2. Rendszerszervezés
2.4. Kockázat menedzsment
2.4.2. Informatikai biztonsági módszertani kézikönyv ITB ajánlás
Az alábbiakban közöljük az Informatikai Tárcaközi Bizottság (ITB) 8. sz. „Informatikai biztonsági módszertani kézikönyv” című ajánlás általunk legfontosabbnak ítélt részeit. Az ajánlás a http://www.itb.hu/ajanlasok/a8/
oldalon érhető el. Maga az ajánlás 1994-ben keletkezett, de mai napig érvényes útmutatásokat tartalmaz.
Az ajánlás nagy értéke, hogy felsorol nagyon sok kockázatot, amelyeket fenyegetettségnek nevez. A kockázat jelentése ebben a dokumentumban a fenyegetés valószínűségének és az általa okozott kárnak a szorzata.
Felsorol továbbá biztonsági intézkedéseket is. Megadja, hogy mely intézkedés mely fenyegetésre van hatással.
Az alábbi szemelvényben csak az adathordozókra vonatkozó fenyegetéseket és biztonsági intézkedéseket idézzük az ajánlásból.
Az ajánlás segít meghatározni az elviselhetetlen kockázatokat. Ez egy kereszttáblával történik, amelyben szerepelnek a gyakoriságok és a károk. Mindkét értéket nullától négyig (0-4) pontozhatunk, ahol a nagyobb szám a nagyobb gyakoriságra, illetve a nagyobb kockázatra utal. Az elviselhetetlen kockázat megadható például úgy, hogy a két szám összege pl. nagyobb egyenlő, mint öt.
2.4.2.1. Informatikai Biztonsági Koncepció (IBK)
Az ajánlás az Informatikai Biztonsági Koncepció (IBK) című dokumentum elkészítésére ad ajánlásokat. Az IKB tartalmazza:
1. az adott szervezet informatikai biztonságának követelményeit,
2. az informatikai biztonság megteremtése érdekében szükséges intézkedéseket, 3. ezek kölcsönhatásait és következményeit.
Az IKB főbb tartalmi összetevői:
1. a védelmi igény leírása (meglévő állapot, fenyegetettségek, fennálló kockázatok), 2. az intézkedések fő irányai (kockázat-menedzselés),
3. a feladatok és felelősségek megosztása (az intézkedések megvalósítása során), 4. időterv (megvalósítási ütemekre és az IBK felülvizsgálatára).
2.4.2.2. Az IBK kialakításának alapjai
Valamely informatika rendszer biztonságának vizsgálata során elsőként a meglévő, potenciálisan fenyegetett értékeket kell feltérképezni és újraértékelni. Ehhez meg kell határozni a felhasználó biztonsági követelményeit, amelyek teljesülése ahhoz szükséges, hogy lehetővé váljon az elhatározottaknak megfelelő rendeltetésszerű feldolgozás. Azután a következményeket kell feltárni, amelyek kialakulhatnak, ha ezek a követelmények (védelmi célok) az alapfenyegetettségeket illetően nem teljesülnek.
Emlékeztetésül felidézzük, hogy „alapfenyegetettség”-nek azon fenyegető tényezők hatásösszegét nevezzük,
5. illetve az informatikai rendszer működőképességét veszélyeztetik.
Mindazonáltal az értékek nem korlátozódnak az adott hardverekre és szoftverekre, amelyek pénzbeli értéke (ár) ismert. Nagyobb jelentőségűek azok az értékek, amelyeket az informatikai rendszer alkalmazása és a feldolgozandó információk képviselnek. Az informatika-alkalmazás és az információk értéke azzal határozható meg, ha elképzeljük, milyen utólagos következményekkel jár bizonyos események bekövetkezése - amelyeket egyébként fenyegető tényezőknek nevezünk. Ezeket a következményeket általában értékvesztésnek vagy kárnak tekintjük, s arra kell törekednünk, hogy ne következzenek be. Az értékek - és ezzel párhuzamosan a károk - a következő területeken jelentkezhetnek:
A fenyegető tényezők az informatikai rendszerelemekhez kapcsolódnak és azokon keresztül okozhatnak károkat, miután az informatika-alkalmazás függ a rendszerelemektől. Éppen ezért kell megvédeni a rendszerelemeket a fenyegető tényezők ellen. Valamennyi olyan rendszerelemet védeni kell, amelyektől az informatikai rendszer működése és valamilyen módon az alkalmazásai függnek, és amelyeket valamely fenyegető tényező negatív módon érinthet. Ehhez a következő meglévő rendszerelem-csoportokat kell áttekinteni: helyezhetnénk. Ide tartoznak például a szervezési szabályozások, amelyek csak akkor hatnak, ha végrehajtják azokat, vagy a biztonsági szoftver, amelyet nem ésszerűen helyeztek el, ha manipulálható, vagy megkerülhető.
