29. fejezet – megoldások és megoldókulcs

Gyakorlati feladatok — részletes megoldások

29.1 gyakorlat — Sérülékenységi ellenőrzőlista végigvitele egy kiépített rendszeren

Mit gyakorol: a hat blokkos átadáskori biztonsági ellenőrzőlista végigvitelét egy valódi rendszeren, és a talált hiányosságok rangsorolását — vagyis annak eldöntését, mi az, ami nem várhat.

Megoldás

Ez mintamegoldás egy tanműhelyi rendszeren. Mielőtt bármit csinálnál, két dolgot kell tisztázni, és ezek nem formaságok:

ELOFELTETEL - EZ NELKUL NEM KEZDHETO EL
  [ ] A rendszer OKTATASI celra kiepitett, sajat vagy az oktato
      altal KIJELOLT rendszer. Idegen rendszeren egyetlen pontot
      sem szabad kiprobalni.
  [ ] Ha a rendszer tavfelugyeletre van kotve: a felugyeleti hely
      ELOZETESEN ertesitve a teszt IDOPONTJAROL es IDOTARTAMAROL.
  [ ] A teszt BEFEJEZESET is be kell jelenteni.
  [ ] Halozati szkennelest csak az oktato jelenleteben, kizarolag
      az oktatoi halozaton.

1. Térképezés — mielőtt hozzányúlnál

Először csak rajzolsz. Minden eszközhöz oda kell írni, melyik támadási felülethez tartozik:

2. E blokk — fizikai szemle, szerszám nélkül

Csak nézel, semmit nem szerelsz le. Amit keresel:

[ ] Melyik eszkozt ered el SZABADKEZZEL, letra nelkul?
[ ] Hol van MUANYAG doboz kozpont, bovito vagy tap korul?
[ ] Hol fut SZABADON kabel - kulonosen a vedett teren KIVUL?
[ ] Belathato-e kivulrol a KODTASZTATURA vagy a monitor?
[ ] Hol NINCS atfedes a kamerak latoszogeben?
[ ] A kozpont a vedett teren BELUL van, erzekelovel figyelt terben?
[ ] Hang- es fenyjelzo kulonbozo falsikokon?

Mintaeredmény: a központ fémdobozban, zárt szekrényben — rendben; a bővítő viszont műanyag dobozban, a folyosón, szabadkézzel elérhető magasságban; a kezelőegység az üvegajtóval szemben, kívülről belátható; a raktár felé menő kábelszakasz kb. 3 méteren szabadon, csatorna nélkül fut.

3. B blokk — szabotázspróba

Az oktató engedélyével, egyenként:

Minden pontnál három lehetséges bejegyzés van, és mind a három érvényes eredmény: jelzett / nem jelzett / nincs ilyen funkció. A harmadik nem hiba önmagában — de tudni kell róla, és el kell mondani a megrendelőnek.

4. C blokk — átjelzés és táp

ATJELZESI UTAK
  1. ut: IP (helyszini internetkapcsolat)
  2. ut: mobilhalozat, SIM-kartyaval
  VALODI-E A FUGGETLENSEG?
    kulonbozo fizikai kozeg (vezetek / radio)     -> IGEN
    kulonbozo szolgaltato                          -> IGEN
    tapellatasi fuggeseg: a router szunetmentes
    tapellatas NELKUL mukodik                      -> GYENGE PONT

ELETJEL PERIODUSA
  beallitott ertek: a szolgaltatoval egyeztetve, a rendszerben
  rogzitve; a jegyzokonyvbe a TENYLEGES beallitas kerul

HALOZATKIESES-PROBA (oktatoi engedellyel)
  a halozat lekapcsolva:                      11:04
  a "halozatkimaradas" jelzes megjelent:      11:04
  a felugyeleti helyen visszaigazolva:        11:06
  a rendszer akkumulatorrol tovabb uzemelt:   igen
  a halozat visszakapcsolva:                  11:20

A router szünetmentes tápellátásának hiánya nem apróság: áramszünetben az IP-út azonnal kiesik, tehát a „két független út" a legkritikusabb pillanatban egy útra fogy. Ez a redundancia klasszikus látszatmegoldása.

5. A és D blokk — hozzáférés és hálózat

A hálózati részt a rendszer saját, dokumentált beállításai alapján vizsgálod; szkennelni csak az oktató jelenlétében, az oktatói hálózaton szabad.

6. F blokk — dokumentáció

[ ] Naprakesz-e a dokumentacio?      -> NEM: ket erzekelo hianyzik rola
[ ] Szerepel-e benne kod vagy jelszo? -> IGEN, a zonatabla aljan
                                          a telepitoi kod - EZ HIBA
[ ] Ki tudod-e olvasni az esemenynaplot? -> igen, es ki is mentheto
[ ] Van-e mentes a programozasrol?    -> nincs

A kód a dokumentációban azért súlyos, mert a dokumentáció sok kézen megy át: egyetlen fénymásolat kinyitja a rendszert bárkinek, aki hozzáfér a dossziéhoz.

