A védelem és a biztonság fogalmának meghatározása

tárgyaljunk, tisztáznunk kell a védelemnek és a biztonságnak – mint legszélesebb osztálynak – a fogalmát és tartalmát. A legszélesebb osztály a mi esetünkben a védelem és a biztonság fogalma. A védelem – a magyar nyelvben – tevékenység, illetve tevékenységek sorozata, amely arra irányul, hogy megteremtse, fejlessze, vagy szinten tartsa azt az állapot, amit biztonságnak nevezünk. Tehát a védelem tevékenység, amíg a biztonság egy állapot. Az

(amerikai) angol nem tesz különbséget a biztonság és a védelem között, általában mindkettőre a security² szót használja³.

A biztonság értelmét, tartalmát sokan sokféleképpen magyarázzák. Azt hiszem, hogy

„A biztonság olyan kedvező állapot, amelynek megváltozása nem valószínű, de nem is zárható ki ...” [34] megfogalmazás értelmetlensége magyarázatot nem igényel. A Magyar Értelmező Kéziszótár szerint „a biztonság veszélytől, vagy bántódástól mentes, zavartalan állapot” [79].

Ezt a megfogalmazást is elég nehéz tudományos és műszaki szemlélettel elfogadni, mert zavartalan állapot – mint tudjuk – nem létezik, másrészt nem a zavar teljes hiánya, hanem valamilyen még elviselhető mértéke és bekövetkezésének gyakorisága az, ami már valamilyen szinten biztonságnak tekinthető.

Elfogadva, hogy a biztonság egy kedvező állapot, amellyel szemben elvárható, hogy a fenyegetések bekövetkezésének lehetősége, valamint az esetlegesen bekövetkező fenyegetés által okozott kár a lehető legkisebb legyen. Ahhoz azonban, hogy teljes legyen ez a biztonság az szükséges, hogy minden valós fenyegetésre valamilyen védelmet nyújtson, ugyanakkor körkörös legyen, vagyis minden támadható ponton biztosítson valamilyen akadályt a támadó számára. Mindezek mellett elvárható, hogy folyamatosan létezzen. [85]

A biztonság, mint állapot magyar nyelvű értelmezését több mint tíz éve az Informatikai Rendszerek Biztonsági Követelményei című MeH ITB⁴ 12. számú ajánlás [82] készítése során alkottuk meg Bodlaki Ákos kollégámmal, majd ezt Az informatikai biztonság kézikönyve című műben [85] tovább finomítottam. A fentiek alapján a kritikus infrastruktúrák és kritikus információs infrastruktúrák, az informatika és a kommunikáció területén folytatott kutatásaim során a védelmet és biztonságot a következőképpen értelmezem:

A védelem a biztonság megteremtésére, szinten tartására, fejlesztésére irányuló tevékenység.

2 A biztonságra a safety szót is használja környezet-, munka- és egészségvédelmi dimenzióban.

3 A protection ugyan védelmet jelent, de azt ritkán (például data protection – a személyes adatok védelme) használja a szakirodalom.

4 Miniszterelnöki Hivatal Informatikai Tárcaközi Bizottság

A biztonság a rendszer olyan – az érintett⁵ számára kielégítő mértékű – állapota, amelyben zárt, teljes körű, folytonos és a kockázatokkal arányos védelem valósul meg.

Ahol a zárt védelem az összes releváns fenyegetést figyelembe vevő védelmet, a teljes körű védelem pedig a rendszer valamennyi elemére kiterjedő védelmi intézkedések összességét jelenti. A folytonos védelem az időben változó körülmények és viszonyok ellenére is megszakítás nélkül valósul meg. A kockázattal arányos védelem esetén egy kellően nagy időintervallumban a védelem költségei arányosak a potenciális kárértékkel, azaz a védelemre akkora összeget és olymódon fordítanak, hogy ezzel a kockázat az érintett számára még elviselhető, vagy annál kisebb.

A kockázat szó a köznyelvben nagyon elterjedt, de fogalmának leírására, a felhasználási területtől és a kiválasztott módszertől függően, feldolgozhatatlan mennyiségű leírása létezik.

A kockázat, a kockázatelemzés kérdéseire itt nincs lehetőség kitérni, de a problémának a szakterületre vonatkozó elemzését tartalmazzák többek között a [26] és [25] munkák, ahol a kritikus infrastruktúrák védelmének megközelítésében (is) tárgyalják a szerzők a biztonsági szakterületen a kockázatelemzés kérdéseit, problémáját. Bukovics I. –Vavrik A. többek között megállapítja, hogy „A nemkívánt esemény – egy blackout – egy kritikus esemény mindig egyedi, egyszeri, azonos körülmények között meg nem ismételhető, nem stochasztikus, bár lehet tömegjelenség (de nem véletlen tömegjelenség) is. Ezért tehát kívül esik a valószínűségszámítás érvényességi körén. A valószínűségi kockázatelemzés körén is. … "Egy egyszeri véletlen eseménnyel kapcsolatban a tudomány nem tehet többet, mint hogy megállapítja annak véletlen jellegét." [93] … A tudomány nem tagadhatja, és nem ignorálhatja, hogy az egyszeri eseménynek is lehet kockázata …” [25].

Ezen megállapítások a kockázatelemzés kérdéseinek megközelítését nem könnyítik meg, de ugyanakkor rávilágítanak arra, hogy érdemes mindig a feladat céljának megfelelő definíciót választani. A kockázatot sokan sokféleképpen definiálják, a különböző sztochasztikus és determinisztikus kockázati modellek nagyon komoly matematikai alapokon nyugszanak, azonban többszörösen összetett rendszerek esetében ezek a modellek a gyakorlatban nehezen használhatók.

5 Az érintett alatt a védelem nem kielégítő megvalósítását elszenvedő, a védelmet előíró, továbbá a védelemért felelős személyek és szervezetek együttese értendő. (Eredetileg a [82]-ben, majd a [85]-ban a játékelméleti definícióból származó védő kifejezés szerepelt.)

Még 1995-ben a MeH ITB megrendelésére, a CRAMM⁶ módszertanon alapuló MeH ITB 8. számú ajánlása [83] segítségével végzett kockázatelemzések során – a CRAMM módszertannal összhangban – Marx György akadémikus következő definíciójából [81]

indultunk ki. „A kockázat (rizikó, riszk – mint reszkíroz) matematikai értelmezése a következő:

R = W × K, (1)

ahol W a bekövetkezés valószínűsége, K pedig a következmény súlyossága.” Ebből származik az Informatikai Rendszerek Biztonsági Követelményei című MeH ITB ajánlásban [82] leírt meghatározás

( )

∑

×

=

T

t

p

d

r

ahol: r: a rendszer biztonsági kockázata [pl.: Ft/év], T: a releváns fenyegetések halmaza,

pt: egy adott fenyegetés bekövetkezésének valószínűsége [pl.: 1/év], dt: egy adott fenyegetés bekövetkezéséből származó kár [pl.: Ft].

A fenti meghatározást nem csak egyszerűsége és átláthatósága végett fogadtuk el, hanem azért is, mert a biztonság definiálása során elfogadott kiindulóponttal⁷ is összhangban van, továbbá – a sztochasztikus vagy a determinisztikus kockázati modellekhez viszonyított – pontatlansága ellenére a kvalitatív kockázatelemzéseknél⁸ a gyakorlatban felhasználható.

1.1.3. AZ INFOKOMMUNIKÁCIÓ ÉS AZ INFOKOMMUNIKÁCIÓS BIZTONSÁG