A rendszerelemekhez rendelve egyedileg meg kell határozni a fenyegető tényezőket, amelyek a vizsgált környezetben egyáltalán felléphetnek. Miután nem védekezhetünk valamennyi fenyegető tényező ellen tökéletesen, meg kell ismerni a legfontosabb fenyegető tényezőket. Ehhez valamennyi feltárt fenyegető tényezőt értékelni kell. Az értékelés függ a kár bekövetkezésének várható valószínűségétől és a bekövetkezett kár nagyságától, amennyiben a fenyegető tényező kifejtheti hatását. Ebből a két részből tevődik össze a kockázat.
A bekövetkezés valószínűsége olyan eseményeknél, amelyeket emberek célzottan okoznak, a potenciális tettesek felkutatásával és azok számának megadásával becsülhető meg, akik a megfelelő lehetőségekkel és ismeretekkel rendelkeznek. Az olyan események gyakoriságát, melyek műszaki hibák vagy vis maior esetek által lépnek fel, statisztikák és saját tapasztalatok összegzésével lehet megbecsülni. Ugyanez érvényes a személyek akaratlan hibás tevékenysége miatt bekövetkező károk gyakoriságának becslésére. A statisztikáknál mindazonáltal figyelembe kell venni, hogy mely körülmények között készültek, miután nem lehet szolgai módon átvenni, illetve minden további nélkül alkalmazni azokat egy adott felhasználó speciális körülményeire.
Ezen túlmenően figyelembe kell venni, hogy a statisztikai adatok mindig tartalmaznak bizonytalanságokat.
A kárnagyság előzetes értékelésekor mérlegelni kell, hogy az adott fenyegető tényező hatására milyen anyagi és más természetű károk következnek be, melyek a közvetlen károk és milyen későbbi következményekkel, úgynevezett következményes károkkal kell számolni.
A kockázatelemzésből biztonsági igény adódik, amennyiben minden kockázatot megvizsgálunk és megállapítjuk, hogy egy vagy több kockázat nem elviselhető. A biztonsági követelmények egyenként abból adódnak, hogy kiválasztjuk a túl magas kockázatokat. Ezen biztonsági követelményekből kiindulva kell elkészíteni az informatikai biztonsági koncepciót, ennek keretében kiválasztani a megfelelő intézkedéseket, amelyek ezeket a kockázatokat elfogadható szintre csökkentik, és a költségek, illetve a haszon szempontjából is igazolhatók.
2.4.2.3. Az informatikai rendszer elemeinek fenyegető tényezői Fenyegető tényezők az adathordozók területén
A rendelkezésre állást és működőképességet fenyegető tényezők:
1. Lopás
2. Szándékos megkárosítás (mechanikus, mágneses stb.) 3. Károsodás külső események miatt, például tűz, víz 4. Károsodás helytelen kezelés vagy tárolás miatt
5. Elöregedés miatti használhatatlanság (demagnetizálódás, mechanikai változások) 6. Károsodás környezeti körülmények miatt (hőmérséklet, nedvesség stb.)
7. Már nem fellelhető adathordozók (nem szabályszerű tárolás) 8. Hibásan legyártott adathordozók (fizikai íráshiba)
9. Használhatatlanság a hiányzó kódoló, illetve dekódoló berendezések miatt
10. Használhatatlanság az inkompatibilis formátum miatt (logikai és fizikai értelemben) A sértetlenséget fenyegető tényezők:
1. Hiányzó vagy nem kielégítő jelölés 2. A jelölés meghamisítása
3. Ismeretlen vagy kétséges eredetű adathordozók használata (szoftver-import) A bizalmasságot fenyegető tényezők:
1. Az adathordozók újrafelhasználásra vagy megsemmisítésre történő kiadása előzetes törlésük vagy átírásuk nélkül
2. Lopás
Fenyegető tényezők az adathordozók kezelésével összefüggésben:
1. Ellenőrizetlen hozzájutás az adathordozókhoz
2. A szervezet tulajdonát képező adathordozók privát célú használata
3. Privát adathordozók szolgálati használata (illegális másolatok, vírusok behatolása) 4. Ellenőrizetlen másolás
2.4.2.4. Biztonsági intézkedések
Biztonsági intézkedések az adathordozók védelmében
1. Adathordozó-adminisztráció kialakítása (beszerzés, gazdálkodás, készlet- és használat nyilvántartás, selejtezési eljárás, az utánpótlás megszervezése stb.)
