e-közigazgatás biztonsági nézőpontból Szigeti Szabolcs CISA, CISM, CISSP

Tartalom Két szó a biztonságról Eddig fejlesztések tanulságai A biztonság helye a fejlesztésekben Mi várható?

Biztonság definíciója Bizalmasság Sértetlenség –Hitelesség –Letagadhatatlanság –Elszámoltathatóság Rendelkezésre állás Információ védelem – informatikai védelem – adatvédelem

Biztonság jellemzői A hiányát érzékeljük! Nem külön rendszerkomponens Több összetevő Minden, mindennel összefügg Nem állapot – folyamat Nincs 100%-os védelem Kompromisszum Emberi tényező kiemelkedő szerepe

Tanulságok Korábbi fejlesztések: –Szigetszerűség –Kevés figyelem a biztonságra –Kiírások hibái –Szállítóvezérelt megoldások –Nem egyenszilárdságú megoldások –Elfogadási követelmények hiánya –Csak a rendszerre koncentrálás –Fejlesztői tapasztalatlanság

Mire építhetünk? ITB 8. számú ajánlása „Informatikai biztonsági módszertani kézikönyv” ITB 12. sz. ajánlás „Informatikai Rendszerek Biztonsági Követelményei” MIBÉTS, Magyar informatikai Biztonsági Értékelési és Tanúsítási Séma MIBIK - IBIK – IBIV (Magyar Informatikai Biztonság Irányítási Keretrendszer, Informatikai Biztonság Irányításának Követelményrendszere, Informatikai Biztonság Irányításának Vizsgálata)

Mire építhetünk / 2 KET és kapcsolódó rendelkezések Pl.: –195/2005 (IX. 22.) Kormány rendelet az elektronikus ügyintézést lehetővé tevő informatikai rendszerek biztonságáról, együttműködési képességéről és egységes használatáról EU környezet További jogszabályok, ajánlások

Mire építhetünk / 3 Meglévő rendszerek –Központi rendszer –Ügyfélkapu –Kormányzati gerinc –Cert Hungary –stb. Ne találjunk fel újra semmit!

Fejlesztési kérdések Biztonsághoz kell: –Követelményrendszer –Tervezés –Fejlesztés –Ellenőrzés –Üzemeltetés és fenntartás

Követelményrendszer Szabályozási környezet követelményei: KET, Személyes adatok védelme, stb. Általános kockázatelemzési módszerek adaptálása (pl.: IHM ajánlás a közigazgatás informatikai célrendszereinek kockázatfelmérésére, biztonsági osztályokba sorolására, stb.) Kapcsolódó rendszerek követelményei (pl.: 84/2007. (IV. 25.) Korm. rendelet a Központi Elektronikus Szolgáltató Rendszer és a kapcsolódó rendszerek biztonsági követelményeiről)

Tervezés Biztonságra tervezni kell! Fejlesztési projekteknek részének kell lenni: –erőforrást kell biztosítani –meg kell követelni Oktatási támogatás kell

Fejlesztés A biztonságos fejlesztésnek át kell hatnia az egész rendszert Nem lehet utólag biztonságot fejleszteni Hibák nagy része: banális implementációs probléma Megfelelő kompetenciákkal kell rendelkezni, ellenőrizhetően! Oktatás!

Ellenőrzés Auditálás, tanúsítás Mi alapján? MIBÉTS… CC Ki jogosult? Pl. EKK (84/2007 korm. rendelet ) Független vizsgáló laboratóriumok Meglévő tanúsítások elfogadása – feltételekkel!

Fenntartás Nehéz kérdés: –Erőforrások? –Koordináció? –Információ? Különös figyelem az emberi tényezőre

Mi várható? Igazi veszély, ha van motiváció támadásra! e-közigazgatás, e-kormányzat  lesz motiváció! A támadó előnyös helyzetben van és nem alszik Szokatlan (e-specifikus) támadások várhatóak Biztonságos az, amiről sokan állítják (nyílt technológiák!) Emberi tényező kihasználása

Merre menjünk? Fontos a központi koordináció! (Pl. EKK) Fontos az egyértelmű követelményrendszer (új ajánlások kellenek!) Elfogadási kritériumok, tanúsítás Proaktivitás minden téren Jövőálló, nyílt megoldások kellenek A technológiai csak a megoldás egy része – általában nem azon múlik! Érintettek informálása, tudatosságnövelés, oktatás

Köszönöm a figyelmet!