BIZTONSGOS ORSZG BIZTONSGOS SZOLGLTAT GENCSY PTER IGAZGAT MAGYAR

BIZTONSÁGOS ORSZÁG – BIZTONSÁGOS SZOLGÁLTATÓ GENCSY PÉTER IGAZGATÓ MAGYAR TELEKOM, CSOPORT BIZTONSÁGI IGAZGATÓSÁG 2013. 09. 30.

MIÉRT VAGYUNK FENYEGETETTEK? TERRORIZMUS ÉS A MAGYAR TELEKOM Mert… …Közép-Európa és Magyarország egyik meghatározó vállalata vagyunk …integrált szolgáltatásokat nyújtunk …hatalmas üzleteket kötünk, milliárdos tenderek, akvizíciók, stb. …ügyfélkörünk „igazi kihívást”, értékes célpontot jelenthet (Kormányzat is!) …sok millió személyes adatot kezelünk. …nagyon sok outsourcing partnerünk, külső alvállalkozónk van, a kontrolljuk nehéz. …sajnos nem tudunk eleget költeni a biztonságra. Mennyi az „elég”? … kritikus infrastruktúra („különlegesen fontos”) szolgáltatók vagyunk és kiszolgálunk más kritikus infrastruktúra szolgáltatókat is! kábel Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság cloud rádiófrekvencia optika levegő internet 2

EZÉRT ELSŐRENDŰ ÉRDEKÜNK ADATAINK ÉS HÁLÓZATAINK VÉDELME Integrált szolgáltatóként elsőrendű érdekünk – és kötelességünk ügyfeleink adatainak és a hálózataink védelme. Védenünk kell rendszereinket saját üzleti érdekünkből is és közérdekből is. Magunk is kritikus infrastruktúra vagyunk és számtalan kritikus infrastruktúra működik a hálózatunkban. Szolgáltatásaink folytonosságot követelnek – kiesés üzleti veszteséget jelentene, illetve biztonsági kockázat. Szolgáltatás leállás ügyfeleinknek, üzletfeleinknek is üzleti veszteséget és biztonsági kockázatokat jelenthet. Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 3

KRITIKUS INFRASTRUKTÚRÁK – TÖRVÉNYI HÁTTÉR 2012. évi CLXVI. tv. a létfontosságú rendszerek és létesítmények azonosításáról, kijelöléséről és védelméről 1249/2010. (XI. 19. ) Korm. határozat az európai kritikus infrastruktúrák azonosításáról és kijelöléséről 2080/2008. (VI. 30. ) Korm. határozat a Kritikus Infrastruktúra Védelem Nemzeti Programjáról Európai Bizottság Zöld könyv (létfontosságú infrastruktúrák védelmére) 2011. évi CXXVIII. tv. a katasztrófavédelemről 1035/2012. Korm. határozat Magyarország Nemzeti Biztonsági Stratégiájáról 2011. évi CXII. tv. az információs önrendelkezési jogról és az információszabadságról 2003. évi C. tv. - az elektronikus hírközlésről Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 4

KRITIKUS INFRASTRUKTÚRÁK – TÖRVÉNYI HÁTTÉR 2012. ÉVI CLXVI. TV. Kritikus infrastruktúra horizontális kritériumai: Személyi veszteség (áldozatok száma) Gazdasági hatás (pénzügyi kár, szolgáltatás romlás) Társadalmi hatás (lakosság érintettsége) Politikai hatás (közbizalom) Környezeti hatás (épített vagy természeti környezet) Ágazati kritériumok 2014 január 1. -től az „Infokommunikációs technológiák” a BM Országos Katasztrófavédelmi Főigazgatóság hatáskörébe kerülnek Jelenleg az infokommunikáció nem létfontosságú rendszerelem! Az OKF dönthet, melyek a kritikus infrastruktúrák - csak a kijelölési eljárás után válhatunk azzá (gyors döntés szükséges, törvényi határidő!!) Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 5

A MAGYAR TELEKOM MINT KRITIKUS INFRASTRUKTÚRA A vezetékes, mobil távközlési szolgáltatásaink fokozottan védendő folyamatok Ezek folyamatos biztosításához elengedhetetlen egy nagy megbízhatósággal működő távközlési hálózat A berendezéseink működésképtelenné válása, megsemmisülése igen komoly károkat okozhat A MT lehet célpont is, de a hálózatainkon keresztül is indíthatnak támadásokat Ezért nagyon fontos, hogy mind ügyfeleinket, mind vállalatunkat magas biztonsági szintű védelemmel támogassuk De nem csak terrorista célpontok lehetünk… Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 6

GLOBÁLIS CÉLPONTOK, GLOBÁLIS FENYEGETÉSEK, GLOBÁLIS TÁMADÁSOK Kiber kémkedés Globális fenyegetés Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 7

VESZÉLYEK, FENYEGETÉSEK Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 8

HATÓSÁGI ELVÁRÁSOK A KRITIKUS INFRASTRUKTÚRA SZOLGÁLTATÓK FELÉ Informatikai üzletmenet folytonossági terv (BCP) és katasztrófahelyreállítási terv (DRP) kidolgozása, dokumentációja, karbantartása, tesztelése. A belső informatikai folyamatok előírás és szabvány szerinti fenntartása, dokumentációja és kontrollja. Incidenskezelési kötelmek Bejelentések kezelése, megszabott határidejű beavatkozás, visszajelzés Részvétel hatósági munkacsoportokban Incidenskezelő rendszer használata Adatszolgáltatás Együttműködés a CERT-tel Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 2014. január 1 -től 9