7. Rangsorolás

8. Egyoldalas összefoglaló a megrendelő nyelvén (mintaszöveg)

Mit néztünk meg? Végigjártuk a rendszert hat szempont szerint: hogyan lehet hozzáférni fizikailag; jelez-e, ha valaki felnyit egy eszközt; működik-e a jelzés kivitele a felügyeletre és a tartalék tápellátás; ki tud belépni a rendszerbe és milyen joggal; hogyan van elhelyezve a hálózaton; és rendben van-e a dokumentáció.

Mit találtunk? A rendszer működik, és a legfontosabb funkciók a helyükön vannak. Három olyan hiányosságot találtunk, amely azonnali javítást kíván: az egyik bővítőegység felnyitása nem ad jelzést; a telepítői kód rá van írva a rajzokra; és két kamerán a gyári, mindenki által ismert jelszó maradt. Ezen kívül hét kisebb hiányosságot rögzítettünk, amelyek beállítással vagy rövid munkával orvosolhatók.

Mit javaslunk? Először a három azonnali tételt javítjuk, ez néhány óra. Utána a beállítási és jogosultsági rendrakás következik. Végül két olyan fejlesztést javaslunk, ami pénzbe kerül, de sokat ad: az internetes útvonalat kiszolgáló eszköz szünetmentes tápellátását — enélkül ugyanis áramszünetben a két jelzési útból egy marad —, és a kamerarendszer elkülönítését az irodai hálózattól.

Mi az a kockázat, ami a javítások után is megmarad? A rendszer jelez és bizonyít, de nem akadályoz meg: a behatolást késleltetni a mechanikai védelem tudja, megakadályozni pedig semmi. Marad továbbá két olyan pont, amit technikával nem lehet lezárni: aki ismeri a kódot, az be tud jönni, és aki hozzáfér a dokumentációhoz, az tudja, hol nincs érzékelő. Ezért a legfontosabb, amit Önöknek kell tenniük, nem műszaki: a kódok rendszeres cseréje, a kilépő munkatársak jogosultságának azonnali visszavonása, és a dokumentáció zárt helyen tartása.

Ez az utolsó bekezdés a szakmai tisztesség próbája. Aki azt írja, hogy „a javítások után a rendszer biztonságos", az nem mondott igazat.

Értékelés

Az értékelési szempontok a feladatból következnek: végigvitted-e mind a hat blokkot; megkérdezted-e az engedélyt és értesítetted-e a felügyeleti helyet a teszt előtt és után; a jegyzeted alapján egy másik szerelő meg tudná-e ismételni a próbát; és a rangsorolásod indokolt-e. Ezen felül: a B blokk minden pontjánál szerepel-e a három lehetséges eredmény valamelyike (jelzett / nem jelzett / nincs ilyen funkció), és a záró összefoglalóban ott van-e a maradék kockázat. Elfogadható más rangsorolás, ha az „azonnal javítandó" csoportba az alapfunkciót érintő tételek kerülnek. Rossz a megoldás, ha idegen rendszeren készült, ha a felügyeleti hely értesítése elmaradt, vagy ha a záró bekezdés azt állítja, hogy a javítások után nincs kockázat.

Gyakori hiba

• Elmarad az előzetes értesítés. Hiba, mert a bejelentetlen szabotázs- és riasztáspróbánál kivonuló szolgálat indul, esetleg rendőri intézkedés történik — és a költséget valakinek állnia kell.
• A szabotázspróbát csak élesített állapotban végzi. Hiba, mert a szabotázsvédelemnek hatástalanított állapotban is működnie kell; éppen ez a lényege.
• A „nincs ilyen funkció" eredményt nem jegyzi fel. Hiba, mert az is eredmény: a megrendelőnek tudnia kell, mire nem képes a rendszere.
• Mindent egy kupacba rangsorol. Hiba, mert a rangsorolás lényege éppen az, hogy elválik, mi az, ami az alapfunkciót érinti, és mi az, ami pénzbe kerülő fejlesztés.
• A záró összefoglalóból kimarad a maradék kockázat. Hiba, mert a technikával nem lezárható emberi és mechanikai kockázatról az ügyfélnek tudnia kell — ez az egyetlen mondat, amit a bizottság és az ügyfél is számon kér.

29.2 gyakorlat — „Hol bukna el?" — támadási felület-elemzés terven

Mit gyakorol: a saját terved átnézését támadói szemmel — és annak kimondását, mi a leggyengébb pont, még akkor is, ha a megerősítése nem éri meg.

Megoldás

Ez mintamegoldás egy közepes méretű, vegyes rendszertervre (behatolásjelző, kamerarendszer, egy beléptetett ajtó, távfelügyelet). A te terved más elemeket tartalmaz; a négy kérdés és a válaszok szerkezete ugyanez. Minden kérdésre legalább három konkrét, a terv elemeire hivatkozó válasz kell, és mindegyik mellé a telepítői ellenlépés.

