4.1. A biztonsági osztályok meghatározása.

Ha különböző szervezetek biztonságát vizsgáljuk, az alapkérdés mindig az, hogy az adott célok elérése érdekében folytatott tevékenységhez milyen biztonsági rendszert kell megtervezni és kialakítani, amely jó eséllyel akadályozza meg a szervezetre leselkedő potenciális veszélyekből fakadó káresemények bekövetkezését.

A kriminológiából ismert az a megállapítás, hogy az egyes objektumok (személyek, szervezetek, műszaki rendszerek stb.) "veszély-vonzása", az ún. áldozattá válás valószínűsége - elsősorban a külső szándékolt veszélyeztetések esetében - objektíve létező mértéket mutat. Ez szoros összefüggésben van az adott objektumra jellemző lényeges tulajdonságokkal, esetünkben a szervezet tevékenységével, illetve az informatikai rendszerekben működő alkalmazások és a kezelt adatok fontosságával, bizalmasságával.

Az ország gazdasági élete, biztonsága szempontjából fontos, bizalmas adatokat kezelő intézmények potenciális fenyegetettsége magasabb, mint a nem ilyen adatokat kezelő intézményeké. Ez természetesen érvényes egy szervezeten belül a különböző alkalmazási területekre is. Ahhoz, hogy a fenyegetettséggel arányos védelmi rendszert létre tudjuk hozni, bizonyos jellemzőkkel le kell tudni írni a fenyegetettséget.

Az alapfenyegetettségek szempontjából az adat a fenyegetés alapvető célpontja. Az adatról a kárérték az azt kezelő alkalmazásokra kerül át és az alkalmazásokat fenyegető kár értékét befolyásolja. Az alkalmazás kárértéke meghatározó azokra a rendszerelemekre, amelyekkel kapcsolatba kerül. A rendszerelemeken kimutatható kár meghatározó az azokat magában foglaló rendszerre. Ez a hatásmechanizmus az alapja annak, hogy a rendszerben előforduló egyes adatoknak az alapfenyegetettségek szempontjából a rendszer egészének kárértékére meghatározó szerepük van. Természetesen, ha az alkalmazásoknak vagy rendszerelemeknek saját kárértéke van, akkor azokat is figyelembe kell venni.

Az alapfenyegetettségekből a korábbiakban levezetett két fő veszély, az információvédelem és a megbízható működés sérülése, lényegében olyan eseményeket jelentenek, amelyek bekövetkezése az informatikai rendszer valamilyen értelemben vett leértékelődéséhez, azaz károsodásához vezet. A kár értéke arányos az információ, illetve az informatikai rendszer vagy annak a káresemény által érintett része funkcionális, eszmei vagy anyagi értékével. A kár jellege lehet:

• dologi károk, amelyeknek közvetlen vagy közvetett költségvonzatuk van pl.:
• károsodás az infrastruktúrában (épület, vízellátás, áramellátás, klímaberendezés stb.),
• károsodás az informatikai rendszerben (hardver, hálózat sérülése stb.),
• a dologi károk bekövetkezése utáni helyreállítás költségei;
• károk a politika és a társadalom területén, pl.:
• állam- vagy szolgálati titok megsértése,
• személyiséghez fűződő jogok megsértése, személyek vagy csoportok jó hírének károsodása,
• bizalmas adatok nyilvánosságra hozatala,
• hamis adatok nyilvánosságra hozatala,
• közérdekű adatok titokban tartása,
• bizalomvesztés hatóságokkal, felügyeleti szervekkel szemben;
• gazdasági károk
• pénzügyi károk,
• lopás károk,
• az intézmény vagy cég arculatának (image) romlása,
• rossz üzleti döntések hiányos vagy hamis információk alapján;
• károk az informatikai személyzet, illetve a felhasználók személyi biztonsága területén, pl.: személyek megsérülése, megrokkanása (pl. áramütés következtében);
• károk a hatályos jogszabályok és utasítások megsértéséből adódóan;
• károk a tudomány területén
• kutatások elhalasztódása,
• eredmények idő előtti, illetve hamis név alatti nyilvánosságra kerülése,
• tudományos eredmények meghamisítása.

Az informatikai rendszerek biztonsági osztályai meghatározásához a fenti kártípusokat bizonyos mértékben összevontan a következők szerint vesszük figyelembe:

• közvetlen anyagi (pl. a mindenkori amortizált értékkel vagy az elmaradt haszonnal arányos),
• közvetett anyagi (pl. a helyreállítási költségekkel, perköltségekkel arányos),
• társadalmi-politikai, humán,
• személyi sérülés, haláleset,
• jogszabály által védett adatokkal történő visszaélés vagy azok sérülése (jogsértés).

