Információ – biztonság…


Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

Megvizsgálva a magyar kkv szektorban működő cégeket, megfigyelhető, hogy sokszor a nagyvállalatokhoz hasonló problémákkal küzdenek, de esetükben a méretgazdaságossági mutatók egész más képet festenek, így más megoldások és lehetőségek állnak a kkv szektor képviselői rendelkezésére.

Nagyvállalati környezetben minden releváns fenyegetésre igyekeznek valamilyen védelmi mechanizmust működtetni – számos ajánlás, jogszabály elvárásokat támaszt ebben a tekintetben, ráadásul egyes üzletágakban még a felügyeleti szervek is kikényszerítik a biztonsági megfeleléseket. Megvizsgálva a magyar kkv szektorban működő cégeket, megfigyelhető, hogy sokszor a nagyvállalatokhoz hasonló problémákkal küzdenek, de esetükben a méretgazdaságossági mutatók egész más képet festenek, így más megoldások és lehetőségek állnak a kkv szektor képviselői rendelkezésére. Szerencsére persze a kkv méretű szervezetek felépítése általában egyszerűbb és átláthatóbb, mint a nagyoké, így számukra a nagyvállalati biztonsági szint elérése ennek megfelelően gyorsabban és olcsóbban lehetséges. A fő cél minden esetben az, hogy kockázatarányos biztonsági rendszerek működjenek.

Alátámasztva a fenti állításomat, szeretném bemutatni vázlatosan, hogy milyen lépések mentén alakul ki és működik egy biztonsági rendszer. 

  • Definiáljuk a folyamatokat, az adatköröket, az eszközöket, a személyi állományt – ezzel meghatározzuk a védendő „terület” határait.
  • Bizalmasság/sértetlenség/rendelkezésre állás szerint rangsoroljuk a rendszer elemeit és meghatározzuk az egymástól való függési viszonyaikat. Elengedhetetlen az adatgazda és a folyamatgazda szerep kialakítása.
  • Azonosítjuk a lehetséges fenyegetettségeket és azok előfordulási valószínűsége és károkozási képessége alapján elvégezzük a kockázatelemzést. Így már megállapítható a kockázatviselői hajlandóság, valamint a fel nem vállalt kockázatok is, melyek esetében a kockázat-arányos védelmi intézkedések segítségével javítható a kitettségi szint.
  • Üzleti hatáselemzés után kialakítjuk a fejlesztésre szánt költségkeretet.
  • Az anyagi erőforrások által is definiált keretek között kiépítjük az adminisztratív, logikai és fizikai kontrollokat.
  • A folyamat végén, a már kialakított rendszer működését és szabályait dokumentáljuk, s gondoskodunk azok rendszeres felülvizsgálatairól.

Az így kialakuló védelmi rendszerek értéke/ jelentősége a rendellenes működés és az incidensek mihamarabbi észlelésében, illetve az illetékes szereplők mihamarabbi informálásában mutatkozik meg.

Fontos kiemelni, hogy a fentiekben körülírt folyamat lépései egymásra épülnek, és ha bármelyik kimarad nem érhető el a kívánt cél.

Az információbiztonságban a legerősebb eszközünk a prevenció, de fontos tudni, hogy a legnagyobb odafigyelés és gondosság mellett sem valósítható meg a rendszer 100%-os védelme.  A fő cél az, hogy gyorsan és hatékonyan tudjunk reagálni a nem kívánt eseményekre. Kulcskérdés ehhez a fenti biztonsági intézkedéseken túl a kollégák oktatása és felkészítése. A fenti folyamatlépések egyértelműen azt szolgálják, hogy hatékony és gyors reakciókra legyünk képesek.

Az információbiztonság megteremtése és fenntartása egyértelműen üzleti érdek, tehát érdemes az üzleti tervezés, vezetői elköteleződés szintjéről kiindulni.

  • Fontos látni a vállalkozás tevékenységi köreit, a rá vonatkozó törvényi és partneri elvárásokat.
  • Tudatában kell lennünk, hogy milyen üzleti folyamatokkal szolgáljuk ki a cég működését és azokhoz milyen erőforrások rendeltetésszerű működésére van szükségünk (adat, szakképzett munkaerő, számítógép, elektromos áram, alkalmazások, épület, stb.).
  • Az erőforrások közti függőségi viszony előre vetíti, hogy mely pontokon szükséges beavatkozni, többlet erőforrást allokálni, helyettesítő megoldásokat kiépíteni.
  • Ismerni kell az erőforrásainkra vonatkozó kockázatokat, előfordulási valószínűség és károkozási képesség szerint.
  • Kockázatarányos védelmekről kell gondoskodni, amihez szükségünk lehet például munkaszerződés -kiegészítésekre, felelősségbiztosításokra, szabályzatok módosítására, adatszivárgás- megelőző rendszerek kiépítésére, tűzfalak beépítésére, naplóelemzésekre, megerősített beléptető rendszerekre, tűzálló iratszekrényekre, távfelügyelt riasztó berendezésekre, redundáns áramellátásra…

