Kako lahko hitro izboljšate informacijsko varnost (tudi brez nakupa nove tehnologije)?

V številnih organizacijah verjamejo, da so varni, ker imajo certifikate, pravilnike in sodobne tehnološke rešitve. Pa vendar se varnostni incidenti vseeno dogajajo.

Zakaj?

Ker informacijska varnost ni vprašanje tehnologije ali skladnosti, temveč razumevanja tveganj, učinkovitih odločitev za njihovo obvladovanje in odnosa zaposlenih.

Napačna predstava #1: "Imamo certifikat, torej smo varni."

Certifikati, kot je ISO/IEC 27001, so koristni, vendar nam ne pokažejo:

• katera tveganja so za organizacijo zares pomembna,
• kje v praksi varnostni ukrepi ne delujejo,
• kako se bomo dejansko odzvali, če pride do incidenta.

Rešitev:

Preverite, ali so vaši ključni procesi zares odporni, čeprav je s pravilniki vse urejeno. Osredotočite se na prepoznavanje in ocenjevanje tveganj v poslovnem smislu, ne le v skladu s standardi.

Napačna predstava #2: "Tehnologija nas bo zaščitila."

Tudi najsodobnejše rešitve (SIEM, DLP, ipd.) ne bodo učinkovite, če:

• nismo prepričani, kaj zares ščitimo in ščitijo,
• zaposleni ne poznajo varnostnih pravil ali jih ne upoštevajo,
• napake izvirajo iz vsakdanjega ravnanja.

Rešitev:

Vzpostavite jasen okvir, kaj ščitimo, pred kom in zakaj. Šele nato ocenite, če tehnologija zares podpira postavljene cilje, ali zgolj ustvarja lažen občutek varnosti.

Napačna predstava #3: »Največja grožnja so hekerji.«

Veliko škode lahko povzročijo nevidne odločitve, kot na primer:

• dokumenti se delijo prek zasebnih oblakov,
• občutljivi podatki se pošiljajo na osebne naprave,
• zunanji izvajalci imajo preširok VPN dostop in številne druge.

Rešitev:

Učinkovita informacijska varnost ne temelji na skladnosti s predpisi in standardi, temveč na kulturi ozaveščenosti in zaupanja. Zaposleni morajo razumeti, zakaj so njihova dejanja lahko tvegana in kako jih preprečimo.

Kako torej izboljšamo informacijsko varnost tudi brez dodatnega proračuna?

• Začnite z realno oceno informacijskih tveganj, vezano na poslovne procese in cilje.
• Ne razmišljajte samo o hekerskih napadih, temveč upoštevajte različne slabosti, ki jih lahko odpravite brez stroškov.
• Za podporo vodilnih informacijsko varnost povežite s pojmi, ki jih razumejo, kot so tveganja, škoda, koristi, odpornost.

Želite več konkretnih napotkov?

Praktične metode za izboljšanje informacijske varnosti sem zbral v priročniku o upravljanju informacijskih tveganj. Zato vas vabim, da si ga ogledate in preverite, kateri pristopi lahko pomagajo tudi vaši organizaciji.