EMLÉKEZTETŐ Helyszín: Szenzor Időpont: 2014.05.26 15:00 17:00 Résztvevők: Cseh Zsolt, Csuka Dénes, Gasparetz András, Harsán Péter, Harsánné Mariann, Katzenbach Konrád, Dr. Kovács László, Móricz Pál, Potoczky András, Tarján Gábor Napirendi pontok 1. MÁJUSI RENDEZVÉNY ÉRTÉKELÉSE...1 2. SZEPTEMBERI RENDEZVÉNY SZERVEZÉSE...2 3. HÉTPECSÉTES TÖRTÉNETEK...2 4. HÉTPECSÉTES TÖRTÉNETEK II...2 Aktuális döntések...2 Korábbi döntések...2 5. PÉNZÜGYEK...2 6. COBIT SZÓTÁR...3 7. EGYÉB...3 8. MELLÉKLETEK...4 1. számú melléklet...4 2. számú mellékelt...6 3. számú mellékelt...7 1. Májusi rendezvény értékelése 61. Fórum Levezető: Gasparetz András 2014. május 21. Érkezés, regisztráció Köszöntő és bevezető gondolatok - Aktualitások az információvédelem területén Gasparetz András (Hétpecsét Inf.bizt. Egyesület) elnök Adatvédelmi audit, visszatekintés az első évre Dr Árvay Viktor (Dr. Kovács László) BYOD jogi vonatkozássai Pannonhalmi Krisztián (GE) egyeztetés alatt (GA) Kávé szünet (kávé, üdítő, pogácsa, aprósütemény) Informatikai rendszer átadás (ITservices) Dr. Kovács Zoltán (GA) ISO 27001:2013 versus 2006, mi változott, változhat az auditok gyakorlatában Tarján Gábor (MagiCom Kft) Ügyvezető partner 214 regisztrált, 123 megjelent, 33 értékelőlap. 42 igazolás. 5 db könyvet ajándékoztunk el a támogatóknak.
2. Szeptemberi rendezvény szervezése 62. Fórum Levezető: Dr. Ködmön István 2014. 09.17. Érkezés, regisztráció Köszöntő és bevezető gondolatok - Aktualitások az információvédelem területén Dr. Ködmön István (Hétpecsét Inf.bizt. Egyesület) alelnök? PCI DSS / Bankkártya biztonság Szeip Attila K&H Bank (GA)? E-mail letagadás Pók László - GA Kávé szünet (kávé, üdítő, pogácsa, aprósütemény) Szak- és Diplomadolgozat nyeremény átadás, a nyertesek előadásai? Application seurity ISO 27034-1 (GA) Tartalék:? 77/2013 NFM rendelet, esettanulmány, önkormányzat példáján keresztül Pádár Péter - TG Vezetéknélküi mikrofonötlete ismét felmerült megpróbáljuk megjavítani a meglévő mikrofont. 3. Hétpecsétes történetek A könyvet nyilvánosságra hozatali szándékát a jelenlévő tagok kinyilvánították. E-book formátum (Harsán Péter készíti el) Vízjellel, védelemmel ellátjuk, ha ez technikailag lehetséges. Dósa Imre Nyilvánosságra hozatal jogi kérdései (GA) 4. Hétpecsétes történetek II. Aktuális döntések ITBN részt vehetünk, a jelenlévőknek oszthatunk könyvet. Nagyjából 2000 példányra van szükség, ehhez még 2 új céges támogatót kell találnunk. Vésztartalék: Ha nem találunk támogatót a fennmaradó üres oldalakat információbiztonsággal kapcsolatos témájú reklám célokra is megpróbálhatjuk kiadni (pl.: Antivirus program) Részletes állapot a 2. mellékletben. Korábbi döntések Üres oldalak (esetek között) vagy reklám vagy jegyzet legyen a következő kiadásban. 5. Pénzügyek Potenciális pártoló tagok: Honlapon, Linkedinen reklámozzuk a könyvtámogatási lehetőséget ÉMI-TÜV-SÜD ITServices ComputerLinks Marton János (GA) NEIH Fortinet Hirsch Gábor
6. CobIT szótár Az egyesület Cseh Zsolt menedzselésével részt kívánt venni a CobIT 5 szótárának lektorálásában. Megkaptuk a szótártervezetet és javaslatokat tettünk a módosítására. Célunk az volt hogy a CobIT 5 és az új ISO 27001 azonos magyar kifejezéseket használjon. Kigyűjtöttük az eltéréseket és megszülettek a javaslatok minkét fél részéről. Az eltéréseket és a javaslatokat tartalmazó táblázat a 3. mellékletben. Az utolsó oszlopban szereplő szavakat elfogadtuk, mint az Egyesület javaslata. A két egyesület álltál elfogadott szótárt meg fogjuk osztani a hétpecsét honlapon. 7. Egyéb Fejvadász megkeresés TG. A fórumon egy HR-es hölgy auditort keresett, a jelenlévő tagok döntése alapján az egyesület továbbra sem kíván fejvadászoknak reklámfelületet biztosítani. Következő találkozó időpontja: 08.26. Helyszín: TG otthona
