Transcript Download in .ppt format

Kockázatkezelés
Krasznay Csaba
Emlékeztetőül
A védelem tárgya mindig az információ.
 Az információnak három biztonsági tulajdonsága van:
 Bizalmasság
 Sértetlenség
 Rendelkezésre állás
 Az információ ezen három alaptulajdonságával
állítható össze egy rendszer biztonsági szabályzata,
ami egy állítás arról, hogy mit szabad és mit nem
szabad.

Biztonsági mechanizmusok
A biztonsági mechanizmus az az eljárás, eszköz vagy
művelet, amik a biztonsági szabályzatot érvényre
juttatják.
 A félév során elsősorban ezekről a mechanizmusokról
fogunk beszélni, de sose szabad elfelejteni, hogy ezek
mindig csak eszközök, a cél a szabályzatokon keresztül
mindig az információk védelme!!!

Ökölszabályok





Alapszabály, hogy a védekezésre nem szabad többet
költeni, mint amekkora kárt az információ valamilyen
kompromittálódása okoz! (-> ágyúval nem lövünk
verébre)
A védelem legyen teljeskörű, az egész rendszerre
terjedjen ki!
Legyen zárt, tehát vegyen figyelembe minden
fenyegetést, legyen folytonos, tehát kövesse a
változásokat és folyamatosan valósuljon meg!
Készüljünk fel a kompromisszumok vállalására!
A védelem legyen egyenszilárdságú!
Biztonsági mechanizmusok
A biztonsági mechanizmusoknak is három típusát
ismerjük:
 Preventív: a szabálysértések megelőzésére irányuló
cselekmények.
 Detektív: a szabálysértések felderítésére irányuló
cselekmények.
 Korrektív: a szabálysértések bekövetkezése utáni
elhárításra irányuló cselekmények.
 Összefoglalóan ezt PreDeCo elvnek hívjuk.

Az információbiztonság három
alapkérdése:
Mit kell megvédeni? (Válasz: az információt)
 Mi ellen kell védeni? (Válasz: Azon támadások ellen,
amik a CIA tulajdonságokat, és ezen keresztül a
szabályzatok betartását veszélyeztetik)
 Milyen módon kívánjuk megvédeni? (Válasz: azokkal
a védelmi mechanizmusokkal, amik a PreDeCo elvet
teljesítik)

+1 Hogyan
győződhetünk meg róla, hogy a védelem
működik?
Információbiztonság,
mint folyamat
1.
2.
3.
4.
5.
Információvagyon felmérése, értékelése
Fenyegetések számba vétele, kockázatok
meghatározása
Kockázatok kezelése (5-féle módszer)
Védelmi intézkedések nyomon követése
Ugrás 1-re
Megvalósítás módja






Vagyonleltár: a vagyontárgy azonosítása, értékelése
Sebezhetőségvizsgálat
 a lehetséges, releváns fenyegető tényezők számba vétele
 a sikeres támadáshoz szükséges támadható felületek
(sebezhetőségek) azonosítása
Kockázatértékelés: a sikeres támadás valószínűségének, és az
azon keresztül a vagyontárgyban okozott kár mértékének
becslése
Védelmi intézkedés tervezése és bevezetése
Védelmi intézkedés működtetése, ellenőrzése
Kockázatok újraértékelése
A kockázatkezelés végrehajtásának
módja

Kockázatkezelési módszertan dokumentálása
(kvalitatív, v. kvantitatív, elfogadható és nem elfogadható kockázatok)
Releváns fenyegető tényezők azonosítása
 A létező sebezhetőségek feltárása
 A létező és üzemelő védelmi intézkedések hatékonyságának vizsgálata
 A sikeres támadás előfordulási gyakoriságának becslése

