Nagyvállalati biztonságtudatosság
és nyílt forrású információszerzés

Kiber- és információbiztonsági tanulmányok

Szerkesztő

Bonnyai Tünde és Kiss Adrienn (I. rész)

Tóth András (II. rész)

Budapest, 2023

Szerzők (I. rész):

Bányász Péter, Bottyán Sándor, Dobó Judit, Dub Máté, Gyaraki Réka, Hankó Viktória,
Katona Gergő, Kiss Adrienn, Magas Bianka, Nimsz Vivien

Szerzők (II. rész):

Bányász Péter, Ináncsi Mátyás, Katona Gergő, Magas Bianka, Magyar Sándor, Mile Márió, Nimsz Vivien, Ruszkovics Patrik, Tóth András, Tóth Rebeka

Szerkesztők:

Bonnyai Tünde és Kiss Adrienn (I. rész)

Tóth András (II. rész)

Lektorok:

Krasznay Csaba

Szabó-Nyakas Zsolt Csaba

Kiadja a Nemzeti Közszolgálati Egyetem

Ludovika Egyetemi Kiadó

A kiadásért felel: Deli Gergely rektor

Székhely: 1083 Budapest, Ludovika tér 2.

Kapcsolat: kiadvanyok@uni-nke.hu

Felelős szerkesztő: Varga Zoltán

Olvasószerkesztő: Tomka Eszter

Korrektor: Bruckner Nóra

Tördelőszerkesztő: Stubnya Tibor

ISBN 978-615-6598-68-4 (elektronikus PDF) | ISBN 978-615-6598-69-1 (ePub)

© A szerkesztők, ٢٠٢٣

© A szerzők, ٢٠٢٣

© A kiadó, ٢٠٢٣

Minden jog védve.

Tartalom

I. RÉSZ: Biztonságorientáció és -tudatosítás nagyvállalati környezetben

Bevezetés (Bonnyai Tünde)

1. Az aktuális helyzet bemutatása a partnerszervezeteknél végzett felmérés alapján

1.1. Kutatási célú kérdőív a biztonságtudatos attitűd feltérképezésére (Kiss Adrienn)

1.2. A tudatosítás szintje a szakértői interjúk tapasztalatai alapján (Katona Gergő)

1.3. A tudatosítás alkalmazott módszerei (Nimsz Vivien)

2. Biztonság és tudatosítás (Bányász Péter)

2.1. Jogi kötelezettség és vállalati érdek (Hankó Viktória – Bonnyai Tünde)

A kapcsolódó jogi háttér

Nemcsak kötelezettség, hanem szervezeti érdek

A kérdőívek és interjúk eredménye

Összegzés

2.2. A tudatosítás mint kockázatcsökkentő intézkedés (Kiss Adrienn – Bonnyai Tünde)

Kockázatcsökkentés általánosságban

Humán kockázatok csökkentése tudatosítás útján

A kérdőívek és interjúk eredménye

Összegzés

3. Jó gyakorlatok és minimumismeretek

3.1. Az interjúk általános tapasztalatai (Kiss Adrienn)

3.2. Átfogó tudásbázis (Gyaraki Réka)

