Mi veszélyesebb a vírusnál?

Ma Magyarországon alig másfél tucat cégvezető mondhatja el a vállalatáról, hogy a nemzetközi IT-biztonsági szabvány, az ISO 17799 szerint működik. Annak ellenére így van ez, hogy a Gazdasági és Közlekedési Minisztérium pályázatot is kiírt a honi kkv-knak a szabvány bevezetésére. Az érdektelenségre nagyon jellemző, amit az egyik hazai IT-biztonsági cég vezetője mondott: háromezer vállalathoz küldtek ki tájékoztatót a pályázati lehetőségről, s ennek nyomán ketten érdeklődtek a részletek iránt.

Csekély vigasz, hogy az üzleti életben használt számítástechnikai rendszerek sebezhetősége mára globális problémává szélesedett. Az Ernst & Young 66 országra kiterjedő tanulmánya úgy foglalta össze a „világszinten” jellemző közállapotokat: a vállalatok egyharmada nem lenne képes megfelelően reagálni számítástechnikai rendszerét érő támadásra. A helyzet annál is súlyosabb, hiszen az említett tanulmány korántsem valamiféle informatikai katasztrófa-forgatókönyvet vizsgált, hanem olyan mindennapos szituációkat, mint a védett információk ellopása vagy a számítógépek elleni vírustámadás. Ráadásul ezek a mindennapos esetek sem alábecsülhetők, hiszen egy másik, brit felmérés szerint a szigetországban a kkv-k 40 százaléka lehúzhatná a rolót, ha az üzletmenet folytonossága megszakadna. Ahogy mondják: egy „tűzfal”, vagy egy adatbázis bármikor újraépíthető, de az üzleti jó hírnév rekonstruálása már bajosabb.

TÁMADÁSI TENDENCIÁK. Mire számíthatunk? Talán ez a legfontosabb kérdés. Bár az sem érdektelen: mire számítanak a cégvezetők? Nos, a hazai vállalatok portáit megtekintve, azt gyaníthatjuk, hogy a honi cégvezetők a vállalatot általában a garázdáktól féltik. Legalábbis erre utal, hogy miközben az üzleti szféra alig költ a számítástechnikai eszközök biztonságára, arra azért gondosan ügyelnek, hogy legalább egy kigyúrt izomzatú, kopaszra borotvált biztonsági őr álljon a kapuban. Más kérdés, hogy manapság egy mobiltelefon memóriájában akár a cég teljes ügyfélköre vagy bármely más fontos adatbázisa könnyedén kivihető, akár több kigyúrt pasi szemeláttára is.

Az IT-biztonságra szakosodott cégek tehát egyelőre – már csak jól felfogott érdekből is – jobb híján ismeretterjesztéssel foglalkoznak. Nem szégyelli ezt a Metacom sem, amely a honlapján rendszeresen közöl elemzéseket, többek közt a jellemző támadási formákról is. „Korunk” talán legfontosabb támadási tendenciája a támadó eszközök sebességének növekedése. Ma már nem ritka az olyan automatikus, önterjesztő informatikai támadó eszköz, amely 16-18 óra alatt eléri a globális fenyegetés szintjét. A gyorsaság szorosan összefügg az automatizációval: míg néhány éve szükség volt valakire, egy koordináló személyre, aki a támadás újabb ciklusait indította, mára ez is teljesen automatikusan, mondhatni önjáró módon működik.

A másik jellemző tendencia a támadó programok fejlettsége. Ez például abban is megnyilvánul, hogy a támadó a támadás közben folyamatosan változik, és jelentősen megnehezíti ezzel a felderítést és a védekezést.

Végül említést érdemelnek az úgynevezett férgek, melyeknek a vírusokkal ellentétben nincs szükségük olyan felhasználóra, aki a terjedés folytatását irányítja, ehelyett önmagukat terjesztik. Mégpedig oly módon, hogy erősen automatizált természetük az általuk kihasznált viszonylag széles körű sebezhetőség természetével párosul, s ez lehetővé teszi, hogy néhány órán belül viszonylag nagy számú rendszert kompromittáljanak.

AZ ELLENSÉG KÖZTÜNK VAN. Mielőtt túlzottan belemelegednénk a külső támadók elemzésébe, érdemes egy pillantást vetni a KilleApp cég jelszavára: „a védett információt rendszerint belső támadások fenyegetik leginkább”. Hogy is van ez? Hallai Szabolcs, az IT Business Consulting Magyarország Kft. ügyvezetője osztja az idézett véleményt. Úgy fogalmaz, a cégekre az jellemző, hogy jobb esetben megveszik az informatikai, köztük az IT-biztonsági eszközöket is, de az alkalmazottak kiképzésével már nem törődnek. Vagy ha mégis, akkor jellemző, hogy egyetlen ember, a rendszergazda van kiképezve, s ez hihetetlen biztonsági kockázattal jár.

Mert mi történik, ha a „kiválasztott” ember lebetegszik, vagy ne adj isten átmegy a konkurenciához? Ezt az alultervezést tetézi még a hazai szerződtetési gyakorlat, hogy általában az alkalmazotti szerződésekből is hiányzik a titoktartási kötelezettség. Vagy ha mondjuk a rendszergazdával aláíratnak egy ilyen szerződés, a karbantartókkal, akik gyakorlatilag szintén hozzáférhetnek a gépekhez, már nem. Ennek fényében mondható, hogy ma Magyarországon a vírusoknál sokkal nagyobb fenyegetést jelentenek a vállalatok számára saját dolgozóik, akik gyakran a teljes ügyfélkör adatbázisát magukkal viszik a következő munkahelyükre – általában minden különösebb következmény nélkül.

A mai állapotokat az a rövidlátó vezetői gyakorlat is állandósítja, amely a biztonsági beruházásoknál általában csak a költségekre figyel, de az elhárítható veszélyek, kiküszöbölhető kockázatok „árát” már nem veszi számításba.