(nagy körültekintést és szakértelmet igényel, használható módszerek: HAZOP, FMEA, FTA,
ETA, HRA)
A kockázat mértékének meghatározása minden egyes vagyontárgyra
(kvalitatív: kitettségi mátrix)
 Kockázat kezelésének módja (öt lehetőség)
 Lehetséges védelmi intézkedések kidolgozása

amelyek a kockázatot a még elfogadható szintre csökkentik (preventív, detektív, korrektív)
Alkalmazás
Vagyonleltár
Adat
Technológia
A cég információs vagyonának leltára
Tartalma
Környezeti
infrastruktúra
 Adatok (név, leírás, gazda, kárérték)
Humán
 Folyamatok (név, leírás, tevékenységek, gazda,
erőforrások
kritikus időszakok, kárérték)
 Adathordozók (név, leírás, jellemzők, gazda, kárérték)
+ alkalmazás, technológia, infrastruktúra, személyzet
 A további lépések alapja, mert
 a sebezhetőségvizsgálat a vagyonelemek „üzemi
környezetének” fenyegetéseit méri fel
 a kockázatelemzés meghatározza a kárértékek és a
sebezhetőségek alapján a kockázati szintet
 az „üzemi környezet” besorolása a vagyonelemek
kockázati szintje alapján történik ...


A vagyonleltár elkészítésének módja
Interjúk során lehet pontos képet alkotni a vállalat
adatvagyonáról.
 Az interjú menete:
 Az osztály/terület tevékenységi körének
megismerése
 A terület dolgozói által végzett munkafolyamatok
feltérképezése (tevékenységek, adatok,
adathordozók, IT rendszerek azonosítása)
 Azonosított vagyonelemek értékelése
(együttgondolkodás az elszenvedhető károkról)

A vagyonleltár elkészítésének módja
A leggyakoribb kérdések:
 Milyen következményekkel járhat, ha az adat rossz
kezekbe kerül?
 Mennyibe kerül az adatok épségének helyreállítása?
 Milyen kárt okoz a nem felismert sérülés?
 Milyen következményei lehetnek, ha az üzleti
folyamat nem megy (egy óráig, egy napig, egy hétig,
…)?
 A kár mértékének meghatározásakor, több lehetőség
közül mindig a legrosszabbat kell figyelembe venni!

Sebezhetőségvizsgálat





Célja: a rendszer gyenge pontjainak azonosítása.
Input: vagyonelemek listája („működési környezet”)
Output: „kockázati tényezők” listája
vagyonelemenként (fenyegetés + sérülékenység)
Továbblépés: bekövetkezési gyakoriság becslése,
kitettség számítása.
Kockázat: az egész projekt kritikus pontja
 ha túl felületes, a kockázatelemzés értelmét veszti;
 ha aprólékosabb, mint amit a szervezet elbír
belebukhat a projekt.
Definíciók
Fenyegetés (Threat): Olyan esemény, melynek
bekövetkezése nem kívánt hatással jár egy
vagyontárgyra nézve (pl. vírusfertőzés).
 Sérülékenység/sebezhetőség (Vulnerability): Olyan
feltétel, melynek teljesülésével egy fenyegetés
gyakrabban vagy nagyobb hatással következhet be (pl.
operációs rendszer sérülékenység, amin keresztül egy
féreg fertőzni tud).

Példa fenyegetésekre





Környezeti: Természeti katasztrófák, elemi csapások,
tűz, stb.
Fizikai: betörés, stb.
Informatikai: hardver/szoftver hibák, stb.
Szervezeti: szerepkörök szétválasztásának
elmulasztása, feladatok rotálásának elmulasztása, stb.
Humán: kémkedés, social engineering, stb.
Védelmi potenciál

