Portal za informacijsku sigurnost

Što je sigurnost?

Od početka bavljenja ovom djelatnošću sam u potrazi za odgovarajućom definicijom koja bi kao u slučaju stvaranja sustava zaštite mogla definirati i liniju razgraničenja između štićene površine i svega onoga što je izvan zone štićenja, odnosno izvan perimetra. Do danas je moj prvotni pokušaj definiranja pojma sigurnosti doživio brojne promjene. Trenutno prema slobodnom prijevodu i mojim razmišljanjima sigurnost je najbliža slijedećoj definiciji:

Sigurnost je sustavno uspostavljena zaštita koja ima cilj zaštititi ljude i njihove aktivnosti, informacije, uređaje i opremu od namjernog i/ili slučajnog neovlaštenog djelovanja koje ima cilj nanošenja štete pojedincima i tvrtkama te njihovom ugledu.[1]

Nakon ove definicije možda je bolje postaviti pitanje: što danas ostaje izvan te zamišljene zone sigurnosti? Najeminentniji stručnjaci koji su svoje živote posvetili proučavanju sustava sigurnosti tvrde da ne postoji apsolutna sigurnost. Mogli bismo se na temelju toga složiti da svuda oko nas postoji doza nesigurnosti. Ta nesigurnost se svakim danom sve više povećava.

Da li za svaku osobu, poslovni proces ili imovinu onda postoji maksimalna sigurnost? Postoji, ali je sigurnost dinamičan proces koji danas uspostavljene mjere zaštite, već sutra može učiniti neprihvatljivim. To pokazuje primjer općepoznatih terorističkih napada na SAD 11 rujna 2002. godine. Nikada prije tog datuma civilni zrakoplovi nisu bili korišteni kao oružje s tako razarajućim djelovanjem na ljudske živote i imovinu čije se posljedice šteta zbrajaju još i danas. Međutim, nešto drugo ovdje valja istaknuti, a to je promjena koncepta kontrole leta civilnih zrakoplova i zračne sigurnosti. Prije navedenih napada, nakon saznanja o otetom zrakoplovu kontrola zračne plovidbe bi najčešće oslobađala zračne koridore za slijetanje u traženu zračnu luku. Nakon 11. rujna saznanje da je zrakoplov otet i da se približava nekom od većih gradova ili značajnijoj meti, bilo bi dovoljno da ga se u krajnjem slučaju prisilno obori na zemlju.

Integralna sigurnost

Vratimo se pojmu integralne sigurnosti. Prostorija centralnog dojavnog sustava, nadzorni centar ili server soba imaju nešto zajedničko. Zbog svojeg značaja pravi su primjeri primjene integralnog koncepta zaštite. Zbog toga ih možemo promatrati kao središnje mjesto integracije fizičke, tehničke i logičke (informacijske) zaštite.

Za posebno važne štićene objekte je uočeno da sama tjelesna i tehnička zaštita ne mogu pružiti odgovarajući stupanj sigurnosti, pa se u međusobnu interakciju i integraciju uvodi i informacijska zaštita. Doba samo fizičkog štićenja objekata s jednim „nabildanim“ zaštitarom na ulazu su stvar prošlosti. Sve veću važnost informacijske zaštite možemo vidjeti na slijedećem primjeru štićenja jednog radnog procesa ranih 90-tih godina gdje je novi privatni vlasnik čim je preuzeo tvrtku uveo mjere tjelesne i tehničke na ulazima i unutar tvornice, te rigorozne preglede vlastitih zaposlenika i posjetitelja prilikom ulaska u zaštićeni krug tvornice. Međutim, istodobno je zaposlenicima unutar tvornice bilo omogućeno fotografiranje, scan-iranje i slanje e-mail poruka bez nadzora i kontrole. Taj otvoreni komunikacijski kanal je bio između ostalog korišten za slanje povjerljivih dokumenata izvan tvornice.

Upravo zato prilikom uspostave zaštite na objektima od posebnog značaja treba naglasiti potrebu i posebno posvetiti pažnju na četiri neizostavna elementa za punu funkcionalnost integralnog sustava sigurnosti:

1.     ljudski faktor (zaposlenici, korisnici sustava, posjetitelji, …)

2.     pisane procedure postupanja,

3.     redovito periodičko testiranje sustava i primjene procedura,

4.     stalna edukacija

Kako provesti sustav sigurnosti?

Zaposlenici moraju biti upoznati sa sigurnosnom politikom tvrtke u kojoj rade i moraju je se pridržavati. Sigurnosnu politiku donosi uprava i menadžment. Povremeni ili stalni posjetitelji, servisno osoblje i svi oni koji ulaze u štićeni prostor moraju biti također upoznati sa sigurnosnim mjerama koje se na objektu provode. Za ulazak u najzaštićenije dijelove poslovnog procesa posjetiteljima treba zabraniti ulazak, ili im omogućiti ulazak uz stalnu pratnju i nadzor ovlaštene osobe. Za ulazak u posebno štićeni prostor obavezno je potrebna prethodna najava i evidencija kod osobe zadužene za sigurnost na štićenom objektu. Na ljudski faktor se nadovezuju pisane procedure postupanja koje vrijede kako za zaposlenike tako i za posjetitelje. Bez jasno pisanih i objavljenih procedura ne može se očekivati preuzimanje odgovornosti zaposlenika i posjetitelja u slučaju štetnog događaja. Zato je vlasniku i upravi od izuzetne važnosti da su procedure o svakodnevnom radu i ponašanju na štićenom objektu primjenjive i da su napisane u suglasju između voditelja proizvodnog procesa i voditelja poslova sigurnosti. Njihovi glasovi bi trebali imati jednaku težinu, a mjeru i svođenje na zajednički nazivnik daje uprava tvrtke definiranjem poslovne i sigurnosne politike tvrtke. Uprava već pri definiranju strategije razvoja tvrtke daje smjernice i određenu vrstu projektnog zadatka voditeljima proizvodnje i sigurnosti.

Jednom uspostavljeni sustav sigurnosti svoju učinkovitost mora potvrđivati neprestano od 00-24 sata dnevno i 365 dana u godini. Upravo to daje ovom poslu veliku zahtjevnost što predstavlja i izazov, te potrebu za redovitim periodičkim testiranjima sustava i primjenom propisanih procedura. Vjerojatno je to jedan od razloga zašto se sve više mladih visokoobrazovanih ljudi uključuje u neke od poslova tjelesne, tehničke i informacijske zaštite. Kao jedan od najboljih praktičnih primjera nadzora i kontrole valja spomenuti uvođenje i primjenu sustava kvalitete u tvrtkama po ISO sustavu koji kao preduvjet održanja sustava kvalitete propisuje redovne interne i vanjske provjere efikasnosti sustava.

TrackBack URI for this entry

Komentari (0)