KÜRT Zrt. Kockázatelemzés riport

Átírás

1 KÜRT Zrt. Kckázatelemzés riprt

2 Lgelemzés riprt 1. A DOKUMENTUM ADATLAPJA Ez a dkumentum a SeCnical rendszer SeCube mduljában került generálásra, szerkeszthető frmátumban. A dkumentum bizalmas infrmációkat tartalmaz! Jelen dkumentum a KÜRT Zrt. részére készült. A dkumentumt részben vagy egészben máslni, vagy bármi más módn másk számára elérhetővé tenni kizárólag a KÜRT Zrt. hzzájárulásával megengedett. Aznsítás Dkumentum adatai Vállalat neve KÜRT Zrt. Prjekt neve Kürt ISO 2017 Dkumentum típusa Kckázatelemzés riprt Állmány neve SeCnical_kckazatelemzes_riprt_pelda Dkumentum generálás dátuma KÜRT Zrt. 2/15

3 Lgelemzés riprt 2. A KOCKÁZATELEMZÉS A kckázatelemzés a SeCnical termék használatával került elvégzésre. A SeCnical termék használatával a kckázatelemzés flyamata jól követhető, megismételhető és validálható. A kckázatelemzés srán adttnak tekintettük az Inventry tartalmát, így annak helyessége, knzisztenciája és a beállíttt függőségek teljes körűsége meghatárzza a kckázatelemzés végeredményének minőségét. A kckázat nagyságát a fenyegető tényező bekövetkezési valószínűségének (gyakriság) és az általa kztt kár mértékének (hatás) függvénye adja. A kckázatelemzéshez szükséges infrmációkat a fenyegetettségek és sérülékenységek felmérése, a hatásk állapterjedésének vizsgálata valamint az üzleti hatáselemzés alktják. Fenyegetettség Sérülékenység Állaptterjedés Üzleti hatás Kckázat 1. ábra: Kckázatelemzés Az elvégzett kckázatelemzés szakaszai: 1. Kckázatelemzés paramétereinek meghatárzása 2. Erőfrrás és Fenyegetettség hatókör meghatárzása 3. Sérülékenységek vizsgálata 4. Állaptterjedések vizsgálata 5. Üzleti kárk meghatárzása, hatáselemzés 6. Kckázati lista előállítása és vizsgálata 7. Kckázatkezelés módjának és kapcslódó intézkedések meghatárzása KÜRT Zrt. 3/15

4 Lgelemzés riprt 3. A KOCKÁZATELEMZÉS PARAMÉTEREZÉSE A kckázatelemzés srán a következő alapvető knfigurációs paraméterek kerültek felhasználásra. 3.1 ÁLLAPOTVÁLTOZÁSI PARAMÉTEREK ÁLLAPOTVÁLTOZÁS IDŐTARTAMA A kckázatelemzés srán, amennyiben egy erőfrrás állaptváltzásának megadásakr időtartamt is definiálni kellett (pl. kiesés típusú erőfrrás állaptváltzás várható időtartama), a következő időértékeket lehetett használni: 0,5 óra 1 óra 2 óra 4 óra 8 óra 1 nap 3 nap 1 hét 1 hónap SZÁZALÉK SKÁLA ÉRTÉKEK A kckázatelemzés srán, amennyiben valamilyen állaptváltzás hatását százaléks arányszámmal kellett megadni (pl. teljesítmény vagy kapacitás csökkenés), a következő értékeket lehetett használni: 20% 40% 60% 80% 3.2 KOCKÁZATI ÉRTÉKELÉS KIALAKÍTÁSA Az egyes kckázatk értékelése a következő beállíttt paraméterek mentén történt GYAKORISÁG SKÁLA A bekövetkezési vagy észlelt gyakriság azt mutatja, hgy a vizsgált rendszerelemre a megállapíttt releváns fenyegetettség milyen gyakrisággal hat. A sérülékenység vizsgálat srán használt gyakrisági értékeket gyakrisági skálába srltuk. A skála nem lineáris, mert így különíthetők el hatéknyan a minőségileg különböző gyakriságk. KÜRT Zrt. 4/15

5 Lgelemzés riprt Gyakriság skála Skála kezdő érték Skála tartmány 8. 0 nap 0 nap - 3 nap 7. 3 nap 3 nap - 1 hét 6. 1 hét 1 hét - 1 hónap 5. 1 hónap 1 hónap - 3 hónap 4. 3 hónap 3 hónap - 1 év 3. 1 év 1 év - 3 év 2. 3 év 3 év - 10 év év 10 év + 2. ábra: Gyakriság skála KÁRHATÁS TÁBLA A kárhatásk meghatárzásáhz használt Kárhatás táblázat a Mellékletben tekinthető meg. KÜRT Zrt. 5/15

