Informatikai biztonság hazai KKV szektorban, mi az reálisan megvalósítható lenne

Közösségi kerekasztal

Sziasztok!

A 200TB tárolása témánál felvetődtek biztonsági kérdések is, valamint azért rengetek dolog előkerült amit mi kis cégekkel dolgozók nem is ismerünk.

A biztonságos üzemeltetés, vagy informatikai biztonság megteremtése is hasonló valahol, lehet nagyban vannak kiforrot dolgok, eljárások amikkel nem találkozunk, holott ha nem is úgy mint nagy helyeken használják, de át lehetne venni.

Ha van kedvetek ötletelni, hogy hogyan nézhetne ki egy biztonságos üzemeltetés a KKV szektorban.

Tekintsünk el attól, hogy Mo ez az utolsó amire pénzt szánnak míg nincs baj, hogy az ügyvezetőknek fejben nagyon nincs ez meg. A felhasználók rinyálnak mindenért mert valami kényelmetlenebb. Azért az elmúlt időszakban egyre több kínos borulás volt.

Vegyük azt, hogy tud a cég szánni ilyen jellegű kiadásokra. Legyen egy általános kereskedő cég, vagy tervező iroda. Olyan ahol elég sok gép van, fixen asztali, laptopok amiket hazavisznek, van valamiféle fájlszerver is.

Ötletelni, hogy milyen alapvető dolgok vannak amiket meg kell tenni, mi az amivel akár eszköz, szoftver vagy felhasználó szinten javítható a biztonság. 

  • 1548 megtekintés

( Tassadar v | 2023. 02. 28., k – 21:20 )

Szerkesztve: 2023. 02. 28., k – 21:29
  • Költözzenek cloud-ba, lehetőleg managed service szolgáltatásokat használva
  • Kövessék a Zero Trust paradigmát - amennyire lehetőség van rá 
  • Dokumentálják le a folyamatokat, a későbbiekben pedig ragaszkodjanak ehhez, akkor is ha ez ellenkezést vált ki a többségben
  • Szánjanak időt (pénzt) az IT, felhasználók és vezetők targetált oktatására

A hazai KKV szektor igen jelentősen alultőkésített, az IT a szükséges rossz. Szoftvert csak akkor vesz, ha nagyon kell. Az IT szolgáltatásért pénz nem nagyon akar kiadni. A tulajdonosok nagy többsége inkább az X5-re (behelyettesíthető) áldoz, mint az IT-ra.

És nem akarlak meggyőzni.

Múltkor amikor az ügyfénél a pénzügyesek rinyáltak, hogy nagyon drága az a switch amit javasoltam megvenni. (nem volt az, tekintve, hogy egy 50 fős irodába nem rakunk nem menedzselhető 8 portos node-okból álló linksys "clustert" - hanem normális menedzselhető redundáns bármit.)

Rámutattam az üvegfalú tárgyalóra és annyit mondtam, hogy azt havonta használják annyian, mint ezt a switchet naponta, mégis többe került mint a rack szekrényetek teljes tartalma.... erre csak hümmögtek és nem volt több vita.

Ez így van, viszont nem érzek relevanciát a cloud <> on-prem üzemeltetéssel kapcsolatban: 
maximum párfős IT-val rendelkező KKV esetén egészen biztos vagyok benne, hogy olcsóbb a felhő teljes költsége, mint hasonló minőségű szolgáltatást nyújtani on-prem.

Microsoft 365 Business Basic - 6 EUR / user / hónap (kedvezménnyel: 4)

1 Tb OneDrive (versioning, megosztás organizáción belül és kivül, sharepoint), 60 Gb mailbox, Teams, alapvető UI-alapú automatizáció (Power Automate), Form-ok (Forms), foglalási szolgáltatás (Booking), project management (Projects) - ezzel le van fedve egy átlagos KKV user management, levelezés és egyéb kollaborációs, project management, dokumentációs és tárhely igénye.

10 EUR-ért kapnak desktop office alkalmazásokat, összesen 18 EUR-ért pedig ezek mellett mobile és desktop management-et is.

Ez egy 50 fős cégnél 900 EUR havonta (listaáron, 20 százalékos diszkontot simán el lehet érni), még egy junior IT-s teljes bérköltsége sem jön ki ennyiből.

Jaj de jó!
Menjen az MS utcájába az, akinek 3 anyukája van.
Vagy várja meg a következő cloud-dadogást, amikor éppen azonnalra kell adat.

A nem nyomtat a nyomtató, hová tettem, nem megy az USB, rossz a gép, stb lokális problémát nem oldja meg a felhő. A junior meg - talán - igen. Így nem kéne ezeket összekeverni.

A junior meg - talán - igen.

De a többit is megoldja? Vagy igazából ez nem egy vagy-vagy, hanem egy is-is kérdés? :)

Tegyük félre a sallangokat (méghogy projektmenedzsment!) nézzünk valami egyszerűt: userenként 1 TB tárhely + levelezés + munkahelyi IM + videoconf, mennyiből jön ki fejenként, on-prem?