A MAGYAR TELEKOM MEGLÉVŐ BIZTONSÁGI, ILL. A BIZTONSÁGOT SZOLGÁLÓ RENDSZEREI A MT nagyon magas biztonsági szinten szolgáltat, nemzetközi standardokat alkalmaz: ISO 27001, Információ Biztonsági Irányítási Rendszer (ISMS) (2008) ISO 22301, Üzletmenet-folytonosság (BCMS) (2010, tanúsítvány: 2014) Katasztrófa elhárítási tervek (DRP) (2003) Hálózati katasztrófa elhárítási tervek Informatikai katasztrófa elhárítási tervek Incidenskezelés (2008) Hatósági adatszolgáltatás (1993) Teljes hálózatfelügyelet (vezetékes, mobil, TV) a menedzsment rendszereken (2008) Együttműködés a CERT-tel Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 10

VÉDELMI MEGOLDÁSAINK Épületek biztonsági osztályba sorolása, hierarchikus kulcsrendszer, beléptető rendszer IT rendszerek biztonsági osztályba sorolása Kiemelt kábelvédelem, gerinchálózat védelme, megszakító létesítmények védelme Rádiós hálózatvédelem Támadás detektálás ! Központi LOG gyűjtés és elemzés, NAC bevezetve, DLP előkészítés ni! z o Kockázatkezelés, BCM, DRP, CM lk o ISO 27001 tanusítás (ISMS), komplex jogosultságkezelés gi d n á s go Sebezhetőség vizsgálatok n o d t Irodai környezet védelme z ba i b za Komplex biztonsági szabályozási rendszer ex s l Biztonság tudatosítás (belsők és partnerek) p en m rb o … k e Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság z k s a d s C ren 11

MAGYAR TELEKOM HÁLÓZAT MENEDZSELŐ KÖZPONT (NOC) Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 12

DILEMMÁK STANDARDOK, BIZTONSÁGI SZINTEK, ARÁNYOSSÁG Egységes nemzetközi (EU) és hazai biztonsági standardok és definíciók hiánya Biztonsági szintek és az arányosság kérdése (piac - állam - EU) -> Kire vonatkozik? (Technológia? Felhasználó? ) Kinek mi az érdeke? Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 13

DILEMMÁK – FELELŐSSÉG ÉS SZEREPEK HOL A HATÁR? Meddig tart a piac felelőssége, és hol kezdődik az államé? A piac felelősségének határa: ami üzleti racionalitással, működés mellett vállalható Az állam szerepe: egy ország szempontjából létfontosságú rendszerek védelme és felügyelet, koordináció, követelménytámasztás, kontroll, audit, stb. A BIZTONSÁG ÉRTÉKE Piaci logika szerint: a kockázatokkal arányosnak kell lennie a ráfordításoknak Állami logika szerint: a lehető legmagasabb biztonsági szint közérdek (vs. forráshiány) Vagy az igénybevevő (felhasználó) fizesse a biztonság költségeit? Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 14

KÖLTSÉGEK A BIZTONSÁG ÉRTÉKE A legfontosabb kérdés: Ki fizesse a biztonság költségeit? Hol a határ? Alapvetés: Annyit érdemes rákölteni, amennyit az információ ér (üzleti megközelítés), és… Biztonság értéke: Amekkora kár érhet bennünket egy káresemény során, kockázatelemzés (üzleti megközelítés) Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 15

A BIZTONSÁG PÉNZBE KERÜL. NAGYON SOK PÉNZBE, DE… A BIZTONSÁG ALAPÉRDEKÜNK Határ a csillagos ég, de sok mindent tehetünk, ami emeli a védelmi szintet és nem kerül pénzbe… Nincs 100%-os védelem, de lépni felé, közelíteni igenis lehet! Mi is erre törekszünk. Felelősségek? (Állam, Szolgáltatók, Gyártók) „Menedzsment” (politikai) felelősség: mit vállalunk fel mint kockázat? Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 16

ÖSSZEFOGLALÁS Rendkívüli komplexitású hálózatot érő, globális támadások ellen kell védekeznünk Globális rendszerben kell gondolkodni A Magyar Telekom kritikus infrastruktúra és számtalan kritikus infrastruktúrát szolgál ki. Az érdekeltek mindegyikének folyamatosan együtt kell működni Világos elvárások, szabályok, kontrollok, auditok, tanúsítás Mi van a fejekben? - tudás, tudatosítás, tudatosság A Magyar Telekom csoport tisztában van a felelősségével. Magas technológiai szint Szervezett, globális üzemeltetési rendszer Magasan képzett, tudatos, folyamatosan fejlesztett munkatársak Legjobb iparági gyakorlatok (DT) alkalmazása Nagyon jelentős mértékű tartalék erőforrás Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 17

DE EGYEDÜL NEM MEGY! CSAK EGYÜTT, VELED Gencsy Péter igazgató Magyar Telekom, Csoport biztonsági igazgatóság 18

KÖSZÖNÖM A FIGYELMET! Gencsy Péter Magyar Telekom Csoport biztonsági igazgató +36 30 921 0686 gencsy. peter@telekom. hu – strictly confidential / internal / public – Author / Topic of presentation 2013/01/10 19