Jelen gazdasági helyzetünkben, részben a home office kényszerű kialakításának köszönhetően is, egyre több szervezet kezdi használni a felhőalapú eszközöket, mobil eszközöket, mert ezek az alkalmatosságok biztosítják azt, hogy a munkafolyamatok és az adatok bárhol és bármikor elérhetőnek legyenek és a rendelkezésünkre álljanak.
Ezeknek az eszközöknek az igénybevételével együtt azonban megnőtt azon kockázatok valószínűsége is, hogy bizonyos váratlan negatív események befolyásolják ezeknek a technológiai újdonságoknak a működését, aminek következtében, akár az üzleti tevékenység folytonossága is megszakadhat.
És itt kap fontos szerepet az üzleti életben, az úgynevezett „DRP” (DISASTER RECOVERY PLAN) magyarul Vészhelyzeti helyreállítási terv kialakítása.
Tartalomjegyzék- Mi a DRP célja?
- Mi a DRP elkészítésének az első lépése?
- Kiberbiztonsági kockázatok felmérése a vállalkozásunkban
- A dolgozók biztonságtechnikai képzése mely során a humán kockázati tényezőket minimalizálhatjuk
- A bekövetkezhető technológiai hibák felmérése
- A költségek és a negatív következmények minimalizálása egy kritikus esemény során
- A DRP szükségességének az összegzése
Mi a DRP célja?
Egy esetlegesen bekövetkezett katasztrófa után, az eredeti működési állapot visszaállításának legyen egy előzetesen kialakított, jól végig gondolt protokollja.
Rámutatva arra a problémára is, hogy egy hirtelen bekövetkező válság, milyen hatással lehet a cég üzleti életére.
A terv megvalósításához szükségesek az alaposan átgondolt irányelvek és a kivitelezéshez szükséges technikai eszközök.
A DRP lényege, hogy minimalizálni lehessen azokat a költségeket, amelyek abból származnak, hogy a cég IT szolgáltatásainak a kapacitása és erőforrásai elvesztek vagy károsodtak.
Mi a DRP elkészítésének az első lépése?
A helyreállítás tervezésének első lépése az, hogy meg kell vizsgálnunk a lehetséges vészhelyzeteket, és megbecsülni azoknak a lehetséges következményeit, (akár anyagi, akár technológiai értelemben).
Ez lényegében egy előkészületi folyamat, arra az esetre, ha a szervezetnél valamilyen váratlan negatív esemény történik, amely a cég tulajdonát, hírnevét vagy műveleteit károsítja. Minden jó működési stratégiával rendelkező cégnek, egy átfogó és előzetesen tesztelt tervvel kell rendelkeznie, hogy egy katasztrófahelyzettel megbirkózzon.
Tisztázzuk, hogy mit nevezünk katasztrófának a vállalkozásunk életében
Ha a katasztrófáról beszélünk, akkor ne csak a természeti katasztrófákra gondoljunk. Ezt a szót használjuk akkor is, ha egy negatív, előre nem látott esemény bekövetkezik, ami csak a saját cégünk életére van hatással, mint például egy tűzeset a szerver szobában.
Ez mindenképpen egy váratlan, előre nem tervezett szituáció, ami azonnali reagálást igényel a vállalat részéről. A veszteség kiterjedhet az üzletkritikus alkalmazások területére, mely az így kieső számítógép vagy számítógépek feldolgozó kapacitásának hiánya miatt történik. Például egy webshop esetében a működtető szerverek időszakos kiesése az üzletmenet teljes leállását eredményezheti.
Minden szervezetnek a saját rendszereiben esetlegesen bekövetkező katasztrófákat kell mérlegelnie és elemeznie.
Nézzük meg, melyek a legfontosabb okok, amiért szükség van Vészhelyzeti helyreállítási tervre
Kiberbiztonsági kockázatok felmérése a vállalkozásunkban
Először tisztázzuk, hogy mit nevezünk kiberbiztonságnak
A kiberbiztonság a kibertér védelmével foglalkozik, célja egy átlátható és megbízható virtuális környezet kialakítása, valamint a kibertérben létező kockázatok csökkentése gazdasági, jogi, vagy technikai eszközöket alkalmazva.
A kibertér különböző informatikai hálózatok infrastruktúráját tartalmazza, amelyek egy virtuális térben kapcsolódnak össze és azok számára elérhetőek, akik kapnak hozzáférést. Itt valósul meg az online kommunikáció, az adatforgalom és az elektronikus adatok is itt tárolódnak.
Sajnos a kiberbiztonsági kockázatok egyre szélesebb körűek és jelentősebbek. A járvány sok vállalkozást arra kényszerít, hogy alternatív munkamódokat alkalmazzanak, így az üzleti működés fenntartásának érdekében a szervezetek még inkább kötődnek a kibertérben alkalmazott technológiájukhoz.
