Végrehajtóból üzleti tanácsadó

Az informatikai biztonság egy kicsit még mindig mostohagyerek a vállalatokon belül – talán azért, mert a cégek még nem szaladtak bele elég nagy pofonokba, vagy nem hallottak olyanokról, akik igen. A szakemberek szerint nem többet, hanem másképp kellene tenni a vállalati IT-biztonságért.

Az infokommunikációs technológiák villámgyorsan fejlődnek, í­gy a rájuk épülő digitalizációs megoldások is gyorsí­tják az átalakulást. A változások már csak azért is terjednek ilyen sebességgel, mert a felforgató technológiák egyre olcsóbbak, egyre több ember és induló vállalkozás számára érhetők el. Manapság már egy-két év elég lehet, hogy egy induló cég elérje a globális jelenlétet és a milliárd dolláros értéket.

 

Nincs idő a biztonságra

A változó üzleti igények gyors kiszolgálása igényli a rugalmas informatikai megoldásokat, amelyet a legtöbben a felhőalapú és/vagy nyí­lt forráskódú technológiák alkalmazásával próbálnak megvalósí­tani. Ez azonban újfajta biztonsági kockázatokat is hordoz magában – mondta az ITB Club novemberi rendezvényén Szakál László, a Capture partnere. A felhőalapú és nyí­lt rendszerek belső felépí­tését, működését nagyon sokan ismerik a világon, í­gy a potenciális támadók száma is nagyobb. Az újfajta technológiák alkalmazása miatt erősen megnő a vállalatok biztonsági kitettsége.

A fejlődés gyorsasága egyéb veszélyeket is rejt magában – tette hozzá Gölcz Dénes, a Panda Security Hungary ügyvezető igazgatója. Elméleti szinten minden informatikai szakember tisztában van azzal, hogy az új alkalmazások kifejlesztésénél és bevezetésénél figyelembe kell venni a biztonsági szempontokat is. Az üzleti oldalról azonban sokszor olyan nagy a nyomás a szállí­tókon (és a belső informatikai csapaton), hogy a minél gyorsabb bevezetés oltárán végképp elsikkad a biztonság. Még az autóiparban is sok a visszahí­vás, még a nagy márkáknál is előfordul, ahol figyelnek a minőségi fejlesztésre. Akkor mit várunk az ezrével piacra dobott, kisebb-nagyobb szoftvertermékektől?! – fogalmazott Gölcz Dénes.

Szakál László tapasztalatai szerint sem az államigazgatásban, sem a vállalati szférában nem rózsás a helyzet. Hiába vannak jó informatikai szakemberek az állami szférában, akik igyekeznek jó megoldásokat kiválasztani, a végrehajtás sok esetben félrecsúszik. Nem egy vezető úgy gondolkodik, hogy ha egy problémáról nem vesznek tudomást, az nem is fog megtörténni. Ad hoc jelleggel faragnak le a biztonsági megoldásokra szánt összegekből és csak addig igyekeznek megúszni az egészet, amí­g ők vannak az adott pozí­cióban. A versenyszférában kicsit másabb a helyzet, de a tényleges incidensekről ott sem lehet szinte semmit tudni. Becslések szerint a kártyacsalások évi 300 millió forintos kárt okoznak a magyar bankoknak, de a pénzintézetek féltik a hí­rnevüket, ezért erről semmilyen információt nem adnak ki – részletezte Szakál László.

Veszélyek az ajtó mögött

Gölcz Dénes egyéb problémákat is lát. A nagyvállalatok ma már nagy beszállí­tói lánccal dolgoznak, és rendszereik is össze vannak kapcsolva – ennek ellenére sem általános, hogy megköveteljék beszállí­tóiktól informatikai biztonsági rendszereik auditálását. Pedig nem egy nagyvállalathoz törtek már be a beszállí­tóján keresztül – érzékeltette a dolog fontosságát a Panda ügyvezetője. További probléma, hogy hiába a modern biztonsági rendszer, ha bevezetése után már nem foglalkoznak vele – például nem próbálják ki, hogy tényleg vissza tudják-e állí­tani rendszereiket a lementett adatokból. Gyakori, hogy pont annyit költünk biztonságra, amivel meg tudjuk nyugtatni a lelkiismeretünket, de azt már kevesen nézik meg, hogy milyen pénzügyi következményei lehetnének egy-egy biztonsági incidensnek – tette hozzá Szakál László.

A modern technológiáknál már nem elegendőek az általános védelmi megoldások, minden alkalmazásba az adott rendszer jellegzetességeihez igazí­tott biztonsági elemeket kell beépí­teni. Jó példa volt erre a Microsoft mesterséges intelligenciával megtámogatott Twitter alapú chatbotja. Az internetes trollok 18 óra alatt egy rasszista, szexista, náci személyisséggé alakí­tották, mert az öntanulási folyamatba nem voltak beépí­tve az ezt magakadályozni hivatott fékek – emlí­tett egy közismert példát a Capture partnere.

Azt is nehéz kiderí­teni, hogy az alkalmazások mögött használt felhőszolgáltatások milyen biztonsági réseket tartalmazhatnak. Még az olyan népszerű, és ártatlannak látszó platformok sem mentesek tőlük, mint az Alexa vagy a Google Home. Lehet, hogy bizonyos feltöltött alkalmazások adott országban nem működnek, de attól még lehallgathatják és továbbí­thatják a lakásban elhangzott beszélgetéseket.

 

A rendszer jó, csak nem biztonságos

í‰rdekes ellentmondásra derült fény a Panda ősszel elvégzett információbiztonsági kutatásában. Az általuk megkérdezett több száz szakember 60 százaléka tapasztalt sikeres támadást vállalata ellen az elmúlt 12 hónapban, de mégis csak 10 százalékuknak volt kétsége a cég IT-biztonságát illetően. Sok vállalat csak akkor kezd tényleg komolyan foglalkozni az IT-biztonsággal, ha már nagy a baj, amikor megtörtént az üzleti kár, az adatvesztés, vagy amikor a zsarolóví­rus titkosí­totta a vállalati állományokat.

Az informatikának óriási szerepe lehetne abban, hogy ez ne í­gy legyen – mondta Gölcz Dénes. Az IT-nek nem pusztán végrehajtónak kellene lennie a vállalaton belül, hanem az üzleti területek tanácsadójának, ahol befolyásolni is tudja a döntéseket. í‰rtenie kell az üzletmenethez, fel kell tudnia mérni az üzleti kockázatokat, majd annak megfelelően kell kiválasztania a szükséges biztonsági termékeket vagy szolgáltatásokat. A biztonsági eszközök piaca is rendkí­vül gyorsan változik, ezért az IT-munkatársainak is folyamatosan képezniük kell magukat. Közben az üzleti vezetőknek is meg kell érteniük, hogy az IT nem akadályozó tényező, hanem támogató, nem irányí­tani kell őket, hanem meghallgatni – tette még hozzá Gölcz Dénes.