Multe firme cred că au securitate pentru că au un antivirus și un IT-ist. E ca și cum ai spune că ai grijă de sănătate pentru că ai trusă de prim ajutor. Bun de avut, dar departe de tot ce înseamnă.
Securitatea informației e, de fapt, grija pe care o porți informației importante din firmă: contracte, date de clienți, prețuri, rețete, planuri. Indiferent că stau pe un server, pe un laptop, pe hârtie sau în capul unui angajat care vorbește la telefon în tren.
Cele trei lucruri pe care le aperi
Tot ce face securitatea informației se învârte în jurul a trei idei simple. Le vei găsi peste tot, sub numele de confidențialitate, integritate și disponibilitate.
- Confidențialitate. Informația o vede doar cine are voie. Lista de salarii nu ajunge la toată firma, datele unui client nu ajung la altul.
- Integritate. Informația e corectă și nimeni nu o schimbă pe ascuns. Un cont bancar din factură rămâne cel real, nu unul pus de un atacator.
- Disponibilitate. Informația e acolo când ai nevoie de ea. Dacă un atac îți blochează sistemul și nu mai poți lucra o săptămână, ai o problemă de disponibilitate, chiar dacă nimic nu s-a scurs.
Orice incident strică unul sau mai multe dintre aceste trei lucruri. Dacă le ții minte pe acestea, ai înțeles deja jumătate din subiect.
Nu e doar IT: oameni, procese, tehnologie
Aici e capcana în care cad cele mai multe firme. Cumpără o tehnologie scumpă și cred că au rezolvat. Dar securitatea stă pe trei picioare, și tehnologia e doar unul.
- Oameni. Un angajat care recunoaște un e-mail fals oprește un atac pe care niciun program nu l-ar fi prins la timp. Tot un om e și cel care ține o parolă pe un bilețel lipit de monitor.
- Procese. Reguli simple, scrise: cine are acces la ce, cum se trimite în siguranță un fișier, ce faci când pleacă un coleg. Fără ele, fiecare improvizează.
- Tehnologie. Parole bune, criptare, copii de siguranță, actualizări. Necesară, dar fără oameni și procese în spate, degeaba.
Despre partea de oameni am scris mai pe larg în articolul despre cultura de securitate și în factorul uman.
ISO 27001: o rețetă gata făcută
Nu trebuie să inventezi totul de la zero. Există un standard internațional, ISO 27001, care spune cum își pune o firmă la punct securitatea informației și cum o ține vie în timp. Practic, e o listă verificată de lucruri la care să te gândești, de la reguli și roluri până la oameni și tehnologie.
Nu ești obligat să te certifici ca să te folosești de el. Poți lua structura lui ca pe o hartă: te ajută să nu uiți zone întregi și să nu te apuci de tehnologie înainte de a ști ce aperi. Despre cum tratează standardul partea de oameni am scris separat, în securitatea resurselor umane în ISO 27001.
De unde începi, concret
Nu de la cumpărături. De la o privire sinceră asupra a ceea ce ai.
- Fă o listă cu ce informații ai și unde stau. Nu poți apăra ceva ce nici nu știi că exiști.
- Întreabă-te ce te doare cel mai tare. Ce informație, dacă se pierde sau se scurge, îți oprește businessul sau îți pierde clienții. Acolo pui prima dată efortul.
- Pune măsurile de bază. Parole bune și autentificare în doi pași, copii de siguranță testate, acces pe roluri, actualizări la zi.
- Învață oamenii. Câteva reguli simple, repetate, schimbă mai mult decât orice produs nou.
- Scrie un plan pentru când se întâmplă ceva. Cine sună pe cine, ce oprești primul. Mai bine pe hârtie acum decât improvizat în criză.
La INFOSHARE facem exact acest drum împreună cu firmele, pas cu pas și pe înțelesul tuturor. Vezi serviciul de securitate a informației, auditurile și testările, iar pentru un ghid practic, articolul despre reziliența afacerii.
Întrebări frecvente
Care e diferența dintre securitatea informației și securitatea cibernetică?
Securitatea informației apără orice informație importantă, în orice formă: pe calculator, pe hârtie, într-o discuție. Securitatea cibernetică e o parte din ea, cea care apără datele și sistemele din mediul digital. Cu alte cuvinte, securitatea cibernetică e inclusă în securitatea informației, nu invers.
Ce înseamnă confidențialitate, integritate și disponibilitate?
Sunt cele trei lucruri pe care le apără securitatea informației. Confidențialitate înseamnă că informația o văd doar cei care au voie. Integritate înseamnă că informația e corectă și nu a fost schimbată pe ascuns. Disponibilitate înseamnă că informația e acolo când ai nevoie de ea. O problemă de securitate strică unul sau mai multe dintre aceste trei lucruri.
Securitatea informației e doar treaba departamentului IT?
Nu. Tehnologia e doar o parte. Securitatea informației stă pe trei picioare: oameni, procese și tehnologie. Cele mai multe incidente pleacă de la o eroare umană sau de la o regulă lipsă, nu de la un firewall slab, așa că dacă lași totul în curtea IT-ului, rezolvi doar o treime din problemă.
De unde începe o firmă mică cu securitatea informației?
De la o întrebare simplă: ce informații am și ce s-ar întâmpla dacă le-aș pierde sau dacă ar ajunge la cine nu trebuie. După ce știi ce ai de protejat și ce te doare cel mai tare, pui primele măsuri pe ce e mai riscant: parole bune, copii de siguranță, acces pe roluri și oameni învățați. Nu ai nevoie de un buget mare ca să începi, ai nevoie de o ordine clară.
Vrei să pui ordine în securitatea informației, fără să te pierzi în termeni?
Pornim de la ce ai de protejat și construim, pas cu pas, un set de măsuri pe înțelesul tuturor din firmă.