A megszakértett kiberharctér

A hírekben sokfelé kanyarognak az információk. Van akit a labda ide-oda rugdalása érdekel jobban, míg mások az Orbán-Putyin találkozó képein, illetve a miniszterelnök fél számmal kisebb zakóján, mosolyog. Az MTI ezek mellé a képek mellé egy sor más hírt is csomagolt. Ezek egyike szerint, állítólag, nő a „kibertér veszélyeivel kapcsolatos tudatosság”. Jelentsen is ez bármit.

Mert korántsem biztos, hogy mindenkinek ugyanazt jelenti. Alig valószínű, hogy túl sokan lennének azok, akik azzal a felkiáltással jelentkeznek be a levelezőprogramjukba, illetve a Facebook-profiljukhoz, hogy: „megyek a kibertérbe”. Ezzel szemben alig van hét, hogy ne hallanánk internetes zaklatásokról, gyermekek megalázásáról, illetve adatbiztonsági problémákról. Amelyek alapján akár olyan véleményekkel is élhetnénk, hogy a veszélyekkel szembeni tudatosság lehet, hogy növekszik, de az emberek alapvetően tesznek rá. Ameddig nem a gyermeküket, esetleg őket magukat zaklatják. Holott a mindennapok veszélyesség-érzete nagyjából ilyeneken múlik. Az emberek többsége ugyanis nem az amerikai elnökválasztásra gyakorolt esetleges orosz befolyás felett polemizálva töltik a napjaikat.

Akkor sem, ha az MTI az informatikai biztonsággal kapcsolatos hírt egy olyan TV-műsorra (M1) hivatkozva közli, amelyben az EU és a NATO csúcstalálkozóján érintett kiberbiztonsági együttműködés kapcsán szólaltattak meg egy szakértőt. Krasznay Csaba kiberbiztonsági szakértő pedig azt mondta, hogy nő a tudatosság. Szakértő, tehát higgyük el. Azért persze inkább meséljük el a tanároknak, hogy a NATO messzebb van, mint amilyen közel a tanítványokhoz a zaklató iskolatárs előfordulhat. Legalább ettől is nő egy kicsit a tudatosság. Reménykedjünk. Abban is, hogy egyik ifjú sem veszi túl komolyan a hétköznapokban azt, amit a NATO szempontjából még csak-csak megérthetnénk. Azt, hogy a “NATO terminológiájában a negyedik "hadszíntér" a kibertér”. Az USA esetében az ötödik.

Pontosabban: ezeket a besorolásokat nyugodtan komolyan veheti bárki. Legfeljebb azon vitázva, hogy talán nem kellene ennyire hátra sorolni az informatikai hadviselést. Tekintve az informatika fokozott bevonulását az élet különböző területeire. Miközben egy TV-műsorban talán kicsit fékezett habzással illene talán kezelni a kérdést. Nem elszaladva odáig, hogy a „kibertér egy olyan műveleti tér, ahol katonai cselekményeket kell végrehajtani”. Nem azért, mert nincs katonai jelentősége, hanem azért, mert az emberek hétköznapjaiban a levelezőjük, a Facebook, és a hasonló szociális terek szemszögéből élik meg a virtuális tereket. Márpedig ezeket a területeket inkább ne kezeljük hadműveleti térként. Mert úgy viszonyulnak ahhoz, mint a házikert a lőterekhez. Amelyek között talán még az is érez némi különbséget, aki szerint minden iskolába lőtér kell. Esetleg kettő is.

Azért persze nem sajnálom a diplomát attól néhány tíz embertől, akiknek azt a Nemzeti Közszolgálati Egyetem (NKE) Kiberbiztonsági Akadémiáján nyomták a kezébe. Legfeljebb egy kicsit bízok azért benne, hogy nem a lakosság által használt virtuális terek fő-cenzorai lesznek. A permanens háborúsdi jegyében. De talán szerepet kaphatnak az olyan orcára-pottyanások elkerülésében, mint az egy évvel ezelőtt BKK-botrány is jelenthetett. Amelyet részben leállítottak, részben kompromittáltak. Az informatikai biztonság, illetve a fejlesztést végző cég minőségbiztosításának a nagyobb dicsőségére is.

Andrew_s

Nyílt kérdések a BKK-kapcsán

Megjelent a T-Systems, szinte már sajnálkozó közleménye a BKK rendszerének feltörhetőségével kapcsolatban. De a közlemény, mintha hiányos lenne. Leginkább a felelősség megállapítása terén. Ezért is gondoltam, hogy egy nyílt kérdéssel talán segíthetek előrébb jutni ezen a téren.

Nagyon kedves T-Systems!

Egy on-line kereskedelmi rendszert beüzemelés előtt le kell tesztelni. Nem szoktak, nem elvárható, hanem kötelezettség. Egy böngésző alapú alkalmazást a gyakori operációs rendszerek, gyakori böngészőivel, és a még telepíthető verziókkal meg kell nézni. Nem jófejségből, hanem a szakma írott, illetve íratlan szabályai alapján.

Ezekről a tesztekről, azok körülményeiről tesztelési jegyzőkönyveket kell felvenni. Olyanokat, amely a funkiconális és nem-funkcionális tesztek elvégzését kellően igazolja. Olyan esetben, amelyben a felhasználó adatai is „utaznak” a rendszerben, biztonsági teszteket is el kell végezni. Ezekről egy, a biztonsági auditok alapját képező jegyzőkönyvet szintén fel kell venni. Az élesítést megelőzően, ahogy egy liftet is átvesznek műszakilag, egy biztonsági és funkcionális audit elvárható. Referenciaként megtekinthetők az ISTQB és ITIL tanfolyamok tankönyvei is. 

Ezt követően azok lennének a kérdések, hogy:

• Ki, illetve kik végezték a teszteket?
• Ki, illetve kik írták alá a tesztelési jegyzőkönyveket?
• Ki, pontosabban melyik ismert auditor végezte el az auditálást?
• Ki írta alá az auditálás jegyzőkönyvét?
• Milyen hiányosságokat állapítottak meg a tesztek, illetve az auditálás során?
• Milyen intézkedési terv született az esetleges problémák megoldására?
• Az intézkedési tervet ki ellenőrizte, és végrehajtását ki hagyta jóvá?
• Az UAT-tesztet ki végezte, arról milyen jegyzőkönyv készült, és azt ki írta alá?
• Mindezek alapján a rendszert ki vette át, és az élesítéséről ki döntött?

Mert az elképzelhető, hogy a fiú hibát követett el, amikor nem fülbe-gyónta a saját tesztjeinek az eredményét. De az elképzelhetetlen, hogy a fejlesztést és beüzemelést végzők részéről ne lehetne megállapítható a szakmai felelősség. Így az lenne az elvárható, ha a következő közleményükben a fenti kérdésekre is megadnák a választ. Azok névsorával, akik aláírói voltak azoknak a dokumentumoknak, amelyek nélkül egy on-line személyes adatokat is forgalmazó, fizetés-érzékeny rendszert nem illik, nem szoktak, és nem is igen lehet megvalósítani.

S ez a felelősi kör nem a takarítónő, és nem is csak sokadik beosztott szoftvertesztelő, hanem a döntéshozatali lánc egyes tagjai.

Simay Endre István