A fontosabb kártípusokhoz kvantitatív jellemzők tartományait rendelve kialakítható egy kárérték osztályozás, amelyek segítségével a fenyegetett objektumok - esetünkben az informatikai rendszerek - biztonsági osztályokba sorolhatók. A biztonság értékeléséhez a következő kárérték szinteket definiáltuk:

• "0": jelentéktelen kár
• közvetlen anyagi kár: - 10.000,- Ft,
• közvetett anyagi kár 1 embernappal állítható helyre,
• nincs bizalom vesztés, a probléma a szervezeti egységen belül marad,
• testi épség jelentéktelen sérülése egy-két személynél,
• nem védett adat bizalmassága vagy hitelessége sérül.
• "1": csekély kár
• közvetlen anyagi kár: - 100.000,- Ft-ig,
• közvetett anyagi kár 1 emberhónappal állítható helyre,
• társadalmi-politikai hatás: kínos helyzet a szervezeten belül,
• könnyű személyi sérülés egy-két személynél,
• hivatali, belső (intézményi) szabályozóval védett adat bizalmassága vagy hitelessége sérül.
• "2": közepes kár
• közvetlen anyagi kár: - 1.000.000,- Ft-ig,
• közvetett anyagi kár 1 emberévvel állítható helyre,
• társadalmi-politikai hatás: bizalomvesztés a tárca középvezetésében, bocsánatkérést és/vagy fegyelmi intézkedést igényel,
• több könnyű vagy egy-két súlyos személyi sérülés,
• személyes adatok bizalmassága vagy hitelessége sérül,
• egyéb jogszabállyal védett (pl. üzleti, orvosi) titok bizalmassága vagy hitelessége sérül.
• "3": nagy kár
• közvetlen anyagi kár: - 10.000.000,- Ft-ig,
• közvetett anyagi kár 1-10 emberévvel állítható helyre,
• társadalmi-politikai hatás: bizalomvesztés a tárca felső vezetésében, a középvezetésen belül személyi konzekvenciák,
• több súlyos személyi sérülés vagy tömeges könnyű sérülés,
• szolgálati titok bizalmassága vagy hitelessége sérül,
• szenzitív személyes adatok, nagy tömegű személyes adat bizalmassága vagy hitelessége sérül,
• banktitok, közepes értékű üzleti titok bizalmassága vagy hitelessége sérül.
• "4": kiemelkedően nagy kár
• katonai szolgálati titok bizalmassága vagy hitelessége sérül,
• közvetlen anyagi kár: - 100.000.000,- Ft-ig,
• közvetett anyagi kár 10-100 emberévvel állítható helyre,
• társadalmi-politikai hatás: súlyos bizalomvesztés, a tárca felső vezetésén belül személyi konzekvenciák,
• egy-két személy halála vagy tömeges sérülések,
• államtitok bizalmassága vagy hitelessége sérül.
• nagy tömegű szenzitív személyes adat bizalmassága vagy hitelessége sérül,
• nagy értékű üzleti titok bizalmassága vagy hitelessége sérül.
• "4+": katasztrofális kár
• közvetlen anyagi kár: 100.000.000,- Ft felett,
• közvetett anyagi kár több mint 100 emberévvel állítható helyre,
• társadalmi-politikai hatás: súlyos bizalomvesztés, a kormányon belül személyi konzekvenciák,
• tömeges halálesetek,
• különösen fontos (nagy jelentőségű) államtitok bizalmassága vagy hitelessége sérül.

Az informatikai rendszerek biztonsági osztályait az információvédelem és a megbízható működés területeire az 5. és 6. pontokban definiáljuk a kárérték szintek alábbi csoportosításának figyelembevételével:

• alapbiztonsági követelményeket kielégítő informatikai rendszert kell létrehozni akkor, ha a rendszerben maximum "2", azaz legfeljebb közepes kárértékű esemény bekövetkezése fenyeget;
• fokozott biztonsági követelményeket kielégítő informatikai rendszert kell létrehozni akkor, ha a rendszerben maximum "3", azaz legfeljebb nagy kárértékű esemény bekövetkezése fenyeget;
• kiemelt biztonsági követelményeket kielégítő informatikai rendszert kell létrehozni akkor, ha a rendszerben a "4+", azaz a katasztrofális kárértékig terjedő esemény bekövetkezése fenyeget.

A biztonsági osztályok meghatározásánál a károk bekövetkezésének becsült gyakoriságát egy magyarországi átlag szinten vettük figyelembe, így ebben a megközelítésben a kockázati érték arányos a kárértékkel.

Az egyes konkrét esetekben az átlagos bekövetkezési gyakoriságtól történő eltérést erre felhatalmazott (akkreditált) cég által végzett minősítési folyamatban kell figyelembe venni.

A fentiekben definiált biztonsági osztályokon belül a biztonsági követelmények megfogalmazásakor további finomítás lehetséges, azaz egy biztonsági osztályon belül több egymásra épülő, fokozatosan szigorodó követelményszintet (alosztályt) hozhatunk létre, például ha az egyik információvédelmi osztályhoz az ITSEC két osztályát rendeljük. Így lehetőség van arra, hogy egy információvédelmi osztályon belül egy enyhébb, illetve egy szigorúbb alosztály követelményeit válasszuk, a helyzetnek megfelelően. Az így kialakított hierarchiára érvényes, hogy egy adott biztonsági osztály legmagasabb alosztályának követelményszintje nem lehet szigorúbb a következő biztonsági osztály legalsó alosztályáénál.