Tehnoloģiju risku novērtējums uzņēmuma drošībai

Uzņēmuma darbība var apstāties nevis liela kiberuzbrukuma, bet šķietami nelielas nepilnības dēļ: viens kopīgs administratora konts, nepārbaudīta datu atjaunošana, novecojis ugunsmūris vai piegādātāja piekļuve, kas palikusi aktīva pēc līguma beigām. Tehnoloģiju risku novērtējums ļauj šīs problēmas pamanīt, pirms tās kļūst par dārgu dīkstāvi, datu zudumu vai reputācijas kaitējumu.

Mazajiem un vidējiem uzņēmumiem risks nav tikai tehnisks jautājums IT nodaļai. Tas ir vadības jautājums par spēju apkalpot klientus, izrakstīt rēķinus, nodrošināt darbiniekiem piekļuvi sistēmām un izpildīt līgumsaistības arī tad, ja kāda tehnoloģija nedarbojas. Labi veikts novērtējums nerada garu problēmu sarakstu. Tas palīdz pieņemt secīgus, biznesa prioritātēm pamatotus lēmumus.

Ko uzņēmumam dod tehnoloģiju risku novērtējums

Tehnoloģiju riski veidojas tur, kur biznesa procesi ir atkarīgi no sistēmām, datiem, cilvēkiem un ārējiem pakalpojumiem. Piemēram, grāmatvedības sistēma var būt mākonī, klientu dokumenti - failu koplietošanas vidē, bet ražošanas vai noliktavas process - atkarīgs no lokāla servera un interneta savienojuma. Katram no šiem elementiem ir savi atteices scenāriji.

Novērtējuma mērķis nav panākt teorētiski nulles risku. Tas praksē nebūtu ne iespējams, ne ekonomiski pamatots. Mērķis ir saprast, kuri riski var radīt būtiskāko ietekmi, cik ticami tie ir un kādi kontroles pasākumi dod samērīgu rezultātu.

Vadībai tas nozīmē skaidrību trīs līmeņos. Pirmkārt, kļūst redzams, kas tieši var apturēt uzņēmuma darbu. Otrkārt, var noteikt, kādas investīcijas ir steidzamas un kuras var plānot pakāpeniski. Treškārt, uzņēmums iegūst pamatotu rīcības plānu sarunām ar apdrošinātājiem, klientiem, regulatoriem, investoriem vai potenciālajiem pircējiem uzņēmuma pārdošanas procesā.

Kur parasti slēpjas lielākie IT riski

Riska novērtējumā nav jāsāk ar sarežģītu tehnisko terminoloģiju. Jāsāk ar uzņēmuma kritiskajiem procesiem. Ja darbinieki vienu dienu nevar piekļūt e-pastam, tas var radīt neērtības. Ja trīs dienas nav pieejama klientu pasūtījumu sistēma, noliktavas uzskaite vai maksājumu informācija, sekas jau var būt tiešas finansiālas.

Īpaša uzmanība parasti jāpievērš piekļuves pārvaldībai. Koplietoti lietotāju konti, pārāk plašas administratora tiesības un neaktīvi bijušo darbinieku konti padara incidentu izmeklēšanu sarežģītu un palielina nesankcionētas piekļuves iespēju. Daudzfaktoru autentifikācija ir būtisks aizsardzības slānis, taču tā neatrisina situāciju, ja lietotājam piešķirtas nevajadzīgas tiesības vai piekļuve netiek regulāri pārskatīta.

Otra bieža riska zona ir rezerves kopijas. Ar to, ka dublējums tiek veikts, nepietiek. Jāzina, vai no tā iespējams atjaunot konkrētu failu, serveri vai visu darba vidi, cik ilgā laikā tas notiks un vai kopija ir aizsargāta pret izspiedējvīrusu. Rezerves kopija, kuru nav iespējams praktiski atjaunot, nav darbības nepārtrauktības risinājums.

Trešā zona ir infrastruktūras dzīves cikls. Novecojuši serveri, neatbalstītas operētājsistēmas, nesegmentēts tīkls un nekontrolētas ierīces nereti turpina darboties gadiem, līdz notiek atteice. Šeit nav vienas universālas atbildes: dažkārt pareizais solis ir sistēmu nomainīt, citkārt - izolēt, papildus uzraudzīt vai sagatavot migrācijas plānu. Izšķirošs ir risks biznesam, nevis tikai iekārtas vecums.

Svarīgi ir arī ārējie piegādātāji. Mākoņpakalpojuma pieejamība, līgumā noteiktais atbalsta līmenis, datu glabāšanas vieta, piekļuves tiesības un iespēja eksportēt datus var tieši ietekmēt uzņēmuma noturību. Piegādātāja zīmols pats par sevi negarantē, ka konkrētā konfigurācija, lietotāju pārvaldība un līguma nosacījumi ir piemēroti jūsu vajadzībām.

Kā veikt tehnoloģiju risku novērtējumu praksē

Efektīvs process savieno tehnisko pārbaudi ar biznesa sarunu. Ja tiek pārskatīta tikai infrastruktūra, var nepamanīt kritisku procesu atkarību no ārēja pakalpojuma vai konkrēta darbinieka zināšanām. Ja tiek intervēta tikai vadība, var palikt nepamanītas konfigurācijas kļūdas un nepietiekami aizsardzības līmeņi.

