02 IT Biztonsági tanácsok

Slide 1: IT biztonsági tanácsok

Slide 2: Az „IT biztonság” az „információbiztonságnak” csupán egy része, mégis az informatika elterjedésével az utóbbi időben egyre inkább előtérbe kerül. A következőkben arra mutatunk be néhány javaslatot, hogy – már az információbiztonsági irányítási rendszer bevezetését megelőzően is, – mire érdemes az IT biztonság területén odafigyelni, hogy sok bajt el tudjunk kerülni. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 2

Slide 3: Az információbiztonság aktualitása Az információbiztonság kérdése – az informatika rohamos előretörésével – minden vállalatnál egyre égetőbb kérdéssé válik. Mindenki tud róla, viszont senki sem veszi addig komolyan, amíg először „meg nem égette magát” vele. Elvárások felhasználói oldalról:  A hatékony munkavégzéshez elvárás, hogy a szükséges információk a kellő időben és sértetlenül álljanak a rendelkezésre.  Minden szervezetnél – akár tudomásul vesszük, akár nem, – van "információ-szivárgás". Megnyilvánulási formái széles spektrumban jelentkeznek. Az információk jogosulatlan kézbe kerülése jelentős erkölcsi és anyagi károkat okoz(hat) a szervezetnek. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 3

Slide 4: IT alkalmazásának veszélyei Mi történik, ha … (példák)  … ha egy időre megbénul egy beüzemelt vállalatirányítási rendszer?  … összeomlik vagy hibás adatokat ad egy diagnosztikai berendezés elektronikája?  … leáll az automata gyártósor termelésirányító szoftvere?  … összeomlik egy önkormányzat vagy hatóság egyik (pl. levelező) szervere?  … ellopják az igazgató notebookját, rajta az összes üzleti adattal, az új tender bizalmas adataival?  … sértődötten mond fel a rendszergazda, és …?  … a felmondott (és netalán konkurenciához pártolt) fejlesztőink, mérnökeink (távoli) hálózati belépései az informatikai rendszerünkbe továbbra is élnek?  VESZÉLYEZTETI A TERMELÉST, A VÁLLALÁSOK TELJESÍTÉSÉT, AZ ÜZLETI ÉRDEKEKET, ÉS VÉGSŐ ESETBEN A VÁLLALAT LÉTÉT!!!!!! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 4

Slide 5: Változó körülmények – új kockázatok Megváltozott a világ, új jelenségek, új kockázatok:  IT dominancia, növekvő függőség  szaporodó e-megoldások, hálózat-érzékeny rendszerek  támadások, szándékos károkozás (vírus, betörések)  szoftver-érzékeny rendszerek szaporodása  fejlesztési projektek kudarcai  működő informatikai alkalmazások hibái  eszköz-meghibásodások (hardverhiba, szoftver- problémák)  virtuális vállalatok léte, Internet-függősége  szélsőséges időjárási viszonyok  terrorista támadások 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 5

Slide 6: IT rendszerek fenyegetettségének okai  technikai, technológiai problémák, meghibásodás  emberi mulasztás, vétett hibák  üzemeltetési problémák, alkalmazások hibás működése  környezeti, partner-rendszeri problémák  problémák a tervezésben, szoftverkiválasztásban  vírusok okozta károk  természeti csapás, áramkimaradás  betörés adatbázisokba, szoftver-rendszerek rongálása, Internetről érkező támadások  stb… Teendő: a kockázatot és a károkat megelőző munkával mérsékelni kell! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 6

Slide 7: Az információbiztonság jelentése  Bizalmasság, annak biztosítása, hogy az információ csak az Bizalmasság arra felhatalmazottak számára legyen elérhető.  Sértetlenség (integritás), az információk és a feldolgozási módszerek teljességének és pontosságának megőrzése.  Rendelkezésre állás, annak biztosítása, hogy a felhatalmazott állás felhasználók mindig hozzáférjenek az információkhoz és a kapcsolódó értékekhez, amikor szükséges. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 7

Slide 8: Az információvédelem értelmezése Az adatok sérülése, megsemmisülése, jogosulatlan megszerzése, módosítása és tönkretétele elleni műszaki és szervezési intézkedések és eljárások együttes rendszere. Két fő területe:  Az információs rendszerek adatvesztés elleni védelmét, az adatok folyamatos rendelkezésre állását biztosító szabályzatok, folyamatok és megoldások.  Az információs rendszerek adataihoz való illetéktelen hozzáférést és beavatkozást meggátló szabályozások, folyamatok és megoldások. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 8

Slide 9: Az IT rendszer üzembiztonsága kockázatainak csökkentése Már tervezéskor gondolkodjunk előre!  Bővíthetőség (jelenlegi és jövőbeli kapacitás figyelembe vétele)  Biztonsági elvárások figyelembe vétele (jelenjenek meg a funkcionális követelmények között!) Ha egy informatikai rendszert kezdetekben a megfelelő biztonsági megoldások nélkül terveznek, majd így kezdenek el működtetni és a sikeres működést szinte menetrendszerűen követő visszaélések kényszerítik ki utólag a védelmek alkalmazását, akkor a legtöbbször már csak toldozás-foltozás jellegű megoldások adhatók, amelyek általában drágább és sokkal kevésbé hatásos eredményre vezetnek. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 9