Ha esetleg félreérthető volt, egyik bekezdést sem költői kérdésnek szántam. :)

Szerintem az IT-hoz valamennyire értő embert sehogy nem lehet manapság már megspórolni. Vagy valaki elviszi a feladatot mellékállásban, vagy fel kell venni egy alvállalkozót arra a heti néhány órára, vagy valami.

Az on-prem árazásra meg azért lennék kíváncsi, mert ~8 éve használtam utoljára ilyen csomagot, amiben semmi cloud alapú dolog nem volt, és rohadtul nem tudom megmondani, hogy mennyibe kerülne. Arra tippelek, hogy havi 4 eurónál többe, de győzzetek meg. Vagy ne, mit bánom én.

Továbbá a felhőszolgáltató nem mond fel mint a cég rendszergazdája, ITisül devops-ja. Meg tudja különböztetni a backup fogalmát az archiválás fogalmától, ami az itt citált 200TB-os topik hozzászólásai alapján a hup népe számára nem teljesen világos. Ha itt wannabe-juniorok szoktak általában "szak"-tanácskozni akkor nincs probléma, de ha ez a szint jellemző a "juniorok-ra", jelentsenek ezek bárkiket is akkor személy szerint aggódnék a junior megoldás választása esetén. Ismerek legalább két budapesti műintézményt, akik azt az elvet vallják, hogy aki náluk diplomát kap az minimum el kell érje a medior szintet. Megy is rendesen a hallgatók szopatása. 

Megjegyzem azért, hogy nem a MS Azure az egyetlen választási lehetőség. Felhőben nincs monopólium. Eleve az Amazon a piacvezető, és a Google is robosztus, megbízható szolgáltatást biztosít árban is egészen jók. 

Arra tippelek, hogy havi 4 eurónál többe, de győzzetek meg. Vagy ne, mit bánom én.

Megelégszel azzal, hogy egy mikroszerver fut a rendszergazda jobblába mellett, ISP otthoni csomagjára kötve, klimatizált irodában, pirosan világító billenőkapcsolós kínai elosztóról táplálva - vagy mégis milyen szolgáltatási szinttel kellene az O365-öt összevetni?

Mennyivel menőbb lenne ha a rendszergazda farzsebében levő Realme mobilról menne! :D

Szóval ha belerúg rossz kedvében és megnyekken az a lábánál levő mikroszerver, akkor lesz pár óra / nap kiesés a szolgáltatásban. Felhőben észre sem veszed ha kiesik egy szerver, egyből indul helyette egy másik. Lehet "házon belül" is felhőt használni, de ahhoz kevés 1 db mikroszerver a rendszergazda lábánál. Meg legalább egy másik helyszín sem ártana például az iroda leégésének esetére. 

Nyilván a felhő is el tud hasalni, meg is történt már párszor, károgni is szokott rajta, akinek nincs jobb dolga. A fair összehasonlítás viszont akkor sem úgy néz ki, hogy a "valami leállt Azure-ban"-t vetjük össze a mikroszerverrel, hanem a _minket_ érintő cloud kieséseket vetjük össze az on-prem megoldással. 

vagy mégis milyen szolgáltatási szinttel kellene az O365-öt összevetni?

Mindenképpen valami hasonlóval. :)

Nem az a kérdés, hogy "valamilyen" service-t össze tudok-e rakni olcsóbban, hanem nyilván olyat, ami legalább nagyságrendileg összemérhető azzal, amit az O365 ad. Legyen legalább 99%-os rendelkezésre állás (már itt jófej voltam!), adj hozzá supportot, legyen self-service a mindennapi használata, stb.

Az ibtv értelmében a felhős megmozduláshoz tudtommal engedély kell, a központosított felhős nda-val (nem véletlenül :)) kezdődő bohóckodás alapján (nem megy az eszemélyi semmi gond kikapcsoljuk a két faktort, nem megy hát nem megy akkor sem fog menni ha öt percenként felhívsz mert az egész országban szar, nyiss hibajegy focit ha szeretnél) azokat a problémákat preferálom ami ellen tudok tenni.

Ha nem megy az email na azt meg még tudom oldani ;)

Lehet már nem kell, pár éve még volt ilyen:

[NEIH-002] Informatikai rendszer külföldi üzemeltetéshez engedélykérő űrlap (v1.5)

Lehet feladták amikor a neih beaolvadt az nki-ba mert az nki.gov.hu-n nem találom. 

Eszemélyit 2fa-hoz ami nem NDA-s például az Államkicstár Kira-ja.

tulaj semmiféle felhőben tárolt adatunkról hallani sem akar.

