzialność informatyka za zarządzanie licencjami?
• Kto w urzędzie ponosi konsekwencje w razie nieprawidłowości z zakresu licencji?
• Jak poprawnie ewidencjonować licencje?
• Jakie są dostępne narzędzia do prowadzenia ewidencji kluczy i licencji?
• Czy posiadając licencję Windows’a w formie wielokrotnego klucza jest łatwiej zarządzać systemami? W jaki sposób i dlaczego?
• Czy kupowanie licencji Windows w formie wielokrotnego klucza (MAK) jest finansowo opłacalne?
• Jakie narzędzia wspierają inwentaryzację urządzeń?
• Czy cena licencji oprogramowania (np. programu do szyfrowania dysków) przekłada się na jego jakość?
• Jakie są dostępne rozszerzenia pakietów Microsoft? Jakie wybrać, aby odpowiadały one urzędowi, a nie były wymagające finansowo?
• Czy zakupienie licencji Office w pakiecie jest korzystniejsze niż przypisywanie indywidualnych licencji do poszczególnych urządzeń?
• Czy kupowanie sprzętu (np. laptopów) z już nadanym kluczem produktu jest korzystne finansowo? Czy jest bezpieczne?
• Co w sytuacji, gdy zakupiony sprzęt z nadaną licencją pochodzi z niewiadomego źródła?
• Licencja Office z odzysku, jak to wygląda prawnie?
• Kiedy można przenieść licencję Office na inne urządzenie?
• Którą licencję CAL wybrać? Licencję na użytkownika czy na urządzenie?
• PRZYKŁAD: W urzędzie jest stanowisko 3-zmianowe. 3 osoby korzystają z jednego urządzenia w innym czasie. Czy w takiej sytuacji należy kupić licencję CAL na urządzenie, a nie na użytkowników -kupi się tylko jedną licencję, a nie aż trzy (na każdego użytkownika)? Czy jednak powinna być na każdego użytkownika oddzielna licencja?
• W jakich sytuacjach należy wybrać licencję CAL na urządzenie, a w jakich na użytkownika w przypadku posiadania innego sprzętu niż tylko komputery?
• Licencje Microsoft są niejasne, jak licencjonować pod produkty i wersje?
• Jak wybrać odpowiednie licencje Windows Server? Licencja na liczbę rdzeni, nie gniazd procesora.
• Jak licencjonować produkty Oracle do maszyn ‘tower-owych’?
• Urząd to nie firma zarobkowa, nie należy do obszaru biznesowego, więc nie wiadomo, czy można podciągnąć tę jednostkę do grupy komercyjnej, czy w takim przypadku należy kupić licencję do konkretnych programów Open Source?
• Jak, dlaczego i których pracowników urzędu należy edukować na temat licencji i zakresu funkcji, jakie oferują?
• Jakie kroki należy podjąć w sytuacji, gdy informatyk, który był odpowiedzialny za zarządzanie i ewidencję licencji, zmarł i nikt nie ma dostępu do oprogramowania/plików?

4. Dostępy i uprawnienia nadawane pracownikom urzędu miasta/starostwa/gminy – na jakiej zasadzie ograniczać dostęp do konkretnych stron?

• Jak informatyk w urzędzie może zabezpieczyć się przed odpowiedzialnością za niezgodnie/nielegalnie zainstalowane oprogramowanie?
• Jak przebiega analiza oprogramowania pod kątem wirusów i niebezpieczeństw? Na co należy zwrócić uwagę?
• Kto jest odpowiedzialny za aktualizację systemów i oprogramowania?
• Jakie korzyści płyną z limitowania dostępu do poszczególnych stron urzędnikom?
• W jaki sposób ograniczać dostęp do konkretnych stron?
• Kto ustala, jakie witryny są dostępne dla urzędników?
• Jakie są korzyści z używania narzędzi, które uniemożliwiają zamieszczania konkretnych treści, np. w wiadomościach email?
• Jak nadawane są dostępy i uprawnienia? Kto je nadaje?
• Kto jest osobą decyzyjną przy wydawaniu dostępu i uprawnień w systemach?
• Kto jest odpowiedzialny za monitorowanie dostępów? Czy jest taki obowiązek?
• Jak często należy sprawdzać, czy odpowiednie osoby posiadają uprawnienia? Z jaką częstotliwością robić czystki?
• Jakie są narzędzia wspierające bieżące analizowanie incydentów?
• Jak zapanować nad tym co jest zainstalowane na danym urządzeniu i kto za to odpowiada w przypadku dużej liczby maszyn?
• Jakie są dostępne narzędzia do ustalania polityki druków oraz ograniczania wstawiania konkretnych treści?
• Jakie korzyści płyną z wykorzystania systemów DLP?
• Kiedy i jakie urządzenia podlegają procesowi szyfrowania dysków?
• Czy każdy sprzęt mobilny, wynoszony poza urząd, musi być zaszyfrowany? Jakie są na to sposoby?
• Jakie narzędzia do szyfrowania dysków są efektywne?
• Jakimi sposobami zadbać o bezpieczeństwo danych na urządzeniach przenośnych?
• Dlaczego warto zainwestować w oprogramowanie do szyfrowania dysków, niż korzystanie z darmowych alternatyw?
• Oprogramowanie open source a bezpieczeństwo - czy można bezpiecznie z takowego korzystać, jeżeli obracamy danymi wrażliwymi?
• Jak zarządzać systemami w przypadku dużej ilości, np. 100 sztuk komputerów stacjonarnych?
• Dlaczego posiadanie Active Directory w dużym urzędzie to “must-have”? Czy są jakieś alternatywy do AD?

5. Backup – dlaczego kopia zapasowa jest tak ważna? Jak się zabezpieczyć przed utratą danych?

• Jak często należy tworzyć kopię zapasową indywidualnych maszyn?
• Z jaką częstotliwością powinno się tworzyć kopie zapasowe całych serwerów?
• Dlaczego częstotliwość robienia kopii zapasowych zależy od kontekstu i specyfiki systemu?
• Jak ustalić częstotliwość robienia kopii zapasowych na podstawie wielkości urzędu i ilości przechowywanych danych? Jakie są przesłanki?
• Co jest największym problemem przy tworzeniu kopii zapasowych?
• Jakie są zalety zabezpieczenia dysków w formie napędu taśmowego?
• Wykonywanie kopii zapasowych a ich skuteczność, co robić, żeby mieć pewność, że kopie faktycznie zostały wykonane?
• Dlaczego warto przeprowadzać testy możliwości odtworzenia kopii? Jak często powinniśmy je stosować?
• Na ile przydatna jest kopia zapasowa w wersji offline? Czy powinno się taką robić?
• Jakie korzyści płyną z posiadania serwera NAS z dyskami w konwencji RAID?

6. Czynnik ludzki - najsłabsze ogniwo w organizacji

• Nieważne jak dobrze zabezpieczony jest system, człowiek to najsłabsze ogniwo, w jaki sposób uświadamiać urzędników o zagrożeniach?
• W jaki sposób nauczyć urzędników jak rozróżniać niebezpieczeństwo?
• Jak rozróżniać niebezpieczne e-maile?
• Na jakie sposoby potrafią działać osoby, które chcą stworzyć zagrożenie dla urzędu? Przykłady wadliwych maili.