Az IT legnagyobb kockázata nem a hacker. 

Az emberi hiba legyőzése – de tényleg legyőzhető?

Egy apró hiba is elég ahhoz, hogy egy cég működése veszélybe kerüljön.

Egy elfelejtett mentés.
Egy rosszul beállított jogosultság.
Egy félrekonfigurált rendszer.

Sok vezető úgy gondolja, hogy az automatizált rendszerek és az informatikai folyamatok majd „megoldják” ezt a problémát.

A valóság azonban jóval árnyaltabb.

Az automatizálás valóban segít csökkenteni a hibák számát, de nem képes teljesen kiküszöbölni az emberi tényezőt. Amikor pedig egy hiba láncreakciót indít el, nem az informatikus ül a tárgyalóban a következményekkel szembesülve.

Hanem a vezető.

Az informatikai rendszerek működésének egyik alapvető sajátossága, hogy emberek tervezik, emberek üzemeltetik és emberek módosítják őket.

Ez azt jelenti, hogy az emberi hiba mindig jelen lesz.

A mindennapi működés során számtalan apró döntés születik, amelyek külön-külön jelentéktelennek tűnhetnek, együtt azonban komoly kockázatot hordoznak.

Néhány tipikus példa:

• Egy rendszergazda elfelejti telepíteni a frissítést → egy ismert sérülékenység nyitva marad a rendszerben.
• Egy konfigurációs változtatás félrecsúszik → a rendszer instabillá válik vagy nem generál riasztást.
• Egy jogosultságot túl szélesen adnak ki → érzékeny céges adatokhoz illetéktelenek is hozzáférhetnek.
• Egy mentési folyamat nem fut le → de ezt senki nem veszi észre hónapokig.

Ezek mind apró hibák.

Mégis gyakran ezekből indulnak el azok az eseményláncok, amelyek végül komoly üzleti problémát okoznak: rendszerleállást, adatvesztést vagy biztonsági incidenst.

Ilyenkor pedig már nem az a kérdés, hogy ki hibázott.

Hanem az, hogy miért nem derült ki időben.

Az informatikai problémák ritkán egyetlen hibából születnek.

Sokkal gyakoribb, hogy több apró hiba egymásra épül.

Például:

1. Egy rendszer frissítése elmarad.
2. A monitoring rendszer nem figyel egy kritikus paramétert.
3. Egy jogosultság túl szélesen van kiosztva.
4. A mentést ugyan elvégzik, de a visszaállítást soha nem tesztelték.

Külön-külön egyik sem tűnik kritikusnak.

Együtt viszont tökéletes feltételeket teremtenek egy komoly incidenshez.

Amikor pedig a probléma végül felszínre kerül, gyakran már túl késő egyszerűen korrigálni.

Az automatizálás az egyik leghatékonyabb eszköz az emberi hibák csökkentésére.

A modern informatikai rendszerekben számos folyamat automatizálható:

• mentések ütemezése
• konfigurációk ellenőrzése
• jogosultságok auditálása
• sérülékenységek figyelése
• rendszerállapot monitorozása

Ezek az automatizmusok segítenek abban, hogy a hibák gyorsabban észlelhetők legyenek, vagy egyáltalán ne forduljanak elő.

Az automatizálás azonban nem gondolkodik.

Nem érti az üzleti kontextust.
Nem értelmezi a kockázatokat.
És nem veszi észre azt, amit nem programoztak bele.

Ezért az automatizálás nem helyettesíti a kontrollt, csupán támogatja azt.

Sok szervezetben a legnagyobb problémát nem maga az emberi hiba jelenti.

Hanem a hamis biztonságérzet.

A vezetők gyakran úgy érzik, hogy minden rendben van, mert:

• „van mentési rendszer”
• „automatizált monitoring működik”
• „az informatikai csapat felügyeli a rendszereket”

Papíron valóban minden működik.

A valóságban azonban gyakran kiderül, hogy:

• a mentéseket soha nem tesztelték visszaállítással
• a monitoring rendszer nem figyel bizonyos kritikus eseményeket
• a jogosultságokat évek óta nem vizsgálták felül
• a konfigurációk dokumentációja hiányos

Ez az állapot veszélyesebb lehet, mint egy nyilvánvaló probléma.

Mert mindenki azt feltételezi, hogy a rendszer biztonságos.

A jó hír az, hogy az emberi hibákból fakadó kockázat jelentősen csökkenthető.

Ehhez azonban nem elegendő pusztán technológiát bevezetni.

Vezetői szemléletre és tudatos kontrollra van szükség.

A folyamatok megértése

Érdemes tisztában lenni azzal, hogy:

• milyen automatizmusok működnek a rendszerben
• ki konfigurálta ezeket
• mikor ellenőrizték utoljára a működésüket

Egy automatizmus csak akkor megbízható, ha valaki átlátja és felügyeli.

Rendszeres audit

Időszakosan célszerű felülvizsgálni:

• a jogosultságokat
• a konfigurációkat
• a mentési folyamatokat
• a monitoring rendszert

Ezek az ellenőrzések gyakran olyan hibákat tárnak fel, amelyek hosszú ideje észrevétlenek maradtak.

Monitoring és kontroll

Az automatizált rendszerek mellett mindig szükség van emberi felügyeletre.

Az automatizmus figyelmeztet.
Az ember értelmezi a helyzetet.

Vezetői tudatosság

A technológia nem csodaszer.

Az informatikai biztonság és az üzemeltetés kockázatai vezetői szinten is megértést igényelnek.

Egy tudatos vezető sokszor már azzal is csökkenti a kockázatot, hogy megfelelő kérdéseket tesz fel.