Danes si je delo v podjetju težko predstavljati brez računalnikov, strežnikov, spletnih storitev in različnih programov. Ravno zato je informacijska varnost področje, ki ga podjetje ne more pustiti ob strani. Na računalnikih so shranjeni dokumenti, podatki o strankah, pogodbe, elektronska pošta in še marsikaj, brez česar poslovanje hitro zastane. Težava je v tem, da se varnostni incident pogosto zgodi takrat, ko ga nihče ne pričakuje. Dovolj je lahko napačen klik, ukradeno geslo, okužena priponka ali ranljivost v sistemu. Posledice pa niso vedno omejene samo na en računalnik. Napad lahko prizadene celotno informacijsko okolje in povzroči izgubo podatkov, prekinitev dela ali finančno škodo.
Najprej je treba vedeti, kje ste
Pri urejanju informacijske varnosti se običajno začne s pregledom obstoječega stanja. Strokovnjaki pregledajo informacijsko okolje, uporabljene varnostne rešitve, nastavitve in postopke. Pri tem se iščejo šibke točke, ki jih v vsakdanjem delu morda sploh ne opazite.
Tak pregled pokaže precej več od tega, ali je na računalnikih nameščen protivirusni program. Preveri se način zaščite podatkov, dostopi uporabnikov, varnost naprav in delovanje posameznih rešitev. Pogled je usmerjen tudi v situacije, ki bi lahko povzročile težave ob napadu ali drugem izrednem dogodku. Ko so ugotovitve zbrane, je lažje določiti, kaj potrebuje spremembo in česa ni treba po nepotrebnem menjati.
Informacijska varnost potrebuje konkreten načrt
Po pregledu lahko sledijo priporočila in priprava načrta nadaljnjih ukrepov. Podjetje tako dobi bolj jasno sliko o tem, katere naložbe imajo smisel in kje so potrebne izboljšave. Včasih je treba urediti tehnično zaščito, drugič so težave povezane z dostopi zaposlenih ali internimi postopki. Ni vedno rešitev v nakupu nove opreme. Veliko lahko naredijo že pravilne nastavitve, boljši nadzor dostopov, varnostne kopije in jasna pravila za zaposlene.Dober načrt zato ne ostane samo na papirju. Predstavlja osnovo za nadaljnje delo in postopno urejanje informacijske varnosti v organizaciji.
Informacijska varnost se ne konča pri tehničnih rešitvah. Zaposlene je smiselno usposobiti za prepoznavanje sumljivih sporočil, lažnih povezav, nenavadnih zahtev in drugih znakov, ki lahko kažejo na napad.
