Az ISO 27000 szabványcsalád elemei: Útmutató a kiberbiztonsághoz ISO/IEC 27032:2012 Móricz Pál – ügyvezető igazgató Szenzor Gazdaságmérnöki Kft. www.szenzor-gm.hu.

Az előadások a következő témára: "Az ISO 27000 szabványcsalád elemei: Útmutató a kiberbiztonsághoz ISO/IEC 27032:2012 Móricz Pál – ügyvezető igazgató Szenzor Gazdaságmérnöki Kft. www.szenzor-gm.hu."— Előadás másolata:

1 Az ISO 27000 szabványcsalád elemei: Útmutató a kiberbiztonsághoz ISO/IEC 27032:2012 Móricz Pál – ügyvezető igazgató Szenzor Gazdaságmérnöki Kft. www.szenzor-gm.hu

2 2 Szabványcsalád 27000 Áttekintés és szótár 27001 Követelmények Útmutatók 27002 Code practice 27003 Bevezetés 27037 Digitális bizonyíték 27033-x Hálózat bizt 27034-x Alkalmazás bizt. Auditorok, auditálás 27006 Követelmények ISMS tanúsítóknak 27007 ISMS auditálás útmutató 27008 IS kontroll audit útmutató Biztonság területek 27004 Mérés 27005 Kockázat mgmt 27035 Incidens mgmt 27031 Folytonosság 27032 Kiberbiztonság Ágazatonkénti biztonság 27015 Pénzügyi szolg. 27011 for telecom 27010 Szervezetek közti komm. 27013 ISMS+ITSMS 27799 ISM eü-ben

3 3 www.szenzor-gm.hu A szabvány címe ISO/IEC 27032:2012 Information technology – Security techniques – Guidelines for cybersecurity Információtechnológia – Biztonságtechnikák – Útmutató kiberbiztonsághoz 50 oldal

4 4 www.szenzor-gm.hu Alkalmazási terület  útmutató a kiberbiztonság állapotának fejlesztéséhez, kiemelve a tevékenységek egyedi jellegét és függőségeit a többi biztonsági területtel  alapokat ad az érdekelt felek biztonsági gyakorlatához a kibertérben  áttekinti a kiberbiztonságot  kiberbiztonság és más biztonság területek közötti kapcsolatot  meghatározza az érdekelt feleket és leírja szerepüket a kiberbiztonságban  útmutatót ad a kiberbiztonsági eseményekhez  keretet ad az együttműködéshez az érdekelt feleknek a kiberbiztonsági események megoldásában

5 5 www.szenzor-gm.hu Célközönség, határok  Célközönség (audience)  kibertérben szolgáltatásnyújtók  ezen a szolgáltatásokat igénybe vevők  szolgáltatás nyújtók általi útmutató készítői (felhasználók megértsék, betartsák)  Határok: nincs benne:  cyber safety,  kiberbűnözés,  kritikus infrastruktúra védelem,  internet safety  kibertér, -biztonság jogi megközelítése Benne internetes kibertér, beleértve a végpontokat megvalósítása

6 6 www.szenzor-gm.hu 27032 tartalomjegyzék 1-5 fejezetek (alkalmazási terület, alkalmazhatóság, hivatkozások, fogalom-meghatározások, rövidítések) 6 Áttekintés 7 Érdekelt felek a kibertérben 8 Vagyonelemek (értékek) a kibertérben 9 A kibertér biztonsági fenyegetései 10 Érdekelt felek szerepe a kiberbiztonságban 11 Útmutató az érdekelt feleknek 12 Kiberbiztonsági kontrollok 13 Információ megosztás és koordinálás keretrendszere MellékletekA. Kiberbiztonság készültség B. További információforrások C. Példák kapcsolódó dokumentumokra

7 7 www.szenzor-gm.hu Meghatározások (53 db)  Kibertér (Cyberspace)  komplex környezet az interneten, emberek, szoftverek, és szolgáltatások interakciójával, technológiai eszközök és hálózati kapcsolataik segítségével, melyek nem valamilyen fizikai formában léteznek  Cybersafety  védettségi állapot, olyan hiányossággal, sérüléssel, hibával, balesettel, ártalommal, vagy más kibertéri eseménnyel szemben, melynek lehetnek nemkívánatos fizikai, szociális, szellemi, pénzügyi, politikai, érzelmi, hivatással összefüggő, pszichológiai, oktatási vagy más típusú következményei  Kiberbiztonság/kibertér biztonság (Cyber security)  az információk bizalmasságának, integritásának és rendelkezésre állásának megőrzése a kibertérben

