GDPR sorozatunk aktuális részében cégünk ön-ismereti folyamatában elkerülhetetlen adatkezelési folyamatok és az ott kezelt adatok megismerése, katalogizálása kapcsán most olyan érdekes információ forrásokról írunk, melyekről hajlamosak vagyunk elfeledkezni.

- papír alapú adatok

Az így május vége felé egyértelmű kell legyen minden adatokkal foglalkozónak, hogy ezzel is kell foglalkozni. Bajban akkor vagyunk, ha a napi ügymenet során sok a nem elektronikus adatkezelés, illetve, ha az archívumunk ilyen hordozókon is tárolódik. (Jellemzően hosszú megőrzésű idejű iratok a munkaviszonnyal, bérrel, nyugdíjjal kapcsolatos papírok, ezek elenyésző számú helyen vannak csak digitalizálva)
A napi ügymenet során igyekezzünk elektronikus feljegyzéseket készíteni, a különféle korábban használt papírokat – ha lehet és kell – utólag digitalizálni és természetesen biztonságosan megsemmisíteni. (Darálás, brikettálás, égetés stb.)
Fontos, hogy tudnunk kell, milyen adatok (GDPR szerint csak milyen személyes adatok) vannak ilyen hordozókon kezelve. Ha kapunk egy joggyakorlási igényt, meg kell adni a választ, és annak tartalmaznia kell a nem digitális médián lévő információkat is. (Pl. valaki érdeklődik hol, milyen adatai vannak nálunk kezelve, át kell „nyálazni” a papírhalmokat is!)
Megoldás az apró lépésenként végrehajtott teljes digitalizáció, beleértve az archívumot is. Két fő kérdést old meg, egyrészt visszakereshetővé válik ez az információhalmaz, másrészt rendezett lesz. A digitalizálásnál figyelni kell a hitelesség megőrzésére, erre ma már számos módszer és megoldás létezik.

- rendezetlen, strukturálatlan adatok

Olyan adatok, melyek nincsenek semmilyen adatbázisba szervezve. Jellemzően elektronikus feljegyzések, naptárbejegyzések stb. Ezek is sok esetben tartalmaznak személyes, vagy személyhez köthető adatot.
Mivel itt elektronikus formában tárolt adatokról van szó az adatvédelmi és szabályzási szempontok itt is érvényre kell jussanak.
A GDPR bevezetése kapcsán egy adatkataszter készítésekor ezekről sem szabad elfeledkezni.

- ideiglenes adatok

Ezek olyan adatok, töredékek melyek egy feldolgozási folyamat közben keletkeznek, akár automatikusan, akár beavatkozással. Akár ezek a töredékinformációk, akár maguk a lekérdezések utasításai is alkalmasak lehetnek bizonyos esetekben személyek azonosítására. Épp ezért érdemes ezeket is ugyanolyan adatbiztonsági körülmények között kezelni, mint az „éles” adatokat. (Komoly adatszivárgás lehet egy személyes adatokat érintő félbeszakadt lekérdezési tranzakció megmaradt ideiglenes háttérinformációinak kijutásából.)
Ilyen ideiglenes adatok fellelhető helyei pl. fénymásolók, faxok, nyomtatók beépített háttértárai, memóriái, nagyobb feldolgozások során helyi és hálózati tárolók, memóriák stb.
– törölt, de nem eltávolított adatok
A kuka értékes információk forrása lehet. Mindenkinek volt már ilyen olyan tapasztalata törölt állományokkal. Legtöbb esetben véletlenül törlünk és gyorsan helyreállítjuk. A helyreállítást követően pedig nem foglalkozunk tovább a dologgal. Pedig!

- teszt adatok

Fejlesztő cégeknél tudják általában, hogy „éles” adattal nem tesztelünk semmiféle rendszert. Egy vállalatirányítási rendszerben ugyanakkor a tapasztalatok alapján gyakran előáll olyan helyzet, hogy egyes fejlesztési vagy próbaverziók, tesztpéldányok is valós adatok felhasználásával kerülnek kipróbálásra. Ez egyrészt rendkívül rossz gyakorlat, amit minél előbb meg kell szüntetni, másrészt mindenképpen GDPR köteles adatkezelés amíg még fennáll. Ugyanakkor itt arra is figyelni kell, hogy a rossz gyakorlaton túl megszegjük az adattakarékosság elvét is a felesleges redundanciával.

- support adatok, hibajegyben átadott adatok

Sok rendszerszállító, eszköz és szoftvergyártó ad az üzemeltetés segítéséhez gyártói támogatást. Ezt néha oly módon teljesítik, hogy az adott termékből a saját belső rendszereik felé exportálnak automatikusan vagy exportáltatnak felhasználói beavatkozással különféle adatokat. Ezek többnyire valamilyen speciális tömörített formátumban tartalmazzák a hibás működés környezeti adatait, memória és egyéb jellemzőit. Ha belegondolunk, ezek az adathalmazok is tartalmazhatnak olyan adatot, amit személyes adatként kell(ene) kezelnünk. Ilyen esetben, ha a támogató előre nem nyilatkozza le mi történik az adatokkal, gyakorlatilag nem rendelkezünk információkkal.
Mégis mit tehetünk? Javaslatunk szerint szabályozzuk le az automatikus beavatkozás mértékét, a felhasználói közbeavatkozással kiküldött adatcsomagot naplózzuk, az átadás tényét is jegyezzük fel. Próbáljunk a gyártótól, támogatótól nyilatkozatot beszerezni az átadott adataink kezelésével kapcsolatosan.

GDPR cikksorozatunk ezen részében azokról szólunk, akik szeretnének tenni az adatkezelések biztonságáért, de a rengeteg információ és fenyegető hír kapcsán elvesznek. Olvasva Révész Balázs adatvédelmi szakértő ma – egy héttel a céldátum előtt – megjelent „Mire jó nekünk a GDPR?” című cikkét felmerült néhány gondolat. A szerző két tipikus attitűdöt említ a hozzáállás kapcsán (félelem és elutasítás), valamint a rendelet újdonságaiból emel ki párat.
Számtalan kisebb nagyobb cég jelent meg a piacon általános megoldást nyújtva a GDPR rendelethez. Vannak dokumentációs termékcsomagok, melyek különféle sablon iratmintákat tartalmaznak, léteznek már egyedi nyilvántartó szoftverek is, ezek száma és „tudása” egyre szaporodik. Nehéz a választás!