8. Mellékletek 1. számú melléklet? CobIT szótár összevetése az ISO 27000-el Horváth Gergely Krisztián (TG)? Hatósági eljárási tapasztalatok Dr Szabó Endre Győző?? Gyebrovszky Tamás Kormányzati Esemény kezelő? Szoftver megbízhatóság? TG Információbiztonsági oktatás, és visszajelzés - tartalék? ISO 27019 Energia szektor LX. fórum kiértékelő lapjairól Log managment, Password tárolás Védelem a közösségi oldalakon Biztonság a mindennapi életben Kockázat elemzés L/2013. tv. Alkalmazása BOYD, Mobile device managment Hálózatbiztonság, auditálás Elhangzott a FACEBOOK személyessége, milyen módon lehetne a felhasználást, korlátozni az oktatási intézményekből kitiltani. pl.: ha valaki nem akar ott jelen lenni, de cégek csak ott tesznek közzé információkat, ez hátrányos megkülönböztetés, személyességi jogok. Űrbéli információs tevékenység, biztonság technikai vonatkozásai pl.: Google Earth stb. Miért ilyen, kevés a tanusított rendszerek száma? LIX fórum kiértékelő lapjairól Compliance Információ biztonsági incidensek elemzése. Kockázatértékelés Hozzáférés menedzsment Jó volt a logelemzős előadás, de nem a mobileszközökről szólt ezt érdemes lenne jövőre beütemezni ISO IEC 27001:2013 áttérés tapasztalatai Újonnan felmerült előadás-ötletek LVIII fórúm értékelő lapjairól: Network security, Malware és egyéb célokat támogató módszerek. COBIT 5, ITIL, Forensic SW-k, tesztek, összehasonlítások BYOD cset tanulmány, Cloud biztonság, Humánfaktor az Információ védelemben Magánhasználók tudatosságát erősítő oktatási tervek. Mobil eszköz védelem technikák, ajánlások, van-e Az információhoz való hozzáférés jogainak pl.: YouTube-ról milyen biztonsági kritériumok figyelembevételével lehet le és feltölteni a nézői jogok figyelembevételével. Információ biztonság Cloud könyvelői szolgáltatás esetén Korábbról talonban maradt illetve újonnan felmerült előadás-ötletek: Dörömbözy Csaba Facebook és egyéb közösségi oldalak információ biztonsági kérdései Quantum kulcs használat
NEK biztonsága, Egészségügyi kártya biztonsága Informatikai rendszerek átadás/átvételének gyakorlati tapasztalatai, megvalósítási módjai, előfeltételei Információbiztonsággal kapcsolatos országos versenyek (áttekintés) Fórumon kitöltött lapokból: Föderatív Identiti managment Magyar CERT-ek Log gyűjtés, Log elemzés IBTV Rendelet Hatékony oktatási (tudatosság-növelő) módszerek, élő példa egy komplex BYOD- Soo privát cloud managmentre. DLP jogi aspektusai (pro és kontra) Információ biztonság átültetése a gyakorlatba smart metering, adattest Forensics Wifi biztonság, okos telefon mint hacker Azonosítás szolgáltatás felhasználás során Hálózati biztonság nem jogi Nemzetbiztonság, hálózati biztonság ORFK; BRFK lekérdezés okmányos rendszeréből (gk, lakcím,... stb,) e-banking, bankkártya biztonság Adatszivárgás, Biztonság ISO 27001 szabvány kiépítése és problémái, trendek, IBSZ, humán erőforrás fenyegetettségei Nukleáris katasztrófák hatása az információ biztonságban a szalagos mentések egyéb adathordozók Információbiztonsági törvény előkészítéséről 114/2007. (XII. 29.) GKM rendelet a digitális archiválás szabályairól., Digitális aláírás, ügyfélkapu,hivatali kapu Honvédelmi információvédelem
