Tudásalapú gazdaságunkban az információ a szervezetek legértékesebb erőforrása, tőkéje. Fizikai, pénzügyi értékeinkhez hasonló módon az információt is védenünk, biztosítanunk kell.

A hagyományos értékek biztosításához hasonlóan az információbiztonsági kiadások is felesleges költségnek tűnhetnek mindaddig, amíg nincs baj. Utólag viszont már hiába sajnálkozunk azon, hogy mennyivel olcsóbb lett volna a megelőzés és a védelem.

Mivel a tökéletes védelem ára végtelen, így a cél nem is a tökéletes, hanem az optimális biztonsági szint elérése, melyet a különböző kockázati tényezők potenciális kárértékeinek és a megelőzéshez szükséges intézkedések költségeinek gondos mérlegelése alapján kell kiszámítanunk. A megfelelően átgondolt információbiztonsági kiadások tehát jó pénzügyi befektetésnek tekinthetőek.

Cél: a biztonságra fordított költség, és a kárköltségek összegét minimálisra csökkenteni

Az információt veszélyeztető események érkezhetnek a szervezeten kívülről is, felmérések eredményei szerint azonban az információkkal kapcsolatos (szándékos és nem szándékos) károkozás túlnyomó többségben házon belül történik. Az információvédelem hiánya súlyos veszteségeket okozhat, az informatikai kockázat napjainkra egyértelműen üzleti kockázattá vált.

Potenciális veszélyek

• helytelen döntések

• üzletvesztés

• jogi következmények (bírság, kártérítés)

• időveszteség

• bizalomvesztés, image-romlás

• magas helyreállítási költségek

• az üzletmenetet hátráltató működésképtelenség

Mit ajánl a Synergon?

A Synergon Rendszerintegrátor az optimális és költség-hatékony biztonsági szint megteremtése és fenntartása érdekében egy teljes körű szolgáltatási csomagot ajánl figyelmébe, melynek elemei:

• IT biztonsági felmérés a jelenlegi helyzet és az üzleti követelmények tisztázása érdekében

A komplex biztonsági megoldás kezdő lépése az üzleti és a működési környezetből adódó követelmények azonosítása.

Ezt követheti egy üzleti/informatikai kockázatelemzés, melynek célja azonosítani azokat a hiányosságokat, amelyek potenciálisan nagy kárt okozhatnak a szervezet számára, és ezért magas kockázatot jelentenek, illetve meghatározni a még elviselhető maradvány kockázati értéket.

Csak ezek ismeretében valósítható meg a kockázatarányos védelem elve: optimális biztonsági költségek - megfelelő védelmi szint mellett.

A követelmények és a kockázatok ismeretében dolgozható ki a szervezet információbiztonsági stratégiája és koncepciója, amelyek az elérendő biztonsági célokat és a megvalósítás koncepcionális tervét tartalmazzák.

• Kockázatelemzés az informatikai rendszert fenyegető veszélyforrások, és a biztonsági incidensek által okozott károk megállapítására

Az audit eredményére támaszkodva következhet a kockázatelemzés, melynek célja azonosítani azokat a biztonsági réseket és hiányosságokat, amelyek potenciálisan nagy kárt okozhatnak az adott szervezet számára, ezért magas kockázatot jelentenek. Csak ezek ismeretében valósítható meg a kockázatarányos védelem elve: optimális biztonsági költségek - megfelelő védelmi szint mellett.

A kockázatelemzés végeredményeképp egy riport készül, amely tartalmazza az adott helyzetben fennálló összes kockázati tényezőt.

• Kockázatkezelés a megállapított kockázatok elfogadható szintre csökkentése érdekében szükséges védelmi intézkedések meghatározására és bevezetésére

A következő lépés - a feltárt kockázatok elfogadható szintre csökkentése érdekében - a védelmi intézkedések kidolgozása és a szükséges kontrollok implementálása.