Mindenkit arra ösztönzünk, hogy mielőtt bármelyik „ez a tuti varázsszer!” felkiáltással hirdetett GDPR megoldás mellett most az utolsó előtti pillanatokban elköteleződne, gondolja át, hogy akár szoftvert vesz, akár csak dokumentációs csomagot, nem lehet megúszni a munkát:

• A szoftver nem tudja, milyen adatkezelő folyamatok zajlanak a cégénél.
• A dokumentációs csomagot a saját cégünkre, folyamatainkra, adatkezelési megoldásainkra adaptálni kell.
• Ha a csomag része valamilyen szabályzat is, akkor annak megfelelően kell(ene) működni, de ez persze nem minden esetben kivitelezhető. (akkor meg minek?)
• KKV-k 250 fő alatt nem kötelezettek bizonyos nyilvántartások vezetésére, ám ajánlott.
• Nem ússzuk meg az adatkezelésekről szóló megfelelő számú és minőségű bizonyíték begyűjtését, kezelését.
• Ha olyan adatot is kezelünk, amivel kiemelten kell foglalkozni, az nem megoldható általában a standard csomagokkal.
• Ugyanezen okból – ha kell – nem ússzuk meg az adatvédelmi tisztviselő alkalmazását sem. Ezt nem oldja meg se szoftver, se dokumentációs csomag.
• Ha adataink uniós országokon kívül is kezelődnek valamilyen adatfeldolgozás során, annak szabályzása, dokumentálása mindenképpen ránk marad.
• E vásárlásoktól még fel kell készíteni a céget a joggyakorlások kiszolgálására és még sok mindenre (biztonságtudatosság növelése, biztonságos adatmegsemmisítés, maszkolás, hordozhatóság, hatósági kapcsolattartás, bejelentési kötelezettség teljesítése stb.)

Mint látható van számos szempont – és ezeken kívül még további több tucat – amit figyelembe kell venni. Elvileg még most sem késő elkezdeni egy szakértő segítségével megtámogatott felkészülési folyamatot, remélve, hogy tényleg igaza lesz Révész Balázsnak, és a NAIH, mint vélhetően jogosult ellenőrző-büntető hatóság nem pont a mi cégünkkel kezdi tevékenységét.

Konferenciák, bemutatók és kerekasztal beszélgetések sokaságán hangzik el mostanában ez a négy betűs rövidítés: GDPR. Most már szinte minden cég vezető hallott róla valamit, legalább annyit már tudnak, hogy ha a cégük bármilyen szinten adatokat kezel, akkor komoly változásokra kell felkészülni.

A cégeknek két évük volt felkészülni, de „ennek az időszaknak az elején ez még nem tudatosult a vállalkozásokban, sokan most, az utolsó pillanatban kezdtek el a GDPR-ral foglalkozni” hangzott el a legutóbbi ilyen rendezvényen a NAIH adatvédelmi főosztályának vezetőjétől. Egyértelmű, hogy ez a két év állt a hatóságok rendelkezésére is, hogy ki-, illetve átdolgozzák az ellenőrzési, felügyeleti rendszerüket. Ha a május végi dátumra a cégek (adatkezelők) adatkezelési gyakorlatában esetleg nem tökéletesen van rendben minden részkérdés, akkor még reménykedhetnek abban, hogy lesz idejük befejezni a feladatokat mielőtt elér hozzájuk a hatóság. Minden uniós tagállam, minden hatóság ugyanúgy értelmez minden kérdést a GDPR kapcsán, de még sok a nyitott és egyeztetésre váró folyamat.

A szakemberek szerint fontos kérdés, hogy a hatóság hogyan fogja tudni kezelni a várhatóan elszaporodó incidenseket, amiket az új szabályok szerint 72 órán be kell jelenteni. A hatóság jelenleg még a felkészülési szakaszban van, most csak vizsgálati eljárásokat folytatnak, még nincs GDPR kapcsán bírságolás, nincs határozat, csak felszólítás, figyelmeztetés van. Május végétől a hatóság mérlegelési lehetősége majdnem minden tekintetben megszűnik, a legkisebb ügyekben is határozathozatal és bírságolási eljárás lehet az adatkezelési problémákból. Ugyanakkor a döntéseket minden esetben egyedi szempontok és elbírálások után hozzák meg a hatóságok. Egyelőre úgy néz ki, a nagy bírság összegekkel nem a kis cégek, kkv-k fognak találkozni.

A rendelet alapvetően az európai cégek, szervezetek által kezelt adatokra vonatkozik, de sok esetben nem csak európai székhellyel rendelkező szervezeteket is érint. Európán belül pedig szinte mindenkit érint, aki valamilyen módon adatokat kezel. A jogszabály alól a nem profitorientált, civil szervezetek, családi vállalkozások sem kivételek, még úgy sem, ha a szervezetnek nincs irodája vagy alkalmazottja az unió területén. Ha az adott szervezetnek vannak adományozói, tagjai, támogatói vagy a szervezet programját igénybe vevők az uniós területekről, illetve, ha bármilyen árut vagy szolgáltatást kínál az uniós állampolgároknak, akkor bizonyosnak látszik, hogy a szervezet a GDPR szabályozása alá esik.

Ugyanakkor fontos megemlíteni, hogy a cégeknek, szervezeteknek első sorban azt kell bizonyítaniuk, hogy lehetőség szerint a legjobban megfeleltek a GDPR szabályozásainak. Előfordulhatnak olyan követelmények, amelyek meghaladhatják az adott cég, szervezet költségeit vagy egyéb lehetőségeit, forrásait, amire a szabályozás is odafigyel, ezért mindenkinek a saját lehetőségeihez képest kell kiépíteni az új adatbiztonsági rendszerét, így próbálva meg érvényesíteni a legnagyobb gondosság elvét.

Péterfalvi Attila a NAIH elnöke nem rég tett nyilatkozata alapján a hatóságok és a jogalkotók elkészülnek a határidőre a szükséges módosításokkal, a cégek, szervezetek, az üzleti szféra számára szerinte nincs tovább, aki nem felel meg az előírásoknak, az nem számíthat a hatóság jóindulatára.

A felkészülés pénzbe kerül, nincs tökéletes megfelelésű rendszer, pláne, hogy a rendelkezésre álló idő már igen rövid, de mindenképpen el kell indulni a megvalósítás felé. A legfontosabb, hogy felismerjük a cég adatvédelmileg és adatbiztonságilag problémás területeit. A napokban került nyilvánosságra egy felmérés, mely arra mutat rá, hogy sok cég, szervezet ezt mintha nem igazán venné komolyan. A szabályokra fittyet hányók nagyobb részben magyar magánvállalatok és érdekes módon állami intézmények. Pedig sem egyik, sem másik kategória nem maradhat ki a folyamatból.

GDPR sorozatunk aktuális részében egy lehetséges hatósági ellenőrzéssel, annak menetével foglalkozunk. Erről jelenleg sem részleges, sem teljeskörű tájékoztatást, tanácsot nem tudunk adni konkrétumok hiányában. Ugyanakkor úgy véljük, hasonló hatósági eljárásrendek alapján egy esetleges NAIH ellenőrzésre is épp úgy fel lehet készülni, mint például egy NAV ellenőrzésre.

Hogyan fog zajlani egy hatósági ellenőrzés?

Egyenes és pontos választ jelenleg nem sok ember tudhat erre a kérdésre, lévén nem voltak még nyilvánosságra került hatósági ellenőrzések. Létezik a 29. jogi munkacsoportnak egy WP 253 számú ajánlása, ez, és a hasonló – bár teljesen más alapokon nyugvó – adóhatósági ellenőrzés gyakorlata jó kiindulási alapot adtak a kérdések megválaszolásakor.

Tehát nézzük a folyamatban lévő sok bizonytalanság között mégis mit feltételezhetünk:

Honnan lehet tudni, hogy jön ellenőrizni a NAIH?