3.2.1. Jelszó (Bottyán Sándor)

3.2.2. Tiszta asztal (Nimsz Vivien)

3.2.3. Otthoni/távoli munkavégzés (Katona Gergő)

3.2.4. Infokommunikációs eszközök használata (Kiss Adrienn)

3.2.5. A közösségi média használata (Magas Bianka)

3.2.6. Adathalászat (Dobó Judit)

3.2.7. Trükkös csalás (Dub Máté)

Felhasznált irodalom

Jogszabályok

Ajánlott irodalom

Köszönetnyilvánítás

Melléklet

A biztonságtudatosságot felmérő kérdőív

II. RÉSZ: A villamosenergia-rendszer egyes szervezeteinek OSINT-tudatossága és aktuális védelmi képességei

Bevezetés

1. A nyílt forrású információszerzés eszközei

2. Az OSINT előnyei és kihívásai

2.1. Az OSINT előnyei

2.1.1. Hatalmas mennyiségű rendelkezésre álló információ

2.1.2. Nagy számítási kapacitás

2.1.3. Big data és gépi tanulás

2.1.4. Kiegészítő adatok

2.2. Az OSINT kihívásai

2.2.1. Az adatkezelés összetettsége

2.2.2. Strukturálatlan információk

2.2.3. Téves információk

2.2.4. Az adatforrások megbízhatóságának kérdésköre

2.2.5. Erős etikai/jogi kérdések

3. Jogszabályi háttér

3.1. Az Európai Parlament és a Tanács (EU) 2016/679-es rendelete (GDPR)

3.2. A Magyarországon releváns jogszabályi háttér

4. A villamosenergia-vállalatok OSINT-tudatossága és képességei

4.1. Miért van szükségük a vállalatoknak a nyílt forrású információszerzésre?

4.1.1. Az általános ismeretek felmérése

4.1.2. A kapacitás felmérése

4.1.3. Hol és mivel végeznek OSINT-tevékenységet?

4.2. Javaslatok

Felhasznált irodalom

Jogszabályok

Ajánlott irodalom

Melléklet

A vizsgálat során feltett interjúkérdések

I. RÉSZ

Biztonságorientáció és -tudatosítás
nagyvállalati környezetben

Bevezetés

Az MVM Energetika Zártkörűen Működő Részvénytársaság (MVM Zrt.) és a Nemzeti Közszolgálati Egyetem stratégiai szintű együttműködésének égisze alatt született ez a tanulmány, amelyet azoknak a kiberbiztonsági és információbiztonsági kérdések iránt érdeklődőknek a figyelmébe ajánlunk, akik a tudatosságot – mint eszközt és képességet – kulcsfontosságúnak tartják egy szervezet biztonságorientált működése tekintetében. A 2020 őszén kötött megállapodás keretében indított kutatási projektünk egyik zászlóshajójának részeredményét mutatjuk be ebben az összefoglaló dokumentumban, azzal a céllal, hogy partnerszervezeteink jó gyakorlatain keresztül a biztonságtudatosság jelentőségét hangsúlyozzuk. Ennek részét képezi a tudatosítás során alkalmazható, bevált módszertanok – teljesség igénye nélküli – felsorolása, illetve egy vizsgálat alapján meghatározott alapvető tudásanyag, amelynek ismeretében általános értelemben véve végezhető tudatosítási tevékenység.

Kutatásunkban az MVM Zrt. delegált szakértői mellett a Vodafone Magyarország Zrt. és a Szerencsejáték Zrt. biztonsági területen dolgozó kollégái, valamint a vállalatok alkalmazottainak egy része is közreműködött, ezzel lehetővé téve, hogy a szakmában jól ismert NIS irányelv által érintett ágazatokban mérjük fel a munkavállalói tudatosság aktuális szintjét. Azt a célt tűztük ki magunk elé, hogy az energiaágazat, a digitális infrastruktúrák, valamint a digitális szolgáltatást nyújtó szereplők (DSP) halmazában jellemző, a jogszabályi követelményeknek eleget tevő szervezetek tudatossági szintjét vizsgálva úgynevezett best practice-eket mutassunk be, és egy univerzálisan használható, alapvető információbiztonsági tudásbázist építsünk fel.

A kutatási projekt fő pilléreit egy tudatossággal kapcsolatos kérdőív és a partnerszervezetek szakértőivel folytatott interjúk adták. Ezek eredményeinek bemutatásával és következtetések megállapításával arra törekszünk, hogy átfogó, közérthető formában ismertessük a tudatosítási tevékenység jelentőségét, szükségességét és lehetőségeit vállalati környezetben, illetve rendelkezésre bocsássunk egy olyan tudásbázist, amely általánosságban bármilyen szervezeti kultúrában alkalmas alapszintű ismeretek átadására.

Bár a kutatási projekt 2021-ben zajlott, és a tanulmány is ekkor készült, aktualitása mit sem csökkent, a mondanivaló továbbra is releváns. A biztonságtudatosság alapvető értékei ma is helytállóak, és a munkavállalók, illetve a szervezetek elvárásai annak oktatásával szemben továbbra is változatlanok.

