Az információbiztonság-tudatosság vizsgálata az osztrák és a magyar vállalkozások körében Dr. Sasvári Péter - egyetemi docens Nagymáté Zoltán - doktorandusz 1
A kutatás célja Információbiztonság Információbiztonsági követelmények: fizikai védelem, logikai védelem, humánbiztonság, adminisztratív védelem. Az információbiztonság-tudatosság a szervezeti kultúrájának része, olyan gondolkodás- és magatartásmód, amely biztosítja, hogy a szervezetek alkalmazottjai elkötelezettségből elismerik a biztonsági intézkedések jogosságát, betartják azokat, és másokkal is megismertetik, illetve betartatják ezeket. Az információbiztonság-tudatosság megismerése. 2
A vizsgálat tárgya Osztrák és a magyar Üzleti szféra (mikro-, kis- és középvállalkozás, nagyvállalat) Közszféra (Állami intézmények, Non-Profit állami szervezet, Profitorientált állami szervezet; Önkormányzat, Non-Profit önkormányzati szervezet, Profitorientált önkormányzati szervezet) Civilszféra információbiztonság-tudatosságának megismerése. 3
A vizsgálat módszere Primer kutatásunk alapjául egy nemzetközi és egy továbbfejlesztett kérdőív szolgált. A kérdőívek kitöltése a Grazi Egyetem és a Miskolci Egyetem hallgatói segítségével papíron és online formában történt. Az osztrák minta nagysága: 280. A magyar minta nagysága: 316. 44% 29% Mikrovállalkozás Kisvállalkozás 39% 33% Mikrovállalkozás Kisvállalkozás 15% 12% Középvállalkozás Nagyvállalat Középvállalkozás 13% 15% Nagyvállalat 4
A kérdőív részei Demográfiai kérdések Munkahely jellemzői Információbiztonság-tudatosság kérdések Egyéb kérdések 5
Minőségi kategóriák Első (tisztában vannak a biztonsági alapelvekkel és veszélyekkel, jól képzettek, mindennapi viselkedésük megfelel a munkahelyi biztonsági szabályoknak és irányelveknek.) Második (már vettek részt valamilyen információ biztonsági képzésen, tisztában vannak a veszélyekkel, de mégsem követik teljes mértékben a vonatkozó biztonsági alapelveket és szabályokat.) Harmadik (tisztában vannak a veszélyekkel és tudják, hogy bizonyos biztonsági alapelveket be kellene tartaniuk, de továbbképzésre szorulnak a témában. Itt már nem ismerik fel az informatikai incidenseket és nem tudják, mi a teendő.) Negyedik (nincsenek tisztában a biztonsági alapelvekkel és veszélyekkel) Ötödik (nincsenek tisztában a veszélyekkel és nem tartják be a biztonsági szabályzatokat) 6
Információbiztonság-tudatosság helyzete Magyarországon, 2014-ben Ausztria Magyarország Megnevezés Első Második Harmadik Negyedik Ötödik Első Második Harmadik Nagyvállalat 20% 77% 2% 0% 0% 31% 61% 8% Középvállalkozás Kisvállalkozás Mikrovállalkozás 29% 71% 0% 0% 0% 33% 33% 34% 0% 75% 25% 0% 0% 0% 100% 0% 8% 43% 48% 0% 3% 0% 78% 22% 7
Információbiztonságtudatosság részei Szervezeti dimenzió A szervezet vezetése - hogyan irányítja és szabályozza az informatikai biztonsággal foglalkozó részleget és/vagy személyt, - milyen területekre terjed ki a szabályozás, - milyen a informatikai biztonsággal foglalkozók hatékonysága. Egyéni dimenzió Az alkalmazott: - érti a meghatározások jelentését, - felismeri hogy mi veszélyezteti az információs rendszer működését, - elősegíti a megelőzést, - tudja mi a teendő informatikai incidens bekövetkezés esetén. Infrastrukturális dimenzió Az infrastruktúrát működtető alkalmazottak: - az információáramlást biztosító kommunikáció rendszerekből érkező veszély felismerésével, - valamint informatikai védelmi intézkedéssel foglalkozik. 8
Az információbiztonság-tudatosság szervezeti dimenziója Ausztria Magyarország Megnevezés Első Második Harmadik Negyedik Ötödik Első Második Harmadik Nagyvállalat 4% 71% 25% 0% 0% 15% 85% 0% Középvállalkozás Kisvállalkozás Mikrovállalkozás 0% 47% 53% 0% 0% 0% 67% 33% 0% 29% 52% 19% 0% 0% 50% 50% 0% 14% 43% 36% 7% 0% 33% 67% 9
Az információbiztonság-tudatosság egyéni dimenziója Megnevezés Nagyvállalat Középvállalkozás Kisvállalkozás Mikrovállalkozás Első Második Ausztria Harmadik Negyedik Ötödik Első Magyarország Második Harmadik Negyedik 62% 16% 20% 2% 0% 38% 31% 23% 8% 72% 6% 22% 0% 0% 67% 0% 33% 0% 24% 52% 24% 0% 0% 0% 50% 50% 0% 28% 43% 26% 2% 2% 0% 78% 22% 0% 10
Az információbiztonság-tudatosság infrastrukturális dimenziója Ausztria Magyarország Megnevezés Első Második Harmadik Első Második Harmadik Nagyvállalat 58% 42% 0% 38% 54% 8% Középvállalkozás Kisvállalkozás Mikrovállalkozás 45% 55% 0% 67% 0% 33% 30% 70% 0% 0% 100% 0% 35% 52% 13% 22% 78% 0% 11
A globális kockázati kategóriák és az alkalmazottak digitális műveltsége közötti kapcsolat Kockázati kategóriák 50 Első 40 Második 25% 30 Harmadik 22% 0 Nagyon 10 20 30 40 50 Rossz Közepes Jó Kiváló rossz 20 0 Nagyon 10 20 30 40 50 Rossz Közepes Jó Kiváló rossz Az alkalmazottak digitális műveltségének a szintje 12
Hogyan tovább? Ladislav Siska Csehország Zbigniew Pastuszak Lengyelország Wolf Rauch Ausztria Mirjana Pejic Bach Horvátország Filomena Cerqueira Castro Lopes Portugália Massimo Ciambotti Olaszország Amila Pilav-Velić Bosznia és Hercegovina
Összefoglalás Az osztrák és a magyar üzleti szférában dolgozó vezetők, alkalmazottak és az IT infrastruktúrát működtetők az információbiztonság-tudatossága vállalati méretfüggő. A magyar és az osztrák nagyvállalatoknál ez a tudatosság a folyamatos képzés, a nagyobb vállalati IT használat szabályozottsága miatt jónak mondható. A 250 főnél kevesebbet foglalkoztató osztrák középvállalkozásoknál jó az információbiztonság-tudatosság, a hasonlóméretű magyar szervezetek harmadánál az alkalmazottak továbbképzésre szorulnak ezen a területen. Az osztrák kisvállalkozások ötöde, mikrovállalkozások harmada, valamint a magyar mikrovállalkozások ötödénél a biztonsági problémák rossz szervezésre vezethetők vissza. Az osztrák és a magyar vállalkozások ötödénél az ott dolgozó alkalmazottak ezen a területen szerzett hiányos ismereteik aggasztónak tekinthetők. Továbbá megállapítható még, hogy a magasabb informatikai műveltséggel rendelkezők magasabb információbiztonság-tudatossággal bírnak, mint Ausztriában, mint pedig Magyarországon az üzleti szférában. 14
Köszönjük a figyelmüket! 15
Melléklet 16