Sok esetben, az informatikában előszeretettel, nem a
legnagyobb értéket támadják meg, hanem amit a
legkisebb erőfeszítéssel lehet támadni! Ezért fontos a
védelmi potenciál fogalma, mely annál nagyobb
 minél erősebb a védelem;
 minél összetettebb a sikeres támadáshoz szükséges
eszközpark és szakértelem;
 minél kisebb a támadásra fordítható idő;
 minél kisebb a támadási cél értéke.
CRAMM támadási modell
A fenyegetések
kihasználják
a sebezhetőségeket
, ami kárt okoz a
a biztonsági esemény
, melyek
következménye
a vagyontárgyban.
, aminek
a tulajdonosra .
hatása
van
A Central Computer and Telecommunation Agency (Egyesült Királyság) által kidolgozott
kockázatelemzési és kezelési módszertan – CCTA Risk Analysis and Management Method)
Következtetés

A CRAMM támadási modell azt szimbolizálja, hogy
alapvetően három dolog kell a biztonsági esemény
bekövetkezéséhez (a támadáshoz):
 fenyegetés,
 sebezhetőség, amin keresztül a fenyegetés kifejti a
hatását (amin keresztül a támadás megindítható), ez
lehet magában a védelemben is,
 cél, amiben/amivel kárt lehet okozni.
A sebezhetőségvizsgálat módszerei
Ad hoc:
találomra összegyűjt néhány sérülékenységet.
 Checklist:
egy fenyegetés/sérülékenység/védelmi intézkedés
adatbázisból kiindulva a működési környezet minden elemére
ellenőrzi, hogy mely kockázati tényezők állhatnak fenn.
 Állapotfelmérés:
területenként áttekinti a szervezet működését, feltérképezi a
folyamatokba épített kontrollokat, a környezeti és technológiai
védelmi intézkedéseket, valamint leellenőrzi azok működését.

Technológiai vizsgálatok





külső, belső sebezhetőségvizsgálat (vulnerability
scanner)
konfigurációelemzés
határvédelmi rendszer által kikényszerített
biztonságpolitika elemzése
hálózati forgalom analízis
egyedi fejlesztésű alkalmazások vizsgálata
Infrastruktúra, környezeti biztonság
Vizsgálat módja: bejárás
 Néhány terület: élőerős védelem, mechanikai védelem,
elektronikus védelem (portaszolgálat, kulcskezelés,
beléptető rendszer, riasztó rendszer, képrögzítés,
tűzvédelem, légkondicionálás, áramellátás, villám-,
érintés-, túlfeszültség védelem, kábelezés biztonsága,
építészeti megoldások, üres íróasztal politika betartása,
…)

Működési folyamatok vizsgálata
Vizsgálat módja: interjú az érintettekkel
 Néhány terület: rendszerek beszerzése, üzembe
helyezése, karbantartás, rendszerfejlesztés,
változáskezelés, jogosultságkezelés, mentési rend,
naplózás, hibakezelés, feladat és felelősségi körök,
képzettség, gyakorlat, tudatosság, fluktuáció, üzleti
folyamatok zártsága, …

Értékelés módja
Eltérés mértéke az „iparági helyes gyakorlat”-tól
 Források: Best practise gyűjtemények
 ISO 27002
 CobiT
 ITIL

Néhány hasznos eszköz


Beállítások legyűjtése
 cfg2html
 openeyet-scc
Vulnerability scanner
 Nmap
 Nessus
 Internet Security Scanner
 eEye Retina Scanner
 Nikto, WebScarab
 Core Impact (auto.pen.test)
 McAfee Vulnerability
Manager
Hálózati forgalom analízis
 tcpdump
 Ethereal
 ettercap
 Hardening level, patch level
 mbsa (Microsoft Baseline
Security Analiser)
 Microsoft Exchange Server Best
Practices Analyzer
 jass (Jumpstart Architecture
and Security Scripts)
 Bastille-linux, Security
Enhanced Linux, GR Security

Sebezhetőségvizsgálat – összefoglalás
Honnan indultunk?
 vagyonleltár, (utalás) a működési környezet
elemei(re)
 Mit végeztünk?
 megvizsgáltuk a működési környezet elemeit
információbiztonsági szempontból (3 megközelítési
mód)
 Mi a végeredmény?
 Releváns, valós, a működési környezet konkrét
elemeihez kötött fenyegető tényezők (fenyegetés +
sebezhetőség)

Kockázatelemzés
Célja: döntéstámogatás költséghatékony védelmi
intézkedések bevezetéséhez.
 Input: vagyonleltár (a cég modellje) + ezek
sebezhetőségei.
 Output: a vagyonelemek rendezett listája kockázati
kitettség szerinti sorrendben.
 Továbblépés: a legnagyobb kockázatú néhány(!)
vagyonelem kitettségének csökkentése védelmi
intézkedések tervezésével és bevezetésével.