Ez szép, meg jó is... lehet akár célkitűzés is... de akkor gondolom:

- ért hozzá, és tudja miről beszél (általában egyik sem áll fenn) 

- megvan a büdzsé a saját infrastruktúrára, annak biztonságára + a ezek folyamatos fentartására,

 

biztosan van kivétel, de tapasztalatom szerint:

Az ilyen hozzállás szokta eredményezni a 'cégnev@cirtomail.hu' közös email account használatát, saját privát mobilszámokon való ügyfél kommunikációt, ingyenes webtárhelyen hostolt céges website, meg a szedett-vedett (rosszabb esetben BYOD) eszközökön - mentés nélkül - lévő 'adatvagyont'.  

zrubi.hu

"a tulaj semmiféle felhőben tárolt adatunkról hallani sem akar" 

A helyedben elgondolkoznék azon, hogy biztosan jó helyen dolgozol-e! :)

A főnök mellett durván elment az idő. Természetesen ha az informatika jelentősége marginális a vállalkozás profiljában akkor ez nem nagy probléma. De ha nem így van, akkor üzleti döntéseivel is lehetnek problémák. A felhő egyetlen alternatívája az Úr 2023-ik évében a saját felhő. És bizony mondom néktek nem a szerver hardverek ára lesz a legdrágább költségelem, hanem a munka amit bele kell tenni. 

Az a baaaaaaaaj, hogy nyilván kláud van, meg minden van, az tényleg jó. Ettől függetlenül lesznek gépeik, nem ártana az adataikról valamilyen saját hatókörű mentés, mert azért a szuperknóháú ellenére már voltak gondok, illetve lehetnek. Nem mellesleg adatra egyetlen cloud szolgáltató sem vállal semmit, és teljesen igazuk van. Az sem ártana, hogy ha a saját gépeiken így úgy meglévő, vagy hozzáférhető adataikat próbálnák megvédeni. Ha esetleg olyan a munkakör, akkor egy vadabb NAS-t sem biztos, hogy megúsznak (lásd a 200TiB-os kiindulópont).

Az, hogy mondjuk havi EUR 100-at elfelhőznek egy kisebb része a problémáiknak, utána jönnek az igazi "laza megoldások".

Az hogy mondjuk havi EUR 100-at elfelhőznek egy kisebb része a problémáiknak, utána jönnek az igazi "laza megoldások".

Éppen arra céloztam hogy ami a méretgazdaság miatt mondjuk 100 USD az Office 365-ben, az tízezer - százezer USD-be kerülne on-prem.

Úgy fogom fel az on-prem világot mint a közeljövő belsőégésű motorral szerelt autóit: kevesek kiváltsága lesz, speciális üzleti igényekre.

Félreérted. A felhőzés tök jó egy KKV-nek, de ettől még egy csomó IT problémájuk van, ami főleg biztonsági. Attól hogy előfizeted az O365-öt vagy Google appsot, vagy egy sima tárhelyszolgáltatónál emailezel, attól még vannak desktopjaid, van egy helyi hálózatod, esetleg egy NAS, vannak adataid mindenképpen. Attól hogy "hátfelhőzünk" nem lesz minden megoldva.

Az a baj, hogy mindenki leragad a Word/Excel dokumentumoknál, meg a könyvelőprogramnál. Ahol több-tíz GB-os grafikai-/videó állományokkal, tervrajzokkal kell napi szinten dolgozni, ott egy vagyont lehetne elkölteni csak az internetkapcsolatra, hogy ezt felhőben lehessen tárolni. Arról nem is beszélve, hogy pont a nagymennyiségű adattárolás az, ami a felhőben is ugyanolyan drága.

"Probléma esetén nyomják meg a piros gombot és nyugodjanak békében!"

Ahol több-tíz GB-os grafikai-/videó állományokkal, tervrajzokkal kell napi szinten dolgozni

Az már speciális igény, ahhoz nem lehet látatlanban okosat javasolni.

Ráadásul ezek általában 'IT kölezeli' területek, nekik eleve kell legyen valamilyen alap infrastruktúra.

zrubi.hu

"a nagymennyiségű adattárolás az, ami a felhőben is ugyanolyan drága" - Ezt inkább az attól függ kategória, ráadásul sokkal rugalmasabban át lehet alakítani a már meglévő architektúrát olyanra hogy kevesebbe kerüljön.
Csak egy példa: 2009 környékén építettem autógyárnak render farmot spéci grafikus kártyákkal meg eszméletlen drága hw. Ezt ma már nem csinálják, AWS-ben megy az egész.
Ugyanígy SAP, MySQL/Postgres (Aurora - mert backup és read replica skálázás nem ügy).
S3 hosszútávú multi-tier storage.

Cégünkben (kb 20k ember) eljutottak végre oda hogy befejezzük a saját cloud sztorit mert baromság volt, annyi erőforrás ment el rá hogy csak az nem látta be mekkora pazarlás aki nem akarta.

Lehet saját felhőt összerakni de csak akkor ha azt a szolgáltatást komoly pénzzé tudod tenni, vagy olyan übertitkos a projekt hogy muszáj offline lennie. Államtitok esetén pl teljesen reális lenne ilyen, de van GovCloud és FedRAMP - már ha az USA a célközönség.

A legnagyobb költség az adatok mozgatása felhőben, AZ-AZ, VPC-VPC, vagy ha nem használsz VPC endpoint-ot akkor elég kemény tud lenni, de megfelelő tervezéssel elég komolyan lehet faragni a költségeken.

