Hétpécsetes Történetek - Dr. Ködmön István

?
TARTALOM
ELSZ
1. ESET INFORMCIBIZTONSGI POLITIKA
Informcibiztonsgi Szablyzat a Szak-
szerviz Kft.-nl
2. ESET BELS SZERVEZET
A biztonsg n vagyok
3. ESET KLS GYFELEK
Tsszents a vevauditra
4. ESET FELELSSG A VAGYONTRGYAKRT
Bankfzi hatsa az erdei munklatokra
5. ESET INFORMCIK OSZTLYOZSA
Fehrdosszit a polcra, srgadosszit a
pnclba?
6. ESET ALKALMAZS ELTT
A rendszergazda tvfelgyeletet telept
7. ESET AZ ALKALMAZS IDTARTAMA
ALATT
Levelezrendszer-hiba a Mltelen Zrt-nl
8. ESET AZ ALKALMAZS MEGSZNSE, IL-
LETVE MEGVLTOZSA
Adatszivrgs gyanja munkavllal
tvozsakor
9. ESET TERLETEK VDELME, BIZTOSTSA
Fstbe ment jrlapozs
10. ESET BERENDEZSEK VDELME
Szerverszoba az perencis Tengeren Tli
nkormnyzatnl
11. ESET ZEMELTETSI ELJRSOK S
FELELSSGI KRK
A Krzus Bankhz informcibiztonsgi
szablyzata
12. ESET HARMADIK FELEK SZOLGLTATS-
NYJTSNAK IRNYTSA
Le a vezetkkel s az automatikus
inflcikvetssel
13. ESET RENDSZERTERVEZS S ELFOGADS
Ameddig a takard r avagy kapacitsok
s verzik
14. ESET VDELEM A ROSSZINDULAT S
MOBIL KDOK ELLEN
Komplex vdekezs a Vdett Iroda Kft.-nl
3/300
15. ESET BIZTONSGI MENTS
Adattrols a Gyorsszerviz Kft-nl
16. ESET HLZATBIZTONSG KEZELSE
A kzelben lak informatikusok WIFI-s
megoldsai
17. ESET ADATHORDOZK KEZELSE
Selejtezett szmtgpeket adomnyoz az
Adathordoz Zrt.
18. ESET INFORMCICSERE
A Kbelfuccs Kft. e-mail szerver
szolgltatsa
19. ESET ELEKTRONIKUS KERESKEDELMI
SZOLGLTATSOK
Honnan jtt ez az e-mail?
20. ESET FIGYELEMMEL KVETS
(MONITORING)
Outsource informatika figyelemmel
ksrse
21. ESET A HOZZFRS-ELLENRZSHEZ
FZD MKDSI KVETELMNY
Hozzfrs-ellenrzsi szablyzat az
rzkeny Adatok Zrt.-nl
4/300
22. ESET FELHASZNLI HOZZFRS
IRNYTSA
A vletlen egybeess
23. ESET FELHASZNLI FELELSSGEK
Informciszivrgs a Szemlyes Adatok
Zrt.-nl
24. ESET HLZATI SZINT HOZZFRS
ELLENRZSE
Idegen tollakkal avagy mikor kell vis-
szavonni a jogosultsgot?
25. ESET OPERCIS RENDSZER SZINT
HOZZFRS-ELLENRZS
Jucika a hrharsona avagy a nagyon ers
lehet gyenge is
26. ESET: ALKALMAZS S INFORMCI
SZINT HOZZFRS-ELLENRZS
A Pite-Futi Bt. kiszlltsi
tevkenysgnek szoftveres tmogatsa:
j ha van, de jobb ha nincs?
27. ESET MOBIL SZMTGP HASZNLATA
S TVMUNKA
5/300
Tvmunkra rendezkedett be a Hallgass
Rm Tancsad Kft.
28. ESET INFORMCIS RENDSZEREK
BIZTONSGI KVETELMNYEI
gazati informcis rendszer (IR)
fejlesztse
29. ESET HELYES INFORMCIFELDOLGOZS
AZ ALKALMAZSOKBAN
Lexikont szerkeszt az Ingovny Mvszeti
Kiad
30. ESET TITKOSTSI INTZKEDSEK
Ers notebook jszakja avagy adatvn-
dorlsi vletlenek
31. ESET RENDSZERFJLOK VDELME
Mlvezet avagy felkszls az ismere-
tlen tmadsra
32. ESET BIZTONSG A FEJLESZTSI S T-
MOGAT FOLYAMATOKBAN
Alkalmazsok fejlesztse egy pnzgyi
szervezetnl
33. ESET MSZAKI SEBEZHETSG KEZELSE
6/300
A B-Kny Kft. szoftverfrisstsi
gyakorlata
34. ESET INFORMCIBIZTONSGI INCID-
ENSEK KEZELSE
IP alap Multimdia Alrendszer teleptse
a Tzgmb NyRt. tvkzl hlzatban
35. ESET INFORMCIBIZTONSGI INCID-
ENSEK S JAVT FEJLESZTSEK KEZELSE
A Netuddmeg Bt. 10 laksszvetkezet
knyvelst ltja el
36. ESET A MKDS FOLYTONOSSGA
IRNYT-SNAK INFORMCIBIZTONSGI
SZEMPONTJAI
A BVA 2K mkdsnek biztonsga
37. ESET JOGI KVETELMNYEKNEK VAL
MEGFELELS
Adatokkal tmogatja lenyt a Complian-
cer Zrt.
38. ESET BIZTONSGI SZABLYZATNAK S
SZABVNYOKNAK VAL MEGFELELS, S
MSZAKI MEGFELELSG
7/300
Megfelels ellenrzse egy kis
szervezetnl
39. ESET INFORMCIS RENDSZEREK
AUDITLSNAK SZEMPONTJAI
Bels fellvizsglat a Super Security
Szoftverhznl
8/300
ELSZ
Friss tkmagos pogcsa s a zamatos kv il-
lata jrta be a helyisget. Vrtuk, hogy mindan-
nyian sszegyljnk a kvetkez htpecstes
megbeszlsre. Olyannak indult ez a megbeszls
is, mint a tbbi: csipegettnk, kortyolgattunk, be-
szlgettnk, rtkeltk az elz szakmai frumot,
elksztettk a kvetkez programjt. Valam-
iben azonban mgis ms volt, mint a korbbi
sszejvetelek. Kzelgett a XXX. szakmai
frum, amire a megszokottl eltrvel szerettnk
volna kszlni: torta, best of kiadvny, konferen-
cia, ment az tletroham. Aztn a felvets:
Mirt nem runk egy knyvet? Itt van az ISO
27001-es szabvny. Minden kvetelmnyre
runk egy esetpldt, majd rtkeljk azt a von-
atkoz szabvnykvetelmnnyel sszhangban!
vek ta foglalkozunk a szabvnnyal. Ez
egyszer! Legyen! gondoltuk mi. s megsz-
letett a dnts.
Megllapodtunk nhny alapelvben, mieltt
elkezdtnk volna a munkt. A knyv az ISO/IEC
27001:2005 szabvnnyal sszhangban fog
kszlni. Pontosan 39 esetpldt fogunk megrni,
mert a nevezett szabvny A mellklete 39 kon-
trollt tartalmaz: mindegyik kontrollra egy-egy es-
et. Minden egyes eset maximum kt oldal ter-
jedelm lesz, amibe bele kell frnie egy es-
etlersnak, a lers alapjn megfogalmazott el-
gondolkodtat krdseknek, az esetlers kapcsn
felvetd informci- s adatvdelmi aggly-
oknak, valamint a vonatkoz szab-
vnykvetelmnyek rvid rtelmezsnek. Az
egyes fejezetek nllan is meglljk a helyket,
de a 39 eset egyttesen egy komplex kpet alkot
majd.
A ht szerz kvetkezetesen betartotta az
alapelveket. Ennek ksznhet ez a knyv,
amelyet az olvas a kezben tart.
A 39 bemutatott esetben 39 szervezet gyakor-
latba tekintnk bele. A lert esetek kitalltak, a
cgnevek fantzianevek, a megnevezett szereplk
nem vals szemlyek. A valsggal kapcsolatos
brmilyen hasonlsg a vletlen mve. Az esetek
10/300
letszersgt mgis az adja, hogy a szervezetek
mkdsben gyakorta elfordul eseteket
olvashatunk, amelyek brmelyike szinte brmily-
en tpus szervezetnl elfordulhat. A bemutatott
pldk soksznsgvel arra kvntunk
rvilgtani, hogy az informci- s adatvdelem
krdse brmilyen mret, jelleg szervezet
szmra fontos krds. Olyan j kvetelmny ez
mindannyiunk szmra, amely ell nem me-
neklhetnk sem a gazdasgi, sem a magn-
letnkben. A terjedelmi korltok nem tettk le-
hetv, hogy az egyes eseteket tbb szempontbl
is megvizsgljunk, s azt sem, hogy a vonatkoz
szabvnyszakasz minden kvetelmnyt rsz-
letesen bemutassuk. Nem is terveztk, hogy ez
gy lesz. Azzal a cllal ragadtuk meg billentyz-
etnket, hogy szembestsk magunkat bizonyos
tnyekkel, gondolkodjunk el, gondoljuk tovbb
az eseteket, az agglyokat, s a megoldsokat!
ljnk biztonsgosabban, tudatosabban, jobban
rtsk a mit-mirt krdsekre adott vlaszokat!
Vljunk a tmaterlet kveteiv!
11/300
Budapest, 2008. mrcius 05.
Dr. Kdmn Istvn
alkotszerkeszt
12/300
1. ESET INFORMCIBIZTONSGI
POLITIKA
Informcibiztonsgi Szablyzat a Szak-
szerviz Kft.-nl
ISO/IEC 27001:2005 A5 Biztonsgi szablyzat / A5.1. In-
formci biztonsgi politika
Esetlers
A Szakszerviz Kft. nevvel ellenttben mr
rgta nem csak szmtstechnikai szerviz-
pontknt mkdik, hanem zemeltetsi s karb-
antartsi feladatokat is ellt klnbz iparvllal-
atoknl. A sokves fejlds utn ma mr ez
kpezi tevkenysge slypontjt, melyre ISO
9001:2000 szerinti minsgirnytsi
tanstvnnyal s mkd irnytsi rendszerrel
rendelkezik. Az gyfelek elvrjk az ISO
9000-es minstst, de a cg elbe menve a
vrhat vevi kvetelmnyeknek mr egy in-
formcibiztonsgi irnytsi rendszert is ltre
hozott az ISO/IEC 27001:2005 szabvnynak
megfelelen.
rdekes mdon a kt rendszer egymstl fg-
getlenl jtt ltre s gy is mkdik, teht kln
dokumentci s szakszemlyzet foglalkozik az
informcibiztonsg s a minsgirnyts
krdseivel.
Az informcibiztonsgi rendszer alapdoku-
mentuma egy informcibiztonsgi szablyzat,
melyben az alkalmazhatsgi nyilatkozat is
helyet kapott. A szablyzatot vente egyszer fris-
stik. Habr a dokumentum immron kt ve a
Kft. intranetjn keresztl mindenki szmra
hozzfrhet, gy a 120 alkalmazott megismer-
hetn a tartalmt, de mivel nem voltak sem ok-
tatsok, sem figyelemfelhv levelek, ezrt ez az
oldal az intranet legkevsb ltogatott rsze. A
cg foglalkoztat klss szakrtket is egyes gy-
felek telephelyein elvgzend zemeltetsi felad-
atok elltsra. A klssknek nincs hozzfrse
az intranethez.
14/300
Az v elejn a cg bekebelezett egy hszfs
specilis szolgltat cget annak teljes infrastruk-
trjval s gyflkrvel egytt, de a szablyzat
ettl nem vltozott. A szablyzat tartalmaz egy
informcibiztonsgi politikt is, melynek
pldnyait a minsgpolitika mellett elhelyeztk
a cg fontosabb helyisgeinek faln.
Elgondolkodtat krdsek
rdemes-e kln-kln
mkdtetni minsgirnytsi s
informcibiztonsgi rendszert?
Hol lehetnnk a kzs pontok?
Milyen integrcis lehetsgek
adottak a mkdtets sorn?
Mkdhetnek-e szablyzatok
oktats nlkl, kihirdets tjn?
Ha vannak rendszeresen
foglalkoztatott klss szakrtk,
nekik kell-e ismerni az inform-
cibiztonsgi szablyzatot?
15/300
Milyen kzztteli mdok lehet-
nek hatkonyak a biztonsg-
politika, illetve az informcib-
iztonsgi szablyzat esetben?
Vajon egy teljes cg
bekebelezse megvltoztatja-e a
cg informcivagyont,
lesznek-e j vagyonelemei, j
fenyegetsek, megvltoznak-e a
kockzatok, s ennek kapcsn
szksg lehet-e az informcib-
iztonsgi szablyzat aktual-
izlsra, megvltoztatsra?
Informci- s adatvdelmi agglyok
ltalban kimondhat, hogy nem szabad
egymstl fggetlenl, szigetszeren bevezetni
irnytsi rendszereket. Ez az erforrs-fel-
hasznls nagyon nem hatkony mdja, hiszen
nagyon sok elem (pl. dokumentum- s
feljegyzskezels, bels fellvizsglatok, vezeti
tvizsglsok, kpzs, stb.) olyan tfedseket
16/300
tartalmaz, ami a ketts s emiatt hasznlhatatlan
szablyozshoz vezethet. A folyamatok kln-
bz nzetek mentn trtn lekpezse sem
szerencss, hiszen mkds szempontjbl csak
egysges folyamatokat lehet hatkonyan
menedzselni.
Elviekben az vi egyszeri tnzs s frissts
egy szablyzat esetben elgsges lehet, de ha
egy informcibiztonsgi szempontbl lnyeges
vltozs trtnik (pl. egy cg beolvasztsa a
szervezetbe), akkor szksgess vlhat egy
rendkvli fellvizsglat, hiszen a krnyezet, a
vagyontrgyak, a szemlyzet vltozsai kihathat-
nak a szervezet vdelmi intzkedseire is.
A szablyzat elhelyezse az intraneten egy
hatkony hozzfrsi mdot biztost, de ez nem
helyettesti a kpzst. Kln figyelmet kell szen-
telnnk arra, hogy ne csak a dogozkra terjed-
jenek ki a kpzsek, hanem mindenkire, aki a
szervezet nevben vagy rdekben valamilyen fe-
ladatot lt el. Ilyen mdon a klssk elzrsa a
szablyzattl azt az zenetet hordozza, hogy
17/300
rjuk nem is vonatkoznak az adott szablyok, ami
persze nem igaz ebben az esetben sem.
A szervezeti akvizcinak vannak inform-
cibiztonsgi aspektusai. A mdosul inform-
civagyon s a kapcsold fenyegetettsgek,
valamint az j kollgk, akik egy ms szervezeti
kultrbl jttek, szmos kockzatot hor-
doz(hat)nak. A mechanikus venknt egyszeri
szablyozs-fellvizsglat egszen biztosan nem
hatkony mdja az ilyen problmk kezelsnek,
hiszen az j helyzetbl fakad informcibizton-
sgi incidensek nem fogjk megvrni a
kvetkez ves szablyzattvizsglst.
Az ISO/IEC 27001:2005 szabvny vonatkoz
kvetelmnyei
Az ISO/IEC 27001:2005 szabvny A
mellkletnek 5.1. fejezete fogalmaz meg
kvetelmnyeket az informcibiztonsgi
politikval kapcsolatban. A szablyozs clja
vezeti irnymutats s tmogats nyjtsa az
informcibiztonsg a mkds
18/300
kvetelmnyeinek, valamint a vonatkoz tr-
vnyeknek s szablyozsnak megfelelen.
[Forrs: MSZ ISO/IEC 27001:2006]. Habr a
kvetelmnyfejezet cme informcibiztonsgi
politikrl beszl, a fejezet tnylegesen az in-
formcibiztonsgi szablyzattal kapcsolatos ten-
nivalkat taglalja. A ltszlagos ellentmonds
egyik vlelmezhet oka az angol policy sz
sokrt jelentstartalma, hiszen maga a sz jelen-
thet tnylegesen politikt, vagy szablyzatot, de
mg biztostsi ktvnyt is. A szabvnyfejezet
fbb kvetelmnyei:
a vezets hagyjon jv egy in-
formcibiztonsgi szablyzatot
(policy),
a vezets tegye a szablyzatot
(policy) kzz, ismertesse meg
a munkatrsakkal s a megfelel
kls partnerekkel,
a szablyzatot (policy)
meghatrozott idkznknt
vizsgljk fell annak
19/300
rdekben, hogy naprakszen
legyen alkalmas a szablyozsi
feladat tnyleges elltsra.
20/300
2. ESET BELS SZERVEZET
A biztonsg n vagyok
ISO/IEC 27001:2005 A6 Az informcibiztonsg szervezete
/ A6.1. Bels szervezet
Esetlers
Akaratos Tni bszke volt vllalkozsra, a
Nagyra Ntt Kft-re. Nem csoda, hiszen ez volt az
lete. A nyolcvanas vek kzepn egy kis garzs-
ban kezdte msodllsban, sgorval egytt, aki
kzben egy sajnlatos zemi balesetben meghalt.
A sgor zletrszt a sgor fia rklte, aki mr
tbb mint 10 ve a cgnl dolgozott. felgyelte
a szmtgpek s egyb irodai, informatikai es-
zkzk mkdst. Amolyan mindenes rendszer-
gazda volt.
Akaratos Tni karizmatikus, s nfej ember
volt, de egyben segtksz is. Szerette kzben
tartani a dolgokat, s mindent a rszletekig
megismerni. J szakember volt, de vezetsi
kpessgei korltosnak bizonyultak. A kezdeti
kalka az elmlt 20 vben a falu s kisebb tr-
sge meghatroz munkltatjv vlt, hiszen ma
mr kzel 250 ft foglalkoztat. A kezdeti manu-
fakturlis mdszereket felvltotta a modern tech-
nolgia. llami plyzatok segtsgvel jelents
technolgiai fejlesztseket hajtottak vgre az
elmlt t vben. Bvtettk frccsnt kapa-
citsukat, j nt- s szerszmgpeket lltottak
be, s bevezettek egy specilis frccsntsi tech-
nolgit. Ennek lnyege, hogy egy idben egy al-
katrszt tbb szn alapanyagbl is tudjk nteni.
Az j gpek, s az j technolgia magval hoztk
a bels folyamatok talaktst, a szmtgppel
tmogatott termelsirnytsi-rendszer bevez-
etst, a vevkkel val direkt informatikai kapc-
solatot, a piac bvlst, a ltszm felfutst s
egyb megoldsokat.
A hirtelen jtt bvls meglepte a cget,
kivltkpp Akaratos Tnit. A cg mr nem volt
olyan mrtkben tlthat, mint korbban. j
funkcik kezdtek megjelenni s nllsodni a
szervezetben, s ezltal egyre inkbb idegenn
22/300
vlt Akaratos Tni szmra. gy rezte, hogy
szp lassan kicsszik a kezbl az irnyts.
Mlyen hitt abban, hogy a cg biztonsgt
maga jelenti. Az j helyzetben azt hangoztatta,
hogy mtrixszervezetben mkdnek, de a mtrix
minden egyes rcspontjnl ott van. Neki ott
kell lennie! Megjelentek multinacionlis vllala-
tok a vevlistn s lehetsget kaptak, egy
elminstsre is, amely megnyithatja szmunkra
az utat, hogy NATO-beszlltkk vljanak. Az
j vevkapcsolatok fontos felttele a biztonsg,
ezrt Akaratos Tni kzbe vette az gyeket.
Mit jelenthet, s mire terjedhet
ki a biztonsg, valamint az in-
formci- s adatvdelem a
Nagyra Ntt Kft-ben? Hogyan
vltozhatott a fogalom tartalma
az elmlt vekben?
23/300
Kinek a feladata a biztonsgos
mkds biztostsa a kft-n
bell?
Milyen j biztonsgi krdseket
vet fel a megvltozott
technolgia?
Hogyan alkalmazkodik a kft a
megvltozott vevkrhz, azok
ignyeihez?
Hogyan rtkeli Akaratos Tni
elktelezettsgt, szerept az j
helyzetben?
Hogyan jellemezn a
cgkultrt?
A lert eset egy tipikusnak mondhat helyzetet
mutat be, amely rvilgt arra a problmra,
amellyel sok n. garzsbl kintt szervezet
szembesl, melyben sokszor az egyszemlyi au-
tokratikus tulajdonos, a cgvezet tart kzben
mindent. A bvls, az j technolgiai
24/300
megoldsok lehetetlenn teszik az egyszemlyi
vezet szmra azt, hogy mindenben mlysgig
benne legyen oly mdon, mint az korbban volt.
A technolgiai fejlds, a ltszmnvekeds
s az j vevkr j mkdsi rendet kvetel meg,
amelynek informcibiztonsgi aspektusai is
vannak. Szinte biztos, hogy a megemelkedett al-
kalmazotti ltszm miatt tgondoland a kft fiz-
ikai biztonsga. Az j technolgia vdelme
rszben jelenti az eszkzk fizikai vdelmt is,
de ide kapcsoldnak a szmtgpes vezrlssel
kapcsolatos informatikai vdelmi szempontok is.
A szksges vdelemi intzkedsek komplex-
itst nveli a bevezettet vllalatirnytsi rend-
szer, s a megjelen j vevkr. A cgvezet
folyamatosan j kvetelmnyekkel szembesl,
ami a szervezeten belli funkcik diverzi-
fiklst, s az egyes terletek inform-
civdelmi krdsekbe val bevonst teszi
szksgess.
Az j technolgiban rejl siker kulcsa az is,
hogy kpes legyen a szervezet folyamatosan
25/300
alkalmazkodni a vltoz krlmnyekhez. Ez j
partnerkapcsolatok ltal megkvetelt j
kvetelmnyeknek val megfelelsre is utal. A
tervezett elminsts, s a vlheten egyre szig-
orbb vevi auditok szembestik a vllalatvezett
azzal, hogy a minsgi termkeken tl azok
ellltsnak mikntje, a szervezet mkdse
belertve a vdelmi rendszert is folyamatos el-
lenrzs trgyt kpezi majd.
kvetelmnyei
mellkletnek 6.1. fejezete az informcivde-
lemmel kapcsolatos bels szervezetre fogalmaz
meg kvetelmnyeket. A szablyozs clja az
informcibiztonsg irnytsa a szervezeten
bell. [Forrs: MSZ ISO/IEC 27001:2006]. A
fejezet kvetelmnyeinek ttanulmnyozsa utn
egyrtelmv vlik, hogy a krdskr tbb szem-
pont megkzeltse szksges. A rszletes
26/300
szabvnykvetelmnyek az albbi terletekre ter-
jednek ki:
a vezetsnek bizonytani kell
elktelezettsgt az inform-
cibiztonsg irnt, aminek pl.
egyik megnyilvnulsa, hogy
meghatrozza a kapcsold
felelssg- s hatskrket,
az informcibiztonsg egy
tbbszerepls feladat, amelybe a
szervezet klnbz
rszlegeinek megfelel mdon
val kpviselete szksges,
az j eszkzk alkalmazsnak
engedlyezse s a vdelemmel
kapcsolatos titoktartsi megl-
lapodsok megktse is bels
szervezeti krds,
fontos krds az rintett
partnerekkel, rdekelt felekkel,
szakmai krkkel val kapcsol-
attarts is, ami rszben biztostja
27/300
a krdskrben val
tjkozdst, naprakszsget,
az informcivdelmi in-
tzkedsek megvalsulsnak
fggetlen tvizsglsa a rend-
szer mkdsnek, jsgnak
egyik lehetsges ellenrzsi
mdja. Ez utbbi nem felt-
tlenl tanstsra vonatkozik, de
burkoltan belerthetjk azt a
vonatkoz
szabvnykvetelmnybe.
28/300
3. ESET KLS GYFELEK
Tsszents a vevauditra
ISO/IEC 27001:2005 A6 Az informcibiztonsg szervezete
/ A6.2. Kls gyfelek
Esetlers
A Hapcillat Kft. kozmetikumokat gyrt
magnvllalkozs. A vllalkozs az elmlt kt
vben jelents termkdiverzifikcit hajtott v-
gre. A sajt mrkanv alatt forgalmazott olcs s
kzepes kategrij kozmetikumok mellett j
mrkanv alatt kialaktotta felskategris ter-
mkcsaldjt is, s egy regionlis kereskedelmi
hlzat sajtmrks termkeit is gyrtja. Jellemz
emellett, hogy nhny ltaluk gyrtott alapanyag-
ot nagyobb kozmetikumokat gyrt cgeknek is
beszlltja. Ez a tevkenysg az rbevtelknek
csupn 5-8 %-t adta az elmlt tz vben.
A vllalkozsra jellemz a dinamizmus s az
innovci. Tbb alapanyagot s technolgiai
lpst szabadalmaztattak. A ngy fre bvlt
kutatcsapatuk folyamatosan fejleszti az alapan-
yagokat, az jabb s jabb megoldsokat, illetve
technolgiai egyszerstseket dolgoz ki. Most is
egy szabadalmaztatsi folyamat eltt llnak: az
j, felskategris termkcsaldban alkalmazott
megoldsrl van sz.
A felskategris termkeket mintaknt egy
kereskedelmi vsron mutattk be, s nem vrt
piaci sikert hozott. Olyan nagy lett irnta a keres-
let, hogy a tervezettnl korbban el kellett
kezdeni a gyrtst. Ezzel szinte egy idben
megntt az egyik rgebbi alapanyagra val igny
is, s az egyik nagy kozmetikumokat gyrt cg a
korbbi rendels nyolcszorost adta le. A
megrendelssel egy idben jelezte, hogy a
szerzdsk vonatkoz pontja rtelmben, mivel
tlptek egy limitlt mennyisget, gy vevaud-
itot hajtanak vgre a Hapcillat Kft.-nl. Ennek
keretben a teljes gyrtsi folyamatot kvnjk t-
tekinteni a kutatstl kezdve a beszerzs, ter-
melsen t egszen a kiszlltsig.
30/300
Az audit hre vratlanul rte a rsztulajdonos
gyvezett. A nem vrt termelsfelfuts miatt
nagyon nagy szksge volt a megrendelsre,
hiszen ez rbevtelt jelentett szmra, azonban
fltette az j termkcsaldban lv know-howt.
ppen a ngyfs vezeti sszejvetelkn bossz-
ankodott: Biztosan egy alibi-megrendelsrl van
sz. Nem is a rgi alapanyag, hanem az j ter-
mkcsalddal kapcsolatos informcik rdeklik
ket!, mire hatalmasat tsszentett a kutats-ter-
mels vezetje.
Mirt mutatta be az j termkc-
saldot a kft a kereskedelmi
vsron? Felmrte ennek
kockzatt?
Mit tartalmaz a nagy cggel
val szerzdsk a rendelt men-
nyisgeket s a vevauditot
illeten?
31/300
Milyen lehet az informci- s
adatvdelmi kultrja a cgnek?
Hogyan kezeli a szabadal-
makkal, j termkekkel kapcsol-
atos informcikat?
Milyen kockzatokat rejt
magban a vevaudit? Ki kell-e
bjnia a kft-nek a vevaudit
all? Ha igen, akkor hogyan?
Ha nem, akkor mirt nem?
Mire kell figyelnie a kft-nek, ha
mgis megtrtnik a vevaudit?
Az els olvasatra gy tnhet, hogy a lert eset
egy kifinomult, jogi keretek kz bjtatott ipari
kmkedst r le. Ez knnyen meglehet. Erre gy-
anakszik a tulajdonos gyvezet is. A krds
azonban ennl sszetettebb, s nmi elgon-
dolkodsra ksztet bennnket.
Kezdjk a vizsgldsainkat az j termk be-
mutatsval. A lersbl gy tnik, hogy nem
32/300
volt tgondolt s tbb szempontbl megkzeltett
lps az j termkcsaldnak a kereskedelmi
vsron val bemutatsa. A termelsi problmk
mellett informci- s adatvdelmi szempontbl
is agglyos, hiszen ezzel kiszivrognak a kutats-
fejlesztssel s stratgiai elkpzelsekkel kapc-
solatos informcik is. Amennyiben a piaci
fogadtats kedvez, mint ebben az esetben is, s
nem tudnak eleget tenni az ignyeknek, akkor
akr piacveszts is bekvetkezhet.
Ezen tlmenen azonban sokkal izgalmasabb
krds a konkurens nagyvllalat megnvekedett
rendelse s a kapcsold vevaudit. A
vevaudit ktsgtelenl azt jelenti, hogy annak
sorn a vev megvizsglja szlltjnak
mkdst, de igazban csak azokra a ter-
letekre, termkekre, technolgikra terjedhet ki
ez a vizsglat, amelyek a kettejk zleti kapcsol-
att rinti. A ktes esetek elkerlse vgett fon-
tos, hogy a vevauditok rszletessge, terjedelme
s mlysge rgztve legyen a kt fl kztti
szerzdsbe, hiszen ezltal elkerlhetek a
33/300
hasonl fejfjsok. A kls gyfelekkel val
kapcsolatok informci- s adatvdelmi szem-
pontjait komolyan kell venni, mert ha bizonyos
eseteket csak gazdasgi, s pnzgyi oldalrl viz-
sglunk meg, akkor tbb krt okozhatunk magun-
knak a rvid tv ltszatelnnyel, mintsem
gondolnnk.
kvetelmnyei
mellkletnek 6.2. fejezete a kls gyfelekkel
kapcsolatban fogalmaz meg kvetelmnyeket. A
szablyozs clja a szervezet kls felek, gy-
felek ltal hozzfrhet feldolgozott, vagy
rszkre kommuniklt illetve ltaluk kezelt in-
formcik s informci-feldolgoz eszkzk
biztonsgnak fenntartsa. [Forrs: MSZ ISO/
IEC 27001:2006]. A szabvnyponttal kapcsolat-
ban a szervezetnek az albbi megfontolsokat
kell tennie:
34/300
azonostani kell azokat a kock-
zatokat, amelyeket a kls
gyfelek jelentenek, s ezzel
sszefggsben kell megadni a
hozzfrsi jogot a kls gy-
felek szmra,
az gyfelekkel val interakcik
sorn mindig meg kell vizsglni
a biztonsgi krdseket, s
folyamatosan vizsglni kell a
kockzatokat,
pontosan rgzteni kell mindkt
fl szmra a biztonsgot rint
jogokat, s ktelezettsgeket
legyenek ezek rsos, vagy
egyb megllapodsok.
35/300
4. ESET FELELSSG A
VAGYONTRGYAKRT
Bankfzi hatsa az erdei munklatokra
ISO/IEC 27001:2005 A7 Vagyontrgyak kezelse / A7.1.
Felelssg a vagyontrgyakrt
Esetlers
Az Erdkerl Erdszeti Kft. szmlavezet
pnzintzete mr msfl vtizede a kzelben lv
kisbank volt. A kisbank mr vekkel ezeltt
kiptett egy telebank rendszert, amelynek
hasznlatval az gyfelek elektronikus ton is
kezelhettk szmljukat. Ehhez a funkcihoz a
kisbank egy clszoftvert ksztett el. A banki kli-
enst minden gyfl szmra egyedi azonostval
lttk el, s cd-n adtk t. A cd tartalmnak
teleptsvel, a szksges belltsokat kveten
az gyfelek interneten keresztl hozzfrtek
szmljukhoz. A bankszoftver frisstst be-
jelentkezskor automatikusan elvgezte a
rendszer.
Ez v elejtl a kisbank beolvadt egy nagy
nemzetkzi bankhlzatba, s annak neve alatt
mkdik tovbb. A tulajdonosvlts velejrja,
hogy megsznt klnll jogi szemlyisge, s
ezzel egy idben megszntek a sajt gyviteli s
egyb rendszerei, gy a telebankrendszer is. A
kisbank korbbi gyfeleinek ezentl a nagybank
rendszert kell hasznlni. Most a kft a nagybank
honlapjn tud bejelentkezni a bank hlzatba, s
hozzfrni a szmljhoz. A bejelentkezshez a
kft kapott egy j gyflazonostt, s egy tokent.
Az egyedileg azonostott tokent egy pinkd segt-
sgvel lehet bekapcsolni, amely generl egy
jelszt. Minden egyes bankba trtn be-
jelentkezs eltt generltatni kell egy jelszt a
tokennel, amely nhny msodpercig l, s ennek
segtsgvel lehet a nagybankban vezetett szm-
lhoz kapcsoldni.
Az j rendszerre val tlls nem volt
zkkenmentes. Meglehet, hogy a nagybank egy
rszletes lerst adott t a kft-nek a token
hasznlatrl, s felhvta figyelmt arra, hogy
37/300
els bekapcsolskor egy pinkdot kell megadni a
tokennek, s a tovbbiakban ezzel lehet azt
zemeltetni. A problmt azonban az jelentette,
hogy nem egy j tokent kapott a kft a banktl,
hanem egy mr hasznltat, amely krte az
ismeretlen jelszt. A problma kikszblse
tbb napig tartott. Amikor vgre sikerlt inter-
netes kapcsolatot ltrehozni a bankkal, akkor a
kft pnzgyi dolgozja egy teljesen j fellettel
tallta szembe magt, aminek hasznlatrl sem-
milyen informcit nem kapott. A halmozd
problmk ahhoz vezettek, hogy szksges
utalsokat csak ksn tudta teljesteni az erdsz-
et. Emiatt kt nagyobb alvllalkoz cg is
szerzdst kvn bontani az erdszeti kft-vel s
nem kezdtk meg a szksges erdei
munklatokat.
