Hver ber netöryggisábyrgð fyrirtækisins?
Spurningin „hver ber netöryggisábyrgð fyrirtækis?“ kemur oft upp eftir atvik – þegar grunsamlegur tölvupóstur berst, starfsmaður smellir á rangan hlekk eða kerfi verður óaðgengilegt. Þá er svarið ekki einfaldlega „upplýsingatæknin“. Endanleg ábyrgð liggur hjá stjórnendum fyrirtækisins, en árangurinn ræðst af því hvernig ábyrgðin er skilgreind, framkvæmd og endurskoðuð í daglegum rekstri.
Netöryggi er ekki vara sem hægt er að kaupa einu sinni og setja í skúffu. Það er samspil ákvarðana, ferla, tækni og fólks. Fyrirtæki sem gera ábyrgðina skýra bregðast hraðar við, eiga auðveldara með að halda rekstri gangandi og draga úr kostnaði þegar eitthvað fer úrskeiðis.
Hver ber netöryggisábyrgð fyrirtækisins?
Stjórn, framkvæmdastjóri eða eigandi ber endanlega ábyrgð á netöryggi fyrirtækisins. Það þýðir ekki að stjórnendur eigi að stilla eldveggi, yfirfara atvikaskrár eða sjá um að uppfæra tölvur. Ábyrgðin felst í að tryggja að rétt fólk, rétt verklag og nægilegt fjármagn séu til staðar til að vernda rekstur, gögn og viðskiptasambönd.
Þessi aðgreining skiptir máli. Tæknistjóri, innri upplýsingatæknideild eða rekstraraðili getur borið ábyrgð á framkvæmd öryggisverkefna. Stjórnendur geta þó ekki framselt frá sér afleiðingar lélegrar áhættustýringar. Ef gagnatap, lausnargjaldsárás eða langvarandi rekstrarstöðvun veldur tjóni þarf fyrirtækið sjálft að standa skil á ákvörðunum sínum gagnvart viðskiptavinum, starfsfólki, tryggingafélagi og mögulega eftirlitsaðilum.
Í litlum og meðalstórum fyrirtækjum er þetta sérstaklega mikilvægt. Þar hefur eigandi eða rekstrarstjóri oft mörg hlutverk og upplýsingatæknin fær athygli fyrst þegar eitthvað bilar. Skýr ábyrgð breytir því. Þá verður netöryggi hluti af rekstrarstjórn, ekki neyðarverkefni eftir áfall.
Stjórnendur setja stefnuna og forgangsröðina
Stjórnendur þurfa að svara einföldum en afgerandi spurningum: Hvaða gögn eru mikilvægust? Hvað kostar það fyrirtækið ef tölvupóstur, bókhaldskerfi eða framleiðslukerfi stöðvast í sólarhring? Hver má samþykkja greiðslur, fá aðgang að viðkvæmum gögnum eða taka ákvarðanir þegar atvik verður?
Svörin móta öryggisáætlunina. Fyrirtæki sem vinnur með persónuupplýsingar, samninga, fjárhagsupplýsingar eða hugverk þarf yfirleitt strangari aðgangsstýringu og betri rekjanleika en fyrirtæki með einfaldara gagnasafn. Á hinn bóginn er ekki alltaf skynsamlegt að velja flóknustu eða dýrustu lausnina. Rétt lausn er sú sem dregur úr raunverulegri áhættu án þess að hægja óþarflega á starfsfólki eða skapa kostnað sem reksturinn ræður ekki við.
Stjórnendur eiga einnig að krefjast reglulegrar stöðuskýrslu. Hún þarf ekki að vera full af tæknilegum hugtökum. Hún á að segja skýrt hvort afrit séu prófuð, hvort tæki séu uppfærð, hvort fjölþátta auðkenning sé virk, hvort grunsamleg atvik hafi komið upp og hvaða áhætta sé enn óleyst.
Starfsfólkið ber ábyrgð í hverri einustu aðgerð
Flestar öryggisvarnir geta brugðist ef starfsmaður samþykkir falska innskráningu, deilir lykilorði eða sendir gögn á rangan viðtakanda. Það þýðir þó ekki að starfsfólk eigi að bera sökina eitt og sér. Fyrirtækið ber ábyrgð á að skapa vinnuumhverfi þar sem örugg hegðun er einföld, eðlileg og studd.
Þjálfun þarf að tengjast raunverulegri vinnu. Starfsfólk þarf til dæmis að þekkja merki um svikapóst sem líkir eftir forstjóra eða birgja, vita hvernig á að staðfesta óvenjulegar greiðslubeiðnir og geta tilkynnt mistök án þess að óttast refsingu. Starfsmaður sem segir strax frá röngum smelli getur komið í veg fyrir stórt atvik. Starfsmaður sem felur það af ótta getur óvart gefið árásaraðila meiri tíma.
