Az információbiztonság kérdései az e-közigazgatásban

Az előadások a következő témára: "Az információbiztonság kérdései az e-közigazgatásban"— Előadás másolata:

1 Az információbiztonság kérdései az e-közigazgatásban
Szerző Dátum Az információbiztonság kérdései az e-közigazgatásban Mottó : „Nincs teljes biztonság, csak optimális, még elfogadható biztonsági szint.” Cím

2 Alapfogalmak tisztázása Kialakulás és fejlődés áttekintése
Tartalomjegyzék Alapfogalmak tisztázása Kialakulás és fejlődés áttekintése Szabványosítási környezet Jogszabályi környezet Információbiztonsági Irányítási Rendszer (ISMS) Dokumentálás Információs vagyon felmérése Kockázatkezelés Terület és berendezések védelme Elektronikus és nem elektronikus adatok kezelése Hozzáférés-ellenőrzés Kommunikáció Üzemeltetés Szolgáltatások folytonosságának biztosítása Információtechnológia megoldások Siemens megoldások Összefoglalás Átgondolandó tanácsok

3 Alapfogalmak tisztázása/1
Információ = értelemmel bíró adat Információ = adatok tudatos kezelése Információ = érték Információs vagyon = szervezet vagyonának része: adatok, tudás, IT-rendszerek,adathordozók, kommunikáció, személyzet Adat = értelmezhető, de nem értelmezett ismeretelem Adathordozó = adatok strukturált feldolgozására, megőrzésére és tárolására alkalmas fizikai/kémiai/biológiai anyag/rendszer Adatvédelem = adatvesztés elleni védelem, az adatok folyamatos rendelkezésre állását biztosító szabályzatok, folyamatok és megoldások. Adatbiztonság = illetéktelen hozzáférést meggátló szabályozások, folyamatok és megoldások.

4 Alapfogalmak tisztázása/2
IT biztonság = rendelkezésre állás + technológia kezelés Biztonsági/védelmi szint = tudatos kockázat vállalás Veszélyforrás = biztonsági szint negatív változását okozó tényező Kockázat = információhiány Kockázati érték = bekövetkezési valószínűség * kárérték Védelmi politika = célok, stratégia, elkötelezettség, eszközök meghatározása ISMS = Information Security Management System IBIR = Információbiztonsági Irányítási Rendszer IVIR = Információvédelmi Irányítási Rendszer

5 Alapfogalmak tisztázása/3
Információbiztonság Bizalmasság, annak biztosítása, hogy az információ csak az arra felhatalmazottak számára legyen elérhető. Sértetlenség (integritás), az információk és a feldolgozási módszerek teljességének és pontosságának megőrzése. Rendelkezésre állás, annak biztosítása, hogy a felhatalmazott felhasználók mindig hozzáférjenek az információkhoz és a kapcsolódó értékekhez, amikor szükséges.

6 Alapfogalmak tisztázása/4
Számítógép központok Személyes beszélgetések Telefon- beszélgetések Dokumentumok papírok Fóliák, előadások Nyomtató, Szkanner, Fax, Telex, Teletext Adathordozók Laptop, Notebook, PDA PC, WS, DSS Munkahelyek, Informatikai oszt. Hálózatok, LAN WAN MAN Intranet, Internet Flash Card Microfish, Faxtekercsek, … Információhordozók Digitális kamera

7 Alapfogalmak tisztázása/5
Veszélyforrások Forrás: Informatikai Tárcaközi Bizottság 12. sz. ajánlása: Informatikai rendszerek biztonsági követelményei, Miniszterelnöki Hivatal, Budapest, 1996, 1.0. verzió

8 Az emberi tényező – a leggyengébb láncszem
Motivációk: Haszonszerzés Bosszú Irigység Sértettség Felindultság Virtus Egyéb okok: Tudatlanság Képzetlenség Alkalmatlanság Ellenséges magatartás Gondatlanság Kényelem A social engineering a befolyásolás és rábeszélés eszközével megtéveszti az embereket, manipulálja vagy meggyőzi őket, hogy a social engineer tényleg az, akinek mondja magát. Ennek eredményeként a social engineer – technológia használatával vagy anélkül – képes az embereket információszerzés érdekében kihasználni.

