A kiberbiztonság nem a technológiával, hanem a bizalommal kezdődik
A kiberbiztonságot gyakran technikai kihívásként írják le. A tűzfalak, hozzáférés-vezérlések, felügyeleti rendszerek és incidensreagálási eszközök hajlamosak uralni a vitát. Bár ezek az intézkedések alapvetőek, nem itt kezdődik igazán a kiberbiztonság. A gyakorlatban sokkal korábban kezdődik – abban a pillanatban, amikor egy szervezet eldönti, kivel üzletel.
A modern üzleti élet mélyen összekapcsolt. A vállalatok külső szolgáltatókra, beszállítókra, pénzügyi közvetítőkre és határokon átnyúló partnerekre támaszkodnak. Minden kapcsolat működési értéket teremt, de kockázatot is bevezet. Ha egy üzleti partner identitása tisztázatlan, elavult vagy nehezen ellenőrizhető, lehetetlenné válik a kockázat megbízható felmérése.
A kiberbiztonság a bizalomra épül. A bizalom pedig azzal kezdődik, hogy tudjuk, kivel is van dolgunk valójában.
Miért nem elegendő már önmagában a technikai biztonság
A technikai biztonsági ellenőrzések rendszerek védelmére szolgálnak, de feltételezik, hogy a hozzáférés a megfelelő entitásoknak biztosított. Ha a hozzáférést rossz szervezetnek – vagy olyan szervezetnek adják, amelynek háttere rosszul ismert – még az erős technikai ellenőrzések is kudarcot vallhatnak a károk megelőzésében.
Sok súlyos kiberbiztonsági incidens nem közvetlen rendszerfeltörésekből, hanem a megbízható kapcsolatok visszaéléséből ered. Amikor egy fenyegető szereplő egy látszólag legitim partneren, beszállítón vagy alvállalkozón keresztül működik, a technikai védelem sokkal kevésbé hatékony.
Ez a kulcskérdést áthelyezi arról, hogy „Hogyan védjük meg rendszereinket?” arra, hogy „Kinek kellene egyáltalán hozzáférést biztosítanunk?”
Harmadik fél kockázata mint központi kiberbiztonsági kérdés
A kiberbiztonsági és működési kockázatok növekvő része harmadik felektől származik. Ezek közé tartozhatnak a beszállítók, IT szolgáltatók, fizetésfeldolgozók, logisztikai partnerek vagy kiszervezett támogató funkciók. Minden harmadik fél a szervezet kiterjesztett digitális peremének részévé válik.
A harmadik fél kockázata nem korlátozódik szoftveres sebezhetőségekre vagy nem biztonságos infrastruktúrára. Magában foglalja továbbá:
- tisztázatlan jogi státusz
- átláthatatlan tulajdonosi struktúrák
- következetlen vagy elavult nyilvántartási adatok
- az elszámoltathatóság megállapításának nehézsége
E kockázatok hatékony kezeléséhez a szervezetek strukturált ellenőrzési folyamatokra támaszkodnak, beleértve a KYC-t és az üzleti ellenőrzést
Ha egy szervezet nem tudja egyértelműen azonosítani partnereit, mind a biztonsági, mind a megfelelőségi kockázatok jelentősen megnőnek.
Szabályozási irány: kockázatalapú és identitásközpontú
A joghatóságok között a szabályozási keretek egyre inkább a kockázatalapú és identitásközpontú kiberbiztonsági megközelítés felé mozdulnak el. Ahelyett, hogy konkrét technikai ellenőrzéseket írnának elő, a szabályozók egyre inkább elvárják a szervezetektől, hogy megértsék és kezeljék a kockázatokat teljes működési környezetükben, beleértve a beszállítókat és szolgáltatókat is.
Az Európai Unióban ez az elmozdulás egyértelműen tükröződik a NIS2 irányelvben és a kiberbiztonsági követelményekben
A hivatalos jogi keretért lásd a NIS2 irányelvet
Bár a keretrendszerek globálisan eltérőek, az alapvető elvárás következetes: a szervezeteknek képesnek kell lenniük bizonyítani, hogy tudják, kire támaszkodnak, és hogyan befolyásolják ezek a kapcsolatok a biztonsági helyzetüket.
Az üzleti identitás mint a kiberbiztonság alapja
Ha a kiberbiztonságot tágabb értelemben vizsgáljuk, az üzleti identitás alapvető fogalommá válik. Az üzleti azonosítás globálisan szabványosított megközelítését a Jogi Személy Azonosító (LEI) biztosítja.
Az üzleti identitás messze túlmutat egy cégneven vagy regisztrációs számon. Magában foglalja:
- jogi létezés és státusz
- hivatalos nyilvántartási adatok
- tulajdonosi és irányítási struktúrák
- kapcsolatok más jogi személyekkel
- adatpontosság és időszerűség
Egyértelmű és szabványosított üzleti identitás nélkül a megbízható kockázatfelmérés nehézzé válik. Ez a kihívás felerősödik a határokon átnyúló környezetekben, ahol az adatokat több nemzeti nyilvántartásból szerzik be, különböző formátumok és szabványok felhasználásával.