Az eljárás megindításáról a NAIH vélhetően előzetesen értesíti majd az érintetteket. Ilyenkor – úgy véljük – a hatóság azt is jelzi majd, hogy milyen dokumentumokat fog kérni, és rendszerint egy előre egyeztetett időpontban látogat el az adott cég székhelyére. Az ellenőrzésre való felkészülés alatt hasznos lehet a kért iratokat előzetesen átnézetni szakemberrel is, hogy ne kerüljön a NAIH birtokába, az ellenőrző személyek tudomására olyan dokumentum, információ, amit esetleg nincs joguk megismerni. Kivételesen előfordulhat azonban az is, hogy különösebb előzetes értesítés nélkül a NAIH egyből a cég székhelyén jelenik meg. Főleg akkor, ha fennáll a lehetősége, hogy az előzetes értesítés meghiúsítaná az ellenőrzés célját. Pont úgy, mint egy esetleges NAV ellenőrzéskor.

Be kell-e engedni a NAIH ellenőrzést végzőket a céghez?

Igen. Az ellenőr beléphet a cég helyiségeibe, megvizsgálhatja az iratokat, a bizonylatokat és az információbiztonsággal kapcsolatos eljárásrendeket, szabályzatokat. A NAIH továbbá nyilatkozatot kérhet a cég alkalmazottjaitól vagy a céggel szerződéses kapcsolatban álló vagy korábban szerződéses kapcsolatban állt személyektől is (például a volt munkavállalóktól) az információ biztonsággal kapcsolatos kérdésekről, ismeretekről akár egy adott esemény kapcsán, akár általánosságban. Nem kötelező viszont beengedni a NAIH-ot a magánlakásba. A társas vállalkozások ott végzett adatkezelési eljárásainak ellenőrzésére ilyen esetben célszerűnek látszik megállapodni a hatósággal.

Kell-e bármit mondani a NAIH ellenőrzést végző munkatársainak?

Nem. Valószínűleg a NAIH is azt a gyakorlatot fogja követni, ami általános a különböző hatósági ellenőrzések során. (Pl. NAV ellenőrzés) Az eljárás alá vont cég képviselője (ideérve a hozzátartozókat is) nem lesz köteles nyilatkozni, akár indoklás nélkül megtagadhatja a nyilatkozattételt vagy a válaszadást. Természetesen ez később akár hátrány is lehet, az együttműködő magatartás – ha lesz mérlegelési lehetősége egy adott incidens esetén a NAIH-nak, – mindenképpen jól fog jönni. Lesznek majd olyan személyek, akik viszont csak kivételes esetben tagadhatják meg a nyilatkozattételt. Így például, akkor, ha őket titoktartás kötelezi (például ügyvédi titok), vagy ha vallomásukkal saját magukat vagy hozzátartozóikat vádolnák bűncselekmény elkövetésével.

Kell-e átadni a NAIH ellenőröknek bármilyen iratokat?

A fő szabály szerint vélhetően igen. Azonban fontos, hogy az átadott iratokról másolatot és tételes(!) listát készítsünk, mert hasonló hatósági ellenőrzések során gyakran van abból vita, hogy egy adott iratot megkapott-e az ellenőrzést végző hatóság. Az iratátadási kötelezettség alól van néhány kivétel. Egyrészt a NAIH sem kérhet olyan kimutatást, nyilvántartást, aminek elkészítésére nem kötelezi a jogszabály, rendelet a céget.

Mit fognak még ellenőrizni, megvizsgálni?

Erre csak a WP 253. számú ajánlásból következtethetünk. Meg fogják vizsgálni a jogsértés/incidens jellegét, súlyosságát és időtartamát. Ezek alapján feltárják, hogy „főbenjáró” vagy „kisebb megsértés” történt. Ez dönti el, hogy az adott esetben jobban vagy kevésbé szükséges, hogy közigazgatási bírság formájában kerüljön sor korrekciós intézkedésre. Vizsgálni fogják a jogsértés szándékos vagy gondatlan jellegét. A jogszabályi rendelkezések nyilvánvaló semmibevétele súlyosabb a nem szándékos jogsértésnél, ezért nagyobb valószínűséggel indokolja közigazgatási bírság alkalmazását. Megnézik az adatkezelő vagy az adatfeldolgozó részéről az érintettek által elszenvedett kár enyhítése érdekében tett bármely intézkedés végrehajtásra vonatkozó eljárásrendet, dokumentációt, bizonylatot vagy naplót stb. Ez a rendelkezés az adatkezelőt terhelő felelősség mértékének értékelésére szolgál a jogsértés bekövetkeztét követően. Vonatkozhat olyan esetekre, amelyekben az adatkezelő/adatfeldolgozó nyilvánvalóan nem hanyag/gondatlan módon járt el, hanem a jogsértésről való tudomásszerzéskor minden tőle telhetőt megtett annak érdekében, hogy orvosolja a nem jogkövető magatartását. Végül megvizsgálják vélhetően az adatkezelő vagy az adatfeldolgozó felelősségének mértékét, figyelembe véve az általa foganatosított technikai és szervezési intézkedéseket. (GDPR 25-32. cikk)
Ha az adatkezelő vagy az adatfeldolgozó korábban elkövetett releváns jogsértést, az a szervezet előéletének értékelésére szolgál. (Pont, mint a NAV esetében :() Hiszen ez az előélet utalhat az adatvédelmi szabályok általánosságban nem kellő mértékű ismeretére vagy azok figyelmen kívül hagyására.
Fentieken kívül az ajánlásban számtalan szempont szerepel, amit a hatósági ellenőrzés során megvizsgálhatnak, megkérdezhetnek. Legjobb arra készülni, hogy a teljes adatkezelési folyamat bármely elemét képesek legyünk bemutatni, megfelelő számú és minőségű bizonyítékkal ellátni.

Mikor fog lezárulni az ellenőrzési folyamat?

Erre még nincs kialakult eljárásrend, sem hazai jogszabály. Vélhetően a hasonló hatósági gyakorlatokból az ellenőrzésnek akkor lesz vége, ha a NAIH úgy dönt, hogy a tényállást kellőképpen feltárta. Erre egy adózást érintő ellenőrzés esetén tételesen meghatározott határidőn, de minden esetben maximum egy éven belül sort kell keríteni. Vélhető, hogy a NAIH is e szerint fog eljárni. A hatóság az ellenőrzést követően jegyzőkönyvben foglalja össze a megállapításait. Bírságot a NAIH is csak határozatban szabhat ki, viszont már a jegyzőkönyvben remélhető, hogy a hatóság jelezni fogja, hogy a bírság vonatkozásában milyen enyhítő vagy súlyosbító körülményeket tárt fel. Már abban az eseteben, ha kapunk majd a hazai jogszabálytól annyit, hogy marad mérlegelési lehetősége a NAIH-nak.
• Hogyan megy majd tovább az eljárás?
• Lesz-e lehetőség észrevételeket tenni?
• Mikor és hogyan kell majd fizetni a bírságot?
• Mi lesz, ha nem tudunk fizetni?
Ezek mind olyan kérdések, amikre ma még nem tudunk pontos választ adni, ki lehetne indulni pl. a NAV gyakorlatából, vagy más hatósági eljárásrendekből, de egyelőre „AZ EGYÉNEKNEK A SZEMÉLYES ADATOK FELDOLGOZÁSA TEKINTETÉBEN VALÓ VÉDELMÉVEL FOGLALKOZÓ MUNKACSOPORT (29. Munkacsoport)” WP 253. számú ajánlása van, mint iránymutatás a közigazgatási bírság kiszabásáról és alkalmazásáról, de idevágó konkrét jogszabályi keretek még nincsenek.

