Adat és információvédelem Informatikai biztonság. Dr. Beinschróth József CISA

Átírás

1 Adat és információvédelem Informatikai biztonság Dr. Beinschróth József CISA

2 Szervezeti és működési kérdésekhez kapcsolódó - A biztonsági szervezet hiánya, gyengeségei Általánosan jellemző Nincs integrált biztonsági szervezet A vagyon és adatbiztonság egymástól függetlenül működik ill. a funkciók összekeverednek Az adatvédelem és adatbiztonság szétválasztásának hiánya Biztonsági ellenőrzések hiánya Biztonsági szervezetek (tűzvédelmi, polgári védelmi hiánya, gyengesége Biztonsággal kapcsolatos dokumentumok hiánya: Biztonsági Stratégia, Biztonsági Politika, Biztonsági átvilágítás, Katasztrófaterv, IBSZ

3 Szervezeti és működési kérdésekhez kapcsolódó Szabályozások hiányosságai Szabályok be nem tartása A munkakörök és szakmai kompetencia nem teljesen függ össze A munkaköri leírás és a tényleges tevékenység nem egyezik meg Seggregation of duties Nem megfelelő oktatás

4 Szervezeti és működési kérdésekhez kapcsolódó Titokvédelmi hiányosságok, gyengeségek Nincsenek osztályozva titokvédelmi szempontból az adatok, alkalmazások, eszközök, helyiségek (Ha nincs meghatározva, hogy MIT kell védeni, nem lehet megmondani, hogy HOGYAN) A titokvédelmi munkatárs elhelyezkedése a szervezeti hierarchiában nem megfelelő (nem az elsőszámú vezető közvetlen alárendeltje) Iratkezelési hiányosságok Nincs szabályozva az elektronikus íratok kezelése, előállítása, megsemmisítése, archiválása (szemben a hagyományos papír alapú íratok kezelésével) Nincs megfelelő jogi szabályozás jelenleg

5 Szervezeti és működési kérdésekhez kapcsolódó Harmadik féllel kötött szerződések gyengeségei A szerződések nem tartalmaznak biztonsági garanciákat (fejlesztők, szállítók, karbantartók, üzemeltetők ) Outsourcing, SLA kockázatok A megbízó hatáskörén kívül eső biztonsági környezet A biztonsági követelmények érvényesítése, a számon kérhetőség biztosíthatósága A cég területén idegen szakemberek, hozzáférnek a rendszerhez. A biztonsági szabályzatok betartatása problematikus. Korlátozott felelősségvállalás az üzleti tevékenység megszakadására vonatkozóan a harmadik fél nem vállal garanciát -- vis maior

6 Szervezeti és működési kérdésekhez kapcsolódó A humán erőforrásokat fenyegető A humán erőforrások bizalmassága (személyes adatok, feladatkörök stb.), sértetlensége (sérülés), rendelkezésre állása (sérülés, betegség, haláleset, túszejtés, sztrájk stb.) sérülhet

7 Szervezeti és működési kérdésekhez kapcsolódó IDG felmérés 2004: Követhetetlen felhasználók - A dolgozók csaknem fele (46 százalék) ismeri el, hogy mások is hozzáférnek a laptopjukhoz mikor a munkahelyen kívül tartózkodnak, minden ötödiknek (22 százalék) pedig fogalma sincs arról, hogy tulajdonképpen ki és mire használja noteszgépét. Veszélyes letöltések - Az alkalmazottak 86 százaléka ismerte el, hogy a munkahelyen kívül a munkához nem kapcsolódó szoftvereket is le szokott tölteni a céges laptopra. Törvénysértés - Csupán tízből egy alkalmazott törődik azzal, hogy cégét megbüntethetik a szerzői jogok megsértéséért az illegális zene- vagy filmletöltések miatt - míg 15 százalék tart attól, hogy őt magát vonják felelősségre. Kapcsolt letöltések - 74 százalék ismeri el, hogy nem mindig olvassa el a letöltésre vonatkozó feltételeket és szabályokat, nem csoda hát, hogy a felhasználók 15 százaléka fedezett fel PC-jén olyan szoftvereket, amelyeket nem is akart letölteni. A felelősség terhe? - Meglepő módon, annak ellenére, hogy a felhasználók 42 százaléka elismeri a fájlcserélő hálózatok használatát, a felnőtteknek szóló illetve a hacker oldalak látogatását, 35 százalékuk úgy érzi, hogy a vállalat számítástechnikai osztálya felelős a laptop állapotáért, noha azt a dolgozó otthon is használja.

