3.5. Az informatikai biztonsági intézkedések kidolgozásának szempontjai

Ezen utalásokon túlmenôen azt is figyelembe kell venni, hogy a hatályos jogi elôírások (5. fejezet) következtében milyen biztonsági intézkedések szükségesek.

Az intézkedések általános érvényû rögzítéséhez az informatikai-alkalmazások egységesített szemléletmódja szolgál alapul, ami gyakorlatilag meghatározza az intézkedések területeit. Ehhez egy általánosított szervezeti mûködést feltételezünk, ami az információk és az informatikai rendszer kezelése szempontjából mindenkor érvényesül. Az általánosított mûködésû szervezet az informatika rendszer szempontjából vizsgálva a következô ábrán látható fôbb intézkedési területeket jelölhetjük ki három alapvetô védelmi szegmens:

• a környezet,
• az informatikai rendszer és
• a szükséghelyzet-megelôzés

Az ábrán elhatárolt szegmensekre és azok területeire orientálva csoportosítjuk, illetve tekintjük át a kidolgozandó informatikai biztonsági intézkedések szempontjait. Ennek során szem elôtt tartjuk a szervezet összbiztonsági stratégiájából levezethetô követelményeket is (lásd: 1. sz. Melléklet).

3.5.1. A környezet intézkedési szempontjai

A környezeti infrastruktúra területén:

• Megfelelô helyválasztás a központi és a decentralizált kiépítésekhez.
• Biztonsági zónák rögzítése (például látogatók, munka-, védelmi zónák).
• A biztonsági zónákba való bejutás szabályozása.
• A központi berendezések, valamint olyan rendszerkomponensek különleges védelme, mint például az átviteli berendezések.
• A rendszerüzem védelme
• klímaberendezésekkel az extrém hômérsékletektôl és a meg nem engedett levegô nedvességtartalomtól,
• az elektromágneses impulzusok általi behatásoktól,
• külsô tényezôktôl (tûz, víz, vihar és így tovább) például tûzjelzô berendezések és automatikus oltóberendezések által,
• szándékos behatásoktól (támadás, betörés stb.) például páncélüveggel és üvegtörés-jelzôvel,
• az áramellátás területén a villámcsapástól, túlfeszültségektôl és a feszültség-esésektôl,
• az ellátórendszerek kiesésétôl, például pótáram-ellátással,
• az elektrosztatikus kisülésektôl azon termek megfelelô kialakításával, amelyekbe az informatikai rendszereket telepítették.
• A szükséges fizikai üzemi körülmények figyelemmel kísérése (hômérsékletek, levegô nedvességtartalma stb.); a toleranciaszintek túllépése esetén regisztrálás.
• A szükséges ellátó berendezések mûködôképességének figyelemmel kísérése (áramellátás, klímaberendezések stb.).
• Az informatikai rendszerek, a komponensek és az adathordozók védelme lopástól és manipulációtól (például zárható tartók és helyiségek révén).

A szervezet területén:

