IT biztonság: mennyibe kerülhet egy vállalatnak, ha csak a támadás után kezd védekezni?

Az IT biztonság ezért ma már nem egyszerűen technológiai kérdés. A vállalat működési kockázatainak egyik olyan területe, amely közvetlenül befolyásolhatja a bevételeket, a költségeket és az üzletmenet folyamatosságát.

Egy informatikai leállás gyorsan pénzügyi problémává válhat

A legtöbb modern vállalat működése valamilyen formában informatikai rendszerekre épül. Ezek kezelhetik a rendeléseket, a számlázást, a készleteket, a termelést, az ügyféladatokat vagy a belső kommunikációt.

Ha egy ilyen rendszer néhány órára elérhetetlenné válik, az már érezhető fennakadást okozhat. Ha a leállás egy teljes napig vagy még tovább tart, a technikai probléma könnyen közvetlen pénzügyi veszteséggé alakulhat.

Egy gyártó vállalatnál például a termelés lassulhat vagy akár teljesen leállhat. Egy kereskedelmi cégnél rendeléseket lehet elveszíteni, míg egy szolgáltató vállalatnál az ügyfélkiszolgálás kerülhet veszélybe.

A kieséshez ráadásul további költségek társulhatnak: külső szakértők bevonása, túlórák, sürgősségi beszerzések vagy akár szerződéses kötelezettségek megszegéséből eredő veszteségek.

A védelem hiányának nem csak közvetlen költsége van

A vállalati IT biztonság egyik legfontosabb feladata ezért az, hogy ne csak a támadások valószínűségét csökkentse, hanem azok lehetséges hatását is korlátozza.

Egy incidens következménye ugyanis ritkán ér véget azzal, hogy az informatikai rendszer ismét működik.

Ha ügyféladatok kerülnek illetéktelen kezekbe, az bizalomvesztést okozhat. Ha egy vállalat napokig nem tudja megfelelően kiszolgálni partnereit, annak hosszabb távú üzleti következményei is lehetnek. Egy termelési vagy logisztikai fennakadás pedig az ellátási lánc más szereplőire is hatással lehet.

Éppen ezért az informatikai kockázatokat ugyanúgy érdemes pénzügyi és működési oldalról vizsgálni, mint más üzleti kockázatokat.

Nem az a kérdés, hogy van-e tűzfal

Sok vállalat rendelkezik tűzfallal, vírusvédelemmel és valamilyen biztonsági mentéssel. Ettől azonban még nem feltétlenül alakult ki egységes kibervédelmi rendszer.

A vállalati infrastruktúra ma már sokkal összetettebb annál, hogy egyetlen biztonsági eszközzel megfelelően védhető legyen.

A helyi szerverek mellett felhőszolgáltatások, mobileszközök, távoli hozzáférések, vezeték nélküli hálózatok, több telephely és külső partnerkapcsolatok is részei lehetnek a napi működésnek.

Ez azt jelenti, hogy a támadási felület is nagyobb.

Ha például egy külső partner hozzáférést kap bizonyos rendszerekhez, vagy egy munkatárs távolról csatlakozik a vállalati infrastruktúrához, akkor ezeket a kapcsolatokat is megfelelően szabályozni és felügyelni kell.

Az IT biztonsági megoldások akkor működnek igazán hatékonyan, ha nem különálló eszközökként, hanem egymást kiegészítő védelmi rétegekként működnek. Az Unicorn CT vállalati IT-biztonsági szolgáltatásai is abból indulnak ki, hogy a hálózatot, a hozzáféréseket, a biztonsági rendszereket és a felügyeletet együtt kell kezelni.

Más kockázatot jelent egy irodai és egy termelési rendszer

Különösen összetett a helyzet azoknál a vállalatoknál, ahol a hagyományos informatikai rendszerek mellett termelési vagy más operatív technológiai rendszerek is működnek.

Egy irodai hálózat biztonsági problémája önmagában is kellemetlen lehet, de ha ugyanazon infrastruktúrán keresztül kritikus termelési rendszerek is elérhetők, a következmények jóval súlyosabbá válhatnak.

Ezért nemcsak azt kell vizsgálni, hogy az egyes rendszerek megfelelően védettek-e, hanem azt is, hogyan kapcsolódnak egymáshoz. A jól kialakított IT- és OT-környezetben a különböző rendszerek kapcsolatainak tudatos kezelése segíthet abban, hogy egy probléma ne terjedjen tovább akadálytalanul az egész vállalati infrastruktúrában.

Ez üzleti szempontból azért lényeges, mert egy irodai rendszer rövid kiesése és egy termelési rendszer leállása között akár nagyságrendi különbség is lehet a pénzügyi következményekben.

