Elektronikus információbiztonság tudatosság és képzési igények a magyar közigazgatásban

Átírás

1 Elektronikus információbiztonság tudatosság és képzési igények a magyar közigazgatásban Nemeslaki András E-közszolgálat Fejlesztési Intézet Nemzeti Közszolgálati Egyetem

2 Az IB továbbképzés és éves továbbképzés szerkezete Továbbképzés Éves továbbképzés Idő (óra) Tárgykörök Idő (óra) Tárgykörök IB Felelős (EIV) 300 Két féléves ASZTK 80% elmélet 20% gyakorlat Elektronikus IB vezető képesítés 50 IB technológia IB stratégia, szabályozás Incidenskezelés (kockázat) Jog és szervezetirányítás IB résztvevő 50 IB technológia IB stratégia, szabályozás Incidenskezelés (kockázat) Jog és közigazgatás 25 IB technológia IB stratégia, szabályozás Incidenskezelés (kockázat) Jog és szervezetirányítás Felelős vezető 8 Jog, közigazgatás, vezetés IB technológia IB stratégia, szabályozás 8 Jog, közigazgatás, vezetés IB technológia IB stratégia, szabályozás

3 NKE Kutatás 2014 Január-Február Milyen igényeket és elvárásokat támasztanak a továbbképzésekkel kapcsolatban? Mi jellemzi az IB-felelősök kijelölésének közigazgatási folyamatát?

4 Szakértői Interjúk 15 db Szakértők, akik befolyással vannak. Felhasználók, akik rálátással rendelkeznek. Minisztérium IB-felelős Egyetem IB-szakértő Egyetem IB-szakértő Országos hatóság elnökhelyettes Minisztériumi háttérintézmény IB-szakértő Informatikai szolgáltató IB-igazgató Informatikai szolgáltató IB-szakértő Informatikai szolgáltató IB-szakértő Minisztériumi szervezet informatikai főosztályvezető Országos IB-szerv képzési felelős Vidéki kisváros önkormányzata Vidéki kisváros önkormányzata Vidéki nagyváros bírósága Megyei adóigazgatóság Vidéki nagyváros bírósága HR-szakértő informatikus informatikai osztályvezetőhelyettes humánigazgatási főreferens IB-szakértő

5 Az interjú vezérfonalak három témaköre Az információbiztonság kérdése a közigazgatásban a képzendők körének kiválasztásának folyamata képzés tartalmával összefüggő kérdések, vélemények, elvárások.

6 Az IB szabályozási háttere és szervezeti struktúrája Az IB szabályozás előrehaladottabb mint azt az infrastruktúra használatának fejlettsége indokolná. Logikus építkezés, széleskörű konzultáció és elfogadottság. Holisztikus szemlélet, párbeszéd az állam, a vállalatok és az oktatás/tudomány között. Múlt öröksége terhes: házról-házra küzdelem. Szervezetek együttműködése, információáramlás.

7 Az IT infrastruktúra helyzete Az információrendszer kataszter fontossága (50-100ezer rendszer a közigazgatásban). Központosított beszerzés fontos szerepe a biztonság szempontjából (pl. NISZ). A kimutathatatlan ROI problémája (a jó IB láthatatlan ). Decentralizáltság problémája ( 900 gépterem ) EUs finanszírozású projektekben a fenntartás és nyomonkövetés problémája

8 A kinevezések közigazgatási folyamata A törvényben jelzett három szint, három probléma típus jellemzi. Viszont a szervezetek megnevezése kritikus elem. Ki a vezető? Munkáltatói jogokat gyakorló személy. A lényeg az IB terület jelentőségének megértése a személyi döntésekhez. Ki az EIV? Hol van rá szükség? Létszám vagy kezelt adat függvénye? Erőforrás hozzárendelés fontossága (pénz, paripa, fegyver). Az EIV, mint tudásbróker.

9 A képzés általában Heterogén ismeretek és tudatosság a közigazgatásban. Szakítani kell a hagyományos képzések logikájával (tartalom és módszer). Gyakorlatorientáltság, szemlélet- és gondolkodásmód. Szabályok, eljárások, folyamatok: esettanulmány centrikus képzés Leterheltség figyelembevétele. Alap és szakvizsgába való önálló modulként beépítés.

10 A képzés szintenként IB -Vezetők: Holisztikus ismeretek Felelősség tudatosítása Folyamatok irányítása, megfelelő kérdezés. Eljárások ismerete (hatóságok). IB-Felelősök Alapok ismerete Technológia és szervezeti ismeretek egyensúlya Folyamatok, pontos teendők ismerete, a baj felismerése. Tudásmenedzsment, szakmai fórumok, közösségépítés.

