Andris Gailītis: Cilvēks – datu drošības garants vai problēma?  (12)

Kopumā uzņēmumi gadu no gada kļūst uzmanīgāki, aizvien biežāk paši vēlas pārliecināties, vai viņu IT pakalpojumu sniedzējs laicīgi atjaunina ugunsmūrus, pretvīrusu programmatūru un lietojumprogrammas, lai novērstu dažādus informācijas drošības draudus. Varam secināt, ka programmatūru drošībā tiek ieguldīts daudz vairāk nekā to cilvēku izglītošanā, kas ar tām ikdienā strādā. Bet tieši cilvēciskajam faktoram visbiežāk arī ir izšķirošā loma drošības pārkāpumu pieļaušanā vai informācijas nozaudēšanā.

Jaunākie "Ponemon Institute" pētījumi apliecina, ka turpat divas trešdaļas (67%) uzņēmumu nekādā veidā nemotivē darbiniekus atbildīgāk rīkoties ar sensitīvu vai konfidenciālu informāciju. Tostarp šobrīd populārākie korporatīvās informācijas aizsardzības veidi ir paroles (50%) un failu šifrēšana (41%). Savukārt vairāk nekā puse uzņēmumu (52%) cilvēka faktoru atzīst par visizplatītāko draudu korporatīvās informācijas drošībai ("Kaspersky Lab" pētījums). Dzīvē pierādījies, ka visbiežākie draudi biznesam rodas no kļūdaini adresētiem e-pasta ziņojumiem, nozagtiem vai nozaudētiem informācijas nesējiem un ierīcēm, kā arī mobilajiem tālruņiem. Tāpat neviens nevar būt drošs, ka kolēģis, piemēram, darba datoram "nejauši" pieslēgs atrastu USB vai kādu citu ierīci, kas var inficēt visu uzņēmuma datorsistēmu.

Cilvēki virtuālajā vidē visai bieži jūtas daudz atvērtāki un drošāki, līdz ar to pieļauj kļūdas, kuras, visdrīzāk, nepieļautu reālajā dzīvē. Skaidrs ir arī tas, ka nepiesardzīga un vieglprātīga uzvedība, piemēram, sociālajos tīklos, nav nemaz tik nevainīga. Par to liecina kaut vai nesenais plašu ažiotāžu izraisījušais gadījums par 300 000 eiro izkrāpšanu kādai personai tikai pēc elektroniskas sarakstes iepazīšanās portālā. Tas kārtējo reizi parāda, ka, izmantojot dažādus psiholoģiskus trikus, cilvēkus ir salīdzinoši viegli izmantot krāpnieciskos nolūkos. Jāuzsver, ka šis nav tikai viens izņēmuma gadījums, bet ilgstoši piekoptas krāpnieciskas shēmas, kas strādā visur pasaulē jau kopš interneta izplatības uzvaras gājiena sākuma. Ja cilvēki šādā veidā ir gatavi šķirties no visai ievērojamām naudas summām, tad vēl jo vienkāršāk var tikt izkrāptas dažādas pieejas paroles un kodi, kā arī dažāda rakstura komercinformācija.

Pētījumi parāda, ka tikai trešdaļa (35%) no uzņēmuma vadošajiem darbiniekiem uzskata, ka izglītot darbiniekus par iespējamiem draudiem un preventīviem pasākumiem ir prioritāte. Savukārt 60% joprojām atzīst, ka kolēģiem nav nepieciešamo zināšanu par uzņēmuma informācijas drošības riskiem. Tas vēl jo vairāk apliecina to, ka digitālajā laikmetā uzņēmuma drošības pamats ir darbinieku iesaiste un izglītošana.

Loģiski rodas jautājums – ko darīt? Pirmkārt jau katrai organizācijai un uzņēmumam, ņemot vērā tā darbības specifiku, ir jāveic individuāla risku analīze. Savukārt, balstoties uz to, jāizstrādā sava informācijas drošības politika, kurai jākļūst par rokasgrāmatu darbiniekiem informācijas aprites drošības, aizsardzības un datu šifrēšanas jautājumos gan iekšējos, gan arī ārējos tīklos. Pētījumi rāda, ka uzņēmumus ar holistisko informācijas drošības pieeju negaidīts datu zudums ietekmē mazāk nekā tos, kuriem nav izstrādāta vienota sistēma ("Ponemon Institute"). Informācijas drošības sistēmas izveide un regulāra atjaunošana samazina iespējamo risku ietekmi par 21%.

Arī pēc savas pieredzes varu teikt, ka darbinieku iesaiste uzņēmuma drošības politikas procesos ir īpaši svarīga. Tieši tāpēc DEAC saviem darbiniekiem regulāri organizē apmācības par drošu darbu ar datoru, mobilajām un elektroniskajām ierīcēm, datu nesējiem un e-pastu. Reizi ceturksnī, kā arī masveida kiberdrošības draudu gadījumā visiem darbiniekiem tiek rīkota obligāta instruktāža par informācijas drošību un apriti, kuras noslēgumā katrs aizpilda testu, kas ļauj mums novērtēt darbinieku zināšanu un informētības līmeni. Tas mums visus šos gadus ir palīdzējis strādāt bez jebkādiem nopietniem drošības incidentiem, neskatoties uz to, ka esam viens no lielākajiem Ziemeļeiropas datu centriem un ikdienā strādājam ar datiem vairāk nekā 40 valstīs.

Tāpēc gribu uzsvērt, ka organizācijām un uzņēmumiem ir būtiski neapstāties tikai pie vispārēju drošības principu izskaidrošanas, bet pievērst uzmanību arī darbinieku informācijas apstrādes un glabāšanas paradumiem, paroļu veidošanas un izmantošanas kultūrai. Tostarp ļoti lietderīgi ir organizēt darbiniekiem pieeju tikai tai informācijai, kas viņiem nepieciešama tiešo pienākumu veikšanai darba laikā. Tas palīdzēs ne vien uzņēmumam, bet realitātē palīdzēs pasargāt arī pašus darbiniekus no personīgās informācijas nokļūšanas nevēlamās rokās.