Ennek hiányában azután a hatékony védelmi stratégia kidolgozása és az erőforrások célszerű felhasználása is akadályokba ütközik – mutatott rá testvérlapunk, a CSO. Az IT-biztonságért felelős vezetőknek le kell számolniuk az alábbi mítoszokkal, hogy világosan láthassák, mit, hol, miként kell védeniük a vállalat hálózatán, és azon túl.
Védd az adatot! – Gyakran találkozunk a vállalatok gyakorlatában a téves megközelítéssel, amely a biztonságot az adatok védelmére, a jogosulatlan hozzáférés megakadályozására egyszerűsíti le. Jóllehet ez fontos követelmény, az adatokat kezelő rendszerek és hálózatok védelméről sem szabad megfeledkezni. A szolgáltatásmegtagadásra épülő, DoS támadások például nem az érzékeny adatokat célozzák, hanem az üzleti felhasználókat akadályozzák meg abban, hogy elérjék őket.
Védd a személyes adatot! – Hasonlóan hibás az a koncepció is, amely a személyes adatok védelmére szűkíti le a biztonság fogalomkörét. Döntő fontosságú feladat ez is, ehhez kétség nem fér, azonban más típusú információk védelme ugyanilyen fontos az üzlet számára. Ebbe a kategóriába tartozik többek között az üzleti titok, a vállalat szellemi tulajdona – például a szoftvertermékek kódja –, és ide sorolhatók a versenyelőnyt adó ügyfél-, illetve partnerinformációk, piackutatási és pénzügyi adatok is. Mindezen információk bizalmas, szabályozott és biztonságos kezelése kritikus az ügyfelekkel és a partnerekkel kialakított kapcsolatokban.
Lényeg a bizalmasság! – Sok vállalat az információbiztonság legnyilvánvalóbb elemére, az érzékeny adatok bizalmas kezelésére fókuszál, miközben megfeledkezik róla, hogy ahhoz az adatok integritását és elérhetőségét is biztosítani szükséges a jogosult felhasználók számára. A bizalmas adatkezelés ugyanis csupán a jogosulatlan felhasználást akadályozza meg. Az integritás azt jelenti, hogy az üzleti adatok mindenkor pontosak, megbízhatóságukon senki nem ejthet csorbát, sem hibát vétve, sem rosszindulatból. Mindezzel azonban nem sokra megy a vállalat, ha olyan támadás éri a hálózatot, amelynek következtében a jogosult felhasználók sem férnek hozzá az egyébként bizalmasan kezelt és megbízható információkhoz.
Hacker csak számítógépes zseni lehet. – Gyakran elkövetik a vállalatok azt a hibát is, hogy a professzionális hackerek, rendkívüli technológiai és programozói képességekkel felvértezett kiberbűnözők és -kémek elleni védekezésre összpontosítanak, miközben elkerüli figyelmüket, hogy ma már ilyen szintű felkészültség hiányában is szinte bárkiből lehet hacker. Az interneten hozzáférhető és könnyen kezelhető eszközkészletekkel is komoly károkat okozó támadások indíthatók, a szintén online terjesztett hacker-kézikönyvek némelyike szerint az ehhez szükséges ismeretek 30 perc alatt elsajátíthatók.
Nem feledkezhetnek meg a vállalatok a hackertámadások egyik leghatékonyabb módszeréről, a social engineeringről sem, amely az emberek manipulálására épít, így technológiai felkészültség helyett inkább az emberi természet ismerete és magabiztos fellépés szükséges hozzá. E fenyegetés egyik elterjedt formája az adathalászat, amely ellen a vállalat az alkalmazottak képzése nélkül aligha védekezhet eredményesen.
Létezik száz százalékos biztonság. – Talán az egyik legelterjedtebb tévhit az IT-biztonsággal kapcsolatban, hogy létezik kikezdhetetlen védelem, és a vállalatnak arra kell törekednie, hogy azt a gyakorlatban megvalósítsa a törvényi megfelelés vagy más, iparági követelmények teljesítése érdekében. Mindkét feltételezés téves. Tökéletes biztonságot senki sem várhat el a szervezetektől, mert az nem is létezik. Elemzések szerint a vállalatok még akkor is csupán a fenyegetések 95 százaléka ellen tudnának védekezni, ha meglévő IT-biztonsági költségvetésüket a kilencszeresére növelnék – amire aligha van esély, mivel az az esetek többségében meghaladná a működés teljes költségkeretét.
Tökéletes védelmet már csak azért sem építhetnek ki a vállalatok, mert a tökéletes biztonságba helyezett rendszerek teljesen használhatatlanok lennének. Az IT biztonság sajátos ellentmondása folytán minél erősebb a védelem, annál kevésbé felhasználóbarát az eszköz, az alkalmazás vagy a szolgáltatás. Egy okostelefont például védhetnénk olyan módon is, hogy repülő üzemmódba és egy jól zárható páncélszekrénybe helyezzük, csak éppen nem lenne semmi értelme. Az IT-biztonsági stratégia akkor jó, ha egyensúlyt teremt a biztonsági kockázatok elleni védelem és a védett rendszerek használhatósága között, nem az összes potenciális támadó kívül tartására pazarolja erőforrásait, hanem a behatolás lehető leggyorsabb észlelésére és hatástalanítására összpontosít.