Milyen vltozs llt be a kft
szmviteli illetve informcib-
iztonsgi vagyonleltrban?
38/300
Miben azonos s miben kln-
bzik a kt leltrtpus?
Kinek a feladata a kft-n bell a
vagyonelemek kezelse?
Mi jelentette volna a zkken-
mentes tllst a rgi rendszer-
rl az jra?
Milyen hibkat kvetett el a kft,
a kisbank s a nagybank?
Hogyan kezelte a tokeneket az
tads eltt a nagybank?
Kinek a felelssge az elmaradt
erdei munklatok?
A bemutatott eset egy ltszlag kisebb
zkkenkkel megoldott problmt mutat be,
amelyben felvetdik az sszes rintett szerepl
felelssge.
Az tlls kvetkeztben a kft szmviteli
szempontbl vezetett leltrban rzkelhet
klnbsg nem trtnt, azonban az
39/300
informcibiztonsgi leltrban (ha van egyltaln
ilyen leltra) annl inkbb. Megjelent egy j
vagyonelem, a token, s a kapcsold lers.
Hasznlaton kvl kerlt korbbi vagyonelem,
mint a kisbank kliensszoftvere, az azt tartalmaz
cd. Ez a plda jl rvilgt a kt leltrtpus kztti
klnbsgre, s arra, hogy a mkds szem-
pontjbl milyen elnykkel jr egy inform-
cibiztonsgi szempontbl karbantartott leltr.
A tokenes belptets megvltozott biztonsgot
jelent. A token ltal generlt jelsz nlkl nem
lehet belpni a banki rendszerbe, viszont azok,
akik tudjk hasznlni a tokent s ismerik a
felhasznl-azonostt, azok be tudnak lpni. A
nagybank tokenkezel gyakorlata elgon-
dolkodtat. Hiba volt, hogy egy mr korbban
hasznlt tokent adott t gyfelnek, s azt nem
resetelte az tads eltt. Helyes, hogy a nagybank
egy tokenhasznlattal kapcsolatos szablyozst
tadott a kft-nek, de ez minden bizonnyal annak
csak funkciszer hasznlatra utal. A kft-nek
egy tokenhasznlati szablyozst kell bevezetnie
40/300
annak rdekben, hogy ne trtnjenek vissza-
lsek. Szablyoznia kell azt is, hogy ki a token
gazdja, azaz ki felel azrt, hogy azt illetktele-
nek ne hasznlhassk, s ne rongldjon meg.
kvetelmnyei
mellkletnek 7.1. fejezete a vagyontrgyakkal
kapcsolatos felelssgekre fogalmaz meg
kvetelmnyeket. A szablyozs clja megfelel
vdelem elrse s fenntartsa a szervezet
vagyontrgyait illeten. [Forrs: MSZ ISO/
IEC 27001:2006]. Az informcivdelmi rend-
szerek kulcselemei azok vagyontrgyai. Ezek
azok a fontos elemek, amelyekre a vdelmi rend-
szer vonatkozik, amelyekkel kapcsolatban a
kockzatrtkelst el kell vgezni.
A vagyontrgyak kezelsnek els lpse az,
hogy szmba kell venni a rendszer
vagyontrgyait, majd ezekrl egy leltrt
41/300
kszteni, amelyet folyamatosan karban kell
tartani.
A vagyontrgyak leltrban meg kell jellni
azok tulajdonost is, azaz azokat a szemlyeket,
funkcikat, akik felelssggel tartoznak azrt,
hogy a vagyontrgyakat a vdelmi
kvetelmnyekkel sszhangban kezeljk.
Ahhoz, hogy a vagyontrgyakat megfelel
vdelmi kvetelmnyekkel sszhangban
hasznljuk, azok elfogadhat hasznlatra von-
atkoz dokumentlt szablyokat kell kialaktani,
s gondoskodni arrl, hogy az azokban foglaltak
megvalsuljanak.
42/300
5. ESET INFORMCIK
OSZTLYOZSA
Fehrdosszit a polcra, srgadosszit a
pnclba?
ISO/IEC 27001:2005 A7 Vagyontrgyak kezelse / A7.2.
Informcik osztlyozsa
Esetlers
A kovcsoltvas renesznszt li. rezte ezt
Kipikopi Ott is, a Forrn sd Kft. tulajdonos
gyvezetje. Jl ment az zlet. A kezdeti ms-
odlls mra mr tbb tucat munkatrsat
foglalkoztat vllalkozss ntte ki magt.
Kovcsoltvas dsztrgyakat, lakberendezsi-, s
pletelemeket (pl. korltok), valamint kltri
elemeket (pl. kertseket) gyrtottak. Voltak
katalgustermkeik, de a vllalkozs valdi er-
ssge az egyedi ignyekre szabott megoldsok-
ban volt.
A kezdeti papr alap spirlfzetes
gykezels mr elkpzelhetetlen volt a
vllalkozs mkdsben. A kzponti szerveren
troltk a cg mkdsvel kapcsolatos adatok
kivtelvel az gyfelek adatait, az ajnlatokat,
szerzdseket, a katalgustermkek tervrajzait,
az egyedi ignyek, elkpzelsek vzlatait, az
elektronikus levelezst, a munkatrsak sajt l-
lomnyait, stb. A szerver tartalmt hetente
egyszer, szombaton jszaka DAT kazettra men-
tettk. A mentsre kerl llomny mrete kezdte
elrni a kazetta kapacitst. Knyvtrrendszer
trtnelmileg alakult ki, egyni szoksjog
alapjn, s olykor-olykor fejtrst okozott a
munkatrsaknak, hogy milyen informcit, hol
tallnak meg. Nem volt ilyen gondja az gyvez-
etnek, hiszen a cg mkdsvel kapcsolatos
adatok csak az laptopjn voltak meg, s azt jl
tltta. Nem merte feltenni az adatokat a
szerverre, mert ott mindenki lthatja. gy bizton-
sgosabb! gondolta .
A mlt nyron egy informatikus hallgat a kft-
nl tlttte nyri gyakorlatt, s csodlkozva
nzte a szerveren trolt adathalmazt. Azt
44/300
javasolta az gyvezetnek, hogy alaktsanak ki
egy j knyvtrstruktrt s a hozz kapcsold
jogosultsgi rendszert. A knyvtrstruktra ll-
hatna Cgvezets, Tervrajzok, gyfelek s
megrendelsek, Kft mkdse, Szemlyes map-
pk rszekbl. A munkatrsak a belltott jogo-
sultsguknak megfelelen frhetnnek hozz a
knyvtrakban trolt informcikhoz, s minden-
kinek a megadott struktrban kellene dolgoznia,
ott megfelelen elhelyeznie az informcikat.
magyarzta az gyvezetnek a hallgat. Akkor
ez ppen olyan, mintha a fehrdosszit a polcra,
srgadosszit a pnclba tennnk? krdezte
Ott.
Milyen elnyei s htrnyai
vannak, ha kialaktja s bevezeti
a kft a javasolt
knyvtrstruktrt?
45/300
Milyen kapcsolatban van a
knyvtrstruktra az inform-
cik osztlyozsval?
Milyen biztonsgi
kvetkezmnyei vannak, ha dif-
ferenciljk a knyvtrakhoz
val hozzfrsi
jogosultsgokat?
Milyen kapcsolata van a
knyvtrstruktra ki-
alaktsnak a mentsi
rendszerrel?
Hogyan biztosthat, hogy a
munkatrsak a tovbbiakban az
j struktrba helyezzk el az
adatokat?
Mi trtnik a korbbi, struk-
turlatlan llomnyokkal?
A bemutatott pldban meglehet nem in-
formcibiztonsgi, egysgestsi szempontok
46/300
alapjn vezrelve egy nagyon egyszer in-
formciosztlyozsi rendszert mutattunk be. Az
osztlyozsi rendszer kialaktsval, s bevez-
etsvel a kft megteheti els lpseit egy ma-
gasabb szint vdelem irnyba. Az osztlyozsi
rendszer nmagban nem jelent egy magasabb
biztonsgot, de ha megcmkzik az egyes
knyvtrakat, s hozzrendelik a jogosultsgokat,
akkor kialakulhat egy osztlyozsi struktra. Le-
hetnek ebben pl. bizalmas adatok, amelyek a
Cgvezets mappba kerlnek, s csak az
gyvezet s mg pldul a gazdasgi vezet
lthatja. A tervrajzok is jelenthetnek egy
kvetkez vdelmi kategrit, s csak az arra fel-
hatalmazott munkatrsak lthatjk, rhatjk. An-
alg mdon a tovbbi kategriknak is tallunk
megklnbztetsi jellemzt. A vdelem szem-
pontjbl leggyengbb kategrit jelenthetik a
Szemlyes mappk, ahol a munkatrsak magn-
jelleg informciit trolhatjk.
A kialaktott kategrikkal sszekapcsolhat a
mentsi rendszer is. A mentsi
47/300
kapacitsproblmk miatt megoldhat az is, hogy
pl. a Szemlyes mappkban elhelyezett inform-
cik nem kerlnek mentsre, vagy pl. az gy-
felek s megrendelsek mappt naponta, mg a
tbbit hetente egyszer mentik le. Az inform-
ciosztlyozs az alapja minden tovbbi bizton-
sgi intzkedsnek.
A kialaktott osztlyozsi rendszeren tl arrl
is gondoskodni kell, hogy a bevezetst kveten
folyamatosan a megfelel knyvtrakba a meg-
felel fjlok kerljenek. Ehhez felttlenl szk-
sges egy bevezet oktats, amelyben tud-
atostjuk a dolgozkkal a klnbz inform-
ciosztlyokat, tovbb azok kapcsolatt a
mentsi rendszerrel s a knyvtrstruktrval.
kvetelmnyei
mellkletnek 7.2. fejezete az informcik os-
ztlyozsra vonatkozan fogalmaz meg
kvetelmnyeket. A szablyozs clja az
48/300
informcik megfelel szint vdelmnek
biztostsa. [Forrs: MSZ ISO/
IEC 27001:2006]. A nagyobb biztonsgot nyjt
vdelem nagyobb kltsggel jr. Ezrt a szervez-
eten bell az informcikat, a vdend rtkeket,
a vagyonelemeket osztlyozni kell, s az osztly-
oknak megfelel vdelmi szintet kell biztostani.
Ezzel a megoldssal egy kltsghatkony s
elfogadott szint vdelmi struktra alakulhat ki.
Tovbbi kvetelmny, hogy az informcikat a
megfelel mdon kell megjellni, ami jelzi, hogy
mely osztlyba tartoznak. Ez az informcijells
biztostja, hogy a nevezett informci a meg-
felel vdelmi intzkedsekben rszesl. Az in-
formciosztlyozst s az informcijellst
folyamatosan kell vgezni, hiszen a szervezet
mkdse sorn llandan keletkeznek jabb s
jabb vdend rtkek.
49/300
6. ESET ALKALMAZS ELTT
A rendszergazda tvfelgyeletet telept
ISO/IEC 27001:2005 A8 Az emberi erforrsok biztonsga
/ A8.1. Az alkalmazst megelzen
Esetlers
Az Adatmester Zrt. j rendszergazdt alkal-
mazott. A kivlaszts sorn szempont volt a
tvfelgyeleti, hlzatzemeltetsi eszkzk t-
fog ismerete, valamint az nll munkavgzs.
A jelltek informcibiztonsgi felkszltsgt,
szakmai tapasztalatt a kivlasztsi eljrs nem
trta fel. Az informcibiztonsgi feladatok ugy-
anis nem klnltek el a rendszerzemeltetsi,
fejlesztsi feladatoktl, st nll feladatkrknt
nem is definilta ezeket a szervezet.
A rendszergazda feladatai kz tartozott az
ltala felgyelt rendszer felhasznli rendszert-
mogatsa. Feladatai elltsa sorn kiemelt
jelentsget nyert a felhasznli panaszok gyors
megoldsa, rendelkezsre lls akr munkaidn
tl is. Szemlyesen csak nagy nehzsgek rn
tudta felkeresni a problmkat bejelent
felhasznlkat.
Ingyenesen hasznlhat telnet alkalmazst, a
felhasznli szmtgpek monitor kpnek, bil-
lentyzetnek s egernek tvtelre alkalmas al-
kalmazst teleptett. A tvfelgyeleti eszkzk
otthonrl trtn elrhetsge rdekben az al-
kalmazsokat a cg tzfaln tengedte.
Hamarosan a Zrt. hlzatbiztonsgi technikai
auditot vgeztetett egy fggetlen tancsad
cggel. Az audit a tvfelgyeleti eszkzk alkal-
mazst kiemelked kockzatknt rtkelte.
Szablyozott volt-e az j alkal-
mazsok teleptshez kapc-
sold informcibiztonsgi
kockzatok felmrse, kezelse?
Tisztban volt-e a rendszer-
gazda a telepts informcib-
iztonsgi kockzataival?
51/300
A rendszergazda feladata volt-e
az informcibiztonsgi kockz-
atok ellenslyozsa?
Szablyozott volt-e az alkal-
mazsok teleptsnek, a tzfal
szablyok belltsnak
engedlyezse?
Szablyozott volt-e a fel-
hasznli gpek tvoli
elrsnek felttelrendszere, a
felhasznli tevkenysg vissza-
lsszer figyelsnek kizrsa?
Meghatrozott volt-e a rend-
szergazda informcibiztonsgi
felelssge?
Volt-e arra lehetsg az j rend-
szergazda kivlasztsa sorn,
hogy a munkltat felmrje az
elvrt nll munkavgzs in-
formcibiztonsgi veszlyeit?
Tisztztk-e a felek az j rend-
szergazda kivlasztsa sorn,
52/300
hogy a rendszergazdai
tevkenysg informcibizton-
sgi veszlyeit is magnak a
rendszergazdnak kell felmrni
s megfelel intzkedsekkel
ellenslyozni?
A bemutatott esetpldban tbb, informci-
s adatvdelmi szempontbl elgondolkodtat, s
megkrdjelezend gyakorlati megoldst
olvashattunk.
Ktsgtelen, hogy a rendszergazda
munkjnak eredmnyessgt segt eszkzket
teleptett. A j szndk fejleszts azonban
jelents biztonsgi rst ttt a cg informatikai
vdelmi rendszern. A biztonsgi szint
cskkensnek okait kutatva tevkenysgi s sza-
blyozsi hinyossgok llapthatk meg. A he-
lyzet kialakulshoz elssorban az vezethetett,
hogy nem volt megfelel vltozskezelsi eljrs,
s ezzel kapcsolatos felelssgeit a
53/300
rendszergazda nem ismerte. Az informcib-
iztonsgi kockzatok felmrse, kezelse el-
maradt. Hinyzott a vltozskezelsi folyamat
szemlyes felelssgeinek kezelse, a
vltozskezelshez kapcsold biztonsgi
eljrsok szablyozsa. Hinyoznak tovbb az
eszkzk visszalsszer felhasznlst tilt
normk, az ezt kizr kontrollok. Ezrt tekin-
thettek a felhasznlk a tvfelgyeleti eszkzkre
gy, mint a totlis megfigyels veszlyt hordoz
problmra.
Az esetpldban figyelmet rdemel, hogy a fe-
jleszts, zemeltets, informcibiztonsg felad-
atkrei nem voltak elklntettek. Ez nmagban
is az emltett terletek sajtos szempontjainak
konfliktust okozza. Jelen esetben az zemeltets
eredmnyessge s biztonsga kztti konfliktust
a rendszergazda nem tudta eredmnyesen
feloldani.
A rendszergazda kivlasztsa sorn nem
tisztztk, hogy ismeretei, szakmai tapasztalatai
alkalmass teszik-e arra, hogy munkjnak
54/300
informcibiztonsgi kockzatait, felmrje, s
megfelel intzkedsekkel ellenslyozza. Az
auditot megelzen az nllan vgzett
tevkenysg dokumentltsga, ellenrizhetsge,
felgyelete sem volt biztostott. gy kls kon-
troll sem ellenslyozta a rendszergazda
tevkenysgbl ered informcibiztonsgi
kockzatot.
kvetelmnyei
kvetelmnyeket az alkalmazst megelzen,
azaz munkajogi, szerzdses jogviszony ki-
alaktsa eltti idre. A kvetelmnyek ltal
kitztt cl annak biztostsa, hogy az alkal-
mazottak, a szerzd felek s harmadik felek,
mint felhasznlk legyenek tisztban
felelssgkkel, legyenek alkalmasak a nekik
sznt feladatkrk betltsre, valamint a lops-
bl, a csalsbl, illetve az eszkzkkel val
55/300
visszalsbl szrmaz kockzatok
cskkentsre. [Forrs: MSZ ISO/
IEC 27001:2006].
A cl elrse rdekben az alkalmazottak,
szerzd felek s harmadik felek, mint fel-
hasznlk, biztonsggal sszefgg feladat- s
felelssgi krt a szervezet informcibizton-
sgi szablyzatval sszhangban kell
meghatrozni s dokumentlni.
Az alkalmazs felttell szabhat a plyz
biztonsgi tvilgtsa. Ennek sorn figyelemmel
kell lenni a vonatkoz trvnyi, szablyozsi s
etikai elrsokra, az elrend inform-
ciosztlyozsra s az rzkelt kockzatokra. A
dokumentcis httr biztostsa rdekben
szerzdses ktelezettsgk rszeknt az alkal-
mazottaknak, szerzdknek s a felhasznl har-
madik feleknek el kell fogadniuk, s al kell rni-
uk az alkalmazottak s a szervezet informcib-
iztonsggal kapcsolatos felelssgt.
56/300
7. ESET AZ ALKALMAZS
IDTARTAMA ALATT
Levelezrendszer-hiba a Mltelen Zrt-nl
/ A8.2. Az alkalmazs idtartama alatt
Esetlers
A Mltelen Zrt. sajt levelezrendszert
zemeltetett, melyen a bels munkatrsak
kztti levlforgalom nem volt korltozott. A
cg egyik dolgozja szabadidejben sportrepls-
sel foglalkozott. gy gondolta, hogy a soron
kvetkez replnaprl rtesti munkatrsait egy
az sszes dolgoznak cmzett levllel. A
levlhez mellkelte a replnap plaktjnak di-
gitalizlt kpt, nem tmrtett kpformtumban.
Ilyen mret levl nagyszm cmzetthez kzbe-
stse a levelezrendszer jelents, 2 napot
meghalad zemzavarhoz vezetett.
Van-e az elektronikus levelezs
hasznlatt rendez szablyzata
a Mltelen Zrt.-nek?
Ha igen, akkor megfelelt-e a
levl kldse a bels
szablyzatnak?
Tudhatta-e a munkatrs, hogy a
levlklds zemzavart
eredmnyez?
Szabad-e magnjelleg
levelezst folytatni az alkal-
mazottaknak a rszvnytrsasg
informatikai hlzatn?
Felels-e a rendszergazda a
tmeges levlklds mega-
kadlyozsnak elmaradsrt?
Milyen egyb mdon
rtesthette volna a szban forg
munkatrs kollgit a
replnaprl?
58/300
A bemutatott eset tbb informcibiztonsgi
oldalrl is megvilgthat.
A jogszablyok nem adnak minden esetre
egyrtelmen alkalmazhat eligaztst arrl,
hogy munkajogviszony keretben a munkavllal
szemlyisgi jogai miknt rvnyeslhetnek,
klnsen akkor, ha tkznek a munkltat es-
zkzeinek felgyeletre vonatkoz tulajdonosi
jogokkal.
Bels szablyozs hinyban nehz eldnteni,
hogy a munkavllal magnclra hasznlhatja-e
munkahelyi levelez rendszert, s ha igen, mily-
en terjedelemben.
Amennyiben a felhasznl eltt nem vilgos,
hogy informatikai eszkzei hasznlata sorn mit
tehet s mit nem, gy megfelel oktatssal, tud-
atostssal biztostani kell szmra, hogy
tisztban legyen vele.
Vizsgland tovbb, hogy a szablyozs s a
mszaki vdelmi intzkedsek milyen sszhang-
ban llnak egymssal. Optimlis esetben a
59/300
szablyozs s a technikai rendszervdelem
kiegsztik egymst.
kvetelmnyei
mellkletnek 8.2. fejezete fogalmazza meg az
alkalmazsi viszonnyal kapcsolatos humn-
vdelmi informcibiztonsgi kvetelmnyeket.
A szablyozs clja annak biztostsa, hogy
valamennyi alkalmazott, szerzd vllalkoz s
felhasznl harmadik fl legyen tudatban az in-
formci biztonsgt fenyeget veszlyeknek s
nyugtalant tnyeznek, sajt felelssgnek s
ktelezettsgeinek, tovbb, hogy legyenek
felkszlve mindennapi munkjuk sorn a
szervezet biztonsgi politikjnak tmogatsra,
s az emberi hibbl ered kockzat
cskkentsre. [Forrs: MSZ ISO/
IEC 27001:2006].
A cl elrse rdekben a vllalatvezetsnek
meg kell kvetelnie alkalmazottaitl, a
60/300
szerzdktl s a felhasznl harmadik felektl,
hogy a biztonsgot a szervezet ltal meghatro-
zott politikknak s eljrsoknak megfelelen al-
kalmazzk. Ez a menedzsment felelssge.
Az informcibiztonsgi tudatossg, kpzs
terletn a cl elrst az szolglja, ha a szervez-
et valamennyi alkalmazottjt, a szerzdket s a
felhasznl harmadik feleit megfelel, tudatost
kpzsben rszestik. Az ismeretanyag a fejlds-
sel gyors avulst szenved el, ezrt a megszerzett
tudst rendszeresen frissteni kell.
A cl felttelezi a bekvetkezett sza-
blyszegsek gyben trtn eljrst. Hivatalos
fegyelmi eljrst kell lefolytatni a biztonsgi
elrsokat megsrt alkalmazottakkal szemben.
61/300
8. ESET AZ ALKALMAZS MEG-
SZNSE, ILLETVE MEGVLTOZSA
Adatszivrgs gyanja munkavllal
tvozsakor
/ A8.3. Az alkalmazs megsznse illetve megvltozsa
Esetlers
A Doubtfire Zrt. egyik munkatrsa felmon-
dott. A ltszmhelyzetre, valamint a munkavl-
lal folyamatban lv feladataira s a munkakr
tadsnak teendire tekintettel a Zrt. a fel-
mondsi id megfelel rszre a munkavllalt
nem mentette fel a munkavgzs all.
A munkavllal kzlte, hogy a tovbbiakban
egy, a piacon gazdasgi versenytrsnak szmt
cgnl, a Tzvolte Zrt-nl kvn elhelyezkedni.
A felmondsi id munkban tlttt idejben
az informatika rendszer kzponti naplelemz
rendszere az albbi gyans esemnyeket jelezte:
a felhasznl olyan lekrdezst
futtatott az gyfelek adat-
bzisn, amely munkjhoz
kpest jval tfogbb tallati
halmazt eredmnyezett,
a lekrdezs eredmnyt tblz-
atba exportlta,
USB pendrive-ot csatlakoztatott
a szmtgphez,
sajt nem cges e-mail
postafikjba nagy mret
csatolt llomnyokat tartalmaz
leveleket kldtt.
A naplbejegyzsek elemzse megalapozta az
adatszivrgs gyanjt.
A felmondott munkatrs krte munkltatjt,
hogy hadd vihesse magval mobiltelefonszmt,
mert rszben rzelmileg ktdik a szmhoz, s
nagyon sok ismerse, bartja ismeri ezt a szmot.
Indokai kztt szerepelt az is, hogy amikor bel-
pett a Douptfire Zrt-hez, akkor ez sajt mo-
bilszma volt, amit hasonl okok miatt
63/300
megtartott, de a Zrt-vel megegyeztek, hogy gaz-
dasgi okok miatt bevonjk a mobilszmot a
cges telefonflottba, hiszen gy ingyeness vlik
a cgcsoporton belli egyms kztti beszlgets.
Szablyozottak voltak-e a
munkaviszony megszn-
tetshez kapcsold inform-
cibiztonsgi felelssgek?
Volt-e a munkavllalnak sza-
blyozott lehetsge sajt l-
lomnyainak, pldul
fnykpeinek mentsre,
szmtgprl trtn
eltvoltsra?
Ltezett-e szablyozott inform-
atikai kontroll a munkavllal
tvozshoz ktd adatszivr-
gsi veszly ellenslyozsra,
megakadlyozsra?
64/300
Hogyan tljk meg a
munkavllal telefonszmnak
bevonst a cges
mobilflottba?
Megtarthatja-e a tvoz
munkavllal a telefonszmt?
Milyen informcivdelmi, s
humnpolitikai aspektusai van-
nak ennek az esetnek?
s adatvdelmi szempontbl elgondolkodtat
krds fogalmazhat meg.
Ktsgtelen gyakorlati tapasztalat, hogy a t-
voz munkatrsak esetben az adatszivrgs, ad-
atlops veszlye megn. Munkjukat tovbbra is
el kell ltniuk a felmondsi id munkavgzs
alli felmentssel nem rintett rszben.
Munkainformciikat archivlni s/vagy tadni
ktelesek munkakrket tvev szemly(ek)nek.
65/300
Vgl hozzfrsi jogosultsgaikat megfelel
idben vissza kell vonni, illetve zrolni kell.
A munkaviszony megszntetshez kapc-
sold komplex informcibiztonsgi feladatok
krltekint szablyozs s azt vgrehajt feszes
eljrsrend mellett lthatk el eredmnyesen.
Rendelkezni kell a szemlyes jelleg s a
munkainformcik elklntsrl, a jogosult-
sgok korltozsrl, visszavonsrl, fokozott
informatikai biztonsgi felgyeletrl, a fizikai es-
zkzkkel val elszmolsrl. Ennek krben
klns figyelmet rdemelnek a hordozhat in-
formatikai eszkzk. Gyakori, hogy ezen es-
zkzk knyv szerint mr amortizldtak, marad-
vnyrtken val megvsrlsukkal viszont
tnylegesen adatszivrgs kvetkezhet be, legyen
sz akr mobiltelefon telefonknyvrl, akr
USB pendrive-rl.
Az adatszivrgs veszlye cskkenthet, ha a
tvoz munkatrs nyilatkozatot tesz arrl, hogy
tisztban van archivlsi, adattadsi, trlsi
ktelezettsgeivel. Ezt hatkonyan egsztheti ki
66/300
a korbban mr emltett szorosabb informatikai
kontroll.
kvetelmnyei
kvetelmnyeket alkalmazsi jogviszony meg-
sznse, illetve megvltozsa esetre. A sza-
blyozs clja annak biztostsa, hogy az alkal-
mazottak, szerzd s felhasznl harmadik felek
szablyos mdon vljanak meg egy szervezettl,
illetve vltoztassanak munkahelyet. [Forrs:
MSZ ISO/IEC 27001:2006]. A szablyozst gy
kell kialaktani, hogy az kitrjen a kvetkez
elemekre:
az alkalmazs megsznsekor
fennll felelssgekre,
a vagyontrgyak
visszaszolgltatsra,
a hozzfrsi jogok
megszntetsre.
67/300
Az alkalmazs megsznsekor fennll
munkavllali, szervezeti felelssg krben
figyelmet kell szentelni az alkalmazs megszn-
tetsekor, illetve megvltoztatsakor fennll
felelssgekre. Ezeket egyrtelmen meg kell
hatrozni, s ki kell jellni. Valamennyi alkal-
mazottnak, a szerzdknek s a felhasznl har-
madik flnek vissza kell szolgltatnia a szervezet
valamennyi birtokukban lv vagyontrgyt,
amikor alkalmazsuk, szerzdsk, illetve megl-
lapodsuk lejr, illetve megsznik.
A hozzfrsi jogosultsgok korltozsnak
valamennyi rintett alkalmazottra, szerzdre s
a felhasznl harmadik flre ki kell terjednie. Az
informcikhoz s informci-feldolgoz es-
zkzkhz val hozzfrsi jogosultsgokat meg
kell szntetni, amikor az rintettek alkalmazsa
megsznik, szerzdsek, illetve megllapodsa
lejr, vagy azt mdosuls esetn a vltozshoz
kell igaztani.
68/300
9. ESET TERLETEK VDELME,
BIZTOSTSA
Fstbe ment jrlapozs
ISO/IEC 27001:2005 A9 Fizikai vdelem s a krnyezet
vdelme / A9.1. Terletek vdelme, biztostsa
Esetlers
A Biztos Nyer Plyzati Iroda plyzat-
figyelssel, plyzatrssal, s nyertes plyzatok
monitoringjval foglalkozik. Irodaknt egy rgi
brhzban kzel 200 m
2
terlet polgri lakst
brelnek.
Az Iroda mkdsnek velejrja, hogy nagy-
on sok szemlyes s bizalmas informcit, zleti
titoknak minsl adatot kezelnek, s intenzv
gyflforgalmat bonyoltanak le. ppen ezrt az
Iroda vezetse nagy hangslyt helyez az inform-
ci- s adatvdelmi szempontokra. Ennek egyik
bizonytka, hogy kipttette mgneskrtys
belptet-, fstrzkel, automatikus tzolt-, s
hmrskletrzkel rendszert, melyet egy
vezetkes s egy mobil telefonvonalon keresztl
tvfelgyeletet ellt szolgltathoz kttetett be.
Az irodt ngy biztonsgi znra osztottk,
amelybl harmadik legvdettebb az n. iratszoba,
amelyben dokumentumokat, projektiratokat s
bizalmas adatokat trolnak. Ide csak az arra
kijellt vezet munkatrsak lphetnek be.
Az iratszobban a hz kzponti cshlza-
tban trtnt meghibsods miatt egy kis ter-
leten fel kellett trni a jrlapot, s kisebb fal-
bontst kellett elvgezni. Mivel a tbb lakst is
rint problma oka a lakson kvl volt, gy a
javtst a hzgondnok irnytsval, a hz klt-
sgnek terhre vgezte a gondnok ltal meg-
bzott vllalkoz.
A vllalkoz a munklatok alatt tbb alkal-
ommal dolgozott az iratszobban. Mr jl ismerte
az iroda dolgozit, s szabad bejrsa volt.
Utols munkafzisknt a jrlapok lerakst
kezdte meg. A jrlapok mretre-vgst
elektromos vg s csiszolgppel vgezte,
amely nagy port keltett a kicsi helyisgben.
70/300
Ennek kvetkeztben az optikai fstrzkel
megtelt porral s beriasztott. A tvfelgyelet
azonnal jelezte az Iroda vezetjnek a riasztst,
aki kzlte a vakriaszts tnyt. A fstrzkel
azonban folyamatosan adta le telefonvonalon
keresztl a jelet, s vgl is egy ra mlva ki kel-
lett hvni a szerelket, hogy tiszttsk meg az
rzkelt. Ennek utna lellt a riaszts, kzben
elkszlt a jrlapozs s visszallt az eredeti
llapot.
Milyen szablyozsa van az
Irodnak a vdett terletekkel,
s az oda val belpssel,
valamint a rendkvli helyz-
etekkel kapcsolatban?
El kellett-e fogadnia az
Irodnak a javtssal megbzott
vllalkozt? Milyen egyb le-
hetsge lett volna?
71/300
Hogyan naplztk az irat-
szobba val be- s kilpst a
javtsi munkk alatt?
Milyen felgyelet mellett dolgo-
zott a vllalkoz az irat-
szobban, s milyen lehetsge
volt az iratszobban trolt doku-
mentumokba val betekintsre?
Tnt-e el dokumentum az irat-
szobbl a feljtsi munklatok
alatt?
Milyen egyb krokat okozott a
keletkezett por a szobban (pl.
az iratokban)?
Ki fizeti meg a vakriaszts mi-
atti telefonkltsget, s a
kiszlls kltsgt?
Van-e, s mit tartalmaz az irat-
szobra vonatkoz
kockzatrtkels?
72/300
A lert eset informci- s adatvdelmi szem-
pontbl egy gondoskod szervezetet r le. A
szervezet gondossgt bizonytja, hogy a kln-
bz felgyeleti rendszerekkel, a tvfelgyelettel
nagyban nveltk az iroda fizikai biztonsgt. A
vdend rtkek srtetlensge elvnek megval-
sulst pl. a belptetrendszer s a tzvdelmi
rendszer, a bizalmassg elvnek megvalsulst
pl. a znkra osztott helyisgek, s az oda val
belpsi szablyozs, mg a rendelkezsre lls
elvt pl. a riasztsra beszerelt dupliklt tele-
fonvonal tmogatja.
