Informatika | Tanulmányok, esszék » Sebestyén Attila - Az informatikai működés paradoxonai

Az informatikai működés paradoxonai Sebestyén Attila PhD NSZFH elektronikus információbiztonsági felelős Pécs, 2017. június 27 15:45 – 16:05 II. „Biztonsági kockázatok – rendészeti reakciók” szekció paradoxon • görög eredetű kifejezés két görög szó összetétele: o „para” jelentése „ellen” o „doxa” pedig "vélemény„ o a két elem együttesen ellentmondásként fordítható • az előadás során, mint ellentmondás értelmezzük • figyelemfelhívás az ellentmondás kiküszöbölése érdekében 02/18. oldal informatika ≠ számítástechnika • informatikai tudomány az adatok gyűjtésével, tárolásával, feldolgozásával, továbbításával foglalkozó tudomány. • az UNESCO által kiadott tezauruszban (tudástárban) az informatika szó szinonimájaként adják meg az angol „informatics” szót, míg a „computer science” kifejezés szinonimája a „számítógép-tudomány”. • NEM

infokommunikáció, akkor már inkább számítástechnika és távközlés (de még automatika, mesterséges intelligencia, számítógép hálózatok, grafikai ábrázolás, virtuális valóság stb.) 03/18. oldal tévedések, tévképzetek az informatikáról • • • • • • • • • ha van egy informatikusom, minden menni fog (felelőst találtam) most építettük ki (vettük meg) ez is menni fog rajta az egyik szerverre felteszitek aztán elmegy az magától úgyis csak játszatok egész nap, nem csináltok semmit jöttök megint a „miért nem lehet megcsinálni” problémáitokkal elküldöd egy e-mail csatolmányba (senki nem fog tudni róla) „pendrive” kell, otthon is dolgozom, meg hétvégén netről leszedhető, felmásolod azt’ jól van, ha már én nem tehetem fel ne viccelj ezt a gyerek is megcsinálja, otthon nekem ez is van (meg jobb) 04/18. oldal tévedések, tévképzetek az informatikáról • • • • • • • • • ha van

egy informatikusom, minden menni fog (felelőst találtam) ez már szakmák tömege (mint az orvoslás, általános orvos nem sebész, vagy nőgyógyász) most építettük ki (vettük meg) ez is menni fog rajta mikor kiépítettük is drágának tűnt, így ezt-azt kihagytunk belőle, tartalék is minek, jó kicsit tényleg alultervezett lett és lassú az egyik szerverre felteszitek aztán elmegy az magától ez körülbelül olyan, hogy van itt egy traktor kerék, na hol az a Ferrari (kompatibilitás?) úgyis csak játszatok egész nap, nem csináltok semmit ha sok lehet bonyolult, a sokféle is lehet bonyolult, a sokféle sok biztosan bonyolult és sokrétű meglévő tudást feltételez jöttök megint a „miért nem lehet megcsinálni” problémáitokkal tudás, erőforrás, kapacitás, IT biztonság, logikai láncolat, következmény, célszerűség, hogyan(?) utasítás a mit(!) helyett elküldöd egy e-mail csatolmányba (senki nem fog tudni róla) Btk. 219 §

személyes adattal-; Btk 220§ közérdekű adatokkal való-; Btk 265 § minősített adattal való visszaélés „pendrive” kell, otthon is dolgozom, meg hétvégén NEM kell! netről leszedhető, felmásolod azt’ jól van, ha már én nem tehetem fel szoftvert lopni, még a Btk. szerint is pont olyan mint autót lopni (tudás és munka, kevesebb fizikai anyag) ne viccelj ezt a gyerek is megcsinálja, otthon nekem ez is van (meg jobb) otthon nekem is megy, én pénzem, én problémám és az én szabályaim 05/18. oldal ha vannak okozatok, mik lehetnek az okok • • ez informatikai probléma, ha kész a fejlesztés jelentkezzetek adat- vagy folyamatgazda, az mi a szösz, nem értek én az informatikához • • • • • • a vállalkozó azt mondta, hogy elég neki egy szerver és menni fog legyen felhasználóbarát, korszerű és jogszerű (olcsó vagy ingyen) ennek folyamatosan mennie kell nem fogok a gép előtt ülni, adjatok jogosultságot a titkárnőmnek