Kockázat
A kockázat az a fogalom, ami kifejezi egy
vagyontárgyra vonatkozó lehetséges negatív
hatásokat.
 Más megfogalmazás szerint egy esemény
valószínűségének és következményének kombinációja.
 Formálisan: R=∑ptdt, minden tT, ahol R a kockázat, T
a veszélyforrások halmaza, pt egy adott veszélyforrás
bekövetkezési valószínűsége, dt a keletkező kár.

Common Criteria kockázati modell
értékelik
Tulajdonosok
csökkenteni akarják
alkalmaznak
Védelmi intézkedések
csökkentsék
Kockázat
Támadó
melyek növelik
felé nézve
okoz
Fenyegetések
visszaél és/vagy megrongál
felé nézve
Vagyontárgyak
Kvantitatív kockázatbecslés
A kvantitatív módszer az Amerikai Szabványügyi
Hivatal által kiadott publikációban (FIPDPUB65)
meghatározott képlettel számolható:
 (Asset Value x Exposure Factor = Single Loss
Expectancy) x Annualized Rate of Occurrence =
Annualized Loss Expectancy
 Vagyontárgy
értéke (Asset Value): a becsült
forintosított érték.
 Kitettségi
mutató
(Exposure
Factor):
A
vagyontárgyban
keletkezett
kár
vagy
hatás
nagyságának mértéke.

Kvantitatív kockázatbecslés
Egyszeri várható veszteség (Single Loss Expectancy):
Egy kockázat egyszeri bekövetkezésekor várható
veszteség mértéke.
 Éves bekövetkezés mutató (Annualized Rate of
Occurence):
A
kockázat
bekövetkezésének
valószínűsége éves szinten.
 Várható éves kár (Annualized Loss Expectancy): egy
kockázat által okozható veszteség éves szinten.
 Az
SLE értékének és a sikeres támadás
bekövetkezésének évre számolt valószínűségéből
határozható meg a vagyontárggyal kapcsolatosan egy
fenyegetésre jellemző várható éves kár .

Kvantitatív kockázatbecslés





Mennyi az ALE értéke annak, hogy leég a
telephelyünk?
Legyen a telephely értéke (Asset Value) 100 millió
forint, a kitettségi mutató (Exposure Factor) 50%, az
éves bekövetkezési mutató (Annualized Rate of
Occurrence) pedig 1/25 (25 évente egyszer)!
(100m HUF x 0,5) x 1/25 = 2m HUF
A tűzre jellemző várható éves kár tehát 2m forint.
Ez azt jelenti, hogy ennél többet nem érdemes évente
tűzvédelemre elkölteni, hiszen nem érdemes a várható
kárnál többet költeni védekezésre.
Kvalitatív kockázatbecslés
Az Ausztrál Szabványügyi Hivatal által kiadott
AS4360 számú – a kockázatkezelésről szóló –
dokumentumban foglalt kvalitatív módszer szerint:
 A kockázat mértéke szintén az elszenvedhető kár
mértékével és a bekövetkezés gyakoriságával arányos.
 Mind a vagyontárgy értéke, mind a bekövetkezés
gyakorisága, mind pedig a kockázat mértéke egy-egy
kvalitatív skála segítségével adható meg.
 A három érték közötti összefüggést egy táblázat, az ún.
kitettségi, vagy kockázati mátrix adja meg.

