Microsoft Üzleti Megoldások Konferencia 2005. Az informatikai biztonság alapfogalmai Kürti Tamás KÜRT Computer Rendszerház Rt.

Az előadások a következő témára: "Microsoft Üzleti Megoldások Konferencia 2005. Az informatikai biztonság alapfogalmai Kürti Tamás KÜRT Computer Rendszerház Rt."— Előadás másolata:

1 Microsoft Üzleti Megoldások Konferencia 2005

2 Az informatikai biztonság alapfogalmai Kürti Tamás KÜRT Computer Rendszerház Rt.

3 Mit kell védeni, mitől, és mindez mennyibe kerül? Mit? A folyamatok erőforrásait (pl.: emberi, informatikai, telekommunikációs, infrastrukturális, outsource szolgáltatás) Mitől? Külső és belső hatások (pl.: vírus, tűz, emberi mulasztás, szándékos károkozás, rendszerelem meghibásodás) – minden, ami kiesést okozhat! Mennyiért? A kiesés által okozott károkkal, lehetséges veszteségekkel arányosan! Mit? Mitől? Mennyiért?

4 Mi az informatikai biztonság? Folyamatosan tudjunk dolgozni – biztonságban ráadásul számítógéppel! Mit? Töménytelen mennyiségű, szinte azonnal hozzáférhető információ Világhálózat … Elektronikus bank Elektronikus kereskedelem Hadviselési eszköz Terrorizmus eszköze …

5 Informatikai biztonságról Adatok Rendelkezésre állásának biztosítása Bizalmasságának biztosítása Sértetlenségenek biztosítása Hitelessége Rendszerek Rendelkezésre állása Sértetlensége Funkcionalitása Biztonságról Mitől? Általában, rendszerben Humán FizikaiLogikai

6 Rosszindulat haszonszerzés bosszú irigység sértettség felindultság Virtus Képzetlenség tudatlanság alkalmatlanság gondatlanság kényelem Mitől kell védeni? „Vajon mit csinált az ember akkor, amikor rájött, hogy a tehén tőgyéből tejet lehet nyerni?” Mitől?

7 NIMDA - 2001. szeptember A hibát, amit kihasznált, márciusban publikálták (fél évvel korábban) Blaster (LovSan) - 2003. augusztus ASN.1 (828028) - 2004 A hibát júliusban publikálták (3 héttel korábban) A hibát 4 nappal korábban publikálták! Egy példa: vírusok terjedése: Mitől?

8 Ami értékesebb, az fokozott védelmet igényel. Az optimális biztonság szelektív és nem egységsugarú Mindent vagy semmit, esetleg van középút? Mennyiért? Mit? Mennyiért?

9 Nincs 100%-os biztonság, mekkora az elfogadható? Az IT-biztonságra fordított összeg Biztonsági szint 100 %-os biztonság Rögzített, elérendő biztonsági szint A biztonság pillanatnyi szintje Biztonsági rés KOCKÁZATELEMZÉS Mennyiért? A biztonsági rés

10 Vészhelyzetben megvalósítható maximális helyreállítási idő Cégszinten megengedett maximális kiesési idő Katasztrófahelyzetben megvalósítható maximális helyreállítási idő Kockázati rés ? A kockázati rés idő Mennyiért?

11 Patch menedzsment Incidens menedzsment Legal hacking Kockázatok folyamatos kezelése Kockázatok rendszeres elemzése Rendszeres biztonsági felmérés Szerződések felülvizsgálata Informatikai üzemeltetési szabályozási rendszer kialakítása és bevezetése Informatikai fejlesztési szabályozási rendszer kialakítása és bevezetése Információbiztonsági menedzsment rendszer kialakítása Információbiztonsági menedzsment rendszer üzemeltetése BCP kialakítása és bevezetése Szabályozási rendszer oktatása IT biztonsági kultúra oktatása Szabályozási rendszer üzemeltetése és karbantartása Rendszeres felülvizsgálat és aktualizálás IT fejlesztések minőségbiztosítása IT fejlesztések biztonsági menedzsmentje Vírusvédelmi rendszer üzemeltetése IT projektek minőségbiztosítása DRP kidolgozása BCP aktualizálása DRP aktualizálása SLA-k kidolgozása és bevezetése BS7799 szerinti felülvizsgálat Felkészítés BS7799 szerinti auditra COBIT szerinti audit IT rendszerek és beruházások TCO elemzése COBIT szerinti felülvizsgálat Felkészítés COBIT szerinti auditra Üzemeltetési folyamatok és szervezet felmérése Informatikai folyamattérkép készítése IT biztonságpolitika készítése Informatikai stratégia készítése Beruházások előkészítése, pályáztatás IT üzemeltetési folyamatok egyszerűsítése, újraszervezése Hálózati biztonsági eszközök telepítése (tűzfal, router, switch) PKI feladatok Adatmegsemmisítés Mentési és archiválási rendszer üzemeltetése Fizikai biztonsági környezet kialakítása Disaster Recovery Site kiépítése Minőségbiztosítási és IT szabályozási rendszer illesztése Szoftver audit Szoftvergazdálkodási szabályozási rendszer kialakítása és bevezetése Fizikai biztonsági audit IT rendszerek bevezetésének minőségbiztosítása Hogyan?

12 Az információbiztonság menedzselésének területei Információbiztonság Logikai biztonság Fizikai biztonság Humán biztonság Vírusvédelem; Adatvédelem; … Szerverszobák; Beléptető rendszerek; … Oktatás, szűrés, jogosultság- kezelés … Hogyan? Szoftver- hardver eszközök Kockázat menedzsment, Szabályozások, Tervek Üzletmenet folytonosságra, Vészhelyzetből visszaállításra

13 Köszönöm megtisztelő figyelmét! Elérhetőség: Név: Kürti Tamás Cím: Budapest, Péterhegyi út 98. 1112 Telefon: +36 1 424-6666 Email: tamas.kurti@kurt.hu