• Az informatikai feladatok megoldásáért viselt felelôsség alapvetô rögzítése minden egyes szervezeti egységben és minden területen.
• Az egyes feladatkörök elhatárolása és a kölcsönhatások szabályainak rögzítése.
• Konzultációs partner kijelölése a biztonságot érintô események elôfordulásának esetére.
• Az információk osztályozása és az informatikai rendszerek kategorizálása.
• A különbözô jelentôségû informatika-alkalmazásoknak lehetôleg elkülönített informatikai rendszereken történô megvalósítása.
• Rendszer- és alkalmazásspecifikus szabályozások rögzítése (például biztonsági kézikönyv minden egyes informatikai rendszerre és minden alkalmazásra nézve).
• Valamennyi informatika-alkalmazás dokumentálása, beleértve az üzemi és kezelési utasításokat, valamint a biztonsági követelményeket és utasításokat.
• Az informatikai biztonsági koncepció és a realizált biztonsági intézkedések dokumentálása.
• A kivételes szabályozások dokumentálása.
• A biztonsági intézkedések betartásának és hatásosságának rendszeres felülvizsgálata.
• A felülvizsgálatok dokumentálása.
• A dokumentum-megôrzési határidôk rögzítése.
• A felismert gyenge pontok megszüntetése.
• A fellépô káresemények elemzése.
• A biztonsági intézkedések új helyzethez igazítása (például a feladatkörök változása, kivételes helyzetek, káresemények, rendszerváltozások stb. nyomán).
• A személyzethez szóló szabályozás az üzemmód fenntartása érdekében.
• A hardverek és szoftverek ellenôrzött (lehetôség szerint központi) beszerzése.
• A szoftverek beszerzése csak megbízható forrásból.
• A hardver- és szoftverállomány központi feltérképezése.
• A hardver és szoftver bevezetése csak felszabadításuk után.
• Lehetôség szerint standardizált hardverek és szoftverek bevezetése.
• A programok bevezetésének, fejlesztésének, illetve gondozásának alapvetô szétválasztása.
• Különösen kritikus operációk kivitelezése csak egy további személy általi jóváhagyást követôen (négy szem elv).
• Privát adathordozók, hardverek és szoftverek munkahelyi használatának kerülése.
• A szolgálati hardverek és szoftverek, valamint a szolgálati adathordozók privát használatának kerülése.
• Idegen informatikai rendszerek használatának szabályozása.
• Az informatikai rendszerek kívülállók általi használatának szabályozása.
• Az üzemi eszközöknek az elôállító utasításai szerinti használata és tárolása.
• A rendszer-konfiguráció dokumentálása és a változásokat illetô rendszeres felülvizsgálata.
• A hardver és szoftver komponensek rendszeres gondozása.
• A gondozásnak rendszerint helyben kell történnie, vállalkozások, vállalatok általi külsô gondozás csak saját munkatársak ellenôrzése mellett engedhetô meg.
• A bizalmas adatok védelme (például biztosítás és törlés révén) a rendszer gondozása elôtt.
• Megbeszélések vagy egyezmények az elôállítóval, illetve a gondozást vállaló cégekkel, a gondozásra, a javításra, a pótlásra és az új beszerzésekre vonatkozóan.
• A szoftverek beszerzési irányelveinek elkészítése.
• A szoftverek ellenôrzési irányelveinek elkészítése (például kódolás-ellenôrzés, funkció-teszt a mûködôképesség vizsgálatára).
• A szoftverek tesztelése kizárólag tesztadatokkal és a valós kiépítési környezettôl távol.
• A szoftverfejlesztés és karbantartás irányelveinek elkészítése.
• Segítség készenlétbe helyezése nemkívánatos mellékhatású programok, például vírusok, férgek (worm), trójai falovak fellépése esetére.
• Az elsô bevezetés és a szoftver változásai esetén referenciamásolatok készítése.
• Minden új bevezetésû vagy változott szoftver dokumentálása.
• A rendszerfájlok védelme.
• Ellenôrzendô, hogy valamely alkalmazói szoftver a rendszerszoftverbe beépített biztonsági funkciókat megkerüli, vagy hatályon kívül helyezi-e.

A személyzet területén:

• A biztonságigényes tevékenységet kifejtô személyek gondos kiválasztása.
• A személyzet képzése az informatikai rendszer bevezetése elôtt.
• A képzés kiterjesztése az informatikai biztonságra is.
• Érzékenység-elemzés és tanácsadás az informatikai biztonság ügyeiben.
• A személyzet felvilágosítása a figyelembe veendô biztonsági elôírásokról.

3.5.2. Az informatikai rendszer intézkedési szempontjai

Általában:

• Annak biztosítása, hogy csak feljogosított személyek és csak feladatteljesítésük keretei közt juthassanak be az informatikai rendszerekbe.
• Azon személyek és folyamatok, valamint rendszerelemek kijelölése, amelyek esetében az azonosítás és/vagy a hitelesítés is szükséges.
• Az azonosítás és a hitelesítés feltételeinek és formájának rögzítése.
• (Az azonosítás és a hitelesítés meg kell, hogy elôzze az informatikai rendszernek a felhasználóval kapcsolatos valamennyi más interakcióját).
• A bejutási jogosultságok állandó aktualizálása.
• A felhasználói felismerés egyértelmû hozzárendelése egy személyhez (azaz: nem létezhet több személy azonos, közös jelöléssel).
• A jelszavak kezelésének szabályozása, egyebek között titokban tartásukat, minimális hosszukat, komplexitásukat, behatárolt érvényességüket illetôen.
• Más hitelesítési eszközök kezelésének szabályozása, mint például az azonossági kártyáké és chipkártyáké a jogosulatlan továbbadástól és a helytelen használattól való védelem érdekében.
• Az eredménytelen azonosítás és az hitelesítés esetére szükséges akciók rögzítése.
• Azon szubjektumok, illetve szubjektum csoportok, továbbá rendszerelemek, illetve elemcsoportok rögzítése (például adatok, szoftverek), amelyek esetében a hozzájutás ellenôrzésére igény van.
• A hozzáférési jogok odaítélése, változtatása vagy megvonása csak a feljogosított és hitelesített személyek által lehetséges és dokumentálandó.
• A hozzáférési jogok odaítélésének a feladatteljesítés követelményeihez kell igazodnia.
• Biztosítani kell a hozzáférési jogok felülvizsgálatát
• A hozzáférési jogok továbbadásának ellenôrzése (jegyzôkönyvezés) révén,
• A hozzáférési jogok módosítása vagy zárolása a feladatkör változása, vagy valamely jogosult kiesése stb. esetén.
• A jogosulatlan hozzáférési kísérletek esetére vonatkozó akciók rögzítése.
• Jegyzôkönyvezendô, hogy az informatikai bevezetés, kiépítés, ellenôrizhetô módon legyen kialakítva, és a jogtalan akciók bizonyíthatóak legyenek.
• Rögzíteni szükséges, hogy normális esetben és kivételes helyzetekben mely eseményeket kell jegyzôkönyvezni (például a rendszerhez való hozzájutás, adatállományokhoz való hozzájutás, programlehívások, eredménytelen kísérletek).
• A jogok elosztásának, változtatásának és megvonásának jegyzôkönyvezése.
• A jegyzôkönyvi információkhoz való hozzájutás csak hitelesített felhasználók által (például a kinyomtatás lehetôségének és a jegyzôkönyvi lenyomatok tudomásra jutásának korlátozása).
• A jegyzôkönyvi bejegyzések világos felépítése és teljes körû leírása.
• A kiértékelési eljárás dokumentálása.
• A kiértékelés automatizált támogatása.
• Rendszeres kiértékelés a biztonsági szempontból releváns, lehetséges eseményeket illetôen.
• A jegyzôkönyvek megôrzési határidôinek rögzítése.
• A jegyzôkönyvi berendezések védelme manipulációk ellen.
• Megfelelô ellenintézkedésekkel történô reagálás a hibás vagy sikertelen kísérletekre.

Az információk területén:

Bevitelnél

• A beviteli funkció bevonása a hozzáférési ellenôrzési intézkedések körébe.
• A beviteli jogosultságok és a bevitelt lehetôvé tevô készülékek rögzítése.
• A beviteli jogosultságok ellenôrzése.
• Annak jegyzôkönyvezése, mely adatokat, mely idôben és ki adott be az informatikai rendszerbe.
• A feltáró programok korrektségének ellenôrzése (minôségbiztosítás).
• Program-dokumentáció.
• Elfogadhatósági ellenôrzések végrehajtása.
• Eljárás a hibák felismerésére és korrigálására.
• A beadott adatok biztosítása.
• A beviteli nyomtatványok, illetve adatok védelme a jogosulatlanok tudomására jutástól.
• A beviendô adatokat tartalmazó nyomtatványok biztonságos tárolása a munkahely elhagyásakor.
• Az üzemi helyiségek bezárása használaton kívül.
• Az ajtókulcsok biztonságos kezelése (például személyes ôrzésben vagy egy kulcsok számára rendszeresített páncélszekrényben).
• A káros hatású elektromágneses sugárzások hatásainak csökkentése vagy megszüntetése a szenzitív adatok bevitele során (például sugárzásszegény készülékek révén, vagy ellenôrzött zónákban való felállítással).

Tárolásnál

• A tárolóeszközökön lévô programok és adatállományok rendszeres állományfelvétele (a bejegyzések ellenôrzése).
• Azon adatállományok és programok rögzítése, amelyeket nem lehet megváltoztatni, s lehetôség szerint védelmük a tárolóeszközön kialakítható fizikai írásvédelemmel (például kapcsoló a merevlemeznél, írásvédelmi rovátka, vagy írásvédelmi lyuk a hajlékonylemezeknél).
• A szenzibilis adatok védelme az adathordozókon kódolt tárolással, amennyiben az adathordozók nem különlegesen védettek.

Feldolgozásnál

• A "feldolgozás" funkció bevonása a hozzájutási-ellenôrzési intézkedések körébe
• A feldolgozási jogosultság rögzítése.
• A feldolgozási jogosultság ellenôrzése.
• Annak jegyzôkönyvi rögzítése, hogy mely információkat, mely idôben ki dolgozott fel.
• A feldolgozás irányelveinek kialakítása.
• A hibás viselkedés, vagy a hibák hatásainak lehetôség szerinti korlátozása.
• A rendszer- és alkalmazói szoftverek funkcióinak korlátozása minden egyes felhasználó számára csak a feladata teljesítéséhez szükséges mértékre.
• Az információk ne legyenek láthatóak a képernyôn a munkahely elhagyása, vagy látogatók jelenléte esetén. (Például a képernyô elsötétítése, sötétre kapcsolása esetén oldható meg.)
• A sértetlenség biztosítása olyan intézkedések által, mint pl. ellenôrzô összeg képzése, digitális aláírás vagy elektronikus pecsét
• A tárolókon lévô, a továbbiakban nem szükséges adatok fizikai törlése (az adatterület átírása valamely törlômintával).
• Adatállomány-másolatok készítése csak a feladatkör ellátásához szükséges célokra és az adatbiztonság keretei között.
• Másolásvédelmi intézkedések bevezetése.