9 Példák súlyos üzemzavart előidéző okokra
Tűz, víz, strukturális károsodás, Szabotázs, lopás, Robbanás, baleseti károsodás, Ipari tevékenység, Hardver, szoftver, hálózati hiba, Adatvesztés, Hozzáférés vesztés, Környezeti berendezés hibája

10 Kialakulás és fejlődés áttekintése/1
: Kötegelt feldolgozású rendszereknél az információ védelme a minősített dokumentumok kezeléséhez használt hagyományos módszerek kiterjesztésével történt 1970: Új dimenziót hoz be az erőforrás-megosztásra képes (pl. time- sharing) rendszerek megjelenése - egyszerre több felhasználó, több program férhet hozzá az információkhoz 1972: Az első követelményrendszerek nyílt, többszintű, megbízható számítástechnikai rendszerek létrehozására 1979: Program megbízható számítógéprendszerek elterjedésének elősegítésére – a védelem értékelésének fokozatos előtérbe kerülése 1980: Az életciklus-szemlélet megjelenése az informatikai rendszerek védelmében

11 Kialakulás és fejlődés áttekintése/2
: Számítógéprendszerek védelmének értékelési szempontjai - más néven az „Orange Book” (TCSEC) megjelenése az USA-ban, Trusted Computer System Evaluation Criteria, DoD STD, National Compute Security Center : A biztonságértékelés nemzeti megközelítéseinek elburjánzása Information Technology Security Evaluation Criteria, ITSEC, EU, 1991 Canadian Trusted Computer Product Evaluation Criteria, CTCPEC, Canada, 1993,Federal Criteria, USA, 1993 : Brit szabvány az információvédelem irányítására Information Security Management Systems, BS 7799, Part 1- Code of Practice (1995), Part 2 – Specification (1999)

12 Kialakulás és fejlődés áttekintése/3
2003-5: Nemzetközi megállapodás az IT rendszerek és termékek közös értékelési szempontjaiban – Common Criteria Evaluation criteria for IT Security, ISO/IEC Parts 1-3 szükséges műszaki tulajdonságok egyoldalú „kinyilatkoztatása” (TCSEC) helyett rugalmasabb megközelítés (Security Target – biztonsági előirányzat) 2000-5: Nemzetközi megállapodás az információvédelem irányítási rendszerében Information Security Management Systems, ISO/IEC (Guidelines, ), ISO/IEC (Requirements, 2005) 2004-5: Nemzetközi megállapodás az IT-szolgáltatás irányítási rendszerében IT Service Management, ISO/IEC 20000, Part 1-2, 2005

13 Szabványosítási környezet
ISO 27001 ISMS ISO 27004 ISMS mérés ISO/IEC 20000 ITIL ISO IS Kockázatkezelés Forrás: Krauth Péter: Információbiztonsági szabványok fejlődése az elmúlt időszakban (avagy az s esete a el), MMT előadása, Budapest,

14 Jogszabályi környezet/1
Jogszabályok céljai a következők: Az információnak, mint vagyoni értéknek a megőrzése. Az ismerettel rendelkező körön kívüli jogosulatlan előnyhöz jutás megakadályozása. A ismerettel rendelkező vagy azon kívül eső körből eredő titoksértés elkövetésének feltárása, megállapítása. A titoksértő személyek leleplezése valamint a cselekmények szankcionálása, munka- és büntetőjogi eszközökkel. Az információbiztonság kérdésköre számos ponton kapcsolódik a joghoz és az etikához, illetve sérthet meg jogi és/vagy etikai szabályokat: Gondatlanság; Szándékos rongálás; Illetéktelen hozzáférés, elérés; Számítógépes bűnözés; Elektronikus adatcsere; Aláírás-hitelesség, elektronikus aláírás; Szerzői érdekek.