2. számú mellékelt Összes könyv: 300 db Raktáron: 99 db Esemény/alkalom Dátum Kiosztott példányok száma Hétpecsét fórum (XL) 2014.03.19 141 db Társszerző, Redler 2014.03.19 1 db Köteles példányszám 2014.03.21 6 db Rendes tag, GA 2014.03.24 1 db Társszerző, Móricz Pál 2014.03.24 5 db Szenzor 2014.03.24 2 db Kesselyák Péter 2014.03.24 2 db Szerző, Ködmön István 2014.03.25 5 db TG: Nemzeti közszolgálati 2014.04.24 31 db Május 1000 forintos 2014.05.21 5 db Májusi előadók 2014.05.21 2 db Tervezett osztások Tervezett fennmaradó példányszám: -1 db Eseméy/alkalom Dátum Tervezetten kiosztandó példányok száma Szerzők (10 fő) 50 db Lektor 5 db Pártoló cégek (7 cég) 14 db Pártoló személyek 16 db Rendes tagok 10 db MSZT 5 db Következő nyomtatásból tervezett Esemény/alkalom Dátum Tervezetten kiosztandó példányok száma Szerzők (10 fő) 50 db Lektor 5 db Pártoló cégek (7 fő) 56 db ITBN 1200 db Szeptembertől, előadók 20 b
3. számú mellékelt Angol eredeti Cobit 5 Allocation MSZ ISO/IEC 27001: 2006 allokáció, felosztás kiosztás - audit nyomvonal audit lista - MSZ ISO/IEC 27001: 2014 draft HGK javaslat költségfelosztás, feladat kiosztás audit nyomvonal, ellenőrzési nyomvonal HGK komment szövegkörnyezettől függ 7P javaslat költségfelosztás, feladat kiosztás audit nyomvonal, ellenőrzési nyomvonal Audit trial Awareness Tudatossági Tudatosítási program - ram program Tudatosító prog- Tudatosítási Program program Change Control Változáskontroll változásszabályozás Változáskontroll ok. Változáskontroll felkészültség, szakértelem szakértelem Competency kompetencia - szakértelem Control Kontroll Intézkedés Intézkedés kontroll Elterjed a magyar nyelvben (belső ellenőrzés, IT ellenőrzés, kontroll közszféra), a biztonsági szakembereknek is el kell Kontroll célkitű- Control Objectivzés szabályozási cél tűzés ezt fogadni. Kontroll célkitű- intézkedési célki- kontroll célkitűzés zés Cross-functional Egymással öszszefüggő interdiszciplináris - rendkívüli esemény (incidens) incidens incidens szervezeti egységeken átívelő rendkívüli esemény / biztonsági esemény Ezen lehetne filozofálni, de itt szerintem nincs bővebb jelentéstartalma az incidens fogalomnak a rendkívüli eseménynél. Jogszabály a kifejezetten security incidenteket pedig biztonsági eseményként definiálja: http://njt.hu/cgi_bin/njt_doc.cgi? docid=160206.259663 magánélet, titoktartás is lehet szervezeti egységeken átívelő incident incidens biztonság, védettség bizalmasság - függ dettség szövegkörnyezettől bizalmasság, vé- privacy Review felülvizsgálás átvizsgálás felülvizsgálás ok. felülvizsgálás
risk assessment kockázat-értékelés kockázatfelmérés kockázatfelmérés ok. kockázatfelmérés Risk Evaluation kockázat kiértékelése kockázatértékelés - kockázatértékelés kockázatkezelési risk management-et is így szokás fordítani. intézkedés / kockázati válaszintézkedés kockázat kezelés kockázatjavítás kockázat kezelés kockázat kezelés Risk Treatment Roles and Responsibilities szerepek és felelősségek feladat- és felelőségi körök szerepek és felelősségek ok. szerepek és felelősségek Root Cause gyökérok kiváltó ok - gyökérok bővítés / továbbfejlesztés fejlesztés túl sok értelmű, célszerű egyértelműsíteni a magyar verziót bővítés / továbbfejlesztés Upgrade Frissítés Bővítés Fejlesztés Vulnerability sérülékenység sebezhetőség sebezhetőség ok. sebezhetőség KONTROLL folytatás Régi cobitban irányítási és ellenőrzési mechanizmus volt, de váltottunk a kontroll fogalomra. Az intézkedés részben lefedi a control-t, de pl egy alkalmazásba épített automatizált kontroll (application control), az nehezen érthető, ha magyarul gépesített intézkedésként fordítanánk. Állami anyagokban is a kontroll fogalmat használják: ÁSZ: http://www.asz.hu/modszertan/iranyelvek-a-belso-kontroll-standardokhoz-a-kozszferaban-intosai-gov-9100/issai-9100.pdf NGM: http://njt.hu/cgi_bin/njt_doc.cgi?docid=143099.253971