Átvitelnél

• A hálózati kapcsolódásoknak a legszükségesebb számúra csökkentése.
• A hálózati csatlakozások számának behatárolása, amelyek lehetôleg minél inkább saját ellenôrzés alatt álljanak. (Például hálózati forgalmazás csak saját közremûködés esetén, visszahívó automatika, hálózati kapcsoló, önálló vezeték.)
• A jogosultak körének és az átadható adatok mennyiségének a szükségesre korlátozása.
• A telefonszámokat a tárcsázási csatlakozópontoknál titokban kell tartani.
• Az átvitel funkció bevonása a hozzájutási ellenôrzési intézkedések körébe.
• Az adó és a fogadó azonosítása és hitelesítése (jelszó, visszahívás általi ellenôrzés).
• Az átviteli jogok rögzítése.
• Az adatátviteli jogosultságok ellenôrzése.
• Az átvitel ellenôrzése és jegyzôkönyvezése.
• A fogadók, az adók és az átviteli utak rögzítése.
• A hálózatba való logikai és fizikai bejutás biztosítása.
• A kezelési funkciók behatárolása a hitelesített személyekre.
• A hálózati központi számítógépek biztosított helyiségekben történô elhelyezése.
• Elôvigyázatossági intézkedések a hálózat egyes komponenseinek kiesése esetére.
• Az adatok lehetôség szerinti kódolása, a bizalmasság és a sértetlenség megôrzése érdekében. (A bizalmassághoz: a nem általánosan hozzáférhetô átviteli utakon való továbbítás esetén az "approved circuits"-hez hasonló, azzal egyenértékû intézkedések lehetségesek. A sértetlenségre vonatkozóan: pótlólagosan bevezethetôk a sérthetetlenség elvesztése ellen ható olyan eljárások, mint a hibafelismerés és hibakiigazítás, idôrögzítés/pecsételés, ellenôrzô összegek.)
• A titkos kulcsokat tartalmazó adathordozók biztonságos kezelése, tárolása, alkalmazása és szétosztása.
• Az adathordozók szállításánál szükségesekhez (11.2.9 fejezet) hasonló, azokkal egyenértékû intézkedések az adatok hálózatokon keresztül továbbítása esetén.

Kiadásnál

• A kiadás funkció bevonása a hozzáférési ellenôrzésre irányuló intézkedések körébe.
• A kiadási jogosultságok és a kiadókészülékek rögzítése.
• A kiadási jogosultságok ellenôrzése.
• Annak jegyzôkönyvezése, hogy mely információkat, mely idôpontban és ki, mely kiadókészüléken keresztül adott ki.
• A végberendezések (például nyomtatók, képernyô) védelme, hogy a kiadott adatokat jogosulatlanok ne tekinthessék meg,.
• A lenyomatok biztonságos tárolása a munkahely elhagyása esetén.
• Nem használt állapotban az üzemi helyiségek lezárása.
• Az ajtókulcsok biztonságos kezelése (például személyes ôrzésben, vagy a kulcsok számára rendszeresített páncélszekrényben).
• A káros hatású elektromágneses sugárzások hatásainak csökkentése vagy megszüntetése a szenzitív adatok bevitele során (például sugárzásszegény készülékek révén vagy ellenôrzött zónákban való felállítással).
• A lenyomatoknak az adathordozókról szóló részben foglalt utasításoknak megfelelô kezelése, tárolása, továbbadása illetve megsemmisítése.

Az adathordozók területén:

Kezelésnél, tárolásnál

• Az adathordozók kiadásának és bevételének szabályozása.
• Az adathordozók központi vagy decentralizált kezelésének és adminisztrációjának szabályozása (papír és gépi adathordozókra egyaránt).
• Dokumentációs és ellenôrzési elôírások.
• A tárolásért és adminisztrációért felelôs személyek és feladataik rögzítése.
• Valamennyi adathordozó és adat jelölése.
• A védelemigényes adathordozók és adatok regisztrálása,
• a védelemigényes adathordozók és adatok ellenôrzött kiadása,
• az adatok védelme a jogosulatlanok tudomására jutástól,
• a védelemigényes adathordozók és adatok védelme lopás és katasztrófák ellen (speciális helyiségekkel és tárolókkal az aktuális üzemi és alkalmazói szoftverek, adatok és a biztonsági információk esetében).
• Különleges védelmi igény esetén az adatok kódolt tárolása.
• Nem használt állapotban a tároló-helyiségek lezárása.
• Az ajtókulcsok biztonságos kezelése.
• Elôvigyázatossági intézkedés az adathordozók elöregedése esetére a tartalom átmásolásával.
• A tároló-helyiségek klímaértékeinek ellenôrzése.
• Szúrópróbaszerû állományellenôrzések.

