Jól megfigyelhető a változás, ahogy a világ – és ezzel együtt minden vállalat, közintézmény – függővé vált az informatikától. Ezt a mindennapokban is megtapasztalhatjuk, legyen szó ügyintézésről, közlekedésről, szórakozásról vagy vásárlásról. A mindent átszövő informatikának ugyanakkor negatív hatása is van ezekre a szolgáltatásokra, tevékenységekre, hiszen rengeteg a kiberbiztonsági fenyegetés – fogalmazott Solymos Ákos, a QUADRON Kibervédelmi Kft. szakértője.
Mint mondta, ma már nem tudunk úgy megnyitni egy informatikai hírportált – de egy általánosat sem –, hogy ne fussunk bele információvédelemmel kapcsolatos hírekbe. Feltörték a rendszert, elérhetetlenné tettek szolgáltatásokat, ellopták az adatokat. Sőt, amíg régen egy-egy ilyen hír komoly szenzáció volt, ma már szinte átsiklunk fölöttük. A cégek, közintézmények ugyanakkor ezt nem tehetik meg, hiszen komoly adatvédelmi kötelességeik vannak, és a törvényi szabályozás erősödése mellett senki sem szeretné, hogy ilyen hírrel kerüljön címlapra.
Solymos Ákos összefoglalja azt a top tíz fenyegetést, amelyekkel a vállalatoknak nap mint nap szembe kell nézniük.
- Zsarolóvírusok, e-mailben és weben érkező kártevők,
- Célzott támadások – social engineering (megtévesztésen alapuló manipuláció), adathalászat,
- Okostelefonok és mobil eszközök elvesztése, elhagyása,
- Belső dolgozók által (szándékosan vagy véletlenül) okozott adatszivárgás,
- Weboldal feltörése,
- Webes szolgáltatások feltörése vagy elérhetetlenné tétele, DOS támadás (szolgáltatásmegtagadással járó támadás),
- Adathordozók nem megfelelő kezelése,
- Beszállítók, kapcsolódó partnerek gyenge információvédelme,
- Felhasználók tudatlansága, biztonsági ismeretek hiánya,
- Végül általában a fenyegetettség: azaz, hogy fogalmuk sincs a cégeknek, milyen veszélyek fenyegetik őket, ezért inkább úsznak az árral, reménykednek, hogy nem fog történni semmi.
Ahhoz, hogy egy szervezet érdemben tudjon reagálni ezekre a fenyegetettségekre, az alábbi 2 + 1 lépést mindenképp meg kell tennie, különben a ráfordítások köddé válnak, és csak a hamis biztonságérzet marad.
Információvédelmi szervezet, vagy szakértő biztosítása
Sok szervezet még mindig nem önálló funkcióként tekint az információvédelemre. A szervezeten belül nincs szakértelem. Nagyon gyakori, hogy az amúgy is leterhelt rendszergazdára bízzák ezt a feladatot, akinek ez púp a hátán, ráadásul, mivel az információvédelem nem csak a vírusirtásról szól, hanem a teljes szervezetet átható gondolkodásmódról, stratégiáról, szervezeti kultúráról – a rendszergazdának esélye sincs ezt a feladatkört jól ellátni. Ezért érdemes az IT-tól független, közvetlen a csúcsvezető alá tartozó szakértőt alkalmazni, akár munkavállalóként, akár olyan szakértő cég szerződtetésével, amely biztosít kihelyezett biztonsági felelős szolgáltatást.
Kockázatok felmérése, intézkedési terv végrehajtása
Rengeteget szervezet a mai napig „vakon repül”, fogalmuk nincs, hogy valójában mik a szervezet gyenge pontjai információvédelem terén. Emiatt sokszor nem a megfelelő összeget, és nem a megfelelő helyen költi el, kockáztatva ezzel az üzleti működést vagy az ügyfelek adatainak biztonságát. Megoldást jelenthet a rendszeres információvédelmi kockázatelemzés, a kockázatok nyomonkövetése, valamint az elfogadott intézkedési terv végrehajtásának riportolása a vezetőségnek. Az ilyen elemzést is célszerű független szakértő cégre bízni, aki emészthető formában tudja előadni a problémákat a menedzsmentnek, emellett segítséget tud nyújtani a priorizálásban és a végrehajtásban is.
A Center of Internet Security által kiadott TOP 20 biztonsági intézkedés módszeres alkalmazása. A CIS TOP 20 intézkedés működtetéséhez szükséges az előző két pont megvalósítása, hiszen kell egy vagy több szakértő, aki a rendszereket és folyamatokat bevezeti és működteti. A TOP 20 biztonsági intézkedés az alábbi linken olvasható.
