Szeptember 25-26-án, immár nyolcadik alkalommal és rekordszámú, 2245 résztvevővel rendezték meg az Informatikai Biztonság Napja (ITBN) konferenciát és kiállítást.
A két nap alatt 44 előadást hallgathattak meg az érdeklődők, 41 szakmai workshopon vehettek részt és 32 kiállítói standot nézhettek meg.
A konferencián több előadásban fő téma volt a mobilbiztonság és az informatikai alkalmazások fejlesztésének biztonsága is egyre kritikusabb terület. A szakmai előadások és workshopok mellett sokan elemezték az informatikai biztonsági piac, a kibertér, a kiberfenyegetettség trendjeit.
A konferencia egyik legnagyobb érdeklődésre számot tartó eseménye Kevin Mitnick keddi videointerjúja volt. Az interjú apropója ‘A legkeresettebb hacker’ című életmű-könyvének magyarországi megjelenése volt. A könyv az ITBN támogatásával és szakmai lektorálásával a konferenciára jelent meg a HVG Kiadó gondozásában. Az eredeti könyv 2011. augusztusában jelent meg az USA-ban és most tárgyalnak a megfilmesítésről.
A videointerjúban Keleti Arthur, az ITBN főszervezője, a könyv lektora kérdezte a hackert.
Mitnick elmondta: a szórakozás és a tudás kedvéért lett hacker, nem a pénzért; a 70-es-80-as években sokkal könnyebb volt a kritikus rendszerekhez való hozzáférés, mert a biztonságtudatosság alacsony szintű volt. Azóta megváltozott a világ: a hackerek ma ‘kiberhacker’-ek, akik a pénzszerzés miatt csinálják, a biztonsági szakemberek pedig igazi mesterei szakmájuknak.
Kifejtette, több mint négy évig ült börtönben, utána a felügyelet évei alatt, összesen nyolc évig nem nyúlhatott számítógéphez, s a kezdetekben semmilyen elektronikus eszközt nem használhatott. Ezidő alatt ‘social engineering’-et oktatott, s ma abból él, hogy etikus hackerként biztonsági rendszereket tesztel. Munkáját az influenza-védőoltáshoz hasonlította – kis kellemetlenséggel elkerülhető a nagy baj.
Véleménye szerint a támadások ellen úgy lehet hatékonyan védekezni, ha növeljük az informatikai biztonság-tudatosságot, illetve ha az IT-védelem során az emberekre és a folyamatokra koncentrálunk, mivel ezek a leggyengébb láncszemek.
A konferencián a szakmai előadások mellett a kiberfenyegetettség témája volt a középpontban, többen elemezték, hogy mi a helyzet a kibertérben, mik a trendek, milyen változások történnek napjainkban.
Raj Samani, (Chief Technology Officer EMEA, McAfee) a biztonsági fenyegetések változásairól beszélt. Előadásában elmondta, a kiberbűnözőket és kiberkémeket már kormányok finanszírozzák. Egyszerre több bűnöző is fenyegethet egy adott országot, s emiatt nagyobb a veszély is. A kiberbűnözés által potenciálisan veszélyeztetett iparágak elsősorban az autóipar, és az egészségügy, például az orvosi eszközök, pacemakerek.
Mindehhez hozzátette, a McAfee adatai szerint havonta 2 millió új rosszindulatú weboldal jelenik meg.
Stefan Tanase (Senior Security Researcher, Kaseprsky Lab) elmondta, a kiberbűnözők motivációja a pénzszerzés, amihez direkt módszerekkel, például bankkártya, hitelkártya adatok ellopásával juthatnak. Máskor a megtámadott fél erőforrásait használják, például spam-küldésre, pay-per-click csalásokra. A kiberbűnözés jellemzőiről elmondta: könnyű megcsinálni, minimális a lebukás kockázata és nagyon jövedelmező.
A trendeket és a jelenségeket összefoglalva elmondta: a komplex technológia kétélű fegyver, mert rosszra is lehet használni. A kiberbűnözés a fejlődő platformokon (pl. Android, OSX) is gyorsan terjed, miközben a kormányzatok többnyire még most ocsúdnak, s csak az első lépéseknél tartanak. Éppen ezért kiemelt feladat a még gyerekcipőben járó képzés és a biztonság tudatosság növelése, illetve a törvényi-szabályozási keretek kialakítása.
A T-Systems-től Németh Zoltán ügyvezető igazgatóhelyettes arról beszélt, hogy az androidos eszközök 50 százalékánál vannak biztonsági hibák. Eközben Kína kiberbiztonsági piaca évi 45 százalékos növekedés mellett a 2011-es 1,8 milliárd dollárról 2020-ra 50 milliárd dollárra nőhet, míg az USA és Európa összesen 16 milliárdot költ majd ilyen tevékenységre. Később élő kapcsolásban mutatták be a cég Magyarországon egyedülállóan modern és biztonságos felügyeleti biztonsági központját, amelybe havonta több mint 20 milliárd (!) biztonsági esemény érkezik be az általuk felügyelt magyar vállalati informatikai rendszerekből.
Robert W. Griffin, (Chief Security Architect, RSA), az IT biztonsági szakma veteránja is elmondta, hogy nemcsak az üzleti élet és az informatika változik gyorsan, a fenyegetések és az elkövetők is egyre intelligensebbek, szofisztikáltabbak, komplexebbek, egyre nagyobb kárt tudnak okozni. Ezekre válaszul az eseti védekezés helyett egyre inkább stratégiai szintű a védelem, az üzleti működés egészét átható integrált IT-biztonsági rendszert építenek ki. A tavaly évközben az RSA-t ért kibertámadás tanulságaiból kiemelte, hogy ma bármely vállalkozás, amely beszállítója egy vagy több másik vállalatnak, kiemelt célpont lehet a hackerek és kiberbűnözők számára és így rajtuk keresztül kísérelhetik meg a betörést a kiszemelt célpont informatikai rendszereibe.