Vannak olyan esetek is, amikor a támadóknak a célja, nem az adataink eltulajdonítása, hanem azok elérhetetlenné tétele. Ha egy kiberbűnözőnek sikerül egy cég vagy szervezet adatait hozzáférhetetlenné tenni, akkor azok ronthatják az üzletmenetet, a hírnevet és jelentős károkat is okozhatnak.
A kiberbűnözők tudják ezt, és sok támadásuk arra irányul, hogy megakadályozzák a tulajdonosoknak, az adataik elérést. Minél sürgetőbb a vállalkozásnak az adatok elérése, a bűnözőknek annál jobb, mert így motiváltabb a felhasználó a fizetésre.
Mik azok a zsarolóvírusok és hogyan ismerhetők fel?
A zsarolóvírusok (angolul ransomware) olyan kártékony szoftverek, melyek zárolhatják az eszközöket vagy titkosíthatják az eszközökön lévő adatokat annak érdekében, hogy pénzt csikarjanak ki a tulajdonostól. Ezért az incidens után általában egy váltságdíj követelő képernyő, vagy dokumentum jelenik meg az áldozatul esett eszköz kijelzőjén, melyben az elkövetők azt ígérik – természetesen bármiféle garancia nélkül –, hogy egy adott összegért cserébe visszaállítják a hozzáférést az érintett géphez vagy adatokhoz.”
Idézet az https://www.eset.com/hu/zsarolovirus/ oldalról.
A helyreállítási tervnek szem előtt kell tartania a kibertámadások lehetséges következményeit is, például, hogy a fent említett esetben, milyen reakciót alkalmaznak.
Meg kell bizonyosodnunk arról, hogy a megfelelő alternatív megoldások és gyors helyreállítási lehetőségek állnak rendelkezésünkre arra az esetre, ha az alapvető technológiai megoldások veszélybe kerülnek.
Az igazság az, hogy még a legjobbnak vélt biztonsági megoldás is a magában hordozza a károsodás esélyét. Ennek okán, a tervezéskor a legrosszabb lehetőséget kell megvizsgálni és a védelmi mechanizmust erre alapozva kell elkészíteni.
Az üzleti életében valószínűleg a kiberbiztonság a fő oka annak, hogy a legtöbb sikeres cégvezető elgondolkodik azon, hogy elkészítse a vállalkozására szabott Vészhelyzeti helyreállítási tervet.
A dolgozók biztonságtechnikai képzése mely során a humán kockázati tényezőket minimalizálhatjuk
Az ISACA felmérés eredménye elég érdekes, mely szerint a válaszadó vezetők mintegy 38% – a kiber fenyegetéssel kapcsolatban a szervezetén belül, a munkavállalói között egyáltalán nem végzett tudatosító tevékenységet.
Pedig, azon események vizsgálatánál, melyeknél jól jött volna egy DRP, azt tapasztaljuk, hogy lett volna egy olyan pillanat amikor a vészhelyzetet el lehetett volna kerülni. Az elkerülés lehet, egy időben bevezetett képzés a dolgozók részére.
Napjainkban a kiberbűnözök az emberi hiszékenységet és a túlzott bizalmat veszik célba, nem csak a technológiát. A nem óvatos felhasználók simán rákattintanak egy vírust tartalmazó linkre, amit egy e-mailben küldenek nekik, mit sem sejtve azok következményeiről. Vagy bizalmas információkat szolgáltatnak ki ismert entitásként megjelenő hackernek.
Íme egy precedens a felhasználók átverésére, amely hasonló internet cím segítségével téveszti meg a figyelmetlen felhasználót.
A konkrét példában az www.apple.com címet „szimulálják” az appie.com domain név használatával.
Egy e-mail üzenetben szereplő linkben az i karaktert nagy I-vel írva, felismerhetetlen a különbség, és a jóhiszemű felhasználó jó eséllyel rákattint az ismert és megbízható márkához kapcsolódó hivatkozásra.
Vagy ezen az „utánzat webhelyen”, egy regisztrációért cserébe valamilyen nyereményjátékban való részvételre bíztatják a látogatót. Itt, a nevét, az email címét, esetleg a telefonszámát kérik el, majd adják el, mint értékes adat az erre specializálódott cégeknek.
Mi a megoldás?
Ezeknek a helyzeteknek az elkerülésére, mi mindenképpen azt javasoljuk az ügyfeleinknek, hogy vonják be az alkalmazottakat egy ún. „biztonságtudatossági” képzésbe, ahol fel kell tárni előttük az adathalász technikákat, hogy időben felismerhessék és elkerüljék azokat.
A nagy szerveztek azt az eljárást alkalmazzák, hogy képzik, vizsgáztatják, majd szúrópróba-szerűen tesztelik dolgozóikat, így kiértékelhetik azok biztonságtechnikai ismeret szintjét.
