"Információvédelem Menedzselése” – EUROASTRA

Az egyesület 2016. januári "Információvédelem menedzselése" c. szakmai fórumát Gasparetz András elnök nyitotta meg, aki szólt az információvédelem területének aktualitásairól, az IT összeomlásának „apokaliptikus" lehetőségét is felvetve.

A legrosszabb forgatókönyv esetén a naponta használt információk elérhetetlenné válnak, a net teljeskörű leállása is elképzelhető. A közelmúlt ebből ízelítőt adott, amikor az elsődleges szervereket érte DDoS támadás. (Distributed Denial of Service, DDoS) A 16 szerverből 2-3 meg is sérült, szolgáltatás kiesésre került sor. Amerikai szakíró szerint; létrejöhet a „gépek lázadása" is az IoT (Internet of Thing) világában, pl. saját riasztórendszerünk nem enged be a lakásunkba…

http://www.ihd.hu/pages/dns.html

http://www.szabilinux.hu/dns

https://hu.wikipedia.org/wiki/Szolgáltatásmegtagadással_járó_támadás

http://www.antivirushaz.hu/mi-fan-terem-egy-dos-tamadas

Megújult az egyesület honlapja (www.hetpecset.hu ), a kereshető hírfigyelés, pénzügyi téren pedig erősödött a szervezet önállósága.

A biometrikus azonosítással az Óbudai Egyetem Alkalmazott Biometria Intézet munkatársai, Otti Csaba vezető kutató, Martinkovics Dániel kutató és az előadást tartó Fehér András igazgató, valamint Kapitány Sándor vezető kutató foglalkozik. Az Intézet 2011 óta működik az Egyetem kebelében.

Elhangzott, a biometria a polgári életben még nem igen találta meg helyét. Magával a biometrikus rendszerekkel kapcsolatos ismeretek is kevéssé elterjedtek, pedig aktualitásuk növekszik. Fizikai és matematikai oldaluk megismerhető, így felhasználási módjuk is fellelhető.

A sérülékenység és a hamis biztonság-érzet az Intézet vizsgálódásának tárgya. Sérülékenységeket vizsgálnak, rendszereket és eszközöket tesztelnek valós körülmények között, hogy felmérjék, mi az amit a gyártó által megadott specifikációból valóban képesek teljesíteni. A kiinduló gondolat; a sérülékenység nem más, mint az a kockázat, ami hamis biztonságérzet esetében többszörösre nő.

A megoldás: egyrészt olyan független szakértők bevonása egy-egy döntéshelyzet, vagy döntés-előkészítési helyzet esetén, akik objektíven meg tudják vizsgálni, hogy mi az adott célnak megfelelő helyes megoldás,

másrészt a MOA (mission oriented application) eljárás alkalmazása; ami szerint ki lehet jelenteni, hogy minden egyes, biometriát is tartalmazó rendszer csak adott környezetben, adott célnak megfelelően fog megfelelően működni. Ez azt jelenti, hogy nagy, általános érvényű megoldások ebben a szakmában sem működnek.

http://www.pecshor.hu/periodika/XIII/kovacsti.pdf

Négy évvel ezelőtt az ujjnyomat (ujjlenyomat) azonosítás volt az intézet elsődleges témája. Ennek már akkor ismertek voltak a saját technológiai működéséből adódó sérülékenységei, az ujjnyomat-kép adta információk könnyen el is tulajdoníthatók. Az Egyesült Államokban négy évvel ezelőtt több millió kormányzati tisztségviselő adatát lopták el, valószínűleg képi információ formájában, közöttük lehettek ezek az ujjlenyomat-képek is. Három éve a kéz-erezet azonosítás volt a téma a sérülékenységek vizsgálatakor. Körvonalazódott, egy dolog, hogy egy eszköz (egy szenzor, vagy a mögé épített rendszer) mit tud, de ha egy biztonsági funkciót nem implementálnak, vagy csak egyszerűen nem aktiválják egy igen jó képességű eszközön, akkor minden képesség felejthető. Két évvel ezelőtt az arc-azonosító rendszerek voltak soron, technológiai sérülékenységük sorra-vételével. Az eszköz azonosítási anyagából képi információkat lehetett (nem kívánatos módon) kinyerni. Az eszköz nem publikus információkat rögzített „funkcióként". Bizonyos távol-keleti gyártók meghatározott eszközei is éltek ilyen megoldásokkal…

