Információbiztonság – Mit lehet tenni egyén, és vállalkozás szinten?

Ha információbiztonságról van szó, akkor sokan azt hiszik hogy egy 50 oldalas IT eljárásrend, vagy IT biztonsági szabályzat puszta megléte elég ahhoz hogy ezt a témát letudják. Volt  ügyfelem aki büszkén mutatta az IT biztonsági szabályzatát, hogy ez aztán nagyon részletes, ebbe minden benne van, ebbe nem lehet belekötni, náluk aztán biztonságban vannak az adatok, ráadásul egy kisebb vagyont fizetett érte.

A DOKUMENTÁCIÓÉRT…

Az hagyján hogy a szabályzatuk tele volt számukra teljesen irreleváns dolgokkal mint VPN kapcsolat szabályai, vagy beléptetőrendszerrel kapcsolatos biztonsági szabályok,  de soha az életben a cégnél senki nem olvasta el, így pont annyit ért mintha a Háború és béke című könyv borítójára ráírták volna hogy IT biztonsági szabályzat… Semennyit…

Nem győzöm elégszer hangsúlyozni, az hogy van egy kupac papírunk, azzal még nem vagyunk sem GDPR kompatibilisek, sem biztonságosak IT oldalról, a működést kell úgy alakítani hogy az megfelelő legyen, majd ha megfelel, akkor a valós működés dokumentálása segíthet abban hogy külső személő is megértse hogyan működünk.

A GDPR sem arról szól hogy legyen meg a dokumentáció. Működjön a cég úgy, hogy megfelel az adatvédelmi elvárásoknak, és azt a működést dokumentálja le!

Márpedig az adatvédelem és az információbiztonság kér a kézben jár… Az adatvédelem nem csak azt jelenti hogy betartjuk a törvényt, hanem hogy védjük is az adatokat az illetéktelen hozzáféréstől. Adatvédelmi tevékenységünkhöz szorosan kötődnek azok a technikai, és szervezési intézkedések melyek garant álják az információ biztonságos tárolását.

Ok, de mik ezek a technikai és szervezési intézkedések? Minden olyan intézkedés, amely annak érdekében történik, hogy garantálja az információ:

BIZALMASSÁGÁT

SÉRTETLENSÉGÉT

RENDELKEZÉSRE ÁLLÁSÁT

Nézzük meg ezeket egyesével:

Bizalmasság, annak biztosítása, hogy az információ csak az arra felhatalmazottak számára legyen elérhető.

Sértetlenség(integritás), az információk és a feldolgozási módszerek teljességének és pontosságának megőrzése.

Rendelkezésre állás, annak biztosítása, hogy a felhatalmazott felhasználók mindig hozzáférjenek az információkhoz és a kapcsolódó értékekhez, amikor szükséges.

Tehát minden olyan intézkedés amit ezek érdekében teszünk, az információbiztonsági intézkedés.

 Néhány példa:

• Szabályozzuk mind a fizikai, mind az elektronikus hozzáférést az információhoz
• Hozzáférési szinteket definiálunk
• Naplózzuk a hozzáférést
• Feladatköröket definiálunk, és azokhoz hozzáférési szinteket rendelünk
• Az információ megosztásával kapcsolatos szabályokat vezetünk be
• Stb…

Néhány tipikus példa hogy mit tehet egy vállalkozás a bizalmasság, sértetlenség, rendelkezésre állás biztosítása érdekében:

A fentiekből jól látszik, hogy az információbiztonság minden cégnél más és más, bár hasonló alapokon nyugszik.

 Nem csak cég szintű szabályozással, de egyéni szinten is sokat tehetnek, és sokat is kell tegyenek a dolgozók az információ biztonsága érdekében. Néhány egyszerű példa, amivel egyén szinten is sokat tehetünk:

Akadályozd meg a fizikai hozzáférést az adatokhoz:

• Tartsd az iratokat elzárt helyen
• Semmisíts meg azokat az iratokat amire már nincs szükséged
• Soha ne hagyj bizalmas iratokat az asztalodon vagy a nyomtatóban
• Megbeszélés után hagyd a meeting szobát tisztán magad után; töröld le a táblát, szedd össze a kinyomtatott dokumentumokat, stb.

Akadályozd meg az elektronikus hozzáférést

• Mindig zárd le a számítógéped / laptopod, ha nem dolgozol vele, különösen akkor ha külső helyszínen dolgozol!

  Nehezítsd meg hogy illetéktelenek hozzáférjenek a digitális adatokhoz:

• Használj erős jelszavakat, változtasd őket rendszeresen!
• Soha ne add ki másnak a jelszavad, a vezetődnek se!
• Csak központilag engedélyezett jelszótároló alkalmazást használj

Ha tovább küldesz vagy megosztasz személyes adatokat tartalmazó információt:

• Érzékeny információt tartalmazó adatokat védd külön jelszóval mielőtt továbbítod őket
• Csak ellenőrzött külső meghajtót (pl pendrive) csatlakoztass a számítógépedhez
• Ha egy információ bizalmas, azt mindig tüntesd fel küldés előtt, hogy a fogadó fél is hasonlóan kezelje azt

Ezek egyértelműnek tűnő elvárások, de sok helyen jó ha a tíz százalékukat ismerik és használják.

Ha valódi GDPR tanácsadást szeretnél, ajánlom szolgáltatásomat