A gondosan kiptett rendszerben azonban
tmad egy zavar, amely kizkkenti azt a minden-
napok gyakorlatbl. A csrendszer meghibs-
odsa miatt egy javtsi munkra volt szksg
egy fokozottabban vdett terleten, ahov ide-
genek belpsre is szksg volt. Az esetbl gy
tnik, hogy a gazdasgi szempontok httrbe
szortottk a vdelmi szempontokat, amikor azt
olvashatjuk, hogy a gondnok irnymutatsa
alapjn, valamint az ltala kijellt vllalkoz
73/300
vgezte a javtst. A vdett terletekre val
belps, s az ott folytatott munkavgzs foko-
zott figyelmet ignyel, hiszen az arra illetktelen
vllalkoz knnyen beletekinthetett bizalmas ira-
tokba, lefnykpezhette, elvihette azokat,
lemsolhatta majd ksbb visszavihette, meg-
ronglhatta, amelynek sorn srl a bizalmassg,
rendelkezsre lls s srtetlensg elve.
A munkavgzs sorn kresemny is trtnt,
s vita trgyt kpezheti, hogy kinek kell viselnie
az ezzel kapcsolatos kltsgeket. Tovbbi jogi
problmkat vet fel az eset akkor, ha a
munkavgzs sorn krosultak a dokumentumok
pl. mgneslemezek a por miatt, s bizonythat,
hogy szndkos rongls, vagy eltulajdonts is
trtnt.
Amennyiben informci- s adatvdelmi
szempontokat is rintenek a munklatok, gy az
rintetteknek pl. vllalkoznak fel kell hvni a
figyelmt az ezzel kapcsolatos tudnivalkra. A
pldban a munka megkezdse eltt szksges
lett volna a feljtst vgz vllalkoz
74/300
tjkoztatsra, oktatsra a vonatkoz vdelmi
szablyozst illeten. Gondoljunk csak hasonl
esetre, vagy annak kvetkezmnyre, ha munka-
helyi baleset trtnne!
kvetelmnyei
mellkletnek 9.1. fejezete a terletek
vdelmvel s biztostsval kapcsolatban fogal-
maz meg kvetelmnyeket. A szablyozs clja
a szervezet helyisgeinek s informciinak
vdelme, a jogosulatlan, illetktelen fizikai be-
hatols, krokozs s zavarkelts mega-
kadlyozsa. [Forrs: MSZ ISO/
IEC 27001:2006]. Ahhoz, hogy megfeleljnk en-
nek a kvetelmnynek legalbb az albbi szem-
pontokat kell figyelembe vennnk:
meg kell hatroznunk a fizikai
hatrvonalakat, az oda val
belpsi jogosultsgokat s a
belpsek ellenrzst,
75/300
meg kell hatroznunk a kln-
bz znkban a munkavgzs
rendjt,
fontos, hogy vegyk figyelembe
mind a bels mind a kls
krnyezeti veszlyeket,
valamint a terletekkel kapcsol-
atos logisztikai feladatokkal,
mint pl. rakods, kapcsolatos
belpsi szablyozst.
76/300
10. ESET BERENDEZSEK VDELME
Szerverszoba az perencis Tengeren
Tli nkormnyzatnl
ISO/IEC 27001:2005 A9 Fizikai vdelem s a krnyezet
vdelme / A9.2. Berendezsek vdelme
Esetlers
Az perencis Tengeren Tli nkormnyzat
informatikai infrastruktrjnak kitntetett eleme
a szerverszoba, melyet az nkormnyzati hivatal
bejrata mellett a rgi telefonkzpontos szobban
helyeztek el. Az pletnek van riasztja, de a
szerverszobnak kln nincs. Az pletnek van
villmvdelme (villmhrt), de kln ilyen jel-
leg vdelem a szerverszobhoz nem tartozik. A
helyisget faajt s hagyomnyos kulcsos zr
vdi, de mivel kzvetlenl a portsflke mellett
van, emiatt ritkn fordtjk r a kulcsot a zrra,
hiszen a ports jelenltvel elriaszthatja az es-
etleges behatolkat.
A rendkvl szks anyagi forrsok a bels tr
kialaktst is meghatrozzk. Lgkondicionl
berendezs nincs, ezrt a melegebb nyri na-
pokon kitmasztjk a szoba ajtajt, hogy a leveg
tjrja a helyisget. Sznetmentes ramforrst
csak a kt legkritikusabb szerver (levelezs s
fjlszerver) mg tudtak biztostani, s sajnos az
akkumultorok llapotrl sem gyzdtt meg
senki az elmlt 18 hnapban. A szerverek irattri
fmrcsos szerkezet polcokon vannak el-
helyezve, a kbelezsket a polc mgtt vezettk
el.
Egy kls vezets (lg)adatkbel teremt
kapcsolatot a ft msik oldaln lv Ok-
mnyirodba. Az gyfelek adatai a kormnyzati
gerinchln s vdett csatornkon keresztl
utaznak. A lgkbel csak a bels kapcsolatot
teremti meg. Sajnos szakavatott kezek pr
hnapja ks este nem adatszerzsi cllal
megrongltk a vezetket, de a kapcsolat meg-
szakadsa azonnal feltnt az ppen az pletben
szmtgpn dolgoz polgrmesternek, aki
78/300
azonnal riasztotta a polgrrket, gy nem lett
lopsos kresemny a ksrletbl.
Csak pnzignyes in-
tzkedsekkel javthat a
biztonsg?
Elg lehet-e csak a kritikusnak
minstett szerverek sznet-
mentes vdelme? Mit mond er-
rl a szervezet
kockzatrtkelse?
Szerencss-e a szerverszoba el-
helyezse? Milyen alternatv
megoldsok lehetsgesek?
Szksg lehet-e egy ilyen
szervezetnl akr rendszeres
kls informcibiztonsgi
fellvizsglatra?
Milyen adatforgalom valsulhat
meg a kt plet kztt? Kell-e
79/300
lehallgats elleni vdelem, il-
letve kbelvezetk?
Felttlenl szksges-e a
lgkondicionls, illetve milyen
alternatv megolds vlthatja ki
ezt a mszaki megoldst?
Szksges-e egy tfog kockz-
atrtkels a helyzet
rtkelshez?
Kpes-e a portaszolglat mega-
kadlyozni lopsos, ronglsos,
s egyb informcibiztonsgi
incidenst?
A szks anyagi erforrsok meghatrozzk a
szervezet vdelmi kpessgeit s lehetsgeit is,
ezrt nem az idelis kp felrajzolst tekintjk fe-
ladatunknak, hanem megprbljuk azokat a lehet-
sges vdelmi intzkedseket felsorolni,
melyeket csekly anyagi rfordts mellett is meg
lehet tenni, s lnyegesen cskkenthet lenne a
80/300
hivatal mkdsi kockzata. Ilyenek lehetnek
pldul:
ha mr a helysg nem
helyezhet t, az ajt lecserlse
egy komolyabb vdelmet adra,
a vdett helysgre forgalmi
naplt (belps, kilps)
bevezetni,
ventilltoros hts (helvezets)
megvalstsa,
a sznetmentes tp rendszeres
funkcionlis tesztje.
Kis esettanulmnyunk nem tr ki minden
szba jhet, s fontosnak vlt biztonsgi ten-
nivalkra. Csak jelzsszeren utalunk nhny
tovbbi neuralgikus pontra az perencis
Tengeren Tli nkormnyzat informcibizton-
sgi gyakorlatban:
a kpvisel testlet tagjainak
alanyi jogon biztostott laptopok
vdelmt csak igen ritkn fris-
stik, s a magnhasznlatbl
81/300
ered kockzatokat is nehezen
tudjk kivdeni, ezrt br
technikailag lehetsges nem
biztostanak tvoli elrst a
kpviseli elterjesztsekhez,
hanem inkbb CD-n adjk ki az
anyagokat a testleti lsek
eltt,
a kulcsberendezsek (szerverek
s aktv hlzati eszkzk) kar-
bantartsi szerzdseit nem
hosszabbtottk meg erre az
vre, inkbb vllaljk az eseti
karbantartsok kltsgeit s a
szolgltat alacsony
rendelkezsre llst,
az asztali szmtgpek sele-
jtezsi eljrsa sorn szmviteli
rtelemben kivezetik az es-
zkzket a leltrbl, de a gpek
adathordoz, adattrol
82/300
egysgeit csak egyszeresen s
logikai ton trlik.
kvetelmnyei
kvetelmnyeket a berendezsek vdelmvel
kapcsolatban. A szablyozs clja a
vagyontrgyak elvesztsnek, krosodsnak, el-
tulajdontsnak, illetve megronglsnak,
valamint a szervezeti mkds fennakadsnak
megelzse. [Forrs: MSZ ISO/
IEC 27001:2006]. A berendezsek vdelmvel
kapcsolatosan nagyon sokrt intzkedsekre s
vdelmi eszkzkre kell gondolnunk. Nhny a
vonatkoz szabvnyszakaszbl cmszszeren
kiolvashat kvetelmny s tennival:
krnyezeti hatsok elleni
vdelem (pl. villmvdelem),
83/300
kzmszolgltatsok kiesse el-
leni vdelem (sznetmentes
betplls),
kbelvdelem (lehallgats elleni
vdelem),
berendezsek tervszer s rend-
szeres karbantartsa,
telephelyen kvl hasznlt es-
zkzk biztonsga (pl. laptopok
vdelme),
berendezsek biztonsgos
selejtezse (memria-fellrs),
eszkzk, adatok s szoftverek
telephelyrl val kivitelnek
engedlyezse (szablyzat s
dokumentls).
84/300
11. ESET ZEMELTETSI
ELJRSOK S FELELSSGI KRK
A Krzus Bankhz informcibiztonsgi
szablyzata
ISO/IEC 27001:2005 A10 A kommunikci s az
zemeltets irnytsa / A10.1. zemeltetsi eljrsok s
felelssgi krk
Esetlers
A Krzus Bankhz egy Informcibiztonsgi
Szablyzatot ksztett, mely struktrjban kveti
az ISO/IEC 27001:2005 szabvny szerkezett. A
szablyzatot az informatikai szervezet tartja karb-
an. Kineveztek egy informcibiztonsgi vezett
is, aki az IT igazgat beosztottja.
Az Informcibiztonsgi Szablyzat hiv-
atkozik egy Vltozskezelsi eljrsra, melyet az
informatikai szervezet dolgozott ki pr ve,
amikor elhatroztk, hogy ITIL alap szol-
gltatsmenedzsmentet vezetnek be, mert arrl
volt sz, hogy az egsz informatikt kiszervezik a
Bankhzbl. Idkzben ez lekerlt a napirendrl,
s az eljrs emiatt mra mr egy kicsit poros,
azaz nem rja le a mostani llapotokat.
Minden munkatrsnak van rszletes
munkakri lersa, ebbl kiderl, hogy vannak
olyan kollgk, akik egyidejleg rszt vesznek
fejlesztsi, tesztelsi s zemeltetsi feladatok
vgzsben is.
A rendszergazdk s rendszeradminisztrtorok
tevkenysgt egy olyan specilis alkalmazs
felgyeli, melynek logjaiban az rintettek nem
tudnak vltozsokat eszkzlni, gy az esetleges
informcibiztonsgi incidenseknek letagadhata-
tlan nyoma keletkezik.
A Bankhz informatikai szervezete elssorban
olyan fejlesztsi feladatokat vgez, amelyben
vsrolt banki alkalmazsokon hajtanak vgre
kisebb mdostsokat a helyi ignyeknek meg-
felelen. Mivel kevs a nagykapacits szerverk
a kulcsfontosg banki alkalmazsokhoz, ezrt a
tesztelsi feladatokat is a fejlesztsi clokat
86/300
szolgl szerveren vgzik. Az les alkalmazs
egy msik szerveren zemel.
J helyen van-e a szervezetben
az informcibiztonsgi vezet?
Kell-e gondoskodni a
vltozskezelsi eljrs
vltozskezelsrl (teht fris-
stsrl, mdostsrl,
karbantartsrl)?
Az ITIL-nek val megfelelsg
tmogatja vagy htrltatja a
szervezet ISO/IEC 27001:2005
szabvnynak megfelel
mkdst?
Az ITIL bevezetsnek csak
akkor van-e rtelme, ha az in-
formatikt kiszervezik?
Vannak-e az ITIL-nek inform-
cibiztonsgi vetletei?
87/300
Helyes-e, ha ugyanazok a
szemlyek vgzik a fejlesztsi,
tesztelsi s napi zemeltetsi
feladatokat?
Hogyan biztosthat a rendszer-
gazdk felgyelete olyan m-
don, hogy ne lehessen manip-
ullni a tevkenysgk
bizonytkait?
Szksges-e az les banki alkal-
mazsokat a fejlesztsi cl es-
zkzktl elklnlten
zemeltetni, s mi a helyzet a
virtulis szerverekkel?
A bemutatott esetpldban nhny, inform-
ci- s adatvdelmi szempontbl elgon-
dolkodtat, s megkrdjelezend gyakorlati
megoldst olvashattunk.
ltalban nem szerencss, ha az informcib-
iztonsgi vezet a klasszikus informatika al
88/300
tartozik, mert lehetnek olyan esetek, ahol a
fnkvel szemben kellene kpviselnie inform-
cibiztonsgi rdekeket, s az lmosknyvek
szerint a fnkkel szembe menni nem felttlenl
kifizetd magatarts.
Ha van vltozskezelsi eljrs, az minden-
kppen egy jobb llapot, mint ha nincs, ugyana-
kkor a karbantartatlan eljrs szmos veszlyt rejt
magban. Lehet, hogy olyan vltozskezelsi
gyakorlatot konzervltunk, ami az j technolgiai
s szervezeti helyzetnek nem felel meg. Egy ily-
en helyzetben pedig az eljrs szerepli dntik el,
hogy mikor milyen rutint alkalmaznak, ami elbb
vagy utbb koszhoz vezethet.
Minden szakirodalmi forrs egyetrt abban,
hogy egy szervezetben klnvlasztandak az
zemeltetsi s a fejlesztsi, tesztelsi feladatok.
Ha munkakri lers szintjn is megengedett ez a
tevkenysg, akkor bizonyosan srl az ssze-
frhetetlensggel kapcsolatos kvetelmny.
Tpusos informcibiztonsgi rsknt szoktk
emlegetni azt a helyzetet, amikor a
89/300
rendszergazdk bele tudnak nylni a klnbz
felgyeleti eszkzk ltal ksztett logokba. Ha a
lehetsg adott, akkor a rendszergazda eltnteth-
eti kros tevkenysgnek nyomait, ami slyos
visszalsekhez adja meg a technikai lehetsget.
Nem egy helyen tallkozhatunk olyan helyz-
etekkel, amelyekben az adott szervezet elkezdett
valamilyen szabvny vagy kvetelmnyhalmaz
mentn (pl. ITIL, CobIT, ISO 27001, stb.) sza-
blyozsokat gyrtani, majd a vezeti koncep-
ci vltozsval felhagytak az ptkezssel. Az
ilyen magukra hagyott szablyozsok nha tbb
krt okoznak, mintha nem lettek volna, pedig az
egyes kvetelmnyhalmazok tartalmaznak sz-
mos tfed elemet, azaz nem hibaval er-
feszts elindulni brmelyik irnyba, hiszen
mindegyik tmogatja az informcibiztonsgi
erfesztseket.
kvetelmnyei
90/300
kvetelmnyeket az zemeltetsi eljrsokkal s
a felelssgi krkkel kapcsolatban. A sza-
blyozs clja az informcifeldolgoz es-
zkzk elrsszer s biztonsgos
zemeltetsnek biztostsa. [Forrs: MSZ ISO/
IEC 27001:2006].
A szablyozsi cl megvalstsa rdekben a
szabvny a kvetkez fbb kvetelmnyeket rja
el a szabvnyalkalmazk szmra:
legyenek dokumentlt, karb-
antartott s hozzfrhet
zemeltetsi eljrsok,
az eszkzk s berendezsek
vltoztatsai szablyozott m-
don trtnjenek
(vltozskezelsi eljrs),
bizonyos feladatkrket s
felelssgeket szt kell
vlasztani,
91/300
s legyenek elklntve a fe-
jlesztsi, tesztelsi s les zemi
cl berendezsek.
92/300
12. ESET HARMADIK FELEK
SZOLGLTATS-NYJTSNAK
IRNYTSA
Le a vezetkkel s az automatikus
inflcikvetssel
zemeltets irnytsa / A10.2. Harmadik felek szol-
gltatsnyjtsnak irnytsa
Esetlers
A Szell Szrnyn Kft. informatikai rendszer-
t mr fl vtizede a Mindent Ltok Rendszerhz
zemelteti. Ebbe beletartozik a kft szervereinek
tvfelgyelete, az asztali s hordozhat gpek
szervzelse, s az IT fejlesztsvel kapcsolatos
tancsads is. A kft kisebb replgpek
tervezsvel s gyrtsval foglalkozik. Az in-
formcik fokozott vdelme rdekben kt ve
bevezettek egy informcivdelmi rendszert.
A kft hrom szervert mkdtet, amelyekbl az
egyiken egy specilis, csak a kft szmra
kifejlesztett tervezsi s termelsirnytsi rend-
szert fut, amelyet a rendszer elavultsga s ne-
hzkes frisstse miatt lellt a kft. A kt meg-
marad szervert nagyobb teljestmnyre cserli
s bevezet egy piacon lv, egyszerbb s olc-
sbb tervezst s irnytst tmogat szoftvert. A
fejleszts tovbbi lpse, hogy az irodai kom-
munikciban ttrnek a vezetk nlkli internet
hasznlatra. A termelsben azonban tovbbra is
csak a vezetkes megoldst alkalmazzk. A
szervercserre s kapcsold fejlesztsekre a kft
rajnlatot krt a rendszerhztl, s krte a
korbbi zemeltetsi szerzds tvizsglst, s
az j helyzetre vonatkoz szerzdses javaslatok
megfogalmazst. A kft vezetse gy vli, hogy a
technolgiafejleszts utn a szerverek szmnak
cskkense, az irodai hlzat megszntetse,
kevesebb rendszerfelgyeleti munkt ignyel, gy
krte az zemeltetsi dj tgondolst is. Krte
tovbb azrt is, mert a rendszerhz az j vre a
korbbi v zemeltetsi djnak
94/300
inflcimrtkvel megemelt sszegt szmlzta
a kft rszre.
A rendszerhz meglepdve vette a kft vez-
etjnek krst. k gy vlik, hogy a munka ezt
kveten is ppen annyi lesz, mint korbban volt.
A rendszerhz rendszerfelgyeletet ellt j
kollgja is ebben erstette meg a rendszerhz
vezetjt. Az j kollgt a rendszerhz hat
hnapja rendelte a kft-hez. A korbbi rendszer-
felgyeletet ellt kollga mr nem dolgozik a
rendszerhznl.
Milyen biztonsgi kitteleket
tartalmaz a kft s a rendszerhz
kztti szerzds? Miknt
rendelkezik a szerzds a
vltozskezelsrl?
Milyen vltozst jelentett a kft
s a rendszerhz szerzdses
viszonyban a kt vvel ezeltti
95/300
informcibiztonsgi rendszer
bevezetse?
Milyen vltozsokat jelent a
tervezett IT-fejleszts?
Hogyan rtkeli a kft vez-
etjnek az zemeltetsi
szerzds tvizsglsra, s az
j r megllaptsra vonatkoz
krst?
Hogyan trtnt a szemlycsere a
rendszerfelgyeletet ellt
munkatrs esetben?
Engedlyezte-e az j kollgt a
kft?
Tisztban van-e a kft vezetse a
tervezett IT-fejleszts miatti j
kockzatok megjelensvel?
Ksztettek-e kockzatrtkelst
a meglv helyzetre?
96/300
A lert pldban napjainkban egyre gyakrab-
ban elfordul IT fejlesztst olvashatunk. A vez-
etk nlkli megoldsra val ttrs knyelmi
szempontbl csbt, azonban sokan nincsenek
tisztban az ebbl fakad kockzatokkal, j
tpus fenyegetettsgekkel. Minden szervezet
szmra fontos, hogy lssa ennek kockzati
tnyezit, ezrt kft-nek kockzatrtkelst s
kockzatkezelsi tervet kell(ett) (volna) kszteni.
A kockzatrtkels vilgthat r, hogy az elvrt
biztonsgi szint milyen technolgiafejlesztseket,
s vdelmi intzkedseket tesz szksgess.
A technolgiafejleszts mellett a pldban
msik kulcstma a vltozskezels. Az inform-
cibiztonsgi rendszer bevezetsekor a kft
egszen biztosan ksztett kockzatrtkelst, s
felttelezhet, hogy a kft s a rendszerhz kztti
zemeltetsi szerzdsbe is bekerltek inform-
cibiztonsgi rendszer ltal szksges
kvetelmnyek. Ha ez nem trtnt meg, akkor
nem volt krltekint a rendszerbevezetsekor a
kft vezetse.
97/300
Az zemeltets feladatnak bizalmi s
vdelmi szempontjai miatt clszer a feladatot
ellt munkatrsakat a szerzdsben nevesteni.
Abban az esetben, ha szemlycserre kerl sor,
akkor az j szemlyeket engedlyeznie kell a kft-
nek, hiszen az szerzdsmdostsnak szmt.
gy vljk, hogy a megvltozott szemlyi,
mszaki s gazdasgi helyzetre vonatkozan jo-
gos a kft vezetsnek krdse a szerzds tvizs-
glsra vonatkozan. Az j szerzdses
felttelek kialaktsban azonban figyelembe kell
venni a gazdasgi, infrastrukturlis, biztonsgi,
jogi s egyb ms szempontokat is.
kvetelmnyei
mellkletnek 10.2. fejezete az harmadik felek
szolgltatsnyjtsa irnytsval kapcsolatban
fogalmaz meg kvetelmnyeket. A szablyozs
clja az informcibiztonsg s szol-
gltatsnyjts megfelel szintjnek bevezetse
98/300
s fenntartsa a harmadik felekkel kttt szol-
gltatsnyjtsi megllapodsokkal sszhang-
ban. [Forrs: MSZ ISO/IEC 27001:2006]. A
szolgltatsnyjts biztonsgi krdsit a PDCA
elv szerint kell tovbbvizsglni, azaz:
a harmadik felekkel kttt
szerzdsekben rgzteni kell a
biztonsggal kapcsolatos
kitteleket, elvrsokat,
felelssgeket,
a harmadik felek ltal nyjtott
szolgltatsokat, klns tekin-
tettel a kapcsold biztonsgi
krdsekre, folyamatosan figye-
lemmel kell ksrni, s rend-
szeres clzott auditokat is el kell
vgezni,
megfelel vltozskezelsi
eljrst kell fenntartani, annak
rdekben, hogy akr a har-
madik flnl, akr a szervez-
etnl trtnt vltozsok
99/300
kockzatait felmrjk, s ezzel
sszhangban mdostsk a kt
fl kztti egyttmkdst.
100/300
13. ESET RENDSZERTERVEZS S
ELFOGADS
Ameddig a takard r avagy kapa-
citsok s verzik
zemeltets irnytsa / A10.3. Rendszertervezs s
elfogads
Esetlers
Az egszsggyi tszervezs sorn a Mell s
Has Ispotlyt (tovbb MHI) sszevontk a Lb
Ispotllyal s a Fej Ispotllyal. Az j szervezet
neve ltalnos Ispotly (tovbb I) lett. Mivel
eredetileg a legnagyobb intzmny az MHI volt,
gy ebbe olvadt be a msik kt intzmny. Az
egyesls sorn az j szervezet nem llami in-
tzmnyknt, hanem gazdlkod szervezetknt
alakult meg. Az egysges igazgats s az inform-
atika az MHI bzisn jtt ltre.
Korbban az MHI munkagyi feladatok
elltsra megelgedssel hasznlta az
Egszsggyi Humn s Br (rviden EHBER)
nev programot. Az AI felvette a kapcsolatot az
EHBER fejlesztjvel. Szerettk volna tudni,
hogy kpes-e a program a 180%-ra nvekedett
ltszm kiszolglsra? Kielgten fog-e
mkdni az internet kapcsolatra pl virtulis
magnhlzat (VPN) ignybevtelvel? Mindez
mennyivel nveli a havi karbantartsi djat? Ked-
vez vlaszokat kapva a fejlesztst
vgrehajtottk.
A VPN kapcsolat tvolabbi vgn lev fel-
hasznlk esetben a program kiss lassabb volt
ugyan, mint a kzpontban, de nem volt kritikusan
lass. Az intzmny rszei kztti bels, de fiz-
ets hlzaton keresztli telefonbeszlgetsek
kltsgt az IP technolgia alkalmazsval
cskkentettk. Az internet kapcsolatot terhel IP-
telefon kapcsolat belpsvel kezddtek a
problmk. Eddig nem tnt fel senkinek, hogy a
klasszikus fjl elrst (fjlszerver) hasznl pro-
gram gymond zablja a svszlessget.
102/300
jra az EHBER fejlesztjhez fordultak. A
vlasz megnyugtatnak hangzott. A bels
tesztelsek utn mr kisseb felhasznlkat siker-
esen tlltottak a program j, SQL adatbzist
hasznl, verzijra. A programfrisstsnek nem
volt anyagi vonzata. Az adatok konvertlsrt
azonban egy mltnyos sszegben llapodtak
meg. Az tlls utn a VPN kapcsolatot terhel
adatforgalom jelentsen cskkent, gy a svsz-
lessgben mg kis tartalk mutatkozott.
Mire elgedetten htra lehetett volna dlni,
jabb problma jelentkezett. Az EHBER fe-
jlesztjnek sem, a teszt mintjban sem, a
korbban tlltott partnereinl sem fordult el
egy specilis eset. Az j kollektv szerzds a
szabadsg szmts kedvezbb mdjt garantlta
az tigazolt dolgozk szmra. Ennek hatsa
termszetesen az els brszmfejts ellenrzse
sorn jelentkezett. Az EHBER fejlesztje annak
ellenre, hogy AI rszrl nem tjkoztattk e
specialitsrl, kszsggel lt rendelkezsre,
hamarosan mdostotta a programot a kvnt
103/300
mdon. Az AI-nek csak a megismtelt feldol-
gozsokkal kapcsolatos bels kltsgeket (tlra
djak, stb.) kellet llnia.
Az adatfeldolgozi rendszerek
fejlesztsekor a kezelend ada-
tok megnvekedse ltal in-
dokolt trhely nvekedsen tl,
mely erforrsok bvtst
ignyli?
Mekkora a hardver- illetve
egyb erforrsignye az
adatbzis-mveleteknek?
Mekkora svszlessg ig-
nybevtelvel lehetsges a ter-
leti tagoltsg kiszolglsa?
Mekkora svszlessget kvn a
kltsgcskkents rdekben
bevezetett IP-Telefonia?
Milyen kihatsokkal van a
szervezeti forma vltozsa a
104/300
munkatrsak adatainak
kezelsre az ttteles hatsokat
is figyelembe vve?
A mennyisgi vltozsok minsgi
vltozss csapnak t. Ez a kijelents nem
kizrlag az tkos rendszerekben bizonyul
helytllnak. A dolgozi ltszm majd megkt-
szerezdsnek kiszolglsra nem elegend a
kapacitsokat megktszerezni, hanem szeml-
letvltozsnak is kell bekvetkezni. A korbban
kifogstalan adatfeldolgoz rendszernek struk-
trjban, szemlletben is kvetnie kell a
vltozsokat.
A fenti pldban szerepl I szerencsvel
vszelte t a vltst a ktlpcss tllssal. Men-
nyivel zkkenmentesebb lehetett volna mindez,
ha elre megtervezik a lpcsfokokat s az azok
megttelhez szksges elfeltteleket feltrjk!
Figyelembe kell venni, hogy az internet kapc-
solati sebessgek az utbbi idkben jelentsen
105/300
megemelkedtek. Az a svszlessg, ami
zkkenmentesen kiszolglja a j minsg tbb
rsztvevs videokonferencit, mg nem elegend
fjlhozzfrsen alapul adatfeldolgoz-rendszer
sok felhasznls mkdtetsre. Az I szerenc-
sje, hogy ttrhetett SQL-szerveres megoldsra.
Az elkszts gyengesgt jelzi, hogy nem
trtk fel az tlls jogszablyi
kvetelmnyeinek, lehetsgeinek s az adatfel-
dolgoz rendszer kpessgei kztti egyt-
tllsokat, eltrseket. Az EHBER fejlesztje az
ismert veszlyekre bizonyra felhvta a figyel-
met, segtett a csapdk elkerlsben, a jelentkez-
ett egyetlen extra eset is erre utal. A kvetkez
hasonl esetre mr ezzel is gyarapodott az ismert
veszlyek trhza.
kvetelmnyei
kvetelmnyeket a rendszertervezsre s annak
106/300
elfogadsra vonatkozan. A szablyozs clja a
rendszerhibk kockzatnak minimalizlsa.
[Forrs: MSZ ISO/IEC 27001:2006]. A szab-
vnyalkotk ezen bell klnsen
a kapacitsmenedzsels s
a rendszelek tvtele s
elfogadsa
tmakrkben adnak meg tovbbi
kvetelmnyeket.
Klnsen fontos a megkvnt teljestkpess-
g biztostsa s az ezt kiszolgl rendszerek
mszaki s egyb jellemzinek sszehangolsa.
A bevezetend rendszerekre vonatkozan ki kell
alaktani a tesztelsi s az tvteli rendet, s nem
szabad elfeledkezni a bevezetett rendszer
megfelelsg-vizsglatrl sem.
107/300
14. ESET VDELEM A ROSSZINDU-
LAT S MOBIL KDOK ELLEN
Komplex vdekezs a Vdett Iroda Kft.-
nl
zemeltets irnytsa / A10.4. Vdelem a rosszindulat s
mobil kdok ellen
Esetlers
A Vdett Iroda Kft. mr vek ta ered-
mnyesen kzd a klvilg fell rkez tmadsok
ellen. Mg nem volt ISO/IEC 27001:2005 szab-
vny szerinti informcibiztonsgi rendszerk,
de mr rtegzett vdelmet alaktottak ki: tzfalak
s behatols detektl s megelz eszkzk
(IDS/IPS) vdik a hlzatot, a vgpontokra
teleptettek olyan komplex vdelmi szoftvereket,
amely a vrusok, kmprogramok elleni vdelem
mellett az egyb krtkony kdok elleni
vdekezst is tmogatjk.
Az egyes vdelmi eszkzk klnbz
gyrtktl szrmaznak, mindegyik sajt
loggyjt s elemz rendszerrel br. Tbb olyan
gyrt termkvel ksrleteztek, amelyik azt
lltotta, hogy minden vdelmi eszkz ltal szol-
gltatott adatot egy kzponti loggyjt rend-
szerbe kpesek sszeszedni s rtkelni, de eddig
nem talltk meg azt az eszkzt, mely minden
adatot gond nlkl kezelne, legyen sz brmilyen
gyrt biztonsgi termkrl. Jelenleg olyan
hatalmas logmennyisg keletkezik tbb rendszer-
ben is, hogy nincs rendszergazdai kapacits
minden adatfolyam kirtkelsre.
A szervereket a gyrtk ltal ajnlott
belltsokkal zemeltetik, s a biztonsgi fris-
stseket is automatikusan letltik. Sajnos ninc-
senek teszt szervereik, amire prbakppen letl-
tenk a biztonsgi frisstseket az egyes alkal-
mazsokhoz. Mindig az les rendszerekre
knytelenek rengedni a friss patcheket. Eddig
mg szerencsjk volt, mert nem volt zemvar
vagy lells a biztonsgi frisstsek
109/300
sszefrhetetlensge miatt. A menedzsment
jelenleg elzrkzik egy komolyabb szerverdup-
likl beruhzstl.
Tervezik, hogy kls szakrt cgtl egy
etikus hekkelsi szolgltatst is megrendelnek,
hogy kiderljenek a hlzat, s a tbb ltaluk
mkdtetett honlap gyenge pontjai is.
A mobil kd hasznlatra vonatkozan szig-
or szablyozsokat s belltsokat lptettek
letbe, radsul a nem zleti cl internetezst er-
sen korltozzk tartalomszr megolds alkal-
mazsval is.
Nem feledkeztek meg a dolgozk kpzsrl
sem. Rendszeresen tartanak clcsoportos
bontsban minden dolgozra kiterjed inform-
cibiztonsgi tudatost kpzseket. Kiemelt
tma az adathalszati tevkenysg elleni
vdekezs, s a laptopok, PDA-k, okos telefonok
vdelme.
110/300
Mi adhat komplexebb s jobb
vdelmet: egy nagy biztonsgi
gyrt sok termknek
hasznlata, vagy sok gyrt
egy-egy termknek az
alkalmazsa?
Lehet-e haszna a loggyjtsnek,
ha a rendszergazdknak nincs
kapacitsa a logok elemzsre?
rdemes-e a kzponti
loggyjts, logelemzs
rdekben erfesztseket tenni?
Mivel lehetne meggyzni a
menedzsmentet a krdses
szerverberuhzsrl?
Szksg van-e kls fl ltal v-
grehajtott etikus hekkelsre?
Hogyan oktassunk: ltalnos in-
formcibiztonsgi ismerteket
mindenkinek, vagy clcsopor-
tonknt, az egyes
111/300
szakterletekre szabva folyjanak
a trningek?
Azt mondjk, hogy ltalban a heterogn s
rtegzett vdelem a hatkony, ugyanakkor nyil-
vnval problmkat okoz az egyes gyrtk log-
jainak egy eszkzbe terelse. A Vdett Iroda Kft.
is ezzel a problmval kzd. Nehz az dvzt
utat megtallni az ilyen helyzetekben.
