Információ – biztonság…

Ez a cikk több mint egy éve került publikálásra. A cikkben szereplő információk a megjelenéskor pontosak voltak, de mára elavultak lehetnek.

Megvizsgálva a magyar kkv szektorban működő cégeket, megfigyelhető, hogy sokszor a nagyvállalatokhoz hasonló problémákkal küzdenek, de esetükben a méretgazdaságossági mutatók egész más képet festenek, így más megoldások és lehetőségek állnak a kkv szektor képviselői rendelkezésére.

Nagyvállalati környezetben minden releváns fenyegetésre igyekeznek valamilyen védelmi mechanizmust működtetni – számos ajánlás, jogszabály elvárásokat támaszt ebben a tekintetben, ráadásul egyes üzletágakban még a felügyeleti szervek is kikényszerítik a biztonsági megfeleléseket. Megvizsgálva a magyar kkv szektorban működő cégeket, megfigyelhető, hogy sokszor a nagyvállalatokhoz hasonló problémákkal küzdenek, de esetükben a méretgazdaságossági mutatók egész más képet festenek, így más megoldások és lehetőségek állnak a kkv szektor képviselői rendelkezésére. Szerencsére persze a kkv méretű szervezetek felépítése általában egyszerűbb és átláthatóbb, mint a nagyoké, így számukra a nagyvállalati biztonsági szint elérése ennek megfelelően gyorsabban és olcsóbban lehetséges. A fő cél minden esetben az, hogy kockázatarányos biztonsági rendszerek működjenek.

Alátámasztva a fenti állításomat, szeretném bemutatni vázlatosan, hogy milyen lépések mentén alakul ki és működik egy biztonsági rendszer. 

• Definiáljuk a folyamatokat, az adatköröket, az eszközöket, a személyi állományt – ezzel meghatározzuk a védendő „terület” határait.
• Bizalmasság/sértetlenség/rendelkezésre állás szerint rangsoroljuk a rendszer elemeit és meghatározzuk az egymástól való függési viszonyaikat. Elengedhetetlen az adatgazda és a folyamatgazda szerep kialakítása.
• Azonosítjuk a lehetséges fenyegetettségeket és azok előfordulási valószínűsége és károkozási képessége alapján elvégezzük a kockázatelemzést. Így már megállapítható a kockázatviselői hajlandóság, valamint a fel nem vállalt kockázatok is, melyek esetében a kockázat-arányos védelmi intézkedések segítségével javítható a kitettségi szint.
• Üzleti hatáselemzés után kialakítjuk a fejlesztésre szánt költségkeretet.
• Az anyagi erőforrások által is definiált keretek között kiépítjük az adminisztratív, logikai és fizikai kontrollokat.
• A folyamat végén, a már kialakított rendszer működését és szabályait dokumentáljuk, s gondoskodunk azok rendszeres felülvizsgálatairól.

Az így kialakuló védelmi rendszerek értéke/ jelentősége a rendellenes működés és az incidensek mihamarabbi észlelésében, illetve az illetékes szereplők mihamarabbi informálásában mutatkozik meg.

Fontos kiemelni, hogy a fentiekben körülírt folyamat lépései egymásra épülnek, és ha bármelyik kimarad nem érhető el a kívánt cél.

Az információbiztonságban a legerősebb eszközünk a prevenció, de fontos tudni, hogy a legnagyobb odafigyelés és gondosság mellett sem valósítható meg a rendszer 100%-os védelme.  A fő cél az, hogy gyorsan és hatékonyan tudjunk reagálni a nem kívánt eseményekre. Kulcskérdés ehhez a fenti biztonsági intézkedéseken túl a kollégák oktatása és felkészítése. A fenti folyamatlépések egyértelműen azt szolgálják, hogy hatékony és gyors reakciókra legyünk képesek.

Az információbiztonság megteremtése és fenntartása egyértelműen üzleti érdek, tehát érdemes az üzleti tervezés, vezetői elköteleződés szintjéről kiindulni.

• Fontos látni a vállalkozás tevékenységi köreit, a rá vonatkozó törvényi és partneri elvárásokat.
• Tudatában kell lennünk, hogy milyen üzleti folyamatokkal szolgáljuk ki a cég működését és azokhoz milyen erőforrások rendeltetésszerű működésére van szükségünk (adat, szakképzett munkaerő, számítógép, elektromos áram, alkalmazások, épület, stb.).
• Az erőforrások közti függőségi viszony előre vetíti, hogy mely pontokon szükséges beavatkozni, többlet erőforrást allokálni, helyettesítő megoldásokat kiépíteni.
• Ismerni kell az erőforrásainkra vonatkozó kockázatokat, előfordulási valószínűség és károkozási képesség szerint.
• Kockázatarányos védelmekről kell gondoskodni, amihez szükségünk lehet például munkaszerződés -kiegészítésekre, felelősségbiztosításokra, szabályzatok módosítására, adatszivárgás- megelőző rendszerek kiépítésére, tűzfalak beépítésére, naplóelemzésekre, megerősített beléptető rendszerekre, tűzálló iratszekrényekre, távfelügyelt riasztó berendezésekre, redundáns áramellátásra…

A sajátosságainkra, működési területünkre figyelemmel kialakított védelmi rendszereknek megkerülhetetlenül egymásra kell épülniük, s meg kell követelnünk a saját dolgozóinktól, beszállítóinktól, szolgáltatóinktól a kiépített biztonsági rendszer szerinti lépéseket.

Mindehhez elengedhetetlen a vezetők és a beosztott kollégák módszeres képzése, a vonatkozó feladatok, illetve a lehetséges kockázatok iránti érzékenyítése. Így elvárandó például a tudatosabb eszközhasználat, adat- és titokvédelemi előírások betartása mindenkitől, akár olyan hétköznapi szinten is, hogy megfelelő jelszavas és fizikai védelemmel óvják az eszközeiket, vagy pakoljanak el az asztalokról minden szenzitív adatot tartalmazó iratot egy zárható szekrénybe. A következő lépés pedig már az, hogy megtanítsuk munkatársainknak, hogyan és mi alapján észleljenek egy-egy incidenst, illetve tudják, hogy egy esetlegesen előforduló ilyen esetben mi a teendőjük.

A fentiek jelentős része nem informatikai feladat, de szerves részei az információbiztonság megteremtésének és fenntartásának. Mi mutatná jobban, hogy az információbiztonsági stratégiai célok eléréséhez szükséges a szakmák közti hatékony együttműködés, -mint hogy például a információbiztonsági vezetőnek el kell tudnia magyarázni a jogász kollégának, hogy milyen kockázatokat szeretne kezelni jogi eszközökkel és milyen garanciákat vár el a teljesítéshez kötődően, vagy egy esetleges szerződésszegés esetén milyen mértékű kártérítést követel meg…

A fenti intézkedéseket kell aztán mérlegelnünk az informatika nyújtotta biztonsági funkciók alkalmazával. Melyek ezek? Kiderül a cikk folytatásából.

A cikk szerzője Kancsal Tamás (BrightDea Solution Kft.), a Magyar Könyvvizsgálói Kamara Oktatási Központjának oktatója.

---