Tehnologija ne znači ništa ako nije prilagođena poslovnom kontekstu

Današnje poslovanje nezamislivo je bez pristupa internetu, ali njegova uporaba donosi i mnoge sigurnosne rizike. Jednom otvoren prolaz omogućuje kretanje svima, onima s dobrim namjerama, ali i onima sa zlim.

Piše Lana Ilović, IBM softver grupa, IBM Hrvatska

Zbog toga zaključavamo vrata svoga stana, ne držimo ih stalno otvorenim. Ali lako je kad je u pitanju stan, problem nastaje kad je riječ o ulaznim vratima zgrade, tvrtke, ustanove. Možemo li samo zaključati ulazna vrata? Baš i ne. Poslovanje traži slobodno kretanje ljudi i robe, a zaključana vrata to ne omogućuju. Otvorena vrata? Ni to, poslovanje traži sigurnost. Što napraviti? Pa u načelu je jednostavno: treba definirati poslovne potrebe. Kad ih definiramo, možemo odrediti prihvatljiv rizik, a u skladu s njime možemo više ili manje odškrinuti vrata, zaposliti portira, postaviti kamere. Zatim se dogodi incident i shvatimo da imamo uljeza u vlastitim redovima. Jer nema sto posto pouzdane zaštite. Ali to nije razlog da se ne zaštitimo i smanjimo potencijalnu štetu na najmanju razinu. Slično je s informacijskim zaštitom: ako se kvalitetno definira koliko su određeni poslovni procesi i podaci važni za poslovanje tvrtke, informatičari će moći predložiti rješenja za osiguranje tražene razine zaštite. Danas ima mnogo različitih izvora sigurnosnih prijetnji i različitih načina na koje se može napasti nečija IT infrastruktura i poslovanje. Tvrtke katkad nisu svjesne da se njihovi resursi zloupotrebljavaju niti imaju ideju kako bi se mogli zloupotrijebiti, pogotovo zato što su opasnost za poslovanje ne samo zlonamjerni napadi izvana i iznutra nego i neproduktivna ili neprimjerena uporaba IT resursa i pristupa internetu.

Koji je onda pravilan pristup zaštiti? Pravilan pristup IT sigurnosti jest definiranje poslovne sigurnosne arhitekture koja je kombinacija procesa i tehnologije. Tehnologija bez jasno definiranih procesa ne može mnogo pružiti osim  općenite sigurnosne politike. Svako projektiranje sigurnosne arhitekture počinje definiranjem poslovnog konteksta, koji je u pravilu kompromis između poslovnih potreba i rizika. Poslovni kontekst rezultat je donesenih odluka na osnovi analize vanjskih i unutarnjih uvjeta poslovanja, a sigurnosnom politikom daju se smjernice za ponašanje u tom kontekstu. Rezultat je takva pristupa funkcionalna kombinacija procesa i tehnologije koja podupire postizanje poslovnih ciljeva svodeći pritom rizike na minimum. Treba paziti da sigurnosna arhitektura osim zaštite mora osigurati i uskladivost s pravnim, tj. zakonskim i regulatornim, zahtjevima poslovanja. Sigurnost možemo definirati i kao povjerenje da će sustav funkcionirati kao što je zamišljeno, da će biti dostupan i upotrebljavati se prema definiranim poslovnim pravilima uz osiguranu povjerljivost, integritet i dostupnost. Povjerljivost podrazumijeva da su podaci dostupni samo ovlaštenim osobama, integritet da se ne mogu neovlašteno mijenjati, a dostupnost da su dostupni u onom trenutku kad su potrebni.
 
Rizik se definira kao prilika da se nešto dogodi i kolika je razina prihvatljivosti tog događaja za poslovanje. Uvođenje sigurnosti temelji se na analizi rizika i pokušaju da ga se svede na što manju mjeru. Dobra analiza rizika jest dobro određena ravnoteža između rizika i pogodnosti poslovanja. Na osnovi te analize određuje se poslovni kontekst  i prema njemu traže odgovarajuće tehnologije koje će ostvariti zamišljeno. Važna je i usklađenost koja dokazuje da sustav funkcionira prema očekivanjima i pridržava se sigurnosnih smjernica unutar prihvatljivih granica, odnosno tolerancije i poslovnog konteksta. Poslovni kontekst ovisi o zakonima i raznim regulacijama, zato je katkad različit za svaku industriju, katkad i za svaku tvrtku. Za sigurnosnu politiku važno je utvrditi prihvatljivost rizika, uspostaviti kontrolu, omogućiti smanjenje i prihvaćanje rizika te kontrolirati provodi li se kao što je specificirana.

Neke tvrtke, poput IBM-a, odavno su shvatile da samo tehnologija ne znači ništa ako nije prilagođena poslovnom kontekstu i ne uzima u obzir specifične potrebe različitih korisnika. IBM ima poseban tim, poznat pod imenom X-force, koji pronalazi sigurnosne propuste u informatičkim tehnologijama. Informacije do kojih pri tome dođe u suradnji s ostalim dijelovima IBM-a pokušava dovesti u odnos s generalnim uvjetima poslovanja za određenu industriju i onda tako dobiveno znanje ugraditi u produkte poput Tivoli Proventije. U ponudi su tako rješenja za prevenciju napada, provjeru usklađenosti IT infrastrukture s definiranom sigurnosnom politikom, zaštitu web-prometa i prometa e-pošte.