Információ - biztonság…

2019.08.12

 

Nagyvállalati környezetben minden releváns fenyegetésre igyekeznek valamilyen védelmi mechanizmust működtetni - számos ajánlás, jogszabály elvárásokat támaszt ebben a tekintetben, ráadásul egyes üzletágakban még a felügyeleti szervek is kikényszerítik a biztonsági megfeleléseket. Megvizsgálva a magyar kkv szektorban működő cégeket, megfigyelhető, hogy sokszor a nagyvállalatokhoz hasonló problémákkal küzdenek, de esetükben a méretgazdaságossági mutatók egész más képet festenek, így más megoldások és lehetőségek állnak a kkv szektor képviselői rendelkezésére. Szerencsére persze a kkv méretű szervezetek felépítése általában egyszerűbb és átláthatóbb, mint a nagyoké, így számukra a nagyvállalati biztonsági szint elérése ennek megfelelően gyorsabban és olcsóbban lehetséges. A fő cél minden esetben az, hogy kockázatarányos biztonsági rendszerek működjenek.

 

Alátámasztva a fenti állításomat, szeretném bemutatni vázlatosan, hogy milyen lépések mentén alakul ki és működik egy biztonsági rendszer. 

 

Az így kialakuló védelmi rendszerek értéke/ jelentősége a rendellenes működés és az incidensek mihamarabbi észlelésében, illetve az illetékes szereplők mihamarabbi informálásában mutatkozik meg.

Fontos kiemelni, hogy a fentiekben körülírt folyamat lépései egymásra épülnek, és ha bármelyik kimarad nem érhető el a kívánt cél.

 

Az információbiztonságban a legerősebb eszközünk a prevenció, de fontos tudni, hogy a legnagyobb odafigyelés és gondosság mellett sem valósítható meg a rendszer 100%-os védelme.  A fő cél az, hogy gyorsan és hatékonyan tudjunk reagálni a nem kívánt eseményekre. Kulcskérdés ehhez a fenti biztonsági intézkedéseken túl a kollégák oktatása és felkészítése. A fenti folyamatlépések egyértelműen azt szolgálják, hogy hatékony és gyors reakciókra legyünk képesek.

 

Az információbiztonság megteremtése és fenntartása egyértelműen üzleti érdek, tehát érdemes az üzleti tervezés, vezetői elköteleződés szintjéről kiindulni.

A sajátosságainkra, működési területünkre figyelemmel kialakított védelmi rendszereknek megkerülhetetlenül egymásra kell épülniük, s meg kell követelnünk a saját dolgozóinktól, beszállítóinktól, szolgáltatóinktól a kiépített biztonsági rendszer szerinti lépéseket.

Mindehhez elengedhetetlen a vezetők és a beosztott kollégák módszeres képzése, a vonatkozó feladatok, illetve a lehetséges kockázatok iránti érzékenyítése. Így elvárandó például a tudatosabb eszközhasználat, adat- és titokvédelemi előírások betartása mindenkitől, akár olyan hétköznapi szinten is, hogy megfelelő jelszavas és fizikai védelemmel óvják az eszközeiket, vagy pakoljanak el az asztalokról minden szenzitív adatot tartalmazó iratot egy zárható szekrénybe. A következő lépés pedig már az, hogy megtanítsuk munkatársainknak, hogyan és mi alapján észleljenek egy-egy incidenst, illetve tudják, hogy egy esetlegesen előforduló ilyen esetben mi a teendőjük.

A fentiek jelentős része nem informatikai feladat, de szerves részei az információbiztonság megteremtésének és fenntartásának. Mi mutatná jobban, hogy az információbiztonsági stratégiai célok eléréséhez szükséges a szakmák közti hatékony együttműködés, -mint hogy például a információbiztonsági vezetőnek el kell tudnia magyarázni a jogász kollégának, hogy milyen kockázatokat szeretne kezelni jogi eszközökkel és milyen garanciákat vár el a teljesítéshez kötődően, vagy egy esetleges szerződésszegés esetén milyen mértékű kártérítést követel meg…

A fenti intézkedéseket kell aztán mérlegelnünk az informatika nyújtotta biztonsági funkciók alkalmazával. Ezek között:

Összegezve, az információ biztonság nem állít elénk megoldhatatlan kihívásokat, csak gondosan és rendszeresen fel kell mérnünk, hogy milyen kockázatok jelentkeznek, s azok kiküszöbölésére miként tudunk hatékony válaszokat adni. A válaszok érkezhetnek jogász, tréner, szervezetfejlesztő és informatikus munkatársaktól egyaránt, így legyünk nyitottak a támogatásukra és szorgalmazzuk az együttműködésüket!

A biztonság nem más, mint a kockázatok tudatos kezelése.

 

A cikk szerzője:

Kancsal Tamás

IT szakértő, BrightDea Solutions Kft., a Magyar Könyvizsgálói Kamara Oktatási Központ Kft. oktatója

 

INTENZÍV GDPR KÉPZÉS - Változó ágazati szabályok, alakuló hazai és nemzetközi joggyakorlat; az információbiztonság gyakorlati kérdései. Részletek és jelentkezés>>