Ki dolgoz ki biztonsági protokollt Budapesten gyorsan?

Szakértői szemmel a biztonsági protokoll kidolgozásról

Tizennyolc éve dolgozom biztonsági tanácsadóként. És azt látom hogy a legtöbb cég úgy működik, mintha lenne protokollja. De nincs. Van néhány szóbeli szabály, van néhány levél amit egyszer szétküldtek. De nincs rendszer.

A biztonsági protokoll kidolgozás nem arról szól hogy leírsz pár pontot. Arról szól hogy minden helyzetre van tiszta válasz. Ki mit csinál. Mikor. Hogyan. Kivel egyeztet. Hova jelent.

Budapesten rengeteg cégnél láttam már hogy nincs protokoll. Aztán jön egy váratlan helyzet. Tűzriadó, betörés, adatszivárgás, erőszakos ügyfél. És senki nem tudja mit kell tenni. Pánik van, káosz van. Utána mondják kellett volna protokoll.

Személyes véleményem hogy ötven embernél nagyobb cégnél kötelező lenne. De már tíz főnél is érdemes.

Miért szenvednek a cégek protokoll hiányában

A legnagyobb probléma a felelősség tisztázatlansága. Történik valami. Senki nem tudja ki a felelős. Mindenki vár hogy más cselekedjen. Közben telik az idő, rosszabb lesz a helyzet.

Második a kommunikáció hiánya. Nincs meg hogy kit kell értesíteni. Van aki tud a problémáról, van aki nem. Aztán később kiderül hogy kellett volna az ügyvezető is tudjon róla azonnal.

Harmadik az egységesség hiánya. Minden dolgozó másképp reagál. Van aki túlreagál, van aki semmit nem csinál. Nincs standard eljárás.

Negyedik a dokumentáció elmaradása. Nem írják le mi történt, mikor, ki mit tett. Három hónap múlva senki nem emlékszik pontosan. Pedig kellhet biztosítónak, hatóságnak.

Ötödik hogy nincs gyakorlat. Ha van is valami leírás, azt senki nem gyakorolta. Aztán éles helyzetben kiderül hogy nem működik.

Hatodik a frissítés elmaradása. Egyszer megírták öt éve. Azóta változott minden. Új emberek, új helyiségek, új veszélyek. De a protokoll a régi.

Mit tartalmaz egy jól felépített protokoll

Első rész a hatáskörök és felelősségek. Ki a biztonsági felelős, ki a helyettese. Ki dönt mi van ha nincs itt egyik sem. Név, telefonszám, email.

Második a helyzetek kategorizálása. Mi számít kisebb incidensnek, mi közepesnek, mi súlyosnak. Tűzriadó súlyos. Elveszett kulcs kisebb. Ezekre különböző reakció kell.

Harmadik a lépésről lépésre útmutatók. Minden helyzettípusra pontos teendők. Először ez, aztán az, utána amaz. Időkeret is benne van.

Negyedik az értesítési lánc. Kit kell értesíteni, milyen sorrendben, milyen csatornán. Telefonon, emailben, SMS-ben. Van tartalék kapcsolat ha valaki nem elérhető.

Ötödik a dokumentálási követelmények. Mit kell leírni, milyen űrlapon, hova kell menteni. Ki fér hozzá később.

Hatodik a külső kapcsolatok. Rendőrség, tűzoltóság, mentők, őrző-védő cég. Telefonszámok, kapcsolattartók.

Hetedik az utókövetés szabályai. Esemény után mi történik. Megbeszélés, elemzés, tanulság levonása. Protokoll módosítása ha kell.

Szolgáltatási árak és csomagok részletesen

Tapasztalatom szerint 70000 forint alatti protokollkidolgozás általában sablon alapú. Nem illeszkedik a te cégedhez, általános. Az meg nem használható a gyakorlatban.

Budapesten a cégek többsége most kezd ezzel foglalkozni. Egyre több a követelmény, egyre több a kockázat.

Eset amikor hiányzott a protokoll

Dolgoztam egy közepes budapesti cégnél, harmincöt dolgozó. Egy délután betört valaki az irodába. Nem lopott semmit, de agresszív volt. A recepciós nem tudta mit tegyen. Hívja-e a rendőrséget, vagy a főnököt először. Hívja-e a biztonsági céget akikkel szerződésük van.

Végül mindhármat hívta, de rossz sorrendben. Először a főnököt aki épp meetingen volt, nem vette fel. Aztán a biztonsági céget akik közölték hogy az nem az ő feladatuk, mert az objektumon kívüli esemény. Végül a rendőrséget, de addigra már az illető elment.

Ha lett volna biztonsági protokoll kidolgozás előre, egyértelmű lett volna. Agresszív személy esetén először rendőrség. Párhuzamosan értesíteni a közvetlen vezetőt. Biztonsági cég csak ha objektumon belül van.

Utána megcsináltuk nekik a protokollt. Három hónappal később hasonló helyzet jött. Most mindenki tudta mit kell tenni. Rendőrség öt perc alatt ott volt, senki nem sérült meg, tisztázódott a helyzet.

Másik példa adatszivárgásra

Egy másik ügyfélnél IT biztonsági incidens volt. Valaki megnyitott egy gyanús emailt, vírus került a rendszerbe. A rendszergazda látta, azonnal leválasztotta a gépet a hálózatról. De nem tudta kit kell értesíteni.

Az ügyvezető csak másnap tudta meg. Addigra a vírus már átterjedt két másik gépre is, mert azok be voltak kapcsolva éjszaka. Kellett külső szakértő, adatmentés, minden. Háromszázezer forint kárt okozott plusz két nap leállás.

A protokoll kidolgozás során kiderült hogy kellett volna azonnal értesíteni az ügyvezetőt, még éjszaka is. És kellett volna minden gépet lekapcsolni azonnal, nem csak a fertőzöttet.

Most van protokoll. Vírusgyanú esetén minden gép leáll. IT-s értesíti az ügyvezetőt SMS-ben is. Van tartalék rendszergazda akit hívni lehet ha az első nem elérhető. És van szerződés egy külső IT biztonsági céggel akik két órán belül kijönnek.

Tanács aki komolyam gondolja a biztonságot

Ne halaszd a protokollkészítést. Mindig az a kifogás hogy nincs rá idő. De ha baj van, akkor aztán végképp nincs idő.

Vond be a dolgozókat. Ne csak a vezetőség írja meg. Kérdezd meg az embereket milyen helyzetek fordulhatnak elő a munkájuk során. Ők tudják a valóságot.

Ne tedd túl bonyolulttá. Egy protokoll legyen érthető, egyszerű. Ha háromoldalas magyarázat kell egy lépéshez, senki nem fogja követni.

Gyakorold rendszeresen. Évente legalább egyszer. Tűzriadó gyakorlat, riasztási lánc teszt. Így kiderül mi működik, mi nem.

Frissítsd évente. Új emberek, új veszélyek, új eszközök. A protokoll élő dokumentum.

Ha keresel szakembert a protokoll kidolgozásához, itt az oldalon találsz tapasztalt biztonsági tanácsadókat. Válassz olyat aki ismeri a te iparágadat. Gyártás más mint szolgáltatás. Kereskedelem más mint irodai munka. Minden területnek megvannak a specifikus kockázatai. Jó szakember ezeket ismeri és beépíti a protokollba. Budapest nagy város, sok a cég, sok a potenciális veszély. Felkészülés nem luxus, hanem alapkövetelmény.