Nemtom, én sok céget látok az egészet beb@szni az Adobe Creative Cloudba… Cc előfizetés úgyis kell, anélkül nincs Photoshop, az meg hozza magával.

A videósok kevésbé onlány az tény, de sima plakát + banner + UI grafikai cégnek kb kell fejenként egy mac, ha nagyon akarom, akkor céges iCloud előfizuval hozzá hogy backupolódjanak, meg egy Adobe Cc, esetleg egy Google Worspace drive-val, you’re set.

Jobb esetben a gépeket lízingelik hogy gyorsan lehessen cserélni ha baj van, és van egy telefonszámuk amit max félévente felhívnak hogy van amit nem oldott meg a visszahúzás iCloud backupból.

( n.balazs v | 2023. 02. 28., k – 21:28 )

Szerintem ezekre a kérdésekre nem fogsz 10-20 mondatos választ kapni. Még az 10000 mondat is kevés lenne.

Egyrészt ami működik enterprise szinten, az nem biztos, hogy KKV szinten is - lásd: IDM toolok, PIM szeparáció. Másrészt az IT biztonságnak is rengeteg alterülete van. Én azt gondolom, hogy KKV IT biztonság címmel lehetne írni egy könyvet. Amolyan sorvezetőként, hogy milyen részterületek vannak, mikben lehet elmélyülni, mik azok a kulcsszavak, amelyekre rákeresve körbe lehet járni a témát.
Mindazonáltal IT security téren is van az elméleti és a gyakorlat. Jelentősen elválnak egymástól.

Hogy csak egy konkrét témát említsek: PKI. Ilyenkor legszívesebben odaadnám a Nagy e-szignó könyvet (letölthető: https://static.e-szigno.hu/anyagok/nagy_e-szigno_konyv.pdf) legalább az alapok elsajátításához. Utána lehet tovább menni jogi szempontból (pl: eIDAS, eID), illetve technikai szempontból (pl: Melyik szoftver hogyan támogatja az átállást jelszavakról tanúsítványokra; Kik/mik a PKI nagy kerékkötői; Milyen fallback megoldások vannak, ha a PKI "összedől").

Vagy másik téma: DRP, BCP, RTO, RPO. Ha valaki soha nem látott még ilyet, akkor nehezen tudja elképzelni, hogy kb. milyen tartalmi követelményeknek kellene ezeknek megfelelni. Egy általános sablont gyártani pedig nehéz és rizikós is - sokan képesek csak lemásolni és nem testre szabni az adott cégre nézve. Vagy teljesen életszerűtlen értékeket beleírni - pl: 10 perces RTO, 1 perces RPO minimális éves IT költségvetés mellett.

Néhány gondolat még:
- Számoljanak TCO-t. Mindig.
- Felelősségi körök tisztázása. Hatáskör vs felelősség.
- Szó elszáll, írás megmarad. Minden legyen lepapírozva.
- ITIL. Nem akkora butaság, mint amekkorának időnként hangzik.
- Szeparáció, izoláció.
- Dokumentáció és dokumentáció. Aki nem dokumentál, azt ki kell rúgni. Azonnal.
- Adatvagyon felmérése, osztályozás.
- Legyen IT költségvetés. Ebbe építsék be az elavulás miatt fellépő beruházási költségeket is.
- Beruházás vs. szolgáltatás igénybevétele.
- Ha valamihez nem értünk, akkor vegyünk igénybe külső felet, szakértőt, alvállalkozót. A főnök fia nem biztos, hogy erre alkalmas.
- Folyamatos helyzetértékelés - pl: évente.
- Merjünk változtatni, ha szükséges.

Hehe. :) Kihagytam a pontjaim a dokumentációt, legalábbis minimálisan, hogy például minden céges domain nevek vannak, mert még ezt sem szokták tudni, vagy hogy egyáltalán ki az internet szolgáltatójuk. Relatív vékony mappába lehet rendezni, és már óriásit léptünk előre a semmiből.

A fentiekből mikró szinten alig valami, KKV szinten nyomokban megvalósul. Költségvetés szinten a nulla a jellemző, és valami gáz van, akkor esetleg költenek.

Egyébként a helyzet az, hogy főleg a kisebb ellenállás felé haladnak a dolgok. Azaz ha mondjuk neki csak néhány egyeztetésen foglalkoznia kell dolgokkal, vagy a gondoltnál több (értsd nullánál, vagy valami vicces összegnél) pénzébe kerül, akkor vége. Olyan apróságok, hogy mondjuk 5-10-20 gépre megvenni a végpontvédelmet, hátha kevesebb malware-t szippantanak fel, és jó esetben csak telespammelik a világot (az emailaccountjuk segítségével). Az egyik mélypont az volt, amikor a kezdeti lelkesedés után mikor 250-300k-t kellett volna 5-8 éve kiadni NAS-ra egy 5 fős vállalkozásban, akkor "egyeztetni kell a befektetővel jött". Erre közöltem, hogy egy sokéve működő vállalkozásban óriási problémák vannak, hogy ha ezen ennyit kell rágódni. Valamivel később megtudtam egy ismerőstől, hogy az addig NAS-nak használt PC-vel igen komoly bajok lettek. Ezt még az ominózus megbeszélés előtt évekkel rakta össze valaki, ami egyébként az összerakáskor még nem is számított annyira gázosnak.