a sofőrnek, a Sanyinak, legyen laptopja, tudjon mp3-at válogatni na erről erre töltsétek át a címjegyzéket, aztán mit kell tudni még 06/18. oldal Paradoxonok 01/10 Az informatikai technológiai fejlődés folyamatos és új megoldásokat integráló, tervszerű, koncepcionális és stratégiai fejlesztést kényszerít ki, amely költségigényes és a szervezet szempontjából állandó (akár a szolgálati gépjármű). Az informatikai működés (és fejlesztés) drága, így kontrollálni kell. Mivel informatikai szakmai és szervezeti felhasználói érdekek mentén nehézkes ezért fiskális megfontolások alapján. Így kerül az informatikai a gazdasági irányítás alá, ahol ellentétes az érdekük, egyik megszorítani akar, a másik folyamatosan költeni! 07/18. oldal Paradoxonok 02/10 Az informatikai fejlesztések jellemzője, hogy nem előzi meg őket tényleges igényfelmérés és üzleti tervezés (vakrepülés). Jellemző továbbá a

megvalósítás idején a kapacitások alul tervezése, a működtetési költségek tervezésének hiánya. A szervezet számára ez kódolja a működési problémákat a kapacitások hiánya miatt, és a bővítés ellehetetlenülését is (funkcionális és kapacitásbéli) a források fajlagos csökkenése miatt a fenntartási költségek alul tervezése okán. Az informatikai fejlesztéseknek így mindig „előre kell menekülniük”, új szolgáltatások bevezetésével, visszamenőleg (is) pótolni! 08/18. oldal Paradoxonok 03/10 Rövid idő alatt állandósuló finanszírozási hiátus, kialakul az amortizációs csapdahelyzet (rendszertechnológiai avulás), amellyel szemben a felhasználói igény a legmodernebb megoldások bevezetése. Jellemző, hogy a fejlesztés informatikai irányítású, így alapvetően technológiai, viszont a szakmai irányítás hiányában nem történik meg a munkafolyamatok és adatáramlások felülvizsgálata, átalakítása, a

munkafolyamatok vezérlésének megfelelő üzleti logika kialakítása. Torz a szervezet és az informatika viszonya, nincs szervezés (technológia)! 09/18. oldal Paradoxonok 04/10 Kormányzati, ágazati szintű „szigetszerű” fejlesztések az infrastruktúra és informatikai környezetre érzéketlen módon a korszerűség elvárása mellet (ellen). Jellemző, hogy a megoldásszállító saját termékét a meglévő környezet ellenére képes eladni, hiszen terméke akkor és úgy olcsó, ha a testre szabás idejével és költségével nem kell számolnia. Idővel a rendszerben csak együttműködni nem képes, a megoldásszállítók szakmai felkészültségének szintjén álló (java, c:; Delphi; egyedi hozzáférés és jogosultságkezelés; admin jogú futás stb.) termékek kavalkádja alakul ki 10/18. oldal Paradoxonok 05/10 A szervezet informatikai tudásának belső struktúrája (vezető, ügyintéző, ügykezelő, kulcs- és felhasználó, rendszergazda

stb.), biztonságtudatosság A felhasználó képzettsége és hajlandósága alapvetően befolyásolja a szervezet, és az informatikai szakterület hatékony(talan)ságát. Ha minden feladathoz informatikai szakember kell, akkor biztosan nem hatékony a szervezeti működés. A tudás struktúrát tovább roncsolja a pótolhatatlanság és egyéb kivételezett, azaz a szervezet szempontjából kiszolgáltatott helyezetek (cégnek, munkavállalónak). Az informatikai működés nem informatikai szervezeti- és szolgáltatás rendszer. 11/18. oldal Paradoxonok 06/10 Az informatikai szakterülettel szemben elvárt legmodernebb tudással való rendelkezés követelménye és a rendszerezett tudás megszerzésének tiltása. Az önképzés az informatikában megjelenő tudás mennyiségi és strukturális viszonyai okán szerintem már nem járható ismeretszerzési forma (ld. 2013 a határrendészeti ismeretek lajstroma). Az önképzés nem járható már csak azért sem, mert a

