Ha az informatikai trendek közül kiemelünk néhányat, akkor olyan területek kerülnek szóba, mint a mobilitás, a felhő alapú számítástechnika vagy a virtualizáció. Ezek megkerülhetetlen részévé váltak a mindennapjainknak. Az üzleti hatékonyság szempontjából minden bizonnyal számos előny származik a használatukból, azonban a biztonságért felelős szakembereket komoly kihívások elé állítják. Számukra izzasztó napokat hoztak ezek az újdonságok, amik kezelése sem technológiai, sem humán szempontból nem kézenfekvő.

Kicsúszik a felügyelet a kezünkből

Ha a felsorolt trendek közül kiemeljük mobilitást és a cloud computingot, akkor rögtön szembesülünk a védelem egyik legnagyobb kérdésével: hogyan lehet biztosítani a felügyeletet olyan környezetben, amire korlátozottan van rálátásunk?

Korábban a vállalati hálózatok védelme sokkal egyértelműbb volt a biztonságmenedzsment tekintetében. A gyártók ugyanis idejekorán kifejlesztették azokat a központi menedzsment eszközöket, amelyek révén a végpontok védelme egy helyről, jól átlátható módon kontrollálható, ellenőrizhető volt. Aztán azt is felismerték, hogy a központi menedzsmentbe célszerű bevonni az egyéb biztonsági összetevőket, például a hálózatbiztonsági megoldásokat is. Mindez egészen addig jól működött, amíg fel nem ütötték a fejüket az új trendek, és elkezdtek elmosódni a vállalati hálózatok határai.

Nem kellett sok idő ahhoz, hogy a biztonsági szakemberek rádöbbenjenek arra, hogy a mobilitás terjedése, illetve a felhőkbe történő adat- és erőforrás-kihelyezés új technológiai megoldásokat, sőt új védelmi szemléletet követel meg. Sorra kezdtek megjelenni azok a hardveres és szoftveres eszközök, amelyek révén a lehetőségekhez mérten el lehetett kezdeni a hálózaton kívül tárolt és kezelt adatok oltalmazását. Sajnos azonban sok szervezet ezeket a trendeket nem követte, aminek következtében mára rengeteg fenyegetettséggel szemben váltak védtelenné.

Személyes eszközök

Napjainkban a legtöbb vállalatnál megfigyelhető, hogy az alkalmazottak az üzleti tevékenységek elvégzéséhez is a saját okostelefonjukat, esetleg táblagépüket használják, ami adatvédelmi és adatbiztonsági problémákat is felvet. Tapasztalatok szerint a legnagyobb nemtörődömség a kisebb cégek körében van, amelyek nem érzik a kockázatok súlyát, így nem kezelik helyén a BYOD (Bring Your Own Device) kapcsán felmerülő védelmi követelményeket. Legalábbis addig nem, amíg egy üzleti adatokat is tartalmazó vagy a vállalati hálózathoz hozzáféréssel rendelkező mobil készüléknek nyoma nem veszik. A nagyobb szervezetek már jobban tartanak a mobilitás jelentette kockázatoktól, így a köreikben elterjedtebbek a különféle MDM (Mobile Device Management) és MAM (Mobile Application Management) technológiák.

A mobil készülékek központi felügyelete elengedhetetlen szerepet tölt be akkor, amikor egy eszközt ellopnak vagy elvesztenek, hiszen ilyenkor az adatok távolról törölhetők, a telefon zárolható, és nem utolsósorban lekérdezhető a pozíciója.

Sajnos azonban a helyzet nem ilyen egyszerű, hiszen egy-egy ilyen távoli beavatkozás adatvédelmi szempontból aggályos lehet, mivel például a készülék törlésével a felhasználó magántulajdonú okostelefonján tárolt személyes adatok is odaveszhetnek. Ezért az utóbbi időben egyre divatosabbá váltak azok a technológiák, amelyek a személyes és a vállalati adatok, illetve alkalmazások elkülönítését, izolációját is támogatják.

Felhős dilemmák

A biztonság menedzselése szempontjából a felhőalapú szolgáltatások hasonló kihívásokat tartogatnak, mint a mobil munkavégzés. Ez esetben is azzal kell szembenézni, hogy a féltett adatokat olyan helyen kell tárolni, feldolgozni, amelyre nincs teljes rálátás, és a kontroll lehetőségei korlátozottak. Mindez természetesen megfelelőségi nehézségekkel is párosul, így nem csoda, hogy a vállalati rendszerek felhők felé történő kiterjesztése óvatos léptekben történik.

Üzemeltetési szempontból ugyan körülményesebb, de a védelem tekintetében nagyon hasznos lehet a hibrid környezetek alkalmazása. Ekkor a kritikus rendszerek, illetve az azokhoz tartozó érzékeny adatok kezelése továbbra is lokálisan történik, míg a felhőben is biztonságosan, hatékonyan működő szolgáltatások kiszervezésével az üzleti hatékonyság a kockázatok jelentős fokozódása nélkül növelhető.

Természetesen egy ilyen rendszer kiépítése mélyreható kockázatelemzést követel meg, és az adatvagyon, illetve a compliance követelmények pontos ismerete nélkül nem végezhető el megfelelő módon.

Helyben is akad teendő

Miután körüljártuk, hogy a mobilitás és a cloud computing térhódítása milyen hatással van a vállalati biztonságra, nem mehetünk el szó nélkül egy másik védelmi trend mellett. Már csak azért sem, mert szorosan kapcsolódik a felügyelet témaköréhez. Nem másról van szó, mint a kiemelt jogosultsággal rendelkező felhasználók tevékenységmonitorozásáról.

Ez a terület az utóbbi néhány évben központi kérdésé vált, mivel a belső fenyegetettségek kockázatainak kezeléséhez elengedhetetlen. A korszerű, átfogóan működő technológiák közvetve már a mobilok és a felhős szolgáltatások felé is képesek kiterjeszteni ezt a fajta monitorozást, így a vállalati infrastruktúra védelme e tekintetben is kibővíthetővé válhat.

A jövő kihívása: Internet of Things

Az internetképes eszközök térhódítása nem áll meg az okostelefonok szintjén. Már látszanak azok a jelek, melyek arra utalnak, hogy a különféle interneteléréssel rendelkező kütyük a munkahelyekre is betörnek. Ennek kockázatai között kell említeni a nem felügyelt készülékek veszélyét, a jogosulatlan távoli hozzáférés lehetőségét, az adatszivárgási csatornák számának növekedését, az átláthatóság csorbulását, valamint a biztonsági szabályok betartatásának nehézségeit. Vagyis egy védelmi szempontból még nehezebb jövő van kibontakozóban, amelyben a biztonsági technológiákat, a szabályozást és az emberi tényezők szerepét ismét újra kell gondolni.

_{(A szerző a Biztonságportál főszerkesztője.)}