Nem a hackerek jelentik a legnagyobb veszélyt

Egy vállalkozás ritkán azért kerül bajba, mert egy különösen felkészült hacker célba veszi. Sokkal gyakoribb, hogy a saját működése hagy nyitva olyan ajtókat, amelyeken bárki bejuthat. Ezért igaz a kijózanító állítás: nem a hackerek jelentik a legnagyobb veszélyt a vállalkozására, hanem a felügyelet nélküli rendszerek, a rendezetlen jogosultságok, az elmaradt frissítések és a hamis biztonságérzet.

A legtöbb KKV-nál nem az a fő probléma, hogy nincs semmilyen védelem. Inkább az, hogy van valamilyen védelem, de senki sem látja át pontosan, mire elegendő. Egy régebbi tűzfal, egy korábban beállított mentés, néhány vírusirtó, egy külsős rendszergazda, aki csak akkor érkezik, amikor már baj van. Ez elsőre működő rendszernek tűnhet, valójában azonban inkább halasztott kockázat.

Mert a támadó általában nem egy jól védett rendszer feltörésére törekszik, hanem a legkisebb ellenállás irányába halad. Ha egy volt munkatárs fiókja aktív marad, mindenki helyi adminisztrátori jogosultsággal dolgozik, nincs naprakész mentési stratégia, vagy az irodai és távoli hozzáférések nincsenek megfelelően kontrollálva, akkor a kockázat már a vállalkozás működésében jelen van.

A kiberbiztonság üzleti szempontból nem elsősorban támadási, hanem működési fegyelem kérdése. A hacker csak kihasználja azt, ami már eleve rendezetlen. Ez lényeges különbség, mert más megközelítést igényel. Nem elég új eszközöket beszerezni. Láthatóságra, egyértelmű felelősségi körökre, szabályozott működésre és folyamatos felügyeletre van szükség.

Egy mikrovállalkozásnál ez gyakran úgy működik, hogy minden „fejben van”. A tulajdonos tudja, ki mihez fér hozzá, melyik gép hol működik és hová készül mentés. Amikor azonban egy kolléga kilép, eltűnik egy notebook, feltörnek egy e-mail-fiókot vagy leáll egy szerver, a fejben tárolt tudás már nem jelent védelmet. Ilyenkor derül ki, hogy a valódi kockázat nem kívülről érkezett, hanem régóta jelen volt a működésben.

A legtöbb incidens mögött nem kifinomult támadási módszer áll, hanem egyszerű hiányosságok. Hiányzik az eszközleltár, a hozzáférések nyilvántartása, a mentések rendszeres ellenőrzése, a naplózás, valamint az a személy vagy partner, aki átlátja az egész rendszert.

Ez különösen veszélyes a növekedésben lévő vállalkozásoknál. Két-három telephely, több szolgáltató, vegyesen használt felhős és helyi rendszerek, otthoni munkavégzés, saját eszközök és megörökölt informatikai megoldások. Ezek külön-külön még kezelhetőnek tűnhetnek, együtt azonban olyan összetettséget eredményeznek, amelyet már nem lehet eseti hibajavításokkal kezelni.

Sok vezető ott téved, hogy az informatikai kockázatot kizárólag technikai kérdésnek tekinti. Valójában ez működésbiztonsági kérdés. Ha leáll a számlázás, nem érhető el az ügyféladatbázis, megszakad a telephelyek közötti kapcsolat vagy egy zsarolóvírus napokra megbénítja a munkát, annak azonnali pénzügyi következménye van. Emellett sérülhet az ügyfélbizalom, és megfelelőségi kockázatok is felmerülhetnek.

Az emberi hiba nem mellékszál

A legtöbb vállalkozás nem rosszindulatból sérülékeny, hanem a mindennapi túlterheltség miatt. Egy kolléga megnyit egy megtévesztő csatolmányt. Egy vezető gyorsan jóváhagy egy gyanús utalást, mert hitelesnek tűnik a levél. Valaki ugyanazt a jelszót használja több rendszerben. Ezek hétköznapi hibák, éppen ezért jelentenek valódi kockázatot.

Az emberi tényező nem szüntethető meg, csak kezelhető. Jogosultsági szintekkel, többfaktoros azonosítással, naprakész szabályokkal, oktatással és olyan rendszerrel, amely egyetlen hibából sem enged teljes üzleti leállást kialakulni. A jó védelem abból indul ki, hogy előbb-utóbb mindenki hibázhat.

