Az illúzió nincs benne az üzlet, a menedzsment szótárában. Ha esetleg elhangzik, úgy értendő, hogy ami illúzió, az megalapozatlan, megvalósíthatatlan, hagymázas látomás. A biztonság viszont minden bizonnyal a profithoz hasonló betűnagysággal jelenne meg a menedzsment világra szóló szófelhőjében, ha lenne ilyen szófelhő megalkotására alkalmas generátor.
Biztonság és profit egyszerre a vezetők vágyának nem titkolt tárgyai. Különös a viszonyuk, biztonság nélkül aligha képzelhető el a profit, viszont a túlzásba vitt biztonság ronthat a profiton. Spórolhatunk, ha keveset költünk biztonságra, de sokba kerülhet a garasoskodás, ha jönnek a kibertér rosszfiúi és tönkreteszik vállalatunkat, annak hírnevét.
Mikor elég a biztonság? Ez az igazi kérdés: szerintem gyakran merül fel azokban a vezetőkben, akik a jövő év üzleti tervezése során mutatóujjukkal rákoppintanak az informatikai költségvetési táblázat azon cellájára, amelyben az IT-biztonságra a következő évben szánt pénz summája látható.
Az IT-biztonság esetében is – akárcsak más terület költségszerkezetének felépítése során – azzal kezdődik a munka, hogy az ember felírja a kötelező vagy az annak mondható rendszerelemeket, rendszereket, tehát költéseket. A különböző iparágakban különféleképpen nevezik azt, ami kötelező, vagyis azt, amit a tennivalók felől közelítve megfelelésnek hívhatunk. A törvényeknek, az iparági szabályoknak, az írott szabályoknak a biztonság terén is meg kell felelni.
Érdekes úton haladhatnánk tovább, ha azt vizsgálnánk, hogy miként alakulnak ki a megfelelés kritériumai, de valószínűleg nem tévedünk nagyot, ha azt állítjuk, hogy e kritériumokat korábbi események, incidensek tanulságai alapján fogalmazzák meg, és az újabb események és incidensek során tapasztaltakra alapozva végzik el a frissítéseket.
Ugyancsak érdekes elágazása lehetne mostani elmélkedésünknek, ha elindulnánk azt felfedezni, hogy egy adott biztonsági előírásnak milyen széles költségsávban lehetséges megfelelni. Maradva a mi kaptafánknál: az IT-biztonságnál, hála a piac zavarba ejtően bő kínálatának, az árakat illetően is nagy a választék, következésképpen nem egyszerű eldönteni, hogy végül is mennyi is az a bizonyos elég, mennyit is kell legalább költenünk az adott megfelelés eléréséért.
És végül ne kezdjünk el azon se elmélkedni, hogy mi van a megfelelés fölötti biztonság elemeivel, mert ugyan e téma is megérne egy misét, viszont ha megkezdenénk a liturgiát, akkor nem férnénk bele abba négyezer karakternyi terjedelembe, amely lapunk ezen oldalán mondandónkra megadatott.
Tegyünk egy lépést hátra, hogy jobban lássuk, ami éppen előttünk van.
Azt mondom, hogy az IT-biztonság sokkalta összetettebb dolog, mint ahogyan általában tárgyalni szoktuk. Azt állítom, hogy vannak az IT-biztonságnak olyan aspektusai, amelyeket nem szokás emlegetni, legfőképpen azért nem, mert a szállítói oldal nem tematizálja, vagyis azért nem, mert általában maguk az informatikai szervezetek is elvégezhetik.
Úgy gondolom, hogy az informatikai rendszerek biztonságosságáról való gondoskodás a rendszerek, azok architektúrájának megtervezésével veszi kezdetét. (Napjainkban végzett kutatásaim azt mutatják, hogy növekedik az IT-rendszerek részeit vagy egészét megalkotó, építő, formáló architectek társadalma, ami az IT-terület örvendetes érésének a jele.) A kötelező házi feladatok közé sorolom a rendszerek alapos tesztelését, a belső folyamatok szabályozását, a felhasználók alapos kiképzését és folyamatos képzését is.
Meg kell tennünk mindent az IT-biztonságért, ami kötelező és racionális, de el kell fogadnunk, hogy sebezhetetlen rendszerek nincsenek, a mieink sem azok. Következésképpen bele kell nyugodnunk abba, hogy egyszer lesz majd egy nagyon rossz napunk, amit valahogy csak túl fogunk élni.