Tudatos biztonság

Sokan felismerték már, hogy pusztán technikai eszközökkel nem lehet garantálni az információbiztonságot. Növelni kell a dolgozók biztonságtudatosságát, fejleszteni kell a szervezet biztonsági kultúráját, különben magas a sebezhetőség.

Az elmúlt 10–15 évben a szervezetek döntő többsége felismerte és elfogadta, hogy a megfelelő színvonalú, kockázatarányos informatikai biztonság megteremtése a sikeres üzleti működés előfeltétele. Ha korábban a véletlenszerűen támadó hekkereket nem is vették túl komolyan, az elmúlt egy-két év nagyon szervezett, kifinomult, célzott támadásai a korábbi kétkedőket is meggyőzhették az információvédelem fontosságáról. Mivel pedig a támadások célpontjai a szervezetek, vállalatok bármely erőforrása lehet, ezért a védelemnek is ki kell terjednie a szervezet minden területére, azaz teljes körűnek kell lennie. A védelem holisztikus megközelítése viszont nemcsak azt jelenti, hogy a vállalat minden alrendszerére ki kell terjednie, hanem azt is, hogy a szervezet minden pontján egyenszilárdságúnak kell lennie.

 A gyenge láncszem

Nemcsak az alkalmazásokat, az infrastruktúrát és az információkat jelenti a „szervezet minden pontja”, hanem a gyakran figyelmen kívül hagyott emberi erőforrásokat is. Bruce Schneier, az információbiztonság egyik legnagyobb tekintélyű nemzetközi szakértője szerint „az információs rendszerek leggyengébb láncszeme az ember”. De ismert az a nézet is, hogy „az amatőrök a technikát támadják, a profik az embereket”. Az ember, a dolgozó nagyon sokrétű veszélyforrás lehet a szervezetben: egyrészt rajta keresztül érhetnek célba a támadások, másrészt maguk is kezdeményezői, előidézői lehetnek a biztonsági incidenseknek. (Lásd az Emberi fenyegetések című keretet!)

Tény az, hogy az emberi erőforrás elleni támadások nagyobb valószínűséggel járnak sikerrel, ezért ezek védelmére is komoly erőfeszítéseket kell tenni – amit viszont sokszor elhanyagolnak. A menedzsment túl gyakran dönt úgy, hogy könnyebb vásárolni egy megoldást, mint változtatni a biztonsági kultúrán. Pedig „a legjobb rendszerrel sem érhető el a biztonság megfelelő szintje, ha rosszul informált, gyakorlatlan, figyelmetlen vagy közömbös személyek működtetik” – fogalmaz az ISACA-nak a biztonsági menedzserek számára kiadott irányelv-gyűjteménye. Az eredmény: szegényesen integrált taktikai megoldások halmaza, amelyet nehéz hatékonyan menedzselni, és ezért állandóan hézagos a védelem.

A megoldást a szakma a teljes humán erőforráskészlet biztonsági kultúrájának, az egyének és a szervezet biztonságtudatosságának növelésében látja. A biztonságtudatosság pedig nem más, mint a veszélyforrások, a kockázatok felismerésének képessége, a védelmi intézkedések szükségességének elfogadása, és ezek rendeltetésszerű végrehajtása. Az egyik szakmai szervezet, a Security Forum szerint a megfelelő biztonságtudatosság kialakulásához a munkatársaknak meg kell érteniük a biztonság szintjét; a biztonság fontosságát; és végül azt, hogy mit várnak el tőlük, mi az ő felelősségük az informatikai biztonság biztosításában.

A megvalósítás eszköze pedig az úgynevezett informatikai biztonságtudatossági program (ibtp), a biztonságtudatosság kidolgozásának és folyamatos naprakészen tartásának programja. Egy ilyen program alapvető célja, hogy a veszélyforrások, kockázatok felismerő képességének a kialakításával, a védelmi intézkedések elfogadó képességének, valamint a védelmi intézkedések rendeltetésszerű végrehajtásának a megalapozásával, az arányos védelem szükségességének megértetésével növelje az egyénekben a biztonságtudatosságot. A célok persze nemcsak elméletiek, hanem nagyon is gyakorlatiak: a dolgozó az elveket ne csak vallja, hanem a tevékenységét ezek szerint végezze, és ezt – az elvek ismeretét és gyakorlását – munkatársaitól is elvárja.

Előkészítés

Még a program kidolgozása előtt fel kell mérni a szervezet általános biztonságtudatossági szintjét, illetve, hogy azt hogyan kezelik. Nem lehet úgy programot kidolgozni, hogy ne győződjünk meg a valós helyzetről, hogy ne tudjuk, mi az a szint, amelyre építkeznünk kell.

Ehhez rendelkezni kell az egyének tudatossági szintje felmérésének és értékelésének módszereivel. Ezek lehetnek interjúk, felmérések (egyéni és szervezeti szinten a biztonsági oktatás eddigi módszereiről), de meg kell nézni azt is, milyen biztonsági incidensek történek a múltban, és azoknak mennyi közük volt az emberi hanyagsághoz, nemtörődömséghez vagy éppen a tudásbeli hiányosságokhoz. Össze kell állítani mindazokat a szabályokat és követelményeket is, amelyeket a biztonságtudatosság oktatásánál, gyakorlatainál figyelembe kell venni: elsősorban a szervezet biztonsági politikáját, a szabványokat, a folyamatokat, valamint az ezekből adódó követelményeket.