A mentés akkor ér valamit, ha vissza is állítható

Sok cég megnyugszik attól, hogy „van mentés”. Ez önmagában nem elegendő. Hová készül? Milyen gyakran? Elkülönül-e az éles rendszertől? Visszaállították-e már valaha tesztkörnyezetben? Mennyi idő alatt állna helyre a működés egy valós incidens után?

A mentés nem adminisztratív kipipálnivaló, hanem az üzletmenet-folytonosság egyik alapja. Ha nincs rendszeres ellenőrzés, a vállalkozás könnyen csak akkor szembesül a hibás vagy hiányos mentésekkel, amikor már késő. Ilyenkor nem az a legfontosabb kérdés, hogy történt-e támadás, hanem az, hogy helyreállítható-e a működés.

Nem a hackerek jelentik a legnagyobb veszélyt a vállalkozására, hanem a reakcióalapú IT

A tűzoltó jellegű üzemeltetés hosszú ideig olcsóbbnak tűnhet. Szakembert csak akkor hívnak, amikor valami elromlik, lassú a hálózat, nem működik a nyomtató vagy felmerül egy fertőzés gyanúja. Ez a modell addig kényelmes, amíg nem történik komolyabb incidens. Utána azonban gyorsan kiderül, hogy nincs dokumentáció, nincs kijelölt felelős, nincs előre meghatározott helyreállítási folyamat, és az sem egyértelmű, pontosan mely rendszereket kellene elsőként helyreállítani.

A reakcióalapú IT egyik legnagyobb problémája, hogy nem kezeli az összefüggéseket. A hálózatvédelem, a végpontvédelem, a mentések, a távoli elérés, a jogosultságkezelés és a megfelelőségi követelmények gyakran egymástól függetlenül működnek. Ettől a rendszer nem erősebb lesz, hanem nehezebben átlátható.

Egy KKV számára ezért nem az a legfontosabb kérdés, hogy van-e informatikai szolgáltatója, hanem az, hogy van-e olyan partnere, aki a teljes működést egyetlen kockázati rendszerként kezeli. Ahol a szerverüzemeltetés, a tűzfal, a VPN, a felhasználói hozzáférések, a mentések és akár a NIS2 vagy a GDPR követelményei nem külön projektek, hanem ugyanannak a működési rendszernek a részei.

Először is azt, hogy mennyire átlátható a vállalkozás informatikája. Nem technikai részletekben, hanem vezetői szinten. Tudható-e, mely rendszerek és eszközök kritikusak? Egyértelmű-e, ki fér hozzá a pénzügyi, ügyfél- vagy működési adatokhoz? Létezik-e dokumentált helyreállítási rend? Rendszeresen ellenőrzik-e a mentéseket és a védelmi beállításokat?

Másodszor azt, hogy a jelenlegi védelem arányban áll-e a tényleges üzleti kockázattal. Egy egytelephelyes, tízfős cég és egy több helyszínen működő, sok ügyféladatot kezelő vállalkozás nem ugyanazt a védelmi szintet igényli. Ugyanakkor egyik sem engedheti meg magának a láthatatlan működési réseket.

Harmadszor azt, hogy a megfelelőség nem külön adminisztratív teher, hanem a biztonság egyik kontrollrétege. Ha egy szervezetnek NIS2-felkészülésre vagy GDPR-támogatásra van szüksége, az nem pusztán jogi megfelelés. Ezek a követelmények arra ösztönzik a vállalkozást, hogy pontosan átlássa az adatait, a kockázatait és azok kezelésének módját.

Sok vállalkozás még mindig eszközökben gondolkodik. Kell egy jobb tűzfal, új vírusirtó vagy szigorúbb jelszópolitika. Ezek fontos elemek, de önmagukban nem oldják meg a problémát. A valódi védelem abból épül fel, hogy a technológia, az üzemeltetés és a szabályozott működés egymásra épül.

Ez azt jelenti, hogy a hálózat nemcsak működik, hanem folyamatos felügyelet alatt áll. A hozzáféréseket nemcsak kiosztják, hanem rendszeresen felülvizsgálják. A mentések nemcsak elkészülnek, hanem ellenőrzöttek is. Az incidensekre nem meglepetésként reagálnak, hanem előre kidolgozott forgatókönyv alapján. A vezető pedig nemcsak azt tudja, hogy „van IT”, hanem azt is, hogy az valóban támogatja-e a működésbiztonságot.

Az IT-Pack Shield szemléletében éppen ez jelenti a különbséget a javítgatás és a stratégiai üzemeltetés között. A vállalkozás védelme nem akkor kezdődik, amikor már fertőzött egy gép vagy leállt egy szerver, hanem akkor, amikor a hiányosságok még üzleti veszteség nélkül feltárhatók és rendezhetők.