Sorozatunkban sorra vesszük azokat a kikerülhetetlen teendőket, melyeket minden adatkezelő cégnél el kell végezni az új uniós GDPR rendelet értelmében. Ebben a részben áttekintjük a joggyakorlás során előforduló nem csak informatikai feladatokat.

Érintett joggyakorlása

Minden cégnek fel kell készülnie arra, hogy májustól jelentősen meg fog változni az adatkezeléssel kapcsolatos hozzáállása. Rengeteg olyan plusz feladatnak kell bekerülnie a mindennapi rutinokba, melyekre korábban még nem is gondoltunk. Ilyenek lesznek például azok a feladatok melyeket az adatbirtokos jogainak gyakorlása ró ránk.

tájékoztatáshoz való jog

Minden érintettnek joga van közérthetően, anyanyelvén információt kapni az adatkezelőtől az adatkezelés szempontjairól (milyen jogalapon, milyen adatokat, milyen formában, ki, meddig stb.) E tájékoztatásnak még a személyes adatok bekerülése előtt meg kellene történnie, harmadik fél közreműködése esetén pedig a lehető leghamarabb. Erre legtöbbször elég egy adatkezelési tájékoztató – például a cég honlapján – ugyanakkor arra mindenképpen figyelni kell, hogy minden szempontra térjen ki kellő részletességgel. A NAIH több milliós nagyságrendben megbüntette a BKK-t, többek között azért mert az adatkezelési tájékoztatója nem közérthető, nem egyértelmű és nem könnyen áttekinthető! És ez még csak a hazai joggyakorlatnak megfelelő büntetési tétel volt, májustól ugyanilyen „hibáért” a többszörösét kell majd fizetni.

hozzáférés joga

Bárkinek bármikor joga megtudni, róla kezelnek-e bármilyen adatot, s ha igen, akkor mely adatai kezelik és milyen formában. Sajnos azt is meg kell tudnunk mondani, ki mikor kért effajta információt. Ez előre vetíti a megfelelő IT háttérrendszer meglétét és működtetését is, jelen esetben minimum egy olyan naplózó rendszert, melyből a szükséges információkat maradéktalanul át tudjuk adni. Jobban végig gondolva ez bizony nem egyszerű feladat. Már annak eldöntése sem, kiről milyen rendszerben milyen adatokat kezel egy adott cég, a számtalan helyről összeszedhető információk szinte soha nincsenek meg egy egyszerű kereséssel, tehát a céget fel kell készítenünk egy ilyen összetett adatkeresési feladatra is. A felkészülés során érdemes készíteni egy olyan munkautasítást, mely tartalmazza az ilyen esetben szükséges rutinokat, eljárásokat, esetleges lekérdezési scripteket. Nem szabad megfeledkezni arról sem, hogy a GDPR nem csak a digitálisan kezelt adatokra vonatkozik, hanem a papír vagy más média felületen tároltra is.

helyesbítési jog

Minden érintett jelezheti, ha a róla kezelt adatok nem megfelelőek, vagy adataiban változás állt be, s kérheti azok módosítását. Az adatok pontosságáért az adatkezelőt terheli a felelősség ezért egyrészt érdemes rendszeresen ellenőrizni az adatok pontosságát, másrészt frissítési gyakoriságot bevezetni. Az előzőekben felvetett gondolatsort folytatva, itt külön gondoskodni kell a változások naplózásáról is! Ha az adott cégnél alkalmazott rendszerek ezt nem teszik lehetővé, akkor szükségessé válik egy külön változásnapló bevezetése erre a GDPR elemre.

törlési jog

Az adatbirtokos bármikor kérheti adatainak törlését. Itt a legfontosabb a jogi oldal, az adatkezelés jogcímének esetleges változása, ami megakadályozhatja az adott adatok vagy azok egy részének törlését. Gondoskodni kell a harmadik fél számára átadott adatok, vagy nekik megadott hozzáférés megfelelő, ellenőrzött és naplózott törléséről is. Természetesen az érintett adatok számtalan helyen és médián előfordulhatnak egy adott cég életében. Pl. éles és teszt környezetek, mentési és archiválási médiák stb. Ezekről való adateltávolítás jelentős kihívásokat állíthat minden IT szervezet elé, épp ezért módszertani és szemlélet váltási javaslatunk a megfelelő eljárás kidolgozásában segít.

korlátozás joga

Bizonyos esetekben – pl. tisztázatlan jogi helyzet – az adatbirtokos kérheti személyes adatai kezelésének korlátozását, akár időszakosan vagy visszatérő jelleggel is. Fel kell készülni arra is, hogy ez akár a személyes hozzáférési szintekig szükséges beavatkozással járhat egyes rendszerekben. Ezért mindenképpen kell, hogy legyen egy jól átlátható hozzáféréskezelés, természetesen a sokat emlegetett naplózással, valamint kell egy mindig aktuális hozzáférési mátrix is, amiből tudjuk ki milyen adatainak kezelését milyen időszakban milyen szinten korlátozta.

tiltakozás joga

Az érintett jogosult arra, hogy a saját helyzetével kapcsolatos okokból kifolyólag bármikor tiltakozzon a személyes adatainak egy meghatározott okból történő kezelése ellen. Ez tipikusan akkor szokott megtörténni, amikor az érintett nem adta hozzájárulását személyes adatai adott kezeléséhez. Amennyiben ennek jogi oka vagy ellenérdekű ésszerű akadálya nincs, biztosítani kell az adatkezelés megszűntetését. Ez ismét felvet bizonyos kérdéseket. Pl. mit tegyünk a már összegyűjtött esetleg már archivált adatokkal? Az előzetes hatásvizsgálat és kockázatelemzés elvégzését követően a megfelelő eljárás kiválasztásban tudunk segítséget adni. (Anonimizálás, tényleges törlés, biztonsági törlés stb.)

hordozhatósági jog

Az érintett kérheti, hogy a rá vonatkozóan kezelt adatokat valamilyen sztenderd elektronikus formátumban (pl. .doc, .pdf stb.) megkapja, továbbá jogosult arra, hogy ezeket az adatokat egy másik adatkezelőnek továbbítsa anélkül, hogy ezt akadályozná az eredeti adatkezelő. Bár ez a jog jól hangzik, kérdés, hogy mennyire lesz megvalósítható a gyakorlatban gondoljunk csak a hozzáférési jognál említettekre, vagy arra, hogy ez a feladat mekkora egyéb pl. anyagköltséget generálhat.

Sorozatunkban végig vesszük a legfontosabb teendők mellett mindazokat az eszközöket, javaslatokat, melyekkel segíthetjük a felkészülést, illetve amikkel a későbbi folyamatos munkát tudjuk támogatni, hogy egy esetleges adatvédelmi incidens kezelése során ne kelljen a bármely cég életében jelentős, 5-20 ezer eurós büntetési tételektől tartani.

Mit jelent ez a négy betű? A jogalkotók szerint felelősséget, számon kérhetőséget, a cégeknek munkát, mégpedig sokat. Jelenleg a legtöbben még csak nem is hallottak az Európai Unió 2016/679 számú rendeletéről, mely hazánkban és az összes uniós tagállamban 2018 május 25-től életbe lép.

