Az MNB új ajánlása szigorú elvárásokat fogalmaz meg a pénzügyi intézmények és – a járvány miatt egyre nagyobb számú – távmunkázó munkavállalóik, illetve szerződéses partnereik közti digitális kommunikáció kialakítására, hitelesítésére és folyamatos kontrolljára vonatkozóan. Nem engedhető meg az adatszivárgás, s a pénzügyi intézményeknek IT-biztonság szempontjából teljes mértékben kontrollálniuk kell a távmunkás kommunikációt.

Az MNB ajánlást dolgozott ki a távmunkára

A Magyar Nemzeti Bank ajánlást jelentetett meg honlapján a pénzügyi intézmények munkavállalóinak, szerződéses munkatársainak – pl. egy járványhelyzet miatti – távmunkájával és távoli hozzáféréseivel kapcsolatos informatikai biztonsági követelményekről.

A pandémiás kijárási korlátozások miatt ugyanis egyre több bank, biztosító stb. áll át a tömeges távmunkára.

Ezáltal a piacon teret nyertek az adott intézmény által informatikailag nehezebben kontrollálható, pl. felhőszolgáltatásokon alapuló csoportmunka, videókonferencia stb. IT-megoldások, melyek megfelelő használatához az MNB az ajánlás közzétételével kíván segítséget nyújtani.

Ki kell egészíteni az IT biztonsági szabályzatokat

A jegybank ezért legkésőbb 2021. január 1-jétől elvárja, hogy a pénzügyi intézmények IT-biztonsági szabályzatai egészüljenek ki a távmunkához szükséges hozzáféréseket szabályozó dokumentummal. A piaci szereplőknek kockázatelemzést és e rizikót csökkentő intézkedési terveket kell készíteniük a távmunkával kapcsolatos IT-biztonsági kockázatokról, a résztvevő személyekre, folyamatokra és rendszerekre vonatkozóan. Szükséges az is, hogy iránymutatást és oktatást is adjanak távmunkázó munkatársaiknak a távoli kapcsolat (pl. operációs rendszerek, programok) felépítéséről, biztonsági beállításairól, illetve a felmerülő IT-kockázatok kezeléséről.

Fokozott titkosítás és jelszavak

A pénzügy intézmények és a távoli felhasználói munkatársak, szerződött partnerek közti kommunikáció csak fokozott titkosítással, összetett jelszavakkal, s több faktoros hitelesítéssel történhet.

• Az MNB javasolja, hogy az intézmények biztosítsanak saját eszközöket (notebook, okostelefon, tablet) a távmunkához.
• A munkatársak vagy harmadik fél saját eszközeinek használata e célra csak az intézmények belső rendszereihez való korlátozott hozzáférésekkel, illetve további kontrollintézkedésekkel (pl. harmadik félnél titoktartási nyilatkozat) fogadható el.

Csak engedélyezett eszközök

Jegybanki elvárás, hogy a pénzügyi intézmények hálózatához a távmunka során csak az IT-biztonsági előírásoknak megfelelő, ellenőrzött és engedélyezett eszközök csatlakozzanak. Tiltani, de minimum korlátozni kell az adatszivárgás szempontjából kockázatos weboldalakat és szolgáltatásokat (pl. közösségi média, publikus felhő alapú adattárolók, fájlmegosztók és webmail).

A távmunkát szolgáló IT-eszközök és rendszerek folyamatos működőképességére megfelelő számú és képzettségű informatikai szakembert kell alkalmazni.

Online chat és videókonferenciák

A pénzügyi intézményeknek a távoli felhasználók tele- és videókonferenciás, online chat stb. kapcsolattartása során is gondoskodniuk kell e kommunikációs csatornák bizalmasságáról, sértetlenségéről és hitelességéről. Az ügyfelekkel való telefonhívások távmunkában történő rögzítése (pl. az értékpapírpiaci megbízásoknál) elektronikus úton kell történjen. Ha ez valami miatt időlegesen akadályba ütközne, akkor minél hamarabb vissza kell térni az átmeneti alternatív (pl. kézi) adatrögzítési módokról az elektronikus megoldásra.

Nyitókép: Pixabay/Illusztráció.

A vállalkozások jelentős része az elmúlt hetekben kénytelen volt otthoni munkavégzésre átállni. Az ezzel együttjáró kommunikációs problémákat ráadásul sok esetben eddig nem használt új technológia alkalmazásával tudták csak megoldani. A home office és az új megoldások használata azonban olyan információbiztonsági és adatvédelmi kockázatokkal járnak, amelyekre a cégek nem biztos, hogy felkészültek. A Deloitte szakértői segítségként összegyűjtötték, melyik a tíz legfenyegetőbb sérülékenység és hogyan lehet elkerülni a bajt?

Melyek a távoli munkavégzéssel kapcsolatos leggyakoribb fenyegetettségek?