Lehetne még hat fórumot megtölteni mindenféle esettel, mert valszin mindenki tele van hasonlóval. Egyszerűen hihetetlen vakrepülésben megy az egész mikró és KKV szektor.

Számoljanak TCO-t. Mindig.

+ várható értéket minden kockázatra. A TCO-t már lassan kezdi érteni a többség, de a kockázatkezelésnél még mindig hasraütéses alapon választunk stratégiát.

ITIL. Nem akkora butaság, mint amekkorának időnként hangzik.

Az ITIL nem hangzik butaságnak, egyedül az a butaság benne, ami az összes módszertani frameworknél: amikor megpróbáljuk a template-et ráhúzni minden cégre ami él és mozog.

( andrej_ v | 2023. 02. 28., k – 21:56 )

LOL. :) Jellemzően pénz, akarat, meg elszántság nem szokott lenni, hogy rendesen betartsanak szabályokat. Ha az alábbiak megvalósulnak, az már kisebb csoda, és egy nagyon komoly lépés a nyugalom felé. Mind egyszerre, nem fontossági sorrendben.

1) Rendesen frissített, és aktuális támogatással rendelkező OS-ek használata. (Ugye egy utolsó Win XP is frissített...) Nem mellesleg egyszerű felhasználói accounttal történő használat.

2) Valamilyen épkézláb végpontvédelem. Ez ellen lehet ágállni, de egyre jobban látni, hogy kell.

3) Relatív szigorú tűzfalazás, és még csak egy sima csomagszűrő megoldásról beszélünk, ami akár egy mikrotik is lehet. Ugyanitt a hálózati erőforrások megfelelő védelme, hogy csak úgy bárhonnan ne lehessen mindent elérni, mert az jajjdeegyszerű, és ne fárasszanak már ilyennel, hiszen miért pont ide jönne bármi, nem vagyunk érdekesek... Wifi hálózaton a vendégek számára külön szeparált wifi, és NEM kiadott wifi jelszó a normál irodai wifihez. Bónusz valamilyen biztonságot segítő DNS (mint a Cloudflare family) beállítása.

4) A hálózati megosztásoknál komolyan vett "minimum szükséges jogok" elve. Hatalmasat lehet veszekedni egy "okos" fővezérrel, hogy ő miért van korlátozva, hiszen az ő cége... Pont ezért van korlátozva, hogy ne üzemeljen SPOF-ként.

5) Rendesen működő, és offline ÉS offsite mentések megléte.

+1) A mindenféle random saját eszközök IS a vendég wifit használják, akár mac address alapon kizárni a nemcéges, vagy akár a nemmenedzselt eszközöket.

Ha még ezen felül is hajlandóan bevezetni valami, és rendesen betartani, és betartatni, az óriási öröm. Egyébként minden fenti akkora maceraként rakódik, hogy vagy "nincs rá keret", vagy relatív hamar fellazul, és csak most gyorsban meg kell oldani...

( uid_17626 | 2023. 02. 28., k – 21:59 )

"A biztonságos üzemeltetés, vagy informatikai biztonság megteremtése is hasonló valahol, lehet nagyban vannak kiforrot dolgok, eljárások amikkel nem találkozunk, holott ha nem is úgy mint nagy helyeken használják, de át lehetne venni."

Na ez egy érdekes dolog. Az OE-n Mérnök.infon nem tanítják, de gazd.infon igen (informatikai biztonság, információ biztonság, it audit, infrastruktúra menedzsment tárgyak ölelik fel).

( Ebcsont | 2023. 03. 01., sze – 07:00 )

Ez egy csudi jó téma! :D

Feljebb említette STP az alul tőkésítettséget, szigorúan csak pénzügyi szempontból. Ha csak ennyi lenne a "baj", akkor az elvileg megoldható lenne több pénzzel. Ehhez képest a valóság sokkal prózaibb. A KKV-k működési sajátossága az állandó, relatív erőforrás hiány. Ez azonban nem csak a pénzhiányt jelenti, hanem a humán erőforrások korlátozottságát is. Kevés az élő munkaerő, de az legalább "túlterhelt". Ebből következik, hogy az informatikai "rendszert" nem lehet a nagy könyv szerint üzemeltetni, mert soha sem lesznek adottak hozzá a feltételek.

A másik tényező, ami ez ellen hat, az a költség gazdálkodás. Egy KKV csak korlátozottan tudja érvényesíteni a szolgáltatásainak/termékeinek az árában a felmerülő költségeit. Egy KKV a méretéből adódóan nem tud a piacon árbefolyásoló tényező lenni, csak azzal, ha "olcsón" dolgozik. Ebből adódóan az elérhető bevételei felülről elég korlátosnak mondhatóak.

