Wiele małych i średnich przedsiębiorstw podejmuje niewłaściwe kroki w zakresie zabezpieczeń IT. Jest to dziedzina wymagająca specjalistycznej wiedzy, a często zatrudniani bywają pracownicy bez odpowiednich kwalifikacji. Czas zmienić to podejście!
Poszukiwany: pracownik wszechstronny
Gdy bliżej przyjrzymy się pracy danego zespołu, często okazuje się, że wszyscy dobrze wypełniają swoje obowiązki. Mimo niewystarczającej liczby pracowników oraz ograniczonego budżetu, udaje się zapewnić codzienne funkcjonowanie firmy i przezwyciężać pojedyncze sytuacje kryzysowe. Czego właściwie wymaga się od pracowników? W zasadzie wszystkiego – począwszy od tworzenia kont użytkowników oraz administrowania instalacją i funkcjonowaniem oprogramowania, poprzez planowanie (pod)sieci, konfigurowanie routerów oraz konserwację sprzętu. W wielu działach IT osiągnięto zatem perfekcję w zakresie „stawania na głowie”, by przedsiębiorstwo mogło normalnie funkcjonować.
IT = Zabezpieczenia?
Sytuacja nie przedstawia się jednak tak różowo, gdy przyjrzymy się bliżej zabezpieczeniom IT. Większość osób pracujących w tej dziedzinie zdaje sobie sprawę, że komunikację należy szyfrować wszędzie, gdzie to tylko możliwe oraz że ważną kwestią jest posiadanie różnych poziomów zezwoleń, a zabezpieczenia to nie tylko ochrona przy pomocy hasła. Gorzej, jeśli osoby, sprawujące wyższe stanowiska również tkwią w przekonaniu, że takie działania będą wystarczające. Spośród wielu osób pracujących w sektorze IT, niewiele jest tak naprawdę prawdziwych ekspertów ds. zabezpieczeń. Zaznaczyć należy, że ci “specjaliści” sami nie są niczemu winni (szczególnie na początkowym etapie cyfryzacji miejsc pracy zabezpieczenia nie stanowiły istotnego problemu). Potrzebowano wtedy (i teraz wygląda to podobnie) ludzi umiejących planować i wdrażać wydajne koncepcje, a następnie czuwać nad nimi. Wszyscy oni dobrze wykonywali swoją pracę i tak jest do tej pory. Jednak do wydajnego zabezpieczenia sieci potrzeba czegoś jeszcze. Każdy plan powinien uwzględniać założenie, że do sytuacji kryzysowej w pewnym momencie dojdzie. W idealnym świecie każda sieć byłaby planowana z uwzględnieniem kwestii zabezpieczeń. Niestety w rzeczywistości mamy do czynienia z sieciami, które rozwijały się z biegiem czasu i teraz potrzebują ochrony. Możliwość rozplanowania całej infrastruktury sieciowej od początku jest obecnie rzadkością w firmach.
Zakres obowiązków
Zapytajmy managera, za co odpowiedzialny jest dział IT. Zapewne usłyszymy odpowiedź: „oczywiście za kwestie związane z IT”. Co jednak to oznacza w praktyce? Za co płaci się pracownikom działu IT? Najprawdopodobniej odpowiedź będzie brzmiała mniej więcej tak: „Zadaniem działu IT jest zapewnienie, by wszystkie komputery i serwery oraz związane z nimi procesy biznesowe działały bez zarzutu”. Dział IT ma więc czuwać nad płynnością operacji, a w razie konieczności dodawać lub wymieniać sprzęt. W czasach, gdy jeszcze nie odkrywano co tydzień nowych zagrożeń, było to w zupełności wystarczające. Gdy w grę zaczęły wchodzić kwestie bezpieczeństwa, stało się jasne, że w większości przypadków na celowniku znalazł się sprzęt IT, a więc to, za co tak naprawdę odpowiedzialny jest dział IT.
