Nyolcadik éve méri fel világszerte az információbiztonság helyzetét az Ernst&Young. A 2005-ös tanulmányból az derül ki: a cégek, szervezetek intézkedései általában nem képesek lépést tartani az üzleti környezet gyors változásából fakadó, mind nagyobb kockázatokkal.
Ötvenöt országban több mint 1300 szervezet vezetői válaszoltak az Ernst&Young tanácsadó társaság kérdéseire. A kutatók azokra a kulcstényezőkre voltak kíváncsiak, amelyek a cégek, intézmények információbiztonsági politikáját alakítják, illetve arra, hogyan
reagálnak a vezetők a különböző kihívásokra.
Önmagában már az tanulságos, hogy a válaszok – a vizsgált szervezet méretétől, földrajzi helyétől függetlenül – mennyire egybecsengtek.
Négy fő vonalon folyt a kutatás:
– Hogyan tesznek eleget a szervezetek az utóbbi időben megsokasodott biztonsági vonatkozású jogszabályoknak, előírásoknak?
– Mennyire figyelnek oda a cégek partnereik, üzlet- és ügyfeleik biztonsági intézkedéseire?
– Biztonsági szempontból felkészülten vezetik-e be az új technológiákat?
– Mennyire szerves része az információbiztonság a cég stratégiájának, az üzleti célok megvalósításának?
Törvényeket követve
Első ízben fordult elő az Ernst&Young kutatásainak történetében, hogy a szervezetek biztonsági gyakorlatában az előírások teljesítése bizonyult a legfontosabb mozgatórugónak. Az elmúlt egy évre visszatekintve a válaszadók 60 százaléka jelölte meg ezt a legfontosabb szempontnak, miközben az üzleti célok elérése vagy a vírusok, férgek felbukkanása csak nem egészen minden második válaszadó számára volt a jelentős motivá-ciós tényező a biztonság területén. Különösen figyelemre méltó ez az eredmény, ha arra gondolunk, hogy épp az utóbbi hónapokban mennyire elszaporodtak, milyen súlyos károkat okoztak a kártevők, s milyen mértékben súlyosbodott a számítógépes bűnözés.
Azt hihetnénk, hogy az amerikai Sarbanes–Oxley törvény, s a mintájára számos országban alkotott jogszabályok sora vagy az Európai Unió 8-as irányelve beruházásokra késztet, arra ösztönzi a vezetőket, hogy az információbiztonságot, az ezzel kapcsolatos funkciókat az üzletmenet szerves részévé tegyék. Ez azonban nem így történt – a cégek mintha nem lehetőségnek, alkalomnak tekintenék a szabályozást, hanem nyűgnek, amelynek meg kell felelni, de amelyet igyekeznek lerázni magukról.
Ahelyett, hogy katalizátor szerepbe kerültek volna, a törvények és a – külső vagy akár belső – előírások afféle öncéllá váltak a vállalatok szemében. A válaszadók 81 százaléka szerint az információbiztonság megteremtésére elsősorban azért van szükség, hogy eleget tegyenek a cég belső szabályzatának, s csak 56 százalék jelölte meg első helyen a stratégiai (üzleti) célkitűzések megvalósítását.
A belső előírások hatása gyakran abban merül ki – emeli ki az Ernst&Young –, hogy átdolgozzák a szabályzatokat (88 százalék), s képzést adnak a munkatársaknak (73 százalék). Ugyanakkor jóval kevesebben szánják rá magukat az architektúra módosítására (41 százalék) vagy az információbiztonsági funkciók átszervezésére (38 százalék).
Kölcsönös függőségben
Globalizált korunkban már nem elég csak a házon belüli kockázatokra és biztonságra figyelni. A szervezetek között egyre szélesebb az információfolyam. Nemcsak a multikat érinti ez a probléma: partnerekkel, outsourcing- és egyéb szolgáltatókkal, beszállítókkal és ügyfelekkel minden cég kapcsolatot tart, s ez a kapcsolat mindinkább informatikai alapokra helyeződik. Következésképpen az üzletfelek információbiztonságuk megteremtésében kölcsönösen egymásra (is) vannak utalva.
Érettnek az a szervezet tekinthető – hangsúlyozzák az elemzők –, amely a belső és a külső, üzleti kapcsolatokból eredő kockázatokkal egyaránt számol. A vezetésnek be kell látnia: a cég biztonsága olyan szervezetektől is függ, amelyek működésébe – legalábbis közvetlenül – nincs beleszólása, s az ebből eredő kockázatokat is kezelni kell.