Bonnyai Tünde

1. Az aktuális helyzet bemutatása a partnerszervezeteknél végzett felmérés alapján

1.1. Kutatási célú kérdőív a biztonságtudatos attitűd feltérképezésére

A biztonságtudatosság felmérésére szolgáló kérdőív összeállítása során célul tűztük ki, hogy a vizsgált szervezetek munkavállalóinál feltérképezzük a tulajdonság szintjét a viselkedési, magatartási formák szempontjából. A kérdőív[1] ezen empirikus kutatás keretén belül a tudás–képesség–viselkedés modellen alapult, és a biztonságtudatosságon nyugvó tényleges magatartást vizsgálta. Ennek kimutatása érdekében az általános eszközhasználattól kezdve a képzéseken történő részvételen át a mások iránt tanúsított bizalomig igyekeztünk kitérni minden olyan kérdéskörre, amely által tisztább képet kaphatunk a tudatossághoz való hozzáállásról és aktuális mértékéről a projektben részt vevő szervezeteknél. Segítette a vizsgálatot, hogy 686 értékelhetően kitöltött kérdőív érkezett be, így az eredmény viszonylag reprezentatív a munkavállalók attitűdjére vonatkozóan.

Általánosságban elmondható, hogy a válaszadók biztonságtudatosnak tartják magukat, és a magatartásuk alapján a valóság is ezt tükrözi. Az ismeretlen személyek és infokommunikációs eszközök iránti bizalom alacsony, így a kitöltő dolgozókról összességében kijelenthető, hogy tudják, értik és átgondolják, mit, mikor és hogyan cselekszenek olyan helyzetekben, amikor a biztonság mint körülmény számottevő. Ebből arra lehet következtetni, hogy a vizsgált szervezeteknél fontosnak tartják a tudatosítást és az ehhez kapcsolódó képzéseket is.

A kérdőívben feltett kérdések és az azokra adott válaszok közötti összefüggéseket vizsgálva megállapítható, hogy azok a munkavállalók, akik biztonságtudatosító képzéseken vettek részt az elmúlt időszakban, tudatosabb magatartást tanúsítanak, mint azok, akik nem részesültek oktatásban. Ez csak egy kiragadott példa, viszont jól mutatja, hogy a biztonságtudatossághoz való hozzáállásra ténylegesen hatást gyakorol a felkészítés bármelyik formája.

A válaszok alapján tehát átfogó képet kaptunk arról, hogy a dolgozók előre megadott kérdéskörökhöz hogyan viszonyulnak elméletben és gyakorlatban is. A vizsgált szervezetekkel kapcsolatban megállapítottuk, hogy a kitöltők összességében hasonló, logikus és átgondolt válaszokat adtak a kérdésekre, ami a biztonságtudatosság feltételezhetően magas szintjéről tanúskodik. Végül pedig fontosnak tartjuk hangsúlyozni, hogy a nagyszámú kitöltés alátámasztja azt is, hogy a tudatosító képzések – vagyis a biztonságorientált gondolkodásmód és attitűd kialakítása és fenntartása – hosszú távon elengedhetetlen az erős védelem kialakításához.

1.2. A tudatosítás szintje a szakértői interjúk tapasztalatai alapján

Az interjúkon elhangzottakból és a kitöltött kérdőívekből megállapítható, hogy a tudatos felhasználót legtöbben úgy írták le, mint aki figyelmes, és ha valami kicsit is eltér a hétköznapokban megszokottól, észreveszi azt. A szakértőkkel folytatott beszélgetések során feltett kérdésekre adott számos válaszban megjelent az, hogy a tudatos felhasználónak kommunikálnia kell. Ez azt jelenti, hogy kérdezzen, ha valamiben nem biztos, illetve jelezze, ha valami nem hétköznapit tapasztal.

