Billingo a színfalak mögött III. - a védelmi rendszerekről

Az alapok

Az első és legfontosabb az irodai dolgozók fizikai biztonsági szabályzata. Elsőre nem gondolnád, ez mennyire fontos, pedig az. Szabályozzuk, a kollégák hogyan juthatnak az irodaépületbe, ha pedig vendég érkezik hozzánk, ő az irodán belül csak bizonyos területeket látogathat. Az iratokat olyan helyiségekben tároljuk szeparáltan, ahol az illetékesen kívül más nem férhet hozzájuk, a dokumentumok elektronikus lementéseire külön ügyelünk.

Az összes dolgozó gépén naplóállomány gyűjtő programok futnak. Ennek jelentősége abban rejlik, hogy az összes gép egy központi helyen látható, a napló adatok pedig elemezhetővé válnak a gépek esetleges meghibásodásainak kiszűrésére, szokatlan műveletek vizsgálatára és a kártékony programok futásának megelőzésére.

Rengeteg apróság van, amelyek a biztonságos adatkezeléshez hozzátartoznak a Billingónál, csak párat emelünk ki közülük.

Információbiztonság

Információbiztonsági felelősünk havonta gondoskodik arról, hogy minden munkavállaló megkapja a szükséges oktatást és tudatosítást. Az oktató anyagban több különböző jótanácsot fogalmaz meg, illetve ötletet ad, hogy mind a munkában, mind a magánéletben jobban óvhassuk adataink biztonságát. Vannak például az adathalász e-mailek típusait bemutató előadások, hogy minimalizálhassuk a veszélyes kattintások lehetőségét. Időközönként pedig tesztet is írunk a tanultakból.

Talán szót sem érdemel, de mind a vezetékes mind a vezeték nélküli hálózat esetében elkülönített hálózatokat használnak a fejlesztők, az irodai munkatársak és természetesen a vendégek is, ahol az utóbbi hálózat további megszorításokat alkalmaz az elérhető maximális sávszélesség és használható funkciókban.

Az adatok fizikai biztonsága

A szerverek fizikai biztonságáról az Amazon gondoskodik, akik a szinte katonai szintű védelemben lévő felhő szolgáltatásainkat üzemeltetik.

Rengeteg tanúsítványuk van, többek között arról is, hogy az ISO/IEC 27001 információbiztonsági szabványnak teljeskörűen megfelel. Természetesen ilyenkor azt is célszerű vizsgálnunk, hogy a tanúsítványt egy megbízható tanúsítószervezet állítsa ki (pl. az Amazon esetében az EY CertifyPoint). Az ilyen jellegű tanúsítvány birtokosánál rendszeres információsbiztonsági vizsgálatok zajlanak külső partnerek és belső munkavállalók bevonásával egyaránt.

Az adatnak három állapota áll fenn, és mindháromnál figyelni kell arra, hogy a titkosított adat útközben ne váljon nyilvános információvá. A Billingón átfutók is ezek mentén titkosítottak, mutatjuk a legfontosabbakat. 

Az eltárolt adatok (data at rest)

Az eltárolt adatok titkosítva kerülnek mentésre a szerverek merevlemezén, ha azokat valaki ellopná, akkor sem tudná kiolvasni a bennük rejlő információkat. A titkosításra a jelenleg ismert hatékonyság és biztonságosság szempontjából legjobbnak tekintett algoritmusokat, vagyis eljárásokat használjuk. Természetesen arra is külön ügyelünk, hogy az adatok titkosításához használt titkos kulcsokat megfelelő biztonsággal, hardveres eszközön őrizzük, és megfelelő időközönként forgassuk (lecseréljük) őket.

Adatok “továbbítás közben” (data in transmit)

Az adatok útközben sincsenek biztonságban, meg kell őket védeni attól, hogy bárki lehallgathassa őket, még ha az nem is annyira egyszerű, mint a tárcsás telefonok idején.

E biztonsági rétegeken túl az adatbázisunk titkosítási kulcsai rotálódnak, és kinyomtatva kerülnek tűzálló széfbe - meglepő, de ez a legbiztonságosabb módszer hosszú távon, mert a pendrive hamarabb elromlik, mint ahogy az írott papír megsemmisül. Mi még erre is odafigyelünk a Billingónál.