Mint a felmérésből kiderül, a cégek többségére ma még nem ez a hozzáállás a jellemző. Az információbiztonság területén a szervezetközi kapcsolatok általában feltételezésekre, nem pedig független tanulmányra vagy minősítésre épülnek. A válaszadók csaknem háromnegyede abból indul ki: beszállítói, partnerei képesek eleget tenni (saját) biztonsági szabályzatuknak, előírásaiknak. Ugyanakkor csupán minden negyedik követeli meg az üzletfelek minősítését, s a megkérdezettek alig több mint hatoda nyilatkozott úgy: partnereinek információbiztonságát független cég ellenőrizte.
Márpedig a kockázat csökkentése érdekében csak úgy lenne szabad külső céggel együttműködési – különösen erőforrás- kihelyezési – megállapodást kötni, ha a partner biztonsági felkészültségét független szervezet tanúsította. Még ilyenkor is célszerű belefoglalni a szerződésbe a rendszeres felülvizsgálati kötelezettséget – hívja fel a figyelmet az Ernst&Young.
A tanácsadó társaság azt is ajánlja: járjunk elöl magunk jó példával, tárgyaláshoz mindjárt saját minősítésünket is vigyük magunkkal. Ehhez azonban előbb meg is kell szerezni azt a bizonyos tanúsítványt.
A felmérésbe bevont egymilliárd dollárosnál kisebb forgalmú cégeknek csak 18, az ennél nagyobb vállalatoknak pedig 34 százaléka alkalmazta a BS 7799-es vagy az annak megfelelő ISO 17799-es információbiztonsági szabványt.
Törekvő technológiák
Terjed az internetes (VoIP-) telefónia, a vezetéknélküli kapcsolat, a mobil munka. Versenyképességük javítása érdekében a cégek igyekeznek mielőbb bevezetni az új technológiákat. Ezek azonban új kockázatokat is hoznak magukkal. A szervezeteknek azt is fel kell ismerniük: a mobilitás növekedésével eszközök és sokszor érzékeny információk kerülnek ki az iroda biztonságosnak tekintett falai közül, s ezek védelme nem kis részben azok dolga, akiknek kiadták őket.
Miközben a cégek a noteszgépek, a pendrive-ok és más cserélhető tárolók vagy a vezetéknélküli kommunikáció biztonsági kockázatával általában tisztában vannak, ez a VoIP, a nyílt forráskód vagy a szerver-virtualizáció esetében már koránt sincs így. Az Ernst&Young szerint a különbség fő oka, hogy az előbbi megoldások annyira szembeötlőek, hogy nem lehet nem felfigyelni rájuk – az utóbbiak könnyebben maradnak észrevétlenek.
Mindenesetre az új technológiák felbukkanásakor nemcsak a védelem vagy szabályozás hiánya okozhat gondot – oda kell figyelni a szellemi tulajdonnal vagy a minőség esetleges romlásával kapcsolatos kockázatokra is. Azt a fejleményt pedig örömmel nyugtázhatjuk, hogy az egy évvel korábbi 34 helyett az idei felmérésben a válaszadók 42 százaléka látta úgy: a technológiai megújulás a következő 12 hónapban fontos szerepet fog játszani információbiztonságuk alakításában.
Az egész részeként
Fontos, hogy a szervezet felépítése, a feladatkörök kiosztása is tükrözze az információbiztonság iránti elkötelezettséget. Ebből a szempontból örvendetesnek találja az Ernst&Young, hogy az idei válaszadók kétharmada hivatalosan is valamilyen kimondottan információbiztonsági pozíciót tölt be, s nem csak mellékesen vagy informálisan foglalkozik a témával.
Mégis, ezek a funkciók sokszor mintha kívül maradtak volna a szervezet átfogó kockázatkezelési folyamatain. A megkérdezettek kevesebb mint harmada ül össze havi rendszerességgel a belső audit, az ellenőrzés és a fontosabb részlegek vezetőjével, s bevonásuk a cég stratégiai döntéseibe is esetleges. Jóllehet kulcsszerepük nyilvánvaló, a jogi osztályokat gyakran nem kapcsolják be az információbiztonság, illetve a kockázatok kezelésébe.
Ha valódi eredményt akarunk, az információbiztonság nem lehet elszigetelt terület. Akkor működik igazán jól egy cég, ha az üzletért, az IT-ért és az információbiztonságért felelős vezetők rendszeresen együtt határozzák meg azokat a területeket, melyeken az információbiztonság segítheti valamely nagy stratégiai cél – például fúzió, outsourcing vagy termékbevezetés – megvalósítását. Mindennek érdekében nemzetközileg elfogadott szabványokat kell alkalmazni, át kell venni a másutt jól bevált gyakorlatot, s minden szükséges erőforrást rendelkezésre kell bocsátani – ajánlják a tanácsadók.
Mikolás Zoltán