Továbbadásnál, szállításnál

• Az adathordozók továbbadási szabályainak rögzítése a papír és a gépi (különös tekintettel a dokumentációs és ellenôrzési adatokat tartalmazó) adathordozókra.
• Az idegen adathordozók átvételi szabályainak rögzítése.
• Az adathordozók elôkészítése továbbításra, mielôtt a saját felelôsségi területüket elhagyják, annak biztosítása érdekében, hogy csak szándékolt információk juthassanak ki (fizikai törlés, újraírás).
• A fogadásra/átvételre jogosult személyek és jogaik rögzítése.
• Az átvételi jogosultság ellenôrzése a kiadás elôtt.
• A kiadott adathordozók és adatok, valamint visszaadásuk nyilvántartása.
• Szállítás postai továbbítás esetén csak zárt küldeményként, kisegítô személyzet és küldöncök alkalmazása esetén a zárt állapotú továbbítás feltételeinek megteremtése.
• Lehetôség szerint írásbeli átvétel-megerôsítés.
• A csomagolás sértetlenségének ellenôrzése a fogadónál.
• A küldô haladéktalan értesítése felfedezett manipuláció vagy gyanús momentumok esetén.
• Az esetleges kár megállapítása; intézkedések a kár csökkentésére.
• A különös védelmi igényû adatok rejtjelezése, az azokat tartalmazó adathordozók szállítása vagy elküldése esetén.

Megsemmisítésnél

• A megsemmisítési jogosultság, a megsemmisítési eljárás rögzítése és az erre felhatalmazott személy kijelölése.
• Zárt tárolók vagy helyiségek a megsemmisítendô adathordozók és adatok gyûjtésére.
• Felügyelt megsemmisítés (például az úgynevezett négy szem elv révén), amely történhet a már nem használandó gépi adathordozók mágneses törlésével, illetve a papír- és film-adathordozók mechanikus feldarabolásával úgy, hogy a tartalom ne legyen felismerhetô és ne is legyen mód ismét felismerhetôvé tételére.
• A közbensô anyagok (például magnókazetták, egyszerhasználatos festékszalagok, hibás lenyomatok) ezzel egyenértékû kezelése.
• A regisztrált adathordozók és adatok megsemmisítésének írásbeli bizonyítása.

3.5.3. A szükséghelyzet-megelôzés intézkedési szempontjai

Az adatbiztosítás területén:

• Az adatbiztosítási intézkedések megvalósítási szabályainak összeállítása (például háromgenerációs elv).
• Az üzemi szempontból szükséges adatok biztonsági kópiáinak elkészítése rögzített idôszakonként.
• A biztonsági másolatoknak biztos helyen, a munkaterületen, illetve a számítóközponton kívüli raktározása.
• Az installált rendszerszoftverek és a fontosabb alkalmazói szoftverek referenciamásolatainak biztonságos raktározása.
• A fontosabb dokumentációk megkettôzése és raktározása.
• A megvalósított adatbiztosítás ellenôrizhetô dokumentációja.

Az újraindítás biztosítása területén:

• A szükséges hardver és szoftver konfiguráció rögzítése, beleértve az adatokat is, szükségüzem esetére.
• Amennyiben lehetséges, a szükségüzem esetére manuális póteljárás rögzítése.
• Szükség esetén backup-rendszer (például saját vagy külsô tartalék központ).
• Adatrekonstrukciós eljárások bevezetése.
• Újraalkalmazhatóvá tevô intézkedések.
• Az olyan informatikai rendszerek védelme, amelyeknek állandóan elérhetôeknek kell lenniük (például redundancia intézkedésekkel és a hibákat toleráló hardverekkel és szoftverekkel).
• A szükséghelyzetben követendô eljárások összefoglalása egy tervben (szükséghelyzeti kézikönyv).
• A szükséghelyzeti terv rendszeres ellenôrzése és a megváltozott körülményekhez való hozzáigazítása.
• Rendszeres szükséghelyzet-gyakorlatok.