Tartalom
Biztonsági alapelvek
Az információbiztonság három alappillére a bizalmasság (confidentiality), a sértetlenség (integrity) és a rendelkezésre állás (availability) – együtt ismert CIA-triádként. Az infrastruktúra tervezésekor mindhárom dimenzióra egyforma figyelmet kell fordítani.
A legkisebb jogosultság elve (principle of least privilege) alapján minden rendszerkomponens és felhasználó csak a feladatához szükséges minimális jogosultságokkal rendelkezik. Ez korlátozza a potenciális kárt egy kompromittált fiók vagy rendszerelem esetén.
A mélységi védelem (defense in depth) elvének megfelelően több egymástól független biztonsági réteget kell kialakítani, hogy egyetlen réteg megkerülése ne vezessen teljes kompromittáláshoz.
Zero Trust modell
A Zero Trust megközelítés elutasítja a hagyományos „belső hálózat = megbízható" feltételezést. Minden hozzáférési kérelmet explicit hitelesítéssel és engedélyezéssel kell kísérni, függetlenül attól, hogy a kérelem belső hálózatról vagy kívülről érkezik.
A Zero Trust pillérjei:
- Identitásellenőrzés: minden felhasználó és eszköz folyamatos hitelesítése
- Eszközállapot-értékelés: a hozzáférést az eszköz biztonsági állapota is befolyásolja
- Mikro-szegmentálás: granulált hálózati szegmensek hozzáférés-vezérléssel
- Adatvédelem: titkosítás minden átviteli és tárolási szinten
- Folyamatos monitorozás: viselkedési anomáliák és incidensek azonosítása
A Zero Trust nem egyetlen termék vagy technológia, hanem stratégiai megközelítés, amelyet fokozatosan lehet bevezetni a meglévő infrastruktúrába.
Szabályozói keretek
Magyarországon és az Európai Unióban működő szervezetekre az alábbi szabályozói keretek vonatkozhatnak:
- GDPR (General Data Protection Regulation): személyes adatok kezelésének szabályai, adatvédelmi hatásvizsgálat, adatvédelmi tisztviselő kinevezési kötelezettsége adott esetben
- NIS2 irányelv: a kritikus infrastruktúra üzemeltetőire vonatkozó kiberbiztonsági kötelezettségek, incidensjelentési előírások
- ISO/IEC 27001: az információbiztonsági irányítási rendszer nemzetközi szabványa, auditalapú tanúsítással
- DORA (Digital Operational Resilience Act): pénzügyi szektorra vonatkozó digitális operatív reziliencia követelmények
A szabályozói megfelelőség tervezésénél célszerű az összes releváns keretet egységes belső biztonsági politikába integrálni, elkerülve az átfedő, egymásnak ellentmondó előírásokat.
Hálózati biztonság
A hálózati biztonság technikai rétegei egymást erősítve alkotnak védelmi vonalat:
- Tűzfal: a belépő és kilépő forgalom szűrése szabályalapú politikák szerint
- IDS/IPS: behatolásérzékelő és -megelőző rendszer, amely anomáliás forgalmi mintákat azonosít
- VPN: titkosított csatorna a külső hozzáférésekhez
- DNS-védelem: rosszindulatú domain-lekérdezések blokkolása
- Hálózati hozzáférés-vezérlés (NAC): az eszközök hálózati csatlakozási feltételeinek ellenőrzése
A hálózati naplók (flow-adatok, tűzfalnapló) rendszeres elemzése az anomáliák korai felismerésének egyik leghatékonyabb eszköze.
Adatvédelem és titkosítás
Az adatvédelem három fő szcenárióban releváns: adatok tárolás közben (at rest), adatok átvitel közben (in transit) és adatok felhasználás közben (in use). A titkosítás mindhárom szinten alkalmazható eszköz.
Az adatvédelmi tervezés fő kérdései:
- Hol tárolódnak a személyes és érzékeny adatok?
- Ki férhet hozzá, milyen feltételekkel?
- Hogyan valósul meg az adathozzáférés naplózása?
- Mi a retenció-politika, és hogyan gondoskodnak a biztonságos törlésről?
Incidenskezelés
Az incidenskezelési terv meghatározza, hogyan reagál a szervezet biztonsági eseményre. A terv fő elemei: detektálás, osztályozás, elszigetelés, felszámolás, visszaállítás és utóelemzés.
A biztonsági incidensek kezelésének dokumentált folyamata – beleértve a kommunikációs lánc és a szabályozói értesítési kötelezettségek leírását – a GDPR és a NIS2 kapcsán kötelező előírás számos szervezet számára.
Az incidenskezelési terv rendszeres tesztelése (asztali gyakorlatok, szimulált incidensek) biztosítja, hogy a terv valóban működőképes legyen, ne csupán dokumentum maradjon.