E jogszabály – az egységes adatvédelmi rendelet – szabályozza a személyes adatok kezelését minden szervezetnél, megsértését május után súlyosan szankcionálhatják, épp ezért alapos felkészülést és komoly szemléletváltást igényel.

Az új rendelet szemlélete szerint májustól nem a magánszemélynek/cégnek/hatóságnak kell bizonyítania az adatkezelési szabályok megsértését, hanem az egyes szervezeteknek kell igazolniuk, hogy szabálykövető magatartással, helyesen kezelik a náluk jogszerűen előforduló adatokat, és csak azokat, valamint megfelelően gondoskodtak a felesleges, illetve a náluk lévő illetéktelen adatok ellenőrzött körülmények közötti biztonsági megsemmisítéséről. Fontos tudni, hogy nem csak a digitális, hanem a papíralapú adatokra is vonatkozik a jogszabály.

A GDPR kapcsán meg kell érteni, hogy egy cég életében ez majdnem minden területet érint, nem korlátozódik csak a jogi vagy HR területekre, még akkor is, ha ez elsőre így is tűnik. Fontos dolog, hogy májustól szakítani kell azzal a jól bevált gyakorlattal is, hogy szervezeti szinten minél több adatot osztunk meg, minél szélesebb körben. A rendelet kitér arra, hogy csak az férjen az adatokhoz, akinek megokolható jogosultsága lesz és mindezt úgy, hogy bármikor, a folyamat bármely szakaszában bizonyító erőjű információ álljon rendelkezésre az adatkezelés, feldolgozás jogtisztaságáról.

Azok, akik már elkezdték a felkészülést, megtapasztalhatták, mennyire szerteágazó feladat lesz megfelelni e rendeletnek. Akik még nem jutottak el idáig, vagy azt hiszik, nekik nem kell majd ezzel foglalkozniuk, sajnos kellemetlen csalódásban lesz részük. Az elkövetkező időkben nem csak felkészülniük kell a jogszabály életbe lépésére, de május 25-e után ez egy rendszeres, napi teendőket is tartalmazó, folyamatos adatvédelmi feladatként kell, hogy beépüljön minden cég életébe.

Mit javaslunk megtenni? Lépések a megvalósítás felé

Első lépésként – a rendelet megismerése mellet – tudnunk kell, olyan adatkezelők vagyunk-e, akiket a törvény kötelez önálló adatvédelmi tisztviselő alkalmazására. A jogszabály 37. cikke pontosan leírja milyen esetben kell így eljárni. Fontos, hogy tisztában legyünk vele, az elkövetkező hónapok rengeteg plusz feladatot rónak ránk, elsősorban a cég adminisztratív területeire, a jogi, a HR és ügyvezetés területeire, valamint nem kevés feladatot adnak az IT és biztonsági területeknek is. Sajnos bőven lesz teendő a gyártási, termelési és szolgáltatói területeken is. Épp ezért javasoljuk egy belső, felelős csapat – projekt team – összeállítását.

Minden cég életében jelentős teher a különféle szerződések kezelése. E rendelet kapcsán szükség lesz a meglévő szerződések átvizsgálására, esetleges kiegészítésére, de ugyanígy szükség lehet bizonyos dokumentációk, bizonylatok beszerzésére vagy előállítására. Ehhez át kell tekinteni a cég folyamatait, tudni kell, hogy hol milyen adatkezelés történik, és az milyen módon van dokumentálva, bizonylatokkal alátámasztva.

Kapcsolódó segédanyagok

GDPR világvége.ics

• +

  Első lépés – Tűzoltás

  Amint a fertőzés tényéről tudomást szereztünk az első és legfontosabb a veszteségek minimalizálása, így esetleg sikerülhet adatokat menteni, de hogyan is tegyük ezt meg!?

  Hálózat elvágása

  Javasolt a fertőzött gépet a hálózatról leválasztani, így ha a kártevő megpróbálja a megosztott mappák tartalmát titkosítani, akkor nem fog sikerrel járni, továbbá egy esetleges tovább fertőződéstől is megvédhetjük a hálózat többi elemét.

  Gép kikapcsolása

  Amennyiben a végpont összes adatát még nem sikerült a kártékony kódnak titkosítania, jó lehet, ha a számítógépet kikapcsoljuk. Ennek segítségével az esetleg még érintetlen fájlok egy szakember vagy komolyabb informatikai tudás birtokában visszaszerezhetők.

  Hol tartunk?

  - Felfedeztük, hogy egy kártékony alkalmazás áldozatai lettünk

  - Megpróbáltuk a hálózati adatainkat megvédeni

  - Megpróbáltuk a számítógépünkön lévő adatokat megvédeni

• +

  Második lépés – Kárfelmérés

  A kezdeti sokk és idegeskedés után mindenképpen érdemes átnézni, hogy mekkora a kár, amit a kártevőt okozott, milyen fájlok kerültek encryptálásra, melyek azok amikről volt mentés és mik azok az információk amik pótolhatók. Ez sok esetben nem könnyedén kivitelezhető, így arra mindenképpen érdemes készülni, hogy külsös informatikai szakembert szükséges bevonni a folyamatba.

  Példák:

  I.    a kártevő titkosított minden fényképet és pdf dokumentumot, ami a rendszerben volt, de szerencsére az összes fénykép egy offline külső adathordozón(CD, DVD, offline pendrive, offline külső merevlemez,…) megvolt, míg a pdf dokumentumok csak internetről letöltött anyagok voltak, pótolhatók.

  Ilyen esetben a kár nem jelentős, javasolt a számítógép teljes formázása és újratelepítése, az adatok visszaállítása.

  II.    a kártevő titkosított minden fényképet és pdf dokumentumot, ami a rendszerben volt, de nem volt mentés semmiről. Az internetről letöltött fájlok könnyen pótolhatók, de a több éves családi fotóalbum sajnos az enyészeté lett.

  Ilyen esetben jelentős a kár mértéke. További lépések megtétele szükséges.

  Hol tartunk?

  - Birtokunkban van egy „kárfelmérés”, megtudjuk becsülni az elveszett információk értékét

• +

  Harmadik lépés – Információszerzés

  Fontos tartalmaink a kártevő áldozatai lettek, ilyen esetben a lehetséges ellenlépések megtételéhez mindenképpen szükséges tájékozódnunk, hogy mivel állunk szemben. Megfelelő informatikai szaktudás birtokában mi magunk is a kártevő nyomába indulhatunk, de amennyiben szükséges mindenképpen kérjünk segítségét szakembertől. Tudjuk meg a kártevő pontos típusát(nagyon figyelmesen, mert rengeteg variáns és verzió kering az interneten), mennyi pénzt követelnek a visszaállításukért, mennyi időnk van a fizetésre és milyen módon kell fizetni. Ezeknek a birtokában kezdődhet a harcba szállás az adatainkért.

  Hol tartunk?

  - Kiismertük az „ellenfelet”

  - Tudjuk mennyi időnk van az ellenlépés megtételére

  - Rendelkezésre áll adat a váltságdíj és kár értékének az összehasonlítására

• +

  Negyedik lépés – Adatok visszaszerzése

  Miután a veszteségeket minimalizáltuk, a kárt felmértük és kiismertük a ransomware-t, következhet az utolsó lépés, próbáljuk meg visszaszerezni az adatainkat, a lehető leggyorsabban. Erre több lehetséges lépés is rendelkezésre áll, nézzük ezeket szép sorban.