2014-ben az írisz-azonosítás, és annak eszközei voltak napirenden. A valóság és a tesztek közötti eltérés érdekes tanulságokkal szolgált, (gyártói hirdetések és a valódi képességek), különös tekintettel az EU-ban alkalmazott fogyasztási ciklusok mérési eljárásaira és a valóság viszonyára (VW ügy). Minden szakmában megvannak az iparági ismeretek a veszélyekről és azokról a megoldásokról, amelyek mentén a veszélyeket el lehetne kerülni, de különböző okokból mégis kockáztatnak mindaddig, amíg olyan incidens be nem következik, ami tisztulást nem eredményez. biztonság-tudománynak most az az általános feladata, hogy ne követő magatartást tanúsítson, hanem igyekezzen az események elé menni, legyen szó IT biztonságról, fizikai biztonságról, vagy bármi egyéb biztonsági felállásról.

Kevésbé ismert módszer a legújabb feladat, a kéz-geometria azonosítás. A kéz térbeli alakzata egyedi jellemzőket hordoz, amelyek alapján azonosítani lehet. A szakirodalom az emberi kéznek (geometriájának) legalább 35 paraméterét tudja elkülöníteni, amelyek alapján egyedi azonosítás végezhető. A jelenleg piacon ilyen technológiával működő eszközök kizárólag „egy-az-egy" azonítást képesek végezni, azaz először be kell adnom biometrikus tulajdonságaimat, azonosítani kell magamat, hogy én ki vagyok, utána az eszköz csak jóváhagyja, hogy valóban velem találkozott éppen. A fent ismertetett módszerekkel együtt ez piaci szempontból lehet szerencse (rögtön két-faktoros az azonosítás), de hátrányként is felfogható, mert több törődést, együttműködést igényel a felhasználás részéről. Az idevágó azonosítás az infravörös fény tartományában működik, ebben készít egy képet az eszköz, a képből előállít egy kódot, amit egy korábbi kóddal hasonlít össze, s ennek alapján hoz döntést. Az összes biometrikus technológia ugyanezen elven alapul. A biztonság lényege; hiába van meg a képi információ, soha nem képet hasonlít össze képpel, hanem kódot kóddal. Tehát kódot, és nem képet tárol (alapvetően…), nem is beszélve arról az esetről, amikor nem kép-, hanem hang-azonosítás történik. Ez az oka, hogy ebből a kódból maga a képi információ nem állítható vissza.

Felépítését tekintve, egy biometrikus rendszerben van egyfajta azonosító, (ujjnyomat, arc, stb.), s ennek szüksége van valamilyen kommunikációra a vezérlő egységgel. A vezérlő egységnek nagyon sokféle funkciója lehet; csak információt szolgáltat, de vezérelhet valamilyen ajtót pl., vagy valamilyen akadályt. Szinte minden rendszer mögött megtalálható valamilyen IT háttér, azaz valamilyen szoftveres megoldás, hálózattal. A szoftver mögött pedig adatbázis helyezkedik el.

Az Intézet ma az ilyen rendszerek vizsgálatánál szemügyre veszi magát a (kézgeometriai) technológiát, az identitás kezelési lehetőségeit, sőt a kapcsolódó adatbázis vonatkozásait is. Az alapvető kérdések:

Átléphető-e a biometria határa; vagyis az eljárás ne egy kártyát, valamilyen tudást azonosítson, hanem valamilyen személyt, élőlényt. Az utóbbi eljárásnál a korábbiak hátránya kiküszöbölhető (levágott új, kivett szem, stb.), mindig magát a tulajdonost azonosítjuk, akinek a vizsgált tulajdonsága fennáll. Ettől tekinthető az eljárás kiemelkedő biztonságúnak.

Ellopható-e az identitás? Amennyiben nem lehet ellopni, vagy lemásolni, akkor nem. Kártyás azonosításnál a kártya és a kártya-olvasó között jól meghatározott, minden egyes alkalommal bitre pontosan egyező kommunikáció folyik. Pinkód bevitelkor mindig ugyanazt a kódot ütöm be. Biometriánál ez nem ennyire egyértelmű, éppen az egyedi izonytalanságokból adódóan, a biometria mindig egyfajta valószínűségi alapon működik; amennyiben megfelelő mennyiségű azonosítási pontot sikerül találni, megfelelő szinten egyezik, akkor elfogadja.