Ezenfelül – összességében – az látható, hogy a vizsgált szervezeteknél kivétel nélkül fontosnak tartják az információbiztonságot, amelynek egyik fő összetevője a tudatosság. Ezt a területet főleg tudatosító oktatásokkal, kampányokkal próbálják erősíteni és fejleszteni, amelyeknek szükséges mennyiségéről megoszlanak a vélemények. Némelyek úgy gondolják, hogy megfelelőek a megszokott számú és mélységű módszerek, ugyanakkor a másik oldalt – hogy sosem lehet elegendő tudatosító eszközt bevetni – is többen képviselik. Az ilyen eljárások javítását illetően a vizsgált vállalatoknál szinte egyhangúan az jelent meg, hogy színesebbé, érdekesebbé kell tenni az oktatást, amely így jobban felkelti a felhasználók figyelmét.

Ahogy azt már említettük, a tudatosító képzés fontosságát a kérdőíves felmérés is alátámasztotta azzal, hogy összefüggést mutatott ki aközött, hogy az illető milyen attitűddel rendelkezik egy adott kérdéskörben (jelszóhasználat, e-mail-használat, közösségimédia-jelenlét, infokommunikációs eszközök alkalmazása, otthoni munkavégzéssel kapcsolatos szokások), és hogy részt vett-e tudatosító oktatáson. Főleg az figyelhető meg, hogy aki részesült ilyen oktatásban, vagy több ilyen kurzust hallgatott végig, az kisebb eséllyel tanúsít információbiztonsági szempontból jelentős kockázatot hordozó magatartást. Látható az is, hogy a kitöltők a biztonságnál kevésbé tartják fontosnak a kényelmet. Erre jó példa a jelszókezelés témaköre, amely kapcsán a válaszadóknak csak egy kis része – kevesebb mint 25%-a – gondolja úgy, hogy lehet ugyanazt a jelszót használni több profil esetében is, és többségüknek eltérő belépőkódja van a különféle felületeken. Egy másik példa erre a képernyőzár: a kitöltők jellemzően – több mint 90% – inkább zárolják az eszközüket, mint felügyelet nélkül hagyják.

Mind az interjúkból, mind a kérdőívekből az jön le, hogy a tudatosításra a legjobb eszköz az oktatás. Az előbbiekből azonban ennek kapcsán az is leszűrhető, hogy számos tényező gátolhatja e tevékenységek sikeres kivitelezését. Ilyen például az erőforrás és az idő hiánya, a tananyagok interaktivitásának szűkössége és frissítésének elmaradása is. Emellett a válaszok között megjelent néhány esetben a felhasználók érdektelensége is, amelyre a szervezeteknél folytatott interjúk alanyai ugyan javasolhatnak megoldást, de annak megvalósítását illetően is korlátozó körülményként azonosítható az idő- és erőforráshiány.

1.3. A tudatosítás alkalmazott módszerei

Az emberi tényező okozta kockázatok és az azokból eredő incidensek csökkentésére az egyik leggazdaságosabb és leghatékonyabb módszer a felhasználók rendszeres, munkaköri és felelősségi szintjének megfelelő, célirányos továbbképzése és biztonságorientált felkészítése. A projektben részt vevő három vállalat által alkalmazott tudatosító módszertanok, jó gyakorlatok rövid összefoglalásával a biztonsági célú képzések, programok kialakítását megalapozó eljárásokat mutatjuk be. Az információbiztonsági tudatosítás eredményes megvalósítása egy komplex, szervezetre szabott, szervezetikultúra-fejlesztési program, amelynek egyaránt része az adott vállalatot érintő kockázatok felmérése, a kockázatkezelési stratégia meghatározása, az informatikai biztonsági szabályozás kiadása és a felhasználóktól elvárt viselkedési szabályok rögzítése. A felsorolt információk birtokában végezhető el a biztonságtudatosítási program személyre szabása, majd a dolgozók felelősségi és felkészültségi szintjének legmegfelelőbb képzési formák meghatározása, a tudás átadása, illetve ellenőrzése.[2]

A három vizsgált szervezet mindegyike alkalmaz ilyen programokat, kampányokat, egyéb módszereket azért, hogy a mindennapi munkavégzés – úgy az irodából, mint otthonról is – információbiztonsági szempontból a lehető legideálisabban történjen. A sokszor gyakorlati példákból összeállított biztonságtudatosító oktatások előírásként jelennek meg a nagyobb szervezetek életében, azonban a hatékonyság érdekében, hogy igazán lekössék a munkavállalók figyelmét, érdemes kreatívabb megoldásokhoz, kampányokhoz nyúlni. Ami pedig a rendszeres képzéseknél talán még fontosabb, hogy különböző tesztekkel, szituációkkal mérjék is a kurzusok eredményességét.