15 Jogszabályi környezet/2
1992. évi LXIII. Tv.: a személyes adatok védelméről és a közérdekű adatok nyilvánosságáról 1992. évi LXVI. Tv.: az állampolgárok személyi adatainak és lakcímének nyilvántartásáról, egységes szerkezetben a végrehajtásáról szóló 146/1993. (X. 26.) Korm. rendelettel 1995. évi CXIX. Tv.: a kutatás és a közvetlen üzletszerzés célját szolgáló név- és lakcímadatok kezeléséről 1995. évi LXV. Tv.: az államtitokról és a szolgálati titokról 1995. évi LXVI. Tv.: Köziratok, köz- és magánlevéltári anyagok védelme 1996. évi LVII. TV.: a tisztességtelen piaci magatartás és a versenykorlátozás tilalmáról 1996. évi CXII. Tv.: banktitok 1996. évi CXI. Tv.: értékpapírtitok 1997. évi XLVII. Tv.: az egészségügyi és a hozzájuk kapcsolódó személyes adatok kezeléséről és védelméről 1998. évi VI. Tv.: az egyének védelméről a személyes adatok gépi feldolgozása során, Strasbourgban, január 28. napján kelt Egyezmény kihirdetéséről

16 Jogszabályi környezet/3
1999. évi LXXXIV. Tv.: a közúti közlekedési nyilvántartásról 1999. évi LXXII. Tv.: a polgárok személyi adatainak kezelésével összefüggő egyes törvények módosításáról 1999. évi LXXVI. Tv.: a szerzői jog védelméről 2001. évi XXXV. Tv.: az elektronikus aláírásról 2001. évi CVIII. TV.: az elektronikus kereskedelmi szolgáltatások, valamint az információs társadalommal összefüggő szolgáltatások egyes kérdéseiről 2003. évi C. Tv.: az elektronikus hírközlésről 2004. évi CXL. Törvény KET 17§, 172§ f. 2004. Évi XXII. Tv.: befektetők és befektetések védelme A biztonsági okmányok védelmének rendjéről szóló 86/1998. (VI.14.) Kormány rendelet, amely a vállalkozói igazolvánnyal bővítette a jogosultságokat igazoló okmányok körét. Az Internettel összefüggő adatkezelések egyes kérdéseiről szóló adatvédelmi biztos ajánlásai.

17 Jogszabályi környezet/4
Büntetőjog (Btk) információbiztonsággal foglalkozó fejezetei: Visszaélés személyes adattal – 177/A. § Visszaélés közérdekű adattal – 177/B. § Magántitok jogosulatlan megismerése – 178/A. § Üzleti titok megsértése – 300. § Banktitok megsértése – 300/A-B. § Számítástechnikai rendszer és adatok elleni bűncselekmény 300/C. §

18 Jogszabályi környezet/5
Adatvédelmi törvény - Alapelvek Célhoz kötöttség Csak olyan személyes adat kezelhető, amely az adatkezelés céljának megvalósulásához: elengedhetetlen, a cél elérésére alkalmas, csak a cél megvalósulásához szükséges mértékben és ideig. Adatminőség felvétele és kezelésük tisztességes és törvényes; pontosak, teljesek és ha szükséges időszerűek; tárolásuk módja alkalmas arra, hogy az érintettet csak a tárolás céljához szükséges ideig lehessen azonosítani. Adatvédelem – adatbiztonság Az adatokat védeni kell különösen a jogosulatlan hozzáférés, megváltoztatás, továbbítás, nyilvánosságra hozatal, törlés vagy megsemmisítés, valamint a véletlen megsemmisülés és sérülés ellen. (Az adatkezelés minden szereplőjének!)

19 Jogszabályi környezet/6
A személyes adat fogalma Bármely meghatározott (azonosított vagy azonosítható) természetes személlyel kapcsolatba hozható adat, illetve az adatból levonható, az érintettre vonatkozó következtetés. Az adat személyes jellege addig állapítható meg, amíg kapcsolata az érintettel helyreállítható. A személyt - közvetlenül vagy közvetve - név, azonosító jel, illetőleg egy vagy több, fizikai, fiziológiai, mentális, gazdasági, kulturális vagy szociális azonosságára jellemző tényező alapján azonosítani lehet.