Elgondolkodtat, hogy a naplbejegyzsek
(logok) szma mr tlntt a kezelhet mreten.
Ha nincs rendszergazdai kapacits a
logelemzsre, akkor a megelz kpessge a
szervezetnek ersen korltozott. Kln krds
mg a logok rendszergazdktl val vdelme:
olyan megoldst szksges tallni, amely
biztostja, hogy a rendszergazdk ne tudjk
utlag fellrni a naplbejegyzseket, mert csak
gy kerlhet el, hogy az illeglis cselekmnyek
nyomai ne tnjenek el a rendszerbl.
112/300
Bizonyosan komoly kockzatot jelent, ha a
frisstseket egybl s azonnal az les rend-
szerekre tltik le. Tbb olyan, a gyrtk ltal hi-
bsan kiadott kddal tallkozhattunk, amikor a
letlts utn a javtott program nem tudott
mkdni, s emiatt lett teljes rendszerlells. Ha
van egy j mentsi s visszalltsi megoldsunk,
akkor taln nem lesz az adatvesztsnk olyan tra-
gikus. A menedzsment mindig a pnz nyelvn
rt: ha az informcibiztonsgi vezetnek
lesznek pnzben kifejezett szmai a bekvetkez
krok mrtkrl, akkor a vezeti dnts rgtn
egy olyan skra tereldik, ahol mr nem az es-
etleges rzelmek (A biztonsg tl drga!)
dntenek.
A mgoly rtegzett vdelem sem jelenthet 100
%-os biztonsgot. A specializldott szakcgek
olyan trsi teszteket vgeznek, melyek a bizton-
sgi rseket j esllyel mutatjk fel. Termsz-
etesen ez is pnzkrds. A vezet akkor veszi ig-
nybe rendszeresen az ilyen szolgltatsokat, ha
113/300
szembesthet azzal a krral, amit egy rossz-
szndk behatol okozhat.
kvetelmnyei
kvetelmnyeket a rosszindulat s mobil kdok
elleni vdelemmel kapcsolatban. A szablyozs
clja a szoftver s az informci srte-
tlensgnek megvsa. [Forrs: MSZ ISO/
IEC 27001:2006].
A szabvny alapjn elvrs, hogy legyenek
szlelsi, megelzsi s helyrelltsi in-
tzkedsek a rosszindulat kdok elleni
vdekezs rdekben, s a felhasznlk rszre
megfelel tudatost eljrsokat vezessenek be.
Ahol mobil kdok (pl. JavaScript, VBScript,
Java appletek, ActiveX kontrollok, Flash-anim-
cik s Office dokumentumokba gyazott
makrk, stb.) hasznlata engedlyezett, ott az in-
formatikai rendszerek konfigurcijnak
114/300
biztostania kell, hogy az engedlyezett mobil
kd a biztonsgi szablyzatnak megfelelen
mkdjk, valamint a nem engedlyezett mobil
kdot vagy kdokat a hasznlatbl kizrjk.
115/300
15. ESET BIZTONSGI MENTS
Adattrols a Gyorsszerviz Kft-nl
zemeltets irnytsa / A10.5. Biztonsgi ments
Esetlers
A Gyorsszerviz Kft. szrakoztatelektronikai
s hztartsi gpek szervizelsvel foglalkozik.
Tbb mrkakereskednek a mrkaszervize is.
Budapesten 3 zletk van, s az gyflszol-
glaton keresztli megrendelsre kimennek gy-
felekhez is a helysznre.
A Gyorsszerviz Kft. mkdse s szol-
gltatsa sorn keletkez s az azokhoz szk-
sges adatait az informatikai rendszern trolja.
A szervizelshez szksges gyfladatok s gy-
flforgalmi adatok egy kln szolgltatsi
szerveren vannak, amelyhez egy ismers pro-
gramoz rt egy nll alkalmazst. A biztonsg
rdekben ez a szerver kt merevlemezzel
rendelkezik, amin az adatokat dupliklva
troltk. A munkatrsak a bels hlzaton
keresztl frnek hozz ehhez az alkalmazshoz s
a hozz kapcsold gyfladatbzishoz. A tbbi
bels fjlszerver szolgltatsra s az internetes
levelezsre szolgl a cg msik szervere. A
munkavgzsekkel, projektekkel kapcsolatos
fjlokat minden munkatrs a sajt gpn kezeli.
El van rva, hogy a fontosabb cges l-
lomnyokat mindenki mentse le a kzs
szerverre, ahol mindenki kapott a rendszer-
gazdtl egy nevre szl knyvtrat rsi jogo-
sultsggal. Ezeket az informcikat a tbbi
munkatrs is lthatja, igaz hogy csak olvassi jo-
gosultsggal. Ennek a msik szervernek a
fjlszervizeit rendszergazda kb. 2-3 havonta
kirja egy CD-re, amit eltesz az rasztala feletti
fali polcra.
Az gyvezet igazgat s a rszlegvezetk
kln notebookon dolgoznak, aminek tartalmt
gyakorlatilag soha nem mentik ki a szerverekre,
mondvn hogy azok olyan bizalmas zleti in-
formcikat is tartalmaznak, amikhez msoknak
117/300
nem szabad hozzfrnik. Ezen tlmenen sz-
mos fontos informcit tartalmaz az elektronikus
levelezs is, amelyet minden kollega sajt gpn,
a sajt levelez kliensn keresztl rhet csak el.
Ezekrl sem kszl ments.
Meghatrozott-e, hogy a kft
milyen rzkenysg inform-
cikkal dolgozik?
Mely munkatrsaknak szk-
sges ezekhez hozzfrnik?
Milyen informcik vesznek el
egy munkalloms s/vagy
szerver s/vagy notebookok hir-
telen fellp tnkremenetele, s
pl. az opercis rendszer szk-
sges jrateleptse esetn?
Milyen srn kell a munkatr-
saknak az adataikat a szerverre
msolni? Milyen adatokra terjed
118/300
ez ki? Ki ellenrzi ezek
betartst? Szablyozott-e ez?
Elgsges-e a szerverek l-
lomnyainak 2-3 havi mentse?
Mi garantlja a kirt CD-krl
trtn visszallthatsgot?
Mi garantlja, hogy a rendszer-
gazda szobjban a fali polcon
mindig biztonsgosan
hozzfrhetk maradnak az oda
letett CD-k?
Mi trtnik, hogyha megsrl-
nek, vagy egyb ok miatt
hozzfrhetetlenn vlnak az
eddigi elektronikus levelek?
Milyen informcik vesznek el?
A fenti pldban nincs meghatrozva a fel-
hasznlt zleti s munkavgzshez szksges ad-
atok, informcik kre, struktrja, azok
egysges trolsi rendszere, s gy mentsi
119/300
rendszere sem. Gyakran elfordul, hogy minden
felhasznl a sajt adatait a sajt gpn kezeli, a
sajt egyni s trtnelmileg kialakult struk-
trjban, amin rajta kvl sokszor senki ms
nem igazodik ki. (Nha meg maga sem.) Az
egyni szerverre msols ritkn mkdik
kvetkezetesen s jl. gy pldul egy hardver-
meghibsods esetn akr neki, sajt megnak is
veszhetnek el fontos adatai. Amennyiben elmegy
a vllalattl, sokszor egyszeren trlik a
szmtgpt az adataival egytt, mondvn, hogy
ezen ms gysem tud eligazodni. Ilyenkor nem
gondolnak bele, hogy milyen informcik men-
nek veszendbe a trlssel a cg szmra.
A kzs fjlszerveren lv adatoknak nincs
egysges struktrja, s gy az sem ismert, hogy
melyik adat milyen srn frissl, melyik men-
nyire rzkeny? A mentsi rend miutn nincs is
ilyen gy nem is tud ehhez igazodni. ltalban
negyedvente kszt egy mentsi CD-t a rend-
szergazda, ami ott porosodik a polcn. Ez tbb
szempontbl is veszlyes. Egyrszt a tervezett
120/300
CD-re rs eltti vletlen adatvesztskor mintegy
negyedvnyi informcik mehetnek veszendbe.
A visszaolvassi kiprbls nlkl nem garantlt,
hogy egy fellp adatvesztskor a mentett adatok
valban visszallthatak. A polcon porosod
CD-k knnyebben srlnek, vesznek el, vagy biz-
almas informcik esetn knnyebben kerlhet-
nek illetktelen kezekbe.
A notebookokon trolt adatok biztonsga gy-
enge. Nemcsak a knnyebb s gyakoribb
meghibsods, hanem a klnsen nagy ellopsi
kockzat miatt is.
A redundns adattrols csak bizonyos jelleg
hibaforrs/hiba esetn nyjt vdelmet, de nem
ltja el a ments funkcijt. A szolgltatsi s
gyfladatbzis mentse, szksges vissza-
llthatsga gy mg nem megoldott.
kvetelmnyei
mellkletnek 10.5. fejezete fogalmaz meg a
121/300
biztonsgi mentsre vonatkoz kvetelmnyeket.
A szablyozs clja az informci s az
informci-feldolgoz eszkzk srtetlensgnek
s rendelkezsre llsnak fenntartsa. [Forrs:
MSZ ISO/IEC 27001:2006]. A mentsi sza-
blyozs kialaktsnl a vagyonleltra s
kockzatrtkelsre alapozva a kvetkezket
kell megfontolni:
a mentsi informcik szks-
gessgnek kre, szintje,
a msolatok s a visszalltsi
eljrs pontos s teljes
dokumentcija,
a mentsek terjedelme, s a
mentsek trolsi helye,
a mentsek berendezseinek s
helysznnek fizikai vdelme,
a mentsi adathordozk rend-
szeres fellvizsglata,
a visszalltsi eljrsok rend-
szeres ellenrzse,
122/300
a mentsek megfelel
titkostsa, a mentsek vdelme,
a mentsi adathordozk sele-
jtezsnek rendje.
A mentsi eljrsokat lehet automatizlni is,
amivel a folyamat kivitelezse nagymrtkben
megknnythet.
123/300
16. ESET HLZATBIZTONSG
KEZELSE
A kzelben lak informatikusok WIFI-s
megoldsai
zemeltets irnytsa / A10.6. Hlzatbiztonsg kezelse
Esetlers
A Illatradat Kft. a megyeszkhelyen lv
kzponti irodjbl irnytja kereskedelmi hlz-
att. Illatszerek kereskedelmvel foglalkozik.
Tbb neves mrknak az egyedli forgalmazja.
Mkdse sorn keletkez s az azokhoz szk-
sges adatait az informatikai rendszern trolja.
A kzponti irodapletben vannak a szerverek is.
A bels hlzatot itt, az pleten bell ptettk
ki. Ehhez a hlzathoz szlessv internet kapc-
solattal csatlakoznak tovbbi zlethelyisgek
szmtgpei. A rendszergazda a kzponti zleth-
elyisggel szomszdos hzban lakik, gy a note-
bookjval egy kbelmentes hlzaton (WiFi)
csatlakozik fel a hlzatra. A WiFi kapcsolaton a
rendszergazda belltotta a MAC-szm azono-
stst, s a WEP titkostst is.
A szervizszolgltats adatait egy kln erre a
clra fejlesztett, adatbzis alap alkalmazs
kezeli. Ide vezetik fel az egyes megrendelseket
s azok adatait, itt kvetik nyomon azok llapott
s sttuszt. Ez a rendszer kezeli tovbb a
raktr-nyilvntartst is, valamint a szerzdtt
viszonteladk adatait s a velk val kereskedel-
met. gy napi munkja sorn ezt a rendszert
hasznljk az zletktk, az anyagbeszerzk, s
az gyflszolglatos kollgk is. Minden kollga
sajt nevvel s egyedi jelszavval jelentkezik be
a rendszerbe, azonban a jogosultsgi belltsok
mindenkinek megengednek minden adathoz val
teljes hozzfrst.
A kls megbzott szoftverfejleszt, a jelzett
hibknak megfelelen havi egy-kt alkalommal
kijavtja az addig tallt hibkat, s tbbnyire ot-
thonrl letlti a frisstst a rendszerre. Ezrt
125/300
biztostott szmra a tvoli hozzfrs az les
rendszerhez is.
Meghatrozott-e s
szablyozott-e, hogy a bels
hlzaton keresztl melyik
munkatrs illetve kls partner
mihez, s milyen jogokkal
frhet hozz?
tgondoltk-e a hlzati
hozzfrsekbl ered (bels s
kls) fenyegetettsgeket, s az
ezeknek megfelel vdelmi
intzkedseket?
Hasznlnak-e, s milyen
bellts s funkcij tzfalat?
Vizsgljk-e az adatforgalmat,
hogy kiszrhessk belle az il-
letktelen adatforgalmat?
Mennyire megbzhat a szerviz-
szolgltatst nyjt alkalmazs
126/300
mkdse, s az adatainak
konzisztencija? Hogyan vizs-
gljk, hogyan mrik ezt?
Milyen problmt okozhat az
adatbzisban, hogy a rendszer-
hez hozzfr munkatrsak
teljes hozzfrsi jogosultsga
van?
tgondolt-e, hogy a szoftverfe-
jleszt ltal otthonrl letlttt
pro-
gram(verzi)vltoztatsoknak
van-e s milyen hatsa az
adatbzisra?
Mekkora kockzatot jelent a
fut kdokhoz s az adat-
bzishoz val teljes jog tvoli
hozzfrs?
Rgztettek-e a szerzdsben a
kls szoftverfejlesztvel szem-
beni hibajavtsi, karbantartsi
s biztonsgi kvetelmnyek?
127/300
A fenti pldban a bels hlzathoz sok a
kls hozzfrsi pont, amely klnsen nagy
kockzatot, s annak vdelme nagyobb
odafigyelst jelent. Az interneten keresztli be-
jelentkezsnl krds a (pl. msik zlethelyisg-
bl az interneten) bejelentkez kollga egyr-
telm azonostsa, s az informatikai rendszer
elemeihez val hozzfrsi jogosultsgainak
belltsa. Itt ltalban gyenge azonostsnak
minsl, ha az mindssze csak egy jelszbl ll.
Gyakran elfordul, hogy a tvoli
hozzfrseknl a hozzfrshez adott egyni
azonosts kimerl az egyni jelszban, s
elkpzelhetetlennek tartanak minden egyb
kls, illetktelen behatolst a rendszerbe. gy
azok ellen nem, vagy csak nagyon minimlis
mrtkben vdekeznek. A rendszerbe bejuttatott
vrusukon, km-programokon, vagy a megszerz-
ett jelszavakon kvl is szmos egyb mdja van
egy rendszer feltrsnek. Nemcsak a rendszerbe
az idegenek ltali behatols jelenthet veszlyt,
128/300
hanem a nylt hlzaton kommuniklt adatok le-
hallgatsa is.
A WiFi-vel kapcsolatban kln veszlyt
jelent, hogy aki a kzeli pletekben a rdijelet
venni tudja, az potencilisan csatlakozhat a
hlzathoz. A MAC-szm (hardver eszkzk
beptett fizikai kdjai) szerinti szrs s a WEP
titkosts belltsa mr jelent egy alapszint
vdelmet s egy tudatos vdekezsi szndkot.
Ez a vdelmi szint azonban csak az abszolt
tudatlan tmadkkal szemben vd, akik komo-
lyabb informatikai ismeret nlkl kbel nlkli
szabad internetes csatlakozsi lehetsgeket
keresnek. Szndkos feltrsi ksrlet ellen azon-
ban szigorbb vdelmi intzkedsekre,
belltsokra van szksg.
Statisztikai tny, hogy az informatikai incid-
ensek tbbsgt bels alkalmazottak, s nem
kls hekkerek okozzk. A bels incidenseknek
is szmottev rsze nem vletlen hiba, hanem
szndkossg kvetkezmnye. Bels
129/300
munkatrsak elleni vdelemre nagyon kevs cg
fordt figyelmet.
kvetelmnyei
kvetelmnyeket a hlzatbiztonsg kezelsre.
A szablyozs clja a hlzatokban lv in-
formcik megvsnak s a tmogat in-
frastruktra vdelmnek biztostsa. [Forrs:
MSZ ISO/IEC 27001:2006]. A hlzatbiztonsg
kezelsnek szablyozst gy kell kialaktani,
hogy az kitrjen mind a hlzatok vdelmre,
mind a hlzati szolgltatsok biztonsga.
A hlzatok biztonsgos kezelse, amely
tvelhet a szervezeti hatrokon, gondos megfon-
tolst kvn az adatfolyamatra, a jogi
kvetelmnyekre, figyelemmel ksrsre s a
vdelemre vonatkozan. A szablyozs ki-
alaktsnl gyelni kell arra, hogy minden
hlzati szolgltats biztonsgi jellemzit,
130/300
szolgltatsi szintjeit s irnytsi kvetelmnyeit
azonostsk s foglaljk bele a szolgltatsi
megllapodsokba, legyen akr bels, akr kls
(kiszervezett) szolgltatsrl sz.
131/300
17. ESET ADATHORDOZK
KEZELSE
Selejtezett szmtgpeket adomnyoz az
Adathordoz Zrt.
zemeltets irnytsa / A10.7. Adathordozk kezelse
Esetlers
Az Adathordoz Zrt. jelents szervezet-
talaktson ment keresztl. Ennek
kvetkeztben talakultak bels mkdsi
folyamatai, megvltozott a szervezeti felptse
s egy j integrlt vllalatirnytsi rendszert is
bevezettek. Az talakts egyik kulcsterlete az
jonnan kialaktott kereskedelmi igazgatsg
volt. A kereskedelmi igazgatsg a korbbi ter-
mkdivzikba tartoz zletktk, s gyfl-
menedzserek, valamint nhny kzponti n. cor-
porate funkcit betlt munkatrs
thelyezsvel, s rszben j munkavllalk al-
kalmazsval jtt ltre.
Az j vllalatirnytsi rendszerhez val jobb
csatlakozs s az egysgests jegyben lecser-
ltk a korbbi szmtgpeket, s minden
munkatrs j laptopot kapott. A rgi eszkzket,
asztali s hordozhat szmtgpeket jelkpes
sszegrt megvsrolhattk a munkatrsak, il-
letve a korbbi vekhez hasonlan egy
alaptvnyt s egy ltalnos iskola informatikai
szakkrt tmogattk vele. Az adomnyokat egy
jtkonysgi rendezvnyen kaptk meg az ad-
omnyban rszeslk. A korbbi eszkzkhz
kapcsold egyb adathordozk, mint pl.
pendrive-ok is tadsra kerltek.
A kereskedelmi igazgatsg ltrehozsval a
munkatrsak nemcsak jogilag kerltek j
szervezeti egysghez, hanem nll egysgknt
az irodaplet 4. emeletre kltztek. A kltzs
minden munkatrsat rintett. A kltzs sorn a
munkatrsak korbbi munkahelykn selejteztek,
s csak a legszksgesebb dolgokat vittk
magukkal. Sokan kidobltk az vek alatt
felgylemlett felesleges paprokat
133/300
(szerzdsmsolatokat, ajnlatokat, stb.), CD-ket,
mgneslemezeket.
Van-e selejtezsi szablyzata az
Adathordoz Zrt.-nek? Ha igen,
akkor mennyire felelt meg az
eljrs a bels szablyzatnak?
Trltk-e a gpekhez kapc-
sold adathordozk tartalmt?
Mennyire biztonsgos a trls?
Visszallthatk-e a trolt, majd
trlt informcik?
Milyen opercis rendszer, s
szoftverek kerltek tadsra a
gpeken?
Milyen adatok voltak a
szmtgpeken? (Bizalmas,
szemlyes, stb.)
Az tadott gpeken
megmaradtak-e azok a
szoftverek, amelyek
134/300
hasznlatval csatlakozni lehet
az Adathordoz Zrt. bels
hlzathoz?
Milyen adattartalom volt az
tadott egyb adathordozkon?
Miknt selejteztk, semmis-
tettk meg a CD-ket,
mgneslemezeket?
Milyen a szervezet vonatkoz
dokumentumkezelsi
szablyzata?
Kiterjed-e a doku-
mentumkezelsi szablyzat a
papr s az elektronikus doku-
mentumok kezelsre is?
A kidobott papr alap s
elektronikus adathordozkat
megsemmistettk, vagy a kom-
munlis hulladkba dobtk?
135/300
olvashattunk.
Tovbbi vizsglatot ignyel annak feldertse,
hogy az tszervezssel hogyan mdosul az rin-
tett kollgk jogosultsgi rendszere. A korbbi
gyakorlattl eltren milyen korltozsok lpnek
fel s milyen j lehetsgek jelennek meg a
munkatrsak szmra bizonyos adathordozkhoz
val hozzfrssel kapcsolatban.
Gyakran elfordul, hogy selejtezett
szmtgpeket jelkpes sszegrt rtkesti a
selejtez cg, vagy adomnyknt arra rszor-
ulknak juttatja el. Helytelen gyakorlat, ha ebben
az eszkzkben az adathordozk benne marad-
nak, hiszen fennll annak veszlye, hogy illetk-
telenek bizalmas informcikhoz jutnak hozz,
hogy egyes, teleptett szoftverek tovbbadsval
licence-szerzdseket srtnk meg, vagy az
tadott gpeken maradnak olyan alkalmazsok,
amelyek segtsgvel hozzrt szakemberek
136/300
knnyen hozzfrhetnek az adomnyoz bels
hlzathoz.
Ahhoz, hogy ne srtsk meg a bizalmassg,
srtetlensg s rendelkezsre lls elveit, a leg-
jobb, ha adathordozk nlkl adjuk tovbb a
szmtgpeket. Sok szervezetnl alkalmazott
gyakorlat, hogy az adathordozkat selejtezskor
megsemmistik, illetve fizikailag megrongljk
oly mdon, hogy megakadlyozzk azok ksbbi
felhasznlst, vagy az azokrl val inform-
ciszerzst. Ezt a megoldst kell rvnyesteni a
mobil adathordozkra (pendrive, CD, mgnesle-
mez, stb.) is.
Az elektronikus adathordozk mellett nem
szabad figyelmen kvl hagyni a papr alap
vltozatokat sem. A papr alap dokumentumok
kommunlis hulladkba val dobsa a krnyez-
etvdelmi szempontokon tl slyos inform-
civdelmi incidenshez vezethet. Tancsos, ha a
papr alap dokumentumok selejtezst, szervez-
ett mdon, iratmegsemmistvel vgezzk.
137/300
kvetelmnyei
kvetelmnyeket az adathordozk kezelsre. A
szablyozs clja a vagyontrgyak illetktelen
kiadsnak, mdostsnak, eltvoltsnak, vagy
tnkrettelnek, valamint a mkdsi
tevkenysgek megszakadsnak megelzse.
[Forrs: MSZ ISO/IEC 27001:2006]. Az adathor-
doz kezelsnek szablyozst gy kell ki-
alaktani, hogy az kitrjen az eltvolthat
adathordozk kezelsre, az adathordozk sele-
jtezsre, az informcikezelsi eljrsokra, s a
rendszerdokumentci vdelmre.
A szablyozsnak sszhangban kell lenni a
szervezet vagyonleltrval, kockzatrtkelsvel
s az informcik osztlyozsval. Tovbbi
szempont annak figyelembevtele, hogy az
adathordoz lettja sorn miknt teljesl a srte-
tlensg, rendelkezsre lls s bizalmassg elve.
138/300
A szabvny e fejezetnek szablyozsa kiter-
jed a selejtezend eszkzkre, de ide rtjk az
adathordozk aktv ltszakaszban rvnyes
szablyozst is. A szablyozsnak ki kell terjed-
nie mind az informatikai eszkzkre, mind a fix
s mobil adathordozkra s a papr alap
adathordozkra is.
139/300
18. ESET INFORMCICSERE
A Kbelfuccs Kft. e-mail szerver
szolgltatsa
zemeltets irnytsa / A10.8. Informcicsere
Esetlers
A Kbelfuccs Kft. internetszolgltatknt l-
pett piacra, s ezen minsgben a korai fel-
lendl hazai piac egyik meghatroz
szerepljv vlt. Szerzdst kttt egy hazai
szoftverfejlesztvel, aki a nemzetkzi piacon ki-
forrott s szabadalmazott levlkezel szoftveren
olyan apr mdostst hajtott vgre, amellyel a
szabadalmat leglisan meg lehetett kerlni. A
Kbelfuccs Kft. gy olcsbban jutott hozz az
zemeltetshez szksges szoftverhez. Az j
szoftvert zemi krlmnyek kztt teszteltk s
az eredmnnyel meg voltak elgedve. A szerver-
programot ezrt zembe helyeztk s hosszabb
idn keresztl panaszmentesen zemeltettk.
Nyolc hnap telt el, amikor katasztroflis hibra
bukkantak. A program a berkez zeneteket
csak azokhoz a cmzettekhez tovbbtotta, akik
az zenet szerverre rkezsnek pillanatban
fogadkpes llapotban voltak. Ellenkez eset-
ben a berkez zenetet a rendszer eltrolta, de a
szoftver nem gondoskodott az zenet jbli
kzbestsrl. Nyolc hnap alatt a trolhely
tbb milli zenettel megtelt, mire a cg a tbb
milli visszatartott zenetet egy gombnyomssal
kipostzta a cmzetteknek. Rengeteg gyfl
postafikja tlcsordult s felmondta a szolglatot.
Az idkzben megsznt gyfelek kzbesthete-
tlen leveleit pedig a rendszer visszakldte fe-
ladjuknak, a feladknl is katasztroflis llapo-
tot idzve el.
Felmrtk-e a kiforrott szoftver
jllehet leglis mdostsv-
al jr kockzatot?
141/300
Mirt nem alkalmaztk az ere-
deti kiforrott szoftver tesztelsi
eljrst?
Hogyan hinyozhatott zletsza-
blyzatukbl a kzbestetlen
levelek jra kzbestsnek
rendje?
Mirt nem volt megllapodsuk
a hlzat tlterhelsnek elker-
lsre, az esetleges vszhelyz-
etek idben trtn klcsns
elrejelzsre az inform-
citovbbtsban rsztvev
trsszolgltatkkal?
Hogyan rendeztk a kzbeste-
tlen levelek elmaradsa,
tartalmuk elavulsa miatt
felmerl anyagi s erklcsi
krokat? Volt-e a cgnek
felelssg-biztostsa erre a
clra?
142/300
Milyen intzkedseket fogan-
atostottak a hibs zenetkezel
szoftver mdostsra?
Tudatostottk-e, hogy a tovb-
bts folyamatban szerepl in-
formcit nem csak a jogosulat-
lan hozzfrstl, mdoststl
s illeglis felhasznlstl kell
megvdeni, hanem tartalmnak
elavulstl is?
Akadt-e reklamci az gyfelek
rszrl esetlegesen vrt, de
meg nem kapott levelek miatt?
Ha igen, hogyan kezelte le a cg
az ilyen panaszokat?
s adatvdelmi szempontbl elgondolkodtat rs
kerlt napvilgra.
Kulcskrds az informcicsere lebonyoltst
irnyt szoftver lehetsg szerint teljes kr
143/300
tesztelse, ami kiterjed az sszes vrhat es-
emnykombinciban val helyes viselkedsnek
ellenrzsre.
Az informcicsere zavartalan, hinytalan s a
megkvnt idben val lebonyoltsa a tartalom
integritsnak vdelme mellett minden szol-
gltat cg szmra parancs. Amennyiben e
felttelek valamelyike nem teljesl, gy a szol-
gltat krtrtsi felelssggel tartozik gy-
feleinek, amire csak megfelel felelssgb-
iztosts nyjthat fedezetet. Az informatikai
biztonsg garanciafeltteleihez kapcsold
biztosts azonban Magyarorszgon mg j s ki-
forratlan tmakr. Biztosttrsasgok piacra
lpse ezen a terleten kvnatos.
Felmerl az gyfelek levelez postafikjainak
tlterhels elleni vdelme, pldul oly mdon,
hogy ha a postafik teltettsge egy belltott
kszbszintet elr, akkor az generljon auto-
matikus figyelmeztet zenetet mind a szol-
gltat, mind az gyfl fel, ezzel megelzve a
144/300
tlcsordulst, ami miatt az gyfelet anyagi s
erklcsi vesztesg rheti.
Tudatostani kell, hogy az informcivdelem
fogalma clszer mdon az informci elavulsa
elleni vdelmet is magban foglalja.
kvetelmnyei
kvetelmnyeket az informcicserre. A sza-
blyozs clja a szervezeten bell s a brmily-
en kls entitssal kicserlt informcik s
szoftverek biztonsgnak fenntartsa. [Forrs:
MSZ ISO/IEC 27001:2006].
A cl elrse rdekben a kvetkez in-
tzkedsek foganatostst fogalmazza meg a
szabvnyalkot:
az informcicsere vdelme az
sszes kommunikcis eszkzre
kiterjeden, adatcsere-
145/300
szablyzatok, eljrsok s in-
tzkedsek tjn,
egyezmnyek ktse a szervezet
s a kls partnerek kztt a
csere trgyt kpez inform-
cik s szoftverek kezelsnek
mdjra,
az informcit hordoz es-
zkzk fizikai vdelmnek
biztostsa jogosulatlan
hozzfrs, felhasznls, vagy
rongls ellen a szervezeten
kvli szllts esetn,
gondoskods az elektronikus
zenetekbe csomagolt inform-
ci megfelel vdelmrl,
mkdsi informcis rend-
szerek sszekapcsolsa tjn
cserlt informcik klnleges
vdelmre megfelel szablyza-
tok s eljrsok alkalmazsa (pl.
146/300
zleti cl dediklt csatornk
zrt rendszere esetn).
147/300
19. ESET ELEKTRONIKUS KERESK-
EDELMI SZOLGLTATSOK
Honnan jtt ez az e-mail?
zemeltets irnytsa / A10.9. Elektronikus kereskedelmi
szolgltatsok
Esetlers
Klhoni Oszkr megint munkt keresett.
Korbban mr hrom alkalommal is dolgozott
klfldn: ktszer Hollandiban s egyszer Bel-
giumban. Mindhrom alkalommal a Job van de
Boeven Kft. kzremkdsvel tallt megfelel
munkt. Most is megltogatta a kft honlapjt,
htha tall valami kihagyhatatlan lehetsget, s
emellett szerette volna megrendelni a kft elmlt
negyedvi tjkoztat kiadvnyt is, amelyhez
regisztrlt felhasznlk nkltsgi ron juthattak
hozz.
A kft honlapja teljesen megvltozott. Oszkr
nem ismert r. Egy kis keresgls utn megtallta
a regisztrcis ablakot, ahov regisztrlt fel-
hasznlknt prblt bejelentkezni. A korbbi
azonostjval s jelszavval a rendszer nem
engedte belpni. Azt a visszajelzst kapta, hogy
nem regisztrlt felhasznl. A regisztrcihoz
adja meg nevt, cmt s e-mail cmt, amire
hamarosan megkapja a belpshez szksges in-
formcikat. gy is trtnt. Az j azonostkkal
sikerlt belpnie.
Csodlkozva tapasztalta, hogy most szokat-
lanul kevs llsajnlatbl vlogathat. Egyik sem
volt kedvre val. Ha nincs is munka, de leg-
albb megrendelem a katalgust. gondolta. A
katalgus megrendelshez sok adatot kellett
megadni, kztk szletsi dtum, lakcm, szm-
lavezet pnzintzetnek neve, szmlaszma,
hitelkrtya szma, lejrati ideje. A Megrendel
gombra kattintott, de a rendszer jelezte, hogy r-
vnytelen szletsi dtumot adott meg. Valban.
Adja meg szletsi dtumt s kattintson a
Megrendel gombra! szlt a szmtgpen az
zenet. Oszkr ekkor vletlenl rpillantott a
149/300
belpsi azonostkat tartalmaz, korbban
kapott e-mailre s azt ltta, hogy az e-mail egy
ingyenes e-mail cmeket biztost szolgltatnl
bejegyzett e-mail cmrl jtt. Honnan jtt ez az
e-mail!? csodlkozott Oszkr s gyorsan lec-
satlakozott az internetrl.
Regisztrlt volna-e n Oszkr
helyben?
Milyen jelek utalnak arra, hogy
biztonsgos a kereskedelmi
szolgltats, s milyen jelek
jelzik ellenkezjt?
Mire enged kvetkeztetni az e-
mail cm, ahonnan a vlasz jtt?
Helyesen jrt-e el Oszkr,
amikor nem adta meg ismtelten
szletsi dtumt?
Milyen tovbbi intzkedseket
kellene megtennie Oszkrnak?
150/300
Van-e tennivalja a Job van de
Boeven Kft-nek? Ha igen, akkor
mi az? Ha nem, akkor mirt
nem?
Milyen egyb informcikat
gyjtene be, ha n Oszkr
helyben lenne?
Visszatrne-e a kft honlapjra?
Mirt?
A bemutatott eset szmtalan tanulsggal szol-
glhat szmunkra. Gyakori jelensg, hogy a
korbban megszokott honlap egy megvltozott
kpet mutat. A honlapok frisstse, aktualizlsa
lehetsges, de kell krltekintsre is felhvja a
figyelmnket. J, ha meggyzdnk arrl, hogy
azt nem trtk fel, s nem mdostottk annak
tartalmt.
