Infrastruktúra-biztonsági vizsgálat

Az infrastruktúra-biztonsági vizsgálatok elmaradása vagy nem megfelelő végrehajtása számos súlyos incidenshez vezetett, amelyek komoly adatvédelmi és pénzügyi következményekkel jártak. Íme néhány példa:

1. Heathrow-

• A londoni Heathrow repülőtér északi Hyde alállomásán 2025 márciusában tűz keletkezett, amely több mint 1 350 járatot és csaknem 300 000 utast érintett. A tűz oka egy olyan hiba volt, amelyet a National Grid Electricity Transmission (NGET) már 2018-ban azonosított, de nem hajtották végre a szükséges karbantartást. A hibát egy magas feszültségű szigetelőben lévő nedvesség okozta, amely a tűz kiindulópontja volt. Az Egyesült Királyság energiafelügyeleti hatósága, az Ofgem, megelőzhetőnek minősítette az eseményt, és vizsgálatot indított az NGET ellen. A Heathrow repülőtér jogi lépéseket fontolgat, mivel a légitársaságoknak több mint 80–100 millió fontnyi kártérítést kell kifizetniük. A Guardian

2. Sellafield nukleáris létesítmény kiberbiztonsági hiányosságai (2019–2023)

• A brit Sellafield nukleáris létesítmény 2024 júniusában bűnösnek vallotta magát kiberbiztonsági hiányosságok miatt, amelyek 2019 és 2023 között történtek. A hibák az érzékeny nukleáris információk védelmével kapcsolatosan merültek fel az IT hálózaton. Az Egyesült Királyság Nukleáris Szabályozó Hatósága (ONR) büntetőeljárást indított, mivel a létesítmény nem biztosította megfelelően a külső vállalkozók felügyelet nélküli hozzáférését a rendszerhez. Egy belső jelentés már 2012-ben figyelmeztetett a súlyos biztonsági sebezhetőségekre. A Guardian

3. US-CERT saját rendszereiben talált sebezhetőségek (2010)

• Az Egyesült Államok Számítógépes Vészhelyzeti Készültségi Csapata (US-CERT) saját rendszereiben több mint 1 000 magas kockázatú sebezhetőséget talált egy belső audit során. A hibák főként elavult alkalmazások, operációs rendszerek és biztonsági szoftverek frissítéseinek elmaradásából adódtak. Bár az Einstein behatolásérzékelő rendszer erős volt, a használt számítógépes rendszerek sebezhetőek voltak, mivel nem alkalmazták a szükséges biztonsági javításokat. Az audit után a DHS kijelentette, hogy javították a rendszereket és telepítettek egy szoftverkezelő eszközt az automatikus frissítésekhez. VEZETÉKES

4. Equifax adatvédelmi incidens (2017)

• Az Equifax 2015-ben végzett belső auditja jelentős elmaradásokat tárt fel a sebezhetőségek kezelésében. Az audit megállapította, hogy az Equifax nem tartotta be saját javítási ütemterveit, az IT személyzet nem rendelkezett átfogó eszközkészlettel, és a vállalat nem priorizálta a javításokat az IT eszközök kritikus fontossága alapján. A javítási folyamatok nem voltak szigorúan érvényesítve. Bár a jelentés javaslatokat tett a biztonsági intézkedések javítására, a 2017-es adatvédelmi incidensig sok intézkedés nem került végrehajtásra. A támadók kihasználták az Apache Struts webalkalmazás keretrendszerben lévő ismert sebezhetőséget, amelyhez már elérhető volt a javítás. Az Equifax belső IT csapata 2017 július 29-én frissítette a Secure Sockets Layer (SSL) tanúsítványt egy alkalmazáson, amely a bejövő és kimenő hálózati forgalmat figyelte. A tanúsítvány lehetővé tette az alkalmazás számára a kimenő forgalom visszafejtését és elemzését. Miután az új SSL tanúsítványt telepítették, az alkalmazás figyelmeztette az Equifax alkalmazottait a gyanús hálózati tevékenységre. A tanúsítvány kilenc hónapja lejárt volt. Július 30-án az Equifax leállította a kihasználást. Az incidens során legalább 34 szervert használtak 20 különböző országban, ami bonyolította a tettesek nyomon követését. Wikipédia

Ezek az esetek rávilágítanak arra, hogy az infrastruktúra-biztonsági vizsgálatok elmaradása vagy nem megfelelő végrehajtása súlyos következményekkel járhat, beleértve a pénzügyi veszteségeket, adatvédelmi incidenseket és a vállalat hírnevének csökkenését.