Centrum informačních technologií FF
Směrnice k používání IT
Směrnice pro používání softwaru a techniky
15. června 2020 vstoupila v platnost aktualizace univerzitní směrnice č. 10/2017 Používání informačních technologií, která upravuje používání informačních technologií také na filozofické fakultě.
Zásadní novinkou je ustanovení v čl. 3, odst. 1: „Uživatel je povinen užívat k plnění pracovních úkolů výhradně IT MU vyjma případů, kdy je k jinému postupu právní důvod nebo důvod hodný zvláštního zřetele.“
Obdobný nárok pak klade směrnice č. 6/2013 Výzkumná data na zpracování výzkumných dat – toho má také být dosaženo „výhradně prostřednictvím IT MU“ (čl. 3, odst. 4).
Pojem „IT MU“ je přitom definován jako „soubor technického a programového vybavení, sítí a služeb, který je určen ke zpracování dat na MU“, tedy jinými slovy institucí spravovaná počítačová technika, programy a služby.
Vybrali jsme některé typické postupy, které ilustrují smysl i praktické dopady této úpravy. Dodržením těchto postupů nejenže dodržujete univerzitou stanovené směrnice, ale také výrazně zvyšujete zabezpečení veškerých svých pracovních dat.
Práce s e-maily
Jak při práci s e-maily NEpostupovat
- Pracovní poštu si přeposílám na nepracovní adresu na server mimo správu MU (například na Seznam.cz nebo GMail.com). Na tomto serveru ji vyřizuji a odesílám ji buď jako uživatel tohoto serveru (např. jmeno.prijmeni@seznam.cz), nebo jako fakultní uživatel (např. prijmeni@phil.muni.cz).
Proč je to špatně?
V obou případech je hlavním problémem to, že je pošta uložena na serverech mimo správu MU. Na pracovní data (e-mailové zprávy a přílohy) uložená pomocí externího poskytovatele se pak vztahují podmínky služby zcela mimo kontrolu MU.
Často jde o službu bezplatnou, a v tomto režimu je obvykle uživateli a jeho datům v případě jejich poškození či ztráty smluvně zajištěna pouze minimální ochrana ze strany poskytovatele služby. Typicky jsou navíc data ze strany poskytovatele monitorována, a na základě jejich strojové analýzy je vám pak např. nabízena reklama – tak vlastně za „bezplatnou“ službu platíte. Z obou těchto důvodů jsou služby mimo správu MU zcela nevhodné pro ukládání jakýchkoliv interních, diskrétních či citlivých dat (například e-maily s přílohami jsou vždy přinejmenším interní). Riziko jejich kompromitace je zde nepřijatelně vysoké.
Při používání externí služby pro správu pošty se také prodlužuje doba řešení kyberbezpečnostního incidentu, protože je nejprve nutné získat součinnost externího subjektu. A konečně, odesílání z neuniverzitní adresy nepůsobí příliš reprezentativně, protože jako zaměstnanci fakulty byste měli vystupovat pod jejím jménem.
Doporučený postup
Pracovní pošta používá primárně řešení v Office 365 – jedná se o modernější řešení, kde je lépe rozpoznávána nevyžádaná pošta a uživateli nabízí výhody v propojení s dalšími službami Office 365;
Pro čtení a vyřizování pošty doporučujeme užívat institucionální (univerzitní nebo fakultní) nástroje. Primárně se jedná o Microsoft Outlook, který si jako součást balíku programů MS Office 365 můžete nainstalovat i na domácí počítač, nebo jej můžete využívat online v prohlížeči.
Práce s datovými úložišti
Jak při práci s daty NEpostupovat
- Svá pracovní data si ukládám do soukromě zřízeného úložiště (např. Google Drive, Dropbox, iCloud ad.).
- Týmová pracovní data ukládám do soukromě zřízeného úložiště (např. Google Drive, Dropbox, iCloud ad.) a sdílím je s ostatními pomocí jejich soukromých účtů ve stejné službě.
Proč je to špatně?
Data jsou ukládána do soukromého úložiště, které není zřízeno univerzitou, a nevztahují se na ně proto právní ujednání, která s provozovateli datových úložišť máme. Vzniká tím potenciální riziko úniku citlivých dat, vč. uplatnění jiné než evropské legislativy pro ochranu osobních údajů (GDPR). Protože jde opět nejčastěji o službu bezplatnou, trvají i zde rizika popsaná výše u práce s e-maily (poškození, ztráta nebo kompromitace dat). Při použití univerzitních úložišť se naopak zaměstnanec může spolehnout na určitou úroveň zabezpečení svých dat, protože jsou smluvně ošetřeny v souladu s právní úpravou ČR a EU.