8 8 www.szenzor-gm.hu Kiberbiztonság és egyéb biztonsági területek kapcsolata Information Security CybercrimeCybersafety Critical Information Infrastructure Protection Network Security Internet Security Application Security Cybersecurity

9 9 www.szenzor-gm.hu Biztonság fogalmak és kapcsolatuk Stakeholders controls vulnerabilities risk assets Threat agents threats value wish to minimize to reduce impose that may be reduced by may be aware of leading to that exploit that increase to wish to abuse and/or may damage to

10 10 www.szenzor-gm.hu 9. Kibertér biztonság fenyegetései  fenyegetések  fenyegetés típusok, példák külön személyes illetve szervezeti vagyonelemekre  fenyegetők (threat agent)  akiknek szerepük van végrehajtásban, támogatásban  felméréshez, kontrollokhoz kritikus a motivációik, képességeik, szándékaik megértése  sérülékenységek  felmérésük folyamatos feladat  ismert sérülékenység leltár szigorú védelemmel  megoldás és/vagy kontroll kell prioritás szerint

11 11 www.szenzor-gm.hu 9.4 A támadás mechanizmusai  vírus, féreg, képprogram, stb., pl. adathalászattal  gyanús website, spam e-mail, nem igazolt letöltés, fertőzött adathordozók, távoli kihasználás, közösségi oldalakon át, legális oldalak fertőzésével  legális források esetén is kell védelem  magán (helyi) hálózaton belülről (alkalmazott + aki hozzáfér)  admin, vagy admin-t támadó  ID, PW megszerzés (szoftverrel, álcázással, WIFI-n át, fertőzött gépről, befogható gép keresés, üzleti folyamat, tevékenység lehallgatás  magánhálózaton kívülről (pl. internetről)  külső arcon (router, szerver, tűzfal, weboldal, stb.) behatolási lehetőség keresés, nyitott port keresés  sérülékenység kihasználás, DoS (akár ország), fájl megosztón terjesztés, puffer túlcsordulás, IP cím eltérítés

12 12 www.szenzor-gm.hu 11. Útmutató az érdekelt feleknek  kockázatfelmérés és kezelés  útmutató a felhasználóknak (10 szempont)  útmutató a szervezeteknek és szállítóknak  üzletmenet IS kockázatai menedzselése (ISMS, biztonságos termékek szolgáltatása, hálózat monitoring és válaszintézkedések, támogatás és eszkaláció, témában naprakészség)  biztonsági követelmények megadása a web és más kiberalkalmazási szolgáltatásokra  biztonsági útmutató a felhasználóknak

13 13 www.szenzor-gm.hu 12. Kiberbiztonsági kontrollok  alkalmazás kontrollok  szerver védelem  végfelhasználói kontrollok  social engineering támadások elleni kontrollok  politikák,  módszerek és folyamatok (információ osztályozás, tudatosság és képzés, teszt)  emberek és szervezet  technika  kiberbiztonság felkészültség (A melléklet)  egyéb kontrollok

14 14 www.szenzor-gm.hu 13. Információ megosztás és koordináció keretrendszere  politikák  info osztályozás, kategorizálás, minimalizálás, hozzá- férés (audience) korlátozás, koordinációs protokoll  módszerek és folyamatok  Info osztályozás, kategorizálás, bizalmassági megállapodás, gyakorlati útmutató, teszt és gyakorlás, info megosztás időzítés, ütemezés  emberek és szervezetek  szerződések, szövetségek, tudatosság és képzés  technika  automatikus rendszerre adatstandardizálás, adatok láthatóvá tétele, titkosító kulcsok, mentések, biztonsági fájl megosztás, azonnali üzenetek, wep portal, fórum, teszt rendszerek  telepítési útmutatók

15 15 www.szenzor-gm.hu Mellékletek A mell: Kiberbiztonság felkészültség (readiness)  darknet monitoring  fekete lyuk (Black hole) monitoring  law interaction monitoring  high interaction monitoring  átjáró műveletek (sinkhole operation)  visszavezethetőség (traceback) B mell: További információforrások (24+9)  online bizt., anti-spyware, ill eszkalációs e-mail címek C mell: Példák vonatkozó dokumentumokra  ISO/IEC (31), ITU-T (9) témakör bontásban

16 16 www.szenzor-gm.hu Elérhetőség Móricz Pál Mobil: 20-931-0584 p.moricz@szenzor-gm.hu Szenzor Gazdaságmérnöki Kft. 1087 Budapest, Könyves Kálmán körút 76. Telefon: (+36)-1-331-5523 Fax: (+36)-1-311-9636 E-mail: szenzor@szenzor-gm.hu Honlap: www.szenzor-gm.hu „Változással a sikerért”