Praktisku novērtējumu var organizēt piecos secīgos posmos:

• Nosakiet kritiskos procesus un pieļaujamo dīkstāvi. Jāvienojas, kuras funkcijas uzņēmumam ir vitālas un cik ilgi tās var būt nepieejamas. Vienas stundas dīkstāve klientu apkalpošanas sistēmā un vienas dienas dīkstāve arhīva vidē nav vienādi riski.
• Izveidojiet pārskatāmu tehnoloģiju un datu karti. Tajā jāiekļauj serveri, mākoņpakalpojumi, tīkla iekārtas, galvenās lietotnes, datu plūsmas, integrācijas un atbildīgās personas. Bez šādas kartes nevar ticami novērtēt savstarpējās atkarības.
• Pārbaudiet esošās kontroles. Tiek vērtētas piekļuves tiesības, atjauninājumu pārvaldība, pretvīrusu un galaiekārtu aizsardzība, žurnālfaili, rezerves kopijas, tīkla segmentācija, incidentu procedūras un piegādātāju piekļuve.
• Novērtējiet ietekmi un varbūtību. Risks jāsaista ar saprotamu rezultātu: ieņēmumu zudumu, līgumsodu, datu aizsardzības pārkāpumu, darbības kavējumu vai reputācijas zaudējumu. Tas palīdz izvairīties no situācijas, kur tehniskās problēmas tiek risinātas tikai tāpēc, ka tās ir pamanāmas, nevis tāpēc, ka tās ir bīstamākās.
• Sagatavojiet rīcības plānu ar atbildīgajiem un termiņiem. Katram būtiskam riskam jābūt skaidram lēmumam: mazināt, pārnest, pieņemt vai novērst. Plānā jānorāda izmaksu līmenis, biznesa ieguvums, prioritāte un persona, kura seko izpildei.

Riska reģistrs ir noderīgs tikai tad, ja tas tiek regulāri izmantots vadības lēmumos. Dokumentam nevajadzētu kļūt par vienreizēju audita rezultātu, kas pēc prezentācijas paliek mapē. To vajag pārskatīt pēc būtiskām izmaiņām - jaunas sistēmas ieviešanas, biroja atvēršanas, uzņēmuma iegādes, lielas personāla maiņas vai incidenta.

Kā noteikt, ko risināt vispirms

Budžets un komandas kapacitāte parasti neļauj vienlaikus novērst visu. Tāpēc prioritātes jānosaka pēc kombinācijas: iespējamās ietekmes, incidenta varbūtības, atjaunošanas sarežģītības un kontroles ieviešanas izmaksām.

Piemēram, nenotestētas rezerves kopijas kritiskai finanšu sistēmai bieži ir augstas prioritātes risks. Tā novēršana var prasīt samērā nelielu ieguldījumu, salīdzinot ar iespējamo datu zuduma cenu. Savukārt pilnīga mantotas sistēmas nomaiņa var būt dārgs, vairāku mēnešu projekts. Ja sistēmu nevar nekavējoties nomainīt, pārejas periodā risku var samazināt ar izolāciju, stingrāku piekļuves kontroli, uzraudzību un skaidru avārijas plānu.

Ne katrs risks jālikvidē. Dažus var apzināti pieņemt, ja ietekme ir zema un aizsardzības izmaksas būtu nesamērīgas. Taču šādam lēmumam jābūt dokumentētam un vadības apstiprinātam, nevis nejaušam bezdarbības rezultātam.

Kāpēc nepietiek ar vienreizēju IT auditu

Vienreizējs audits ir vērtīgs situācijas momentuzņēmums, īpaši pirms uzņēmuma iegādes, infrastruktūras modernizācijas vai jauna atbilstības projekta. Tomēr tehnoloģiju vide mainās ātri: pievienojas darbinieki, rodas jaunas integrācijas, mainās piegādātāji un tiek ieviesti mākslīgā intelekta vai mākoņpakalpojumu rīki.

Tāpēc risku pārvaldībai jābūt regulāram vadības procesam. Tas nenozīmē ik mēnesi veikt pilnu auditu. Daudzos uzņēmumos pietiek ar regulāru kritisko kontroles punktu pārskatu, ceturkšņa riska reģistra atjaunošanu un visaptverošu novērtējumu reizi gadā vai pēc lielām pārmaiņām.

Ārējs IT partneris šajā procesā var dot neatkarīgu skatījumu un pieredzi no dažādām nozarēm. KSK IT pieeja ir savienot infrastruktūras pārbaudi, darbības nepārtrauktības prasības un vadībai saprotamu prioritāšu plānu, lai drošības jautājumi pārtaptu kontrolējamos biznesa lēmumos.

Tehnoloģiju riski reti piesaka sevi savlaicīgi. Tāpēc visvērtīgākais solis nav gaidīt incidentu, lai pierādītu aizsardzības nepieciešamību, bet laikus pārliecināties, ka uzņēmums spēj turpināt darbu arī tad, kad kāda kritiska sistēma, piegādātājs vai cilvēks nav pieejams.