Doporučený postup
- Pracovní data ukládám ve službách poskytovaných nebo spravovaných univerzitou:
- data budete mít zálohovaná, a současně dostupná na více zařízeních (vč. mobilních);
- dokumenty můžete pohodlně sdílet jak libovolnému zaměstnanci nebo studentovi MU, tak i externím uživatelům;Pro běžná pracovní data primárně doporučujeme použít službu OneDrive (součást Office 365):
- editovat dokumenty ve formátech MS Office (docx, xlsx, pptx) můžete jak v programech Word, Excel, PowerPoint nainstalovaných na PC, tak i v prohlížeči.
- Pro dlouhodobé sdílení dokumentů uvnitř pracovních týmů (nezávislé na osobním diskovém prostoru) doporučujeme využit služby Skupiny Office 365, zatímco pro větší projekty může být vhodnější robustnější řešení pomocí služby Microsoft SharePoint – obě služby jsou součástí balíku Microsoft Office 365. Pokud potřebujete poradit s výběrem, obraťte se na CIT.
- Pro oba scénáře (osobní pracovní data, týmová pracovní data) lze použít i jiné univerzitní služby, viz popis úložišť v katalogu IT služeb.
Skvělým výchozím bodem pro výběr vhodného úložiště je stránka Doporučení pro užívání úložišť – obsahuje praktické instrukce, jak identifikovat typ dat z hlediska jejich důvěrnosti (veřejná, interní, diskrétní, citlivá), popisuje dostupná institucionální úložiště na MU a doporučuje vhodná úložiště pro jednotlivé typy dat.
Používání techniky při práci z domova
Jak při práci z domova NEpostupovat
Ve svém soukromém počítači...
- uchovávám pracovní data a vyřizuji pracovní e-maily, ale nemám čas aktualizovat operační systém a programy, ani nepoužívám žádný antivirus;
- používám nelegální kopii operačního systému;
- pracuji pod jedním účtem spolu s dalšími rodinnými příslušníky; účet nemám zabezpečen heslem, protože to zdržuje při práci.
Proč je to špatně?
Práce z domu klade na ochranu pracovních dat ještě vyšší nároky než práce na zaměstnaneckých počítačích, protože rutinní operace (aktualizace OS a programů vč. antiviru, správa uživatelských účtů) musíte provádět sami. I na soukromém počítači pracujeme s daty, která jsou interní, diskrétní či citlivá (e-mailová korespondence, osobní údaje, výzkumná data) a máme povinnost je chránit před neautorizovaným přístupem jiných osob (vč. rodinných příslušníků).
Počítač s nedostatečným zabezpečením (chybějící nebo neaktuální antivirus, nelegální nebo neaktuální verze operačního systému, neaktualizované programy) zvyšuje riziko, že se k datům dostane útočník například přes stažený soubor obsahující malware nebo webové stránky obsahující škodlivý kód. Sdílený účet vystavuje vaše pracovní data riziku ztráty nebo (třeba i neúmyslného) zpřístupnění někomu cizímu.
Doporučený postup
Ideální je zařídit si pro práci z domova pracovní počítač/notebook a úvodní instalaci a konfiguraci svěřit CIT. Jestliže to není možné, je bezpodmínečně nutné...
- používat legální operační systém, který pravidelně aktualizujete (nastavit lze automatickou aktualizaci);
- používat plně aktualizovaný antivirus/antimalware a e-mailového klienta (nejlépe Microsoft Outlook);
- průběžně aktualizovat veškerý instalovaný software, zejména webové prohlížeče a jejich součásti (obvykle lze přímo v nastaveních programu zvolit automatickou aktualizaci),
- při práci se připojovat přes VPN MU, díky níž nejen dostáváte přístup ke službám dostupným pouze z univerzitní sítě, ale také se tak vaše připojení stává bezpečnějším (vaše činnost na internetu bude šifrovaná, což znamená, že pokud by náhodou někdo vaši činnost na internetu sledoval, nebude mít tato osoba možnost rozpoznat data odesílaná během připojení přes VPN).
Pokud soukromý počítač využívá více členů domácnosti, je dále naprosto nutné zřídit pro každého uživatele samostatný účet a každý chránit heslem, tak aby uživatelé neměli navzájem přímý přístup ke svým datům.
Pokud jde o práci s dokumenty, doporučujeme pracovat s univerzitními online úložišti a do soukromého počítače data ukládat, pouze když je to nutné (například z důvodu nutnosti úprav souboru).
Řadu dalších praktických doporučení pro zabezpečení svých zařízení, vč. tabletu a mobilu, najdete v online lekci Zabezpečení zařízení, která je součástí univerzitního online kurzu Kyberkompas.
Připravilo Centrum informačních technologií FF MU ve spolupráci s Kyberbezpečnostním týmem Masarykovy univerzity – CSIRT-MU a s využitím doporučení pro užívání úložišť zpracovaného Oddělením bezpečnosti a správy dat ÚVT MU.
Na stránce jsou použity tyto ikony: Delete Shield icon by Icons8, Protect icon by Icons8