Szivárgó adatok, tétova döntéshozók

Míg a hazai vállalkozások többsége néhány éve még kizárólag az informatikai részleg feladatának tekintette a cég érzékeny, üzleti szempontból értékes adatainak védelmét, a válsággal összefüggésben rohamosan növekvő kockázatok felnyitották az üzleti oldal, vagyis a vállalatok pénzügyi vezetőinek, döntéshozóinak szemét. Ennek ellenére még mindig kevés a saját adatait hatékonyan védeni képes cég Magyarországon – sok vezető nem tudja, milyen intézkedésekre célszerű költenie, és bizonytalan abban, hogy a végül megrendelt szolgáltatás valójában mennyit ér – hangsúlyozza Antal Lajos, a Deloitte Zrt. IT-biztonsági és adatvédelmi üzletágának vezetője. A recesszió mellett a cégeket mostanában egy másik komoly – éppen a válsággal összefüggő – veszély is fenyegeti: a vállalat tulajdonát képező adatok szivárgása, azok jogosulatlan felhasználása. Emiatt ma már a társaságok többsége tisztában van az adatszivárgás elleni védelem (Data Loss Prevention – DLP) fontosságával is – állítja Egerszegi Krisztián, a CDSYS ügyvezető igazgatója.

Becslések szerint az emberiség 2010-ben 1200 milliárd gigabyte-nyi adatot hoz létre – ennek egy része olyan bizalmas adat, amely a versenyképesség, a piaci talpon maradás, de a puszta működés szempontjából is létfontosságú lehet a vállalatok számára. Az adatlopás kockázatait növeli a technológia fejlődése is, így például a nagyobb mobilitás, az online üzleti alkalmazások népszerűsége vagy a kiszervezett tevékenységek terjedése. Az adatok szivárgását sok esetben mégsem külső támadók (pl. kiberbűnözők, hackerek) okozzák, hanem a vállalat saját munkatársainak véletlen hibái vagy szándékos visszaélései. Utóbbira példa a munkaviszony megszűnése előtti napokban a munkavállaló által végzett „kimentés”. Egy – még a válság előtt készült – 1385 üzletembert megcélzó nemzetközi felmérés megállapította, hogy a megkérdezett cégvezetők 29 százaléka tulajdonított el vállalati üzleti információt akkor, amikor távozott korábbi munkahelyéről.

Tovább rontotta a helyzetet a gazdasági válság, hiszen a krízis következtében megjelent a félelem a potenciális munkahelyvesztéstől, miközben az anyagi haszonszerzés, a barátoknak tett szívességek és a szándékos károkozások a jövőben is ugyanolyan motivációt jelenthetnek, mint a válság előtt. Sőt, a vállalatok falain kívülre szivárgó érzékeny információknak – például a beruházási adatok, költségtervek, üzleti tervek, személyes adatok – létezik felvevőpiaca.

A statisztikák szerint a dolgozók számítógépén tárolt minden ötvenedik fájl és minden négyszázadik e-mail tartalmaz bizalmas információkat. Ezek pedig ma már akár egyetlen kattintással továbbmozgathatók, ami nagyban megnöveli annak esélyét, hogy illetéktelen kezekbe jutnak. A védekezés legelső lépéseként az üzleti felelősökkel, adatgazdákkal közösen meg kell határozni, mi számít bizalmas információnak. Ma már vannak olyan DLP-megoldások, amelyek ezt a tevékenységet is megkönynyítik, képesek felkutatni a céges informatikai infrastruktúrán található teljes adathalmazt.

Antal Lajos kiemelte: bár sok vállalat kezdi felismerni az információszivárgásban rejlő kockázatokat, a problémák megoldását a vezetés még mindig az informatikai részlegtől várja, roszszabb esetben pedig egyáltalán nem is foglalkozik vele – a baj bekövetkeztéig. Az IT-szakemberek ugyanakkor nem feltétlenül ismerik az üzletmenetet, így az üzleti és informatikai oldal vezetői között szinte előre programozott az információhiány, amely miatt az alapproblémák megoldatlanok maradnak. A hatékony vállalati információbiztonsághoz elengedhetetlen az együttműködés az IT-oldal és a cég felső vezetése között – húzza alá a Deloitte szakértője.

Az adatszivárgás elleni védelem kulcsa, hogy a vállalat információs csatornáit folyamatosan figyeljék. „A szivárgások fele a hálózaton keresztül történik, például e-mail, webmail vagy instant messenger alkalmazások segítségével, de új csatorna nyílt az adatszivárgásra a közösségi oldalak terjedésével is” – húzza alá Egerszegi Krisztián. Gyakori, hogy mozgatható, törölhető adathordozót vagy a már jól bevált papírt használják az információk kivitelére. Nem elegendő a tartalmak monitorozása, a szivárgást a fontos adatok mozgathatóságának megakadályozásával kell megelőzni. Egy jó DLP-szoftvertől elvárás, hogy az érzékeny adatok mozgásának állandó felügyelete mellett veszély esetén a kimenő csatornákat is blokkolja.

Ha nincs a vállalatra optimalizált szabályrendszer, az adatvédelemmel kapcsolatos feladatok a szükségesnél akár két és félszer több időt is igénybe vehetnek. Az IT-biztonsági átvilágításoknak átláthatónak és érthetőnek kell lenni, a vállalat szempontjából legfontosabb megállapításokat olyan formában kell tálalni, hogy az a pénzügyi vezetés számára már első olvasatra egyértelmű legyen.

Mivel a beruházásokról – így az IT-biztonsági költésekről is – a pénzügyi vezetés dönt, fontos, hogy ellenőrzési jogát kihasználva mindaddig ne adjon engedélyt egy beszerzésre, amíg meg nem győződött arról, az adott informatikai projektet megfelelően felmérték, annak teljes költsége transzparens, üzleti kockázatai pedig ismertek – tette hozzá Antal Lajos. VG

Alapvető probléma azonban, hogy a hagyományos biztonsági technológiák nem képesek különbséget tenni a „bizalmas” és a „nem bizalmas” jellegű dokumentumok között. Ez hívta életre a „tartalomérzékeny” adatszivárgás-megelőzési technológiákat. Így lehetséges, hogy a kommunikációs csatornák teljes lezárása helyett csak a bizalmas infokat tartalmazó tevékenységeket blokkolják.

A modern DLP-rendszerek kiépítésénél a kommunikáció szabadságát és a munkavállalók jogait is figyelembe kell venni. Ezért a DLP-rendszerek bevezetésével egy időben tisztázni kell, a vállalat milyen személyes használatot engedélyez az általa biztosított informatikai eszközökön.

Megjelenésükkel elhárult a „Nagy Testvér” fenyegetése, már nem kell mindent és mindenkit megfigyelni.

Alapvető probléma azonban, hogy a hagyományos biztonsági technológiák nem képesek különbséget tenni a „bizalmas” és a „nem bizalmas” jellegű dokumentumok között. Ez hívta életre a „tartalomérzékeny” adatszivárgás-megelőzési technológiákat. Így lehetséges, hogy a kommunikációs csatornák teljes lezárása helyett csak a bizalmas infokat tartalmazó tevékenységeket blokkolják.

A modern DLP-rendszerek kiépítésénél a kommunikáció szabadságát és a munkavállalók jogait is figyelembe kell venni. Ezért a DLP-rendszerek bevezetésével egy időben tisztázni kell, a vállalat milyen személyes használatot engedélyez az általa biztosított informatikai eszközökön.

Megjelenésükkel elhárult a „Nagy Testvér” fenyegetése, már nem kell mindent és mindenkit megfigyelni. -->