Blog
Informacijska varnost se začne tam, kjer je mnogi ne iščejo – v upravi
Požarne pregrade, varnostne kopije in druga orodja so le del zgodbe. Odpornost podjetja je odvisna predvsem od odločitev vodstva, urejenih procesov in pripravljenosti na incidente.
Informacijska varnost je postala eden ključnih temeljev za nemoteno delovanje podjetij. Poleg zaščite informacijskih sistemov krepi zaupanje strank in poslovnih partnerjev, varuje ugled ter omogoča varnejše uvajanje sprememb. Njena učinkovitost ne temelji zgolj na požarnih pregradah, protivirusni zaščiti, varnostnih kopijah in drugih tehničnih rešitvah, temveč predvsem na ljudeh, procesih in odločitvah vodstva.
Neprekinjen proces v vsakodnevnem poslovanju
Informacijska varnost zato ni enkraten projekt, ki se konča z nakupom opreme ali uspešno opravljeno presojo. Je neprekinjen proces, ki mora sobivati v vsakodnevnem poslovanju. Tehnologija ne more nadomestiti vlog, kompetenc, urejenih procesov in stalnega preverjanja, ali sprejeti ukrepi dejansko delujejo.
Za varnost tudi ne more skrbeti samo en oddelek ali posameznik. Naloga vodstva je ustvariti okolje, v katerem zaposleni razumejo svoj prispevek k varnemu poslovanju, odgovorne osebe pa imajo dovolj pooblastil, virov in podpore. To usmeritev k dejavni vlogi vodstva krepita tudi evropska direktiva NIS2 in slovenski Zakon o informacijski varnosti (ZInfV-1), ki informacijsko varnost postavljata med ključna področja upravljanja podjetja.
Varnost mora biti del poslovnega odločanja
Osrednjo vlogo pri tem ima običajno vodja informacijske varnosti oziroma CISO. Njegova naloga ni, da sam izvaja varnostne aktivnosti, temveč da tveganja prevede v jezik poslovnih posledic, usklajuje prioritete in vodstvu omogoči premišljene odločitve.
Podjetja se razumljivo osredotočajo na prihodke, rast in razpoložljivost storitev. Prav zato mora biti informacijska varnost njihov zaveznik; še vedno jo prepogosto obravnavamo kot strošek. Vendar pa tak pogled zanemarja njeno ključno vlogo pri zaščiti poslovanja in ustvarjanju dolgoročne odpornosti. Vlaganje v varnost pomeni zagotavljanje pogojev za ustvarjanje prihodkov, zaščito podatkov, ugleda in tržne vrednosti podjetja. Pomembno ni, koliko rešitev podjetje kupi, temveč katera tveganja z njimi zmanjšuje in kako preverja njihov učinek.
Učinkovita varnost zato temelji na upravljanju tveganj in skladnosti, torej na področju GRC (governance, risk, compliance). Njegova vrednost ni v količini dokumentacije, temveč v boljših poslovnih odločitvah. To lahko ponazorimo z dirkalnim avtomobilom. Vrhunske zavore niso namenjene temu, da dirkalnik stoji na mestu. Omogočajo mu, da vozi hitreje, ker se lahko v pravem trenutku varno ustavi. Enako sistematično upravljana varnost podjetju omogoča hitrejše uvajanje sprememb, saj so tveganja prepoznana, lastniki določeni, ukrepi pa premišljeni.
Ničelno zaupanje ni nezaupanje zaposlenim
Tak pristop zahteva miselni preskok. Politike, popisani procesi in načrti odzivanja morda niso najbolj priljubljene teme, vendar predstavljajo temelje učinkovitega sistema. Vodstvo mora zahtevati dokazila o delovanju ukrepov: rezultate vaj, uspešnost obnovitev varnostnih kopij, odpravo kritičnih ranljivosti, preglede privilegiranih dostopov, obravnavo odstopanj.
To se konkretno pokaže pri upravljanju identitet in dostopov. V okolju storitev v oblaku, dela na daljavo in sodelovanja z zunanjimi partnerji, notranje omrežje ni več zanesljiva varnostna meja. Zato dostop ne sme temeljiti le na posedovanju uporabniške poverilnice ali predpostavki, da je uporabnik znotraj organizacije že sam po sebi zaupanja vreden. Večfaktorsko preverjanje pristnosti, načelo najmanjših pravic, ločevanje skrbniških računov in redni pregledi dostopov zmanjšujejo možnost, da bi zlorabljen račun napadalcu odprl pot do poslovno kritičnih sistemov in podatkov. Bistvo pristopa ničelnega zaupanja ni nezaupanje zaposlenim, temveč sprotno preverjanje uporabnika, naprave in konteksta dostopa.
Ko preventiva odpove, je pomembna odpornost
Vse pomembnejše postaja področje zaznavanja incidentov in učinkovitega okrevanja po njih. Preventivni ukrepi so nujni, vendar nobeno podjetje ne more zagotoviti, da incidenta ne bo. Prava vrednost informacijske varnosti ni le preprečevanje incidentov, temveč tudi sposobnost organizacije, da jih pravočasno zazna, omeji njihov vpliv in hitro obnovi ključne poslovne procese in storitve.
Za to ne zadostuje zgolj zbiranje dnevniških zapisov ali izdelava varnostnih kopij. Potrebni so scenariji odzivanja, jasne poti obveščanja, spremljanje ključnih dogodkov ter preverjanje, ali je sisteme iz kopij res mogoče obnoviti v času, ki ga poslovanje še lahko prenese. Odpornost organizacije tako postaja merljiva poslovna sposobnost, ne le skupek tehničnih rešitev.
Varnost je odgovornost celotne organizacije
Informacijska varnost ne sme biti razumljena kot nadzor zaposlenih, temveč kot sestavni del organizacijske kulture in vsakodnevnega poslovanja. Podjetje možnosti incidenta ne more povsem izključiti, lahko pa izboljša zaznavanje, omejevanje posledic in sposobnost okrevanja. Ključno vprašanje zato ni, koliko nas varnost stane, temveč koliko nas bo stalo, ko se poslovanje ustavi.
Intervju je bil izvorno objavljen v časniku Finance.
O avtorju/avtorici
Gregor Trošt
Svetovalec za kibernetsko varnost
Gregor Trošt je svetovalec za kibernetsko varnost v podjetju NIL, kjer organizacijam pomaga pri obvladovanju varnostnih tveganj ter vzpostavljanju celovitih GRC-pristopov (Governance, Risk, Compliance).Svojo pot na NIL-u je začel kot analitik v varnostno-operativnem centru (SOC), kjer je delal na področju zaznavanja in odzivanja na kibernetske incidente. Pred tem je deloval kot sistemski administrator v IT-okoljih, še prej pa na področju strojništva kot R&D inženir ter projektni vodja.Danes se osredotoča na upravljanje informacijske varnosti, predvsem na področjih ISO standardov. Sodeluje pri izvedbi varnostnih presoj, vzpostavljanju kontrolnih mehanizmov ter razvoju procesov za obvladovanje tveganj in skladnosti.V vlogi namestnika CISO sodeluje pri oblikovanju varnostnih strategij ter uvajanju upravljavskih in operativnih varnostnih praks.V prostem času se posveča jamskemu potapljanju, kjer ključno vlogo, tako kot v kibernetski varnosti, igrata disciplina in sistematičnost.
Povezane