Az Intézetben a megoldások tesztelése közben megpróbálták megtalálni azt a pontot, ahol át lehet lépni a biometria határát. Megpróbálták megkeresni azt a legamorfabb, a valóságtól leginkább elvonatkoztatott formát, technikát, eszközt, stb., amivel a biometriai (kézgeometriai) azonosítás átverhető. Sikerült egy olyan elméletileg kialakított, papírból kivágható kéz-szerű formát találni, amelynek behelyezésekor, feltűnés mentes regisztrálásakor az azonosító rendszer becsapható, így bárki beléptethető, a biometria határa meghaladható.

Ellopható-e az identitás? A fenti megoldásokkal, egyszerűen.

Kiiktatható-e az ellenőrzés? Egy szimpla, letölthető szoftver és az MS Access adatbázis elérésével a nevek, s a hozzájuk rendelt kódok felderíthetők, a templetek átírhatók.

Mindezek ellenére a biometrikus rendszerű eszközt, ill. a vonatkozó technológiát nem kell elvetni, mert rendkívül felhasználó-barát és a zavarokra nagy mértékben érzéketlen. Biztonságos, kétfaktoros azonosítást nyújt. Nagyszámú munkavállalót, nagy adatbázist tud kezelni, sérülékenységei ellenére jó megoldásnak tekinthető. (100%-os biztonsági rendszer nem létezik!) Alkalmazás előtt fel kell tenni a kérdést, mi az, amire a rendszert optimalizálni akarjuk? Mi az a biztonsági szint, amit el akarunk érni? Ennek során adódik a következő kérdés, mi az a maradék kockázat, amit vállalnunk kell? Ennek megválaszolásához viszont ismernünk kell az egyes rendszer-elemeknek és a rendszer összességének a valós biztonsági szintjét. Ennek ismeretében valósíthatunk meg egy biztonság-tudatosabb világot.

A biometrikus azonosítás tehát jó technológia, nem tudás-birtokot, hanem magát az egyént azonosítja, de nem mindenható, van sérülékenysége is. Ennek tudatában alkalmazva jó megoldást jelent, s a korábbiaknál messze magasabb biztonsági szintet nyújt. Az alkalmazott algoritmusok esetleges (rosszindulatú) visszafejtésével sem állítható vissza az eredeti kép, legfeljebb pontsorok halmaza, mivel a kódot magából a képből képezzük. Kártya, pin-kód és biometrikus azonosítás egyidejű alkalmazása esetén a biztonság tovább fokozható.

Móricz Pál, a Szenzor Gazdaságmérnöki Kft. (www.szenzor-gm.hu )ügyvezető igazgatója az ISO 9001:2015 szabvány-változások és az ISO/IEC 27001:2013-szerinti menedzsment rendszerek kérdéskörét taglalta előadásában. Sok cégnél integrált működésben mindkét rendszer megtalálható. Az elmúlt évben megújult az ISO 9001-es szabvány, amelyet

2015. szeptemberében adtak ki, a környezet-központú irányítási rendszerekről szóló szabvánnyal együtt. Ennek megfelelően, három év alatt minden szervezetnek át kell alakulni.

A szabványok alkalmazási területe (vevői, jogszabályi megfelelés, vevői elégedettség növelés), s az ehhez szükséges követelmények, és teljesítésük bizonyítása nem változott. A minőségirányítási rendszer továbbra is arról szól, mit tegyen egy cég annak érdekében, hogy a vevői és a jogszabályi követelményeknek egyaránt megfeleljen.

A főbb változások a szabvány struktúrájában és a fogalmakban találhatók. Megjelent egy egységes nemzetközi szabványstruktúra tervezet, ami szerint, ha már van menedzsment szabvány a minőséggel, a környezettel, a munkabiztonsággal, információ biztonsággal kapcsolatban, akkor ennek megfelelően kezelhetjük a belső auditot, a vezetői elkötelezettséget,

egy közös szabályozás szerint. Ezekhez a meggondolásokhoz alkalmazkodott az új szabvány is.

Új elemek jelentek meg az erőforrások között is, lényeges, hogy nem csak a vevői követelményeket kell figyelembe venni egy adott szervezetben, hanem a kockázatokat is. (Egy vezetésnek eddig is illett így dolgozni…) A 9001-es szabvány tovább erősítette a folyamat-szemléletű megközelítést, az outsource és a beszerzés témakörben a folyamatokat egységesen próbálja kezelni. A külső kommunikáció eddig nem jelent meg a 9001-esben, most ez is beleépült. Szélesítette és újraértelmezte a visszacsatolás és fejlesztés elemeit is.

