Hazai biztonsági körkép az ICT integrátor szemével Dani István, T-Systems Magyarország Zrt.

Tartalom • Kis ország – csekély fenyegetettség? • Általános tapasztalatok a biztonsági területen • A pénzügyi, ipari, államigazgatási szektor kihívásai • Konklúziók • Kis ország – csekély fenyegetettség? • Általános tapasztalatok a biztonsági területen • A pénzügyi, ipari, államigazgatási szektor kihívásai • Konklúziók 09/03/2013– public –2

Kis ország – csekély fenyegetettség? 09/03/2013– public –3 • EU, NATO-tagság • Egy hálózat (Internet) • Azonos szoftverek • Azonos sérülékenységek Megfontolandó szempontok Nem számottevő • gazdaság, • politikai befolyás, • katonai erő Miért lennénk fenyegetve?

Nem számottevő • gazdaság, • politikai befolyás, • katonai erő Miért lennénk fenyegetve? Kis ország – csekély fenyegetettség? 09/03/2013– public –4 NATO- és EU-tagság Határok nélküli hálózat (Internet) Azonos • szoftverek, • sérülékenységek, • emberi viselkedésminták Megfontolandó szempontok

Fenyegetettségi szintek 09/03/2013– public –5 • Külső támadás • Belső incidens • Üzletfolytonosság megszak. • Imidzsvesztés • … Szervezet / cég • Közigazgatási rendszer, • kritikus infrastruktúra elleni támadások Ország • Identitáslopás • Csalás, megtévesztés • … Egyén

Fenyegetettségi szintek 09/03/2013– public –6 • Külső támadás • Belső incidens • Üzletfolytonosság megszak. • Imidzsvesztés • … Szervezet / cég • Közigazgatási rendszer, • kritikus infrastruktúra elleni támadások Ország • Identitáslopás • Csalás, megtévesztés • … Egyén

Szektorfüggetlen tapasztalatok Felkészültség 09/03/2013– public –7 Ellenintézkedések • Kontrollok egyensúlya! • Határvédelem kontra hagyma modell • Üzemeltetés! Fenyegetettség felismerése • Belső: elhanyagoljuk! Védendő értékeink • Ismerjük? Elegendő figyelem jut-e a belső adatszivárgásra? NEM: 49% Forrás: T-Systems Mo. anonim felmérése, májusi ISACA-konferencia (76 válasz) Elegendő figyelem jut-e a belső adatszivárgásra? NEM: 49% Forrás: T-Systems Mo. anonim felmérése, májusi ISACA-konferencia (76 válasz)

Szektorfüggetlen tapasztalatok Biztonsági monitoring • Folyamatos naplóelemzés, riasztás • Rendszeres kiértékelés • Nyomon követhetőség • Incidensek kivizsgálása 09/03/2013– public –8 Van-e erőforrás a logok rendszeres kielemzésére? NINICS: 45% Forrás: T-Systems Mo. anonim felmérése, májusi ISACA-konferencia (76 válasz) Van-e erőforrás a logok rendszeres kielemzésére? NINICS: 45% Forrás: T-Systems Mo. anonim felmérése, májusi ISACA-konferencia (76 válasz)

Pénzügyi szektor 09/03/2013– public –9 fgfgdfg ergergergegr • Többszintű védelem • Szabályzati és technikai kontrollok • Szabványok, „legjobb gyakorlatok” Motiváció • Törvények, előírások • Szigorú felügyelet, rendszeres audit • Siker = bizalom szemléletmód • „Auditori pipa” szemléletmód • Túl gyors fejlesztések (funkció vs. biztonság) • Emberi erőforrások • Közműszemlélet • Beszerzések (csak az ár dönt) 2 kg alma 1 kg körte 1 db Biztonsági rendszer Ócsót hozzál! 2 kg alma 1 kg körte 1 db Biztonsági rendszer Ócsót hozzál!

Ipari szektor Nagy különbségek Multikörnyezet: fejlettebb biztonsági kultúra Szabályozási, szabályzati oldalon rendezettebb Új idők (IP terjedése), új fenyegetettségek Office – termelési hálózat valóban elválasztva? „Céleszközök” hagyományos, de frissítetlen gépeken Nincs közös biztonsági nyelv (mérnök és IT- bizt. ember között) • Biztonság = üzembiztonság? 09/03/2013– public –10

Államigazgatási szektor Egyes kiemelt területeken sokat teszünk a biztonsági szint emeléséért. (EKG, közvetlen internetes szolgáltatások, …) Intézményi szinten már rosszabb a kép. Amíg nincs tv. vagy rendelet, egyéni hozzáállás (Belső) szabályzati kontrollok, üzletmenet-folytonosság Források: gyakran csak CAPEX • Követés? • Üzemeltetés? 09/03/2013– public –11

Záró gondolatok A biztonság sokszor nem pénz- hanem hozzáállási kérdés. Motivációk – tv-i szintű előírások kellenek! Nincsenek határok – EU-szintű együttműködés szükséges. 09/03/2013– public –12

Köszönöm figyelmüket!