Figyelemmel kell lenni arra, hogy a dolgozók feladatai, így az általuk jelentett biztonsági kockázatok és felelősségek sem egyformák. Munkakörökre lebontva kell felmérni az elvárt viselkedés és a munkaköri feladatok végrehajtásának szabályait, illetve az ellenőrzés és a számonkérhetőség módszereit.

Az ibtp kidolgozása során az alábbi szempontokat kell figyelembe venni:

– melyek a szervezet küldetésével arányos biztonsági követelmények;

– figyelembe kell venni a szervezet tevékenységét, illetve azt, hogy az ott mozgó adatok, információk milyen mértékben titkosak;

– melyek a szervezetet fenyegető veszélyforrások?

Ezek lehetnek fizikaiak, logikaiak, a humán erőforrásokat fenyegetők, és a humán erőforrások is képezhetnek fenyegetéseket. Különbséget kell tenni a külső és belső veszélyforrások között is. Arra is figyelni kell, hogy állandóan jelentkezhetnek új veszélyforrások;

– milyen a kockázatok felismerése és értékelése?

A kockázatokat a veszélyforrások és a bekövetkezési valószínűségük állandó változása miatt szintén folyamatosan követni, értékelni kell;

– a szervezet biztonsági rendszerének naprakészen tartása;

Nem szabad megfeledkezni arról, hogy a veszélyforrások és kockázatok állandó változása miatt a védelmi intézkedéseket és a biztonsági rendszert naprakészen kell tartani.

– meglévő biztonsági szabályzatok;

Értelemszerűen az ibtp nem lehet független a szervezet meglévő biztonsági szabályzataitól, azokkal tökéletes összhangban kell gondoskodnia a munkatársak tudatosságának növeléséről.

A program felépítése

Egy átfogó informatikai biztonságtudatossági program nem csupán egy röpke oktatásból, egy tanfolyam megtartásából vagy néhány figyelemfelkeltő e-mail elküldéséből áll. Ha jó eredményeket akarunk elérni, szükség lesz az alább felsorolt akciókra.

Biztonságtudatossági oktatás

Ez elsősorban arra irányul, hogy a munkatársakkal megértessék az arányos biztonság szükségességét, és azt úgy értékeljék, mint a szervezet sikerének előfeltételét. Világossá kell tenni a munkatársak előtt, hogy a szervezet érdeke egyben a munkatársak érdeke is. A biztonság a hatékony, sikeres védelmen alapszik, amelynek alapkövetelményei a veszélyérzet, a veszélyforrások időbeni felismerése, a kockázat feltárása és értékelése, majd ezek alapján a megfelelő védelem kialakítása. Az oktatásnak foglalkoznia kell a biztonsági események gyors, eredményes elhárításával, az információk és az egyéb erőforrások védelmével.

 A biztonságtudatosság oktatása arra irányul, hogy a munkatársak eltérő működési gyakorlatát, jártasságát, kompetenciáját közös tudásbázisba integrálja, és ezzel elérje, hogy a munkatársak informatikai biztonságról alkotott képe, tevékenysége, valamint a biztonsági eseményekre való reagálása azonos színvonalú legyen.

Biztonságtudatossági gyakorlat

A puding próbája az evés. Az oktatás sikerét csak úgy lehet lemérni, ha időnként a gyakorlatban is próbára tesszük a dolgozókat, hogy kiderülhessen: rendeltetésszerűen teljesítik-e a követelményeket, illetve minden helyzetben biztonságtudatosan tevékenykednek-e. Az eltérő személyiségjegyekkel rendelkező, illetve az informatikai biztonság szempontjából különböző érzékenységű területeken dolgozók gyakorlatainak tematikáját (de már az oktatásét is) értelemszerűen az adott csoport igényeihez kell igazítani.

Biztonságtudatossági kampány

Rendszeresen figyelmeztetni kell a dolgozókat arra, hogy a biztonság és a biztonságtudatosság létérdeke a szervezetnek és munkatársainak, valamint egyes alapvetően fontos magatartások követésére. A kampány módszerei lehetnek tudatosan elhelyezett poszterek a közösen használt területeken, röpcédulák, vagy a védelmi intézkedésekről, biztonsági eseményekről készült tájékoztató anyagok, amelyeket a belső újságban vagy az intraneten közzé lehet tenni.

Folyamatos karbantartás

Mivel azonban az informatikai biztonsággal szembeni követelmények folyamatosan változnak, a dolgozók tudását és éberségét is folyamatosan fejleszteni, a biztonságtudatosságot pedig naprakészen kell tartani. Valamit fejleszteni viszont csak úgy lehet, ha mérjük azt, tehát mérni kell a biztonságtudatossági program hatékonyságát is. Ezt meg lehet tenni kérdőíves módszerekkel, interjúkkal és külső felek által végzett biztonsági audittal.

Az eredmények értékelésében segít a szakmai tapasztalatok alapján kidolgozott érettségi modell, amelynek révén a szervezet el tudja dönteni, hogy éppen hol tart, és még hova kellene eljutnia. (l. a táblázatot)

A biztonságtudatossági program naprakészen tartásában komoly szerepet játszanak a biztonsági események. Ezek megtörténte (és az eredeti helyzet helyreállítása) után vizsgálni kell például, hogy az incidens bekövetkezése, leküzdése és a helyreállítás során voltak-e a biztonságtudatosság hiányosságára utaló jelek. Az új veszélyforrások esetében is vizsgálni kell, hogy fellelhetők-e a biztonságtudatosság hiányosságai. Ha igen, akkor egyéb intézkedések mellett a ibtp-t is módosítani kell.

Schopp Attila–Vasvári György