Hétköznapi és elcsépelt módszernek tűnhet a szokásos e-mailek kiküldése, amelyek a már ismert közhelyekkel próbálják felhívni a dolgozók figyelmét a biztonságos munkavégzésre. Azonban a meghatározott időközönként kiküldött, az éppen aktuális, kiberbiztonsággal, kiberbűnözéssel kapcsolatos, tömör és közérthető hírekkel gazdagított hírlevelek rendszeres olvasmányként épülhetnek be a munkatársak életébe, így elősegíthetik információbiztonsági elővigyázatosságukat.

A céges csapatépítő programok egyfajta kiszakadást jelenthetnek a hétköznapi monotonitásból, azonban annak érdekében, hogy a kellemes össze legyen kötve a hasznossal, érdemes egy biztonságtudatosító szabadulószobával bővíteni ezeket az alkalmakat. Viszonylag könnyen lehet szimulálni egy „bakikkal” tarkított irodai közeget, ügyelve arra, hogy a környezet kizárólag szimuláció maradjon. A szabadulószobán túl akár egy vetélkedő is kellemesnek, ugyanakkor hasznosnak bizonyulhat, a megfelelő előkészítés után. A kreatív megoldások mellett célszerű egyszerű dolgokban is gondolkodni: egy laptopra ragasztható kameratakaró, egy-két jelmondattal ellátott poháralátét és egyéb, apró, irodai környezetben mindennapos használati eszközök is sikerrel tudják ráirányítani a figyelmet a megfelelő jelszóhasználat vagy akár a tiszta asztal, tiszta képernyő elv fontosságára.

A teljesség igénye nélküli felsorolásokból is láthatjuk, hogy számos módszer, eszköz áll rendelkezésre a munkavállalók tudatos moráljának szinten tartására, növelésére, azonban hangsúlyozni kell, hogy erre a tevékenységre nem tekinthetünk úgy, mint egy „extra szolgáltatásra”. Elkötelezettség és tervezettség, illetve előrelátás és következetesség szükséges ahhoz, hogy az információbiztonság humán oldalról történő támogatása, az elvárt magatartásformák kialakítása és gyakorlása rutinszerűvé válhasson.

2. Biztonság és tudatosítás

A tanulmány elkészítésével elkötelezettségünket fejezzük ki a biztonságtudatosság mellett. Fontosnak tartjuk megjegyezni, hogy egy olyan összefoglaló dokumentumról van szó, amelynek szerzői bár partnerszervezetekkel együttműködve kutatták a tudatosságra vonatkozó legjobb eljárásokat, egyes fejezetei önállóan léteznek, és nem a vállalatok gyakorlatait mutatják be. Ebből adódóan külön-külön is megállják a helyüket, elsősorban figyelemfelhívó szándékkal íródtak.

A kutatásban részt vevő partnerszervezetek az állami és önkormányzati szervek elektronikus információbiztonságáról szóló 2013. évi L. törvény (Ibtv.) hatálya alá tartoznak, amely többek között a biztonsági események megelőzésével és kezelésével kapcsolatos kötelezettségeket állapítja meg. A törvényi kötelezés mellett egyéb jogi eszközök, mint például a 41/2015. BM rendelet[3] (a továbbiakban BM-rendelet), illetve egyedi belső szabályozók is meghatározzák a szervezetek információbiztonsági szempontú működését. Így hatással lehetnek a munkavállalók biztonságtudatossági szintjének javítására vagy fenntartására azáltal, hogy milyen megoldásokat alkalmaznak e célból.

