AZ INFORMÁCIÓBIZTONSÁG SZABÁLYZÓI ÉS SZERVEZETI KERETEI

1. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék AZ INFORMÁCIÓBIZTONSÁG SZABÁLYZÓI ÉS SZERVEZETI KERETEI Az előadás az MTA Bolyai János Kutatási Ösztöndíj támogatásával készült Dr. Haig Zsolt mk. alezredes, egyetemi docens HM: 29-343 haig.zsolt@zmne.hu 2007. NOVEMBER 27.

2. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék Fő kérdések: 1. Törvényi és jogszabályi törekvések 2. Szabványok és szervezetek 2007. NOVEMBER 27.

3. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék TÖRVÉNYI ÉS JOGSZABÁLYI TÖREKVÉSEK • Egyesült Államok: Bush elnök már 2001 október 26-án aláírta az "USA Patriot Act" törvényt: • - elektronikus megfigyelés minden formájának lehetővé tétele, • - a CIA és az FBI közötti információcsere mértékének növelése, • - az internetszolgáltatók szorosabb együttműködése a rendőrséggel, • - e-mailek eredetének, címzettjének és időpontjának hozzáférhetővé tétele, • - beleolvasni csak bírói engedéllyel. 2007. NOVEMBER 27.

4. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék TÖRVÉNYI ÉS JOGSZABÁLYI TÖREKVÉSEK • Kanada: 2001 októberében törvényben tette lehetővé az állampolgárok számítógépeinek és telefonbeszélgetéseinek (elsősorban mobil) lehallgatását. Megnyitotta a légiforgalmi adatbázist a hatóságok részére. • Nagy-Britanniában az internetszolgáltatók visszatarthatnak adatokat rendőrségi célokra. • Franciaországban a törvény szerint a távközlési és internetszolgáltatóknak egy évig meg kell őrizniük a lehallgatott beszélgetéseket és a levélforgalmat, és meg kell könnyíteniük a kódolt levelek elolvasását is. 2007. NOVEMBER 27.

5. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék TÖRVÉNYI ÉS JOGSZABÁLYI TÖREKVÉSEK • Németországban nyilván kell tartani az ismert cyberbűnözőket. • Az Európai Unió követelményé tette a cybertámadások terrorista cselekményhez hasonlatos büntethetőségét. • A diktatórikusabb berendezkedésű államok, mint pl. Kína terrorista fenyegetésre való hivatkozással megnövelték az Internet elnyomását. Számos keresőt pl. Google, Altavista letiltott. • Polgárjogi szervezetek részéről nagy ellenállás a különböző törvényekkel jogszabályokkal szemben (szólásszabadság, emberi jogok, privátszféra.) Ugyanakkor a közvélemény kutatások szerint az emberek többsége toleráns a megnövekedett felügyelettel, biztonsági szigorításokkal szemben. 2007. NOVEMBER 27.

6. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék SZABVÁNYOK ÉS AJÁNLÁSOK • Common Criteria (ISO/IEC 15408) Common Criteria for Information Technology Security Evaluation, version 2.0 szabvány elsősorban technikai jellegű, főleg az informatikai termékek gyártóinak ad támogatást. Nagyon részletes és megbízható követelményeket, eljárásokat biztosít az informatikai eszközök biztonsági minősítésére. • A Magyar Szabványügyi Testület 2002. évben magyar szabványként kiadta „Az informatikai biztonságértékelés közös szempontjai” címen az ISO/IEC 15408 szabványt. • ISO/IEC TR 13335 Guidelines for the Management of IT Security (GMITS) Segédlet az informatikai biztonság irányításához • ITIL: IT Infrastructure Library (Az informatikai szolgáltatás módszertana) • COBIT: Control Objectives for Information and Related Technology (Az Informatikai Irányítási és Ellenőrzési Módszertan) • Forrás: Muha Lajos PhD értekezés 2007. NOVEMBER 27.

7. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék SZABVÁNYOK ÉS AJÁNLÁSOK • ISO/IEC 27000 (BS 7799, ISO/IEC 17799) • ISO/IEC 27000 – Szószedet és terminológia (definíciók a sorozat összes szabványához). Jelenleg ez a szabvány fejlesztés alatt áll. • ISO/IEC 27001 – Az informatikai biztonság irányítási rendszere (BS 7799-2:2002), a szervezet auditálásához szükséges (megfelelőségi) előírások. Az ISO/IEC 27001 szabványt 2005. 10. 14 –én tették közzé ISO/IEC 27001:2005 számon. • ISO/IEC 27002 – Az ISO/IEC 17799:2005 szabvány utódja, azzal gyakorlatilag megegyezik. Az informatikai biztonság irányítása gyakorlati előírásait, ellenőrzési célokat és a legjobb gyakorlatot (best practice) írja le. • ISO/IEC 27003 – Az ISO/IEC 27000 szabvány implementálásához szükséges tanácsokat és útmutatókat fogja tartalmazni. Jelenleg ez a szabvány még csak terv formájában létezik. • Forrás: Muha Lajos PhD értekezés 2007. NOVEMBER 27.

8. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék SZABVÁNYOK ÉS AJÁNLÁSOK • ISO/IEC 27004 – Egy új szabvány lesz, amely az informatikai biztonság mérésével fog foglalkozni, abból a célból, hogy az informatikai biztonság irányítási rendszerének hatékonyságát mérni tudjuk. Jelenleg előkészületben van az ISO/IEC 27004 szabvány, amely az Informatika – Informatikai biztonság irányítási mérések előzetes címen fut. • ISO/IEC 27005 – Az informatikai biztonság kockázatkezelésével foglalkozik. Az ISO/IEC 13335-3:1998 és az ISO/IEC 13335‑4 :2000 szabványok felülvizsgálatával készül. Jelenleg ez a szabvány fejlesztés alatt áll. • ISO/IEC 27006 – az ISO/IEC 27001 szabványnak való megfelelést vizsgáló szervezetek számára tartalmaz követelményeket. 2007. február 13-án tették közzé. • ISO/IEC 27011 – informatikai biztonság irányítási irányelvek a távközlés számára. Jelenleg ez a szabvány fejlesztés alatt áll.ISO/IEC 27001:2005 (BS 7799-2) • Forrás: Muha Lajos PhD értekezés 2007. NOVEMBER 27.

9. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék INFORMÁCIÓBIZTONSÁGI SZERVEZETEK Nemzetközi szervezetek: • Európai Hálózat- és Informatikai Biztonsági Ügynökség (European Network and Information Security Agency - ENISA) • Számítógépes Vészhelyzeti Reagáló Csoportok (Computer Emergency Response Team - CERT) • Számítógépes Biztonsági Incidens Reagáló Csoportok (Computer Security Incident Response Team - CSIRT); • International Watch and Warning Network (IWWN) • TF-CSIRT: az Európában működő CERT szervezetek közös szervezete, • Forum of Incident Response Teams (FIRST) • European Government CERTs (EGC) Jelenleg 9 ország tagja (UK, Finnország, Svájc, Magyarország stb.) • Számítógépes Bűnügyi Egységek (Computer Crime Unit - CCU) Szerteágazó és egymással szoros kapcsolatot fenntartó szervezetek 2007. NOVEMBER 27.

10. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék INFORMÁCIÓBIZTONSÁGI SZERVEZETEK Kormányzati szervezetek: • Franciaország - DCSSI (Direction centrale de la sécurité des systèmes d'information) Központi Információbiztonsági Igazgatóság, a Védelmi Minisztérium alárendeltségében. Incidenskezelő szerve a CERTA. • Nagy-Britannia – CESG (Communications-Electronics Security Group) Távközlési Elektronikai Biztonsági Csoport, mely a kormány nemzeti információbiztonsági technológiai ügynöksége. Incidenskezelő szerve a GovCertUK • Németország – BSI (Bundesamt für Sicherheit in der Informationstechnik) Szövetségi Informatikai Biztonság Hivatal, mely a német kormány központi információbiztonsági szervezete. Incidenskezelő szerve a CERT-Bund • Magyarország – NIIF CSIRT; PTA CERT-Hungary;(SZTAKI Hun-CERT) 2007. NOVEMBER 27.

11. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék INFORMÁCIÓBIZTONSÁGI SZERVEZETEK • Közös feladatok, funkciók: • támadásokelemzése • információcsere • adatbázis létrehozása és folyamatos frissítése • együttműködés • intézkedések kidolgozása az incidensek kezelésére • K+F együttműködés 2007. NOVEMBER 27.

12. ZRÍNYI MIKLÓS NEMZETVÉDELMI EGYETEM Bolyai János Katonai Műszaki Kar Információs Műveletek és Elektronikai Hadviselés Tanszék ÖSSZEGZÉS • Az információbiztonság megvalósítása csak nemzeti és nemzetközi szinten összehangolt, koordinált tevékenységként, törvényi és jogszabályi keretek között képzelhető el. • Egyes esetekben ez együtt jár a szabadságjogok bizonyos fokú korlátozásával is. • Kormányzati, nemzetközi és non-profit szervezetek szerepe jelentős. 2007. NOVEMBER 27.