Downloaded 16 times
Informatikai biztonsági oktatás
- 1.
- 2. Az oktatás célja Miértszükséges az oktatás, és miért rendszeresen? Az adatszivárgás nem látszódik és szaga sincs. A támadóknak elég csak egyszer kell győzniük, nekünk mindig. Nem csak az IT felelőssége, közös feladat.
- 3. Az oktatás célja Akockázatok megszűntetése: - IT technológiákkal 26% - Szabályzatokkal 10% - Oktatással 4% 2017-es Cisco riport a biztonsági kockázatokról Kombinált, együttes megoldásokra van szükség. Nem hagyatkozhatunk csak IT megoldásokra!
- 4. Alapfogalmak: Adatbiztonsági követelmények 3. Rendelkezésreállás szükséges infrastruktúrák, valamint adatok ott és akkor állnak a felhasználó rendelkezésére, amikor arra szükség van. Példa: fizetési lista A fizetési információk jellemzően érzékeny adatok, senki sem szeretné, ha az arra feljogosítottakon túl mások is látnák azt, hogy mennyi a fizetése. Ha valaki letörölné vagy egyéb módon elérhetetlenné tenné a bérlistát és a dolgozók nem kapnának fizetést, az komoly problémát okozna. Komoly probléma lenne, ha a fizetési adatokat valaki illetéktelenül módosítaná, valakinek csökkentené, valakinek pedig emelné a fizetését. 2. Sértetlenség v. integritás valami, ami az eredeti állapotának megfelel és teljes. 1. Bizalmasság valami, amit csak az arra jogosultak ismerhetnek meg, korlátozott a megismerésre jogosultak köre.
- 5. Alapfogalmak: biztonsági kontrollok csoportosítása 3.Logikai védelem Az elektronikus információs rendszerben információtechnológiai eszközökkel és eljárásokkal (programokkal, protokollokkal) kialakított védelem. - Informatikai, üzleti szabályzatok - Auditori tevékenységek (könyvvizsgálói, IT) - Biztonságtudatossági oktatások 2. Fizikai védelem A fizikai térben megvalósuló fenyegetések elleni védelem. 1. Adminisztratív védelem A védelem érdekében hozott szervezési, szabályozási, ellenőrzési intézkedések, továbbá a védelemre vonatkozó oktatás. - Tűzvédelem - Munkaállomás képernyőzár - Clean desk policy - Antivírus szoftver - SPAM védelem - Webszűrés Példák
- 6. Fő témák • Jelszavak •Adatbiztonság • Böngészés • Vírusok, SPAM • Social engineering • Mobil eszközök • Egyéb kockázatok • Informatikai Biztonsági Szabályzat elérhetősége • Kérdések, ajánlott szakirodalom
- 7. Jelszavak Rossz jelszóhasználat Jelszóházirendek fontossága
- 8. Jelszavak • Komplexitás tanácsok(a hosszú jelszó jobb, mint a komplexebb) • Képernyőzárolás (Win+L) • Megtört jelszóval való visszaélések • Legalább 2-3 jelszócsoport • Kétlépcsős autentikáció • https://haveibeenpwned.com/
- 9. Adatbiztonság • Szerveren történőadattárolás • Hiányzó fájlok mielőbbi jelentése • Biztonsági mentés • Elvesztett adatok visszaállíthatósága
- 10. Böngészés http vagyhttps?
- 11. Böngészés http vagyhttps? A kategória alapú webszűrés és az antivírus nem véd meg mindentől!
- 12.
- 13. Vírusok, SPAM Vírusok •Csatolt makrózott excelek/pdf javascript • Keyloggerek • Zsaroló, titkosító vírusok (Wannacry) • Bitcoin bányászat • Alkalmazások (pl. Viber, antivírus program) • Bármilyen gyanús eseményt jelentsük azonnal az IT csapatnak!
- 14.
- 15. Vírusok, SPAM SPAMe-mail • SPAM védelmen túljutó e-mailek • Nyomtató scan-nek álcázott e-mailek • Elektronikus fax üzenetek • Automatákkal magyarított szöveg • E-mail spoofing (egy kolléga megszemélyesítése)
- 16. Vírusok, SPAM Spoofingés phishing
- 17. Vírusok, SPAM E-mailspoofing
- 18. Social engineering Pszichológiai manipuláció. Atámadó arra törekszik, hogy a dolgozókon keresztül férjen hozzá a rendszerekhez. Az emberi figyelmetlenség, segítőkészség, konfliktuskerülés kihasználása, belső, bizalmas jellegű információk megszerzésére.
- 19. Social engineering Példák: - Phishing,spear phishing, whaling - Vishing (voice phishing - telefonos adathalászat) - Water holing (megbízható weboldalban való bizalom) - Baiting (önéletrajz USB-n, vagy céglogózott USB elejtése) - Shoulder surfing (információ „leskelődés”) - Tailgating (besurranás mások mögött) - Dumpster diving (irodai szemét vizsgálat) - Befolyásolás (félreinformálás) - Közösségi oldalakról információgyűjtés előkészítés gyanánt
- 20. Mobileszközök • Mobil operációsrendszer frissítések • Ingyenes alkalmazások, alkalmazás frissítések • Eszközjelszó használata • Elhagyott eszközöket mielőbb jelentsük az IT-nak is!
- 21. Egyéb kockázatok Helytelen címzés (CC,BCC ) Kulcs hozzáférések Áramszünet Veszélyes weboldalak SPIM Riasztó kód Social engineering Ismeretlen felugró ablakok SPAM e-mailek Jelszó kiadása Nem céges gépen történő munkavégzés Túl engedékeny jogosultságok Gépen tárolt dokumentum Adathalászat Mobiltelefon Ismeretlen e-mail csatolmányok Titkosító vírusok Elhagyott eszközök Nyomtatott dokumentumok Szoftver frissítések Idegen pen drive-ok Ismeretlen személy zárt zónában Naplózatlan tevékenységek Wifi hozzáférés
- 22. Informatikai Biztonsági Szabályzatelérhetősége M:DokumentumokSzabályzatokHatályosIBSZ Q&A Ajánlott szakirodalom: IT biztonság közérthetően http://njszt.hu/de/it-biztonsag- kozerthetoen
- 23.
- 24. Hivatkozások jegyzéke • Cisco2018 Annual Cybersecurity Report • Symantec ISTR Volume 23 • Splashdata most insecure passwords • Social engineering https://en.wikipedia.org/wiki/Social_engineering_(security) • IT biztonság közérthetően (Erdősi Péter Máté, Solymos Ákos)