Ezeket három csoportba soroljuk:

A fizikai védelmi intézkedések az információ feldolgozását kiszolgáló berendezések, helyiségek és az alkalmazottak védelmét szolgálják. Ilyenek például a vagyonvédelmi, a tűzjelző-, a beléptető- és a videó meg­figyelő­rend­szerek vagy akár a szünetmentes áram­források, védett kábelrendezők, klíma berendezések.

A logikai védelmi intézkedések, megoldások az adatok bizalmas kezelését, sértetlenségének megőrzését, és folyamatos rendelkezésre állását biztosítják. Néhány példa a teljesség igénye nélkül: vírusvédelem, tűzfalak, behatolás-érzékelő rendszerek, autentikációs rendszerek, nyilvános kulcsú infrastruktúra a digitális aláírás és titkosítás megvalósítására, tartalomszűrés, virtuális magánhálózat a bizalmas kommunikációhoz, mentési/archiválási rendszerek, stb.

Az adminisztratív biztonsági intézkedések dokumentálják a biztonsági elvárásokat (informatikai biztonsági politika), szabályozzák a biztonsági környezetet, meghatározzák a jogosultságokat, felelősségeket, a kötelezően elvégzendő és a tiltott tevékenységeket (informatikai biztonsági szabályzat). Nagyon fontos kiemelni a nem várt események kezelését célzó üzletmenet-folytonossági tervek jelentőségét, amelyek kidolgozásával a szervezet működőképes maradhat a legkülönbözőbb külső vagy belső incidensek fellépését követően is.

• Informatikai Biztonsági Szabályzat a biztonsági rendszer működtetésével, és a biztonsági szint fenntartásával kapcsolatos feladatok és felelősségek rögzítése érdekében

Az informatikai biztonsági fejlesztések megvalósulásával kialakul az elérni kívánt biztonsági szint, amely azonban nem állandó, hanem az idő múlásával folyamatosan csökken.

Ezért van szükség a biztonság-menedzsment ciklus kialakítására, melynek feladata, hogy fenntartsa a kívánt biztonsági szintet, és amennyiben az csökken, meghatározza és kezdeményezze a szükséges változtatásokat a védelmi rendszerben.

Az Informatikai Biztonsági Szabályzat feladata a biztonság-menedzsment rendszer kereteinek meghatározása. Az IBSZ rögzíti a biztonsági rendszer működtetéséhez szükséges informatikai biztonsági szervezetet, valamint a rendszer üzemeltetésével kapcsolatos feladatokat és felelősségi köröket.

Az eljárási utasítások az IBSZ-ben megfogalmazott általános jellegű biztonsági szabályok megvalósításához szükséges konkrét szabályokat határozzák meg az egyes informatikai rendszerek szintjén.

Az eljárási utasítások biztosítják, hogy minden érintett munkavállaló részére meghatározásra kerüljenek a saját munkakörére lebontva az információk biztonsága érdekében végrehajtandó feladatok.

• Oktatás, hogy a szervezet minden munkavállalója tisztában legyen a biztonságra törekvés fontosságával, a veszélyekkel, valamint saját feladataival

Nem kell hangsúlyozni az oktatás fontosságát, mivel a biztonsági események nagyobbik része emberi eredetű és ezen belül is komoly részt képviselnek a nem szándékos emberi hibák. A biztonsági ismeretek növelése hatékonyan képes csökkenteni ezt a kockázatot. A védelmi intézkedések bevezetésével párhuzamosan meg kell szervezni a felhasználók biztonsági oktatását, valamint évenként frissítő oktatásokat kell tartani.

• IT audit, az informatikai szabályozási környezet megfelelőségének vizsgálata

A Cobit (Control Objectives for Information and related Technology) ajánlásait követve végezzük el az informatikai rendszerauditot a pénzügyi audittal együttműködve, vagy attól függetlenül végrehajtva.