Tovbbi int jel, hogy a korbbi regisztrcis
azonostk nem mkdtek, s jra kellett magt
regisztrlnia a felhasznlnak. A regisztrcihoz,
151/300
majd ksbbiekben a kiadvny rendelshez
szksges informcik rszletessge tovbbi gy-
anakvsra ad okot. Nincsenek bizonytkaink,
hogy a honlapot feltrtk-e vagy sem, de a jelek
megkrdjelezik a kereskedelmi tevkenysg
biztonsgt. Lehet, hogy Oszkrnak nagy szer-
encsje van azzal, hogy tves szletsi dtumot
adott meg. Mr csak abban bizakodhat, hogy a
Megrendel gombra val els kattintssal nem
kerltek tovbbtsra a megadott egyb adatai.
Javasoljuk Oszkrnak, hogy lehet leggyorsab-
ban vegye fel a kapcsolatot a szmlavezet
bankjval s a Job van de Boeven Kft-vel is!
kvetelmnyei
mellkletnek 10.9. fejezete az elektronikus
kereskedelmi szolgltatsokra fogalmaz meg
kvetelmnyeket. A szablyozs clja az
elektronikus kereskedelmi szolgltatsok bizton-
sgnak s azok biztonsgos hasznlatnak
152/300
biztostsa. [Forrs: MSZ ISO/
IEC 27001:2006]. A rszletes szab-
vnykvetelmnyek kztt a szabvnyalkotk
felhvjk figyelmnket a kvetkezkre:
amennyiben az elektronikus
kereskedelemben nyilvnos
hlzatokat hasznlunk, gy
biztostanunk kell az thalad
informcik srtetlensgt, biz-
almassgt s rendelkezsre
llst,
amennyiben on-line tranzak-
cikra is sor kerl, gy ezekben
az esetekben is biztostanunk
kell az thalad informcik
srtetlensgt, bizalmassgt s
rendelkezsre llst,
amennyiben nyilvnos hlza-
tokon tesznk kzz inform-
cikat, gy biztostani kell azok
srtetlensgt s rendelkezsre
llst.
153/300
20. ESET FIGYELEMMEL KVETS
(MONITORING)
Outsource informatika figyelemmel
ksrse
zemeltets irnytsa / A10.10. Figyelemmel kvets
(monitoring)
Esetlers
A Szolgltat Kft. egy 15 fs szervezet. A
munkatrsak tevkenysgt informatikai hlzat
tmogatja. A hlzatot elssorban az irodai
tevkenysgek tmogatsra, levelezsre, inter-
netes keressekre, nyilvntartsokra, prezent-
cik sszelltsra hasznljk.
Az informatikai hlzattal kapcsolatos
zemeltetsi feladatokat, rendszergazdai
tevkenysgeket, hlzati-, tzfalbelltsokat, a
jogosultsgok, az elfordult hibk, problmk
kezelst az outsorcing partnerk ltja el. A
Szolgltat Kft-nl nincs informatikus
szakember. A kapcsolatot az zemeltetvel az
egyik munkatrs tartja. jelzi, ha a felhasznlk
problmt szlelnek.
Mivel eddig komolyabb problma nem merlt
fel, nem is rtenek hozz, figyelemmel ksrsi
ignyeket nem fogalmaztak meg. A munkatrsak
tevkenysgt nem kvnjk korltozni, a partner
tevkenysgt pedig nem tudjk ellenrizni.
Windows alaprtelmezsek szerinti
naplzsok vannak belltva. A legtbb rendszer-
gazdai mveletet, beavatkozst a rendszer auto-
matikusan naplzza. A rendszergazdk feladata a
naplk figyelse. Hetente jelentst kldenek a
kapcsolattartnak az elfordult esemnyekrl, az
elvgzett tevkenysgekrl, mentsekrl, az es-
etleges hibk kezelsrl.
A naplllomnyokat rendszeresen mentik. A
mentsekhez a rendszergazdknak van
hozzfrsi joga.
155/300
Felmrtk-e az informatikai
rendszer illetktelen/helytelen
hasznlatnak kockzatait?
Mely tevkenysgek, rend-
szerek hasznlat engedlyezett
vagy tiltott?
Milyen kontroll (szablyozs s
ellenrzs) biztostja a sza-
blyszer hasznlatot?
Mutatja-e a naplzsi rendszer a
nem engedlyezett
tevkenysgeket?
Igazolhat-e a naplllomnyok
hitelessge, srtetlensge?
Milyen szablyok vonatkoznak
a mentsek, ezen bell a napl-
mentsek kezelsre,
megrzsre, a mentsekhez
val hozzfrsre?
Milyen (automatikus s egyb)
nyilvntartsokat kell vezetni a
156/300
rendszergazdai
tevkenysgekrl?
Hogyan ellenrizhet a rend-
szergazdk tevkenysge?
Milyen nyilvntartsokat kell
vezetni a hibkrl,
problmkrl, kezelskrl?
Szablyozott-e, hogy a heti
jelentsnek mit kell tartalmazni?
Hogyan s mire hasznlja a
Szolgltat Kft. a rendszeres
jelentseket?
olvashattunk.
Nincs bizonytk arra, hogy a nem megfelel
vagy illetktelen hasznlat milyen kockzatot
jelenthet. gy a nem korltozzuk, nem figyeljk
elv megkrdjelezhet. Ugyancsak nem
157/300
eldnthet, hogy az automatikus naplzs ele-
gend informcit tartalmaz-e ahhoz, hogy figye-
lemmel ksrjk a mkdst, vagy egy fggetlen
auditok alkalmval bizonytsk a megfelel
monitoringot.
Agglyos, ha a rendszergazdai tevkenysget
dokumentl naplkhoz hozzfrnek a rendszer-
gazdk. Amennyiben nyom nlkl hozzfrnek
naplkhoz, a naplinformcik joghatssal jr
vizsglatokhoz, dntsekhez nem hasznlhatk.
Mivel ezek a naplk informcikat nyjtanak a
rendszergazdai tevkenysgekrl, rendszer-
gazdra terhel bejegyzs esetn fennll az utla-
gos korrekci veszlye.
A rendszergazdai (adminisztrtori)
tevkenysgek lnyegesen befolysolhatjk a
hlzat mkdst, bizalmassgt, srtetlensgt,
rendelkezsre llst. A felgyelet s az utlagos
ellenrzsek rdekben szksges minden ilyen
lpsrl naplbejegyzs, s nem elegendek a
fenti esetben lert naplbejegyzsek az auto-
matikusan naplzott lpsekrl. A hibanaplzs
158/300
rsze a hiba bejelents/szlels rgzts mellett a
hibaelemzs s az intzkedsek naplzsa. Az
automatikus naplzs ltalban ennek csak
rszelemeit tudja kezelni.
kvetelmnyei
kvetelmnyeket a figyelemmel ksrsre. A sza-
blyozs clja a jogosulatlan informci-feldol-
goz tevkenysgek szlelse. [Forrs:
MSZ ISO/IEC 27001:2006]. A figyelemmel
ksrs (monitoring) szablyozst gy kell ki-
alaktani, hogy az kitrjen a kvetkez elemekre:
naplzs az utlagos
auditokhoz,
rendszerhasznlat figyelemmel
ksrse (s az eredmnyek
tvizsglsa),
naplinformcik vdelme,
159/300
adminisztrtori, kezeli s
hibanaplk,
rendszerrk szinkronizlsa.
A szablyozsnak, a figyelemmel ksrs
mrtknek sszhangban kell lenni a kockza-
tokkal, a kockzatfelmrs eredmnyeivel, az z-
leti mkds hatkonysgval, belertve r-
fordts, erforrsignyeket is. A naplzsoknak
kezelhetknek, ttekinthetknek kell lennik. A
naplzst s elemzst segthetik automatizlt
eszkzk.
Figyelemmel ksrsi tevkenysgnek
minsthet az irattri belps, irat- s adathor-
doz forgalom nyilvntarts, az plet biztonsgi
szolglat naplja, a belptet rendszerek,
videokamers megfigyel rendszerek napli,
stb. is.
A figyelemmel ksrs sokszor szemlyes ada-
tok kezelsvel jr. A figyelemmel ksrsi
eljrsok bevezetse eltt clszer az ad-
atvdelmi trvnynek val megfelelst
ellenrizni.
160/300
21. ESET A HOZZFRS-EL-
LENRZSHEZ FZD MKDSI
KVETELMNY
Hozzfrs-ellenrzsi szablyzat az
rzkeny Adatok Zrt.-nl
ISO/IEC 27001:2005 A11 Hozzfrs ellenrzs / A11.1. A
hozzfrs ellenrzshez fzd mkdsi kvetelmny
Esetlers
Az rzkeny Adatok Zrt. orszgos fikhlz-
attal rendelkezik. A szervezetben jl
elklnthet szerepek azonosthatak. A fikok-
ban gyintzk, csoportvezetk illetve fikvez-
etk vannak. Az gyintzk ltal az gyfelekkel
kapcsolatban rgztett adatokat mindig a cso-
portvezetk hagyjk jv jelszavas azonostssal.
A csoportvezetk egyms csoportjaihoz nem
kapnak ilyen jogosultsgot. Jogosultsgi szem-
pontbl a fikvezet minden csoportvezett tud
helyettesteni. A fikvezett az zletgvezet
tudja kontrolllni, de az zletgvezet nem a
fikokban, hanem a kzpontban rhet el, ezrt
rtelemszeren nem tud napi kontrollt gyakorolni
a fikvezetk felett.
A cg informcibiztonsgi irnytsi rend-
szernek rszeknt Hozzfrs-ellenrzsi Szab-
lyzatot ksztett s adott ki. A szablyzat szerint
minden egyes dolgoz szervezetbe val
belpskor (felvtel), kilpskor (tvozs) s
thelyezskor az adott terlet vezetjnek rsban
(e-mail) kell rtestenie az informatikt arrl,
hogy az adott dolgoz szerepkre megvltozott
s ezzel sszefggsben szksges a hozzfrsi
jogosultsgnak belltsa, illetve tlltsa is.
Idnknt gyintzk is kapnak olyan elemzsi
feladatokat, amihez az adatbzisokban magasabb
szint hozzfrst kell nekik biztostani. Ezt gy
oldjk meg, hogy a szablyzattal sszhangban a
terleti vezetnek kell ignyelnie rsban az
idleges hozzfrs-jogosultsgot, hogy az adott
szemly elvgezhesse feladatt.
Az informatikai vezet vente ktszer szr-
prbaszeren kikld egyes terleti vezetknek
162/300
hozzfrsi, jogosultsgi listkat, s visszajelzst
kr arrl, hogy a listk jl kpezik-e le a kvnt
s elvrt llapotot.
Hatkonyak s dokumentltak-e
a rendszeres hozzfrs-
ellenrzsek?
Mi a helyzet akkor, ha valaki
mr bejelentette tvozsi
szndkt, de mg a felmondsi
idejt tlti a cgnl?
Ha valaki idlegesen magasabb
szint jogosultsgot kapott,
akkor hogyan tudunk arrl
meggyzdni, hogy nem lt-e
vissza vele a jogosultsg
meglte alatt?
Tmogathat-e valamilyen
szoftveres megoldssal a
szerepkralap
jogosultsgkezels? Lehet-e
163/300
ezzel egyenrtk, ha a
tbbszrs hozzfrseket (tbb
alkalmazs kln-kln jelszv-
al) az egyes szerepkrkhz
egyszer mtrixtblban
rgztik?
Mennyire gyorsan s rugalmas-
an kveti le a jogosult-
sgkezelsi rendszer (a
hatkony mkdst nem
htrltathatjk az informcib-
iztonsgi intzkedsek, szab-
lyzatok), ha valakinek vltozik a
munkakre (ellptets, tsor-
ols, ms munkakrbe helyezs,
stb.)?
A hozzfrs-ellenrzs terletn egy ltez
szablyzat mindig biztat kezdemnyezsnek
tekinthet, de mint minden szablyzat esetben a
lertak s a tnyleges gyakorlat sszhangja a
164/300
legkritikusabb elem. Ennek ellenrzsre nem
szabad sajnlni a bels fellvizsglk idejt s
energijt.
Egyre tbb helyen tallkozhatunk n. Single
sign-on (Sso) megoldssal, amely egy olyan spe-
cilis formja a szoftveres azonostsnak, ami le-
hetv teszi a felhasznl szmra, hogy egy ad-
ott rendszerbe val belpskor mindssze csak
egyszer azonostsa magt, s ezutn a rendszer
minden erforrshoz s szolgltatshoz tovbbi
autentikci nlkl hozzfrjen. Az ilyen
megoldsok veszlye az, hogy ha valakinek az a
bizonyos egy jelszava kompromittldik, akkor
egyszerre tbb alkalmazs is vdtelenn vlik a
rendszerben.
Az esetpldnkban emltett fikvezet felett a
kzvetlen ellenrzs nehzkesen valsthat meg,
ezrt a problmk megelzse rdekben
clszer idnknt rotcis rendszerben az ilyen
vezetket ms fikba thelyezni, mert ezzel
bizonyos informcibiztonsgi veszlyek
hatsosan kezelhetek. A munkarotci az
165/300
gyintzk szintjn is hatsos megelz in-
tzkeds lehet.
Az sem vletlen, hogy az ilyen rzkeny ada-
tokat kezel szervezeteknl a knyszerszabad-
sgols is egy bevett dolog, mert a szabadsg
id alatt zavartalanul tvizsglhatk az adott
szemly tevkenysgnek nyomai a szmtgpes
hlzatban, illetve feltrhatak olyan veszlyes
szemlyi sszefondsok, melyek szintn forr-
sai lehetnek informcibiztonsgi incidenseknek.
kvetelmnyei
kvetelmnyeket a hozzfrs-ellenrzshez
fzd mkdsi kvetelmnyekkel kapcsolat-
ban. A szablyozs clja az informcikhoz
val hozzfrs ellenrzse. [Forrs: MSZ ISO/
IEC 27001:2006]. A szabvny ltal megfogal-
mazott nagyon egyrtelm elvrs az, hogy legy-
en a hozzfrs-ellenrzsnek valamifle
166/300
dokumentlt folyamata, eljrsrendszere (pl.
hozzfrs-ellenrzsi szablyzat). Figyelemre
mlt kiegszt kvetelmny, hogy a szabvny
elvrsa az is, hogy idnknt hajtsunk vgre el-
lenrzseket a hozzfrsek tnyleges s
szndkolt llapotnak fellvizsglatra.
Egy kls (felgyeleti vagy anyavllalati)
fellvizsglatnak mindig hangslyos eleme a jo-
gosultsgi rendszer mkdsnek elemzse,
klns tekintettel arra az esetre, ha a szervezet
nagytmeg szemlyes adatot kezel.
A jogosultsgkezels egyik neuralgikus pontja
a dokumentltsg (ki, mikor krte a vltoztatst,
ki hagyta jv, hogyan hajtottk vgre s annak
milyen nyoma tmadt). Taln nem vletlen, hogy
a szabvny kvetelmnyek kztt is kiemelt
figyelmet kapott ez a tevkenysg s a keletkez
feljegyzsek, bizonytkok.
167/300
22. ESET FELHASZNLI
HOZZFRS IRNYTSA
A vletlen egybeess
ISO/IEC 27001:2005 A11 Hozzfrs ellenrzs / A11.2.
Felhasznli hozzfrs irnytsa
Esetlers
A Puskamentes Oktat- s Vizsgakzpont sza-
kmai tovbbkpzssel, tanfolyamszervezssel s
kapcsold szolgltatsokkal foglalkoz magn-
vllalkozs, amelynek az orszg tbb pontjn
vannak kpviseletei. A kpviseletekben ltalban
egy-kt flls munkatrs dolgozik, akik
koordinljk a kpviselet munkjt, intzik a
hallgatk gyeit, s tartjk a kapcsolatot a
nagyszm kls munkatrssal. A kls
munkatrsak egy rsze, mondhatni, lland jel-
leggel szerzdses viszonyban van, mg msok
csak eseti megbzsokat kapnak. A Kzpont az
elmlt hnapban nnepelte 18. szletsnapjt, s
a nagykorv vlst, ahogy a tulajdonos
igazgat nevezi az vfordult, amit egy nagysza-
bs partnertallkozval nnepeltek meg. Az es-
emnyre kiadtak egy emlkknyvet is, amely
sszefoglalta a Kzpont 18 ves trtnett, s
tartalmazta minden munkatrsnak s a kulcsfon-
tossg klssnek fnykppel s szletsi dtum-
mal elltott rvid szakmai letrajzait.
Az elmlt tanv ta bevezettek egy j,
elektronikus nyilvntart s dokumentumkezel
rendszert is. A rendszer nagyban leegyszer-
stette s meggyorstotta az adminisztrcis fe-
ladatokat. Az erre jogosultak felhasznlnvvel
s jelszval interneten keresztl hozzfrtek a
kzponti adatbzishoz: a hallgatk gy
krdezhettk le pl. vizsgaeredmnyeiket, m-
dosthattk a szemlyes adataikban trtnt
vltozst, az oktatknak itt kellett feltlteni a viz-
sgajegyeket, tanfolyami tematikkat, stb. Az j
informatikai rendszer bevezetse eltt mr e-
mailes kommunikci folyt a hallgatk, oktatk
s dolgozk kztt. Vizsgajegyeket s egyb
dokumentumokat kldzgettek egymsnak.
169/300
Minden hallgatnak, oktatnak s dolgoznak a
neve mellet volt egy egyedi azonostja is, amit
az esetleges nvegyezsgekbl add
flrertsek elkerlse rdekben mindig feltn-
tettek minden nv mellett. A Kzpont ezt az
azonostrendszert alaptsa ta hasznlja. Az j
rendszer bevezetsekor azrt, mindenkinek
kldtek egy e-mailt, amiben kzltk, hogy az j
rendszerbe val belpshez minden felhasznl
szmra egysges mdon felhasznlneve az
egyedi azonostja, jelszava pedig a szletsi
dtuma vszzad nlkl. Nhny hallgat nem
tudott belpni a megadott mdon.
Hozzjrultak-e az rintettek a
szemlyes adataiknak a ju-
bileumi kiadvnyban val
kzlshez s mennyire volt
helynval a korbbi levelezsi
gyakorlat?
170/300
Hogyan rtkeli az j rendszer
bevezetsvel kapcsolatos
kommunikcit?
Milyennek tallja a Kzpont
jelszkezelsi gyakorlatt?
Kap-e minden klss belpsi
lehetsget a rendszerbe? Med-
dig l ez a jogosultsga? Mi
trtnik a szerzdsk lejr-
takor, s j szerzds
ktsekor?
Vajon mirt nem tudott belpni
nhny hallgat?
A bemutatott pldban tbb informci- s ad-
atvdelmi szempontbl agglyos megoldst is
tallunk.
A Kzpont tbb helyen is megsrthette a
szemlyisgi jogok vdelmt. A kiadvnyban
szerepeltette az rintettek szletsi dtumt,
amelyet csak azok jvhagysval tehetett volna
171/300
meg. Agglyos az is, hogy a korbbi e-mailes
levelezsi gyakorlatban a neveket s egyedi
azonostkat mindenki szmra ismertt tettk.
Az informatikai rendszer bevezetse bizonyra
nveli a rsztvevk elgedettsgt, az inform-
cikhoz val hozzfrs gyorsasgt, napraksz-
sgt, s mg szmtalan praktikus elnnyel jr. A
bevezets gyakorlata azonban
megkrdjelezend!
A rendszerhez val egyedi hozzfrsek
biztostsa szksges, de a hozzfrs mdjnak
kommuniklsa s a hozzfrsi kdok
megvlasztsa helytelen gyakorlatot mutat. A
hallgatk, s oktatk egyedi azonostja sokak
szmra ismert a korbbi levelezsi gyakorlatbl.
A belpshez szksges jelszavak is publikuss
vltak, hiszen a 18. szletsnapi kiadvnyban
megjelentek az oktatk adatai, s egyb forrsok-
bl, pl. iwiw-rl megszerezhet a hallgatk sz-
letsi dtuma is. Ez a vletlen egybeess lehet-
sget ad arra, hogy illetktelenek is belpjenek a
rendszerbe.
172/300
A helytelen rendszerhozzfrs biztostsnak
gyakorlatt javthatja az a megolds, ha els be-
jelentkezs alkalmval ktelezen meg kell
vltoztatni a jelszt. Ez azonban felveti annak a
problmjt, hogy ha elsknt illetktelenek
lptek be az adott felhasznl nevben, akkor
meg kellett vltozatniuk a jelszt, amelyet azon-
ban a tnyleges felhasznl els bejelentkezse
alkalmval nem ismerhet, gy nem tud belpni.
Mivel ilyen esetek elfordultak, gy a Kzpont-
nak meg kell vizsglnia, hogy milyen jogosulat-
lan belpsek trtntek, s azok milyen krokat
okoztak. Pl. vizsgajegyeket trtak, stb.
Izgalmas krds a hozzfrs biztostsa s
megszntetse azoknl a klssknl, akik csak
korltozott ideig llnak szerzdses kapcsolatban
a Kzponttal.
kvetelmnyei
mellkletnek 11.2. fejezete a felhasznli
173/300
hozzfrs irnytsra fogalmaz meg
kvetelmnyeket. A szablyozs clja az in-
formcis rendszerekhez val jogosult hozzfrs
biztostsa, illetve a jogosulatlan hozzfrs
megakadlyozsa. [Forrs: MSZ ISO/
IEC 27001:2006]. A szabvnykvetelmnyek fel-
hvjk a szabvnyhasznlk figyelmt, hogy
valjban egy hozzfrsi letciklusban kell gon-
dolkodni. Ennek lpsei, hogy
azonostsuk a jogosult fel-
hasznlkat, adjuk meg nekik a
szksges jogosultsgot,
biztostsuk szmukra a vdett
hozzfrst, azaz ismertessk
velk a belps mdjt, a fel-
hasznli jelszavukat,
rendszeresen vizsgljuk fell a
hozzfrseket, s dertsk fel,
ha jogosulatlan hozzfrs
trtnt, valamint
174/300
a jogosultsg lejrtakor vonjuk
vissza a hozzfrsi
jogosultsgot.
175/300
23. ESET FELHASZNLI
FELELSSGEK
Informciszivrgs a Szemlyes Adatok
Zrt.-nl
Felhasznli felelssgek
Esetlers
A Szemlyes Adatok Zrt. nagy tmegben
kezel szemlyesnek minsl adatokat olyan m-
don, hogy egyes kirendeltsgein (gyflszolgla-
tok) szemlyes adatokat vesznek fel s trolnak.
Az gyflszolglatok a klasszikus vdelmi in-
tzkedsekkel vannak vdve (rcsos ajt, ablak,
pulttal elklntett gyfltr, az gyintzket
egymstl s gyfeleiket is egymstl elvlaszt
btorelemek, kulccsal zrhat irattartk). Az in-
tzkedsek ellenre (vagy taln ppen azrt?) mr
voltak informcibiztonsgi incidensek az gy-
flszolglatokon. Ilyen volt az albbi eset is:
Szabadsgon lv s bizonytot-
tan inaktv dolgoz jelszavval
tbbszr belptek ismeretlenek
az gyfelek adatait tartalmaz
adatbzisba. A nyomozs csak
annyit llaptott meg, hogy a
munkatrsak jellemzen nagyon
ritkn (szinte sohasem) vltottak
jelszt, s a jelszavak ltalban
rvid, hrom-ngy karakteres
dolgozi becenevek (pl. vi,
juci, pali, stb.) voltak. A
szmtgpek opercis rend-
szerben a jelszkpzsre von-
atkoz opcik nem voltak
aktivlva.
Az incidensek utn ptllagosan bevezetett
technikai jelleg intzkedsek:
szoftveres ton kiknyszertett
jelszvlts (havonta) s minim-
lisan elrt hosszsg (6
karakter) jelszavak, s a
177/300
jelszavakon bell hasznlt ve-
gyes karakterek (bet, szm,
kisbet s nagybet)
megkvetelse, illetve az is-
mtld jelszavak tiltsa (utols
t jelsz nem vlaszthat),
automatikus kpernyvdelem
bekapcsolsa tperces inaktiv-
its utn.
Sajnos a meghozott intzkedsek utn is vol-
tak informciszivrgsra utal jelek, ugyanis az
gyflszolglatos munkatrsak pultjrl, as-
ztalrl tntek el gyfllistk, melyek ksbb
bizonythatan megjelentek a versenytrs Mg-
szemlyesebb Adatok Zrt.-nl. Az ismtelt in-
formcibiztonsgi fellvizsglatok rmutattak
arra, hogy a technikai vdelem mellett szksg
van a dolgozk informcibiztonsgi tudatossgi
kpzsre is, s ezrt tiszta asztal, tiszta kper-
ny trning programot indtottak, mely minden
gyflszolglati dolgozra kiterjed.
178/300
Megelzhetek-e a fentiekben
lert esemnyek a hivatkozott
szabvnyon, szabvnyszakaszon
alapul kontrollok
alkalmazsval?
Ltrehozzk-e a szksges
biztonsgi szintet csak mszaki,
technikai jelleg megoldsok,
kontrollok?
Kiderltek volna-e rendszeres
fellvizsglatok nlkl az in-
formcibiztonsgi incidensek
s a vdekezs hatkony
mdjai?
Milyen mdon mrhet egy in-
formcibiztonsgi trningpro-
gram hatsossga?
Ha nincs kiknyszertett jelszkpzsi s
vltsi gyakorlat, akkor a munkatrsak ltalban
gyenge jelszavakat hasznlnak, melyek
179/300
vdelmrl sem gondoskodnak. Ha valakinek a
jelszavval jogosulatlan szemlyek lpnek be az
adatbzisokba, akkor a tettes kidertse s
bizonytsa gyakorlatilag szinte lehetetlen (mg
akkor is, ha a tettes egy szkebb krbl kerl ki
pl. egy gyflszolglat munkatrsa).
Esetnk j plda arra nzve is, hogy n-
magban a technikai megolds (szoftveres
jelszminsg kiknyszertse) mg nem jelent
tkletes vdelmet, mert szksg van a dol-
gozk ltalnos informcibiztonsgi tud-
atossgra is.
A munkatrsak ltalban nem kedvelik a
gyakori jelszvltsokat s a hossz, sszetett
jelszavakat. Ezrt ha lehet, akkor szabotljk
az ilyen irny adminisztratv intzkedseket, pl.
szablyzatok betartst. Emiatt jobb, ha lnk az
automatizls lehetsgvel, azaz aktivljuk a
modernebb opercis rendszerek mindegyikbe
beptett jelszkpzsi s vltsi mechan-
izmusokat. Morgs gy is lesz, de legalbb nem
180/300
kell tartanunk annyira a gyenge jelszavakon
keresztli incidensektl.
Msik jelents incidensforrs a dolgozk
munkaasztala, ahol nagyon sok esetben tallunk
ottfelejtett, s rzkeny adatokat is tartalmaz ir-
omnyokat. Kampnyszeren ez a jelensg nem
szntethet meg, hanem a dolgozi kpzseken
kell a tiszta asztal elvet tudatostanunk. Rend-
szeres ellenrzs s vezeti pldamutats nlkl
knny jra s jra visszaesni az asztalon hagyott
dokumentci bnbe.
Szinte minden gazdlkod szervezet kzd
azzal, hogy munkatrsai rengeteg mobil adathor-
dozt (laptop, PDA, mobiltelefon, pendrive, stb.)
hagynak el, vagy lopnak el tlk. Egyrszt gon-
doskodni kell a fizikai vdelemrl, msrszt az
adatokat csak titkostott mdon szabad az ilyen
eszkzkn trolni.
kvetelmnyei
181/300
kvetelmnyeket a felhasznli felelssgekkel
kapcsolatban. A szablyozs clja a jogosulatlan
felhasznli hozzfrs, valamint az informcik
s informci-feldolgoz eszkzk meg-
ronglsnak, illetve eltulajdontsnak megel-
zse [Forrs: MSZ ISO/IEC 27001:2006]. A
felhasznli felelssgek (s feladatok) hrom
nagyobb csoportjt trgyalja a hivatkozott
szabvnyszakasz:
a j biztonsgi gyakorlatnak
megfelel jelszhasznlatt,
az rizetlenl hagyott fel-
hasznli berendezsek meg-
felel vdelmt,
a Tiszta asztal, tiszta kper-
ny elv alkalmazst.
A szabvny emltett szakasza a szervezeti
kultra, s gy az elvrt magatartsformk ele-
meit veszi clba. Ha a szabvny szerinti
mkdst clozzuk meg, akkor a munkatrsak
182/300
informcibiztonsgi tudatossgt fokoz
kpzsi programok elkerlhetetlenek. Slyponti
tmja minden ilyen kpzsnek a jelszhasznlat,
a magra hagyott eszkzk, berendezsek
vdelme, s a munkahely iratmentestse, azaz
annak megteremtse, hogy csak a szksges
paprok legyenek az asztalon, s csak akkor,
amikor a dolgoz felgyeletet tud gyakorolni
sajt dokumentcija felett.
183/300
24. ESET HLZATI SZINT
HOZZFRS ELLENRZSE
Idegen tollakkal avagy mikor kell vis-
szavonni a jogosultsgot?
Hlzati szint hozzfrs ellenrzse
Esetlers
Gz Gza egy csavar volt a Minden Elad
Nyrt. (tovbbiakban MERT) gpezetben. Az
rtkestsi osztly gyed-en lev dolgozjnak
helyre vettk fel kt vre szl szerzdssel.
Beosztsbl addan sok idt tlttt az irodtl
tvol. Jobban kedvelte az gyfelekkel a
szemlyes kapcsolatot polni, mintsem telefonon
s egyb szemlytelenebb csatornkon kom-
muniklni. A sok tvoli munkavgzs miatt volt
gy, hogy napokig nem lttk az irodban. A
zkkenmentes kapcsolattarts rdekben,
ahogyan az mr bejratott volt a MERT-nl, t-
voli hozzfrst kapott e-mail postafikjhoz.
Munkatrsai kedves embernek tartottk, de
barti viszonyba mgse keveredett senkivel.
rtkestsi eredmnyei tlagosak voltak. Gza
ugyan remnykedett benne, de a kt v leteltvel
nem hosszabbtottk meg szerzdst. A tnyt
udvariasan s idben kzltk vele. Gza a
folyamatban lev gyek lezrsra hivatkozva ig-
yekezett minl tbb gyfllel tallkozni.
Gza zkkenmentesen adta t azt a nhny
megmaradt nyitott gyet s szinte szrevtlenl
tvozott. Nhny nappal ksbb rjtt, hogy az
egyik partnertl kapott egy elrhetsget, akinl
llsgyben rdekldhetett. Akkor nem sikerlt
felvenni a kapcsolatot a partnerrel. A papr amire
a szmot rta pedig a kimosott ingnek zsebben
maradt. Tett egy prbt: sikerlt bejelentkeznie a
MERT hlzatba, a postafikja mg lt, benne a
szksges informcival. A szokstl vezrelve
elolvasta sszes levelt. Mivel tbb krlevl-cso-
port tagja is volt, nhny jelents informcit is
elcspett.
185/300
Az llsinterjn a levelekbl szerzett inform-
ci segtsgvel imponlan szerepelt. Mr
msnap kezdhetett is. Szorgalmasan olvasta
leveleit a MERT-nl mg mindig zemel
postafikjban. Amikor kzeledett jelszavnak
lejrta szablyszeren megvltoztatta. Az idk
sorn j nhny hasznos tippet is kapott.
Vglegestettk, majd ellptettk az j helyn. A
sikerek meghoztk nbizalmt. Az nbizalom a
rmenssget. Szp jv vrt r a mr nem is
olyan j helyen.
Kzben csak a jtk kedvrt vett nhny
MERTrszvnyt, aztn tudta mikor kell venni,
eladni. Gza j kzgazdsz volt s a sikerek
egyre jobb tettk. A MERT rszvnyei tmen-
etileg gyenglkedtek a tzsdn, de egy lelken-
dez levl a fellendlst jsolta. Csak azt nem
tudta melyik a kedvez pillanat. Sajna nem is
tudta meg, mert eszbe jutott valakinek hogy mr
nincs a MERT llomnyban.
186/300
Van-e felhasznli, kezeli s
jelszkezelsi hzirendje a
MERT-nek? Ellenrzi-e valaki
annak betartst?
Mirt nem hasznlja a MERT a
jelszavak automatikus le-
jrsnak lehetsgt?
Mirt nem jelezte a humn-
politikai osztly az informatikai
osztlynak Gz Gza kilpst?
Hogyan vlekednk arrl, hogy
Gz Gza a MERT-tl val t-
vozst kveten rendszeresen
belpett a cg informatikai
rendszerbe?
Milyen mdszerek lehetsgesek
egy tvoz munkatrs berkez
leveleinek kezelsre?
A fenti eset tbb lazasgot is bemutat a MERT
informcibiztonsgi rendszerben. Klnbz
187/300
alaphelyzetek vezethetnek erre a nem kvnt
eredmnyre.
Tegyk fel, hogy a MERT rendelkezik kln-
bz gyviteli szablyzatokkal, de azok elavul-
tak, egyik sem rendelkezik a biztonsgos
elektronikus gyvitel szablyzsrl. Tegyk fel,
hogy a MERT megfelelen aktualizlt
hzirendekkel (policy) rendelkezik, de ezek
betartst biztosan nem ellenrzik. Esetleg a
hzirend betartsra a munkatrsak nincsenek is
kioktatva.