20 Jogszabályi környezet/7
Mi minősül adatkezelésnek? Az alkalmazott eljárástól függetlenül a személyes adatokon végzett bármely művelet vagy a műveletek összessége. Adatok gyűjtése, felvétele, rögzítése, rendszerezése, tárolása, megváltoztatása, felhasználása, továbbítása, nyilvánosságra hozatala, összehangolása vagy összekapcsolása, zárolása, törlése és megsemmisítése,valamint az adatok további felhasználásának megakadályozása. Adatfeldolgozás: technikai műveletek végrehajtása az adatokon.

21 Jogszabályi környezet/8
A különleges adatok faji eredet, nemzeti és etnikai kisebbséghez tartozás, politikai vélemény vagy pártállás, vallásos vagy más világnézeti meggyőződés az érdek-képviseleti szervezeti tagság egészségi állapot, a kóros szenvedélyre, a szexuális élet, bűnügyi személyes adat

22 Jogszabályi környezet/9
A jogosulatlan adatkezelés Tájékoztatást kérhet személyes adatai kezeléséről. Kérheti személyes adatainak helyesbítését, törlését. (Jogszabályban elrendelt adatkezelések esetén nem áll az érintett rendelkezésére.) Az adatvédelmi nyilvántartásba betekinthet, (feljegyzést készíthet és kivonatot kérhet). Tiltakozhat személyes adatának kezelése ellen. Bírósághoz fordulhat. Kártérítést követelhet.

23 Jogszabályi környezet/10
Adatvédelmi felelős Nagy állami, pénzügyi, távközlési adatkezelőknél kötelező. Feladatai: 1) közreműködik adatkezelés kialakításában; 2) ellenőrzi szabályok betartását; 3) kivizsgálja az adatkezelési panaszokat; 4) elkészíti a belső adatvédelmi és adatbiztonsági szabályzatot; 5) vezeti a belső adatvédelmi nyilvántartást; 6) adatvédelmi oktatások tervezése, végrehajtása, felügyelete.

24 Információbiztonsági Irányítási Rendszer (ISMS)
Információvédelmi politika Védelmi szervezet Az információvagyon osztályozása és kezelése Személyekkel kapcsolatos védelem Fizikai és a környezeti védelem Kommunikáció és működés irányítása Hozzáférés szabályozása Rendszerek fejlesztése és karbantartása Folyamatos működés biztosítása Megfelelőség

25 Információbiztonsági Irányítási Rendszerek dokumentációja
az információbiztonsági (vagy információvédelmi) politika, az ISMS alkalmazhatósági nyilatkozata, a információbiztonsági (vagy információvédelmi) irányítási kézikönyv, a kockázat elemzési és kezelési eljárás szabályozása (ez lehet a kézikönyv integrált részei is), az üzleti folytonossági terv és a katasztrófa utáni visszaállítási terv (BCP = business continuity plan és a DRP = disaster recovery plan), a szükséges folyamatok eljárási utasításai (ezek lehetnek a kézikönyv integrált részei is), egyéb szabályok vagy előírások, a szükséges feljegyzések és bizonylatok formanyomtatványai.

26 Információs vagyonleltár elkészítése/1
Csoportmunkában közösen felmérik és értékelik az egyes vagyontárgyakat. A főbb lépések a következők: Vagyonleltár felvétele (minden számba vehető, fontos, információs vagyontárgy rendszerezett felsorolása) Osztályozási irányelvek meghatározása (ez jelenti az adott információ érzékenységét – kritikusságát, így ez szabja meg a szükséges védelmi szintet is; eldöntés üzleti elvek, fontosság alapján; osztályokhoz rendelhetők védelmi szintek, szabályok, …) Vagyonleltár elemeinek (vagyontárgyaknak) besorolása a definiált osztályokba Ezek alapján határozhatóak meg, mely vagyontárgyakra kell a kockázatkezelés során összpontosítani!

