Az informáci cióbiztonság alapjai Bevezetés az információbiztonság és információbiztonsági irányítási rendszer alapfogalmaiba és szükségességébe
Tartalom Az információbiztonság fogalma Az információbiztonsági irányítási rendszer (ISMS) fogalma Az ISMS bevezetése előnyei Az ISMS struktúrája (BS 7799 szerint) 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 2
Az informáci ció fogalma Adat = ismeretelem (Oxford szótár) Információ = értelemmel bíró adat Információ = értelemmel bíró adat (MSZ EN ISO 9000:2001) 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 3
A védelem v aktualitása Az információ ÉRTÉK Jó lépések, döntések, üzleti sikerek, stb. alapja Hiánya, nem megfelelősége, a bizalmasság sérülése komoly gondokat okozhat Fenyegetéseknek, veszélyeknek van kitéve VÉDENI KELL! 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 4
Informáci cióhordozók Telefonbeszélgetések Személyes beszélgetések Számítógép központok Dokumentumok papírok fóliák munkahelyek, informatikai oszt. PC, WS, DSS Microfish, Faxtekercsek, Nyomtató, fax, telex, teletex Adathordozók Hálózatok, LAN WAN Laptop, Notebook 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 5
A védelem v feláll llításának kérdk rdései 1. Mit kell védenünk? a védendő értékek feltérképezése 2. Mitől? a külső / belső fenyegetettségek, kockázatok azonosítása 3. Hogyan? a fizikai / logikai védelem, szabályozók meghatározása NINCS TELJES BIZTONSÁG, CSAK OPTIMÁLIS, MÉG ELFOGADHATÓ BIZTONSÁGI SZINT 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 6
Az informáci ció biztonsága jelentése Bizalmasság, annak biztosítása, hogy az információ csak az arra felhatalmazottak számára legyen elérhető. Sértetlenség (integritás), az információk és a feldolgozási módszerek teljességének és pontosságának megőrzése. Rendelkezésre állás állás, annak biztosítása, hogy a felhatalmazott felhasználók mindig hozzáférjenek az információkhoz és a kapcsolódó értékekhez, amikor szükséges. 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 7
Veszélyforr lyforrások Szabályzatlanság Megvesztegetés Bosszúállás Szakképzetlenség Katasztrófa Fizikai behatolás Üzemzavar Szakszerűtlen tervezés Szakszerűtlen üzemeltetés, karbantartás Beszerzési politika hiánya Adath. Adathord. Légkondicionálás Dokumentációhiány, illetéktelen használat T áp á r a m el l á t á s Személyek (külső+belső) Épület, számítóközpont, szerverszoba Hardver+hálózat Rendszerszoftver Alkalm. sw. Adat Doku Dokum. Dokum. Tűz- és vagyonvédelem Tűz, illetéktelen behatolás Adath. V il l á m vé d el e m Túlmelegedés Vírus, illetéktelen szoftver installáció Villámcsapás Illetéktelen rácsatlakozás Illetéktelen hozzáférés Illetéktelen használat, másolás 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 8
A lehetséges károkk Közvetlen károk: Adatvesztés, az adatok visszaállításának költségei Rendszerleállás, kiesések az üzleti folyamatokban Hardver és szoftverkárok, helyreállítási költségek Vállalati információk illetéktelen kezekbe jutása Közvetett károk: Vevői bizalom megrendülése Vállalati imázs romlása Dolgozói elégedetlenség 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 9
Az informáci cióbiztonság g szintjei Ad hoc, tűzoltás, utólagos intézkedések Szigetmegoldások egyedi problémákra Bizonyos műszaki szabványoknak való megfelelés Logikusan átgondolt rendszer Információbiztonsági irányítás szabvány szerint Konkrét igényekre épül Átgondolt, megtervezett Teljes körű Felügyelt, kontrollált, auditált Az egyes témák foglalkozási mélysége megfelel a téma súlyának, jelentőségének 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 10
Az informáci cióbiztonsági irány nyítási rendszer előnyei Felkészülve, a problémák előre láthatók. A költségek racionalizálhatók. Az informatikai beruházások megalapozottan indokolhatók. A folyamatok optimalizálása révén a hatékonyság fokozható. Gyorsabb reagálás a piaci változásokra. Nincsenek meglepetések, fel lehet készülni a külső / belső fenyegetettségekre, ha ismerjük őket. A projektek az előre meghatározott kereteken belül végződnek. A külső, illetve a belső szabályozóknak meg lehet felelni. A cégérték növekedik, az imázs és a hírnév megvédhető. 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 11
A rendszerépítés s lépéseil 1. Vezetői jóváhagyás a rendszer kialakítására 2. Tanácsadó szervezet kiválasztása 3. Projektszervezet létrehozása 4. A feladatok ütemezése 5. Oktatások 6. Helyzetfelmérés 7. Információbiztonsági politika meghatározása 8. Információs érték és vagyonleltár 9. Kockázatértékelés 10. Szervezet, szabályok, dokumentáció kialakítása 11. Próbaműködés indítása, rendszer bevezetése 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 12
A BS 7799 szabvány követelmk vetelményei 1. Információvédelmi politika 2. Védelmi szervezet 3. Az információvagyon osztályozása és kezelése 4. Személyekkel kapcsolatos védelem 5. Fizikai és a környezeti védelem 6. Kommunikáció és működés irányítása 7. Hozzáférés szabályozása 8. Rendszerek fejlesztése és karbantartása 9. Folyamatos működés biztosítása 10. Megfelelőség 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 13
Az ISMS dokumentumai az információbiztonsági politika, az ISMS alkalmazhatósági nyilatkozata, a információbiztonsági irányítási kézikönyv, a kockázat elemzési és kezelési eljárás szabályozása (ez lehet a kézikönyv integrált részei is), az üzleti folytonossági terv és a katasztrófa utáni visszaállítási si terv (BCP = business continuity plan és a DRP = disaster recovery plan), a szükséges folyamatok eljárási utasításai (ezek lehetnek a kézikönyv integrált részei is), egyéb szabályok vagy előírások, a szükséges feljegyzések és bizonylatok formanyomtatványai. 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 14
KÖSZÖNÖM A FIGYELMET! 2005 Dr. Horváth Zsolt - Az információbiztonság alapjai 15