  1, Keressünk érintetlen adatot

  Könnyedén lehetséges, hogy sikerült időben közbe lépni és a kártevő nem volt képes minden fontos adatot titkosítani. Erre sokféle megoldás létezik, akár másik operációs rendszert indítva, adat helyreállító alkalmazással, vagy másik számítógépbe helyezve lehetséges adatokat keresni. A folyamat pontos bemutatása túl nő ezen írás keretein, de a megfelelő informatikai vénával rendelkező emberek belevághatnak, de ennek hiányában erősen javasolt szakember segítségét kérni.

  2, Keressünk decryptort

  A nagy végpontvédelmi megoldást gyártó cégek folyamatosan harcolnak a ransomware-ek ellen, megpróbálják visszafejteni a kódjaikat, kitalálni a titkosítási kulcsot, ennek birtokában elkészíthetők a decryptor alkalmazások. Sajnos nem lehet egyértelműen kijelenteni, hogy minden ilyen kártevőhöz el fog készülni a hozzá való visszafejtő alkalmazás. A kártevő írók egyre szofisztikáltabb eljárásokat és bonyolultabb matematikai algoritmusokat használnak a kulcsgenerálásra. A kulcsgenerálási folyamatok ismertetése nem a cikk hatásköre, ezekről részletesebben a cikk végén található ajánlott irodalomban jelölünk meg olvasnivalót.

  Mivel a titkosítás feltörése sok esetben szinte lehetetlen ezért a biztonsági termékeket gyártó cégek más módszerrel is megpróbálják megszerezni a kulcsokat. A Kaspersky Lab külön részleget tart fenn, akik megpróbálják a hackerek által használt szervereket feltörni és onnan visszaszerezni a kulcsokat, amelyek segítségével már az adatok visszaállítása könnyű. Sok esetben jártak már sikerrel és így készítették el a visszafejtő programot.

  Sajnos nem minden ransomware variánshoz készül el a decryptor, de a lehetőség mindenképpen megvan, hogy megtalálják az ellenszerét, például a Kaspersky Lab jelenleg is többféle decryptorral rendelkezik és folyamatosan bővül a számuk. Amennyiben egy változathoz jelenleg nincs vissza fejtő alkalmazás, lehet érdemes kivárni egy kis időt, mert bármikor elkészülhet az.

  3, Keressünk adat visszaállító céget

  Sok cég foglalkozik adat mentéssel. Lehetséges, hogy a kártevő apró hibákat tartalmazott és ennek köszönhetően van lehetőség az általa encryptált fájlok visszaállítására. Sajnos ez sem minden esetben hozza a várt eredményt, hiszen vannak már olyan kártevők, amik olyan eljárásokat használnak, amely után semmilyen módon nem nyerhető vissza az adat.

  4, Fizessünk

  Mindenhol az olvasható, hogy ne fizessünk, hisz ezzel pont azoknak a zsebébe kerül a pénz, akik ellen harcolni kell. DE sajnos ez nem ilyen egyszerű, valaki akinek az élete munkája van a számítógépén, vagy az összes emléke, annak minden pénzt megér, hogy azokat visszakapja továbbá birtokunkban van egy összehasonlítás, hogy mennyi kárt okozott a ransomware, illetve mennyibe kerül a váltságdíj, így ez is megfelelő döntési faktor lehet.

  Fizetés menete

  A titkosító vírusok már-már a legkomolyabb üzleti szoftverekkel versengenek a képességeiket tekintve. Minden ilyen fertőzés esetén, hagynak egy teljes felhasználói user guide-ot, hogy a fizetés hogyan kivitelezhető. Ez az eljárás nem egyszerű, általában a TOR hálózat(„az internet sötét oldala”) segítségével és Bitcoin-ban(virtuális „valuta”) kell kifizetni az árat. A fizetés menete hosszabb időt is igénybe vehet, így ha ezen megoldás mellett döntöttünk, akkor javasolt időben elkezdeni a folyamatot, nehogy kifussunk az időből, így veszítve el az adatainkat.

  Visszaállítás

  A váltságdíj kifizetése után hozzájuthatunk a decryptorhoz. Sajnos ez nem minden ilyen esetben egyszerű, hiszen semmi garancia nincs arra, hogy ténylegesen megkapjuk azt és működni is fog. Ez miért történhet meg, hiszen ha senki nem kapja meg a decryptort annak hamar híre megy és senki nem fog fizetni?! Mégis ha bármi védelmi eszköz meggátolta, hogy a ransomware eljuttassa a kulcsot a C&C szerverre(ezeken keresztül vezérlik a ransomware-eket) akkor a hackereknek sincs birtokában a kulcs amivel visszafejthetők az állományok.
  Arról nem beszélve, hogy senki nem garantálja, hogy a megvásárolt decryptorok nem tartalmaznak-e további kártékony kódokat amikkel a későbbiekben újabb fertőzés áldozataivá válhatunk. Így minden ilyen esetben javasolt körültekintőnek lenni és megbizonyosodni róla, hogy nem hagynak más nem kívánt alkalmazást a gépünkön.

  5, Engedjük el

  Amennyiben egyik megoldás sem vezetett eredményre, vagy nem is szeretnénk velük foglalkozni, akkor fájó szívvel mondjunk búcsút az adatainknak, emlékeinknek és a rendszer teljes formázása, újratelepítését követően kezdjünk új életet, amelyben biztonságtudatos viselkedést veszünk fel.

  Hol tartunk?

  - Sikerült/nem sikerült az adatok visszaszerzése

• +

  Utolsó lépés – Konklúzió levonása

  
  

  Sikeres vagy sikertelen adatvisszaállítás után mindenképpen gondolkodjunk el, hiszen a fizikai értékeinket is próbáljuk biztonságban tudni(zárjuk az ajtót, riasztót szerelünk fel, kamerát használunk, rácsokat, széfeket, biztosításokat,…), akkor miért éppen a „virtuális” vagyonunk megvédésre nem tettünk lépéseket? Mit kell tenni, hogy ne következzen be még egyszer ez az esemény? Elég felkészültek vagyunk az internet veszélyeivel kapcsolatban? Ilyen és hasonló lépések megválaszolásával és a megfelelő ellenlépések megtétele után máris közelebb kerültünk, hogy a saját, a családunk, a munkatársaink és mindenki számára egy biztonságosabb virtuális világot teremtsünk.

Olvasni való

A cikk nem egy részletes elemzés aki érdeklődik a témában itt további információkat szerezhet:

https://en.wikipedia.org/wiki/Ransomware
http://itsun.hu/2015/03/retegelt-vedelmi-megoldasok-meg-mindig-fontos-lenne/
https://en.wikipedia.org/wiki/Symmetric-key_algorithm
http://www.storagecraft.com/blog/5-common-encryption-algorithms/
https://blog.kaspersky.com/tag/ransomware/

KL

Az ilyen jellegű támadásokkal kapcsolatban az év elején tartottunk egy szemináriumot, ahol részletesen bemutattuk az ilyen támadások menetét, fejlődését, amennyiben igény van rá, szívesen tartunk részletes elméleti és technikai oktatást, hogy mindenki megismerhesse az ellenséget.