27 Információs vagyonleltár elkészítése/2
Vagyonelemek feltérképezésének módja: Folyamatok szerinti megközelítés Kiindulási alap a vállalat folyamatainak feltérképezése, és az ahhoz kapcsolódó információk, adathordozók és adatfeldolgozó és továbbító berendezések kigyűjtése. Telephely / szervezet szerinti megközelítés Kiindulási alap a vállalat telephelyei, helyiségei (pl. szervezeti egységek működési helye szerint), és az ott található IT és nem IT alapú adathordozók és információk kigyűjtése. Adat alapú megközelítés Kiindulási alap a vállalat adatainak, adatbázisainak összegyűjtése, majd az azokhoz kapcsolódó adathordozók, eszközök és hozzáférések kigyűjtése.

28 Kockázati érték = bekövetkezési valószínűség * kárérték
Kockázatkezelés Kockázati érték = bekövetkezési valószínűség * kárérték Célja = a bekövetkezési valószínűség csökkentése és/vagy a veszélyforrás kiküszöbölése és/vagy az okozott kár nagyságának korlátozása, csökkentése". Módszertana = nincs egy egységes jól kiforrt módszer Folyamata = az ábra mutatja Tapasztalatok Amilyen hamar lehet! Kockázat azonosítása Kockázat értékelése Kockázatok priorizálása Kockázatok minimalizálása Kockázatok felügyelete

29 Kockázatkezelés – példa módszertanra/1

30 Kockázatkezelés – példa módszertanra/2

31 Kockázatkezelés – példa folyamatra/3
1. csoport 2. csoport Szintetizáló csoport Információs vagyon

32 Terület és berendezések védelme
Információ lehet: nyílt belső használatra titkos Zóna lehet: I-es II-es III-as Beléptető rendszerek: technikai (ellenőrzésű) személyi (ellenőrzésű) és a kettőjük kombinációit. A technikai beléptető rendszerek drága a kiépítésük, szervizelésük és üzemeltetésük érzékenyek, egyéb technikai feltételek meglétére (áramkimaradás, kábelek biztonsága) megtéveszthető nem fárad, és következetes/rugalmatlan A személyi ellenőrzésű beléptető rendszerek megtéveszthető, de képes korrekcióra fáradékony rugalmas/nem következetes

33 Hozzáférés-ellenőrzés szabályozása és módszerei
Szabályozott kereteket teremtsen: Információk- Hálózatok- Alkalmazások- Fájlok- Programok –hozzáféréséhez A hozzáférési szabályokat, jogokat miden felhasználóra és felhasználói csoportra egyértelműen meg kell adni! A hozzáférés-ellenőrzéseket (logikai, fizikai) együttesen kell átgondolni! Cél a felhasználók egyértelmű, minden kétséget kizáró azonosítása! Módszerei: Tudás” – alapú módszerek, Birtok” – alapú módszerek, Biometria” – alapú módszerek. Naplózni kell: Felhasználói tevékenységeket Meghibásodásokat Változtatásokat Előny Hátrány Támadás Tudás alapú Egyszerű, olcsó Kitalálható Lehallgatás Birtok alapú Erős védelem Másolható, elveszthető Hamisítás Biometrikus Embert azonosít Drága, megtéveszthető Visszajátszás,csonkítás

34 Információbiztonsági informatikai megoldások
Adat titkosítás (Public Key Infrastructure) Elektronikus aláírás (PKI) Felhasználó azonosítás (PKI) Biometrikus azonosítás Intelligens beléptető rendszerek Intelligens riasztó rendszerek Intelligens felügyelő és figyelő rendszerek SMART CARD alkalmazása

35 Információbiztonsági informatikai megoldások - PKI
Symmetric Cryptography: Asymmetric Cryptography: A B Secret Key‘ A‘ Secret Key ‚B‘ Secret Key ‚A‘ Secret Key ‚B‘ Data-Integrity (Signatur / MAC) with Secret Key Algorithm: DES, Triple-DES, IDEA ( Bit) RC4, RC5 Message Secret Key ‚A‘ (Private Key A) Encryption with Public Key B Algorithm: RSA, DSA, elliptic Curves Secret Key ‚B‘ (Private Key B) Decryption with Private Key B Encryption Public Key A with Private Key A Data-Integrity (Signature) only with Private Key Public (Public Key A, B)

