Sajnos, a vállalatok sokszor csak egy-egy audit-megállapítás vagy egyéb megfelelési követelmény kipipálása céljából szerveznek tudatosítást a témában. Ez önmagában nem hatékony. Ebben a kérdésben a felső vezetés felelősségét lenne jó tudatosítani, hogy ne csak akkor foglalkozzanak a kérdéssel, ha már megtörtént a baj, elszenvedték a támadást vagy incidenst, és saját bőrükön tapasztalták meg, mekkora pénzügyi veszteséggel jár egy adatvesztés vagy adatszivárgás.
Csak egy ember tévedése kell
Az IBM a Ponemon Intézettel közösen évente kiszámolja, hogy mennyibe is került az adatszivárgási incidens átlagosan egy világvállalatnál. A 2021-es tanulmány szerint a globális átlag idén 10 százalékkal, 4,24 millió dollárra (1,2 milliárd forintra) nőtt. Beszédesebb, hogy ennek a 4,24 millió dollárnak a 38 százalékát az elvesztett üzleti lehetőségek teszik ki. Nyilvánvaló, hogy egy-egy incidenssel sokat kockáztat a vállalat.
A vállalati adatok soha nem voltak értékesebbek vagy érzékenyebbek. A fejlesztési ciklusok felgyorsultak, app-ok szolgálják ki az ügyfeleket és a kollégákat is egyaránt, okoseszközök garmadáját használjuk mindenfelé. A hibrid munkavégzés megnövelte a támadási felületeket, és egy kevésbé biztonságos, „háztartási” környezetbe tette át a vállalati adatokat. De még az új kockázati felületek nélkül is csak egy ember tévedésére volt szükség ahhoz, hogy a kiberbűnözők hozzáférhessenek a vállalat belső erőforrásaihoz, titkaihoz.
A vállalat IT-biztonsága nemcsak hardverek és technológiák megfelelő használatát jelenti, hanem a dolgozókkal közösen kell IT-biztonsági kultúrát kialakítani a szervezeten belül. A kollégák általában azt gondolják, hogy az IT-biztonság megteremtése egy olyan IT-feladat, amellyel a szakembereknek kell foglalkozniuk. Miközben a szakemberhiánnyal küzdő IT-csapatnak alig jut ideje a napi teendők mellett, hogy a biztonsággal is törődjön,
Ellentmondás van a vállalati hiedelmek és a valóság között is. Az 1Password „The guide to creating a culture of security” című kutatása szerint például az IT-szakemberek az gondolják, mindenki erős jelszót használ a vállalatnál, miközben az amerikai felnőttek 45 százaléka 8 karakternél rövidebb jelszóval védekezik. Ugyanígy a vállalatok azt vélik, hogy a céges IT-biztonsági előírásokat mindenki követi, miközben az amerikai alkalmazottak 70 százaléka szerint a vállalatok felelőssége védeni a munkához használt felhasználói fiókokat.
|
„A biztonságtudatosság nem egy elsajátítandó tudás, hanem egy gondolkodásmód”
Mint a legtöbb vállalatnál, a pénzintézetnél is a védelmi vonal egyik részét a technikai védelmi intézkedések teszik ki. Azzal is tisztában vannak, hogy a védelem legkritikusabb szereplője maga a felhasználó, ezért igyekeznek a kötelező, általános biztonságtudatossági oktatásokat interaktív, a kollégák által érhető és élvezhető formában elkészíteni. A kötelező oktatáson túl a banknál nagy hangsúlyt fektetnek az adathalászat elleni védekezésre. Az elsajátított ismereteket szimulációs gyakorlatokkal szilárdítják meg. Az általuk szervezett játékok, kvízek, vetélkedők és az éves Információbiztonsági Hét azonban már az általános biztonságtudatosságot érintik. A legutóbbi rendezvény az összes alkalmazottat érintő, jó hangulatú dolgozói kampány külső és belső előadókkal egyaránt. „Kollégáink tisztában vannak az információbiztonság fontosságával. Egyre többen nem csupán a munkahelyi információk biztonságára ügyelnek, hanem szem előtt tartják a magánéletükre vonatkozó információk biztonságát is, tehát a gondolkodásmódjuk válik egyre tudatosabbá”, fejezte be Nagy Ádám. |
Így építsük fel a vállalati IT-kultúrát!
A vállalati IT biztonsági kultúra a csapat közös erőfeszítésének eredménye, minden egyes kolléga szerepet vállal benne. Ebben a kollégák biztonságtudatosságának kiemelt szerep jut.
Első körben készüljünk fel. Nézzük át meglévő IT-biztonsági szabályzatainkat, vagy írjuk meg őket, ha nincsenek. A folyamatba vonjuk be a felső vezetést, középvezetőket, HR-osztályt, IT- és biztonsági vezetőket egyaránt – elköteleződésük kulcsfontosságú.
Készítsünk oktatási és kommunikációs tartalmakat, hogy mindenki tudja, mi az elvárás. Építsük be az onboarding folyamatba az IT-biztonsági tudatosítást is. Az alkalmazottak tevékenységének értékelésekor vegyük figyelembe a biztonsági előírások betartását is. Szervezzünk céges eseményt, ahol a kollégák és külső partnerek egyaránt értesülnek a biztonsági változásokról.