Mi is az új platform?

Nem olyan rég a támadható célpontok köre bővült, eddig leginkább a Microsoft Windows alapú gépek voltak veszélyben, ott már igen szofisztikált megoldások jelentek meg, míg néhány variáns feltűnt már Android eszközökre is, azonban most felütötte a fejét a Linux.Encoder.1 nevű Ransomware(CryptoLocker), amely Linux és FreeBSD rendszereken fut.

A támadás a Magento webáruház tartalomkövető rendszerének a sebezhetőségét használja ki, majd AES titkosítás segítségével kódolja az olyan mappákat, amelyek értékes információkat tartalmaz(hat)nak, de a rendszer működéséhez nem szükségesek(/home, /root, /var/lib/mysql, /var/www, /etc/nginx, /etc/apache2, /var/log). A mappák titkosítása után a gyökér könyvtártól kezdve titkosít minden olyan mappát, amely a következő szövegek valamelyikét tartalmazzák: public_html, www, webapp, backup, .git, .svn. A titkosítás során a következő kiterjesztéssel rendelkező állományok vannak veszélyben: “.php”, “.html”, “.tar”, “.gz”, “.sql”, “.js”, “.css”, “.txt” “.pdf”, “.tgz”, “.war”, “.jar”, “.java”, “.class”, “.ruby”, “.rar” “.zip”, “.db”, “.7z”, “.doc”, “.pdf”, “.xls”, “.properties”, “.xml” “.jpg”, “.jpeg”, “.png”, “.gif”, “.mov”, “.avi”, “.wmv”, “.mp3″ “.mp4″, “.wma”, “.aac”, “.wav”, “.pem”, “.pub”, “.docx”, “.apk” “.exe”, “.dll”, “.tpl”, “.psd”, “.asp”, “.phtml”, “.aspx”, “.csv”

A sikeres titkosítás után a kulcsokat aszimmetrikus titkosítással(RSA) védi le a kártevő, az adatok elérhetetlenek, az operációs rendszer működik tökéletesen.

A Ransomware készítői egy komoly hibát vétettek, amelynek hála a titkosított fájlok visszaállíthatóak. A kulcs generálásához nem véletlen számokat használ a program, hanem a fájl titkosításának a pontos dátumát. Emiatt, bár az AES titkosítás erős, de maga a kulcs „gyenge”, a titkosított állományok visszaállíthatóak. A dekódoló alkalmazás már elkészült, így a fertőzött gépeken nem szükséges az 1 bitcoin váltságdíj kifizetése, a rendszer helyreállítható, könnyedén. Azonban, ha egy gépen többször lefutott a kártevő, valamilyen oknál fogva, akkor a megoldás nem működik, az adatok nem nyerhetőek vissza ilyen könnyen.

Bár ezen fertőzés visszaállítható anélkül, hogy fizetni kellene, az eddigi tapasztalatok alapján a közeljövőben elképzelhető egy olyan variáns felbukkanása, amely ennél összetettebb lesz és nem ad esélyt a dekódolásra, így minden esetben szükséges intézkedéséket tenni, hogy biztonságban legyenek az adataink.

Mit tehetünk?

A Ransomware-ek ellen a védekezés a legjobb megoldás. Mindenképpen szükséges a hálózat minden pontján kellően erős védelmet elhelyezni, legyen szó tűzfalról, tartalomszűrőről, vagy levelezés szűrőről. Nagyon hatékony megoldást jelenthet egy sandbox technológiát használó határvédelmi eszköz használata, sajnos ezek gazdasági okokból nem elég elterjedtek. Ami a legfontosabb a végpont védelme, szükséges minden frissítést telepíteni, ezzel megszüntetni a sebezhetőségeket, egy megfelelő végpontvédelmi szoftverrel pedig a támadások könnyen kiszűrhetőek, léteznek hatékony végponti sandbox technikák, amelyek időben felismerek a kártevőt és megállítják. Ezen felül javasolt megfelelő offline mentéssel rendelkezni az adatainkról, hiszen egy fertőzés után egy adat visszaállítás sokkal jobb financiális megoldás, mint fizetni azokért.

Sok tapasztalattal rendelkezünk ilyen kártevőkkel szemben, így cégünk munkatársai szívesen állnak rendelkezésre, a Ransomware-ek működésének a bemutatásában, egy esetleges megelőző megoldás kidolgozásában, vagy fertőzés esetén a károk minimalizálásában.

KL

Sajnos a rendszer előnye a legnagyobb hátránya is. Amint az Androidhoz kiad egy új frissítést, hibajavítást a Google, az nem jelenik meg csak úgy minden Androidos eszközön. A frissítés először eljut a gyártókhoz, akik portolják az eszközükhöz, ezek után elkezdik publikálni ezt a mobilszolgáltatók felé, akik amint jónak látják, akkor elkezdik engedélyezni az általuk eladott mobil eszközökre a frissítés telepítését. Sokszor hetek, hónapok telnek el amíg a frissítés eljut az okos eszközökre, továbbá sokszor a gyártó az aktuálisan futó termékpalettájára készíti el a frissítést, régebbi eszközök már nem kapják meg azt, így akinek egy régebbi van a tulajdonában lehet soha nem kapja meg a frissítést.

Rendben, azt már tudjuk, hogy sok verzió van, amelyek lassan frissülnek, de nézzük meg miért is kellene, hogy a biztonsági javítások gyorsabban jussanak el a mobil eszközökre. Alább az elmúlt egy hónapban napvilágot látott sebezhetőségeket soroljuk fel.

Certifi-gate

A Check Point fedezte fel ezt a sebezhetőséget. A sebezhetőség a telefon mobile Remote Support Tool(mRST) apijának a hibáját használja ki, ez egy mRAT(Mobile Remote Access Trojan) fertőzés. Az mRST –n keresztül system jogosultságot képes szerezni a támadó. Nem minden eszközön fut ez a szolgáltatás, sokszor nem használják ezt a komponenst a gyártók. A fertőzéshez a támadó úgy tesz mintha az eszköz support támogatója lenne és így jut be. A fertőzés után teljes hozzáférést szerezhet a támadó az eszköz, teljesen némán, így minden rajta tárolt információ kiszivároghat, legyen ez bankszámla adatok, fényképek, telefonszámok, bármi az eszközön található.
A Check Point készített egy alkalmazást, amelynek a segítségével ellenőrizhető, hogy a sebezhető mRST fut-e az eszközön. Az app a következő linkről tölthető le: https://play.google.com/store/apps/details?id=com.checkpoint.capsulescanner

Stagefright

A Lámpaláz az Android video feldolgozó alrendszerének a sebezhetősége. Ez a modul az mRST –vel ellentétben kivétel nélkül minden telefonon megtalálható és fut, ez felel a videók lejátszásáért egészen a 2.2 –es verziótól az 5.1.1 -ig. A hiba azért kifejezetten veszélyes, mert nem szükséges emberi interakció a fertőzéshez, elég egy preparált MMS –t küldeni, az okos eszköz ezt letölti az illetéktelen személyek máris kódfuttatási lehetőséget szereztek. A sebezhetőség elleni védekezésben komoly segítséget a mobil szolgáltatók is nyújthatnak, hiszen az MMS –ek rajtuk keresztül kerül kiküldésre, így akár ők is megállíthatják a terjedést.
A következő alkalmazás segítségével ellenőrizhető, hogy a sebezhetőség még elérhető egy adott készüléken: https://play.google.com/store/apps/details?id=com.zimperium.stagefrightdetector

Media szerver sebezhetőség

A Stagefright –ra hasonlító sebezhetőségről van szó, amely a mobil eszköz média szerver komponensében található sebezhetőséget aknázza ki. Ez a sebezhetőség a 4.3 –as Androidtól kezdve az 5.1.1 –ig mindegyik eszközben megtalálható. A sebezhetőséget vagy egy kártékony kódot tartalmazó web oldal segítségével vagy egy alkalmazás használatával tudják kihasználni. A sebezhetőség kihasználása után az eszköz instabil lesz, lefagy, nem játssza le a hangokat, újraindul.