A fenti kettőből következik, hogy bármiféle újításnak akkor van értelme a KKV esetében, ha az konkrét erőforrás megtakarítással jár. Hiszen csak így tud életképes maradni egy KKV. Ez egyszerre tud előny és hátrány is lenni, ennek felismerése pedig a vállakozás vezető feladata és felelőssége.

( zrubi v | 2023. 03. 01., sze – 07:16 )

Ahogyan többen is írták, igazából a fillérbasz*s a legnagyobb probléma.

Ezen felül - végtelen tisztelet a nagyon kevés kivételnek - a legtöbb KKV bizony nem valós piaci alapon működik, hanem a "mutyi business"-ből tartja fenn magát. Ezeknek pedig minden esetben a haver/rokon fog 'megoldásokat' szállítani (de leginkább pénzt kimenteni), nem pedig hozzáértők.

 

De ha ettől eltekintünk, és optimisták vagyunk:

Mivel céges infrastruktúrát biztosan nem tudnak fenntrtani, így én (is) felhős irányba terelném őket.

Első sorban a céges levelezést.

Mivel ez szinte biztosan oultook-ot jelent, amivel eleve egybe jár online Office,  Teams, stb.

Esetleg ugyan ezt céges googli szolgáltatásokkal kiváltva.

 

Ezzel a legtöbb KKV alapvető igényeit maximálisan ki lehet szolgálni.

 

Ez nyilván nincs ingyen, de azonnal szétválasztható a céges/magán használat, anélkül hogy céges infrastruktúrát kellene megvenni és fenntartani.

Cserébe internet kell hozzá, ami a gyakorlatban biztosan azt jelenti, hogy a dolgozóknak céges mobilnet kell(het)

Ha innentől ide tudod terelni az összes céges adatot, azzal máris sokkal előrébb vagy, mert:

- mindegyik támogat MFA-t, ami manapság must have.

- jó esetben nem lesz szükség arra, hogy lemetsen mindenki a saját gépére mindent is.

- backup megoldást is egyzerűbb mellé tenni, mint random összevissza tárolt adatokhoz.

 

És akkor ezután jöhet a 'nevelési' része, hogy megtanulják (és betartsák) hogy nem forwardoljuk a céges levelet a magán címre, nem random cseten bezsélgetünk üzleti támákban, és az ügyfeleket is a céges mail/cset/filemegosztás-ra tereljük azonnal.

 

A hibákat is látom, nagyon sok helyen (nem csak KKV)

- a hirtelen kitalált security policy-k nem betarthatóak.

- túl kényelmetlen/lehetetlen a céges eszközökkel/szoftverekkel dolgozni, így magánra terelődnek.

- a főnök (és sleppje) kivétel, nekik mindent szabad, és mindenhez root hozzáférésük van.

zrubi.hu

( gabrielakos v | 2023. 03. 01., sze – 07:57 )

Dokumentáljátok le a folyamatokat. Annyit amennyire pénz van.
A dokumentálásból már világítani fog a "merre tovább".

Gábriel Ákos

( STP | 2023. 03. 01., sze – 12:14 )

Ha az iparkamarai „hozzájárulás” (11 évnyi) összegének töredékét elköltötték volna mondjuk „KKV optimalizált” teendő/naptár/ERP/CMS/... rendszer szolgáltatás kialakításra - mondjuk csak olyan szinten, mint a NAV-os számlázó - akkor egyrészt a témaindító kérdéseinek egy része fel sem merült volna, másrészt azt tudná mondani az ember, hogy van értelme fizetni a sarcot. Mert így csak a Q anyukájuk jut az eszembe minden évben.

( Ritter | 2023. 03. 01., sze – 16:42 )

200TB saját szerveren, ami bombabiztos és önmagát üzemelteti. Ez a valódi pr0n a hup népe számra :D

( ggallo | 2023. 03. 02., cs – 17:10 )

Az itt elhangzottak alapján: a felhő szolgáltatásoknak elvitathatalan előnyei vannak, és olyan árakat csak abban a méretben lehet elérni, ergo ha valakinek kisebb felhő kellene de ugyan olyan minőségi, szolgáltatási szinttel, akkor baromi drága lenne. Vagy lehet nem is megoldható.

Nagyon sokan írtok az on-prem ellen, és megértem az érveiteket, sőt, egyet is értek. De azt gondolom, hogy aki így nyilatkozik, az nagy cégnél vagy nagy cégnek dolgozik, és nem él napi szinten a kis cégek, magánvállalkozások világában.