A sajátosságainkra, működési területünkre figyelemmel kialakított védelmi rendszereknek megkerülhetetlenül egymásra kell épülniük, s meg kell követelnünk a saját dolgozóinktól, beszállítóinktól, szolgáltatóinktól a kiépített biztonsági rendszer szerinti lépéseket.

Mindehhez elengedhetetlen a vezetők és a beosztott kollégák módszeres képzése, a vonatkozó feladatok, illetve a lehetséges kockázatok iránti érzékenyítése. Így elvárandó például a tudatosabb eszközhasználat, adat- és titokvédelemi előírások betartása mindenkitől, akár olyan hétköznapi szinten is, hogy megfelelő jelszavas és fizikai védelemmel óvják az eszközeiket, vagy pakoljanak el az asztalokról minden szenzitív adatot tartalmazó iratot egy zárható szekrénybe. A következő lépés pedig már az, hogy megtanítsuk munkatársainknak, hogyan és mi alapján észleljenek egy-egy incidenst, illetve tudják, hogy egy esetlegesen előforduló ilyen esetben mi a teendőjük.

A fentiek jelentős része nem informatikai feladat, de szerves részei az információbiztonság megteremtésének és fenntartásának. Mi mutatná jobban, hogy az információbiztonsági stratégiai célok eléréséhez szükséges a szakmák közti hatékony együttműködés, -mint hogy például a információbiztonsági vezetőnek el kell tudnia magyarázni a jogász kollégának, hogy milyen kockázatokat szeretne kezelni jogi eszközökkel és milyen garanciákat vár el a teljesítéshez kötődően, vagy egy esetleges szerződésszegés esetén milyen mértékű kártérítést követel meg…

A fenti intézkedéseket kell aztán mérlegelnünk az informatika nyújtotta biztonsági funkciók alkalmazával. Melyek ezek? Kiderül a cikk folytatásából.

A cikk szerzője Kancsal Tamás (BrightDea Solution Kft.), a Magyar Könyvvizsgálói Kamara Oktatási Központjának oktatója.


Kapcsolódó cikkek

2024. május 2.

MBH Bank: Az év második felében pöröghet fel a növekedés

A magyar gazdaság kilátásai stabilak, így a fogyasztás, az ipari termelés, a kereskedelem és a vendéglátás második félévtől várható fellendülésének köszönhetően, az év átlagábaneléri a 2,7 százalékot a GDP növekedése, míg jövőre 3,7 százalékos bővülésre lehet számítani – vetítették előre az MBH Bank elemzői a legfrissebb makrogazdasági előrejelzéseket bemutató sajtóeseményen. Az elemzőkidén továbbra is 4,1 százalékos éves átlagos inflációval számolnak, míg 2025-re 3,4 százalékos fogyasztóiár-növekedést prognosztizálnak. A reálbérek 2023 szeptembere óta növekedést mutatnak, ami a következő hónapokban egyre inkább megjelenhet a fogyasztásban is, ezzel lökést adva a gazdasági növekedésnek. Az elemzők szerint a forint az év végére a 382,5-es szintig erősödhet, míg az év átlagában 385,6 lehet az euróval szemben

2024. május 2.

Egy II. kerületi vendéglátóhelyen talált áldatlan higiéniai állapotokat a NÉBIH

Súlyos élelmiszerbiztonsági kockázatot jelentő higiéniai problémákat tapasztaltak a Nemzeti Élelmiszerlánc-biztonsági Hivatal (Nébih) ellenőrei Budapesten, egy II. kerületi vendéglátóhely ellenőrzése során, emiatt az étterem tevékenységét azonnali hatállyal felfüggesztették, és megközelítőleg 50 kilogramm élelmiszert vontak ki a forgalomból – közölte a hatóság.

2024. április 30.

A KSH felgyorsítja a GDP-adatok közlését

A Központi Statisztikai Hivatal (KSH) 2024 első negyedévétől kezdődően 15 nappal korábban, a tárgyidőszak végét követő 30. napon teszi közzé a bruttó hazai termék (GDP) adatait – közölte a KSH kedden.