8 Szervezeti és működési kérdésekhez kapcsolódó A humán erőforrások képezte Nem megbízható, nem lojális munkaerő alkalmazása (erkölcsi bizonyítvány?, előző munkahely?, életvitel, pénzügyi zavar stb.) Nem megfelelően képzett, nem elegendő gyakorlattal rendelkező munkatárs alkalmazása Távozó dolgozók hozzáférései megmaradnak (belépő kártya, account, kulcs), a munkatársak nem kapnak értesítést a távozás tényéről. A biztonsági tudatosság hiánya

9 Veszélyforrások az IT rendszer életciklusában Fejlesztés/beszerzés A fejlesztési cél nem tartalmaz biztonsági követelményeket Nincs elkülönült fejlesztő rendszer (személyzet is!) A szállító nem ad megfelelő biztonsági garanciákat Elterjedt, szabványos szoftverek beszerzése Átadás/átvétel A biztonsági követelményrendszer ellenőrzése hiányzik Speciális hozzáférések (programozók spec. jogosultságai), hátsó ajtók megmaradnak

10 Veszélyforrások az IT rendszer életciklusában Üzemeltetés A biztonságkritikus munkakörök nincsenek szétválasztva Fejlesztések folynak az éles rendszeren A biztonsági események feltárása, értékelése nem történik meg Outsourcing igénybevétele Szabályozások hiányoznak Selejtezés Nincs jól szabályozott selejtezési rend (hardver szoftver - dokumentáció)

11 Az informatikai rendszer főbb elemei A környezeti infrastruktúra elemei Hardver elemek Adathordozók Dokumentumok Szoftver elemek Adatok Kommunikáció - hálózatok A rendszerekkel kapcsolatba kerülő személyek (humán faktor).

12 A környezeti infrastruktúra Terület (épület) A rendszer elemeinek elhelyezésére szolgáló helyiségek Átviteli vezetékek az épületben és az épületen kívüli területeken egyaránt Áramellátás Klimatizálás Víz, csatorna, szellőzés Telefon Belépés-ellenőrző eszközök Tűzvédelmi berendezések Betörésvédelmi berendezések

13 Veszélyforrások a környezeti infrastruktúra területén Nem védett átviteli vezetékek Közös kábelvezetések (tűz, szabotázs) Cégen kívüli személyek (látogatók, szerelők, szállítók stb.) bent tartózkodása Nem felügyelt munkálatok az épületekben, amelyeket külső személyek folytatnak (például ablaktisztítás, elektromos vagy telefonszerelés, építési munkálatok stb.) Cégen belüli személyek szükségtelen bent tartózkodása

14 Az informatikai berendezések nem védett helyzete (például a nyílt utcán, kerítés nélküli épületekben, a munkaidőn kívüli őrzés hiánya) A belépési biztonság hanyag kezelése A védelmi berendezések működési módjának vagy gyengeségeinek jogosulatlanok általi megismerése (például a vezetékek lefutása, riasztórendszerek kapcsolási vázlatai, különösen pedig a számítógép-vezérelt belépés-ellenőrzés)

15 Hardver elemek Felhasználói terminálok Beviteli és kiviteli eszközök Cserélhető tároló eszközök A hálózat aktív elemei Speciális biztonsági berendezések Rendszerkonzolok Központi hardver (szerver, mainframe gépek)

16 Veszélyforrások a hardver elemek területén Konstrukciós hibák Hibás alapelvek (neumann elv stb.) Tervezési hibák Kivitelezési hibák Meghibásodások Üzemeltetési hibák A készülékek csekély súlya, mérete (a lopás könnyen lehetséges) Érzékenység az elektromágneses sugárzással szemben Kompromittáló kisugárzás (például képernyőkről és rézkábelekről) lehetősége Tartozékok utánpótlásának szervezetlensége Ütésérzékenység Kürt anyag 7. oldal)

17 Adathordozók Biztonsági másolatok Munka másolatok Archív adatokat tartalmazó adathordozók Eredeti és felszabadított adathordozók

18 Veszélyforrások az adathordozók területén Nem védett tárolás Kapcsolható írásvédelem Mágneses érzékenység Szakaszos demagnetizálódás hosszabb tárolás esetén (elöregedés) Érzékenység a hőmérsékletre és a nedvességre stb. Nehezen ellenőrizhető

19 Dokumentumok Kezelési, felhasználási utasítások (hardver,szoftver) Üzemeltetési előírások Jegyzőkönyvek Egyéb dokumentációk

20 Veszélyforrások a dokumentumok területén: A dokumentumok hiányzó adminisztrációja Hiányzó változtatási szolgálat A felhasználói dokumentáció közvetlen elérhetésének hiánya a felhasználó számára Nem védett tárolás (tűz, lopás) Nem kellő gondosság a kiselejtezésnél vagy megsemmisítésnél Ellenőrizetlen sokszorosítási lehetőségek

21 Szoftverek Rendszerszoftverek Alkalmazások Egyéb szoftverek

22 Veszélyforrások a szoftver elemek területén Konstrukciós hibák Hibás alapelvek (neumann elv stb.) Tervezési hibák Kürt anyag 7. oldal Kivitelezési hibák Meghibásodások Üzemeltetési hibák A programok ellenőrzésének és átvételének hiánya Az új vagy változtatott szoftverek nem kielégítő minősítő eljárása (implementálási hiba) A logikai belépés ellenőrzésének hiánya Az események hiányzó jegyzőkönyvezése (például belépés, CPU-használat, file-ok megváltoztatása) A szoftver hibáinak vagy biztonsági réseinek ismertté válása A jelszavak olvashatósága Más felhasználókról való információszerzés

23 Lehetőség ismeretek szerzésére a meghívható távoli számítógépekről A jelszó-mechanizmus helytelen kezelése (rövid vagy könnyen kitalálható jelszavak, ritka vagy elhagyott változtatás stb.) Felhasználó-felismerés jelszó nélkül vagy közös jelszavakkal Az elavult vagy átmeneti állományok törlésének elmaradása A hozzáférési jogok helytelen odaítélése Szükségtelenül nagy hozzáférési jogok a felhasználók számára Vírusfertőzés Adathordozók ellenőrizetlen használata A "kilépés" elhagyása Távolról történő karbantartás Szoftver letöltése a hálózaton keresztül

24 Adatok Adatok a bevitel folyamatában Adatok a feldolgozás folyamatában (központi egységben, alkalmazói programmal) Tárolt adatok (tartósan vagy csak a feldolgozás idejében) Adatok a kivitel folyamatában

25 Veszélyforrások az adatok területén A beadott adatok hiányzó vagy nem kielégítő ellenőrzése Nem kielégítő védelmi berendezések Szoftverhiba Hiányzó hibakezelő eljárás a hardverben és a szoftverben Hiányzó újraindítás-előkészítés a hardverben és a szoftverben Szükségtelen hozzáférési jogok Az adatterületek törlésének hiánya az újrafelhasználás előtt Adathordozóra írás ellenőrző olvasás nélkül

26 Kommunikáció Hálózati adatok ellenőrizhető hálózatokon Hálózati adatok nem ellenőrizhető hálózatokon Hálózatvezérlő adatok ellenőrzött hálózatokon Hálózatvezérlő adatok nem ellenőrizhető hálózatokon

27 Veszélyforrások a kommunikáció területén Átviteli vonal károsodás, megszakadás Hibaforrások a hálózati szoftverben és hardverben A hálózati szoftver és hardver manipulálhatósága A hálózat- és az átvitelvezérlés manipulálhatósága Lehetőség az üzenetek lehallgatására Lehetőség az üzenetek meghamisítására Az adó és a fogadó hiányzó azonosítása és hitelesítése A jelszavak vagy titkos kulcsok nyílt szövegben való továbbítása Lehetőség az üzenetek ismételt lejátszására Valamely üzenet elküldésének vagy fogadásának hiányzó bizonyítása

28 Személyek Felhasználók Üzemeltetők Fejlesztők Őrző és felügyelő személyzet Segédszemélyzet Külső munkatársak Hackerek

29 Veszélyforrások a személyekhez kapcsolódóan A kiesés sokrétű lehetőségei (sérülés, betegség stb.) Nem kielégítő kiképzés A fenyegetettségi helyzet ismeretének hiánya A fenyegetettségi helyzet lebecsülése Előre nem látható viselkedés (motívumok, szándékok) Különböző szellemi képességek Hiányzó vagy hiányos ellenőrzés