Drumul de la distractie la risc in securitatea informatiei

Putem adauga ca nici atunci nu esti absolut sigur, mai ales daca pastrezi combinatia de la seif sub forma de contact in telefonul mobil. Putem sa spunem ca situatia descrisa mai devreme s-a schimbat cel putin in aceeasi masura si pentru organizatii.Acum zece ani, problemele de securitate erau inca, in mare parte, incidente semi-inocente provocate de tineri programatori care testau securitatea altor sisteme pentru distractie. In 2007, nu distractia este cea care anima astfel de acte. Exista deja cel putin doua site-uri consacrate pe care se liciteaza vulnerabilitati care au “potential” de vanzare.

Factorul “fun” a disparut din informatica la nivelul celor care stiu cu adevarat cum sa exploateze deficientele de securitate ale sistemelor informatice. Acum vorbim de “risk assesment”, “business impact analysis”, “security reviews”, “vulnerabilty assesments”, “penetration testing”. Inca nu pare suficient de grav? Conform celui mai recent studiu Deloitte “Securitatea la Nivel Global 2007”, problemele privind securitatea informatiei continua sa atraga atentia directorilor executivi, cu toate acestea rezolvarea problemelor este lasata in seama departamentelor IT.

Mai putin de doua treimi din participantii la studiul Deloitte “Securitatea la Nivel Global 2007” detin o strategie privind securitatea informatiei. Doar 10% dintre companiile participante la acest studiu au un director de securitate responsabil de gestionare a problemelor legate de securitatea informatiei.

Rezultatele studiului releva urmatorul paradox: exista o discrepanta uriasa intre gradul de constientizare a problemelor de securitate si identificarea de solutii.

Daca as fi intrebat care este acel “un lucru” pe care o organizatie ar trebui sa il intreprinda pentru a face primul pas catre un nivel mai bun de securitate a datelor, raspunsul ar fi, fara nicio ezitare, evaluarea riscurilor (Risk Assessment).

Desigur, multi directori considera ca industria in care activeaza compania isi face tinte mai putin importante pentru criminalitatea electronica. Si au dreptate sa considere asta, insa riscurile de securitate sunt la fel de mari. Sau chiar mai mari, fiindca un cybercriminal “educat” stie ca sistemele unei banci sunt (de cele mai multe ori) mai bine securizate si isi poate concentra voluntar atentia asupra unei companii de distributie, de exemplu. Ce au de castigat din aceste actiuni vom discuta poate “intr-o emisiune viitoare”, pana atunci, insa, incercati sa va aduceti aminte cand ati pronuntat sau cand ati auzit ultima data in cadrul organizatiei sintagma “Risk Assessment” in conexiune cu securitatea datelor!

“ Astazi, daca intrebi pe un forum de securitate cum poti sa asiguri securitatea completa a datelor, singura solutie perfecta este sa inchizi calculatorul, sa ii opresti alimentarea si sa il inchizi intr-un seif

Radu Herinean Enterprise Risk Services Manager la Deloitte Romania