Aðgangar þurfa líka að fylgja hlutverkum. Starfsmaður á ekki að hafa víðtækari réttindi en starfið krefst og aðgangur þarf að hverfa þegar starfslok verða. Þetta er einfalt í orði, en gleymist oft þegar fyrirtæki vex hratt, notar marga skýjaþjónustur eða treystir á óformleg samskipti um hver hafi aðgang að hverju.
Tækniaðilinn framkvæmir og fylgist með
Innri upplýsingatæknideild eða utanaðkomandi rekstraraðili ber faglega ábyrgð á að framkvæma samþykktar öryggisráðstafanir. Þar undir fellur meðal annars að halda tækjum uppfærðum, fylgjast með öryggisviðvörunum, verja endapunkta, stjórna notendaaðgöngum, sinna afritun og prófa endurheimt.
Mikilvægast er að skilja mörkin milli framkvæmdar og ábyrgðar. Þjónustuaðili getur ekki tekið góðar ákvarðanir án upplýsinga um rekstur fyrirtækisins. Hann þarf að vita hvaða kerfi eru rekstrargagnrýnin, hvaða starfsmenn þurfa sértækan aðgang og hversu lengi fyrirtækið þolir stöðvun. Á móti þarf þjónustuaðilinn að geta útskýrt áhættu á mannamáli og koma með forgangsraðaðar tillögur, ekki bara lista yfir tæknivörur.
Góður samstarfsaðili vinnur ekki aðeins þegar starfsmaður hringir vegna bilaðrar tölvu. Hann sér um reglubundið eftirlit, finnur veikleika áður en þeir verða að vandamáli og heldur utan um tæki, notendur og öryggisferla. Hjá nexIT lítum við á þetta sem rekstrarábyrgð í samstarfi við viðskiptavininn: við sjáum um daglega framkvæmd og ráðgjöf, en hjálpum stjórnendum að halda yfirsýn yfir ákvarðanirnar sem skipta mestu.
Afritun er ábyrgð sem þarf að prófa
Margir telja að afritun leysi gagnavernd. Hún leysir aðeins hluta vandans. Afrit sem hefur ekki verið prófað getur reynst ónothæft þegar mest á reynir, og afritun ein og sér kemur ekki í veg fyrir að árásarmaður komist inn í kerfi eða að viðkvæm gögn leki.
Ábyrgðin er því tvískipt. Tækniaðilinn þarf að staðfesta að afrit séu keyrð, varin og hægt sé að endurheimta þau. Stjórnendur þurfa að ákveða hvaða gögn skuli vernda, hversu oft afrit séu tekin og hversu hratt reksturinn þarf að komast aftur í gang. Endurheimt bókhaldskerfis eftir tvo daga getur verið ásættanleg fyrir eitt fyrirtæki en óviðunandi fyrir annað.
Regluleg endurheimtarpróf sýna raunverulega stöðu. Þau afhjúpa hvort lykilgögn vanti, hvort aðgangar virki og hvort ferlið sé nógu skýrt þegar tímapressa myndast. Þetta er ein hagkvæmasta leiðin til að breyta óvissu í viðbúnað.
Skýr verkaskipting dregur úr kostnaði og áhættu
Óljós ábyrgð leiðir gjarnan til eyða. Einn gerir ráð fyrir að annar uppfæri netþjóninn. Starfsmaður heldur að fjármáladeildin hafi staðfest greiðslubeiðni. Stjórnendur telja að þjónustuaðilinn hafi eftirlit með öllum skýjaaðgöngum, þó það sé ekki hluti af samningnum. Í slíkum eyðum verða dýr atvik til.
Hagnýt leið er að skilgreina ábyrgð fyrir helstu svið: hver samþykkir öryggisstefnu og fjárveitingar, hver stýrir notendum og aðgöngum, hver bregst við viðvörunum, hver hefur samband við viðskiptavini ef atvik verður og hver ákveður hvenær rekstur telst kominn í eðlilegt horf. Þetta þarf ekki að vera þungt skjal. Fyrir mörg fyrirtæki dugar stutt ábyrgðartafla sem er yfirfarin reglulega og uppfærð þegar starfsfólk, kerfi eða þjónustuaðilar breytast.
Ábyrgð verður sýnileg þegar á reynir
Netöryggisábyrgð snýst að lokum um að fyrirtækið geti haldið áfram að starfa þegar eitthvað fer úrskeiðis. Það kallar á tæknilegar varnir, en einnig á skýra stjórn, vel upplýst starfsfólk og samstarfsaðila sem þekkir umhverfið.
Byrjið á einni raunhæfri spurningu: Ef lykilkerfið okkar stöðvast á morgun, hver tekur fyrstu þrjár ákvarðanirnar? Ef svarið er óljóst er það ekki ástæða til að bíða – heldur gott tilefni til að skýra hlutverk, prófa viðbrögð og byggja upp öryggi sem styður reksturinn á hverjum degi.