KKV szinten (magyar KKV amikor a "kis" pár főt, a "közepes" max. pár 10 főt jelent az átlagembernek) én nem ismerek olyant, aki akár O365-öt sikeresen üzemeltet, kihasználva a képességeit. Bővebben: attól, hogy leveleznek benne, meg a Drive-ba mentegetnek a telepített Office progikkal, még nagyjából semmi nem lesz megoldva, kicsit jobb csak, mint az asztal alatt zúgó microserver. Ugyanis ha letörölnek valamit, már nem tudja senki, hogy az nem veszett el, azt meg pláne nem, hogy honnan lehet elővenni. Így még nincs mentés, nincs archiválás, nincs jogosultság kezelés, nincs DRP, nem ITIL alapú a problémakezelés, stb. Nem tudnak felhőt váltani, hogy ha a másik olcsóbb lenne-többet nyújtana, mert vendor lock-in van, mert senki sem tervezte meg a felhőbe költözést, így nem lettek kizárva a nem mozgatható egyedi szolgáltatások. Stb.
Ezekhez hozzá értő ember kell, hogy életre keljenek a felhős szolgáltatásban lévő lehetőségek. Azt is működtetni kell, szakértelem kell, csak nem úgy, nem az, mint az on-prem szervernél. A probléma itt jön: a magyar KKV-nél nincs ilyen ember, külsősnek meg nem fizetnek ezen feladat ellátására, hiszen pont az on-prem rendszert (és annak üzemeltetését) váltották ki a felhővel... Emiatt aki rendszergazda/külsős szolgáltató, az sokszor nincs teljesen tisztában ezekkel a rendszerekkel, mert nincs kiért-miért megtanulni. Persze itt is igaz, hogy fejlődni érdemes, ismeretlen területen is, de ez akkora falat, hogy a legtöbben nem vágunk bele nagyon nyomós ok nélkül. Az pedig az üzlet lenne, ami egyenlőre nincs benne KKV szinten.

Én részemről nem látom az utat, hogyan tudnánk a KKV ügyfeleknek úgy felhős szolgáltatás-csomagokat eladni, hogy aztán majd azt üzemeltessük és azért fizessenek. Ez melóban-hozzáértésben nagyjából egy jó rendszergazda szintje (nem, nem terhelésfüggő geo-redundáns K8S rendszerre gondolok felhő címszó alatt jelen témánál). Tudom, hogy ez a jövő, de nem látom az oda vezető utat, mert amíg nem fogják fel az ügyfeleink, hogy ehhez is érteni kell és szükség van továbbra is szakemberre (csak nem úgy, nem ugyanarra), addig itt figyelünk majd a "nagy váltás" után jó ideig munka nélkül, az ügyfelek meg rég nem látott problémákba futnak, amit addig az on-prem esetén megoldott az üzemeltetés, ami akkor épp nem lesz, mert "hát ezért fizetünk a felhős cégnek, nem?"....

Mi pl. csináltunk saját levelező szolgáltatást, hogy az ügyfeleinknél meg tudjuk szüntetni a helyi levelező szervereket, amit baromi sok munka jól üzemeltetni mostanra. Ez egy olyan terület, ahol alacsony ügyfél igénnyel még megvalósítható kicsitben a "felhős" szolgáltatás. Persze felhős irodai szoftvert meg tárolási megoldást nem kezdünk el valószínűleg fejleszteni (pontosabban összerakni meglévő elemekből), az sokkal nagyobb falat, és ott a kezdő igények is jóval magasabbak. De nem látom a tövábblépést ezen a téren.

Emiatt engem is nagyon foglalkoztat az itt felvetett téma, hogy a fenyegetések ugyan olyan durvák a kis cégek számára is, és nekünk, Őket kiszolgálóknak fel kell nőni ehhez, kényszerből. Fejleszteni kell a biztonságot, hogy amíg nem akarnak/tudnak felhőbe költözni, addig se legyen olyan óriási szakadés a felhő megbízhatósága és az on-prem rendszer között (persze ezen a szinten nézve, nem objektíven/abszolut értéken). Ráadásul e mellett bele kell folyni a felhős szolgáltatásokba, hogy majd ha oda jutunk, akkor az ügyfélnek is, nekünk is zökkenőmentesebb legyen a váltás. Ez a biztonsági tudás pedig ahhoz is jól fog jönni, mert a felhő ugyan nagyvállalati kultúrával működtetett dolog, így meg kell azt értenünk annak ellenére, hogy nem ott és nem nekik dolgozink, hanem a kicsiknek.

mert vendor lock-in van

Ez a vendor-lock on-prem oldalon a HR erőforrásban (annak hiányában) jelentkezik.

A vendor-lock egyébként nem egy KKV egyszerű felhős IT infrastruktúrájában okoz igazán problémát, ezt a felhőszolgáltatók automatizált migráció támogatásával kezelik - konkrét esetben pár kattintással át tudtam migrálni O365-ből protonmail-be egy teljes organizációt, mert a Microsoft elérhetővé tett interface-t erre, a proton pedig fejlesztett automatizmust rá.

mert amíg nem fogják fel az ügyfeleink, hogy ehhez is érteni kell és szükség van továbbra is szakemberre

Attól hogy mostantól lízingelik az autót, attól még kell bele sofőr....

Persze nem kell a szervízköltségek, meghibásodás, elavulás, lopás, stb miatt aggódni..