Zabezpieczenia IT jako odrębna dziedzina pozostawały do tej pory w cieniu, co zakładając najbardziej optymistyczny scenariusz przekłada się na wysoki poziom stresu wśród pracowników działów IT. Zakładając mniej optymistyczny obrót spraw, taki stosunek do zabezpieczeń może być brzemienny w skutkach. Należy zmienić myślenie i nie obarczać działu IT odpowiedzialnością za zabezpieczenia. Społeczeństwo zaczęło już dochodzić do wniosku, że zabezpieczenia IT odgrywają coraz ważniejszą rolę w dzisiejszym nowoczesnym i pełnym wzajemnych zależności świecie biznesu. Wszyscy mają świadomość, że przestój w działaniu komputerów spowodowany awarią sprzętu lub zainfekowaniem przez złośliwe oprogramowanie to poważny problem – nie ma możliwości wystawiania faktur, zarządzania towarami, a więc firma traci pieniądze. To samo tyczy się również wycieku poufnych informacji lub tajemnic przedsiębiorstwa. Ale nie jest łatwo wyzbyć się głęboko zakorzenionych przyzwyczajeń.
Praca grupowa
W tym miejscu dochodzimy do sedna sprawy. Działanie w zakresie zabezpieczeń wymaga współpracy i przede wszystkim czasu. Jednak w rzeczywistości korporacyjnej, w której działy IT są przeładowane pracą do granic możliwości, nie dziwi fakt, że w pierwszej kolejności eliminuje się te zadania określane jako najbardziej czasochłonne i najmniej istotne dla zapewnienia ciągłości codziennych operacji. Biorąc pod uwagę wszystkie te czynniki, kompleksowe i wydajne środki zabezpieczające nie mają racji bytu. Szanse maleją jeszcze bardziej, gdy pracownicy lub nawet managerowie wyższego szczebla zauważą, że zaproponowane rozwiązanie koliduje z ich systemem pracy.
Prawdą jest, iż obowiązki działu IT dotyczące zapewnienia należytego funkcjonowania firmy pozostaną takie same, jednak konieczność stosowania zabezpieczeń będzie wzrastać. Zagadnienie to stało się czymś więcej, niż tylko kolejnym z pobocznych obowiązków działów IT i nie można już dłużej spychać tej kwestii na bok. Niezbędna jest pogłębiona wiedza. Przed kadrami zarządzającymi staje wyzwanie uświadomienia swoich pracowników w tym zakresie. Niezbędne w tym kontekście okazuje się zatrudnianie nowych osób, szkolenia dotychczasowych pracowników działów IT lub zaangażowanie zewnętrznych dostawców. Ostatnie rozwiązanie znajduje zastosowanie szczególnie w przypadku firm, które same nie są w stanie stworzyć odrębnego stanowiska dla eksperta do spraw zabezpieczeń.
Kiedy tylko najważniejsze osoby w danej firmie zaczynają interesować się danym zagadnieniem, natychmiast nabiera ono zupełnie nowego znaczenia niż w przypadku, gdy o problemie tym wspomina zwykły administrator sieci IT, mimo że próbuje on wdrożyć dokładnie taki sam projekt.
Zabezpieczenia IT same w sobie nie stanowią celu
Z jednej strony należy zawsze przywiązywać należytą wagę do tej kwestii. Mimo to trzeba pamiętać, że działalność zdecydowanej większości firm na co dzień skupia się na czymś innym, niż zabezpieczenia IT. W takich właśnie przypadkach rekomendowanym rozwiązaniem staje się outsourcing i dotarcie do dedykowanego dostawcy zabezpieczeń. Na dłuższą metę będzie to konieczne – firmy i dostawcy usług IT muszą rozważyć zatrudnienie specjalistów ds. zabezpieczeń IT, wspierających dotychczasowych ekspertów. Tylko w ten sposób możliwe będzie wdrożenie wydajnej koncepcji zabezpieczeń bez rujnowania firmowego budżetu.