Az adatvédelem nem ér véget a jogosulatlan hozzáférés megakadályozásánál

Az adatvédelem vállalatoknak nem kizárólag azt jelenti, hogy illetéktelenek ne férjenek hozzá érzékeny információkhoz.

Legalább ilyen fontos, hogy az adatok sértetlenek és szükség esetén gyorsan helyreállíthatók legyenek.

Egy zsarolóvírusos támadás például akkor is komoly üzleti problémát okozhat, ha az adatok végül nem kerülnek nyilvánosságra. Ha a vállalat napokon keresztül nem fér hozzá saját rendszereihez vagy állományaihoz, az önmagában jelentős kiesést jelenthet.

A mentési stratégia ezért nem merülhet ki abban, hogy „készül biztonsági másolat”. A kérdés az is, hogy mennyi adat veszhet el két mentés között, mennyi idő alatt állítható vissza egy kritikus rendszer, és valóban működik-e a helyreállítás akkor, amikor szükség van rá.

Az ilyen helyzetekre való felkészülésben a megfelelő mentési és helyreállítási környezet kialakítása közvetlenül hozzájárulhat ahhoz, hogy egy incidens után minél hamarabb újrainduljanak a kritikus üzleti folyamatok.

A legdrágább órák gyakran a támadás után következnek

Egy biztonsági esemény bekövetkezése után az első órák különösen fontosak.

Fel kell ismerni, mely rendszereket érinti a probléma, el kell különíteni a veszélyeztetett területeket, és meg kell akadályozni, hogy az incidens továbbterjedjen.

Ha nincs megfelelő monitoring, incidenskezelési folyamat vagy előre meghatározott felelősségi kör, értékes idő veszhet el annak eldöntésével, hogy pontosan mi történt és kinek kell intézkednie.

Ezért az üzletmenet-folytonosság nem csupán a mentési rendszerekről szól. Ugyanilyen fontos a hálózat megfelelő kialakítása, a rendszerek elkülönítése, a folyamatos felügyelet és a gyors reagálás lehetősége.

A biztonsági beruházás értékét a lehetséges veszteséghez érdemes mérni

Az informatikai biztonság költségeinek megítélésekor könnyű kizárólag az eszközök és szolgáltatások árára koncentrálni.

Üzleti szempontból azonban célszerűbb azt megvizsgálni, mekkora veszteséget okozhat egy kritikus rendszer kiesése.

Ha például egy gyártósor leállása óránként jelentős kiesést eredményez, egészen más megvilágításba kerül egy olyan beruházás, amely csökkenti egy hosszabb leállás valószínűségét vagy lerövidíti a helyreállítás idejét.

Ugyanez igaz egy olyan vállalatra is, ahol az értékesítés, a logisztika vagy az ügyfélkiszolgálás nagyrészt digitális rendszerektől függ.

Az informatikai biztonság megtérülését ezért nem feltétlenül közvetlenül keletkező bevételben kell keresni. A megtérülés sokszor abban jelenik meg, hogy egy probléma nem következik be, vagy jóval kisebb üzleti kárral jár.

Nem minden vállalatnak ugyanarra van szüksége

Nincs minden szervezet számára egyformán megfelelő biztonsági megoldás.

Más kockázatokkal szembesül egy néhány irodai rendszerrel működő vállalkozás, mint egy több telephellyel rendelkező nagyvállalat vagy egy olyan gyártócég, ahol az informatikai és termelési rendszerek is összekapcsolódnak.

Ezért a védelem kialakításának első lépése nem feltétlenül új eszközök megvásárlása, hanem annak megértése, hogy mely rendszerek kritikusak, hogyan kapcsolódnak egymáshoz, milyen külső hozzáférések működnek, és hol jelentkezik a legnagyobb üzleti kockázat.

A megfelelő védelem tehát nem egyetlen termékből, hanem egymásra épülő intézkedésekből áll.

A vezetésnek elsősorban az üzleti kockázatot kell látnia

A vállalat vezetőinek nem szükséges ismerniük minden tűzfal beállítást vagy biztonsági protokoll működését.

Azt viszont érdemes pontosan tudniuk, mely rendszerek nélkül nem működik a vállalat, milyen gyorsan lehet ezeket helyreállítani, és milyen következménye lenne annak, ha egy támadás miatt hosszabb időre kiesnének.

Az IT biztonság akkor válik valódi vezetői kérdéssé, amikor már nem azt kérdezzük, mennyibe kerül egy biztonsági megoldás, hanem azt, hogy mennyibe kerülne a vállalatnak, ha nem lenne megfelelő védelem.

Egy kibertámadást nem minden esetben lehet megakadályozni. Az azonban nagyrészt felkészülés kérdése, hogy egy sikeres támadás kisebb, kezelhető incidens marad-e, vagy napokra megbénítja a vállalat működését.