information security management

Angol

Főnév

information security management (tsz. information security managements)

1. (informatika) Information Security Management, ISM - Az információbiztonsági menedzsment (ISM) célja, hogy védelmet nyújtson a szervezetek információi számára: bizalmasság, sértetlenség és rendelkezésre állás (CIA-hármas) biztosítása révén.

Ma az információ (adat) a legtöbb szervezet egyik legértékesebb erőforrása, így annak védelme alapvető üzleti követelmény.

Az ISM átfogó szervezeti megközelítés: nem csak technológia, hanem emberek, folyamatok és szabályozás összehangolt rendszere.

---

Mi az információbiztonság?

Az információbiztonság (Information Security, InfoSec) célja:

• Bizalmasság (Confidentiality): csak jogosult személyek férhetnek hozzá az adatokhoz.
• Sértetlenség (Integrity): az adatok pontosak és teljesek maradnak, nem módosulnak illetéktelenül.
• Rendelkezésre állás (Availability): az adatok, rendszerek elérhetőek a jogosult felhasználók számára, amikor szükség van rájuk.

Ezt a CIA-hármasként (CIA triad) szokás emlegetni.

---

Mi az információbiztonsági menedzsment?

Az információbiztonsági menedzsment:

• Módszerek, folyamatok, eszközök és szabályzatok összessége, amely révén egy szervezet menedzseli az információbiztonságát.
• Kockázatalapú: azonosítja a biztonsági kockázatokat, majd megfelelő kontrollokat vezet be ezek kezelésére.
• Folyamatos folyamat: sosem lehet “készen”, mindig fejlődik.

Az ISM célja:

1. Biztonsági irányítási rendszer létrehozása.
2. Fenyegetések és kockázatok kezelése.
3. Megfelelés biztosítása (jogszabályoknak, szabványoknak, pl. GDPR, ISO 27001).
4. Incidensreagálás és helyreállítási képesség biztosítása.

---

ISM rendszer (ISMS)

Gyakran az ISM rendszert ISMS néven rövidítjük: Information Security Management System → Információbiztonsági irányítási rendszer.

Főbb jellemzők:

• Strukturált → folyamatok, szabályzatok, dokumentáció.
• Folyamatorientált → nem ad-hoc intézkedések.
• Folyamatos fejlesztés (PDCA-ciklus: Plan-Do-Check-Act).

---

ISM területei

1. Irányítás és szervezet

• Biztonsági politika → szervezet általános elvei.
• Szerepek és felelősségek → pl. CISO, IT biztonsági vezető.
• Tudatosság növelése → alkalmazottak oktatása.

2. Fizikai biztonság

• Belépési kontrollok.
• Fizikai eszközök védelme.

3. Hálózat- és infrastruktúra-biztonság

• Tűzfalak.
• IDS/IPS (intrusion detection/prevention systems).
• VPN, biztonságos távoli hozzáférés.

4. Alkalmazás- és szoftverbiztonság

• Kód audit.
• OWASP Top 10 támadások elleni védekezés.

5. Kriptográfia

• Adattitkosítás (pl. AES).
• Hálózati titkosítás (TLS, VPN).

6. Hozzáférés-kezelés

• Jogosultságok kezelése (IAM – Identity and Access Management).
• Multi-factor authentication (MFA).

7. Incidenskezelés

• Monitoring (SIEM rendszerek).
• Válaszcsapatok (CSIRT / CERT).
• Incidens utáni elemzés.

8. Üzletmenet-folytonosság

• BCP (Business Continuity Planning).
• DRP (Disaster Recovery Planning).

---

ISM életciklus (PDCA-ciklus)

Az ISM folyamatos fejlesztése a Deming-ciklus (PDCA) szerint zajlik:

• Plan → szabályzatok, kockázatelemzés, tervezés.
• Do → végrehajtás (kontrollok, oktatás, technikai védelem).
• Check → ellenőrzés, audit, monitoring.
• Act → javító intézkedések, tanulságok beépítése.

---

Szabványok

A nemzetközileg elterjedt szabványok segítik az ISM egységes működését.

ISO/IEC 27001

• Nemzetközi szabvány az ISMS bevezetésére és működtetésére.
• Főbb elemei:
  • Kockázatalapú megközelítés.
  • Kontrollok katalógusa (Annex A).
  • Auditálható → tanúsítható.

Egyéb fontos szabványok

• NIST Cybersecurity Framework → amerikai iparági sztenderd.
• COBIT → IT kormányzás.
• PCI DSS → fizetési kártyaadatok védelme.
• GDPR → adatvédelmi jogszabály → ISM fontos része.

---

Fenyegetések és kockázatok

ISM alapja: tudni, milyen fenyegetések fenyegetik az információt.

Példák:

• Malware (vírus, ransomware).
• Adatszivárgás (data breach).
• Social engineering (pl. phishing).
• Szolgáltatásmegtagadás (DoS/DDoS).
• Belső fenyegetések (insider threat).

Kockázatmenedzsment

• Kockázatbecslés → mi az esélye, mi a hatása?
• Kockázatkezelés → elfogadás, csökkentés, elkerülés.

---

ISM és üzleti szempont

Miért fontos az ISM az üzletnek?

1. Jogszabályi megfelelés → GDPR, pénzügyi szektor, egészségügy.
2. Reputáció védelme → bizalom fenntartása.
3. Üzletmenet folytonossága → IT leállás = anyagi kár.
4. Ügyfélbizalom → versenyelőny.

---

ISM szervezeti szerepkörök

• CISO (Chief Information Security Officer) → felelős az ISM stratégiáért.
• IT Security team → technikai megvalósítás.
• Risk manager → kockázatelemzés.
• Compliance officer → megfelelőség ellenőrzése.
• Üzleti vezetők → támogató szerep.

---

ISM trendek

1. Zero Trust → “ne bízz meg semmiben”, minden hozzáférést verifikálni kell.
2. Cloud security → felhőszolgáltatások védelme.
3. AI az ISM-ben → fenyegetésdetektálás, automatikus reagálás.
4. Adatközpontú biztonság → nem csak a perem, hanem maga az adat védelme.
5. Automatizáció → SOAR (Security Orchestration, Automation, and Response).

---

ISM kihívások

• Emberi tényező → leggyengébb láncszem: figyelmetlen, nem képzett dolgozók.
• Technológiai komplexitás → sok rendszer, sok beszállító.
• Költség → ISM erőforrás- és időigényes.
• Folyamatosan változó fenyegetések → új exploitok, 0-day támadások.

További információk

• information security management - Szótár.net (en-hu)
• information security management - Sztaki (en-hu)
• information security management - Merriam–Webster
• information security management - Cambridge
• information security management - WordNet
• information security management - Яндекс (en-ru)
• information security management - Google (en-hu)
• information security management - Wikidata
• information security management - Wikipédia (angol)