Critical Flaw

Az AudioEffect komponens sebezhetőségét használja ki, segítségével a támadó teljes irányítást képes szerezni az eszköz felett. A sebezhetőséget a Trend Micro fedezte fel, aminek a kihasználására kártékony alkalmazást kell telepíteni arra. A sebezhetőség az összes Android –ot érinti a 2.3 –tól egészen az 5.1.1 –ig.

Task hijack

Az Android operációs rendszer multitask, amely azt jelenti, hogy egyszerre több alkalmazás képes futni, melyek között az operációs rendszer intelligensen kapcsolgat. Ez a multitask megoldás tartogat egy rendkívül komoly sebezhetőséget, melynek a segítségével egy háttérben futó kártékony alkalmazás képes monitorozni a többi app-ot, szükség esetén a tartalmukat is képes megváltoztatni. Így akár adathalászként, zombiként, kártékony kódként is képes viselkedni a végpont. A sebezhetőség a 3.0 –ás Androidtól kezdve az 5.1.1 –ig mindegyikben megtalálható.

Dolphin sebezhetőség

Az egyik elég népszerű webböngésző a Dolphin az Androidon felhasználók körében. A sebezhetőség kihasználásához lekell töltetni egy témát a Dolphinnal, amely automatikusan észleli és letöltés közben már csomagolja is ki azt. Így a megfelelő kódrészlettel már letöltés közben lehetséges a böngésző gyökér könyvtárába tartalmakat elhelyezni, így teljes uralmat szerezni felette. A frissítés a Dolphinhoz már megjelent, így mindenképpen érdemes azonnal frissíteni a böngészőt.

Védekezés

Az látszik, hogy az Android rendszerek rengeteg sebezhetőséget tartalmaznak. Sajnos mint az elején tárgyaltuk a frissítések nagyon lassan jutnak el az okos eszközökhöz, így a védekezést nem lehet a gyártókra bízni. A lehetőségek, amelyekkel nagyobb biztonságban vagyunk:

• Csak megbízható forrásból telepítsünk alkalmazásokat(Google Play). Így nem kerülhet olyan alkalmazás a telefonunkra, ami kárt tehet benne.
• Tiltsuk le az MMS –ek automatikus letöltését, így a Stagefright sebezhetőség nem tud MMS –ben bejutni a végpontra.
• Amennyiben az eszközhöz vagy az alkalmazásokhoz érhető el frissítés azt azonnal telepíteni kell.
• Használjunk megfelelő végpont védelmi megoldást. A mobil eszközökhöz is érhetőek el ilyen megoldások, így az eszközök biztonságban tudhatóak.

Amennyiben a témával kapcsolatban további kérdése van, nyugodtan keressen minket, munkatársaink szívesen segítenek a védekezésben.

KL

Egyenlőre ismeretlenek a körülmények, de a rendelkezésre álló adatok alapján, igen komoly hibákat követtek el a „profi” hekkerek mint például:

• Sokszor gyenge jelszavakat használtak(Passw0rd)
• Sok helyen ugyanaz a jelszó volt beállítva
• A szenzitív információkat olyan gépen tárolták, amely internetre kötött
• Nem használtak titkosítást a levelezéshez
• A fájljaikat is titkosítatlanul tárolták

Ezen információk birtokában nyugodtan nevezhetjük őket amatőröknek, bénáknak, lúzereknek, hiszen pont ők követnek el ilyen bénázásokat. Mégis ilyen hozzáállással, hogyan lehetséges, hogy a termékeiket 36 ország 71 kliense használja közöttük a magyar NBSZ és IH már 2008 óta? Könnyen lehet, hogy a HT tagjai totálisan inkompetensek voltak a fejlesztéseket pedig külsős profi csapatokkal végeztették.

A kiszivárogtatott adatok között az önkéntes elemzők 3 darab nulladik napi Windows és Flash alapú sebezhetőségre bukkantak. Reméljük a sebezhetőséget a Microsoft munkatársai minél hamarabb javítják. Az Adobe már kiadta a javítást hozzá, így feltétlenül javasolt annak a naprakészen tartása.

A nyilvánosságra került sebezhetőségeket már több támadó kód is felhasználja az Angler, Kafeine, Neutrino, Nuclear és több más elnevezésű támadó keretrendszer már használja.

A nulladik napi támadásokkal sok mindent lehet csinálni, de ezen kívül más módon is eljuttatható a kém program a célpont számítógépére. Elég egy hozzáférhető USB, egy gép a hálózaton vagy a wifi-n. Ennyi lehetőséggel és a rendelkezésre álló infrastruktúrával az állami szervek szinte rendkívül rövid idő alatt bejuthatnak a célpontok számítógépeire vagy okos eszközeire.

Nézzük a bevásárló listát

A kiszivárgott információk alapján Magyarország 2010 –ben upgradelte a rendszert, a meglévő infrastruktúrát új elemekkel töltötte fel. Mik is voltak ezek:

• 3db R210 Dell szerver
• Vásároltunk sebezhetőségeket
• licencet, hogy több támadást lehessen elvégezni egyszerre
• Iphone és Symbian támadókódot

Tudjuk a Symbian kicsit viccesnek hathat napjainkban, de 2010-ben a telefonok harmada még ezt az operációs rendszert használta.

A HT csapata rendkívül precíz könyvelést vezetett(ezt legalább jól csinálták), amelyből kiderült, hogy mi magyarok eddig összesen 1 896 000 € értékben rendeltünk tőlük, de a cég teljes bevétele 41 871 712 €.

Mégis mit tehetünk?

A legfontosabb: tartsuk be az unalomig ismételt alapszabályokat, ha nem akarunk a HT sorsára vagy az általuk gyártott fegyverek célkeresztjébe kerülni:

• Erős jelszavak(16 karakter: kis-, nagybetű, szám, speciális karakter)
• Amennyiben lehetséges jelszavak helyett több faktoros authentikáció
• Szenzitív információk titkosítása, biztonságos helyen tárolása
• Számítógépes programok naprakészen tartása, minden frissítés telepítése
• Olyan végpontvédelmi szoftver használata, amely speciális eszközökkel(sandboxing, behavior analisys,…) védi a rendszereket
• Megfelelő határvédelmi eszközök használata, legyen az tűzfal, IPS, gateway oldali anti vírus,…

Ilyen megoldásokban cégünk tud segíteni, teljes átfogó megoldásokkal rendelkezünk minden védelmi eszközből. Keressenek minket az elérhetőségeinken bizalommal.

KL