Mindkt kiindul felttelezs csak a buks fel
viszi a MERT-et.
Minden hlzati forgalmat bonyolt szervez-
etnek rendelkeznie kell a hlzati hozzfrst s
jelszkezelst szablyoz hzirenddel. A
hzirendnek rgztenie kell, ki, mikor, milyen
mdon frhet a hlzati erforrsokhoz. Sza-
blyozni kell, ki, mikor, milyen engedly alapjn
hozhat ltre felhasznli fikot. Rgzteni kell az
alkalmazand jelsz megkvnt erssgi fokt,
tartalmazzon-e nagybetket, szmokat, jeleket,
188/300
tovbb a jelsz lettartamnak hosszt. Sza-
blyozni kell, ki, mikor milyen jelzs alapjn r-
vnytelenti, vagy sznteti meg a felhasznli
fikokat. rvnytelents esetn kell-e trlni a
felhasznl levelezsi terlett.
Szablyzattal kell rendelkezni a bels
levelezs mdjrl, pldul milyen bizalmassgi
fok informcit szabad csoportos cmzettnek
kldeni.
Azon tl, hogy a szablyzatoknak lteznik
kell, be kell azokat vezetni, s ellenrizni a v-
grehajtst. A tapasztalatok alapjn illetve a
krnyezeti hatsok szerint aktualizlni kell
azokat. Vagyis gondosan alkalmazni kell a
tervezd, csinld, ellenrizd, intzkedj (PDCA)
letciklust a gyakorlatban.
kvetelmnyei
kvetelmnyeket a hlzati szint hozzfrs
189/300
ellenrzsre vonatkozan. A szablyozs clja
a hlzatos szolgltatsokhoz val jogosulatlan
hozzfrs megakadlyozsa. [Forrs:
MSZ ISO/IEC 27001:2006]. A szabvnyalkotk
ezen bell klnsen
a hlzatos szolgltatsok
hasznlatnak szablyozsra,
a felhasznlk hitelestsre s a
berendezsek azonostsra,
a portok vdelmre,
a hlzatokhoz val csatlakozs,
s az tvonal ellenrzst,
valamint
a szksges szolgltatsok, fel-
hasznlk elklntsnek sza-
blyozsra hvjk fel a szab-
vnyalkalmazk figyelmt.
190/300
25. ESET OPERCIS RENDSZER
SZINT HOZZFRS-ELLENRZS
Jucika a hrharsona avagy a nagyon er-
s lehet gyenge is
Opercis rendszer szint hozzfrs ellenrzs
Esetlers
Az Elektronikus Biztonsgi Rendszerhz
(tovbb ELBIZ), mint aki a biztonsgtech-
nikban utazik, mindent elkvetett, hogy a
sajt hza tjn a lehet legjobb biztonsgi beren-
dezseket s eljrsokat alkalmazza.
A kzelmltban hre terjedt, hogy a konkurens
cgtl adatok szivrogtak ki. Az ELBIZ-nl el-
hatroztk, amit lehet, megtesznek. Velk ez ne
forduljon el. Eddig a rendszergazdai feladatokat
az egyik fiatal mrnk ltta el flllsban.
Meghirdettk a rendszergazdai llst. Volt
jelentkezs bven. Kivlasztottak egy szakirny
vgzettsg fiatal mrnkt, j ajnlssal. Az j
sepr jl sepert. Tervet, szablyzatot ksztett,
bevezette. A munkatrsak berzenkedtek ugyan,
hogy a szmokat, jeleket, kis- s nagybetket
kvetel jelszavakat tl gyakran kell cserlni. A
vezets a rendszergazda mell lt: szpszval, er-
vel tmogatta az elkpzelseit. A rendszer kez-
dett bellni.
Az ELBIZ munkatrsak egy rsze minden ig-
yekezetnek ellenre is kptelen volt fejben
tartani a minduntalan megvltoz bonyolult
jelszavakat. Gizike, az egyik brszmfejt koll-
egan, aki a cg rgi, nagy tuds, megbzhat
tagja volt titokban feljegyezte azokat, s ahogyan
azt kedvenc krimijben ltta, az asztaln ll
rszeres csupor aljra ragasztotta. Jucika, a kot-
nyeles titkrn, egy alkalommal szrevette a
csupor indokolatlan emelgetst, de nem tudta
mire vlni.
Gizike mg szabadsga eltt a vezetk t-
mutatsai alapjn elksztette a bremelsi
javaslatot. Felvirradt Jucika napja. Beosont Giz-
ike szobjba, megemelte a csuprot s megltta a
192/300
feliratot. Kapsbl beugrott neki, mire szolglhat.
Kihasznlta a knlkoz lehetsget s krlnz-
ett Gizike gpben. Megtallta a bremelsi
listt, elcsemegzett rajta. Kit sokallotta, kit
kevesellette. gy rezte, hogy pldul keveset
kapott. Nem sokra az ELBIZ-nl suttogni
kezdtk a brrendezs adatait.
Mennyire j az az adatvdelmi
szablyzat, amelynek betartsa
jelents nehzsgekbe tkzik?
Mennyire ellenrizhet egy
jelsz titokban tartsa?
Detektlhat-e egy jelsz
kompromittldsa?
Megfelel-e ELBIZ doku-
mentumkezelsi szablyzata?
Kiterjed-e a doku-
mentumkezelsi szablyzat a
papr s az elektronikus doku-
mentumok kezelsre is?
193/300
Milyen mrtkben kell
felkszlni a rosszindulat bels
tmads ellen?
Bevezethet-e fizikai eszkz
(kulcs) a megjegyzend jelsza-
vak kivltsra?
Hogyan vlekedjnk Jucika
viselkedsrl?
Minden vdelmi rendszer annyira ers, mint a
leggyengbb lncszeme. Hiba kivl, le-
hallgatsbiztos a hlzat, megbzhatan teszi dol-
gt a tzfal, minden gpen ott a rendszeresen fris-
stett vrusvdelmi rendszer, ha az emberi
tnyezt nem veszik figyelembe.
Az ELBIZ pldjbl lthat, hogy az op-
timlis jelsz kezelsi hzirend kialaktsa nehz,
de rendkvl fontos feladat. Csak, a dnt
tbbsg ltal betarthat szablyokat szabad
fellltani. A kisebbsgrl egynileg kell
gondoskodni.
194/300
A kisebb biztonsgi kockzat munkakrk
esetn megengedhet ritkbban cserlt, esetleg
knnytett jelsz. Ilyen esetben a jogosultsg
belltsval kell ellenslyozni a veszlyt. Ma-
gasabb kockzat helyeken fizikai kulcsok
hasznlata lehet indokolt.
Fizikai azonost eszkz hasznlatnak
tovbbi elnye a kompromittlds detektlsa.
A kulcs hinya a kvetkez hasznlat esetn
kiderl. Elny tovbb, hogy az ilyen
elektronikai azonost eszkzk csak megfelel
felkszltsggel msolhatk, esetenknt csak a
gyrt ltal.
Az azonost kulcsok hasznlatnak tovbbi
elnye a tbbcl felhasznlhatsg. A belp-
tetrendszerrel kzsen hasznlva, vagy ha a
kvautomata is e kulcs hasznlatval csapol-
hat, akkor a munkatrsak rszoktathatk az es-
zkz maguknl tartsra, ezzel a szmtgpek
lezrsra.
195/300
kvetelmnyei
kvetelmnyeket a szmtgpek opercis rend-
szer szint hozzfrsnek vdelmre. A sza-
blyozs clja az opercis rendszerekhez jogo-
sulatlan hozzfrs megakadlyozsa. [Forrs:
MSZ ISO/IEC 27001:2006]. A szmtgpek
kezelsnek szablyozst gy kell kialaktani,
hogy az kitrjen a kvetkez elemekre:
az opercis rendszerhez val
hozzfrst biztonsgos be-
jelentkezsi eljrsra,
felhasznlnak szemlyes
hasznlatra szl egyedi
azonostval val elltsra.
A szablyozsban sszhangba kell hozni a
biztonsg s a betarthatsg szempontjait.
196/300
26. ESET: ALKALMAZS S INFORM-
CI SZINT HOZZFRS-
ELLENRZS
A Pite-Futi Bt. kiszlltsi
tevkenysgnek szoftveres tmogatsa:
j ha van, de jobb ha nincs?
Alkalmazs s informci szint hozzfrs ellenrzs
Esetlers
A Pite-Futi Bt. az elmlt vekben nagy fe-
jldsen ment keresztl. A kezdeti kis
ltvnypksg kintte magt. Ma mr pizzk,
flksz termkek, s pkruk ksztsvel s
hzhozszlltsval foglalkozik. A szolgltatst
egy kzel 110.000 llekszm vrosban s annak
kb. 10 kilomteres vonzskrzetben nyjtja.
A teljes mkdst egy kln erre a clra fe-
jlesztett adatbzis alap szoftver tmogatja,
amely erre dediklt kln szerveren fut. Ez tartal-
mazza a teljes gyfladatbzist, valamint az
sszes hzhozszlltsi megrendels adatait s
pillanatnyi sttuszt is. Ez alapjn adjk fel a
megrendelseket a konyhnak, osztjk be a
futrok munkjt, s ez alapjn tjkoztatjk a
telefonon rdekld gyfeleket is. Minden
kollga sajt nevvel s egyedi jelszavval
jelentkezik be a rendszerbe, azonban vezetsgi
krsre a jogosultsgi belltsok mindenkinek
megengednek minden adathoz val teljes
hozzfrst, mondvn, hogy gyis kevesen
vagyunk, s ne akadlyozzunk senkit se a
munkavgzsben.
A szoftver hasznlata azonban nem teljesen
zkkenmentes. Az alkalmazs workflow jel-
lege miatt minden kollga maga jegyzi be, hogy
melyik megrendels melyik fzist vgezte el.
Emiatt viszont gyakori, hogy a dli nagy hajts-
ban pldul a konyhban dolgozk az elksztett
megrendels sszelltsa vgn a feladatuk
lezrsa helyett vletlenl az egsz megrendelst
zrtk le, trlssel. Ebbl azrt is lett nagy gond,
mert gy a futrok mr nem is lttk a
198/300
rendszerben, hogy mit kell kiszlltaniuk, az gy-
fl pedig hiba vrta hesen a megrendelt fala-
tokat. De az is elfordult mr, hogy ms is mr
trlt bele az adatokban, vagy rt fell j adatokat
hibs rtkekkel. A problma mindig az gyfl-
nl derlt ki, amikor nem, vagy hibsan
teljestettk a megrendelst.
Az j emberek betantsa mg nehezebb, mert
senki sem tudja igazn ttekinteni az egsz rend-
szert, ami a folyamatos hibajavtsok
kvetkeztben llandan vltozik is. Rendes
lers nincs hozz. gy a hibtlan s stabil
hasznlat megtanulsra elg csekly az esly, a
tulajdonos mr a gynyr program lelltst s
a papros mdszerre val visszatrst tervezi.
Szablyozott-e, hogy az egyes
munkakrket betlt alkal-
mazottaknak milyen jogosults-
gai szksgesek a folyamatt-
mogat alkalmazsban?
199/300
Belltotta-e a rendszergazda
minden egyes felhasznl
egyedi azonostst, s a sza-
blyozsban megszabott jogo-
sultsgi profiljt?
Naplzzk-e pl. az alkalmazs-
szerver adatforgalmt, a belpett
felhasznlk tevkenysgt?
Naplz-e maga az alkalmazs
minden tranzakcit?
tgondoltk-e, hogy a kln
szerveren val elklnts mily-
en biztonsgi clt szolgl, s
hogy ennek a biztonsgi clnak
milyen egyb kapcsolatos
kvetelmnyei s felttelei van-
nak mg?
Szablyoztk-e az ezekhez
szksges intzkedseket?
tgondolt-e, hogy a szoftverfe-
jleszt ltal (pl. otthonrl)
letlttt verzi-vltoztatsoknak
200/300
van-e s milyen hatsa az adat-
bzisra? Mekkora kockzatot
jelent egy teljes jog tvoli
hozzfrs a fut kdokhoz s
az adatbzishoz?
A fenti pldban se a tevkenysg vgzsnek,
se a tmogat szoftver hasznlatnak nincs sem-
milyen dokumentcija, rott szablyozsa. gy
mind a kett szjhagyomny tjn terjed. (Ez
sajnos sok cgnl jellemz problma.) A helyz-
etet tovbb rontjk a rendszeres, 2-4 hetenknti
dokumentlatlan szoftverfrisstsek is,
amelyeknl egyrszt nem mindig kommunikltak
a vltoztatsok ltali klnbsgek a program
hasznlatban, msrszt nem mindig tudottak az
adott hibk kijavtsval a rendszerbe bekerlt
j hibk.
Azltal, hogy a bt munkatrsainak olyan
beavatkozsokhoz is jogosultsguk van, ami a
munkavgzsk miatt nem lenne szksges,
201/300
flslegesen visszalsre vagy vletlen adatm-
dostsra, hibalehetsgek kerltek a rendszerbe.
Ezt fokozza, hogy a szoftver kdja s mkdse,
s ennek kvetkeztben hasznlata is folyam-
atosan vltozik, ami mr dokumentltan nincs
nyomon kvetve. Ez mg tovbbi hibalehet-
sgek forrsa.
A bt vezetse a szolgltatst tmogat pro-
gram mkdst elklntette ugyan egy nll
szerverre, azonban aki a hlzathoz hozzfr, an-
nak mindenkinek biztostott az alkalmazshoz
val hozzfrse is. Az elklnts utn a
hozzfrsek ellenrzsre kln lehetsget
biztosthatnak a klnbz szint naplzsok is.
Erre mind hlzati szinten, mind alkalmazs sz-
inten ltalban van lehetsg. Termszetesen
ezeknek is csak akkor van rtelme, ha a
naplfjlokat rendszeresen kirtkelik, s a nem
kvnt bejelentkezseket vagy gyans tranzak-
cikat kiszrik, majd fellpnek ellene.
202/300
kvetelmnyei
kvetelmnyeket az alkalmazsokhoz val
hozzfrs ellenrzsre. A szablyozs clja az
alkalmazsi rendszerekben trolt informcihoz
val jogosulatlan hozzfrs megelzse. [For-
rs: MSZ ISO/IEC 27001:2006]. Az
alkalmazsok hozzfrs-ellenrzsnek sza-
blyozst gy kell kialaktani, hogy az kitrjen
az informci-hozzfrs korltozsra s az
rzkeny rendszerek elklntsre.
A felhasznl s a segt szemlyzet
hozzfrst az informcis s alkalmazsi rend-
szer funkciihoz korltozzk, a meghatrozott
hozzfrs-ellenrzsi szablyozssal sszhang-
ban. Az rzkeny rendszereknek legyen egy c-
lirnyos (levlasztott) szmtgpes krnyezete.
203/300
27. ESET MOBIL SZMTGP
HASZNLATA S TVMUNKA
Tvmunkra rendezkedett be a Hallgass
Rm Tancsad Kft.
Mobil szmtgp hasznlata s tvmunka
Esetlers
A Hallgass Rm Tancsad Kft. plyzat tjn
llami tmogatst szerzett, hogy biztostsa
munkatrsai szmra a tvmunka lehetsgt. A
tvmunkra val berendezkedssel cskkentik a
brelt iroda terlett, ami kltsghatkonyabb
mkdst jelent a szmukra, valamint lecserlik
teljes informatikai rendszerket, belertve a
szervereiket, asztali szmtgpeket, laptopokat
s egyb kapcsold perifrikat is. A mo-
bileszkzk hasznlatn tl lehetv teszik
minden munkatrsuk szmra, hogy otthonrl is
csatlakozhassanak a kft egyik kzponti szerver-
hez. Ez a mszaki megolds biztostja a
munkatrsak szmra a levelezsi rendszerhez,
bels projektknyvtrakhoz s gyfladatokhoz
val hozzfrst.
Az elzetes tervek szerint csak limitlt ideig
s csak meghatrozott terletekhez alaktottk ki
a tancsadk tvoli hozzfrst. Az elkpzels
az volt, hogy bizonyos trterleteket s fokozot-
tan bizalmas projekteket csak bellrl az irodbl
lehet elrni. Ez a megolds sok munkatrs
nemtetszst vltotta ki. A vezetsg flve attl,
hogy a dolgozk bizonyos feladatokat szabotl-
nak, gy dnttt, hogy engedlyezi a teljes tvoli
hozzfrst pp olyan jogosultsgokkal, mint
ahogy korbban, a tvmunka eltti idben meg-
szokott volt.
Az tmeneti idszakban knyelmi szempon-
tokat figyelembe vve sok munkatrs gy
oldotta meg a hozzfrsi problmkat, hogy
DVD-kre, s pendrive-okra msolta ki az
irodban a szksges fjlokat, amelyekkel ksbb
otthon tudott dolgozni.
205/300
Milyen projektterv kszlt a
tvmunkra trtn tllsra?
Van-e kockzatrtkelse a kft-
nek? Ha igen miknt kezeltk
abban a rgi s az j helyzetet?
Milyen biztonsgi in-
tzkedseket hoztak a tvoli
hozzfrssel kapcsolatban?
Milyen eszkz segtsgvel tud-
nak tvolrl bejelentkezni a
munkatrsak? Csak a sajt
laptopjukkal, amely azono-
stsra kerl bejelentkezskor,
vagy brmely ms gprl is?
Kszlt-e szablyozs a lapto-
pok kezelsre? Milyen a lapto-
pok biztonsgi belltsa?
Milyen informcibiztonsgi
kpzst kaptak a munkatrsak?
Milyen adatokat s milyen es-
zkzkre tudtak msolni a
206/300
munkatrsak az tmeneti
idszakban? Naplztk-e, hogy
ki, milyen adatokat msol, stb.?
Milyen az j rendszer
naplzsa?
Mirt engedett a vezetsg a
dolgozk nyomsnak? Mi mst
tehettek volna?
A tvmunkra s ezzel egy idben a mo-
bileszkzk hasznlatra val ttrs nem csupn
humnpolitikai, gazdasgi, munkaszervezsi,
hanem nagyon komoly informcibiztonsgi
krds is. Az j gyakorlat bevezetsvel a
rendelkezsre lls lehetsgt szlestette ki a
kft, azonban ezzel egyidejleg a bizalmassg s
srtetlensg elvt sem szabad figyelmen kvl ha-
gynia. Felttlenl szksges annak ismerete,
hogy milyen j kockzati elemeket hordoz az j
gyakorlat. Ilyen esetben elengedhetetlen egy
207/300
alapos kockzatrtkels, s a kapcsold kock-
zatkezelsi terv elksztse.
Ha kellkppen biztonsgos is a kommunik-
cis csatorna, akkor is egy tovbbi kockzati
tnyez a mobileszkzk irodn kvli kezelse.
Clszer egy dokumentlt szablyozst
elkszteni annak rdekben, hogy felhvjuk a
munkatrsak figyelmt az eszkzk kezelsre,
trolsra, a hasznlat sorn val informcib-
iztonsgi kockzatokra. Szksges az is, hogy
szigor biztonsgi belltsokat alaktsunk ki a
gpeken. Hasznljunk bekapcsolsi jelszt, s
vezessk be a jelszavas, automatikus kper-
nyvdt, stb.
Megvizsgland az is, hogy a tvmunka
engedlyezsvel miknt vltoztak a fizikai vde-
lemmel kapcsolatos felttelek. ltalban elmond-
hat, hogy munkatrsak magnlaksai kisebb fiz-
ikai biztonsggal rendelkeznek, mint a kft kz-
ponti irodja. A kettslet kvetkezmnye, hogy
papr alap dokumentumok, szerzdsek,
208/300
szmlk, stb. is vannak tbb-kevesebb ideig a
munkatrsak otthonban.
Az esetpldban lert gyakorlatban tovbbi ag-
glyos megolds, hogy az tmeneti idszakban a
munkatrsak ellenrizetlenl msolgattak ada-
tokat hordozhat adattrolkra. Ilyen problmk
elkerlsre bevett gyakorlat, hogy pl. a DVD
rs csak egy kzponti gpen, ellenrztt,
naplzott formban lehetsges.
A bemutatott eset jl rvilgt az intzkedsek
humnpolitikai vetletre is. Minden esetben fon-
tos annak tudatostsa, hogy az j technolgiai
megolds milyen korltozsokat, milyen j lehet-
sgeket, s milyen j veszlyeket jelent a fel-
hasznlk, s az egsz szervezet szmra. A vez-
ets engedkenysge krosan hathat minden
tovbbi vdelmi intzkeds bevezetsre s
meghonostsra.
kvetelmnyei
209/300
mellkletnek 11.7. fejezete a mobileszkzk s
a tvmunka kezelsre fogalmaz meg
kvetelmnyeket. A szablyozs clja az in-
formcibiztonsg megrzse mobil szmtgp
hasznlatra s tvmunka vgzsre szolgl ber-
endezsek hasznlata esetn [Forrs: MSZ ISO/
IEC 27001:2006]. Vlemnynk szerint a t-
makrt a magyar szabvnyfordts
szhasznlatnl szlesebb krben kell r-
telmezni, gy nemcsak mobilszmtgpekre,
hanem mobileszkzkre kell gondolnunk.
A mobileszkzkre vonatkoz szablyozs
mellett a szabvny itt hvja fel a figyelmet arra is,
hogy a mobilkommunikcira is szablyozst
kell kialaktani.
Kapcsold kvetelmny a tvmunkra von-
atkoz szablyozs, hiszen gy a logikai vdelem
mellett ki kell terjeszteni az informcibiztonsgi
rendszer fizikai hatrait is.
210/300
28. ESET INFORMCIS REND-
SZEREK BIZTONSGI
KVETELMNYEI
gazati informcis rendszer (IR)
fejlesztse
ISO/IEC 27001:2005 A12 Informcis rendszerek be-
szerzse, fejlesztse s fenntartsa / A12.1. Az informcis
rendszerek biztonsgi kvetelmnyei
Esetlers
Egy IT szervezet egyik irodja gazati in-
formcis rendszert (IR) zemeltet, fejleszt. Az
IR kvetelmnyeit jogszablyok, a rszleteket
az gazat kijellt hivatala hatrozza meg. Az ad-
atbzis egyes adatait kzvetlenl az rintettek
tltik fel elektronikus alrsukkal megerstve,
msokat papr alapon bekldik az irodba, ahol
az iroda dolgozi, vagy egy alvllalkoz dik-
szervezet viszi be az IR-ba.
Az IR tbb ezer szemly szemlyes adatait
is tartalmazza. llami szolgltatsokhoz
kapcsoldan, jogszably alapjn az adatbzis
egyes elemei esetenknt sszekapcsoldnak ms
gazatok hasonl adatbzisaival.
Az IR internetes, nylt alkalmazs. Egyes in-
formcik mindenki szmra elrhetk, ms
funkcik, informcik esetn a vonatkoz jogsza-
blyokkal sszhangban szablyozott a
hozzfrs.
A jogszablyok vltozsa, a nvekv fel-
hasznlsi ignyek miatt az IR-t folyamatosan
fejlesztik. A fejleszts szablyozsa szerint a fe-
jlesztsi ignyeket, funkcikat a vezet fejleszt
egyezteti a hivatallal, emlkeztetkben, e-
mailekben rgztve, melyeket a vezet fejleszt
sajt gpn a tma knyvtrban helyez el.
A vezet fejleszt nagy tapasztalattal
rendelkezik. Tudja, milyen zemeltetsi, bizton-
sgi krdsek szoktak felmerlni, gy ezeket a fe-
jleszts sorn figyelembe veszik. Adatvdelmi
krdsek esetn kls tancsadval, elektronikus
alrs esetn egy szolgltatval egyeztet. A
212/300
megoldsokat a fejlesztkkel szban egyezteti, s
a tesztelsek sorn ltalban ezt ellenrzik is.
Hogyan hatroztk meg a rend-
szerrel, mkdtetsvel kapc-
solatos biztonsgi
(rendelkezsre llsi,
hozzfrsi, hitelessgi, srte-
tlensgi, megbzhatsgi, stb.)
kvetelmnyeket?
Vizsgltk-e, hogy a fejleszts
sorn a korbbi rendszerelemek
biztonsga hogyan mdosul?
Milyen mdon hagytk jv, il-
letve dokumentltk a bizton-
sgi kvetelmnyeket?
sszekapcsols esetn hogyan
mrtk fel a biztonsgi kockza-
tokat, hogyan hatroztk meg
kezelsket (belertve a
felelssgeket)?
213/300
Ki s hogyan vizsglta meg az
adatvdelmi megfelelsget,
kvetelmnyeket?
Ki vizsglja s hatrozza meg
az IT rendszer zemeltetse
sorn betartand biztonsgi
kvetelmnyeket?
Hogyan kommunikljk a fel-
hasznl ltal betartand
kvetelmnyeket, a nem
betarts kvetkezmnyeit?
olvashattunk.
A szablyozs alapjn nem egyrtelm, ki s
mikor hatrozza meg a biztonsgi
kvetelmnyeket, hagyja jv, dokumentlja
azokat.
214/300
Nem egyrtelm, hogy a kvetelmnyek
szmba vtelekor milyen szempontokra kell
kitrni (a szoksos hozzfrsi, rendelkezsre
llsi, megbzhatsgi hlzatvdelmi, mentsi
kvetelmnyek mellett rdekesek lehetnek pl. a
naplzsra, nyomon kvethetsgre, az
elektronikus alrsra, hitelessgre, a rendszerek
sszekapcsolsra, adatvdelemre vonatkoz
kvetelmnyek).
A fejlesztsi dokumentumok sajt gpen
trolsa, amennyiben ez a fejleszt team szmra
nem mindig rhet el, szintn agglyos.
A biztonsgi kvetelmnyek megvalsulst,
a tbbi, funkcionlis kvetelmnyhez hasonlan,
igazolni, tesztelni kell.
Nincs bizonytk arra, hogy a rendszer
zemeltetse sorn felmerl kockzatok
kezelsre intzkedseket hoztak (pl. adatrgzts
kls partnerrel).
kvetelmnyei
215/300
kvetelmnyeket az informcis rendszerek
biztonsgi kvetelmnyeire. A szablyozs clja
annak biztostsa, hogy a biztonsg az inform-
cis rendszerek szerves rszt kpezze. [Forrs:
MSZ ISO/IEC 27001:2006]. Az informcis
rendszerek biztonsgi kvetelmnyeinek
meghatrozsa szablyozst gy kell kialaktani,
biztonsgi kvetelmnyek
elemzse,
meghatrozsa,
a szksges kontrollok.
A szablyozsnak sszhangban kell lenni az
adott informcis rendszer s a trolt adatok
rzkenysgvel, a mkdtetsi krnyezettel, a
felhasznlk szmval, felkszltsgvel, a von-
atkoz jogszablyi, vevi, zleti
kvetelmnyekkel, a kockzatokkal, a kockzat-
felmrs eredmnyeivel.
216/300
A biztonsgi kvetelmnyek kztt ki kell
trni a rendszerbe beptett automatikus bizton-
sgi funkcikra s a tmogat kzi
tevkenysgek szablyok rendszerre is. A
kvetelmnyeket azonostani, egyeztetni s doku-
mentlni kell a fejleszts korai fzisaiban, illetve
bevezets eltt.
A biztonsgi kvetelmnyek meghatroz-
sakor clszer kitrni a folytonossgi,
rendelkezsre llsi, a hozzfrsi s hozzfrs
kezelsi, az interfsz, az sszekapcsolsi, a
mentsi, naplzsi, a jogszablyi (pl. ad-
atvdelmi) kvetelmnyekre, a bevezets, migr-
ci sorn felmerl biztonsgi kvetelmnyekre.
A kvetelmny vonatkozik a bels s kls fe-
jlesztsekre, a vsrolt termkekre is. A bizton-
sgi kvetelmnyek megvalsulst clszer
tesztelni.
217/300
29. ESET HELYES INFORMCIFEL-
DOLGOZS AZ ALKALMAZSOKBAN
Lexikont szerkeszt az Ingovny Mvsz-
eti Kiad
szerzse, fejlesztse s fenntartsa / A12.2. Helyes inform-
cifeldolgozs az alkalmazsokban
Esetlers
Az Ingovny Mvszeti Kiad 10 ve
szleskr adatgyjtst folytatott, egyttmkdve
a vilg minden rszbl mzeumokkal,
knyvtrakkal s killt termekkel egy nagysza-
bs lexikon megszerkesztse s kiadsa
cljbl. Srn rkeztek a szcikkek, kivonatok,
brk s fotk elektronikus ton, amelyeket
vrusellenrzs utn a rendszerk erre a feladatra
elklntett adathordozin eltroltak. 10 v alatt
tbb szzezer adat gylt ssze. Amikor nekilttak
a szerkesztsi munknak kiderlt, hogy az risi
adathalmaz teljesen heterogn. A klnbz
helyekrl szrmaz adatokat klnbz
szoftverek klnbz egyms utni verzijnak
alkalmazsval hoztk ltre, a fjlok nem voltak
kompatibilisek egymssal. Nyilvnval volt,
hogy egysges llomnyba szerkesztsk gy
risi tbbletmunkt ignyel, ha egyltaln lehet-
sges. Radsul a fejlettebb szerkeszt szoftverek
tbb hasznos attribtumot httr-informcit
kapcsoltak a fjlokhoz s knnyebb kezelsi le-
hetsget biztostottak, ami a korbbi
szoftververzik ltal ltrehozott fjloknl nem
llt rendelkezsre. Egysges sszeszerkeszts al-
kalmazsa esetn gy a hasznos tbbletinform-
cik s a knnyebb kezelhetsg elnyei men-
thetetlenl elvesznek. Ezen kvl kln gondot
kellett fordtani a szcikkek, kivonatok karakter-
kszleteinek klnbzsgbl add konverzis
problmkra, hogy az adatvesztst elkerljk. A
rajz- s kpinformcik egysges kezelse esetn
viszont mindenkpp szmolni kellett egy a
fjlok megengedett tmrtsbl s szntorzuls-
bl ered adatvesztssel. A lexikon
219/300
megszerkesztse tbb milli Ft-os tbbletklt-
sggel s jelents ksssel jrt.
Megvlogatta-e a kiad az adat-
gyjts forrsait hitelessgk
szerint?
Mirt nem kttt megllapodst
az adatgyjtsben rsztvev in-
tzmnyekkel a gyjtend ada-
tok egysges feldolgozhatsgt
biztost szoftverek
alkalmazsra?
Mirt nem vgeztek az adat-
gyjts kezdeti fzisban
prbafeldolgozst a lehetsges
problmk feltrsra s
kikszblsre?
Mirt nem mrtk fel elre a
szerkesztsi munka vrhat
erforrs-ignyt?
220/300
A vrusellenrzs hasznosnak
bizonyult, de krds, hogy men-
nyire volt napraksz? Mekkora
volt a maradkkockzata annak,
hogy a hatalmas trolt adathal-
maz a 10 v folyamn
megsemmisljn?
Volt-e s ha igen, akkor
betartottk-e az adatok
archivlsnak szablyait?
Milyen ellenrzseket ptettek
bele a lexikon szerkesztsi
eljrsba a bevitt s feldolgo-
zott adatok integritsnak
megrzse cljbl?
Milyen mrtk tmrtst s
szntorzulst engedtek meg rajz-
s kpanyagok feldolgozsa
esetn?
221/300
s adatvdelmi szempontbl elgondolkodtat
gyakorlati megoldst olvashattunk.
Az adatgyjtsbe bevont szervezetek globlis-
an szles sklja hatatlanul szksgess teszi
hitelessgk vizsglatt, s a partnerek os-
ztlyozst megbzhatsguk szempontjbl
egysges kritriumok alapjn. Mg a hitelesnek
elfogadott partnerektl rkez adatokat is
clszer egyenknt kln alvetni hitelessgi
kontrollnak s adott szempontok szerinti szrs-
nek. Rendkvl fontos annak vizsglata, hogy a
kldtt szveges- s kpinformcik fel-
hasznlsa nem tkzik-e szerzi jogi korltozs-
ba. A bemen adatok rvnyestse sorn az
adatok srtetlensgn tl a felsorolt szempon-
tok figyelembe vtele parancsolan szksges.
A lexikonszerkeszts sorn az adatok feldol-
gozsa sok olyan veszlyforrst rejt, amelyek in-
formcivesztshez vagy torzulshoz vezethet-
nek, pl. klnbz nyelv forrsanyagokban
helytelen kdkonverzi alkalmazsval,
222/300
fjlformtumok cserjvel, vagy kpek mretre
szabsval. Ezrt clszer minden feldolgozsi
mvelet eltt s utn llapotellenrzst vgezni.