Slide 10: Az IT rendszer üzembiztonsága kockázatainak csökkentése Figyeljünk oda az áramellátás stabilitására! Az áramellátás kimaradása vagy a megengedettnél nagyobb mértékű ingadozása menet közben leállíthatja a számítógépeket, néha károsodást okozva a hardverben és a futó programokban.  Szünetmentes áramellátás (legalább a kritikus funkciót ellátó számítógépek, pl. szerverek, mérésadatgyűjtők, stb. esetén.) 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 10

Slide 11: Az IT rendszer üzembiztonsága kockázatainak csökkentése Murphy törvénye: „Ami elromolhat, az el is romlik.” Legyen tartalékunk! Kulcsfontosságú berendezések fizikai meghibásodásakor az üzemelés folyamatosságának biztosítására.  Tartalék berendezések (hideg tartalék – meleg tartalék – forró tartalék)  Duplikált berendezések (tükrözések, RAID technikák, stb…) 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 11

Slide 12: Az IT rendszer üzembiztonsága kockázatainak csökkentése Mentsük az adatainkat! A számítógép merevlemezén tárolt fontos adatok visszaállíthatóságának biztosítása, azok sérülése vagy elvesztése esetére  Rendszeres mentések – külső, független adathordozóra.  Mentési stratégia, ciklus, rendszer, módszer – meghatározása, szabályozása és betartása. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 12

Slide 13: Az IT rendszer üzembiztonsága kockázatainak csökkentése Archiváljunk! Már nem módosítható információk elérhetőségének, visszakereshetőségének hosszú távú biztosítása.  Adatok kiírása nem törölhető, hosszú életű adathordozóra, majd azok tárolása biztonságos helyen.  Nagyon fontos! Ne csak az adatokat archiváljuk, hanem az archivált adatok megjelenítésére képes rendszereket is!!! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 13

Slide 14: A nem kívánt beavatkozás kockázatainak csökkentése Rendszergazda szerepköre!  rendszeradminisztrátori jelszó biztonsága.  rendszergazdai tevékenység szabályozása dokumentáltan  Rendszergazdai tevékenység kontrollingja, naplózása, stb….  kapcsolódó felelősségek rögzítése munkaszerződésben 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 14

Slide 15: A nem kívánt beavatkozás kockázatainak csökkentése Jelszavaink legyenek titkosak!  Jelszavak használata kötelező.  Jelszavak titkossága.  Jelszóképzés szabályozása – nehezen kitalálható jelszavak  Jelszóhasználat szabályozása – jelszavak cseréje, …  Különböző rendszerekhez különböző jelszavakat.! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 15

Slide 16: A nem kívánt beavatkozás kockázatainak csökkentése Használjunk vírusölő programokat! Védekezés a különböző kártékony kódok (vírusok, férgek, kémprogramok, trójaiak, keyloggerek, rootkitek, stb.) ellen.  Minden gépen legalább egy vírusölő és legalább egy kémprogram-irtó program fusson állandóan.  Folyamatosan frissülő vírusadatbázis. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 16

Slide 17: A nem kívánt beavatkozás kockázatainak csökkentése Kapukat lezárni! Az interneten és külső kapcsolatokon megnyitott kapukat célszerű lezárni, és a rajtuk átmenő adatforgalmat ellenőrzés alatt tartani.  Tűzfalak használata, paraméterezése és működtetése. (hardveres és / vagy szoftveres) 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 17

Slide 18: A nem kívánt beavatkozás kockázatainak csökkentése Titkosítsuk a bizalmas levelezést! A bizalmas információk e-mail-en keresztül történő küldése során azt nem tudjuk megakadályozni, hogy mások ne láthassák leveleinket. Azt viszont megakadályozhatjuk, hogy ne tudják elolvasni őket.  Kriptográfia (titkosító algoritmusok, kódolók- dekódolók, digitális aláírás, stb.) alkalmazása. 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 18

Slide 19: A nem kívánt beavatkozás kockázatainak csökkentése Növeljük a tudatosságot! Fontos, hogy munkatársaink tisztában legyenek a veszélyekkel, és tudatosan védekezzenek ellenük!  Belső védelmi szabályok (pl. biztonsági házirend, információbiztonsági szabályzat, …) kialakítása, okta tása, betartása és ellenőrzése.  Védekezés a „social engineering” ellen is.  Belső oktatások, tréningek, tudatosító programok jelentősége! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 19

Slide 20: Köszönöm megtisztelő figyelmüket! 2007 Dr. HorváthZsolt - IT biztonsági tanácsok 20