A 27001-es rendszert építők számára jó hír, hogy az egységes új struktúra alkalmazkodott az információbiztonsági követelményekhez. Azaz, most már mindkét szabvány ugyanazt a struktúrát használja. Az új szabvány megszüntetett olyan formai követelményeket, amelyek a gyakorlatban túl költségesnek bizonyultak, mint pl. a Kézikönyvre vonatkozó előírásokat. Ez a továbbiakban nem kötelező, de ahol hasznos, ott érdemes megalkotni. Hasonló a helyzet a Szabályzattal is. Az azonban benne van az új szabványban is,, hogy ahol célszerű, a folyamatok szabályozására legyenek

Szabályzatok. Nem kötelező a minőségügyi vezetői pozíció, s nem kötelező az információbiztonsági vezető sem, de a szabvány elvárja, hogy

legyen olyan ember, aki kézben tartja a dolgokat és referál a vezetőknek a dolgok állásáról. Ez a pozíció akár ki is szervezhető, de akkor hatáskört is kell hozzá biztosítani… Már meglévő, de kevéssé alkalmazott új elem azon erőterek, kényszerek, környezetek azonosítása, amelyek befolyásolják működésünket. A 9001-esben ez most hangsúlyozottan jelenik meg; azonosítani kell az érdekelt felek elvárásait.

A vezetői szerepvállalás vonatkozásában a szabvány aláhúzza a vezető személyes részvételének jelentőségét.

Az új szabvány az értelmezést kiszélesítve hangsúlyozza; mindenről legyen visszacsatolás, ennek konkrét módját az alkalmazók körébe utalja. Ez nagyon nagy lehetőség, de nagyfelelősség is. A fejlesztési elem is szélesebb értelmezést kapott, ez korábban döntően a reaktív, helyesbítő, ill. némileg a megelőző tevékenységre vonatkozott, jelenlegi értelmezésben ez bármi lehet.

Új elem a külső, belső kommunikáció, a működési kérdésekre vonatkoztatva. Egy külön szabványpont, az A.15 együtt kezeli a beszerzési és az outsourcing tevékenységet a szállítói oldal biztonsági követelményeire. A két szabvány továbbra is összhangban van ezzel kapcsolatban. A 9001-esben hangsúlyozottabbá vált a változások (üzemeltetés, vagyonelemek) felügyelete, kezelése. Az erőforrások között megjelent a knowledge-nek, a szervezeti tudásnak a menedzsmentje. 27000-es rendszerben eddig is

kezeltünk ilyen tudásbázisokat, a 90001-es jó ötleteivel ez még kedvezőbben oldható meg.

Lényeges változást jelent a folyamat szemléletű megközelítés hangsúlyozottabb megjelenése. A konkrét követelmények az ISO 9001:2015 4.4-ben jelennek meg. Amennyiben világos számunkra, hogy honnan hova akarunk eljutni, mikor jó a kimenet és az erőforrás, akkor módszertant rendelünk hozzá, megvizsgáljuk a kockázatokat, és akkor jobb eséllyel érjük el a kívánt eredményt. Folyamatok esetén is hasznos ezt a módszert alkalmazni.

A 9001-es szabvány is kockázat alapú rendszer lett. A kockázat menedzsmentnek nagyon fontos szerepe van, a fontos döntéseket a kockázat alapján kell meghatározni. A 27000-es rendszerben van egy kiterjedt kockázat kezelés, ezt kéne integrálni a 9001-essel? A 9001-es kevesebbet ír a kockázatokról; tudni kell, hogy mi a kockázat, és akciókat kell indítani ezek elhárítására, ill. a kockázat fogalmát kiterjeszti a pozitív kockázatokra is, ezeket lehetőségeknek nevezi. Ezek a lehetőségek nagyon sok régi megelőző tevékenységet is lefednek, ahogy a kockázatra való reagálás is nagyon sok megelőző tevékenységet is lefed. A 9001-esben tehát nem kell olyan mélységbe elmenni, mint a 27000-esben, az auditor

megkérdezi, melyek a kockázatok, a megkérdezett elmondja, és arra is választ ad, milyen lépéseket tesz elhárításukra, ezzel az auditálás lezárható. Nem kötelező a kettőt összevetni, pedig a 27000-es elvár egyfajta logikát; azonosítani, elemezni és értékelni kell a kockázatokat, utána pedig válaszokat kell adni. Egy jó gyakorlat azonban a kettőt együtt alkalmazhatja,

lehet ugyanis olyan kockázati elem, amely egyszerre jelent információ-biztonsági kockázatot és érinti a vevői elégedettségi követelményeket is.