Módszerek
Hazard and Operability Studies (HAZOP): Több, mint 30 éves
brit ajánlás, mely elsősorban az iparban használatos, feladata a
lehetséges veszélyek és működési problémák felderítése.
 Failure Mode and Effects Analysis (FMEA): 1949-ben vezette be
az USA hadserege, azóta használatos pl. az űrkutatásban és az
autógyártásban. Egy rendszer fő hibaforrásainak azonosítására
használható.
 Health Risk Assessment (HRA): Az egészségügyi kockázatok
felmérésére használható módszertan.
 Event-tree Analysis (ETA): Bináris logikán alapuló módszer,
melyben egy esemény vagy megtörténik, vagy nem. Egy nem
kívánt esemény következményeinek felmérésnél használható.

Fault Tree Analysis (FTA)
A modellben a logikai fa gyökere egy nem kívánt
esemény bekövetkezése (fenyegetés).
 Ebbe a gyökérbe (csúcseseménybe) vezet minden
olyan elemi esemény, ami a csúcsesemény
bekövetkezéséhez vezethet.
 Az elemi események bekövetkezési valószínűségéről
rendelkezünk valamilyen információval.
 Az események közötti kapcsolatot logikai kapukkal
szimbolizáljuk (pl. ÉS, VAGY, NEM).

Fault Tree Analysis (FTA)
Vírussal fertőződök meg a számítógép
1-((1-1/100000)*(1-1/1000)*(1-1/20))=0,051
1/100000
1/100
Nincs
bekapcsolva a
heurisztikus
keresés
1/20
1/1000
1/1000
Célzott
támadás
a cég
ellen
1/10
Nincs
beállítva a
tűzfal
1/100
0-Day
támadás az
oprendszer
ellen
1/10
Nincs
bekapcsolva
a vírusirtó
1/2
Fertőzött email érkezik
Bekövetkezési gyakoriság
Kvalitatív módszer esetén példa kár gyakoriság táblázatra:
5 Sikeres támadás hetente előfordulhat, akár többször
is
4 Sikeres támadás havonta egyszer előfordulhat
3 Sikeres támadás évente egyszer előfordulhat
2 Sikeres támadás ötévente egyszer fordulhat elő
1 Sikeres támadás csak rendkívüli vagy vis major
esetben fordulhat elő
Kárkövetkezmény
5
4
3
2
Az üzletmenet teljes leállása, a cég csődje, haláleset
Az üzletmenet ideiglenes fennakadása
Fennakadás bizonyos munkafolyamatokban
Jelentős kár, mely nem jár a munkafolyamat
megszakadásával
1 Elhanyagolható kár
Példa kitettségi skálára
Példa kockázati szint táblázatra:
Kr
Óriási kockázat, azonnali, haladéktalan beavatkozást igényel,
középtávon is megnyugtató megoldást kell találni a kockázat
kezelésére.
Ma
Nagy kockázat, ideiglenes védelmi intézkedés szükséges,
amíg a rövidtávú védelmi intézkedés el nem készül.
Mé
Jelentős kockázat, rövidtávú intézkedés szükséges, és
folyamatos monitorozás, annak érdekében, hogy a nagy kockázat
irányába történő elmozdulás a lehető legrövidebb idő alatt
azonosítható legyen
Al
Kicsi kockázat, azonnali és rövidtávú védelmi intézkedést
nem kíván, de folyamatos monitorozása szükséges, annak
érdekében, hogy a nagyobb kockázatok irányába történő
elmozdulás felismerhető legyen
Kockázati mátrix
A kockázati mátrix az információs vagyontárgytól
független módon kapcsolatot létesít a kárérték, a kár
gyakoriság és kockázati szint között.
 E táblázat előnye, hogy mód van különbséget tenni a
nagy valószínűségű, de kis kárt okozó illetve a kis
valószínűségű, de nagy kárt okozó fenyegetések
között, míg kvantitatív módszer használata esetén ez a
matematikai művelet miatt a végeredményből nem
megállapítható.

