information security
Főnév
information security (tsz. information securities)
Az információbiztonság (angolul: information security, röviden infosec) a digitális korszak egyik legfontosabb fogalma és gyakorlata, amelynek célja az információ védelme minden formában – legyen az digitális, papíralapú, vagy éppen emberi tudás. Az információbiztonság fő célja, hogy az adatok konfidencialitása (titkossága), integritása (sértetlensége) és rendelkezésre állása (elérhetősége) biztosított legyen.
Ez a három alapelv – gyakran CIA-háromszög néven emlegetik – minden infosec stratégia alapja.
🔐 Az információbiztonság három alappillére (CIA-triád)
- Konfidencialitás (Confidentiality)
- Csak azok férhetnek hozzá az információhoz, akik jogosultak.
- Cél: adatlopás, kiszivárgás megelőzése.
- Integritás (Integrity)
- Az információ nem változhat meg engedély nélkül.
- Cél: manipuláció, szabotázs megelőzése.
- Rendelkezésre állás (Availability)
- Az információ akkor is elérhető maradjon, amikor szükség van rá.
- Cél: szolgáltatáskimaradás, támadások (pl. DDoS) kivédése.
🎯 Miért fontos az információbiztonság?
- Személyes adatok védelme: pl. név, lakcím, jelszó, bankkártyaadat.
- Vállalati titkok megőrzése: pl. forráskód, ügyféladat, pénzügyi adatok.
- Jogszabályi megfelelés: GDPR, ISO 27001, HIPAA, NIS2, stb.
- Bizalom fenntartása: ügyfelek, partnerek, felhasználók részéről.
- Versenyelőny megőrzése: információ = érték = célpont a támadók számára.
🛠️ Főbb információbiztonsági területek
- Hálózatbiztonság (Network Security)
- Hálózati infrastruktúra védelme (pl. tűzfalak, IDS/IPS, VPN-ek)
- Alkalmazásbiztonság (Application Security)
- Webes és natív alkalmazások sebezhetőségeinek megelőzése (pl. OWASP Top 10)
- Adatbiztonság (Data Security)
- Adattárolás, adatforgalom, adatmentés védelme (pl. titkosítás)
- Fizikai biztonság (Physical Security)
- Szervertermek, eszközök, beléptető rendszerek, kamerák
- Folyamatbiztonság (Process Security)
- Szabályzatok, eljárások, hozzáféréskezelés (pl. ISO 27001)
- Végpontbiztonság (Endpoint Security)
- Felhasználói eszközök védelme (pl. antivírus, EDR)
- Felhőbiztonság (Cloud Security)
- AWS, Azure, Google Cloud környezetek védelme, jogosultságkezelés
⚠️ Leggyakoribb fenyegetések
| Fenyegetés | Leírás |
|---|---|
| Malware (vírus, trójai, ransomware) | Fájlokat fertőz, adatokat lop, rendszert zárol |
| Phishing | Hamis e-mailek, linkek, jelszócsalás |
| Social engineering | Az emberi tényező manipulálása (pl. helpdesk átverés) |
| Insider threat | Belső alkalmazott okozta szándékos/nem szándékos kár |
| Zero-day sebezhetőség | Frissítés előtt kihasznált programhibák |
| DDoS (Distributed Denial of Service) | Szolgáltatás elérhetetlenné tétele túlterheléssel |
| Man-in-the-middle | Kommunikáció lehallgatása és manipulálása |
🧩 Alapvető védelmi eszközök és módszerek
- Tűzfalak – hálózati forgalom szűrése
- IDS/IPS – behatolás-érzékelés/megelőzés
- Titkosítás – adatvédelem átvitel és tárolás során
- Kétfaktoros hitelesítés (2FA) – extra biztonsági réteg bejelentkezéskor
- Hozzáférés-szabályozás (Access Control) – ki mit láthat és mit tehet
- Mentés és visszaállítás – adatvesztés elleni védelem
- Biztonsági frissítések (patch management) – sebezhetőségek javítása
🏢 Információbiztonság a gyakorlatban – vállalati szinten
| Szint | Példa |
|---|---|
| Policy | IT biztonsági szabályzat, adatvédelmi irányelv |
| Kontroll | Tűzfal, jogosultságkezelés, jelszópolicy |
| Eseménykezelés | Riasztások, naplóelemzés, SIEM rendszerek |
| Tudatosság | Oktatás, kampányok, phishing tesztek |
| Jogszabályi megfelelés | GDPR, ISO 27001, NIS2, PCI-DSS |
📊 Kockázatelemzés és menedzsment
Az információbiztonság nem csak technikai kérdés – üzleti döntésekre is hatással van. A cél nem a teljes védelem (ami lehetetlen), hanem a kockázatok elfogadható szintre csökkentése.
Kockázatkezelési lépések:
- Eszközök és adatok feltérképezése
- Fenyegetések és sebezhetőségek azonosítása
- Kockázat becslése (valószínűség × hatás)
- Kockázatcsökkentési terv készítése
- Monitorozás és újraértékelés
📚 Fontos szabványok és keretrendszerek
| Szabvány / Framework | Funkció |
|---|---|
| ISO/IEC 27001 | Információbiztonsági irányítási rendszer (ISMS) |
| NIST Cybersecurity Framework | USA kormányzati és vállalati infosec útmutató |
| COBIT, ITIL | IT irányítás, folyamatok biztonságos kezelése |
| GDPR | Adatvédelmi rendelet – EU-s jogszabály |
| SOC 2 | Szolgáltatók biztonsági megfelelősége |
🔍 Mérés és ellenőrzés
Az információbiztonságot mérni kell:
- Security audit – rendszeres belső/külső ellenőrzés
- Penetrációs teszt – etikus hackerek tesztelik a rendszert
- Vulnerability scanning – automatikus sebezhetőség-ellenőrzés
- Logelemzés, SIEM – naplók valós idejű feldolgozása
- SOC (Security Operations Center) – központi biztonsági felügyelet
👨🏫 Emberi tényező – tudatosság a védelem kulcsa
A legjobb technológia sem segít, ha a felhasználók nem képzettek:
- Jelszavak újrahasználata
- Gyanús linkekre kattintás
- USB használat ismeretlen helyről
Megoldás:
- Tudatosságnövelő tréningek
- Simulált phishing tesztek
- Szabályzatok kommunikálása érthetően
🧠 Összefoglalás
| Fogalom | Jelentés |
|---|---|
| Információbiztonság (infosec) | Az adatok védelme jogosulatlan hozzáférés, módosítás és elvesztés ellen |
| Cél | Titkosság, sértetlenség, elérhetőség (CIA) biztosítása |
| Eszközök | Tűzfalak, antivírus, titkosítás, 2FA, frissítés |
| Fenyegetések | Malware, phishing, social engineering, insider, DDoS |
| Megfelelés | ISO 27001, GDPR, NIS2, stb. |
| Siker kulcsa | Technológia + tudatosság + folyamatok együtt |
A biztonság nem egy termék, hanem egy folyamat. Az információbiztonság célja, hogy megteremtse a bizalom alapját a digitális világban – legyen szó felhasználóról, vállalatról vagy állami rendszerről.
- information security - Szótár.net (en-hu)
- information security - Sztaki (en-hu)
- information security - Merriam–Webster
- information security - Cambridge
- information security - WordNet
- information security - Яндекс (en-ru)
- information security - Google (en-hu)
- information security - Wikidata
- information security - Wikipédia (angol)