Digitális és automatizált környezetekben az üzleti identitásnak egyértelműnek, géppel olvashatónak és nemzetközileg konzisztensnek kell lennie a hatékony kockázatkezelés támogatásához.
A kisvállalkozások szemszöge: megbízható partnerré válni
A kiberbiztonságról és a szabályozásról szóló viták gyakran a nagy szervezetekre összpontosítanak. Azonban ugyanezek a dinamikák erősen érintik azokat a kis- és középvállalkozásokat is, amelyek nagyvállalatokkal, pénzügyi intézményekkel vagy nemzetközi ügyfelekkel szeretnének együttműködni.
A kisebb vállalkozások számára a fő akadály gyakran nem a termékminőség vagy a technikai képesség, hanem a bizalom. A nagy szervezeteknek minden új partner kockázatát fel kell mérniük, de ezt nem tudják manuálisan és alaposan megtenni minden potenciális beszállító esetében. Ennek eredményeként szabványokra, jelzésekre és strukturált adatokra támaszkodnak annak eldöntésében, hogy mely kapcsolatokat érdemes tovább vizsgálni.
Sok együttműködési lehetőség nem azért akad el, mert az ajánlat értéktelen, hanem azért, mert a partner nem érthető meg gyorsan és egyértelműen.
LEI mint bizalmi és bevezetési gyorsító
Itt válik relevánssá a Jogi Személy Azonosító (LEI). Az LEI egy globális szabvány, amelyet a jogi személyek egyedi azonosítására és hiteles forrásokból származó ellenőrzött referenciaadatokhoz való kapcsolására terveztek.
Kisebb vállalatok számára az LEI nem csupán szabályozási követelmény bizonyos kontextusokban. Ez egy praktikus eszköz, amely lehetővé teszi számukra, hogy olyan módon mutassák be magukat, amely összhangban van azzal, ahogyan a nagy szervezetek kezelik a kockázatokat.
Az LEI azt jelzi, hogy:
- az entitás egyedileg azonosítható
- alapvető referenciaadatai hivatalos nyilvántartásokhoz kapcsolódnak
- a tulajdonosi információk szabványos formában vannak deklarálva
- az adatok automatizált és határokon átnyúló folyamatokban is felhasználhatók
Egy nagy szervezet szemszögéből ez csökkenti a kezdeti bizonytalanságot, és felgyorsítja a döntést arról, hogy egy potenciális partnerség előrehaladhat-e. Az LEI nem garantálja az együttműködést, és nem helyettesíti az átvilágítást, de segít abban, hogy egy vállalkozás sokkal korábban érthetővé és értékelhetővé váljon a folyamatban.
A kiberbiztonság mint megosztott felelősség az ellátási láncban
A kiberbiztonság nem csak a nagy vevők vagy központi platformok felelőssége. Az ellátási lánc minden résztvevője hozzájárul az általános kockázati profilhoz. Ha egy fél nem tudja egyértelműen bemutatni identitását, vagy naprakészen tartani adatait, az egész lánc sebezhetőbbé válik.
Emiatt a kisebb vállalkozások is profitálnak azoknak a szabványoknak az elfogadásából, amelyek megkönnyítik ellenőrzésüket és integrálásukat partnereik kockázatkezelési keretrendszereibe – gyakran még azelőtt, hogy az ilyen elvárások hivatalosan kötelezővé válnának.
Folyamatos pontosság mint a bizalom előfeltétele
Sem a kiberbiztonság, sem az üzleti identitás nem statikus. A vállalatok változnak, a tulajdonosi struktúrák fejlődnek, és az adatok elavulnak. Az egyszer elvégzett identitásellenőrzések gyorsan elveszítik értéküket.
A hatékony kockázatkezelés olyan identitásinformációkon alapul, amelyek idővel pontosak és aktuálisak maradnak. Ez a folyamatos megbízhatóság nemcsak a megfelelőséget, hanem az üzleti partnerek közötti hosszú távú bizalmat is támogatja.
Összefoglalás
A kiberbiztonság nem a szerverszobában kezdődik, és nem is a szoftverrel ér véget. Azzal kezdődik, hogy megértjük, kivel üzletelünk, és milyen alapon létezik ez a kapcsolat.
A technikai ellenőrzések továbbra is alapvetőek, de egyértelmű, szabványosított és naprakész üzleti identitás nélkül hiányosak. A mai összekapcsolt és szabályozott gazdaságban a partnerek ismerete az egyik legfontosabb elérhető biztonsági intézkedés.
Az LEI egy megosztott, globális keretrendszert biztosít, amely segíti mind a nagy, mind a kis szervezeteket a bizalom építésében, az átláthatóság javításában és a határokon átnyúló hatékonyabb együttműködésben.