Kockázati mátrix – példa
Kárkövetkezmény
Gyakoriság
Al – Alacsony
Mé – Mérsékelt
Ma – Magas
Kr – Kritikus
1
2
3
4
5
5
Mé
Ma
Kr
Kr
Kr
4
Mé
Mé
Ma
Kr
Kr
3
Al
Mé
Ma
Kr
Kr
2
Al
Al
Mé
Ma
Kr
1
Al
Al
Mé
Ma
Kr
Bekövetkezés gyakoriságának
meghatározása
Célja: a kockázatok számításához két input kell: az
érték (az adatvagyon felméréséből) és a bekövetkezési
gyakoriság
 Feladat: a konkrét sebezhetőség-objektum párokhoz
bekövetkezési gyakoriságot rendelni (objektumonként
eltérő lehet!!!)
 Módja: Expert judgement (von Bauch-féle
approximáció )

Módszer
Alapadatok
 statisztikai adatok
 személyes tapasztalatok
 józan ész
 Értékelés
 működő védelmi intézkedések, kontrollok
figyelembevételével
 a védelmi intézkedések hatékonyságának
értékelésével
 Nem kell abszolút pontosság, csak a relatív értékek
következetessége számít

Hasznos szempontok











Hozzáférők száma
Szükséges szaktudás mértéke
Speciális szakismeret szükségessége
Fizikai jelenlét szükségessége
Speciális eszköz szükségessége
Kivitelezés költsége
Automatizálhatóság
Lelepleződés valószínűsége (észlelhetőség)
Rendelkezésre álló/szükséges idő
Okozható kár mértéke
…
Ökölszabályok
Műszaki hiba, természeti katasztrófa
 statisztikai adatok (pl.: bűnügyi, biztosítási)
 kialakítás specialitásai
 Emberi tevékenység
 gondatlan, vétlen károkozás
hozzáférők száma
 szándékos károkozás
szükséges szaktudás
okozható kár mértéke
 Internetes támadások
 Ált. a legmagasabb gyakoriságosztály
 Zónázás!!!




Végeredmény
A sérülékenységekhez CIA kategóriát kell rendelni
 Az információs vagyonelemek mely biztonsági
kritériumait veszélyezteti
 Az objektum-sérülékenység párokhoz gyakoriság
értéket kell rendelni
 Adott sérülékenységre eltérő lehet objektumonként

Kitettség számítása
Feladat: a kár- és gyakoriságértékek alapján minden
vagyonelemre meg kell határozni a kitettséget
 Módja:
 minden egyes vagyonelemre (célszerűen
adathordozóra) összegyűjteni a vonatkozó
sérülékenységeket
 kiszámítani az összevont bekövetkezési
gyakoriságot
 a kitettségi mátrix segítségével meghatározni a
kockázatot
 Módszer: FTA (Fault Tree Analysis)

FTA kiértékelése
Módszer:
 Maximum képzés a kárértékekre CIA kategóriánként
 Végeredmény
 Az adott vagyonelemet veszélyeztető tényezők
bekövetkezésének összevont gyakorisága a
 bizalmasság

sértetlenség
rendelkezésre állás
sérülésére vetítve.
Továbblépés: kockázati szint meghatározása a kitettségi mátrix
alapján