Bonyodalmat jelenthet, hogy a 27000-es rendszerben jelenleg a legtöbb kockázat felmérés a vagyonleltárhoz és vagyon elemekhez kapcsolódó kockázatokból indul, a 91000-eshez inkább a folyamat szemlélet és a folyamatokból való kiindulás kapcsolható. A kettő összhatása átgondolást igényel. Egy kockázat következménye, hatása információ biztonsági szempontból és vevői oldalról más-más lehet. Döntés kérdése, hogy a kétféle megközelítést egyben szeretnénk látni, vagy külön-külön. Amennyiben egyben szeretnénk látni, meg kell gondolni, hogyan tudjuk megoldani, hogy akit nem érdekel a többi, az csak a számára érdekeset lássa. Egy többszáz

soros táblázatot senki sem szeret olvasni pl. Mindenki csak azt lássa belőle, amit akar, ennek megoldása nem könnyű feladat. Arra azért törekedni kell, hogy egy cégen belül ne kényszerítsük a többféle logika szerinti gondolkodást, próbáljuk legalább a logikát egy nevezőre hozni.

A 91000-es szabvány két szinten emlegeti a kockázatokat, egyik a szervezeti kockázatok, a másik a folyamatok szintjén jelentkező kockázatok. Kérdés, hogy ezt a kettőt azonos szinten akarjuk-e kezelni. Lehet, hogy nem akarunk egy menedzsment folyamatot csak azért létrehozni, hogy arra is ugyanazt a formalitást alkalmazzuk, mint a többire. Próba döntheti el, hogy melyik a kedvező megoldás.

A szabvány elvárja a három éven belüli átállást. A régi tanúsítvány 2018.szeptember 15-ig érvényes. Amennyiben egy cégnél valamely közbülső évben van megújító audit, akkor a kiállított bizonyítvány a régi alapon számítva nem érhet túl a három éven, félidőben pedig (2017 március 15. után) a megújító auditot mindenképpen az új szabvány szerint kell csinálni.

Mint minden változás kezelésekor, itt is először fel kell mérni a rendszert, mi az, ami nem felelt meg, el kell dönteni, hogy formailag akarunk-e alkalmazkodni, vagy nem akarunk alkalmazkodni az új szabványhoz. Amennyiben a régi felállás megfelelő, akkor nem érdemes hozzányúlni. Döntés kérdése, hogy mekkora változtatást akarunk csinálni, arra kell törekedni, hogy ezek a menedzsment rendszerek ne tanúsításról és ne papírról szóljanak, hanem a munka támogatásáról.

Hargitai Zsolt a NetIQ, Novell and SUSE üzletfejlesztési igazgatója Identity Governance and Administration címmel tartotta előadását. Áttekintést adott az aktuális biztonsági trendekről, a projektek során szerzett tapasztalatokról, a következő évek várható fejleményeiről, különös tekintettel a jogosultságkezelésen alapuló biztonsági, nyilvántartási rendszerek kialakítására, azok előírásnak megfelelő kialakítása és a szorosan kapcsolódó IT biztonság szempontjából.

Alkalmazás biztonsági kérdésekről szólt az OWASP nemzetközi biztonságtechnikai alkalmazási szervezet képviseletében Khrotko Timur, Applikáció-fejlesztés biztonsági kihívásai napjainkban OWASP alapokon c. előadásában. Kifejtette; a szervezet- fejlesztés területén jól bevált megoldások alkalmazás-biztonsági felhasználása jó eredményeket ad a biztonság-biztosítás soha véget nem érő folyamatában.

https://en.wikipedia.org/wiki/OWASP

A fórumról szóló további információk, valamint az Egyesület életéről és az információbiztonsággal kapcsolatos érdekességek a Hétpecsét Egyesület LinkedIn oldalán érhetők el.

Harmat Lajos