36 Információbiztonsági informatikai megoldások – PKI folyamata
Public (Public Key A, B) Secret (Private Key A) Hashing Encrypt Message Session Key DES / T-DES Digital Signatur Private Key Sender Public Key Receiver m Plain Message Network Secure Message Smart Card Certifi- cate Secure Direc- tory Trust Center Sender “A” Receiver „B“

37 Információbiztonsági informatikai megoldások – PKI infrastruktúra
End-to-End Security 2 1 3 4 Identification/ Authentication Transport-Encryption Content-Encryption Anti-Virus 5 6 8 7 Virtuell Privat Network / VPN Single-Sign-On Firewalls Public Key Infrastruktur / PKI Intrusion Detection 9 User Network Wireline Wireless Internet GSM/ GPRS WLAN WAP WLAN- AP Back End Front End Appli- cation Server Web/ Portal Server DB Server Legacy Systems Intranet DMZ IDS RAS/ Radius FW

38 Információbiztonsági Siemens megoldások – IS projekt
Organisation Technology Security Policy Organizational- / Systems Concept (Infrastructure, Applications, Roll out, Services) Risk- Scenario Business Scenario Rules Steps towards secure business processes Scenario & Risk Analysis I&C Security Analysis Risk Management Strategy Operation Monitoring Reviews Transfer Road Map Imple mentation Business Processes

39 Információbiztonsági Siemens megoldások – CIE, Olaszország
Directory LDAP System ID card Authentication (Keypair generation, chip on-board) Data of the Citizans SSCE Certification Authority (CA) Crytpo Chip supplier Optical Band IPZS Smart Card Mgmt Italian State Mint Munici- palities Belügyminisztérium

40 Információbiztonsági Siemens megoldások – CIE, Olaszország
The Challenge Protection against forging of official documents. Secure public and e-business transactions Enable e-government services Enable business reengineering of public services The Solution Customer Benefits National PKI infratructure Smart card-based ID-card Hybrid card: Chip and laser stripe for photography and fingerprint (20 Mbytes) Platform for comprehensive new electronic public services 3 Mio. cards today; 40 Mio. 2007 Increased „passive“ security; protection against document forging Increased „active“ security: secure identification of the citizens Secure e-government applications Basic for new public services and comprehensive reengineering of existing public processes.

41 Információbiztonsági Siemens megoldások – SIEMENS
The Challenge Siemens AG countries, 500 Sites; Employees Convincing all involved parties worldwide Integration of a variety of different applications worldwide The Solution Customer Benefits Central Trust Center Service; automated operation Decentralised smart card issuing resp. „soft“ certificates Smart Card contains contactless chip and magnetic stripe (migration strategy) first roll out: today: 270,000 cards/certificates Secure PKI-services are worldwide available Secure business processes throughout the company Platform for further applications for the employees and business partner „End-to-end“-secure processes on the highest security level

42 Információbiztonság és -védelem
Összefoglalás Információbiztonság és -védelem

43 Átgondolandó tanácsok
Biztonságot utólag „adni” egy rendszerhez drágább és kevésbé hatásos, mint kezdetektől a rendszerrel együtt tervezni Nincs 100 %-os biztonság (lásd a mottót) Biztonsági lyukak voltak, vannak és lesznek … A hamis biztonságérzet vagy a túlzott veszélyérzet egyaránt káros Jobb megelőzni, mint javítani Az algoritmikus komplexitás valódi akadályt jelent Elméletben megoldhatatlan problémára a gyakorlatban működő megoldás létezhet A jelszavak titkosságát feltételezni illúzió A redundancia nem feltétlenül növeli a megbízhatóságot Ne küldj tovább sok címzettnek kéretlen levelet! Egy rendszer mindig annyira erős, mint a leggyengébb láncszeme Mindenki célpont az Interneten Megalapozott kriptográfia erős védelmet nyújt – a megalapozatlan bizonytalant

44 Kérdezz - felelek http://www.siemens.com http://www.bs7799.hu

45 Köszönöm a figyelmet! Veress András andras.veress@siemens.com
Az előadás letölthető: Veress András