Kyle Adams, a Juniper által felvásárolt Mykonos cég vezető fejlesztője egy hackereket félrevezető technológiai újítást mutatott be, amely lényegében hamis információkkal és megtévesztő informatikai adatokkal válaszol a támadásokra, ezzel időt nyerve a védelmi személyzetnek. Véleménye szerint a kiberbűnözők ugyanúgy gondolkodnak, mint a betörők a valós világban: ha valahol gyengébb biztonságot találnak, oda törnek be, mert az olcsóbb és kevésbé időt rabló.
A Qualys nevében a Proyet ügyvezető igazgatója, Szegő Vilmos is beszélt az informatikai biztonság menedzsment kihívásairól és azok megoldásaként a cloud-ról. A cloud-dal szembeni elvárásokról példakánt elmondta, legyen használható minden eszközre és helyszínre és legyen rugalmas. A cloud előnyeiről kifejtette: nincs hardver- és szoftverberuházás, nincsenek karbantartási költségek, szolgáltatásként szállítják, igazodik a kereslethez és az időbeli változásokhoz, illetve automatizált.
Damjan Mirtic (Regional manager, CITRIX) a vállalati IT alkalmazások mobil eszközökön való biztonságos használatáról szóló előadásában elmondta, a cloud-kor megérkezett: bizonyítja ezt, hogy egy felhasználó átlagosan 3 eszközt használ, a munkavállalók fele több helyszínen végzi a munkáját, miközben az előrejelzés szerint 2015-re 200 százalékos növekedés várható a standard és mobil applikációk használatában. Hozzátette, a Fortune 500-as listáján szereplő vállalatok 82 százaléka használ nem menedzselt cloud tárhely-szolgáltatásokat (pl. Dropbox), amelyet a vállalati IT nem tud ellenőrizni. Éppen ezért az IT feladata nem a használat korlátozása, hanem annak menedzselése, különösen akkor, ha arra gondolunk, hogy a mobil eszközök nagy része a menedzsment kezében van: ők látják a legtöbb bizalmas információt, s így tőlük nagyobb valószínűséggel lopják is el.
Dr. Muha Lajos mérnök alezredes, főiskolai tanár (Nemzeti Közszolgálati Egyetem Hadtudományi és Honvédtisztképző Kar) az elektronikus információ biztonságról szóló törvénytervezet koncepcióját mutatta be, amelyet Dr. Krasznay Csabával közösen készítettek. Kiemelte, hogy az előadásában szereplő koncepció a két szakember magánvéleménye és nem a kormányzat hivatalos álláspontja, amelyet később ismerhetünk majd meg. A Nemzeti Biztonsági Stratégia előírásainak megfelelően kezdődött meg a törvénytervezet előkészítése. A koncepció alapján a törvénytervezet leírja az érintett szervezetek és vezetőik feladatait, kötelezettségeit, szabályait. Fontos eleme a biztonságtudatosság növelése és a szakképzés, hogy a védett elektronikus információs rendszerek vezetői feladatait csak megfelelő szakemberek végezhessék. Az elektronikus információ védelem területeiként a kormányzati szervezeteket, a kritikus infrastruktúrákat és a nemzeti adatvagyont határozza meg. A törvénytervezetnek már megkezdődött a közigazgatási, tárcaközi egyeztetése.
Prof. Dr. Kovács László egyetemi tanár (Nemzeti Közszolgálati Egyetem Hadtudományi és Honvédtisztképző Kar, mb. tud. dékánhelyettes) a nemzetközi és magyar trendekről beszélt a kiberhadviselés és kibervédelem témakörében. Elmondta, az információs társadalom nagy függőséget is jelent, a kérdés az, hogy mennyire biztonságos maga az infrastruktúra, illetve a működő rendszerek. Kifejtette, a NATO egyre intenzívebben foglalkozik a kiberhadviseléssel és a kibertámadásokkal, különösen a 2007-es észt-orosz konfliktus után. A kiberháború célpontjairól elmondta: ezek a szembenálló felek informatikai rendszerei, illetve a kritikus infrastruktúrák – telekommunikáció, energiaellátás, közmű, bank, kórház, közlekedés. Problémát jelent ugyanakkor, hogy nincsenek nemzetközi jogi egyezmények, miközben egy ország számára nemcsak a kibervédelem a fontos, hanem a kibertámadás képessége is.
Az eseményen szó esett a KIBEV (Önkéntes Kibervédelmi Összefogás) státusáról is. A KIBEV a kritikus infrastruktúrák védelméért tenni akaró szakemberek civil szerveződése, amely az ITBN kezdeményezésére alakult meg 2011-ben.
Keleti Arthur és Dr. Muha Lajos beszámoltak arról, hogy a tavalyi megalakulás óta havi rendszerességgel találkoznak a tagok, megkezdődött az információ megosztás, a szakmai anyagok gyűjtése, fordítása. A Honvédelmi Minisztérium Védelmi Hivatala, amely összefogja a kibervédelemmel kapcsolatos katonai és civil szervezeteket, megkezdte a párbeszédet az összes érintett szervezet – katonaság, rendőrség, titkosszolgálat, katasztrófavédelem – részvételével. A törvényi háttér azonban még hiányzik, ami a civil kezdeményezésekkel való konkrét együttműködés kialakításának feltétele.