kapacitás és erőforrás elégtelenségek miatt folyamatossá válik a túlterhelés, a megfelelő szakértelem hiányában jellemzővé válik az „ad-hoc” munkavégzés (barkácsolás). 12/18. oldal Paradoxonok 07/10 Az informatikai szakterület jellemzően általános célú, infrastruktúra szintű fejlesztéseket kezdeményez. A szakrendszerek irányítási szintű fejlesztések eredményei, vagy szakterületi igénytámasztás alapján készülnek. Megjelenik így a szakterületi igény, ugyanakkor a projekt irányítás, a projekt folyamatokban való részvétel, a szakértői támogatás a szakfeladat „meta nyelvű” leírására, tesztelésben, bevezetésben való részvétel esetleges (elhatárolódás). A szakterület (mit!), az informatika (hogyan?) jellemzően összekeveredik! 13/18. oldal Paradoxonok 08/10 Közbeszerzési anomáliák folyamatos jelenléte az informatikai fejlesztések során. Jellemző, hogy akár több milliárdos eszköz és alkalmazás

infrastruktúrához (alrendszeréhez) nem lehet rendszertechnológiai kötöttséggel bővíteni, holott az inkompatibilitás, vagy járulékos egyéb költségek (új oktatása, integráció, kivezetés és bevezetés időszükséglete, adatmigrálás stb.) a lehetségesen előnyösebb megoldást is a szervezet szintjén hátrányossá teszi. (Olcsóbb a drágább!) Hiányoznak a kormányzati-, ágazati szabványok, szabályozások, egyenszilárdság. 14/18. oldal Paradoxonok 09/10 Megoldásokban a professzionális informatika igénye, felhasználásban a „kapca” informatika elvárása (1.): - ma már az informatikában mindent meg lehet csinálni, ti miért nem tudjátok funkciók (365 nap / 24 óra) és minőségek összekeverése (tulajdonság – lassú) felsővezetői „arrogancia” – engem nem érdekel az IT biztonság (ransomware) a tudás elvárása, de középfokon képzett tiszthelyettesek biztosítása, bérezése korábbi híradó – számítástechnikai

fúzió biztonságtechnikai irányú bővülése szakrendszerek önálló tudásterületként való megjelenése (kulcsfelhasználó) adatkezelés alapú hozzáférési differenciálás és bizonyíték biztosítás 15/18. oldal Paradoxonok 10/10 Megoldásokban a professzionális informatika igénye, felhasználásban a „kapca” informatika elvárása (2.): - centralizálás és decentralizálás rendszertechnológiai kiszolgálása centralizált tudás, ágazatban decentralizált informatikai szervek felhatalmazások korlátlansága, kompetenciák esetlegessége (NISZ) külön utas megoldások, a szabályozás és szabványosítás hiányában jogszabályok és teljesíthető rögvalóságok ellentéte (kiber, biometria) adatfeldolgozás, adattisztaság, közhitelesség béklyói fejlődésből következő többség javítása az egyediség, kisebbség kezelésével 16/18. oldal Megoldások irányába ? • • • • • • • • • szervezés erősítése

önszabályozás erősítése homogenitás, egyenszilárdság erősítése központosítás erősítése szabályozás és szabványosítás szeparáció (eszközök, szolgáltatások) képzés (minden szinten) biztonságtudatosság (képzés, szankció) nagyvállalatiság 17/18. oldal Az út, amin keresztül !? • • • • • • • • • szabványosítás és szabályozás homogenitás, egyenszilárdság erősítése központi adatvagyonképzés központosítás erősítése képzések (pl.: biztonság tudatosság) címtárközpontú, szerepkör alapú szerveren futó, böngésző alapú fejlesztés egységes munkaállomás (vékonykliens) IT biztonság, mint kontroll (pl.: patika) 18/18. oldal Köszönöm a megtisztelő figyelmet! Sebestyén Attila PhD NSZFH elektronikus információbiztonsági felelős Pécs, 2017. június 27 15:45 – 16:05 II. „Biztonsági kockázatok – rendészeti reakciók” szekció