A szűkített modell
Információ
Sértetlenség kár
tartalmaz
Adattároló
kezeli
használ
Folyamat
használ
Alkalmazás
Szervezeti egység
telepített
megtalálható
Szerver
üzemelteti
érték ´ gyakoriság = kockázat
Sebezhetőség vizsgálat
megtalálható
Adathordozó
Rendelkezés kár
Vagyonleltár,
kárérték meghatározás
Bizalmasság kár
Sebezhetőségvizsgálat
Alkalmazás
Sebezhetőségvizsgálat
Bizalmasság kár
Sértetlenség kár
Információ
Adathordozó
tartalmaz
megtalálható
használ
kezeli
Adattároló
Technológia
Rendelkezés kár
használ
Alkalmazás
Szervezeti egység
telepített
megtalálható
Környezet
üzemelteti
Szerver
Humán
Sebezhetőségek
Sebezhetőségek
Sebezhetőségek
Gyak
Sebezhetőségek
Bekövetkezési
gyakoriság
meghatározása
Gyak
Sebezhetőségek
Folyamat
Gyak
Sebezhetőségek
Kitettségértékek származtatása
Gyak
Sebezhetőségek
3. fault tree analízis
B/S/R
B/S/R
Szerver
Alkalmazás
Gyak.
Adattároló
Szervezeti egység
Gyak.
Bizalmasság kár
Információ Gyak.
Rendelkezés kár
Folyamat Gyak.
B/S/R
B/S/R
Gyak.
Gyak.
Bizalmasság kár
Sértetlenség kár
Rendelkezés kár
Adathordozó
Gyak.
4. kockázatok meghatározása
B/S/R

Gyak.
= kockázat

















backdoor, trójai faló
jogosultsági rendszer megkerülése
rosszul tervezett jogosultsági/biztonsági rendszer miatt
visszaélés
nem felel meg a jogszabályi feltételeknek
támadó szoftver használata, speciális kártékony kódok
általános kártékony kódok, vírus- és féregtámadás
konfigurációs hiányosság kihasználása
tervezési problémák kihasználása (lehallgatás,
csomagbeillesztés, alkalmazás inkompatibilitás, stb.)
lopás
roncsolás, rongálás
közveszéllyel fenyegetés
közveszély okozás
social engineering, túlzott bizalommal visszaélés
zsarolás
szándékos károkozás (csalás)
véletlen károkozás, képzetlenség, fáradtság
harmadik személy hozzáférése (kihelyezés)
Alkalmazás
Támadás IT erőforrásokon keresztül
(FTA példa)
Adat
Technológia
Környezeti
infrastruktúra
Humán
erőforrások
FTA példa adott vagyonelemre
Végeredmény
vagyonelem-kitettség párok
 sorba rendezhető – priorizál
 az okok visszakereshetők – intézkedések lehet tervezni
 Számít, hogy mik voltak a konkrét gyakoriságértékek
(definíciói)?

Eredmény értékelése

Milyen eredményeket kaptunk?
 Egy csomó minden amire számítottunk


Néhány dolog, amire nem gondoltunk, de végig
gondolva indokoltnak tűnik


Várható volt, kezelni kell…
Ezek miatt volt az egész cécó…
Néhány váratlan eredmény, ami nem tűnik
indokoltnak

Lehet, hogy nem volt jó a modell…
Döntési pontok (ISO 27001):
Módszertan (pl.: kárértékskála, gyakoriságskála,
kitettségi mátrix)
 Még elfogadható kockázat szintjének kijelölése
 Magasabb kockázatok kezelése
 Javaslatok kidolgozása
 Megvalósítás kiválasztás
 Maradvány kockázat dokumentált felvállalása

Kockázatkezelési módszerek
A kockázat figyelmen kívül hagyása
 Az előfordulás valószínűségének csökkentése
 Kockázat következményeinek csökkentése
 Kockázat áthárítása harmadik félre
 Kockázat felvállalása

Megvalósítás
Legnagyobb kockázatot jelentő vagyonelemek
kiválasztása
 Kockázatkezelés módjának kiválasztása
 Célzott védelmi intézkedések tervezése
 Védelmi intézkedések kiválasztása és
bevezetése

Védelmi intézkedések
A védelmi intézkedések három tulajdonsággal
rendelkezhetnek, emlékezzünk a PreDeCo elvre!
 És három típusát különböztetjük meg:
 Fizikai: a klasszikus biztonságtechnika (később
részletesen tárgyaljuk)
 Logikai: az informatikai biztonság (ezt pedig
különösen részletesen fogjuk tárgyalni)
 Adminisztratív: az írásos utasítások összessége,
több szinten.