6 Lgelemzés riprt KOCKÁZATI SZINTEK Az egyes kckázatkat súlysságuk alapján kckázati szintekhez rendeljük. A kckázati szintek meghatárzását, a kckázati tényezők hatékny pririzálása érdekében egy 1-től 5-ig terjedő skálán értelmezzük. Kckázati szint Skála érték Kritikus 5 Magas 4 Közepes 3 Alacsny 2 Minimális 1 3. ábra: Kckázati szintek skála KOCKÁZATI SZINTEK SZÁMÍTÁSA A kckázati szintek számítását alapvetően kettő módszerrel végezhetjük. Az egyik a Mátrix módszer, melynél a kckázati szintek az egyes kckázatk gyakrisági és kárértékek metszeteiben helyezkednek el. A másik a Képlet módszer, melynél egy kckázatelemzési képlettel számlunk ki kckázati értéket, a kckázati szint pedig ezen érték nagyságától függ. Kckázati szint számításának módja: Mátrix módszer A választtt módszer jellemzői: KÜRT Zrt. 6/15

7 Lgelemzés riprt Kár év 3 év 1 év 3 hónap 1 hónap 1 hét 3 nap 0 nap Gyakriság 4. ábra: Kckázati szintek számítása KÜRT Zrt. 7/15

8 Lgelemzés riprt 4. KOCKÁZATELEMZÉS VÉGREHAJTÁSA 4.1 A KOCKÁZATELEMZÉS HATÓKÖRE A kckázatelemzés srán a kckázatkat erőfrrás és fenyegetettség párkra állapítjuk meg. A kckázatelemzés elvégzése srán használt fenyegetettség és Inventry erőfrrás hatókör a következők szerint került meghatárzásra FENYEGETETTSÉG HATÓKÖR A kckázatelemzés srán 3 db fenyegetettség került vizsgálatra. Ezen fenyegetettségek listája: Környezeti fenyegetettségek Tűz, épületen belüli tűz Szándéks humánfenyegetettségek Adathalászat, megtévesztés Illetéktelen jgsultság szerzés, birtklás, jgsulatlan hzzáférés 5. ábra: Fenyegetettség hatókör Az egyes fenyegetettségekhez erőfrrás-hatóköri szabályk (egy biznys fenyegetettség milyen erőfrrás típuskra lehet közvetlenül hatással), valamint alapértelmezett (előre feltételezhető, apriri ) gyakriságk kerültek meghatárzásra. Alapértelmezett gyakriság alatt azt értjük, hgy a fenyegető tényező statisztikailag vagy megbecsülve milyen gyakran tudna hatást gyakrlni a Kürt Test érintett erőfrrásaira, ha az erőfrrás vizsgálatakr azt látnánk, hgy a fenyegető tényezővel szemben semmilyen védelmi intézkedés nincs, hatáss védelmi kntrllk (akár szabályzási, akár technikai) nem kerültek alkalmazásra ERŐFORRÁSOK HATÓKÖR Az alábbiakban felsrlásra kerülnek a kckázatelemzés hatókörében lévő Inventry erőfrrásk csprtjai hierarchikus nézetben. A kckázatelemzés hatókörében lévő erőfrrásk száma: 54 db A kckázatelemzés srán használt Inventry verziószáma: 9915 verzió KÜRT Zrt. 8/15

9 Lgelemzés riprt Humán erőfrrásk Infrmatika Pénzügy Objektum erőfrrásk Budapest HQ Hálózati rendező I. emelet II. emelet Server rm Misklc_délnyugat Gyár épület Leltár IT leltár Adattárlók Épületgépészet Hálózati eszközök Interfaces Irdatechnika Szerverek Szftverek Virtual serverek Adatvagyn Pénzügyi adatk Riprtk KÜRT Zrt. 9/15

10 Lgelemzés riprt Ügyfél adatk Szlgáltatásk NyugdMeg Statisztikai nyilvántartó rendszer Inncent System IT business CRM System ERP MS Dinamics AX SAP system Web site IT Cre Active Directry LAN HQ MS SQL adatbázis Oracle DB management Flyamatk Pénzügy 6. ábra: Inventry hatókör 4.2 ÁLLAPOTTERJEDÉS VIZSGÁLAT Egy fenyegetettség bekövetkezését az ezzel szemben sérülékeny erőfrrásk teszik lehetővé. A sérülékeny belépő erőfrrástól kezdve az elemek közötti kapcslatkn (tartalmazás, használat, stb.) keresztülterjednek a sérülések és kznak állaptváltzáskat. Ezen esemény- illetve hatáslánck végén álló Inventry elemek és bekövetkező állaptváltzásuk vesznek részt az Üzleti hatáselemzésben. Az állaptterjedés vizsgálatának végeredményeként az összes sérülékenységből kiindulva bejártuk az összes állaptterjedési útvnalat az Inventry-ban (az Inventry-ban előre definiált függőségek alapján). A terjedési útvnalak vizsgálata srán minden egyes közbenső elem esetén felülvizsgálatra, szükség esetén finmításra kerültek a lehetséges állaptváltzásk. Az útvnalak KÜRT Zrt. 10/15