A tudatosság és a tudatosítás természetesen egyéni és szervezeti szinten egyaránt fontos, hiszen a cég által biztosított képzések során elsajátított ismereteket a felhasználó a magánéletében is hasznosítani tudja. A biztonságtudatosságra koncentrálva a tanulmány e fejezetében szó lesz még a tudatosításról mint kockázatcsökkentő intézkedésről. A kockázatelemző-értékelő tevékenységek rendeltetésükből adódóan hivatottak szolgálni a vállalatok életében szükséges, megvalósítható védelmet. Ha feltárjuk a szervezetek esetében felmerülő veszélyeket, akkor reális képet kaphatunk a védelmi intézkedések lehetőségeiről, így képessé válhatunk az ismert rizikó lehető legminimálisabb mértékűre való csökkentésére. Tanulmányunk kockázatcsökkentő intézkedésekre vonatkozó alfejezetében rögzítjük a kockázat mint gyűjtőfogalom lényegét, majd ezzel összefüggésben kifejtjük a tudatosítás szükségességét és azt, hogy miből kell állnia az ezt célzó oktatásoknak. Az alfejezetből az is ki fog derülni, hogy hogyan járulnak hozzá az említett intézkedések a vállalati biztonság fenntartásához, és az is, hogy miért van szükség a biztonságtudatosságra mint szemléletre.

Bár a tanulmánykötet megírása során a közreműködő partnerszervezetekkel kapcsolatos fókusz miatt merültek fel az említett és a továbbiakban kifejteni kívánt jogszabályok, módszerek és eszközök, tanulmányunk mégis általános jellegű. Célunk, hogy kötetünk bármely, az Ibtv. hatálya alá tartozó vállalatnak hasznos legyen, és a jövőben alkalmazhatóvá váljon a tudatosítást megcélzó szervezetek számára.

2.1. Jogi kötelezettség és vállalati érdek

A fejezet előszavában is szerepel, hogy a hazai jogszabályi környezet számos kötelezettséget ír elő a szervezetek számára, ilyen például a tudatosítási képzések szervezése, lebonyolítása, illetve a megszerzett ismeretek számonkérése. Rendkívül fontos azonban, hogy a vállalatok és vezetőik ne csak előírásként tekintsenek ezekre az elemekre, hanem lássák azt is, hogy milyen hatásai lehetnek a biztonságtudatos magatartás hiányára visszavezethető eseményeknek. A megelőzés, beleértve a felkészítés keretrendszerébe tartozó tudatosítást, az ő érdekük is, hisz a különböző incidensek, károk elkerülésével megóvhatják szervezetüket egy – a helyreállításra fordított – nagyobb anyagi kiadástól vagy akár presztízsveszteségtől. Ehhez kapcsolódóan bemutatjuk, hogy a kérdőívek és interjúk alapján a partnerszervezeteknek milyen, a témát illető tapasztalataik, jó gyakorlataik vannak.

A kapcsolódó jogi háttér

Ahogyan már említettük, az Ibtv. összetett kötelezettségeket állapít meg a vállalatok számára. Egyik eleme, hogy a hatálya alá tartozó szervezetek az elektronikus információs rendszer (EIR) biztonságáért felelős személyt (informatikai biztonsági felelős, IBF) kötelesek kinevezni vagy megbízni, valamint informatikai biztonsági szabályzatot (IBSZ) kötelesek alkotni. A törvény továbbá kimondja, hogy az IBF-nek és az EIR biztonságával összefüggő feladatok ellátásában részt vevő személyeknek – beleértve az EIR védelméért felelős vezetőt is – rendszeresen részt kell venniük különböző szakmai képzéseken,[4] illetve továbbképzéseken.[5] Azonban nemcsak a felelősök, hanem a vállalat összes dolgozójának oktatása ajánlott, hiszen a komplex biztonság kialakításának elengedhetetlen feltétele, hogy a szervezet minden tagja tisztában legyen saját, munkavállalói felelősségével, és ennek érdekében kellően biztonságtudatossá váljon. Ennek lehetséges eszköze a biztonságtudatossági tréning, amelyet évente érdemes (és célszerű) megtartani, ezáltal a munkatársak ismétlő jelleggel elsajátíthatják a biztonságos munkavégzéshez szükséges vállalati és jogszabályi követelményeket. Emellett például egy ilyen jellegű program, illetve kampány szervezése is jó megoldás lehet, amely szintén hozzájárulhat a dolgozók biztonságtudatossági szintjének fenntartásához és növeléséhez.[6]