11 On-line kérdőív a biztonságtudatosságról 397ből 285 értékelhető

12 A szervezeti dimenzióba olyan kérdések kerültek, amelyek a céges szokásokat és eljárásokat mérték: pl. Van-e IB-részleg a munkahelyén?, Tudja-e kihez kell fordulnia, ha számítógépét feltörték?, Szokott-e céges adatokat lemásolni és hazavinni?, Részesült-e munkahelyén IB-képzésben? stb. Infrastrukturális dimenzióba soroltuk az olyan kérdésekre adott válaszokat, hogy a válaszadók szerint mennyire biztonságosak a munkahelyi rendszereik: pl. Telepítve van-e vírusirtó a gépén?, Számítógépe automatikusan végzi-e el a frissítéseket?, Talált-e már vírust vagy trójai programot a céges gépén? stb. Egyéni dimenziónak neveztük el azokat a kérdéseket, amelyek általános ismereteket és szokásokat tükröznek a felhasználó szintjén: pl. Észrevenné-e, ha gépét feltörnék?, Megadta-e már céges jelszavát másnak is?, Milyenek a levelek csatolmányainak megnyitásával kapcsolatos szokások? stb SANS USA kérdőiv: 1-5 szint

13 A megkérdezettek 88%-ának jó a biztonságtudatossága

14 A kor és a nem nem magyaráz Jó osztályzat Közepes osztályzat Átlag a mintán belül Életkor szerint 35 év alattiak 34,5% 21,5% 31,5% év között 34% 43% 36% év között 23% 24,5% 23% 55 év felettiek 8,5% 11% 9% Nem Nő 57% 46% 54,5% Férfi 43% 54% 45,5%

15 Gondok a 88% jó biztonságtudatosságnál 8% nem érzi biztonságosnak a számítógépét adatlopásokkal szemben. 14%-a a válaszadóknak talált már trójai programot a gépén. 25% inkább úgy gondolja, hogy csak az IT-részleg feladata a biztonság garantálása. 26%-a azt mondja, hogy megadta már másnak a céges jelszavát. 33% nem tudja miről ismerhető fel valamilyen átverős (spam) levél. 40%-a állítja, hogy nem venné észre, ha feltörnék a számítógépét. 49% pedig mindezek ellenére úgy gondolja, hogy megfelelően elegendő informatikai biztonsági képzésben részesült.

16 Információ-biztonsági képzések típusai Képzés célcsoportja Képzés célja, neve Képzés típusa Óraszám Tanulmányi pontérték információs rendszerek védelméért felelős vezetők információs rendszer biztonságáért felelős személyek információbiztonsági feladatok ellátásában résztvevő személyek Belépő képzés E-learning 8 8 Éves továbbképzés E-learning 8 8 EIV szakirányú továbbképzés Blended learning Éves továbbképzés E-learning Belépő képzés E-learning Éves továbbképzés E-learning 25 16

17 Információ-biztonsági képzések típusai Képzés célcsoportja Képzés célja, neve Képzés típusa Óraszám információs rendszerek védelméért felelős vezetők május 28. I. szekció Tanulmányi pontérték Belépő képzés E-learning 8 8 Éves továbbképzés E-learning 8 8 információs rendszer biztonságáért felelős személyek információbiztonsági feladatok ellátásában résztvevő személyek EIV szakirányú továbbképzés Blended learning Éves továbbképzés E-learning Belépő képzés E-learning Éves továbbképzés E-learning 25 16

18 Információ-biztonsági képzések típusai Képzés célcsoportja Képzés célja, neve Képzés típusa Óraszám információs rendszerek védelméért felelős vezetők május 28. I. szekció Tanulmányi pontérték Belépő képzés E-learning 8 8 Éves továbbképzés E-learning 8 8 információs rendszer biztonságáért felelős személyek információbiztonsági feladatok ellátásában résztvevő személyek EIV szakirányú továbbképzés Blended learning május 29. I. szekció Éves továbbképzés E-learning Belépő képzés E-learning Éves továbbképzés E-learning 25 16

19 Információ-biztonsági képzések típusai Képzés célcsoportja Képzés célja, neve Képzés típusa Óraszám információs rendszerek védelméért felelős vezetők május 28. I. szekció Tanulmányi pontérték Belépő képzés E-learning 8 8 Éves továbbképzés E-learning 8 8 információs rendszer biztonságáért felelős személyek információbiztonsági feladatok ellátásában résztvevő személyek EIV szakirányú továbbképzés Blended learning május 29. I. szekció Éves továbbképzés E-learning Belépő képzés E-learning Éves továbbképzés E-learning május 28., 29. II. szekció

20 Köszönöm!

21