11 Lgelemzés riprt tehát minden esetben egy sérülékenységből indulnak, egy vagy több erőfrrás-állaptváltzás párn mennek keresztül és egyes útvnalak szlgáltatás, adat vagy flyamat-állaptváltzás párban végződnek. Állaptváltzás terjedés paraméterei: a sérült erőfrrás a sérült erőfrrás állaptváltzása a kapcslat típusa a kapcslódó erőfrrás illetve a kapcslódó erőfrrás állaptváltzása Belépő erőfrrásk száma: 23 db Vizsgált állaptterjedések száma: 152 db Hatáslánc végén álló Inventry elemek száma: 10 db 7. ábra: Eseménylánc példa KÜRT Zrt. 11/15

12 Lgelemzés riprt 5. A KOCKÁZATELEMZÉS EREDMÉNYEI 5.1 KOCKÁZATELEMZÉSI MEGOSZLÁSOK ÉRTÉKELÉSE FELTÁRT KOCKÁZATELEMZÉSI PROFIL A Melléklet Teljes kckázati lista című fejezetében megtalálható a Kckázatelemzés eredményeképpen előálló teljes kckázati lista. A kckázatelemzés srán 22 db nullánál nagybb kckázat került aznsításra. A következő táblázatban látható a kckázatelemzés srán feltárt, 0 értéknél magasabb kckázatk, kckázati szintek szerinti darabszám és százaléks megszlása Kckázat Elnevezés Darabszám Arányszám 5 Kritikus 0 0% 4 Magas 1 5% 3 Közepes 10 45% 2 Alacsny 9 41% 1 Minimális 2 9% Sum % 8. ábra: Kckázati szintek feltárt állapt KÜRT Zrt. 12/15

13 Lgelemzés riprt Kckázati szintek 0% 9% 5% 41% 45% Kritikus Magas Közepes Alacsny Minimális 9. ábra: Kckázati szintek kördiagram feltárt állapt Az aznsíttt kckázatk részletes elszlását a kckázati mátrixn a következő ábra mutatja. Az ábrán látható kckázati mátrix gyakriság és kárérték metszeteiben feltüntetett érték, az da srlt aznsíttt egyedi kckázatk számát jelöli. Kár év 3 év 1 év 3 hónap 1 hónap 1 hét 3 nap 0 nap Gyakriság KÜRT Zrt. 13/15

14 Lgelemzés riprt 10. ábra: Kckázatk számszerű elszlása a kckázati mátrixn feltárt állapt Az alábbi táblázat a beaznsíttt kckázatk darabszámának százaléks megsztását ábrázlja a kárhatás tábla egyes szintjeire nézve: Kár nagysága Darabszám Arány % % % 5 2 9% % 8 Összesen % 11. ábra: Kitettség térkép feltárt állapt Az elemzés srán előfrdulhat, hgy biznys fenyegetettség erőfrrás párk már előre elhanyaglhatónak kerültek megjelölésre. Vagy vlt bekövetkezési gyakriságuk, de az elemzés srán üzleti kárt végül nem kztak (kivédett sérülékenységek). Az elhanyaglható kckázatk a legalsó kckázati szint skaságát növelik. KÜRT Zrt. 14/15

15 Lgelemzés riprt 6. KOCKÁZATKEZELÉSI INTÉZKEDÉSEK 6.1 SYMANTEC CENTER UPGRADE Kckázatkezelési intézkedések # Intézkedés megnevezése Felelős Státusz Véghatári dő Symantec center upgrade CIO Flyamat ban Intézkedése leírása: Symantec licenc kulcs beszerzése és a center frissítése. Addicinális kckázat: Végrehajtók: Elemér Pál 1. Kckázatkezelés típusa: Csökkentés Intézkedés típusa: Megelőző Egyszeri ráfrdításk: Embernap: 0 Anyagi: 0 Ft Flyamats ráfrdításk: Embernap: 0 Anyagi: 0 Ft Hzzárendelt kckázatk: Rsszindulatú kódk (vírus, trójai, féreg) - SQL DB server (Szerver) Rsszindulatú kódk (vírus, trójai, féreg) - Fujitsu Oracle management server (Szerver) KÜRT Zrt. 15/15