A képzésen túl az IBSZ megalkotása szintén kiemelkedően fontos kötelezettség a szervezetek számára. A dokumentum – amely a vállalat belső szabályozóihoz illeszkedik – tartalmazza az információbiztonságra vonatkozó célkitűzéseket, a szabályzat (tárgyi, személyi és a szervezet jellegétől függően területi) hatályát, a kapcsolódó szerepköröket és a hozzájuk rendelt tevékenységet, illetve az ahhoz kötött felelősséget. Emellett ebben szükséges rögzíteni a cég jogszabály alapján meghatározott biztonsági szintjét és az EIR-ek biztonsági osztályait is. Mindezzel azonban még nem teljesül maradéktalanul a törvény által előírt kötelezettség, ugyanis a BM-rendelet 4. mellékletében szereplő védelmiintézkedés-katalógus szerint a szabályzat mellett eljárásrendek kialakítása is szükséges a teljes körű megfeleléshez.[7] Ezek működtetése és betartása minden érintett munkavállaló számára kötelező, így ismerniük is kell a tartalmukat, legalább a saját feladataik és tevékenységi körük relációjában.

Nemcsak kötelezettség, hanem szervezeti érdek

A biztonságtudatosságra mind külső (például jogszabályok, szabványok), mind belső tényezők (például belső szabályzatok, felső vezetői utasítások, ellenőrzés) hatással vannak. Fontos, hogy a biztonság a vállalati kultúra része legyen, hiszen az befolyásolja az egyének hovatartozási tudatát, helyzetét és szerepét a szervezeten belül. Ebből következik, hogy a biztonsági kultúra kialakítása, szintjének fenntartása/emelése önmagában is védelmi intézkedésnek számít. A biztonságtudatosság a különböző vállalati szokásokban, a belső kommunikációban használt nyelvezetben vagy akár a szimbólumok alkalmazásában is megjelenhet. Ennek hiányában az egyén nem képes felismerni a fenyegető tényezőket, az őt körülvevő kockázatokat, sem pedig a rendkívüli biztonsági eseményeket, így azok következményeit sem, ami összességében akár oda is vezethet, hogy nem lesz képes ellátni a kötelező és a vállalt feladatait.[8] Ennek tervezett és tudatos megelőzése tulajdonképpen a biztonságba való beruházás. A felhasználók tudatos magatartásának kialakítása és fejlesztése által – többek között – a következő károk és szituációk védhetők ki:

– időszakos vagy tartós bevételkiesés az incidens következményeinek felszámolási időtartamától függően;

– időszakos vagy tartós működési zavarok az incidens jellegétől függően;

– ügyfelek vagy adataik elvesztése;

– ügyfelek vagy dolgozók által indított perek;

– személyazonosság lopása;

– vagyonlopás;

– a vállalat szempontjából bizalmas információk kiszivárgása.[9]

Hangsúlyozni szükséges továbbá, hogy minden esetben az embert kell meggyőzni arról, hogy tegyen magáért, a saját fejlődéséért, biztonságáért, aminek következtében aztán a munkahelyi magatartása is változik. Ahogy ez jellemző az élet minden területén – például az egészségünkért még a betegséget megelőzően kell tennünk –, úgy hasonló a helyzet a biztonságtudatossági szint fejlesztése tekintetében is, amely a biztonsági események megelőzéseként is értelmezhető. Ehhez megfelelő lehet egy követhető példakép, aki a megszokott tudásanyagon felüli ismereteket sajátít el, és motiválttá válhat arra, hogy a körülötte lévőket – munkahelyi közeg, magánéleti szereplők – biztonságtudatosságra ösztönözze.[10]

Összességében tehát az egyén képzése nemcsak rá lesz hatással, hanem a szűkebb és tágabb környezetére is, ami a többi alkalmazottat is ösztönözheti: ha látják, hogy egyes kollégák bizonyos módon cselekednek, ők is azt a példát fogják követni. Általában minél többen viselkednek egyféleképpen, annál nagyobb az esélye annak, hogy mások is csatlakozzanak.[11]