Adminisztratív védelmi intézkedések
Szabályzat
Szabvány
Alapbeállítások
Eljárások
Útmutatók
Adminisztratív védelmi intézkedések
Szabályzat (Policy): Tartalmazza a vezetőség
jóváhagyását, a célokat, a mértékeket és a
felelősségeket. Magasszintű leírás az
információvédelmi filozófiáról. Technológia- és
megoldásfüggetlen leírás.
 Szabványok (Standards): Kötelező tevékenységek,
szabályok vagy szabályozások a szabályzatok
támogatására. Univerzálisan használatos szabályokat
fektet le.
 Alapbeállítások (Baselines): A biztonsági megoldások
megvalósításának kötelező leírásai. Biztosítja az
egyenszilárdságú védelmet a szervezetben.

Adminisztratív védelmi intézkedések
Eljárások (Procedures): Kimondják, hogy hogyan kell
lépésről végrehajtani a működési környezetben a
szabályzatokat, szabványokat és alapbeállításokat.
 Útmutatók (Guidelines): Olyan általános leírások,
melyek a szabályzatok azon céljainak
megvalósításához adnak keretrendszert, melyeket az
eljárások nem fednek le. Nem kötelező, hanem
szabadon választható ajánlásokat tartalmaz.

Adminisztratív védelmi intézkedések





Politika: Az információ tulajdonosának gondoskodnia kell az
információk sértetlenségéről.
Szabvány: Az információ tulajdonosának vírusirtó szoftvert kell
alkalmaznia az információ sértetlenségének biztosítása
érdekében.
Alapbeállítás: Minden számítógépen fel kell telepíteni az X
víruskereső szoftvert, aminek folyamatosan frissíteni kell az
adatbázisát.
Eljárás: Kattints az install.exe fájlra, kattints a Next gombra… A
Beállítások menüben kattints rá a Napi frissítés gombra.
Útmutató: Az alkalmazottaknak évente olyan tanfolyamokon
szükséges részt venniük, melyeken megismerik a vírusok okozta
veszélyeket, és azok kivédésének technikáit.
Hasznos linkek






http://vulncat.fortifysoftware.com/
MeH ITB 8. sz. ajánlása http://www.itb.hu/ajanlasok/a8
http://www.bsi.bund.de/english/gshb/manual/download/threatcatalogue.pdf
http://www.bsi.bund.de/english/gshb/manual/download/safegua
rd-catalogue.pdf
Szabó Géza: Bevezetés a hibafaanalízisbe.
http://www.kka.bme.hu/~szabo-g/lib/hibafa/hibafa.htm
Biztostű.hu.
http://www.biztostu.hu/mod/resource/view.php?id=121
Összefoglalás
Információ
Vagyontárgy
Fenyegetés
Sérülékenység
Kockázat
Védelmi intézkedések
Sorszám
Fenyegetés
megnevezése
Bekövetkezés
valószínűsége
Bizalmassági
kár
Sértetlenségi
kár
Rendelkez
ésre állási
kár
Kockázat
1.
Vírusfertőzés
(backdoort
nyitó trójai)
3 (Évente 1x)
5 (Csőd)
2 (Jelentős
kár)
3
(Fennakadás)
Kritikus
A témához tartozó kérdések





Az első előadás után azonosított védendő információk
milyen vagyontárgyakon keresztül érhetők el?
Azonosítson ezekhez a vagyontárgyakhoz min. 1, max.
3 fenyegetést, és minden fenyegetéshez min. 1, max. 3
sérülékenységet!
Határozza meg a fenyegetéshez tartozó kockázati
szintet!
Milyen védelmi intézkedéssel csökkentené a
kockázatot (fizikai, logikai, adminisztratív és
preventív, detektív, korrektív)?
A kérdésekre indoklással legalább kétoldalas választ
várunk!
Köszönöm szépen!
[email protected]
Az előadás letölthető:
www.krasznay.hu/presentation/elte_02.pdf