2. Külön, belépés-ellenőrzéssel ellátott adathordozó tároló helyiség kialakítása.
3. A környezeti körülmények ellenőrzése (hőmérséklet, nedvességtartalom stb.).
4. Megelőző intézkedés az elöregedés és a már nem preferált formátumok vonatkozásában (átmásolás).
5. Törlés a felszabadítás, kiselejtezés előtt.
6. Katasztrófa-megelőzés céljából a másodpéldányok kiemelten biztonságos (más telephelyen történő) raktározása.
7. A beszerzett adathordozók ellenőrzése az alkalmazásra való felszabadításuk előtt.
8. Előírások az adathordozók felhasználói számára (védelem rongálódás ellen, külső jelölés, védelem jogosulatlan használattól stb.).
9. Az előállított adathordozók ellenőrzése (újraolvashatóság).
10. Az adathordozók tartalmának védelme (kódolás, rejtjelezés, olyan jelölés, amely nem tartalmaz közvetlen utalást a tartalomra, kódoló, dekódoló eszközök használata stb.).
11. Privát adathordozók szolgálati célokra vagy fordítva történő igénybevételének tilalma.
12. A kölcsönzés, a regisztrálás, a visszaadás eljárása.
13. Az adathordozók ellenőrzött kiselejtezése.
2.4.2.5. Kárkövetkezmények és azok értékelési rendszere
Az értékskála kialakítása: A károknak a jelentéktelentől a katasztrofálisig terjedő nagyságrendjét általában öt érték-kategóriában, a károk típusától függő értékekkel célszerű hozzárendelni a skálabeosztáshoz, amint azt a következő példák szemléletesen mutatják.
Ft-összegekben meghatározott érték/kár (pl. üzleti veszteség):
1. "-": nem jár pénzügyi veszteséggel, 2. "0": 10 ezer Ft-ig,
3. "1": 10 ezer Ft felett, 4. "2": 100 ezer Ft felett, 5. "3": 1 millió Ft felett, 6. "4": 10 millió Ft felett.
Testi épség/személyi biztonság:
1. "1": Egy személy könnyebb sérülése.
2. "2": Egy (nem több) személy komolyabb sérülése.
3. "3": Több ember sérülése.
4. "4": Egy személy súlyos sérülése vagy halála, több ember súlyos sérülése.
5. "4+": Több ember halála.
Személyiségi jogok megsértése:
1. "1": Kisebb kényelmetlenség egy személy számára (pl. a személy által magánjellegűnek tekintett adat felfedése, további következmények nélkül).
2. "2": Komoly kényelmetlenség egy személy számára (pl. pénzügyi információ kiadása).
3. "3": Tartós kényelmetlenség egy személy számára (pl. egészségügyi adatok kiadása).
4. "4": Polgári peres eljáráshoz vezető jogsértés.
A gyakoriságskála kialakítása: A gyakoriság mértéke alkalmazástól, rendszertől, védelmi igénytől függően más és más lehet. A következő példa illusztrálja, hogyan lehet az értékek jelentését rögzíteni a várható bekövetkezési esetek száma szerint.
1. "4": Percenként egy.
2. "3": Óránként egy.
3. "2": Naponta egy.
4. "1": Havonta egy.
5. "0": Évente egy.
6. "0-": A következő években nem várható.
A kockázati mátrix kialakítása: A kockázatokat egy kijelölt értékhatárhoz képest „elviselhető” (E) vagy „nem elviselhető” (N) kategóriába soroljuk. Az értékhatár természetesen káronként különböző lehet.
Példa: Az elviselhető kockázatok felső határaként azt az értékpárt jelöltük ki, amelyek esetében a két érték összege az 5-öt nem éri el.
K 4+ N N N N N N
Á 4 E E N N N N
R 3 E E E N N N
É 2 E E E E N N
R 1 E E E E E N
T 0 E E E E E E
É - E E E E E E
K 0- 0 1 2 3 4
GYA KO RI SÁ GI ÉR TÉK