A jelenlegi rendkívüli helyzetben információbiztonsági és adatvédelmi szempontból egy vállalkozás számára a legfenyegetőbb hiányosságok a következők lehetnek:

1. Nem megfelelően védett (naprakész vírusirtó szoftvert nem használó, elavult operációs rendszerrel működő, titkosítási megoldások nélkül működő) eszközök használata.
2. A felhasználó nem biztonságos, azaz jelszóval nem védett wifi hálózatra csatlakozik.
3. A dolgozó internetes dezinformációk áldozatává válik, emiatt pedig könnyen „bedőlhet” az adathalász e-maileknek.
4. A munkavállaló multifaktoros azonosítási folyamat által csatlakozik a vállalati rendszerekhez.
5. A dokumentumok és adathordozók elszállítása az irodából és azok otthoni tárolása.
6. Az érzékeny dokumentumok elvesztése, ellopása. Az otthoni munkavégzéshez használt felszerelés károsodása.
7. A tartalék eszközök, illetve az alapvető üzletmenet folytonosságát biztosító intézkedések hiánya (áramszünet, internetes kapcsolat lelassulása, a készülék meghibásodása stb.)
8. Az adatvédelemben, informatikai biztonságban járatos személyek (információbiztonsági szakértő, adatvédelmi tisztviselő, vagy compliance vezető) nem elérhetők.
9. A munkavállalók nem kapnak megfelelő tájékoztatást a személyes adatok, üzleti titkok és egyéb bizalmas információk védelméről.
10. A dolgozók információbiztonsági előírásokat is tartalmazó home office szabályzat nélkül végzik munkájukat, valamint nincs olyan alternatív forgatókönyv, amely iránymutatást adna számukra, mit tegyenek, amikor a távoli munkát lehetővé tevő eszközök nem elérhetőek.

Hogyan előzhetjük meg a bajt?

Számos fenyegetéssel kell számolni, ezek megelőzése azonban nem feltétlenül összetett vagy költséges. Mit tehetünk a kockázatok csökkentése érdekében? A Deloitte szakértői szerint 4 alapvető lépéssel a vállalkozások információbiztonsági szintje jelentős mértékben javítható. Ezek a lépések a következők:

1. Távmunka folyamat megszervezése, szabályzatok, eljárásrendek kialakítása

Rendkívüli helyzet következményeként bevezetett új adatkezelési folyamatok dokumentálása, valamint a távoli munkavégzés minimumkövetelményeinek, munkavédelmi, adatvédelmi és információbiztonsági előírásainak kialakítása és szabályzatba foglalása.

2. Információbiztonsági minimumkövetelmények kialakítása

A munkavállalók távoli munkavégzéshez használt eszközeinek információbiztonsági elvek mentén történő frissítése, illetve az eszközökre, a hálózatokra, valamint ezek használatára vonatkozó biztonsági minimumkövetelményekre vonatkozó előírások meghatározása.

3. Tájékoztatás és tudatosságnövelés

Krízishelyzetre tekintettel adatvédelmi és információbiztonsági tudatosságot elősegítő online képzések megtartása, a munkavállalók rendszeres tájékoztatása és figyelmeztetése a COVID-19-el kapcsolatos dezinformációk terjedésére, és azokon keresztül adathalászati támadásoknak való megnövekedett kitettségre, és ilyen esetben követendő lépések megtételére.

4. Munkavállalók ellenőrzésével kapcsolatos megfontolások

A munkáltatóknak figyelemmel kell lenniük egyidejűleg arra is, hogy a távoli munkavégzés során különböző adatbiztonsági intézkedések alkalmazása a munkavállalók megfigyelésével, vagy ellenőrzésével is járhat, amely további adatvédelmi, esetlegesen munkajogi szempontok figyelembevételét teszi szükségessé. Ezeknek a kérdéseknek az átfogó kezelését a munkáltató egy jelen helyzetre is alkalmazható belső eljárásrendben és szabályzatban tudja megfelelően kezelni. 

Mit tegyünk visszaélés esetén?

Mi a teendő olyan incidens esetén, ahol a munkavállaló elveszti a nála lévő dokumentumokat, hacker támadás áldozatává válik, vagy ha műszaki hiba miatt személyes adatok vesznek el?

Először is szükséges lehet az incidens jelentésére az adatvédelmi hatóság részére a visszaélés tudomásra jutását követő pár órán belül. A jelentésnek tartalmaznia kell többek között az incidens jellegét, illetve esetleges következményeit. Ehhez elengedhetetlen a munkavállalókkal való hatékony kommunikáció annak érdekében, hogy megfelelően fel lehessen mérni az incidenssel kapcsolatos kockázatokat és annak érintettekre gyakorolt hatásait a megfelelő lépések megtételének elősegítésére. Fontos figyelemmel lenni arra is, hogy bizonyos esetekben szükséges lehet az adatvédelmi incidenssel érintett személyek (pl. ügyfelek, munkavállalók) értesítése is.

– mondta dr. Bánci Lea, a Deloitte Legal adatvédelmi és munkajogi csoportjának ügyvédje.

A fentiekben ismertetett megelőző intézkedések megtétele emellett hozzájárul ahhoz, hogy a vállalkozás igazolni tudja a hatóságok felé, hogy meghozta a mind a személyes adatok, mind pedig a munkavállalók védelme érdekében szükséges technikai és szervezeti intézkedéseket és működését, valamint az abban megvalósuló adatkezelési folyamatokat a privacy by design és by default elvének megfelelően alakította ki.

– tette hozzá Szöllősi Zoltán, a Deloitte technológiai tanácsadási csoportjának igazgatója.

Nyitókép: Unsplash.