A kérdőívek és interjúk eredménye

A tudatosítás fontosságát és a vállalati érdek gyakorlatiasságát – tehát azt, hogy a gyakorlatban is érződik, hogy a tudatosítás a szervezet érdeke – a kérdőív egyes kérdései igazolták. Ilyen például az IBSZ ismeretének mértéke, hogy szabad-e magáneszközt munkavégzésre használni, vagy az, hogy mennyire jártak tudatosító képzésekre a munkavállalók. A kérdőív kiértékelése során a kereszttábla-elemzés keretében az oktatáson való részvétel és az IBSZ ismerete közötti kapcsolat kimutatására irányuló vizsgálatot folytattunk, amely szignifikanciát mutat, továbbá jelen esetben egy gyenge kötelékről van szó.

Az interjúk tapasztalatai alapján elmondható, hogy általánosságban egy tudatos felhasználó az alapvető dolgok ismeretétől kezdve az óvatosságig különböző jellemzőkkel írható le. Az interjúalanyok véleménye szerint fontos továbbá, hogy merjen kérdezni, ha valamivel nincs tisztában, illetve ismerje a biztonsági kockázatokat, a kezelésükre irányuló szabályokat – azokat tartsa is be –, és a környezetétől is ezt a magatartást várja el. Hangsúlyos emellett az alapvető informatikai és jogszabályismeret, valamint a biztonságérzet. Kiemelendő, hogy utóbbi igen szubjektív, és mindig lehet tovább fejleszteni. Előfordul azonban olyan eset is, amikor az egyén úgy gondolja, hogy ő nem lehet célpont – ami nem feltétlen igaz, hiszen mindannyian azzá válhatunk –, így lazábban veszi a szabályozásokat, és ez kockázatot jelent. Ezzel kapcsolatban nem lehet figyelmen kívül hagyni azt sem, hogy naprakész legyen a felhasználó, valamint ismerje az aktuális trendeket és a lehetséges támadási formákat.

A munkavállalók tudatossági szintjének növelése érdekében a munkáltatók különböző eljárásokat alkalmaznak. Arra a kérdésre, hogy ezek elegendőek-e, különböző válaszokat kaptunk. Az egyik oldalról az a tapasztalat, hogy igen, a vállalat mindent megtesz a rendelkezésére álló jogi és technikai-szervezési intézkedések maximális kihasználásával. A másik oldalról viszont egyet kell értsünk azzal, hogy sosem lehet eléggé hangsúlyozni a tudatosságot, nagyon fontos az ismétlés, az alkalmazkodás a folyamatos kihívásokhoz, a változások követése, illetve hogy különböző méréseket is végezzenek. Az interjúk alapján egyértelműen kijelenthető, hogy nem elegendő az oktatás, annak a hatékonyságát ellenőrizni szükséges. Nehézségként megjelent, hogy a költségkeret miatt nem lehetséges minden ötlet támogatása.

A szervezetek biztonságtudatossághoz való hozzáállásával kapcsolatosan elmondható, hogy mindhárom szervezetnél fontosnak tartják és kellő hangsúlyt kap ez a kérdés: megjelenik a szervezeti ábrában a dedikáltan ezzel foglalkozó egység, különböző módszereket és formát alkalmaznak a fejlesztésére, valamint egy biztonsági keretrendszer is ezt igazolja. A kérdőívek fényében kijelenthető, hogy a munkavállalók hasonlóan lényegesnek gondolják, sőt kiemelt jelentőséget tulajdonítanak neki – bizonyos esetben az utóbbi években a támadások növekvő száma nagy nyomást gyakorolt rájuk, ezáltal jobban odafigyelnek a tudatos viselkedésre. Azonban interjúalanyaink közül többen megemlítették azt is, hogy a benyomások alapján nem biztos, hogy tudatosak a munkavállalók, mert alkalmanként megfigyelhető az „ezt már tudom” hozzáállás is – amikor a kolléga felvértezettnek érzi magát, és hamis biztonságérzete keletkezik –, de szerencsére csak elenyésző mértékben.