A feldolgozott kimen adatok rvnyestse
sorn el kell dnteni, hogy azok a feldolgozs
cljval sszhangban vannak-e, szrmaztatsuk a
megfelel bemen adatokbl egyrtelm s
hinytalan-e. Amennyiben valamely adat feldol-
gozsa hibsnak bizonyul, gy meg kell l-
laptani a hiba keletkezsi helyt a folyamatban,
s intzkedst kell hozni annak kikszblsre.
kvetelmnyei
mellkletnek 12.2. fejezete kvetelmnyeket
fogalmaz meg a klnbz alkalmazsokban
trtn helyes informcifeldolgozs mdjra
vonatkozan. A szablyozs clja az inform-
cis tvedsek, az informcik elvesztsnek, jo-
gosulatlan mdostsnak, illetve az inform-
cikkal val visszalsek elkerlse az
223/300
alkalmazsokban. [Forrs: MSZ ISO/
IEC 27001:2006].
A helyes informcifeldolgozst gy kell
vgezni, hogy az terjedjen ki a kvetkez
elemekre:
az alkalmazsok bemen
adatainak rvnyestse hite-
lessg s megfelelsg
szempontjbl,
bels feldolgozs sorn az alkal-
mazsokba beptett el-
lenrzsekkel feldolgozsi hi-
bk, adatsrlsek, szndkos
krttelnek kiszrse,
zenetek srtetlensgnek
biztostsa az alkalmazsokban
megfelel vdelmekkel,
az alkalmazsok kimen
adatainak rvnyestse annak
rdekben, hogy a trolt in-
formcik feldolgozsa helyes
s megfelel legyen.
224/300
A pontos informcifeldolgozst a bemen
adatok heterogn jellege (llomnytpus, kdols,
hitelessg, tartalom idszersge vagy elavult-
sga, attribtumok, stb. szempontjbl)
megneheztheti.
225/300
30. ESET TITKOSTSI
INTZKEDSEK
Ers notebook jszakja avagy ad-
atvndorlsi vletlenek
szerzse, fejlesztse s fenntartsa / A12.3. Titkostsi
intzkedsek
Esetlers
A nevezetes Gmkapocs Egyenget Mvek
(tovbb GEM) a megrendeli megbzsbl
rendszeresen vgez helyszni gmkapocs egyen-
getst. A feladatok vgrehajtshoz magas fok
informatikai tmogats szksges. Ennek
rdekben a GEM minden, gyfeleknl
tevkenyked munkatrsa szmra ers hor-
dozhat szmtgpet, notebookot biztost. A
munkatrsak a feladat elvgzse sorn a megbz
zleti tevkenysgrl szmos rtkes adathoz
jutnak, melyeket a notebookon fut programmal
dolgoznak fel.
Tbbszr elfordult, hogy a GEM munkatrsa
a cges notebookot jszakra a hz eltt parkol
autjban hagyta. Most azonban autjt feltrtk,
az rtkes notebookot elvittk.
Az esetet jelentette fnkeinek. A GEM nmi
tancskozs utn gy dnttt, hogy a
megrendelt, A Nagy Adathalsz nev cget
(tovbb ANAH) nem tjkoztatja az esetrl, s
egyszer kszlk csernek tnteti fel azt. Az ad-
atok nagy rsze a kzponti rendszerbl vissza-
llthat volt. A hinyz rszt pedig kis technikai
problmra hivatkozva gyorsan ptoltk.
Nem sokkal az eset utn, az ANAH egy fontos
trgyalsn a harmadik fl feltnen nagy jr-
tassgot mutatott a szban forg adatok tekin-
tetben. Az ANAH az adatkezelsre vonatkoz
bels vizsglatot rendelt el. Az ellenrzs
hinyossgot nem trt fel. A gyan a GEM-re
tereldtt. A GEM vezeti elismertk az esetet.
Az ANAH ismerve az illetktelen kzbe kerlt
adatok krt a trgyals tovbbi menetben kpes
volt a knos szitucit elnyre fordtani. A
227/300
GEM-mel a tovbbi munkakapcsolatot megsza-
ktotta ugyan, de tekintettel a sok vre vissz-
anyl egyttmkdsre, nem terelte az gyet
jogi tra s krtrtsi ignnyel sem lpett fel.
Rendelkezik-e a GEM inform-
civdelmi szablyzattal?
Hogyan rendelkezik a szablyz-
at a hordozhat gpek
kezelsrl?
Rendelkezik-e a GEM adatb-
iztonsgi hzirenddel (policy)?
Milyen mrtkben tartjk be, il-
letve ellenrzik azt?
Megengedhet-e az adatok biza-
lmassgt s fontossgt
figyelembe vve, hogy a
munkavgzs vgeztvel a
munkatrsak a rjuk bzott note-
bookot a telephelyen kvl
troljk?
228/300
Milyen szablyok von-
atkozzanak a krlmnyekre a
telephelyen kvli trols
engedlyezse esetn?
Milyen ellenintzkedsek tehet-
ek az eltulajdonts esetre?
Megoldst jelent-e megfelel
titkosts alkalmazsa?
Milyen titoktartsi klauzrt
tartalmaz a GEM s az ANAH
kztti szerzds?
A fenti pldban a GEM elkvet egy
rendkvl megkrdjelezhet lpst, amikor ig-
yekszik elkenni ez esetet s partnert az ANAH-
ot nem tjkoztatja a trtntekrl. A pldban
vzolt, az ANAH szempontjbl szerencss ered-
mny, trgyals menete jelentsen
megknnythet lett volna, amennyiben az eset
bekvetkeztekor rteslnek az adatok illetktelen
kzbe kerlsnek lehetsgrl.
229/300
Minden cgnek rendelkezni(e) kell(ene) a tele-
phelyen kvl hasznlt hordozhat gpekre von-
atkoz szablyzattal, amelynek ki kell terjednie a
notebookokra teleptett alkalmazsokra, az
azokon trolhat adatokra, a notebookokkal
kapcsolatos biztonsgi intzkedsekre, a trols
krlmnyeire. Ilyen tpus mobileszkzknl
megfontoland a tbbszint jelszavas vdelem
alkalmazsnak lehetsge.
Tudhat, hogy a bekapcsolsi jelszkrs nem
jelent tl nagy akadlyt. Hasonl mdon az oper-
cis rendszerek jelszavas belptet folyamata is
lekzdhet. A biztonsgi lpsek egymsra
plse mind fokozza a biztonsgot, de cskkenti
a hasznlati komfortot. Biztonsgosabb
megoldst jelent az adatok titkostott trolsa.
Megfelelen komfortos megoldst jelent a
titkostott ktetek hasznlata akkor is, ha azok
nem automatikus, jelsz megads mentes
felkapcsoldsra, vannak belltva.
Nincs ugyan feltrhetetlen vdelem, de az il-
letkes adathozzfrst biztostani kell a cg
230/300
szmra. Tvollt, szabadsg s nem vrt esetek,
betegsg, elbocsts, stb. esetre, az il-
letkeseknek rendelkeznik kell hozzfrssel a
notebookhoz s a trolt adatokhoz. Megfelel
biztonsg trolsban el kell helyezni a belpsi
s titkostsi jelszavakat. Egy megfelel trols
lehet bortk a pnclszekrnyben. A mai let
kvetelmnyeinek jobban megfelel a troland
informcinak az erre rendszerestett, publikus
kulccsal val titkostsa s megfelelen biztons-
gos trhelyen val trolsa.
Az emltett eszkzkkel megoldhat
felttelezve, hogy a notebook megszerzse egy
terv fontos lpst kpezte az adatokhoz val
hozzjutst ksleltetse oly mrtkben, hogy
azok rvnyket vesztsk, rtktelenn vljanak.
sszefoglalva: tbbszint, bejelentkeztetst s
titkosts alap vdekezst magba foglal
megolds adja a legnagyobb biztonsgot.
kvetelmnyei
231/300
kvetelmnyeket a titkostsi intzkedsekre von-
atkozan. A szablyozs clja az informci
bizalmassgnak, hitelessgnek, valamint srte-
tlensgnek vdelme titkostsi eszkzkkel.
[Forrs: MSZ ISO/IEC 27001:2006].
A titkostst ltalnossgban kell r-
telmeznnk, azaz minden egyes adathordoz es-
etben meg kell tallnunk azt a megfelel mdot,
amely a kockzatkezelsnkkel sszhangban
biztostja a megfelel vdelmet. Ezrt a szab-
vnyalkotk csupn ltalnossgban fogalmazzk
meg a kvetelmnyeket oly mdon, hogy ki kell
alaktania a szervezetnek a titkostsi eljrsra
vonatkoz szablyzatt. Az elektronikus adatok
titkostsi technikjnak egyik lehetsges mdja
a kulcsos technikk alkalmazsa, ezrt a kulc-
skezelsre vonatkoz szablyozst ki kell
alaktani a szervezetnek.
232/300
31. ESET RENDSZERFJLOK
VDELME
Mlvezet avagy felkszls az ismere-
tlen tmadsra
szerzse, fejlesztse s fenntartsa / A12.4. Rendszerfjlok
biztonsga
Esetlers
A Szban Forg Cg (tovbbiakban SZFC)
backoffice munkatrsai egy kzs trben szor-
gosan dolgoznak. Mindenki asztaln ott a
szmtgp, benne a CD/DVD egysg s a
hangkrtya. A telefonkltsgek cskkentse
rdekben internet-telefon hasznlatt az SZFC
fejbeszl kszlettel tmogatja. Minden adott a
zenehallgatshoz. A munkahelyi komfort
rdekben s a krnyezet zavar hatsnak
cskkentesre engedlyezett is zenehallgats. Az
intzkeds kedvezen hatott a teljestmnyre.
A CD lemezek egy rszn a hangsvok mellet
szmtgpen megjelenthet tartalom, eseten-
knt telepthet program is van. Egy ilyen CD
okozta a bajt. Szoks szerint a CD krbejrt, tb-
ben is meghallgattk, belepillantottak tartalmba.
A kezel program a lejtszshoz specilis modult
ignyelt, ami automatikusan fel is teleplt a
gpekre. A CD-t nhny ve adtk ki. A vele
rkezett modul az akkor szoksos
opercisrendszer-krnyezethez volt igaztva. A
msnapi rendszerindts ezeken a gpeken nem
sikerl.
A rendszergazda hamarosan feltrta a soroza-
tos hiba okt. Megllaptotta, hogy a helyrellts
a nhny rintet fjl cserjvel nem oldhat meg.
Alkalmazta a hasonl esetek knny
megoldsra kidolgozott eljrsrendet. Korbban,
amikor e rendszert teleptette, a rendszer fjlokat
tartalmaz ktet tartalmnak lenyomatt bizton-
sgi gyjtemnyben helyezte el. Most a kte-
tlenyomat visszamsolsval helyrelltotta a
teleptskori llapotot. A gyakran vltoz
234/300
szemlyes belltsokat pedig az idszaki
mentsekbl helyezte vissza.
Szksges-e tiltani minden, a
munkamenethez nem kapc-
sold tevkenysget? Hol van
a hatr?
Tkletesen kizrni minden
tmadst nem lehet. Van-e en-
nek ellenre optimlis
vdekezs?
Fel lehet-e kszlni az ismere-
tlen veszlyekre?
Hogyan rtkeli a hasznlt CD-
k jogtisztasgt?
Mi biztostja azt, hogy ms al-
kalmazst akr tudatosan, akr
vletlenl nem teleptettek, ha
a felhasznlk a CD
hasznlatval telepthettek al-
kalmazst a gpre?
235/300
Milyen egyb ellenrizetlen
szoftverek lehetnek a fel-
hasznli llomsokon?
Milyen hatssal lehetnek ezek a
szoftverek a rendszerfjlokra?
A fenti pldban az SZFC tudatosan vllalt
veszlyt azzal, hogy a hanghordozk szabad
hasznlatt engedlyezte. Kizrhatta volna ugyan
a msolt lemezek hasznlatt, de ebben az eset-
ben egy gyri lemez volt a problma okozja.
A veszly vllalsa lehetv tette az SZFC
szmra a felkszlst az ismeretlenre. A hang-
slyt nem az ismeretlen veszly elhrtsra,
hanem hatsainak minimalizlsra helyezte.
A SZFC olyan teleptsi eljrst dolgozott ki
s vezetett be, amely kln ktetre helyezi a
fellrssal javthat statikusnak tekinthet pro-
gramllomnyokat s a gyakorta vltoz din-
amikus paramterllomnyokat.
236/300
A rendszer teleptse utn lenyomat (image)
kszl a statikus rszt tartalmaz ktetrl. A
lenyomatok megfelel biztonsg trolsrl az
idevonatkoz hzirend mutat irnyt.
A dinamikus adatok trolst automatikusan
vgrehajtsra kerl folyamatok vgzik. A din-
amikus adatok mentst kzpontilag s tbb
pldnyban troljk visszamenleg. A LIFO (last
in, first out) elvet kvetve mindig a legrgebbi
ments kerl ki a rendszerbl.
A tnyleges feldolgozsi adatok a dinamikus
ktetre kerlnek. Ezek mentst az ide vonatkoz
hzirend szerint vgzik.
A visszallts az esetben lertak szerint gy-
orsan s mechanikusan trtnik.
A fenti megolds vlasz az ismeretlen
tmadsok esetre, de nem akadlyozza meg
azokat, Csupn minimalizlja a krokat. Ter-
mszetesen az SZFC-nek megvan az ismert
tmadsok elleni vlasza is. Minden gp aktv
vrusvdelemmel van elltva. A klvilggal a
kapcsolatot tzfal ellenrzi. A cg WEB-szervere
237/300
demilitarizlt znban (DMZ) kerlt
elhelyezsre.
Az eset a technikai problmkon tl rmutat a
jogosultsg s a jogtisztasg krdsre is. Az,
hogy a CD-hasznlat sorn alkalmazst
telepthettek a gpekre annak lehetsgt is
biztostja, hogy egyb, ismeretlen esetleg rejtett
kdokat tartalmaz szoftverek is teleplhettek el-
lenrizettlenl. Ezek rendszerfjlokra gyakorolt
hatsa tovbbi vizsglat trgya lehet. Tovbbi
nyitott krds a CD-k jogtisztasga, azok
msolsa, s egyb felgyelet nlkl alkal-
mazhat szoftverek jogtisztasga.
kvetelmnyei
kvetelmnyeket a rendszerfjlok biztonsgra
vonatkozan. A szablyozs clja a rendszer-
fjlok biztonsgnak garantlsa. [Forrs:
MSZ ISO/IEC 27001:2006]. A rendszerfjlok
238/300
vdelmnek szablyozst gy kell kialaktani,
hogy az kitrjen az opercis rendszerekben
trtn szoftver teleptsek felgyeletre.
Klnsen fontos a hasznlhatsg s a
biztonsg egyenslynak fenntartsa, valamint
az, hogy sszefggsben a szabvny ms fejez-
eteivel a biztonsgi esemnyek
bekvetkezsekor, rendelkezsre lljon he-
lyrelltsi terv.
239/300
32. ESET BIZTONSG A FEJLESZTSI
S TMOGAT FOLYAMATOKBAN
Alkalmazsok fejlesztse egy pnzgyi
szervezetnl
szerzse, fejlesztse s fenntartsa / A12.5. Biztonsg a fe-
jlesztsi s tmogat folyamatokban
Esetlers
A pnzgyi szervezet egy bankcsoport
lenyvllalata. Mkdst kt, egymshoz kapc-
sold, komplex rendszer tmogatja.
A pnzgyi tevkenysget tmogat szoftvert
kls fejleszt cg fejleszti, melyet a legtbb,
hasonl szolgltatst nyjt pnzgyi szervezet is
hasznl. A fejlesztvel az egyttmkds egy
tbb ve kttt, az ltalnos jogi s pnzgyi
kereteket rgzt szerzds alapjn folyik. A fe-
jlesztcg a jogszablyi vltozsok rendszerbe
illesztst egyeztetve az IT vezetvel auto-
matikusan tvezeti, az egyb fejlesztsi ignyeket
az alkalmazs felhasznli gazdjval s az IT
szervezet vezetjvel egyezteti. A fejlesztett
szoftvert a felhasznlk tesztelik a teszt szerver
adatbzist hasznlva. Az alkalmazs fel-
hasznlbart mdon lett kialaktva, klnsebb
kezelsi, informatikai kziknyvek nlkl is jl
hasznlhat. A vltozsok a Felhasznli
kziknyvekbe csak verzivltskor plnek be.
A msik, az gynkhlzati egyttmkdst
tmogat szoftvert bels munkatrsak fejlesztik.
A fejleszts menett, tesztelst, zembe
helyezst, dokumentlst rszletes Alkalmazs-
fejlesztsi szablyzat rja el. A gyakorlatban, az
ignyek gyors kielgtse s a felesleges admin-
isztrci elkerlse rdekben, a fejleszt az
elrstl eltr, mindssze a fejlesztsi ignyt
rgzti, valamint a teszt s az zembe llts
jegyzknyvt. A fejlesztsrl, tvtelrl a fe-
jleszt s az ignyl felhasznl dnt.
241/300
Milyen szablyozsok von-
atkoznak az informcis rend-
szerek fejlesztsre, ebben mily-
en szerepe van az informcib-
iztonsgrt felels(k)nek?
Mik a ktelez s mik az op-
cionlis elemek a szablyozs-
ban, milyen szempontok szerint
s ki dnt az opcionlis
elemekrl?
Milyen szablyok vonatkoznak
a kisebb javtsokra, karb-
antartsra, fejlesztsekre?
Milyen biztonsggal kapcsola-
tos feladatok merlnek fel az el-
lenrzsek sorn?
Mik a biztonsgi, adatvdelmi
kvetelmnyek a teszt krnyez-
ettel kapcsolatban?
Ki vizsglja t az alkalmazsok
vltozsnak hatst a
242/300
kapcsold alkalmazsra,
adatbzisokra?
Milyen szablyozs vonatkozik
a vsrolt szoftverekre
(tartalmazza-e a
Fejlesztsszablyzat)?
Milyen informcikat, adatokat,
erforrsokhoz val
hozzfrseket kap a kls
szoftverfejleszt, s ki ellenrzi
ezek megfelel hasznlatt?
Milyen megllapodsok, nyil-
atkozatok, szankcik biztostjk
a bizalmassgot, titoktartst,
biztonsgi kvetelmnyeink
betartst kls partner esetn?
olvashattunk.
243/300
Nem egyrtelm, hogy a fejlesztsi/
vltozskezelsi eljrs mire vonatkozik: minden
fejlesztsre, vagy csak a bels fejlesztsekre.
A szablyozs az idelis fejlesztsi folyam-
atot rja le, de a gyakorlatban a folyamat az es-
etek tbbsgben ettl eltr. Gyakorlatilag felels
jvhagysa nlkl zajlik a folyamat.
Nem jelenik meg a gyakorlatban a rendszerek
egymsra hatsnak vltozsok utni vizsglata,
az eredmnyek dokumentlsa.
Nem egyrtelm, milyen felhasznli t-
mutatkat kell kszteni. Agglyos, hogy nem
minden vltozskor aktualizldik a Felhasznli
Kziknyv.
Nem jelennek meg a gyakorlatban az inform-
cibiztonsgi kontrollok, a biztonsgi
kvetelmnyek s ellenrzsk.
Nem lttunk bizonytkot arra, hogy a kls
szoftverfejleszt tevkenysgt hogyan felgye-
lik, az adatkiszivrgs megakadlyozsra mily-
en intzkedseket tesznek.
244/300
kvetelmnyei
kvetelmnyeket a fejlesztsi s tmogat
folyamatokban elvrhat biztonsgra. A sza-
blyozs clja az alkalmazsi rendszerek
szoftverei s informcii biztonsgnak fen-
ntartsa. [Forrs: MSZ ISO/IEC 27001:2006]. A
biztonsg szablyozst a fejlesztsi s tmog-
atsi folyamatokban gy kell kialaktani, hogy az
kitrjen a kvetkez elemekre:
vltozsszablyozsi eljrsok,
az alkalmazsok mszaki tviz-
sglsa az zemel rendszerek
megvltoztatst kveten,
szoftvercsomagok megvltoz-
sainak korltozsa,
informcik kiszivrgsa,
kiszervezett szoftverfejleszts.
A szablyozsnak, kialaktott folyamatoknak
figyelembe kell venni az egyes fejlesztsek
245/300
eltrseit (pl. kls, bels fejleszts, egyedi vagy
dobozos termk, j fejleszts, vagy kisebb m-
dosts, stb.).
A folyamatban meg kell hatrozni, hogy
melyek a folyamat biztonsgi kvetelmnyei, ki
felel ezek betartsrt, a vltozskezelsi
eljrsokban az informcivdelemrt felelsnek
milyen szerepe van.
Kiszervezett szoftverfejleszts esetn figye-
lemmel kell ksrni a tevkenysgeket, a bizton-
sgi kvetelmnyek betartst.
246/300
33. ESET MSZAKI SEBEZHETSG
KEZELSE
A B-Kny Kft. szoftverfrisstsi
gyakorlata
szerzse, fejlesztse s fenntartsa / A12.6. Mszaki se-
bezhetsg kezelse
Esetlers
A B-Kny Kft. brszmfejtssel s
knyvelssel, adtancsadssal foglalkoz
magnvllalkozs. Budapesten 3 irodban szol-
gljk ki folyamatosan a partnereiket, ezen kvl
a telefonos gyflszolglaton keresztl is tartjk
a kapcsolatot partnerekkel.
A B-Kny Kft. mkdse s szolgltatsa
sorn a brszmfejtsi, knyvelsi adatait s
teljes gyfl adatbzist az informatikai rendszer-
n trolja. Ezek az adatok egy kln szolgltatsi
szerveren vannak, amelyhez egy ismers pro-
gramoz rt egy nll alkalmazst. Ezt az
alkalmazst hasznljk a hlzaton keresztl a
kzpontban, s internetes csatlakozssal a hrom
fikirodban is. Az alkalmazson keresztl az
gyfelek is hozzfrhetnek sajt knyvelsi
adataikhoz, lekrhetik s kinyomtathatjk azokat.
A bejelentkezs az interneten keresztl, meg-
felel jelszval trtn azonostssal trtnik.
A cg a kvetkez szoftverfrisstsekkel
foglalkozik rendszeresen. Egyrszt a rendszer-
gazda rendszeresen letlti a munkallomsokra a
megjelen opercis rednszer frisstseit. Ms-
rszt a brszmfejtsi s knyvelsi alkalmazs
rendszeresen szlelt hibit bejelentik a szoftver
fejlesztjnek. A kls megbzott szoftverfe-
jleszt a jelzett hibknak megfelelen, de hav-
onta csak egyszer kijavtja az addig tallt hi-
bkat, s letlti a frisstst erre a rendszerre. A
szoftverfejleszt csak a knyvelirodban fr
hozz az les rendszerhez. Ez a gyakorlat sokszor
problmt jelentett a szmra, ezrt egy tkr-
rendszert alaktott ki otthon, amelyen kiprblja
248/300
az elksztett frisstseket, s ezt kveten tlti le
azt az les rendszerre.
tgondoltk-e, hogy az alkal-
mazott informcis rend-
szereknek milyen biztonsgi,
mszaki sebezhetsgei
vannak?
Figyeli-e valaki az informcis
rendszereik publiklt
sebezhetsgeit?
Figyelik-e, hogy a bekvetkez-
ett incidensek vagy tmadsok
milyen mszaki sebezhetsgre
vezethetk vissza?
Biztosak-e abban, hogy a gy-
orsan letlttt opercis
rednszer frisstsek kztt egy
sem elhamarkodott, azaz egy
sem hoz be jabb, nagyobb
hibt?
249/300
Biztosak-e abban, hogy a hlz-
ati belltsokon keresztl sem-
milyen tmads nem ri a rend-
szert? Hogyan ellenrzik ezt?
A B-Kny Kft. vezeti az ltalnosan ismert
s kztudatban lv j gyakorlatnak megfelel
szemllettel s gondossggal jrtak el. Lehet-
sges, hogy a rszletes krlmnyek pontos
ismeretben mg ezek az intzkedsek meg-
felelek is, s a szksges intzkedsek nagy
rszt lefednk. Az azonban elgondolkoztat,
hogy ezt a gyakorlatot nem a kockzatok, a
felmrt informcis rendszerek sebezhetsgi
veszlyeinek ismeretben hatroztk meg, hanem
mintegy trtnelmileg gy alakult ki alapon. Ez
azt is jelenti, hogy a krlmnyek, egyb alkal-
mazsok bevezetse vagy egyb szoftverrend-
szerek jonnan fellp veszlyei esetn semmi
sem knyszerti a cget arra, hogy azok
srlkenysgnek kezelsre jabb intzkedsek
250/300
bevezetst tervezzk. Msrszt a kt bevezetett
intzkedsen (szoftverfrisstsi gyakorlaton) is
rdemes elgondolkozni egy kicsit!
Az opercis rednszer frisstsek fontosak,
mert a felfedezett biztonsgi hibkat javtjk ki.
Ugyanakkor elfordulhat, hogy a gyorsan kiho-
zott javtsok jabb hibkat hozhatnak a rend-
szerbe, amelyre mr volt is plda. Ezrt nha r-
demes megfontolni a frisstsek letltse eltt,
hogy mit mondanak az els felhasznli
tapasztalatok, s azok utn dnteni az adott
javts felhasznlsrl. Kivtelt elssorban a
vrusirt, anti-spyware, spam-ellenes s hasonl
programok kpeznek, amelyeknl az egyes
biztonsgi frisstsek az jonnan megismert
vrusmintkkal kiegszlve adnak aktulis
vdelmet.
A rendszergazda kln gondot fordtott a
munkallomsok frisstseire, de ugyanakkor a
hlzati szoftver s belltsai sebezhetsgvel
nem foglalkozott. A kialakult gyakorlat meg-
felelsre sokszor az let adja meg a vlaszt, azaz
251/300
hogy mennyi betrs s incidens volt. Ez persze
csak akkor ad relis kpet, hogyha egy ers
hatrvdelem a ksrleteket megfogja s naplzza
is.
A program frisstsei a folyamatos hiba-
javtsokat illetve a jogszablyi vltozsoknak
megfelel mdostsokat tartalmazzk, annak (le-
hetsges) kontrollja nlkl, hogy milyen j hibk
kerlnek a rendszerbe. Ezek a hibk lehetnek
nemcsak funkcionlis jellegek, de biztonsgi
jellegek, sebezhetsgi hibk is. Kln
kritikusan clszer odafigyelni az interneten
keresztli, kzvetlenl a kls irodkban dolgoz
kollgk s az gyfelek ltali hozzfrsek pro-
gram ltali kezelsnek a veszlyeire, hiszen
ezen keresztl a rendszer kifel is nyitott.
kvetelmnyei
kvetelmnyeket a mszaki sebezhetsg
252/300
kezelsre. A szablyozs clja a nyilvnossgra
kerlt mszaki sebezhetsgek kiaknzsbl
szrmaz kockzatok cskkentse. [Forrs:
MSZ ISO/IEC 27001:2006].
A mszaki sebezhetsgek elleni vdekezs
kialaktsnl, sszhangban a szervezet vagyon-
leltrval s kockzatrtkelsvel, a
kvetkezket kell megfontolni:
a sebezhetsg kezelsvel
kapcsolatos feladatok s
felelssgek,
a rendelkezsre ll javtsokkal
kapcsolatos kockzatok
felmrse, s a javts kock-
zatainak sszehasonltsa a se-
bezhetsg kockzataival,
amennyiben javts nem ll
rendelkezsre, akkor ms in-
tzkedsek megfontolsa, mint
pl. a sebezhetsgre vonatkoz
szolgltatsok megszntetse, a
hozzfrsi intzkedsek
253/300
mdostsa, fokozott figyelem-
mel ksrs a mindenkori
tmadsok kimutatsra vagy
megelzsre s/vagy a se-
bezhetsgi tudatossg
nvelse.
254/300
INCIDENSEK KEZELSE
IP alap Multimdia Alrendszer
teleptse a Tzgmb NyRt. tvkzl
hlzatban
ISO/IEC 27001:2005 A13 Informcibiztonsgi incidensek
kezelse / A13.1. Informcibiztonsgi esemnyek s gy-
engesgek jelentse
Esetlers
A Tzgmb NyRt. vek ta nagy sikerrel
terjeszkedik a hrkzlsi szolgltat piacon. Az
les verseny arra knyszerti, hogy akr kock-
zatot is vllalva hasznlja ki a legmodernebb
technika kecsegtet elnyeit ahhoz, hogy az
lvonalban maradjon. Br az IMS rendszer mg
nem kiforrott, nemzetkzi szabvnyostsa sem
zrult le, robbansszer j lehetsget knl a
harmadik genercis tvkzl-, Internet- s mdi-
aszolgltatsok integrlt nyjtsra, ami azonban
hatatlanul szmos kitapintatlan
informcibiztonsgi veszlyforrst is rejt. Az
IMS biztonsgi architektra ngy f pillre: 1.
Jelzsinformcik vdelme; 2. Felhasznlk
adatainak vdelme; 3. Opertoradatok vdelme;
4. Jogosultsgkezels. Ennek tudatban a
Tzgmb NyRt. olyan vdszoftverekkel
fegyverezte fl magt, amelyek norml esetben
kpesek megakadlyozni egyrszt azt, hogy a
forgalom lebonyoltsba illetktelen szerver
kapcsoldjk be lehallgats vagy illeglis forga-
lomirnyts cljbl, msrszt azt, hogy a jogos
felhasznlk identitst vagy titkos adatait el-
lopjk s felhasznljk.
Szoftvereket teleptettek az opertoradatok
vdelmre is, s megszerveztk az elfizetk jo-
gosultsgkezelst. A rendszer azonban kell
vdelem nlkl maradt a tlterhelses
tmadsoktl, amelyek a hlzat forgalmnak
megbntst clozhatjk, valamint az ismeretlen
programozsi hibktl, amelyek a biztonsgot
veszlyeztethetik. Ezrt ltfontossg feladat volt
annak megszervezse, hogy a vratlan
256/300
incidenseket s az szrevett gyngesgeket a le-
het leggyorsabban jelentsk a szksges ellen-
intzkedsek gyors megttele rdekben.
Teszteltk-e a teleptett in-
formcivdelmi szoftvereket
kls tmadsok utnzsval?
Elegenden reprezentns volt-e
a tmadsi paletta ahhoz, hogy a
lehetsges tmadsok fajtinak
zmt lefedje?
Ha igen, milyen alkalmazsi
krnyezetben vgeztk a
teszteket s a vdelem mennyire
bizonyult hatkonynak a
tesztels sorn?
Hogyan szerveztk meg az in-
formcivdelmi
rendellenessgek non-stop mon-
itorozst s srgs jelentst?
257/300
Rendelkezsre llnak-e kivl
szakemberek az zemeltets
kzben elll vratlan incid-
ensek kezelsre s a feltrt
gyngesgek kikszblsre?
Vezetnek-e naplt az elhrtott
incidensekrl s gy-
engesgekrl, valamint el-
hrtsuk mdjrl s a levont
tanulsgokrl?
Milyen felelssggel tartozik a
Tzgmb NyRt. az adatlopsok-
bl ered krokrt, ha a
krokoz azonostsa nem
sikerl? Van-e erre vonatkoz
felelssgbiztostsa?
A harmadik genercis tvkzl- Internet- s
mdiaszolgltatsokra alkalmas hlzatok in-
formci- s adatvdelme komoly kihvst jelent
a szakemberek szmra szerte a vilgon. A teljes
258/300
biztonsg sohasem garantlhat, mivel a bizton-
sg vmszedinek lelemnyessge llandan
versenyt fut a hlzatok s a rajtuk keresztl
nyjtott szolgltatsok fejldsvel, emellett pro-
gramozsi s vdelmi hibk kibertmadsok
nlkl is krt okozhatnak, megsrtve a kezelt ad-
atok integritst.
Ezrt sarkalatosan fontos s mssal nem
ptolhat feladat a hlzat mkdsnek non-
stop felgyelete, az szlelt rendellenessgek
azonnali feltrsa s jelentse.
Megjegyezzk, hogy specilisan az inform-
atikban az informci- s adatvdelem
szleskr biztostsra a Common Criteria
nven kzismertt vlt kvetelmnyek szolgl-
nak, amelyek alkalmazst az MSZ ISO/
IEC 15408:2005 szabvnysorozat rja el In-
formatika. Biztonsgtechnika. Az informatikai
biztonsgrtkels kzs szempontjai. cmmel.
ltalnosan igaz viszont, hogy a hatkony in-
formci- s adatvdelemhez elengedhetetlen az
alkalmazottak s felhasznlk
259/300
felelssgtudatnak bren tartsa azrt, hogy a
rendellenessgek jelentst rezzk szemlyes
ktelessgknek. Ezt a szempontot az oktatsban
is ki kell dombortani.
kvetelmnyei
mellkletnek 13.1. fejezete kvetelmnyeket
fogalmaz meg az informcibiztonsgi es-
emnyekrl s gyengesgekrl szksges
jelentsttelre vonatkozan. A szablyozs clja
annak biztostsa, hogy az informcis rend-
szerekkel sszefgg informcibiztonsgi es-
emnyek s gyengesgek kommuniklsa olyan
mdon trtnjk, ami idben lehetv teszi a
szksges helyesbt intzkedsek megttelt.
[Forrs: MSZ ISO/IEC 27001:2006].
