Kybernetická bezpečnost webu v Praze

Rychlý a bezpečný není protiklad

Většina pražských webových studií vám prodá buď rychlost, nebo bezpečnost, málokdy obojí. Obvyklý scénář: web se rychle poskládá z desítek pluginů a „bezpečnost“ se pak jednou ročně řeší jako zběsilé záplatování těch, u kterých se zrovna našla díra. My stavíme opačně. Naše weby předáváme jako ručně psaný statický kód, na kterém není skoro co napadnout: žádná databáze k injektáži, žádné přihlášení do administrace k prolomení, žádné tržiště pluginů, které vám tiše dodá cizí zranitelnost. Slib je jednoduchý: postavíme web rychle a postavíme ho bezpečně, v jednom projektu.

Malá plocha k útoku ale není totéž co žádná. Formuláře pořád přijímají vstup, API pořád odpovídají, servery pořád potřebují správné hlavičky a aktuální TLS. Kybernetická bezpečnost je přesně to místo, kde mezery hledáme schválně my, dřív než je najde někdo s horšími úmysly.

Co konkrétně prověřujeme

• Bezpečnostní audit. Strukturovaná kontrola webu, serveru, DNS, TLS, hlaviček a skriptů třetích stran. Výsledkem je písemný report, který každý nález seřadí podle skutečného rizika, ne obecný seznam, se kterým si nevíte rady.
• Penetrační testy. S vaším písemným souhlasem a dohodnutým rozsahem zaútočíme na váš web tak, jak by to udělal skutečný útočník: injektáž, ověřování, správa relací, zneužití formulářů a API, nahrávání souborů. Dostanete důkaz o tom, co je skutečně zneužitelné, ne teorii.
• Revize kódu. U kódu na míru čteme zdroj a hledáme chyby, které skenery minou: rozbité řízení přístupu, nebezpečné dotazy, tajné klíče uložené v repozitáři, závislosti se známými zranitelnostmi.
• WAF a hardening. Před web postavíme aplikační firewall (WAF), utáhneme konfiguraci serveru, doplníme bezpečnostní hlavičky a zavřeme vše, co nemusí být veřejné.

Bezpečně už od prvního commitu

Nejlevnější bezpečnostní práce je ta, kterou nemusíte dodělávat zpětně. Když web stavíme my, je hardening součástí stavby, ne příplatkem na konci: vstupy se validují, výstupy escapují, klíče zůstávají mimo kód, závislosti držíme aktuální a server odjíždí s rozumným nastavením. Proto web na míru od Prahapp startuje z mnohem lepší pozice než šablona poskládaná z tuctu pluginů neznámého původu.

Pokud už web máte od někoho jiného, prověříme ho tak, jak je, a na rovinu vám řekneme, jestli potřebuje hardening, přestavbu, nebo vůbec nic.

GDPR není jen dokument, ale bezpečnostní úkol

Podle GDPR a českého zákona o zpracování osobních údajů není únik zákaznických dat jen trapný: je oznamovací a může být pokutovaný. Většina úniků, které vidíme, přitom není nijak rafinovaná: odhalená záloha, formulář posílající data v otevřeném textu, analytický skript tiše odesílající osobní údaje do třetí země. Náš audit pokrývá technickou stránku evropské ochrany dat: kde osobní údaje leží, jak putují, kdo se k nim dostane a jak vypadá rozumné „vhodné technické opatření“ pro firmu vaší velikosti. Nejsme právníci a řekneme vám to, ale zavřeme ty technické mezery, které z papírové směrnice dělají reálné riziko.

Kolik to stojí

Cílený bezpečnostní audit s písemným reportem začíná na 25 000 Kč podle velikosti webu. Penetrační testy, revizi kódu a nastavení WAF naceníme podle rozsahu, protože pětistránkový web a rezervační platforma s přihlašováním nejsou stejná práce. Každá cena je pevná a dostanete ji písemně před začátkem. Jak ceny skládáme, najdete v ceníku, nebo nám napište, co provozujete, a do 24 hodin odpovíme s konkrétním rozsahem a cenou.

Pro koho to je

Každá pražská firma, která pracuje se zákaznickými daty nebo si nemůže dovolit výpadek: e-shopy s platebními údaji, ordinace s kartami pacientů, rezervační systémy, kdokoli, kdo právě neprošel bezpečnostním dotazníkem klienta nebo ho má podepsat. Pokud teprve zvažujete, jestli to potřebujete, audit je poctivý první krok: stojí málo, rozsah znáte předem a přesně vám ukáže, jak na tom jste, ještě než utratíte cokoli za opravy.