A helyzetfeltárás után az ügyfél belső kontroll környezetét vesszük nagyító alá. Ezt követi az általános informatikai kontrollok tesztje, a szabályzatok betartásától, a feladatkörök megfelelő szétválasztásán át egészen a környezeti kontrollokig.

Az alkalmazói rendszerek auditja a teljesség igénye nélkül magában foglalja a hardver-, szoftver platform, hálózati és telekommunikációs infrastruktúra, üzemeltetési gyakorlat, fizikai-, logikai hozzáférések, bemeneti-, feldolgozási-, kimeneti kontrollok vizsgálatát is. Feltérképezzük az informatikai rendszer hatékonyságát, hatásosságát, sértetlenségét, megbízhatóságát, rendelkezésre állását és a törvényi szabályozásoknak való megfelelőségét.

Észrevételeinket, javaslatainkat Audit jelentés formájában prezentáljuk.

• Informatikai katasztrófa-elhárítási, és üzletmenet-folytonossági tervek, hogy az informatikai rendszereket érintő váratlan események, vészhelyzet esetén elfogadható időn belül helyre állítható legyen a szolgáltatás, illetve a cég üzleti tevékenysége folytatható legyen

Napjainkban a vállalatoknak számtalan, a folyamatos üzletmenetükre kisebb-nagyobb mértékű kockázatot jelentő eseményekre (például hosszabb idejű áramkimaradás, hacker támadás, vasutassztrájk stb.) kell felkészülni, megfelelőképpen reagálni.

Módszertanunkat követve az üzleti folyamatok felmérése, majd közülük a kritikusak rangsorolása, még elviselhető kiesési idejük meghatározása után kockázatelemzést végzünk.

Ezt követi a helyettesítő és veszteségcsökkentő eljárások kidolgozása, a javítási és visszaállási tervek elkészítése.

Az elkészült üzletmenet folytonossági tervet igény esetén oktatjuk, kiemelt hangsúlyt fektetve a kulcsfontosságú, döntéshozó munkatársak felkészítésére.

Segítséget nyújtunk a teszt terv(ek) elkészítésében és a rendszeres felülvizsgálat, naprakésszé tétel menetének kidolgozásában.

• Üzemeltetési folyamatok ITIL alapú szabályozása az üzemeltetés hatékonyságának, és az üzletileg indokolt szolgáltatási szint biztosítására

Napjainkban az informatikai eszközöket használó szervezeteknél egyre inkább előtérbe kerül az informatikai infrastruktúra hatékony üzemeltetése és az informatikai vagyontárgyakkal való gazdálkodás.

Egyre fontosabb az eredményes menedzsment az informatikai szolgáltatások területén is. Ehhez azonban irányelvekre, elfogadott szabványos folyamatokra van szükség.

A szervezeteknek gazdaságosan működő és objektíven értékelhető informatikai szolgáltatást igényelnek, amely gyorsan képes reagálni az igényekre, rendelkezésre állása megfelelő, biztonságos és megbízható.

Ehhez nyújt segítséget az Information Technology Infrastructure Library (ITIL), amelyet az angol Office of Government Commerce (OGC) fejlesztett ki az informatikai folyamatok kezelésére.

Az ITIL-t hat dokumentum sorozat alkotja, amelynek kötetei az IT szolgáltatások megfelelő biztosításához szükséges, ún. "legjobb gyakorlaton" (best practice) alapuló folyamatokat ismertetik, azaz a gyakorlatban bevált folyamatok leírását tartalmazzák.

Az ITIL ajánlásait ma már a világ nagy részén használják.

Módszertan

Tanácsadóink nemzetközileg elfogadott, és széles körben alkalmazott módszertanokra alapozva végzik munkájukat.

Az alkalmazott módszertanok közt megtalálható az ISO 17799, ISO 13335, Cobit, Common Criteria és az ITIL.