Kiküldenek egy generált adathalásztámadás szimulációs e-mailt, amennyiben nem megfelelően reagál erre az alkalmazott, újabb képzésben vagy biztonságtechnikai tájékoztatásban részesítik. Viszont, ha a munkavállaló jól teljesít, bejelenti a megfelelő helyen és nem nyitja meg a gyanús e-mailt, elismerik az adatvédelmi jártasságát és e-mailben egy gratulációt kap.
Ezzel a módszerrel, csökkenthetők ezen kockázatok és a dolgozókat is a helyes protokoll betartására ösztönözhetjük.
Sajnos, még akkor is, ha a munkatársainkat kiképeztük a „kiberfenyegetésekből”, akkor is kerülhetnek olyan helyzetbe, hogy a rendszerünket zsarolóvírus vagy más számítógépes támadás blokkolja.
A bekövetkezhető technológiai hibák felmérése
A mindennap használt informatikai rendszereinkben megbízunk, de sajnos előfordul, hogy megszakad az internetkapcsolat, vagy szerverhiba miatt nem elérhető a weboldal. Az is megtörténhet, hogy az egyébként hibamentesen teljesítő rendszerünket, hirtelen egy váratlan terhelés éri, és akkor az leáll, vagy a hardver meghibásodik.
Tudjuk, hogy még a gondos, és elővigyázatos, jó tervezés sem tud tökéletesen lefedni minden kockázatot. De, csakúgy, mint a kiberbiztonság esetében, a tervezéskor a legrosszabb lehetőséget kell megvizsgálni és a védelmi mechanizmust erre alapozva kell elkészítenünk.
A legtöbb kisvállalkozás a házon belüli és a felhőalapú alkalmazások, valamint a Szoftver, mint szolgáltatás (SaaS) kombinációját használja a működéshez. Egyes katasztrófa utáni helyreállítási megoldások alternatív kapcsolatot vagy redundanciát teremthetnek a már használtakhoz képest, de fontolóra kell vennünk annak lehetőségét is, hogy ha sokkal kiterjedtebb esemény történne, akkor teljes egészében e technológia nélkül kell dolgoznia.
Elővigyázatosságból, gondoljon arra, hogy milyen alternatív munkafolyamatokra lehet szüksége, hogy az üzletmenete zavartalanul működhessen, abban a valószínűtlen, de lehetséges esetben, ha a technológia időlegesen működésképtelenné válik.
A költségek és a negatív következmények minimalizálása egy kritikus esemény során
Valószínűleg ez a legfontosabb oka annak, hogy egy DRP-t kell készítenünk.
Egy működési folyamatban elkerülhetetlennek tűnik, hogy legalább egyszer ne történjen meg egy informatikai incidens, és ebben az esetben fontos, hogy hogyan, mennyi időn belül reagál a cég a problémára.
Nyilvánvaló, hogy előnyben van az a szervezet, akinek egy fennakadásra előre átgondolt megoldókulcs van a kezében, mint az, aki csak gyorsan sebtében megpróbálja a hibákat elhárítani, a teljes esemény láncolat alapos vizsgálata nélkül. Mert a hirtelen tűzoltásban erre sajnos nincs idő.
Az esetleges incidenseket még a kezdeti szakaszban kell megállítani, mert ilyenkor sikeresebben elejét vehetjük a negatív következményeknek.
Cél az, hogy minimalizáljuk az állásidőt, a költségeket és az esetlegesen felmerülő egyéb zavarokat.
A megfelelően kialakított protokollal megakadályozhatóak a felesleges kiadások, az időgazdálkodás is hatékonyabbá válik, mert a munkafolyamat már át van gondolva és le van írva, azt „csak” végre kell hajtani.
A DRP szükségességének az összegzése
A fent említettek szempontok csak néhány alappillérei annak, hogy egy Vészhelyzeti helyreállítási terv elkészítése során milyen tényezőket szükséges fontolóra vennünk a mai üzleti környezetben.
A DRP elkészítésével a cél az, hogy a kialakult váratlan helyzetekre legyen egy sikeres és gyors helyzetkezelési és megoldási protokoll. A cégeknek egy átfogó és előre tesztelt megoldási tervvel kellene rendelkezniük, mert ez segíti őket abban, hogy vészhelyzet esetén gyorsan visszaállítsák az eredeti, jól működő állapotot és ezzel minimalizálják vagy megelőzzék a felmerülő károkat.
Ha egy cégnek nincs terve a katasztrófa utáni helyreállításokra, akkor elképzelhető, hogy egy enyhe vészhelyzet esetén sem tud már visszatérni az üzleti életbe.
A DRP elkészítése mindenképpen megéri a ráfordított pénz és energia befektetéseket.
