Éjjel-nappal a világhálón – avagy biztonság a virtuális térben Krasznay Csaba Információbiztonsági tanácsadó HP Magyarország Kft.

Az alapkérdés •A pénzintézetek folyamatosan, legtöbb esetben online működnek •Nagy zsákmányt nem fegyverrel, hanem informatikával lehet a pénzintézetektől szerezni •Egy pénzintézet rendszeréhez eleve ezres nagyságrendű dolgozó fér hozzá •És mégis, miért nincsenek tömegesen sikeres informatikai támadások a bankok ellen?

Fenyegetések

A válasz •A megoldás egyszerű, de mégis évek-évtizedek kellenek ahhoz, hogy sikerre vigyék •Az információbiztonság ugyanis alapvetően filozófia, ami mentalitásváltást követel meg •Meg kell oldani a (látszólag) megoldhatatlant: egyszerre lenni nyíltnak (kiszolgálni az üzletet) és zártnak (megvédeni az üzletet) •Ehhez meg kell teremteni az 5E (elmélet, előírások, eszközök, emberek, ellenfelek) harmóniáját

Elmélet •Közhelyek: •Ismerd meg az ellenséget, és ismerd meg önmagadat, így akár száz csatát is megvívhatsz vereség nélkül (Szun Ce) •A biztonság nem termék, hanem folyamat (Schneier) •Minden rendszer annyit ér, amennyit a leggyengébb láncszeme (ezt sokan mondták) •Nem jó az M&M’s védelem (Mitnick) •A közhelyeket a végtelenségig lehetne folytatni •A lényeg: nincs biztonság elmélet nélkül!

Elmélet •Amikor információbiztonságról beszélünk: •Az információ van a középpontban •Az információ bizalmasságát, sértetlenségét és rendelkezésre állását védjük (CIA elv) •Nem feltétlenül törekszünk a teljes védelemre, hanem kockázatarányosan védekezünk •Módszereink, védelmi intézkedéseink lehetnek adminisztratívak, logikaiak és fizikaiak •Melyeket megelőző, felderítő és javító módon használhatunk (PreDeCo elv) •A harmónia megteremtése ezek megértésén és következetes alkalmazásán múlik!

Elmélet •Egy pénzintézetnél kötelező a fenti elvek betartása •A tapasztalat azonban azt mutatja, hogy sok szervezetnél (pl. az államigazgatásban) még mindig nem él ez a szemlélet •Felejtsük el a „minél több tűzfal – annál nagyobb biztonság” ideológiáját! •De ha nem megy saját belátásra, akkor majd jön a kényszerítő erő!

Előírások •A Magyarországon működő szervezetek többsége azért szeretne információbiztonságot, mert valamilyen külső kényszer hatása alatt állnak •A külső kényszer lehet: •Jogszabály, •Felügyeleti szerv által kiadott szabály, •Anyavállalati előírás •Ezek általában szabványra támaszkodnak, így kimondható, hogy a világ jelenlegi elfogadott tudására épülnek

Előírások •A banki világban Magyarországon az alábbi előírások léteznek: •1996. évi CXII. Törvény a hitelintézetekről és a pénzügyi vállalkozásokról 13/B. § •1/2007. számú módszertani útmutató a pénzügyi szervezetek informatikai rendszerének védelméről •De egy bank lehet adatkezelő, kritikus információs infrastruktúra, banktitok gazdája, stb. •Összevetve a közvetve vagy közvetlenül vonatkozó jogszabályokat, előbukkan néhány megkerülhetetlen szabvány

Előírások Banki informatika EmberekAlkalmazásokInformációkInfrastruktúra Szabványok, ajánlások Cobit ISO OWASP, CMM NIST SP ajánlások Gyártói ajánlások Common Criteria Erőforrások Technológia Irányítás

Előírások Szabályzat Szabvány Alapbeállítások Eljárások Útmutatók

Eszközök •Ha egyértelműek és világosak az előírásaink, már „csak” meg kell valósítani a benne leírtakat •Ehhez viszont rendszert kell tervezni •Minél előbb gondolunk a biztonságra a tervezés során, annál olcsóbban lehet biztonságos rendszert létrehozni •Egy mai átlagos IT fejlesztés összköltségének 10-15% megy a biztonságra!!!

Eszközök

•Ne felejtsük el: az eszköz csak eszköz, nem cél! •Az eszközöket a kockázatok csökkentésére használjuk •Új eszköz = új kockázat! •Ne felejtsük, egy eszköz nem csak megelőz, de észrevesz és javít is (PreDeCo elv)! •Az eszközök együttesen alkotják a rendszert az előírásokkal és az azt betartó emberekkel •Gondos tervezés nélkül szétesik ez a kényes egyensúly

Eszközök •Egy pénzintézetnél a határvédelmi eszközök legalább annyira fontosak, mint •a naplózás, •a mentés, •a hibatűrés, •az IDS, •a jogosultságkezelés, •a kriptográfia •az erős autentikáció... •Még egyszer: nem az eszköz a lényeg, hanem az, hogy milyen kockázatot csökkent!

Emberek •Emberek nélkül nincs rendszer •Egy banki (vagy akármilyen) szervezetben informatikai szempontból három embertípus van: •Aki csinálja (informatikusok) •Aki felügyeli (menedzsment, területi vezetők) •Aki használja (minden felhasználó) •A három embetípus sok különböző fenyegetést jelent a rendszerre nézve •Az információbiztonsági felelősnek ezért mindenhez értenie kell! •Igazi multidiszciplináris területről beszélünk

Emberek

Ellenfelek •Ha minden nyugodtnak látszik, kezdjünk el gyanakodni! •Ahol pénz van, ott mindig megjelennek azok, akik szeretnék ezt a pénzt valahogy megszerezni •A biztonsági folyamat része az, hogy folyamatosan ellenőrizni kell a védelmi intézkedések hatékonyságát •Ezekkel az auditokkal lehet az ellenfeleket távol tartani •Egy szakember számára az egyik legfontosabb inspiráció az, hogy minél hamarabb felnőjön a támadóhoz

Összefoglalás •Amikor egy rendszer 7/24 üzemmódban működik, készüljünk fel a legrosszabra! •Ha ez a rendszer ráadásul az internetről is elérhető, szorozzuk meg kettővel a legrosszabbat! •100%-os biztonság nincs, ezt ne is várjuk el •Ami reálisan elvárható, hogy nagy baj ne történjen •Erre kell az információbiztonságnak készülnie

Köszönöm.