Informatikai biztonság kockázatkezelése

Amikor biztonsági áthágásokról beszélünk, melyeknek során adatvesztés következik be, tudni kell, hogy a véletlenszerűen történő balesetek gyakoribbak és általában több kárt okoznak, mint a szándékosan elkövetett adatlopások vagy szivárgások, olvasható az IDC kutatóintézet egyik tanulmányában.

Az egyik jelentés alapján a válaszadók 52%-a  szerint a bizalmas adatokat fenyegető események balesetszerűen következtek be, míg 19%-a szerint szándékos volt. A válaszadók 26%-a szerint az adatvesztések szándékos és véletlenszerű aránya egyenlő.

“A tanulmány kimutatta, hogy nagyon sok adatvesztés tulajdonképpen véletlenszerűen történik”, mondta Chris Young a RSA elnöke. “Az alkalamzottak sokszor csak a dolgukat próbálják végezni és nem fogják fel a veszélyeket.”

“A főnökök kapcsolata az alkalmazottakkal bizalomra és elismerésre alapszik , mivel az alkalmazottak az ők legfontosabb erőforrásuk”, nyilatkozta Chris Christiansen, az IDC biztonsági termékek alelnöke. “A szervezeti infrastruktúra terjedelmes jellegéből kifolyólag, melyhez hozzáadódnak a globálisan szétszórt munkavállalók, a tanácsadók, partnerek és outsourcing cégek, az adatok és az informatika biztonsága nagyon fontossá vált a CxO-knak. A fenyegetés ott van, létezik, attól függetlenül, hogy szándékos vagy nem.”

A tanulmány azt is kimutatta, hogy az elmúlt 12 hónapban, 400 válaszadó elismerte, hogy 6244 nem szándékos adatvesztési incidens volt, 5830 malware/spyware támadás és 5794 incidens a jogok visszaélése során. Összesen 57485 belső biztonsági incidens történt az idén.

A cégek csak 40%-a tervez beruházásokat a veszélyek csökkentésé érdekében. Az incidensek számát tekintve minden bizonnyal nagyobb számra vártunk.

Az adatbiztonság három mítosza

Mítoszok az adatbiztonságról? Természetesen!

Semmi gond, azonnal lebontjuk.

1. A fenyegetések kívülről érkeznek.

Valóban vannak olyan fenyegetések is, amelyek kívülről érkeznek (vírusok, adathalász támadások, stb.). De a cégeknél a legnagyobb fenyegetések belülről erednek. A meggondolatlan vagy nem tisztességes alkalmazottak  bizalmas adatokat másolnak a hordozható eszközeikre (USB stick, Bluetooth, WiFi, Smartphone, külső HDD). A tárolókon keresztül az adatok nagyon könnyen a konkurencia vagy a hackerek kezébe kerülhetnek (lopás, vesztés vagy eladás).

2. A biztosított informatikai rendszerek védik az információt is

Az érzékeny adatok mindazok rendelkezésére állnak, akik ezekhez hozzáférhetnek. Az antivírus és a tűzfal nem akadályozza meg az alkalmazottak korlátlan hozzáférését a bizalmas adatokhoz. Átmásolhatják hordozható eszközökre, felírhatják CD/DVD-re vagy papírra nyomtathatják. Mindezek adatveszteséghez vezethetnek.

3. Kis cég vagyok és nincsenek érdekes információim

A hackereknek vagy konkurenciának minden információ értékes. Akár kis adatszivárgás esetén is, a cég bizalmas adatai illetéktelen kezekbe juthatnak és ez komoly pénzügyi veszteséghez vezethet.

Következtetésképpen alaposan elemezni kell a veszteségek forrásait és minden gyenge pontra oda kell figyelni.

Javaslatok az informatikai rendszerek biztonsága érdekében

MEDEF felhívja a közösség figyelmét az informatikai rendszerek biztonságára

A Francia Vállalatok Mozgalma (MEDEF) által készített dokumentum, elemzi a cégeken belül használt informatikai rendszerek kockázatát és néhány tanácsot ad a minimális védelmi intézkedéseket illetően.

Milyen veszélyknek vagyunk kitéve a biztonsági politikák hiányában:

- adatlopás

- személyazonosság ellopása

- rendszer erőforrásaiba való behatolás és ezek használata

- informatikai rendszerek és erőforrások meghibásodása

Ezen kockázatok lehetnek úgy belsők, mint külsők, kihasználván a humán és a technikai sebezhetőségeket. A veszteségek elkerülése végett biztonsági politikát kell bevezetni, melyet legalább háromhavonta frissíteni kell.

Minimális intézkedések az informatikai rendszerek kockázatának csökkentésére:

- Biztonsági politikák kialakítása
- Érvényben levő jogszabályok ismerése
- Megfelelő intézkedések végrehajtása a bizalmas adatokat illetően
- Az alkalmazottak figyelmeztetése az IT-biztonságra
- Back-up készítés bizonyos adatokról és alkalmazásokról
- Minimális védelmi intézkedések
- Minimális védelmi intézkedések a vezeték nélküli csatlakozások esetén
- Külső és belső adatok elválasztása
- Biztonsági politikák kezelése és fenntartása
- Biztonsági politikák végrehajtásának és karbantartásának a kihelyezése.