 

szerintem.

zrubi.hu

( zwei | 2023. 03. 03., p – 17:31 )

Szerkesztve: 2023. 03. 03., p – 21:48

"Tekintsünk el attól, hogy Mo ez az utolsó amire pénzt szánnak míg nincs baj, hogy az ügyvezetőknek fejben nagyon nincs ez meg"

 

Ezen vezérelv mellett az erősen limitált költségvetés nagy részét biztonsági mentésre kell költeni.

Egy kicsi KKV rendszer elég gyorsan visszaröffenthető mentésből, aztán a tulaj majd véiggondolja, olcsóbb -e 1-2 évente 1-2 napot állni, vagy megtérül ha beruház a biztonságba.

Simán kijöhet az is, hogy olcsóbb az évi 1-2 nap állás, ha nincs (jelentős) adatvesztés. :) A lényeg hogy legyen jól dokumentálva mi, hogyan van mentve, és hogy kell visszaállítani.

 

A biztonság leginkább módszertan és folyamat.

Az onprem és a cloud eszközök. Mindekttőt lehet biztonságosan és nem biztonságosan használni.

TCO mindenre számolható - persze számolni tudni kell.

Vallással (világuralomra törő multicég/csippelő billgéc konteóhívőkkel) nem érdemes vitatkozni

 

szerk: a biztonság hiánya nem csak adatvesztést okozhat. Egyszer volt egy esetem, ahol az illető cég 15K eurót bukott egy nemzetközi bizniszben, egy "megváltozott a számlaszámunk" típusú levél miatt. Veszett profi volt a kamu levél. Aláírás, megszólítás, minden stimmelt, benne volt a teljes levelezési előzmény. Először csak vakartuk a fejünket, hogy ezt hogyan, mert nem utalt semmi arra, hogy felnyomták volna a fiókot. Aztán megtaláltuk a roundcube-ben beállított forward szabályt, ami közel egy éve minden bejövő levelet egy .ru címre továbbított.

Ezt megfelelő oktatással és egy 2FA email fiókkal, esetleg egy profi fraud detecion szoftverrel meg lehetett volna előzni. Abból a 15K euróból tuti kijött volna  jó pár évnyi IT security költsége az amúgy nem túl nagy létszámú cégnek.

Bő 1 éve hívtak egy céghez, nézzem meg, mi történhetett, mert elveszett 20k+ EUR.

- a cég (mini vállalkozás, egyetlen PC) egy hotmail-es címet használt, a fiókot feltörték valahogyan, a fiók benne is volt feltört adatbázisokban
- a csalók beállítottak egy forward szabályt, hogy bizonyos feladók esetén a levelet továbbítson egy másolatot egy másik hotmail címre, jelölje meg olvasottként és tegye be egy almappába, a feladók között üzleti partnerek címei, microsoft, bank
- ez a szabály arra volt jó, hogy a csaló megkapta a beállított feladóktól az összes bejövő levelet, a cég előtt el tudta olvasni a levelet
- ha nem volt érdekes a levél, akkor a levelet áttette a beérkező levelek közé
- ha díjbekérő/számla/hasonló volt, akkor a PDF-et átszerkesztette, hogy a saját bankszámlaszáma és neve legyen ott, szerkesztett egy eredetivel azonos levelet enyhén módosított feladóval (például @valami.gmbh helyett @valami.gmhb, dietmar@me.com helyett deitmar@me.com stb) és elküldte a cégnek, mint a levelezés következő levelét
- a cég az így módosított számlaszámra küldte a pénzt

Az ügyintéző két dolgot nézett be: a feladóra nem figyelt oda, illetve a PDF-ben levő név nem volt neki gyanús, hogy nem a cég neve (azt hitte, valami privát számla). A bankszámlaszám változás is feltűnhetett volna neki, néhány évvel korábban állítólag már volt tranzakció.

- az ügyintéző válaszolt is a levélre, miszerint elutalta a pénzt. A hamis címre válaszolt, ami vagy érvénytelen volt, a microsoft feladó miatt automatikusan a beállított mappába ment a hibaüzenet, így nem értesült a hibáról, a támadó viszont azonos levelet szerkesztve értesíteni tudta a partnert (szükség szerint átírva)
- jött az értetlenkedés, hogy miért nem jön az áru, ki lett fizetve, másik oldalról pedig a válasz, hogy nem jött semmi pénz
- a cég banki igazolást küldött a partnernek, miszerint elutalta a pénzt
- a csaló ezt a levelet is megfogta hasonló technikával, az igazolásban átírta a bankszámlaszámot, így a partner azt látta, hogy valóban az ő számlájára lett utalva a pénz

Ez a játék eltarthatott egy darabig, mire faxon is cseréltek üzenetet.

Mint kiderült már előtte is volt valami hasonló csalás, csak ott pont fordítva: ők küldtek számlát külföldi partnernek és nem kapták meg a pénzt + kisebb egyéb ügyletet is említettek.

A fiókban látszottak a nigériai bejelentkezések.