A szablyozsnak kt fontos eleme van:
egyrszt az informcibizton-
sgi esemnyeket megfelel
vezeti csatornkon keresztl a
260/300
lehet leggyorsabban jelenteni
kell,
msrszt a biztonsgi gyenge
pontok jelentst mindenkitl
meg kell kvetelni, aki az in-
formcis rendszereket vagy
szolgltatsokat hasznlja, vala-
mennyi alkalmazottl, szerzd
vllalkoztl, vagy harmadik
fltl. Jegyezzk fel s jelentsk
a rendszerekben, illetve szol-
gltatsokban szlelt vagy
felttelezett brmifle gyenge
pontot!
Ahhoz, hogy az szlelt vagy felttelezett gy-
enge pontok jelentst megkvetelhessk az in-
formcis rendszer hasznlitl, ezt a ktelezett-
sgket munkaszerzdsben vagy
egyttmkdsi szerzdsben rgzteni kell!
Szerzdsen kvli harmadik fl esetn csak
elvrst lehet tmasztani, ktelezettsget nem.
261/300
INCIDENSEK S JAVT FEJLESZTSEK
KEZELSE
A Netuddmeg Bt. 10 laksszvetkezet
knyvelst ltja el
ISO/IEC 27001:2005 A13 Informcibiztonsgi incidensek
kezelse / A13.2. Informcibiztonsgi incidensek s javt
fejlesztsek kezelse
Esetlers
A Netuddmeg Bt. vek ta eredmnyesen ltja
el egy budapesti laktelep tz laksszvetkez-
etnek sszes nyilvntartsi s knyvelsi felad-
att. Adatbzisuk lehetsg szerint napra kszen
kiterjed az pletek s laksok telekknyvi
adataira, mszaki jellemzire, a szvetkezetek
pnzgyi gazdlkodsnak rszleteire, a
kzssgi szolgltatsok szmlinak nyil-
vntartsra, a szvetkezet regisztrlt tiszt-
sgviselinek jogostvnyaira, stb. A cg kapc-
solatot tart fenn az nkormnyzattal, valamint az
sszes rintett szolgltat cggel (Tvh, Vzm,
plet-karbantartk, stb.), de ezeknek a cg adat-
bankjhoz hozzfrsi joguk nincs. Az egyik
laksszvetkezet nevezzk A-nak titoksrtsi
perrel fenyegette meg a cget. Azt lltja, hogy az
egyik konkurens laksszvetkezet nevezzk B-
nek illeglisan megszerezte knyvelsi
adataikat, amit egy nkormnyzati plyzat sorn
versenyhelyzetben jogtalan elnyszerzs
cljbl htrnyukra felhasznltak. A Netuddmeg
Bt. igazgatja azonnal vizsglatot indtott az ad-
atlops krlmnyeinek feldertsre. Adat-
bankjukhoz 3 dolgozjuknak volt hozzfrsi s
kizrlagos adatbejegyzsi joga, ezen kvl a 10
szvetkezet mindegyikbl 2-2 szemlynek volt
jelszval betekintsi joga a sajt szvetkezeti
adataikba. A hozzfrsekrl idblyeggel
elltva elektronikus naplt vezettek. A
hozzfrsi napl bejegyzseit elszr 1 hnapra
visszamenleg ellenriztk, de rendellenessget
nem talltak. Vgl egy hrom hnapos idsza-
kra visszatekintve a hozzfrsek idpontjainak
263/300
gyakorisg-eloszlsbl sikerlt kiszrni az A
laksszvetkezet hozzfrsi statisztikjban egy
szokatlan, ks esti bejelentkezsi idpontot.
Radsul a hvst a B szvetkezet szmtgprl
indtottk, ami nyilvnvalan csak jelszlopssal
volt lehetsges. Ebbl kiindulva sikerlt a
bnelkvett nyomozs tjn megtallni.
A bnesemny feltrshoz 1
hnapra visszamen ellenrzs
nem mindig elegend. Krds,
hogy visszamenleg hny
hnapig troljk a rgebbi
logadatokat, hiszen tbb hnap
telhet el egy bncselekmny
elkvetse s megtrtntnek
szrevtele kztt?
Kpes-e a mkdtet szoftver
az adatbank vdelmben arra,
hogy az egyes szegmensekhez
val hozzfrsek idadataibl
264/300
statisztikai gyakorisg-eloszlst
ksztsen, ami lehetv teszi a
rendellenes idpontok
kiszrst?
Biztostva volt-e, hogy a 10
szvetkezet mindegyiknl a
kijellt kt szemly hozzfrse
a Netuddmeg Bt. adatbzisnak
szmukra engedlyezett szeg-
menshez a szvetkezet kijellt
szmtgpn is naplzott legy-
en, elektronikus idblyeggel
elltva, hogy gy az ellenrzst
megknnytsk?
A bemutatott esetpldbl kiderl, hogy a cg
adatbankjban trolt informcik srte-
tlensgnek s bizalmassgnak vdelmhez a
szoftveresen biztostott hozzfrsi korltokon tl
nagy segtsget nyjthat az esemnyek
idblyeggel elltott naplzsa s a napl
265/300
adatainak statisztikai elemzse. Gondot jelenthet,
hogy a napl adatait hossz ideig akr vekig
meg kell rizni ahhoz, hogy segtsgkkel
valamely rendellenessg vagy visszals
feltrhat legyen. Az indokolatlanul hossz ideig
trtn adattrols tovbbi jogi agglyokat vet
fel.
Fontos, hogy a fentrl jv vezeti in-
tzkedseket gyorsan s pontosan hajtsk vgre,
az adatbank kezelsrt felels szemlyek kztt
szemlyre szlan megosztva az incidens
elemzsnek feladatait.
A statisztikai elemzs vilgosan mutasson r a
gyanss vlt rendellenessgekre.
Az eredmnyes nyomozs megknnytse
rdekben fontos a B laksszvetkezet vez-
etsgt egyttmkdsre brni.
A Netuddmeg Bt. igazgatja akkor jrt el
helyesen, ha a jelsz-lops napvilgra kerlse
utn ksedelem nlkl megtette feljelentst
ismeretlen tettes ellen.
266/300
A bngyi felelssg megllaptsa akkor le-
het hatkony, ha az adatgyjtst a B
laksszvetkezet nkormnyzati plyzatnak
elksztinl kezdik.
Az adatlopsok megneheztsre szksg es-
etn clszer az adatbankhoz trtn
hozzfrst kt engedlyezett szemly egyttes
belpshez rendelni.
Komoly hinyossg, hogy a Netuddmeg Bt.-
nek nincs felelssgbiztostsa az A szvetkez-
etnl keletkezett kr megtrtsre.
kvetelmnyei
Az ISO/IEC 7001:2005 szabvny A mellk-
letnek 13.2. fejezete fogalmaz meg
kvetelmnyeket az informcibiztonsggal
sszefgg incidensek hatkony kezelsre. A
szablyozs clja annak biztostsa, hogy az in-
formcibiztonsggal sszefgg incidenseket
kvetkezetes s hatkony megkzeltssel
kezeljk. [Forrs: MSZ SO/IEC 7001:2006].
267/300
A szablyozs elemei a kvetkezk:
vezeti felelssgek s eljrsok
meghatrozsa az incidensekre
adand gyors, hatkony s sza-
blyszer vlaszads biztostsa
rdelben,
mechanizmusok ltrehozsa a
tanulsgok levonsra, amelyek
lehetv teszik az incidensek s
hibs mkdsek tpusainak,
mennyisgnek s kltsgnek
figyelemmel tartst s
szmszerstst,
ha az incidens
jogkvetkezmnnyel jr, vagy
hozz bngyi felelssg tapad,
akkor gondoskodni kell a
felelssg megllaptshoz
szksges bizonytkok jogsza-
blyoknak megfelel
gyjtsrl.
268/300
A szabvny nem tr ki kln arra, hogy az in-
formcibiztonsgi incidensek vagy hibs
mkdsek sikeres feltrsa, a gyors vlasz-
intzkeds s a tanulsgok levonsa utn milyen
javt intzkedseket kell tenni az incidensek
jbli elfordulsnak megakadlyozsra s arra
sem, hogy a krrendezsre legyen biztostsi
fedezet.
269/300
36. ESET A MKDS
FOLYTONOSSGA IRNYT-SNAK
INFORMCIBIZTONSGI
SZEMPONTJAI
A BVA 2K mkdsnek biztonsga
ISO/IEC 27001:2005 A14 Mkds folytonossgnak
irnytsa / A14.1. A mkds folytonossga irnytsnak
informcibiztonsgi szempontjai
Esetlers
A Biztosan Van Alkatrsz Kereskedelmi Kz-
pont (BVA 2K) alkatrsz-kereskedelemmel
foglalkozik. zletfelei rszben magnszemlyek,
rszben szervizek s alkalmanknt gpjrm
szakszervizek, mrkakereskedk is.
A raktrkszlet s a megrendelsek adatait egy
kln erre a clra fejlesztett, adatbzis alap al-
kalmazs kezeli, amely egy kln szerveren fut.
A tteles raktrkszlet aktulis vltozsainak
kvetsn tlmenen ez a program kezeli az
egyes bejv s kimen megrendelseket is,
valamint a szerzdtt mrkakereskedk s
partnerek adatait s a velk val kereskedelmet.
gy a napi mkds ennek a rendszernek a
lellsa esetn szinte megll, hiszen minden
anyagigny s anyagforgalom, s a vele kapcsol-
atos sszes informci, minden mrkakereskedi
informci innen rhet el. Az zletmenet
folytonossga szempontjbl ennek a rend-
szernek a mkdse alapvet jelentsg.
Rvidebb idej (pl. nhny percnyi) rendszer-
lellst elvisel a vllalat, de mr egy flrs rend-
szerlells is kellemetlen kvetkezmnyekkel
jrhat, egy tbbnapos rendszerlells pedig
szmos gyfl-reklamcit s gyflelprtolst
vonhat maga utn.
Ezt felismerve dnttt a vllalat vezetje gy,
hogy a biztonsgos mkdtets rdekben az in-
formatikai tmogatsi alkalmazst egy nll
gpen futtatja, ahol a szerveren kt, egymsra
tkrztt merevlemezen futtatjk az alkalmazst
s troljk az adatokat, tovbb a teljes szervert
egy sznetmentes tpegysg is kiszolglja.
271/300
tgondoltk-e, hogy a bevez-
etett vdelmi intzkedsek mily-
en fenyegetettsgek ellen
nyjtanak vdelmet, s mi ellen
nem? Ksztettek-e tervet a
klnbz fenyegetettsgek
hatsainak cskkentsre?
Hogyan biztostott a munkal-
lomsok szmra a szerveren
lv adatok felhasznlsa pl.
ramkimarads esetn, ha csak a
szerver maga tud sznetmentes
tprl mkdni?
Milyen hossz ramsznetet
kpes a sznetmentes tpellts
thidalni?
A szerver vagy valamely fontos
alkatrsze (a merevlemez
kivtelvel) fizikai meghibs-
odsa esetn, mennyi id alatt
szerezhet be s llthat
272/300
zembe felinstalllt alkalmazs-
sal s adatbzissal egy msik
szerver?
Hogyan kezeljk az gyfeleket
a kies idben?
Ksztettek-e tervet, hogy a
szerver kiessnek pillanattl
kezdve milyen mdon folytatjk
az alapvet zleti
tevkenysgeket, hogyan s mit
kommuniklnak az gy-
feleknek, hogyan teljestik a be-
jv megrendelseket?
Lthat, hogy a BVA 2K vezetst
foglalkoztatta a mkds folytonossga, s meg
is prblt nhny dolgot tenni ennek rdekben.
Gyakran elfordul, hogy ilyen esetben
megrekednek egy-kt tzolt jelleg intzkeds
bevezetsnl, s nem gondoljk t kvetkez-
etesen a lehetsgeket s azok kvetkezmnyeit.
273/300
Ha alapvet kvetelmnynek a vllalat vez-
etsge az informatikai tmogat rendszer
folyamatos mkdst (pl. fl rnl rvidebb
lellsi id nem megengedett) tzi ki, akkor
azokat a fenyegetettsgeket nem nzte szksg-
szeren vgig, amik ide vezethetnek. Emiatt is
nagyon sokfajta fenyegetettsggel szemben
teljesen vdtelen az informatikai alkalmazs
mkdtetsnek biztonsga. Nhny pldt muta-
tunk be csak.
ramsznet esetn a szolgltatsszerveren
fut alkalmazs a szerver rvid tv folyamatos
mkdst s szablyos lelltst biztostja. A
felhasznlk nem rik el a szerver adatait, ha a
hlzati elemeknek, s a munkallomsoknak
nincs ramelltsa.
A szerveren a merevlemez-duplikci csak az
egyik merevlemez meghibsodsa elleni ad-
atvesztstl vd. Nem vd se programhiba miatti,
se szndkos vagy vletlen adattrlstl vagy
mdoststl, mert a tkrzses eljrs azt is
automatikusan tkrzi. Miutn egyb ments
274/300
nincs, ezrt rgebbi llapot visszalltsa
lehetetlen.
Ms, alapvet szerveralkatrsz meghibsod-
sakor elfordulhat, hogy teljesen j szmtgpet
kell szervernek beszerezni s zembe helyezni.
Ez esetben azokon jbl installlni kell minden
szoftvert s adatot. Ez klnsen nehz gy,
hogy az adatokrl nincs egy visszatlthet
ments. j szerver beszerzse s zembe lltsa
sokkal egyszerbb lenne, ha elre gondoskodtak
volna abbl egy tartalkrl.
kvetelmnyei
kvetelmnyeket a mkds folytonossga
irnytsnak informcibiztonsgi szempont-
jaira. A szablyozs clja a mkdsi
tevkenysgek fennakadsainak kivdse, a
kritikus mkdsi folyamatok megvdse az in-
formcis rendszerek nagyobb
275/300
meghibsodsainak hatsaitl, illetve a rend-
szerkatasztrfktl, valamint azok idben trtn
jraindtsnak biztostsa. [Forrs: MSZ ISO/
IEC 27001:2006]. A mkds folytonossga
irnytsnak szablyozst gy kell kialaktani,
az informcibiztonsg bele-
foglalsa a mkds-
folytonossg irnytsnak
folyamatba,
mkdsfolytonossg s
kockzatfelmrs,
az informcibiztonsgot
magukban foglal tervek kidol-
gozsa s megvalstsa,
a mkds folytonossgnak
tervezsi keretrendszere,
mkdsfolytonossgi tervek
vizsglata, fenntartsa s
jrartkelse.
A szablyozsnak sszhangban kell lennie a
szervezet kockzatrtkelsvel. A mkds
276/300
folytonossgnak irnytsa foglalja magba az
intzkedseket a kockzatok azonostsra s
cskkentsre, korltozza a krost incidensek
kvetkezmnyeit, s biztostsa, hogy a mkds
folytonossghoz megkvnt informci knnyen
rendelkezsre lljon.
277/300
37. ESET JOGI
KVETELMNYEKNEK VAL
MEGFELELS
Adatokkal tmogatja lenyt a Compli-
ancer Zrt.
ISO/IEC 27001:2005 A15 Kvetelmnyeknek val meg-
felels / A15.1. Jogi kvetelmnyeknek val megfelels
Esetlers
A Compliancer Zrt. hossz vek eredmnyes
mkdse sorn jelents gyflbzisra tett szert.
Felhalmozott vagyonbl lenyvllalatot
alaptott, amely Friss Er Zrt. nv alatt j piaci
szegmensek meghdtsra trekszik. A Compli-
ancer Zrt. menedzsmentje gy dnttt, hogy az
gyfeleirl rendelkezsre ll adatllomnyt
mintegy szellemi tulajdonban megtestesl tke-
juttatst lenyvllalata rendelkezsre bocstja.
Ezt meg is tette.
Az gyfelek az adatvdelmi biztosnl panaszt
emeltek a Friss Er Zrt. adatkezelse ellen.
Kifogsoltk, hogy a Friss Er Zrt. szmukra
ismeretlen forrsbl jutott szemlyes adataikhoz.
Kpvisel-e vagyoni rtket a
Compliancer Zrt. gyfl adat-
bzisa, mint informcis
vagyonelem?
Megfelelt-e a hatlyos (ad-
atvdelmi) jogszablyoknak az
adattads?
Amennyiben az gyflpanaszok
megalapozottak s adatvdelmi
jogsrts llapthat meg, gy
lett volna-e trvnyes md a
szemlyes adatok tadsra?
A bemutatott esetpldban adatvdelmi szem-
pontbl elgondolkodtat, s megkrdjelezend
gyakorlati megoldst olvashattunk.
279/300
Ktsgtelen, hogy a Compliancer Zrt.
tevkenysgvel jelents adatvagyonra tett szert.
Az adatvagyon vitn fell vagyoni rtket
kpvisel. Az gyfladatbzis srtetlensgt, biza-
lmassgt s rendelkezsre llst biztostani
kell. Az elhatrozott adatmsols nyilvnvalan
nem srti az adatllomny integritst s
rendelkezsre llst. A bizalmassg srelmn a
gyakorlat tipikusan a kls, harmadik szemlyek-
tl rkez jogellenes tmadst rti. Az adatvagy-
on tulajdonosa tekintetben a bizalmassg meg-
srtse ritkn vetdik fel. Adatvdelmi
kvetelmnyeket is a vizsglat krbe vonva
rnyaltabb kp bontakozik ki. A Compliancer
Zrt. gyfelei szemlyes adatait az gyfelek ltal
biztostott adatkezelsi hozzjruls keretei
kztt, annak terjedelmt tl nem lpve kezelheti.
Ha ezen hozzjruls nem fogta t az adattadst
olyan jogi szemlynek, amely a Friss Er Zrt.
tevkenysgi krbe tartoz szolgltatst nyjt,
akkor az adattads jogellenes.
280/300
Adatvdelmi szempontbl jogszer megolds
is ltezik a lenyvllalat eredmnyessgnek
biztostsra. Amennyiben a Compliancer Zrt.
megkereste volna gyfeleit, az adattadsra fel-
hatalmazst krve, egyttal figyelmkbe ajnlva
a Friss Er Zrt. szolgltatsait, akkor az ad-
atvdelmi trvnyi megfelels biztostott lett
volna.
kvetelmnyei
kvetelmnyeket a jogi kvetelmnyeknek val
megfelelssel kapcsolatban. A szablyozs clja
brmilyen jogi, trvnyben meghatrozott, sza-
blyozsi, vagy szerzdses ktelezettsg, tovb-
b brmely biztonsgi kvetelmny meg-
srtsnek elkerlse. [Forrs: MSZ ISO/
IEC 27001:2006].
Ennek keretben megfelelst kell biztostani
az albbi terleteken:
281/300
az alkalmazand jogszablyok
megllaptsa,
szellemi tulajdonjogok,
szervezeti feljegyzsek
vdelme,
adatvdelem s a szemlyes ad-
atok titkossga,
informci feldolgoz beren-
dezsekkel val visszalsek
megelzse,
titkostsi eljrsok
szablyozsa.
A kvetelmnyek teljestse kiterjedt in-
tzkedssorozattal biztosthatk.
Az alkalmazand jogszablyok megllaptsa
rdekben minden egyes informcis rendszerre
s szervezetre egyrtelmen meg kell hatrozni,
dokumentlni kell s naprakszen kell tartani
valamennyi vonatkoz, trvnyben meghatro-
zott, szablyozsi s szerzdses ktelezettsget,
valamint azt, hogy a szervezet miknt tesz eleget
e kvetelmnyeknek.
282/300
A szellemi tulajdonjogok vdelmre megfelel
eljrsokat kell bevezetni a megfelels
biztostsra a szellemi tulajdonjogokhoz esetleg
kthet anyagok, valamint szellemi tulajdont
kpez szoftvertermkek felhasznlsa sorn.
Szervezeti feljegyzsek vdelme rdekben
meg kell vni azokat az elveszstl, a megsem-
mislstl s a meghamiststl.
Adatvdelem s a szemlyes adatok titkossga
krben a vonatkoz trvnyi elrsokban, jog-
szablyokban, s ahol alkalmazhat, a
szerzdses kiktsekben rgztett
kvetelmnyeknek megfelelen biztostani kell
az adatok vdelmt s bizalmassgt.
Az informci feldolgoz berendezsekkel
val visszalsek megelzse gy biztosthat, ha
megakadlyozzk, hogy a felhasznlk az
informci-feldolgoz berendezseket jogosulat-
lan clokra hasznljk.
A titkostsi eljrsokat valamennyi von-
atkoz megllapods, trvny s jogszably
betartsval kell alkalmazni. A titkosts nem
283/300
srtheti a jogszer adatelrseket, az adatok
rendelkezsre llst, integritst.
284/300
38. ESET BIZTONSGI SZABLYZAT-
NAK S SZABVNYOKNAK VAL MEG-
FELELS, S MSZAKI
MEGFELELSG
Megfelels ellenrzse egy kis
szervezetnl
felels / A15.2. Biztonsgi szablyzatnak s szabvnyoknak
val megfelels, s mszaki megfelelsg
Esetlers
Egy kis szervezet informcivdelmi
irnytsi rendszert (ISMS) mkdtet. Van ak-
tulis informcivdelmi politikja, sza-
blyozsa, ezeket mkdteti.
Az ISMS kialaktst kls tancsad
segtette, az egyttmkdst azta is fenntartjk.
A kls tancsad rszt vesz a megfelels ig-
azolsban. vente (tbbnyire a tansti ltog-
atst megelzen) kzremkdik a bels auditok
lebonyoltsban. A bels felelssel kzsen
ksztenek egy audit tervet, mely tartalmazza az
adott vben vizsgland szervezeteket s
kvetelmnyterleteket. A tancsad a bels
audit keretben fellvizsglja az elrt folyama-
tok mkdtetst s az elrsok betartst.
Amennyiben eltrst tall, azt dokumentlja, me-
lyre az illetkes vezet hatrozza meg a szk-
sges intzkedseket. Ezek elvgzse utn a
tancsad ellenrzi az intzkeds vgrehajtst s
lezrja az auditot.
A szervezet 3 ve, amikor kialaktotta bels
informatikai hlzatt, kls szakrtvel ellenr-
iztette, hogy a belltsok a cg elvrsaival,
mkdsi kvetelmnyeivel sszhangban
vannak-e. Azta a bels hlzatban csak kisebb
vltozsok voltak, gy nem tartottk szksges-
nek az ellenrzs megismtlst. A cg gy rzi,
tevkenysge nem olyan, hogy tmadsok cl-
pontja legyen.
286/300
Milyen mdon biztostja a vez-
ets, illetve ellenrzi a meg-
felelst a politiknak,
szabvnyoknak?
Kiterjed-e a bels fellvizsglat
a szabvny minden
kvetelmnyre?
Vizsglja-e a fellvizsglat a
politika tkrzdst a
mkdsben, s a politika
aktualitst?
Kitr-e az audit a bels sza-
blyozsok betartsn tl a
kls (szabvny, vevi)
kvetelmnyek teljestsnek
ellenrzsre?
A feltrt eltrseknl a javtson
fell vizsgljk-e az okokat,
intzkednek-e az okok
megszntetsre?
A feltrt eltrsekre hozott in-
tzkedsek vgrehatsnak
287/300
ellenrzse mellett vizsgljk-e
annak eredmnyessgt is?
Milyen vltozsok voltak a
szervezetben, kvetelmnyek-
ben, kls s bels krnyez-
etben, ezek mennyiben m-
dosthattk a kockzatokat?
Volt-e olyan ellenrzs, ami azt
vizsglta, hogy a belltsok
hatkonyak-e, illetve azt, hogy a
belltsokat azta
megvltoztattk-e?
Vizsgltk-e az IT-n kvli
mszaki rendszereket
(tzvdelem, villmvdelem,
plet, belptets biztonsg,
stb.)?
A politiknak s a szabvnyoknak megfelels
biztostsa a vezets feladata aktv, megelz in-
tzkedsekkel, pldamutatssal. Nem elg az
288/300
akkor foglalkozom vele, amikor problma van,
pl. auditeltrs esetn.
A bels auditok tervezsekor a mintavteles
technika nem okozhatja a teljes
kvetelmnyrendszernek val megfelels vizs-
glattl val eltrst.
Az audit sorn nem elegend a szablyok
betartst vizsglni, hanem a vizsglatnak ki kell
trni az eredeti (pl. szabvny, vevi elrs)
kvetelmnyek s a politika elvrsainak
teljeslsre is.
Az eltrsekre hozott intzkedseknek nem
elg a jelensgeket kezelni, hanem helyesbt (az
okot megszntet) intzkedseket kell hozni.
Az intzkedsek visszaellenrzsnek nemc-
sak a vgrehajtst, hanem az eredmnyessget is
vizsglnia kell.
A mszaki megfelelsget rendszeresen vizs-
glni kell. Ha gy rezzk, nem volt vltozs,
akkor is. Ki kell trni a vltozsokra (eszkzk,
kls, bels krnyezet, fenyegetsek, stb.), ezek
289/300
hatsra, az eredeti belltsok s az aktulis
belltsok eltrseinek vizsglatra, rtkelsre.
kvetelmnyei
kvetelmnyeket a vdelmi politiknak s szab-
vnyoknak val megfelels, mszaki megfelels
ellenrzsre. A szablyozs clja annak
biztostsa, hogy a rendszerek megfelelnek a
szervezet biztonsgi politikinak s szab-
vnyainak [Forrs: MSZ ISO/IEC 27001:2006].
A vonatkoz szablyozst gy kell kialaktani,
megfelels a vdelmi
politiknak s szabvnyoknak,
mszaki megfelels.
A szablyozsnak ki kell trni a megfelels
rdekben tett vezeti intzkedsekre, s a meg-
felels ellenrzsre, melynek rsze lehet a vez-
eti ellenrzsi rendszer, automatikus
290/300
visszacsatolsok s a szabvnyban elrt bels
audit rendszer is. A megfelelst minden von-
atkoz kvetelmnyre biztostani kell.
A megfelels ellenrzse sorn feltrt
hinyossgokra intzkedni kell a teljes meg-
felels helyrelltsa rdekben, s a vgrehajts
utn eredmnyessgt ellenrizni kell.
A mszaki megfelelst rendszeresen fell kell
vizsglni. Az ellenrzs mlysgt a kockza-
tokkal sszhangban clszer meghatrozni. Le-
hetnek ennek elemei biztonsgi alkalmazsok (pl.
IDS rendszerek), automatikus riasztrendszerek,
lehetnek paramter bellts elemzsek,
logelemzsek, lehetnek etikus hekkelsek, stb.
A mszaki megfelels ellenrzseket clszer
minden, biztonsgra hatssal lv mszaki rend-
szerre kiterjeszteni (plet, zem, belptet-,
riaszt-, megfigyel-rendszerek, stb.).
291/300
39. ESET INFORMCIS REND-
SZEREK AUDITLSNAK
SZEMPONTJAI
Bels fellvizsglat a Super Security
Szoftverhznl
felels / A15.3. Informcis rendszerek auditlsnak
szempontjai
Esetlers
A Super Security Szoftverhz (SSS) nevnek
megfelelen informcibiztonsgi
clszoftvereket fejleszt. A fejlesztsek egyes
fzisaiban az gyfelek egy webes felleten rhet-
ik el a dedikltan nekik ksztett alkalmazsokat.
A webszervert a cg sajt maga zemelteti.
Az gyfelek bizalmnak elnyerse rdekben
a szervezet az ISO/IEC 27001:2005 szabvnyra
pl informcibiztonsgi irnytsi rendszert
vezetett be s a kls fl ltali tanstsi eljrs
elzmnyeknt bels fellvizsglatot vgeznek a
cg kikpzett bels fellvizsgli.
A klasszikus fellvizsglati interjkon, doku-
mentumok s feljegyzsek vizsglatn tl a bels
fellvizsglk tovbbi eszkzket is bevetnek.
A katasztrfaelhrtsi-tervet
szeretnk mkds kzben ltni,
ezrt egy ramelltsi problmt
generltatnak az egyik rendszer-
adminisztrtorral. A prba tl
jl sikerl, a webszerver lells
utn nem indthat jra. Ngy
rn keresztl nem frnek az
gyfelek a nekik ksztett alkal-
mazsokhoz gy, hogy ppen az
egyik projekt soron kvetkez
mrfldkvnek lezrshoz
szksg lenne a vevi tesztre.
Az zemsznet csak a szerver
gyrti szakszerviznek
bevonsval, a meglv
293/300
karbantartsi szerzds alapjn
vlt felszmolhatv.
Egy vsrolt clszoftvert is al-
kalmaznak, mely a szerverpark
srlkenysgeit s konfigur-
cis llapott vizsglja. A
szoftveres vizsglat megl-
laptja, hogy kt prba kapcsolt
szerveren nem azonos szint
szervizcsomagok lettek
teleptve, illetve az elmaradt
jraindts miatt nem aktivltk
a szerver pr egyik tagjn a fris-
stseket. A clszoftver a
gyrti nyilatkozaton kvl nem
rendelkezik semmilyen meg-
felelsgi igazolssal.
Szabad-e a fellvizsglat sorn
informcibiztonsgi incidenst
generlni?
294/300
Milyen a katasztrfa-elhrtsi
terv (DRP) s az zletmenet-
folytonossgi terv (BCP)
kapcsolata?
Kell-e egy tesztesemnyt s an-
nak hatsait elre egyeztetni az
zleti terlettel?
Lehet-e valamilyen pozitv
megllaptsunk az SSS-nl
elidzett katasztrfaesemny
elhrtsa kapcsn?
Rsze-e egy informcibizton-
sgi irnytsi rendszer fellviz-
sglatnak a mszaki meg-
felelsg rtkelse?
Levonhat-e a technikai audit
nyomn brmilyen
kvetkeztets az SSS
vltozskezelsi eljrsnak
hatkonysgval kapcsolatban?
295/300
Okozhatnak-e krokat az
auditl szoftverek a fellvizs-
glt rendszerben?
Jellemz gyakorlat a bels fellvizsglk
kivlasztsakor, hogy ersen mszaki orient-
cij kollgk kapnak fellvizsgli megbzatst
informcibiztonsgi irnytsi rendszer bels
fellvizsglatra. Ilyen helyzetben a legkitnbb
mrnkk is nehezen tudnak ellenllni a
csbtsnak, hogy a folyamatok helyett elmer-
ljenek a technikai rszletekben. Ez az egyik
oldalrl hasznos tevkenysg, de ugyanakkor a
menedzsmentelemek httrbe kerlse miatt a
msik oldal szmra kifejezetten kros
kvetkezmnyekkel jr.
A tesztelsi s vizsglati esemnyek mindig
hordoznak magukban bizonyos kockzatokat,
ezrt az elkszts sorn mindig gondolni kell az
esetleges katasztrfa-elhrtsi s zletmenet-
folytonossgi krdsekre is. Az elvgzend
296/300
tesztet, vizsglatot s auditot gy kell tervezni,
hogy az esemny lebonyoltsval minl kevsb
zavarja a norml mkdst, a norml
zletmenetet.
Ha a teszt vagy vizsglat okozhat olyan
mkdsi zavart (pl. hozzfrsi problma), ami
hathat az gyfelekre, akkor clszer az gy-
feleket elzetesen tjkoztatni az esemnyrl. Az
ilyen tesztrl szl elzetes rtests mg nvel-
heti is az gyfl bizalmt a szervezet irnyba
kicsit hasonl mdon ahhoz, mint amikor az
autgyrak visszahvsi eljrst kez-
demnyeznek, s ettl a gondos gyrt imzs
vlik kapcsolhatv hozzjuk, holott csak egy
tervezsi gyengesget szmolnak fel az eljrs
sorn.
Az auditl szoftverek nagyon veszlyes es-
zkzk, mert nem csak feltrnak, hanem nyithat-
nak is rseket a vizsglt rendszerben. Mieltt sor
kerlne alkalmazsukra, meg kell gyzdnnk
arrl, hogy a krelhrtsra megelz jelleggel
felkszltnk-e, s bizonyosak vagyunk a
297/300
szoftver kpessgeiben (harmadik fl ltali
megfelelsg-igazols).
A j cl (lsd ISO/IEC 27001:2005-s
minsts megszerzse) mg nem garancia arra,
hogy az odavezet ton nem okozunk olyan z-
leti krokat, melyek esetleg meghaladjk a cl
elrsvel (tansts) megszerezhet hasznot.
kvetelmnyei
kvetelmnyeket az informcis rendszerek
auditlsnak szempontjaival kapcsolatban. A sz-
ablyozs clja az informcis rendszerek tviz-
sglsi folyamata eredmnyessgnek maximal-
izlsa s a folyamatot r vagy az ltala okozott
zavarok minimalizlsa. [Forrs: MSZ ISO/
IEC 27001:2006]. Az elvrt intzkedsek kt
irnyba mutatnak: egyrszt az a cljuk, hogy az
auditesemny ne okozzon zavart, szakadst a
norml zletmenetben, teht rszben zletmenet-
298/300
folytonossgi krdsekkel foglalkoznak, msrszt
magt az auditl eszkzt (szoftver s/vagy hard-
ver) vdik az esetleges visszalstl, illetve
ronglstl.
299/300
@Created by PDF to ePub

Hétpécsetes Történetek - Dr. Ködmön István

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Hétpécsetes Történetek - Dr. Ködmön István

Uploaded by

Copyright:

Available Formats

?

You might also like