A vállalati IT-biztonsági kultúrát csakis a kollégák (és a külső partnerek) tehetik sikeressé. Az új szabályokat kötelező, de érdekes és izgalmas oktatások segítségével mélyítsük el, mindezt rendszeres időközönként frissítsük fel. A biztonságtudatosságot ezután vállalatszerte erősítsük meg. Például adjunk díjakat azoknak, akik rendkívül aktívak IT-biztonság területén. Kezeljük a szabályokat rugalmasan, ha úgy látjuk, hogy egy népszerűtlen vagy kényelmetlen elvárás elhagyása nem növeli a biztonsági kockázatot, legyen bátorságunk eltörölni.
Nincs felelőse a területnek
„Az IT-biztonsági kultúra tekintetében kockázatot és problémát jelent, hogy a témakör nagyon széleskörű, és kevés az olyan szakember, aki egy-egy témában lenne kiemelkedő”, mondja Farkas Imre, a FORTIX Consulting cégvezetője. Vagy több területen próbálja ki magát valaki rövid idők alatt, vagy több területből szerez bizonyítványt, de az igazi szakértelemhez szükséges időt kevesen szánják rá, egy adott, konkrét képzési tervet nagyon kevesen csinálnak végig.
„Az is gondot jelent, hogy nincs igazán kialakult kultúra ezen a területen”, mondja Farkas Imre. Sokan úgy érzik, az IT-biztonság csak egy púp a hátukon a meglévő feladataik mellett. Ez talán azért is van így, mert nem magyarázzák el a téma fontosságát, mi is múlik adott esetben a munkavállalón és nem rögzül, hogy a biztonság mindenki felelőssége.
Sokszor még a szabályzatokat sem ismerik a kollégák. Ennek leginkább az az oka, hogy nem megfelelően és elérhetően publikálják őket, sokszor túlzottan terjengősek, elméletiek, vagyis nehéz kihámozni belőle, hogy mit szabad és mit nem szabad csinálni. A tananyagok gyorsan elavulnak, a munkavállalók nem mindig értik meg, hogy a biztonság nemcsak technológia kérdése és amit megtanultak, azt könnyen el is felejtik. Ahol pedig kiszervezett formában működik az IT, ott még nehezebb összehangolni a cég és partnerei tudatosítási tevékenységét.
A motivált csapat segíthet
„A szervezetek leginkább egy motivált és összetartó informatikai csapat, szakmai csapat és egy szintén motivált vezető segítségével tudják növeli a biztonságtudatosság szintjét a cégen belül, bármennyire is egyértelműnek tűnjék mindez”, folytatja Farkas Imre. Hiszen ahol nagy a fluktuáció, ott nő a kockázata, hogy még a megfelelő ismeretek megszerzése előtt hibázik valaki. A képzettebb szakértőket meg kell becsülni, mentori szerepbe kell helyezni, hogy járjanak elől a jó példával, így hatással lehetnek beosztottaik, vagy a szakmailag általuk mentoráltak megértésére és viselkedésére.
A szakember szerint jól bevált gyakorlat az üzleti területeken a biztonságot népszerűsítő kulcsfelhasználók, „szószólók” közösségének kialakítása, akiknek ez egyfelől elismerés, másrészt közelebb viszik a témát a szervezet napi életéhez. Sokat segít az is, ha az IT-feladatokat ütemezetten, kritikusság szerinti sorrendben hajtjuk végre, és ha a folyamatokba épített jó gyakorlatokat meghonosítjuk. Igaz ez különösen informatikai vonalon, ám az üzleti folyamatok terén is, hiszen a felhős technológiák kapcsán átalakulnak a folyamatok.
Nem lehet elégszer hangsúlyozni a folyamatos, célzott oktatások, tudatosító kampányok fontosságát, amelyekbe az éppen aktuális, a hírekben megjelenő incidensek tanulságait is beépíthetjük. „Az oktatásokhoz mindig tartozzon valamilyen visszamérés, hiszen így lehet a hatékonyságot ellenőrizni”, tanácsolja Farkas Imre. A mostani helyzetben pedig ezek a képzések még jobban felértékelődtek, hiszen a pandémia miatti távmunkával tovább emelkedett a figyelmetlenség kockázata, erre akár célzott, játékos kampányt is érdemes indítani. Egy jobb LMS (learning management system, képzésfelügyeleti rendszer) pedig már támogatja a gamificationt (játékosítást), ennek használata feldobhatja a témát.
Ismétlés a tudás anyja
Az oktatások mindig hasznosak, de az ismétlés is nagyon fontos: haladni kell a korral, és egyre interaktívabb, modernebb, világosabban megfogalmazott, célzott témájú oktató anyagokra van szükség. A tantermi képzést érdemes e-learninggel kombinálni. A vállalatra szabott tananyagok készítésével lehet növelni a képzések értékét, hatásosságát és eredményességét.
A tananyagok felépítése, érthetősége rendkívül fontos, körültekintő munkát igényel. A sok saját példa és gyakorlat segíti a megértést, elmélyíti a tudást. Tapasztalataink és a visszajelzések alapján az oktatások akkor eredményesek, ha azok rendszeresek, és van valamilyen visszamérés. „Sajnos, az oktatás keretében végrehajtott phishing-kampányok esetén sem lehet 25 százalék alá vinni az elbukók arányát”, fedte fel Farkas Imre.
Vass Enikő