MIÉRT A SYNERGON?

Optimális védelem: Az optimális védelmi szint kialakításával elérhető, hogy a biztonságra költött pénz, és a biztonsági incidensekből bekövetkező károk költsége együttesen a lehető legalacsonyabb legyen. A kockázatkezelésre költött pénz így megtérülő befektetés.

Kockázatcsökkentés: Az információvédelemre költött pénz csökkenti a jövőben bekövetkező károk valószínűségét, illetve az esetlegesen bekövetkező események kárértékét (a helyreállítás időigényének és költségének csökkentésével), így egy, a biztosításokhoz hasonló típusú befektetésnek tekinthető.

A rendteremtéssel idő és pénz takarítható meg: A szabályozott és kontrollált működés felesleges adminisztrációt, időt és pénzt takaríthat meg.

Külső követelményeknek való megfelelés: Törvényi, jogszabályi, tőzsdei előírásoknak, és felügyeleti szervek elvárásainak való megfelelés.

Image javulás: A szabályozott információ­biztonság (pl. ISO minősítéssel ellátva) az ügyfelek felé is bizalmat teremt, így versenyelőnyt jelent.

GYAKRAN FELTETT KÉRDÉSEK

Mikor kell foglalkozni az informatikai biztonság kérdésével?

Minden esetben foglalkozni kell a problémával, ha a szervezet céljai elérése érdekében informatikai eszközöket használ, mivel az informatikai biztonság hiánya miatt súlyos gazdasági károk, vagy törvénysértések (személyes adatok védelme, államtitkok...) következhetnek be.

Miért érdemes igénybe venni az Információ­biztonsági tanácsadást?

Külső szakértők igénybevétele az információ­biztonsági projektek során az alábbi előnyökkel jár:

• szakértőink ismerik, és munkájuk során aktívan alkalmazzák az információ­biztonság területén nemzetközileg elfogadott szabványokat és módszertanokat

• a külső szakértők függetlenül és pártatlanul tudják a helyzetet felmérni

• széleskörű projekttapasztalat és referenciák az információ­biztonság területén

• széleskörű informatikai szakértelemre tudunk támaszkodni a projekt során

Milyen veszélyek kivédésére ad megoldást az informatikai biztonsági tanácsadás?

Cél: minden, az informatikai rendszerekben tárolt és kezelt adatokra leselkedő veszély kivédése.

A veszélyforrások többféleképpen csopor­tosít­hatók, lehetnek szándékos és nem szándékos eredetűek, bekövetkezhetnek emberi mulasztás, hardver vagy szoftverhiba, illetve környezeti hatások miatt.

Mit nevezünk egyenszilárdságú védelemnek?

Leggyengébb láncszem elv: minden rendszer olyan biztonságos, mint a rendszer leggyengébb láncszeme. Ebből kifolyólag a rendszer minden pontján azonos szintű védelemre van szükség. (Pl.: hiába alkalmaz egy cég tűzfalat az internet kapcsolat védelmére, ha közben telefonon keresztül jelszó nélkül be lehet jelentkezni a rendszerbe.)

Mit jelent az optimális védelmi szint?

A védelmi intézkedésekre költött pénz egyensúlyban van a potenciális kár mértékével.

Mi van akkor, ha a tanácsolt információbiztonsági megoldás bevezetése után mégis bekövetkezik valamilyen káresemény? Azaz van-e valamilyen garancia (esetleg kármegosztás)?

Garancia nincs, de a védelmi intézkedések nemcsak a káresemények megelőzését teszik lehetővé, hanem az esetlegesen bekövetkező károk esetén a helyreállítás költségeit is csökkentik (pl.: erről szólnak a katasztrófa-elhárítási tervek).

Mennyi időt vesz igénybe egy információ­biztonsági rendszer kidolgozása és beveze­tése?

Néhány naptól néhány hónapig terjedhet a munka a feladattól függően.