Az elmélet és a gyakorlat sajnálatos módon a biztonságtudatossági programok megvalósításában sem mindig fedi egymást, de a buktatók egy kis odafigyeléssel kikerülhetők.
A szakemberek döntő többsége tisztában van a biztonság emberi tényezőinek és a biztonságtudatosság erősítésének fontosságával. Ennek ellenére „sok esetben nem, vagy nem igazán jól sikerül az elméletet átültetni a gyakorlatba” – mondja Keleti Arthur, a KFKI Zrt. it-biztonsági stratégája.
Főnök nélkül nem megy
Az egyik leggyakoribb és a sikert leginkább gátló probléma a felsővezetői elkötelezettség hiánya. A nyitottabb vezetők többnyire megértik, hogy miért fontos egy biztonságtudatossági program kidolgozása és az oktatás levezénylése, de amikor a gyakorlati megvalósításra kerül a sor, nemegyszer meghátrálnak. Ilyenkor szembesülnek ugyanis azzal, hogy mennyi feladatot jelent – mennyi pénzt emészthet fel – egy ilyen program végigvitele a szervezet számára.
Egy sok száz vagy éppen több ezer fős cég esetében már az oktatás logisztikájának megszervezése is kemény dió. Ez a sok ember sokszor nem is egy helyen dolgozik, tehát az ország több pontján kell 20–30 fős csapatoknak termet biztosítani, az embereket kivonni a munkából, előadót vagy előadókat keríteni, és így tovább. A szervezés nehézségei miatt nem egy program csak részben valósul meg. Ráadásul a vezetőnek illik személyes szerepet is vállalnia: egy bevezető előadás megtartása a cég értékeiről, elvárásairól, a program céljáról mindenképpen az ő feladata (lenne) – ez pedig sokuk számára nagyon is nemszeretem kötelesség.
Mit és hogyan?
„Sokszor adódnak gondok az oktatás tartalmával és formájával is” – folytatja Keleti Arthur. A nehézség az, hogy átlagos (vagy az alatti) informatikai ismeretekkel rendelkező dolgozóknak kell szakmai kérdésekről közérthetően beszélni. „Márpedig bármennyire kiváló biztonsági szakember vagy tanácsadó valaki, ha csapnivaló előadó, akkor az oktatás nem fogja elérni a célját – és ez gyakrabban előfordul, mint gondolnánk” – teszi hozzá a Magyar Telekom Vállalati Szolgáltatások Üzletág képviseletében az it-biztonsági stratéga. Mindenképpen érdemes külsős szakembert igénybe venni, hiszen neki nagyobb gyakorlata lehet a hasonló képzésekben, és nem kell belső dolgozót elvonni a mindennapi munkájától – esetleg hetekre.
Mindemellett már az oktatási anyagok összeállítása sem triviális feladat. Vannak ugyan általános érvényű igazságok, de a konkrét képzést mindenképpen az adott vállalat, szervezet biztonsági stratégiájából, a védendő információs értékekből és a felmért kockázatokból kell levezetni. Tovább bonyolítja a helyzetet, hogy a tananyagnak és az oktatási módszereknek a munka- és felelősségi körtől függően másnak kell lennie, hiszen nem egyformán érzékeny adatokkal dolgozik egy raktáros, egy osztályvezető vagy éppen a vezérigazgató asszisztense.
A képzési formákban sajnos nem kerülhetők meg a szokványos, tanórákhoz hasonló előadások sem, de vannak olyan ismeretek, amelyeket át lehet adni játékosabb, interaktív formában is. „Különösen hatásos lehet, ha különféle formákban hosszú hetekig napirenden tartja a szervezet a témát: játékokat szervez, üzeneteket küld a dolgozóknak. számos formája létezik ennek, csak egy kis fantázia kell hozzá” – mondja Keleti Arthur.
Mérni muszáj
Legalább olyan nehéz mérni a biztonságtudatossági programok megtérülését, mint számos más it-biztonsági projektét. Mégis ellenőrizni kell az oktatás hatékonyságát. Így egyrészt pillanatfelvételt lehet készíteni a biztonságtudatossági helyzetről (többszöri teszteléssel annak változásairól is), másrészt pedig az eredmények a biztonsági auditorok számára is többet mondanak, mint az oktatás puszta megléte.
A felmérésnek nem kell feltétlenül iskolai tesztre hasonlítania. Jó, bár meglehetősen drága és nem könnyen elérhető módszer, ha egy etikus „social hacker” beépül a szervezetbe, és egy darabig teszteli a dolgozókat, próbál információkat gyűjteni. Az eredmény nemcsak a vezetés számára ad információkat, hanem – a nyilvánosságra hozás révén – a dolgozók számára is értékes tanulsággal szolgálhat.
