Egy országos távközlési szolgáltatónál az információbiztonságot nem lehet néhány jól hangzó szlogennel elintézni – annak be kell épülnie a szolgáltatási kultúrába.
Az országos, egyetemes távközlési szolgáltatók informatikai biztonsága több szempontból is kritikus kérdés – kezdi az Invitel IT-biztonsági krédójának ismertetését Sárecz Zsolt, az Invitel üzemeltetési vezérigazgató-helyettese, akinek felügyelete alá tartozik az ország második legnagyobb vezetékes távközlési szolgáltatójának teljes informatikai rendszere, beleértve a biztonságra vigyázó megoldásokat is.
Egy távközlési vállalat az ügyfeleivel kapcsolatban nemcsak személyes adatokat kezel, hanem a szolgáltatásai során keletkezőket is. Ez utóbbiak az ügyfél tevékenységeiről, szokásairól tájékoztathatnak, így azok bizalmasságának védelme különösen jelentős.
Biztonság mint szolgáltatás
A szolgáltatónak a legelemibb érdeke az információbiztonság minél magasabb szintű biztosítása. A kérdés már csak az, hogy mit értünk információbiztonságon?
Az erre vonatkozó különböző elméletek három fő kritériumban megegyeznek. Ezek azok, amelyekre a többit is vissza lehet vezetni, illetve amelyekkel a nemzetközi szabványok (így az ISO 17 799 is) dolgoznak. A közmegegyezés szerint a biztonság akkor teljesül, ha az adatok megfelelnek az alábbi három elvárásnak:
Bizalmasság. Az adat csak az arra jogosultak számára legyen elérhető.
Sértetlenség. Az adat csak az arra jogosultak számára legyen módosítható, illetve törölhető.
Rendelkezésre állás. Az adat mindig legyen elérhető a felhasználó számára, amikor azt az adott üzleti folyamat megkívánja.
Egy másik szempontból az IT-biztonság felfogható egy szolgáltató vállalat vagy bank új implicit termékeként is, ha figyelembe vesszük, hogy az ügyfelek szívesebben válnak egy olyan IT-biztonsági minősítéssel rendelkező cég ügyfelévé, ahol személyes adataik védelmét bizonyos normáknak való megfelelés garantálja – említ egy első látásra nem nyilvánvaló szempontot az üzemeltetési vezérigazgató- helyettes.
Természetesen törvényi kötelezettségből adódóan is fontos az információbiztonsági megfelelés. Távközlési szolgáltató esetében a vonatkozó szabályzók közé sorolható többek között a szerzői, illetve büntetőjog, a távközlésről, a hírközlésről, a személyes adatok védelméről szóló, sőt, még a nemzetbiztonsági törvény is.
Milyen területeket kell felölelnie a biztonságnak? A teljesség igénye nélkül: adatok; alkalmazások; technológia (szerverarchitektúra, redundancia, mentési stratégia); infrastruktúra (fizikai környezet, áramellátás, természeti csapások elleni védelem); személyzet (biztonsági felelősök kinevezése, oktatás).
Új rendszer bevezetése vagy egy meglévő fejlesztése esetén természetesen már a fejlesztések idején figyelembe kell venni az adott rendszer biztonsági szintjének megfelelő elvárásokat, melyeknek az implementáció során a fenti területek mindegyikén meg kell jelenniük.
Dokumentált védelem
Ahogyan a fenti feladatok sem kizárólag (sőt, talán többségükben nem) informatikai feladatok, a projekt eredményeképpen megszülető dokumentumok sem elsősorban szűken vett informatikai kérdésekkel foglalkoznak. Milyen dokumentumok keletkeztek például az Invitelnél az információbiztonsági irányítási rendszer bevezetése alatt és után?
IT-biztonsági politika. A felsővezetés IT-biztonság melletti elkötelezettségének kinyilatkoztatása, mely egyben meghatározza a biztonság működtetésének szervezeti feltételeit és rendszerét.
Vagyonleltár. Az érintett folyamatok által kezelt adatok, azok tulajdonságainak, például érzékenységének összefoglaló dokumentuma.
Mentési rend. A folyamatokat támogató informatikai rendszerek mentési eljárását részletesen leíró irat.
Katasztrófaelhárítási terv. Olyan lehetséges, a folyamatok által érintett adatok biztonsági kritériumait sértő eseményeket felsoroló írás, amely egyben a további kockázatokat minimalizálni képes ellenőrzőlistát is tartalmaz.
Informatikai biztonsági szabályzat. Az informatikai rendszerek üzemeltetéséhez szükséges felelősségeket, jogköröket és eljárásrendet meghatározó utasítás.
Védelmi intézkedések. Azoknak a további teendőknek, gyakran későbbi projekteknek a felsorolása, amelyek a projekt során feltárt sebezhetőségek minimalizálására irányulnak.
Schopp Attila
