Paranoia avagy túlélés az IT biztonságban Rékási Ábel IT Biztonsági tanácsadó Magicom Kft. rabel@magicom.hu Tel: 06 – 1 - 260 5869

Mi a leggyengébb láncszem? "INFORMÁCIÓVÉDELEM MENEDZSELÉSE" IX. SZAKMAI FÓRUM Mi a leggyengébb láncszem? 2004. január 21. Biztosítja-e a PDCA elv használata egy jól szabályzott környezetben a biztonságot? NEM! A tapasztalatok azt mutatják, hogy azon cégek nagy része akik pénzt és erőforrást nem kímélve tanúsítást szereznek továbbra is sebezhetők a legegyszerűbb titkosszolgálati módszerekkel szemben. Paranoia avagy túlélés az IT biztonságban - Rékási Ábel (Magicom Kft.) IT biztonsági szakértő

Mi a leggyengébb láncszem? "INFORMÁCIÓVÉDELEM MENEDZSELÉSE" IX. SZAKMAI FÓRUM Mi a leggyengébb láncszem? 2004. január 21. A statisztikák szerint a sikeres támadások 75-80% -a belső segítséggel indul. Tehát kijelenthető, hogy egy biztonságilag jól szervezett és irányított cégben a szűk keresztmetszet az ember. Paranoia avagy túlélés az IT biztonságban - Rékási Ábel (Magicom Kft.) IT biztonsági szakértő

Az ember a gépben "Ki tudom számítani az égitestek mozgását, de az emberek őrültségével nem tudok kalkulálni„ (Isaac Newton), Nekünk viszont számolnunk kell ezen veszélyekkel ahhoz, hogy eséllyel védekezhessünk, az idővel kötelezően bekövetkező támadás ellen.

Az üzleti hírszerzés Üzleti Hírszerzést megkülönböztetjük fajtája és módszere szerint: Offenzív Defenzív

Defenzív hírszerzés Tény, hogy defenzív üzleti hírszerzésre akkor is szükség van, ha a piaci szereplők még nem indítottak támadást a piaci részesedésünk ellen, ugyanis a defenzív hírszerzésből beérkező információk elemzése védelmet nyújt az alacsonyabb szintű fenyegetések ellen. Eredményeiből meglepve tapasztalhatjuk máris hadban állunk.

Defenzív hírszerzés (2.) A Belső Fenyegetések felsorolása a teljesség igénye nélkül: Csalás, sikkasztás, lopás, lehetőségek saját célra történő kihasználása, korrupció, gazdasági befolyással, -hatalommal történő visszaélések, és talán a legnehezebben kivédhető az emberi butaság. Ezen előadásban mélyebben az emberi hiszékenységgel kapcsolatos belső fenyegetésekre koncentrálnék, hiszen legtöbbször ezek segítségével sikeresek a komplexebb támadásformák.

A megoldás: Paranoia Minden hasonló fórumon hangsúlyozzák az oktatás jelentőségét mégis az IT biztonság minden egyéb területén nagyságrendi javulás figyelhető meg míg ezen a területen csak kozmetikai. Általában a dolgozói magatartás javul a Biztonsági szabályzat bevezetése után. számítógép használati szabályzat tartalomfigyelés vírusfertőzések gyakorisága stb.

A megoldás: Paranoia (2.) De a lényegi kérdésekben még mindig változatlan a helyzet. A Social Engineering ellen tehetetlenek. Nem értették meg ugyanis cégeinkben az általunk végzett munka fontosságát, sem a rájuk jutó feladatok jelentőségét. És ezen nekünk kell változtatnunk! Erre nyújt lehetőséget az oktatás és még inkább az oktatást követő folyamatos kreatív tesztelés.

A megoldás: Paranoia (3.) Saját kárukon tanított kollégák által fénysebességgel terjesztett információ. Van jelentősége az oktatáson eltöltött napoknak. Nem a büntetés hanem a közösség erejével változtatni meg az általános magatartásformát.

A megoldás: Paranoia (4.) Tudatosan készíteni fel a kollégákat a Social Engineering felismerésére. Begyakoroltatni a helyes választ. Megértetni, hogy az ellenőrzés kötelező része minden kommunikációnak.

Gyakorlati megoldások Érdemes havonta néhány alkalommal tovább maradni és ”leszüretelni” a céges kukák tartalmát, az elöl hagyott iratokat, a klaviatúra alá rejtett jelszavakat. Meg fogunk lepődni. És ha jól csináljuk a meglepetések okozói is tanulnak hibáikból.

Gyakorlati megoldások (2.) Néha éhezzünk meg egy kicsit később és mikor egy iroda teljesen kiürül (meglepően gyakran) ellenőrizzük le a “tonert a nyomtatóban”. Ismét meglepődünk majd milyen sok kolléga hátterét változtathatjuk tanulsággá.

Gyakorlati megoldások (3.) Később szervezzünk be más kollégát ezen tevékenységek elvégzésére. Ha már megjárták velünk próbálkozzunk a jelenlétükben is. Ha nem találunk semmit dicsérjünk! Ha találtunk mindig mondjuk el mi lett volna a helyes magatartás. Meglepően hamar kialakítható a gyanakvás. Ha gyanakvás van túlélés is van.

Gyakorlati megoldások (4.) Fontos, hogy ha mindezt játékosan csináljuk nem pedig fenyegetően még akár színfolt is lehet a mindennapi munkában. Legyünk kreatívak, tartsuk életben a gyanakvást. Ha van lehetőség cégen kívüli tesztelésre forduljunk profikhoz. Kérjünk biztonsági átvilágítást, Social Engineering-et. Ha munkatársainkat elég paranoiássá tettük jó lesz a bizonyítvány.

Mottó: “Azért mert paranoiás vagyok még nem biztos, hogy nem üldöznek.” Köszönöm a figyelmet.