1. Fizikai támadási felület

2. Rádiós támadási felület

3. Informatikai támadási felület

4. Emberi támadási felület

Zárás: a terv leggyengébb pontja

„Ennek a tervnek a leggyengébb pontja nem műszaki: az, hogy a kódot négy helyett a gyakorlatban hét-nyolc ember ismeri, és hogy a dokumentáció az építkezés alatt több kézen megy át. A megerősítése nem kerül pénzbe: névre szóló kódok, éves jogosultság-felülvizsgálat, a dokumentáció zárt tárolása. Ezt tehát meg kell csinálni.

A második leggyengébb pont a kültéri kamerához futó, szabadon vezetett kábelszakasz. Ennek megerősítése fém védőcsővel néhány óra munka, tehát arányban áll a védett értékkel — ezt is javaslom.

A harmadik: a rádiós melléképületi érzékelők zavarással kiiktathatók. A vezetékes kiváltásuk viszont a kerten át vezetett új nyomvonalat kívánna, ami ebben az esetben többe kerülne, mint a melléképületben tárolt kerti szerszámok értéke. Ezért itt azt javaslom, hogy a zavarásjelzést kapcsoljuk be és vezessük ki a távfelügyeletre, a vezetékes átépítést viszont ne csináljuk meg — a maradék kockázatot a megrendelő tudatosan vállalja, és ezt írásban rögzítjük."

Ez a harmadik bekezdés ugyanolyan szakmai válasz, mint a másik kettő: ha a megerősítés drágább, mint a védett érték, azt is ki kell mondani — és a maradék kockázat tudatos vállalását dokumentálni kell.

Értékelés

Akkor jó a megoldás, ha mind a négy kérdésre legalább három válasz született, ha minden válasz a terv konkrét elemére hivatkozik (nem általánosságban beszél), ha mindegyik mellett ott a telepítői ellenlépés, ha a zárásban megnevezi a leggyengébb pontot és megbecsüli a megerősítés arányát a védett értékhez, és ha kimondja, hol vállalják tudatosan a maradék kockázatot. Elfogadható, ha valaki más pontot nevez meg leggyengébbnek, feltéve hogy indokolja. Rossz a megoldás, ha az emberi felületet kihagyja, vagy ha minden kockázatra új eszköz beépítését javasolja.

Gyakori hiba

• Az emberi felületet kihagyja. Hiba, mert a kódot ismerő kör és a dokumentáció kezelése jellemzően a leggyengébb pont — és a legolcsóbban javítható.
• Általánosságban válaszol. Hiba, mert a feladat a terv elemeire hivatkozó válaszokat kér: „a kamerák sérülékenyek" nem elemzés, „a nyugati homlokzaton 3 méteren szabadon futó kábel elvágható" az.
• Két SIM-et redundanciának vesz. Hiba, mert azonos szolgáltatónál egyetlen cellakiesés mindkét kártyát elnémítja.
• Minden kockázatra új eszközt javasol. Hiba, mert a leghatékonyabb ellenlépések jelentős része beállítás vagy szervezés — és ha a megerősítés drágább a védett értéknél, azt is ki kell mondani.

Tudáspróba — megoldókulcs

1. feladat — feleletválasztós Megoldás: b) Indoklás: A szabvány a fokozatot a feltételezett behatoló képessége szerint határozza meg, nem az eszköz „minőségével" (lásd 29.1 és a 9. fejezet). Ebből következik, hogy Grade 3-tól többet kér az érzékelőtől is: ott már a lencse letakarása is szabotázsjelzést kell adjon, és az érzékelő elfordítási kísérletét meg kell akadályozni vagy jelezni — vagyis a szabvány maga is elismeri, hogy ezek a támadási módok léteznek. A c) azért téves, mert a fokozat a rendszer minden elemére vonatkozik; a d) az EN 50136 szerinti átvitelosztályt keveri ide (17. fejezet).

Az a) válasz mögött egy fontos tévhit van. A fokozat- és a CE-jelölés arról szól, hogy a termék megfelel bizonyos követelményeknek — nem arról, hogy a te telepítésed biztonságos. Egy független biztonságkutatói jelentés ezt így fogalmazta meg: „a szabványnak való megfelelés önmagában nem elegendő; a gyártók gyakran csak az alapkövetelményeket teljesítik, nem a kriptográfiai jó gyakorlatot" (lásd 29.1). Ugyanaz a Grade 2-es érzékelő lehet kiváló és teljesen haszontalan — attól függ, milyen magasra tetted, mit lát, hogyan kötötted be, és mit állítottál be rajta.

2. feladat — felelet-kiegészítős Megoldás: a központi részegységeket, bővítőmodulokat és tápegységeket szabotázskapcsolóval (tamperkapcsolóval) ellátott fém dobozba javasolt elhelyezni, mert a műanyag dobozok nem biztosítanak kellő szintű védelmet. A jelvonalakat tampervédett módon, vonalvéglezáró (EOL) ellenállások alkalmazásával kell telepíteni, amelyek helye az utolsó érzékelő sorkapcsa. