A KIBERBIZTONSÁG JELENE ÉS JÖVŐ- JE: EURÓPAI VÁLASZOK EGY GLOBÁLIS PROBLÉMÁRA 1

Átírás

1 VÁLOGATÁS A KRIMINOLÓGIA ÉS BÜNTETŐ TUDOMÁNYOK DR. DORNFELD LÁSZLÓ A KIBERBIZTONSÁG JELENE ÉS JÖVŐ- JE: EURÓPAI VÁLASZOK EGY GLOBÁLIS PROBLÉMÁRA június 2-án a Magyar Kriminológiai Társaság PhD szekciója A kiberbiztonság jelene és jövője című konferenciát szervezett a Nemzeti Közszolgálati Egyetem Rendészettudományi Karának épületében. 2 A rendezvényt Dr. Boda József, a Kar dékánja nyitotta meg. A konferencia fő témája volt az információs rendszerek és hálózatok védelme, illetve az ezekre irányuló, valamint ezeket felhasználó bűnözés elleni fellépés kérdései Magyarországon és az Európai Unióban. Számos előadás hangzott el a legkülönbözőbb témákban, a kibertér szabályozhatóságának kérdésétől kezdve a zsarolóvírusok elterjedésén át a kiberháborús eszközök jogi megítéléséig. Előadást tartott Rajnai Zoltán, Magyarország kiberkoordinátora, számos oktató és fiatal kutató, valamint a rendvédelem területéről gyakorlati szakemberek. A bevezető előadást Rajnai Zoltán tartotta, aki a magyarországi kiberkoordináció feladatait mutatta be, valamint annak jogszabályi és intézményi hátterét ismertette. A kiberkoordinátor egyik fontos feladata a kiberbiztonságért felelős állami szervek közötti munka összehangolása. Ezek közé tartozik a évi L. törvény (Ibtv.) által létrehozott Nemzeti Kiberbiztonsági Koordinációs Tanács, amelyben minden kapcsolódó tárca minisztere helyet kapott; a szakmai és NGO szervezetekből álló Kiberbiztonsági Fórum; illetve a különböző kiberbiztonsági munkacsoportok. Utóbbiak működésével összefüggésben kritikaként fogalmazta meg azok elaprózott tevékenységét. Kitért továbbá a kiberbiztonság új fejleményeire, így az EU hálózati és információs rendszerek biztonságának az egész Unióban egységesen magas szintjét biztosító intézkedésekről szóló 2016/1148. számú irányelvének elfogadására, amely új kihívások elé állítja a nemzeti jogalkotást, és az ennek való megfelelőség érdekében szükséges egy új nemzeti kiberbiztonsági stratégia elfogadása. 3 Az ezt 1 A Magyar Kriminológiai Társaság Kriminológia és Bűnügyi Tudományok PhD szekciója és a Nemzeti Közszolgálati Egyetem Rendészettudományi Kara által szervezett, A kiberbiztonság jelene és jövője című konferenciáról szóló beszámoló. 2 A konferencia részletes programja elérhető az MKT honlapján: kriminologia.hu/files/hir/2017/cyber.pdf (Letöltés ideje: ) 3 Beláz Annamária Berzsenyi Dániel: Kiberbiztonsági Stratégia 2.0 A kiberbiztonság stratégiai irányításának kérdései. NKE Stratégiai Védelmi Kutatóközpont Elemzések, 2017/3. sz o.

2 364 VÁLOGATÁS A KRIMINOLÓGIA ÉS BÜNTETŐ TUDOMÁNYOK.. tartalmazó új kormányhatározat várható megjelenését idén szeptemberre tette, valamint hangsúlyozta az októberben esedékes Európai Kibervédelmi Hónap jelentőségét, amelynek keretében 22 nap alatt 25 különböző eseményre kerül majd sor. Munk Sándor ezredes, a Nemzeti Közszolgálati Egyetem egyetemi tanára a kiberbiztonság és az interoperabilitás kérdéseit vizsgálta előadásában. Az interoperabilitás az együttműködésre való képességet jelenti két vagy több szereplő között, eredetileg a katonai gyakorlatban jelent meg. 4 Míg az interoperabilitás fő szempontjai a hasznosság, a hatékonyság és a kényelem, addig a biztonság a védettségre és megbízhatóságra korlátozódik. Véleménye szerint ezek mérlegét valamilyen módon egyensúlyba kell hozni. Az interoperabilitás EU-ban történő megjelenésével összefüggésben elmondta, hogy ez fokozatosan történt meg, előbb a lisszaboni stratégiában (eeurope, i2010), majd az Európa 2020 stratégiában (Digitális Menetrend, Digitális Egységes Piac). A megvalósítási kérdések fő felelőse jelenleg az EU Hálózat- és Információbiztonsági Ügynöksége (ENISA). Jelenleg még számos kihívás vár megoldásra, így alapvető fogalmak meghatározása is (mi a kibertér, mi a kibertéri művelet stb.), valamint az interoperabilitási megoldások alkalmazása és e szempontrendszer figyelembe vétele a jövőben. Saját előadásomban az Europol európai kiberbiztonságban betöltött szerepéről beszéltem. A lisszaboni szerződés elfogadása és 2009-es hatályba lépése jelentős megújulást hozott az európai büntetőjogban, és a kiberbűncselekménnyel kapcsolatos EU-s rezsimben is számos fontos változás történt, mind jogi, mind politikai és intézményi szinten. 5 Az EU kiberbiztonsági stratégiája (JOIN/2013/01) három pillért határoz meg, ezek közül az egyik a bűnüldözés, amelyben az Europol, és az annak részeként létrehozott Számítástechnikai Bűnözés Elleni Európai Központ (EC3) is szerepet kap. Ugyan ezek a szervek nyomozási cselekményeket nem folytathatnak, de kiemelkedő szerepük van a tagállami bűnüldöző szervek munkájának formális és informális koordinációjában, és a közös rendőri akciókban, így hatékony alternatíváját adják a lassú és nehézkes kölcsönös bűnügyi jogsegélynek, és segítenek az eljárások gyorsításában, illetve eredményességének növelésében. Szabolcsi Zsolt, a Nemzeti Nyomozó Iroda (NNI) Kiberbűnözés Elleni Főosztályának nyomozója a bűnüldözésben megjelenő kiberbiztonsági kihívásokat mutatta be. Ennek fókuszában az információtechnológiai eszközöket érintő bűncselekmények állnak. Az egyik legközismertebb a TOR hálózatot igénybe vevő szervezett bűnözés működése, amellyel szinte bármilyen illegális tevékenység folytatható az interneten. Az ilyen ügyekben eljárást folytatókat számos kihívás éri a munkájuk során, például a gyermek pornográf képek vizsgálatával együtt járó lelki megterhelés, a munkával járó tabuk feloldásának nehéz- 4 Munk Sándor: A Magyar Honvédség informatikai interoperabilitási politikája. Hadtudomány, 2006/1-2. sz old. 5 Dornfeld László: A kiberbűncselekmények nyomozásával kapcsolatban folytatott uniós bűnügyi gyüttműködés fejlődése. Külügyi Szemle, 2016/4. sz old.

3 VÁLOGATÁS A KRIMINOLÓGIA ÉS BÜNTETŐ TUDOMÁNYOK sége, az áldozat és bűnelkövetők azonosításának nehézsége, az IT nyomok felderítése. A kiberbűncselekmények felderítésében jelentős szerepe van az NNI-nek, amely központként működik és a helyi kapitányságokat segíti a munkájukban. Nagy Zoltán, a Pécsi Tudományegyetem habilitált docense a felhasználók felkészületlenségének kiberbiztonsági kockázatait mutatta be. Az egyik legnagyobb probléma, hogy a valós térben elkövetett bűncselekményekkel szemben a virtuális térben gyakran nem derül ki a sértettség, hiszen nem jár látható változásokkal (pl. adatlopás estén). 6 Ez azért különösen problémás, hiszen egy információs rendszerbe történő betörés komolyabb bűncselekmények megalapozója lehet, ugyanakkor a felhasználó nem érzékeli ezt, így védekezni sem tud ellene. Magyarország lakossági felkészületlenségét mutatja az is, hogy a botnet fertőzöttségben Európában a második, világszinten a 6. helyen áll hazánk. A botneteket létrehozóik túlterheléses támadásokra és zsarolásra használhatják, a fertőzött számítógépek tulajdonosának tudta nélkül. Az előadó szerint fontos tudatosítani, hogy a biztonsági kockázatok az egyszerű felhasználó szintjén kezdődnek, és ebben fontos szerepet játszik az ismeretterjesztés, már az iskoláktól kezdve. Parti Katalin, az OKRI tudományos főmunkatársa a kibertér szabályozásának nehézségeiről beszélt, példaként Seeland hercegségének mikro államát, illetve az 1999-től ott működő HavenCo internetszolgáltatót hozva, amely teljes anonimitást ígért klienseinek. Az internet akkoriban még szabályozatlan terület volt, de az idők folyamán lassan szabályozás alá vonták. Ebben a kormányok, a magánszektor, illetve a civil társadalom játszottak szerepet. A fő kérdés napjainkban az, hogy az állami szabályozást vagy pedig az önszabályozást szükséges-e erősíteni. 7 Mindkét koncepciónak megvannak a maga előnyei, és más-más eszközökkel operál. A HavenCo esete mutatja, hogy sokáig nem tud teljesen szabályozatlan maradni egy terület, ugyanis a hercegség próbálta meg rákényszeríteni a szabályait a szolgáltatóra, az internetes fejlődés pedig hamarosan értelmetlenné tette szolgáltatásukat. Mezei Kitti, a PTE doktoranduszhallgatója a kibertérben történő zsarolások kérdését mutatta be, többek között az újonnan megjelenő túlterheléses támadások (DDoS) és zsarolóvírusok (például WannaCry) tükrében. Az első zsarolóvírusok megjelenése 2005-re tehető, a cryptolocker 2013-as elterjedésével pedig új korszak kezdődött. Az elkövetők az átlag felhasználók mellett célba vesznek vállalkozásokat és állami szerveket is, pénzt követelve a titkosított adat zárolásának feloldásáért cserébe. Ebben fontos szerep jut a bitcoin kriptovalutának, mivel ennek tulajdonosa nem azonosítható. Számos új kihívás várható a jövőben e területen, például a dolgok internete (Internet of Things) megjelenésével és a kritikus infrastruktúra sebezhetőségével. 6 David S. Wall: Cybercrime: The Transformation of Crime in the Information Age. Polity, old. 7 Parti Katalin - Marin, Luisa: Foltvarrással az on-line illegális tartalom ellen: a tartalomblokkolás, a közvetítő szolgáltató felelőssége és az értesítési-levételi eljárás. Infokommunikáció és jog, 2012/49. sz old.

4 366 VÁLOGATÁS A KRIMINOLÓGIA ÉS BÜNTETŐ TUDOMÁNYOK.. Pongó Tamás, a Szegedi Tudományegyetem doktoranduszhallgatója a cyberbullying és a magyar diákok véleménynyilvánítási kapcsolata címmel tartott előadásában igyekezett a cybermegfélemlítés fogalmát meghatározni, illetve a vonatkozó gyermekjogi egyezményeket és jogszabályokat áttekinteni. Ezután bemutatta a területen elért hazai eredményeket, például a Digitális Gyermekvédelmi Stratégiát, illetve a Magyar Országos Cyberbullying Konferenciát (MOCK), majd beszámolt saját kutatási eredményeiről. Bányász Péter, az NKE tanársegédje és doktoranduszhallgatója a 2016-ban megjelent Pokémon Go játékon keresztül igyekezett bemutatni az okos mobileszközök sebezhetőségeit. Az alkalmazások gyakran kérnek hozzáférést az eszköz adataihoz, kamerájához, mikrofonjához és képeihez, és ezekkel vissza is lehet élni, hiszen nem tudni mire használják a hozzáférést. Ezért fontos, hogy csak hivatalos alkalmazások kerüljenek letöltésre. Oda kell figyelni, milyen wifire kapcsolódunk rá, hiszen annak üzemeltetője láthatja információinkat, és ugyanilyen aggályos az USB csatlakozás is ismeretlen eszközökre. Számos különböző, a felhasználók számára ismeretlen fenyegetés éri mobil eszközeinket, amelyek akár fizikai veszélybe is sodorhatják a felhasználót (például ritka pokémon elkapása reményében veszélyes környékre megy). Deák Veronika, az NKE ÁKK OTDK 1. helyezett hallgatója egy ezt igazoló kísérletről számolt be, melynek részeként egy telefontöltő feliratú dobozban helyezett el egy eszközt, különböző csatlakozókkal, és figyelte, kik próbálják meg igénybe venni ezt a szolgáltatást, valamint kérdéseket tett fel a hallgatók számára. A válaszokból kiderült, hogy a válaszadók több mint kétharmada használ nyilvános wifi hálózatot, megbízhatatlan forrásból tölt le fájlokat, nem veszi figyelembe az alkalmazásengedélyeket és ezzel veszélynek teszik ki saját eszközeiket. Ennek ellenére a válaszadók hasonló arányban feleltek igennel arra a kérdésre, hogy ismerik-e az eszközeiket érintő fenyegetéseket. Stotz Gyula, a PTE tudományos segédmunkatársa a jogi adatok kibertámadásoktól való védelmének lehetőségeit mutatta be. A jogi adatok a legérzékenyebbek közé tartoznak, mégis megvan a lehetősége annak, hogy olyanok is hozzáférjenek, akik kívül esnek a kontrollunkon. Az ügyvédi irodák sebezhetők a legtöbb kiberbűncselekménnyel szemben, pedig az ügyvédügyfél viszony és ennek titkossága kritikus kérdés. Az egyik optimális megoldás olyan alkalmazás használata, amely képes védelmet nyújtani a benne tárolt adatok számára. Ilyen az országban hamarosan megjelenő ilex, amely privát felhőben tárolja az adatokat, forráskód szinten védett, SSL hitelesített és a modern mobil távfelügyeletei eszközök használatát is biztosítja. Kelemen Roland, a Széchenyi István Egyetem tanársegédje a kiberhadviselés egyes aspektusait mutatta be. Az információs hadműveletek az öbölháború óta képeznek önálló kategóriát a hadviselésben. Ennek egyik alkategóriája a kiberműveletek, amelyen belül megtalálhatók a kiberinformációszerzés, a kibertámadások és a kiberévédelem. A kiberhaviselés célja az ellenség összezavarása, az állam megbénítása, illetve a hagyományos hadviselési eszközként történő alkalmazás. A NATO a Tallinni Kézikönyvet alkotta meg a kibertámadások nem-

5 VÁLOGATÁS A KRIMINOLÓGIA ÉS BÜNTETŐ TUDOMÁNYOK zetközi jogi megítélésére, még ha ez nem is minősül nemzetközi jogforrásnak. Fegyveres támadásnak tekinthető a nemzetközi jogban egy akció annak rendkívüli súlya vagy intenzitása alapján, illetve ha az betudható egy államnak. 8 Főleg ez utóbbi bizonyítása nehéz, hiszen nem lehet egy kibertámadást egyértelműen egy államra visszavezetni, ennek problematikáját pedig a régi és új Kézikönyv sem oldotta fel. Végezetül Bártfai Fanni, az NKE RTTK hallgatója a genfi 9/12 Cyber Challenge nemzetközi verseny tapasztalatairól tartott beszámolót. A csapat mentora Gyaraki Réka r. őrnagy volt, a feladatuk pedig egy elképzelt szituáció megoldása volt, amelynek során kórházak adatait titkosították ismeretlenek, és ezzel párhuzamosan terrortámadásokra is sor került, ez pedig zavargásokhoz vezetett, hiszen a sérülteket nem tudták ellátni. A csapat négy változatot is megadott a helyzet kezelésére, az orvosi eszközök védelmét priorizálva, illetve annak kérdéseit vizsgálva, hogyan vonható be a magánszektor a válság kezelésébe. Összességében elmondható, hogy a konferencia magas szakmai színvonalon zajlott, számos előremutató gondolat és élénk szakmai diskurzus kísérte, ami a terület újszerűségét és komplexitásáttekintve kiemelkedő jelentőségű. Megfigyelhető volt, hogy a gyakorlati és elméleti szakemberek más-más választ adnak ugyanazon kihívásra, amelyek összeegyeztetése a kiberbiztonsággal foglalkozók egyik legfontosabb feladata a jövőre nézve. 8 Kelemen Roland Pataki Márta: A kibertámadások nemzetközi jogi értékelése. Katonai jogi és hadijogi szemle, 2015/1. sz old.