Az információvédelem számos cég számára csak addig fontos, amíg nem kell kompromisszumokat kötni a megszokott munkavégzés terén és amíg nem kerül különösebb pénzbe.
Ki lát rá a legtöbb adatra egy tipikus szervezetben? Nem, nem a nagyfőnök: sokkal valószínűbb, hogy a rendszergazdák azok, akik szabadon járnak-kelnek a különféle rendszerekben, és gyakorlatilag bármit elolvashatnak, ami a szemük elé kerül. „Találkoztam olyan nagyvállalati rendszergazdákkal, akik nevetve mesélték, hogyan szokták olvasgatni a dolgozók leveleit, és küldik át egymásnak az azokban található privát üzeneteket, esetleg fotókat” – említ egy korántsem egyedi példát Keleti Arthur, a T-Systems Magyarország it-stratégája. Akár heccből, akár saját mindenhatóságuk bizonyítására tesznek ilyet a rendszergazdák, nemcsak kellemetlenséget, hanem óriási károkat is tudnak okozni a szervezetnek.
Több színtéren lehet védekezni, az alkalmazott módszerek pedig az adott cég „paranoia-szintjétől” függnek – teszi hozzá Dani István, a cég műszaki igazgatója. Az első lépésnek minden esetben a kockázatok felmérésének kellene lennie, hiszen egészen más szintű védelemre lehet szükség egy banknál, ahol minden termék és szolgáltatás a számítógépeken keresztül jut el az ügyfelekhez, mint egy gyártóvállalatnál, ahol a termelés többé-kevésbé független az informatikai rendszerektől.
Ahol igazán fontos az információbiztonság, ott a rendszergazdák csak üzemeltetik a rendszereket, de azok biztonsági beállításaiért és ellenőrzéséért külön szakemberek felelnek. Többnyire ugyan ők is az informatikai szervezethez tartoznak, az igazán paranoid szervezeteknél azonban a biztonság az informatikától elkülönülő szervezet felelőssége – a két egység között ugyanis komoly érdekellentétek feszülhetnek, mondja Dani István. A jogosultságok szétválasztása, a „négy szem” elve (hogy egy adott feladatot csak két ember, együttesen tud végrehajtani, például az utalást az egyik ember indítja el, de jóváhagynia egy másiknak kell), valamint az ezeknek megfelelő szabályzatok és munkafolyamatok mind csökkentik a túl nagy hatáskörökből eredő veszélyeket.
Segít az informatika
Érdemes műszaki kontrollokkal is kiegészíteni a szervezeti és munkafolyamatokban rögzített szabályokat. A jogosultságok kezelését, azok kiosztását, az esetleges konfliktusok észlelését jogosultságkezelő rendszer végezheti el. A tényleges tevékenységet naplózórendszer ellenőrizheti, amelyben nem elég gyűjteni az adatokat, hanem folyamatosan fel is kell dolgozni azokat – ezt akár már külső szolgáltatásként is igénybe lehet venni, mondja Dani István.
További kontroll lehet az adatok titkosítása. Ha például a levelezést vagy az érzékeny információkat tartalmazó dokumentumokat titkosítja a szervezet, a bevezetőben említett rendszergazdák már nem tudnának szórakozni a gyanútlan kollégák magánéletén, ami pedig ennél is fontosabb, nem juthatnak hozzá rájuk nem tartozó vállalati titkokhoz.
További biztonsági elem lehet az adatszivárgás elleni védelem (data loss prevention, dlp). Még a legtitkosabb adatokkal is kell dolgoznia valakinek a cégen belül – a dlp révén viszont szabályozható, hogy a bizalmas állománnyal, dokumentummal mit vagy mit nem csinálhat egy-egy dolgozó: például nem nyomtathatja ki, nem küldheti ki levélben vagy nem másolhatja usb-tárolóra.
Megvan az értelme
Papíron, a biztonsági szabályzatok szintjén számtalan cég teljesíti a biztonsági követelményeket – de amikor a pénzbe kerülő vagy kényelmetlenséggel járó lépésekre kerülne a sor, nagyon sok nem csinál semmit, mondja tapasztalatai alapján Keleti Arthur. „Való igaz, a biztonságnak ára van: újra kell szervezni folyamatokat, plusz emberek kellenek, bizonyos munkafázisok bonyolultabbá válhatnak. De látni kell, hogy a biztonsági rendszabályoknak megvan a maguk értelme, azokat nem azért találják ki, hogy megnehezítsék a mindennapi munkát. Az értelmes, kockázatelemzésen alapuló, a gyakorlatban is kipróbált szabályokkal és kontrollokkal végső soron mindenki jól jár” – teszi még hozzá a szakember.
Schopp Attila
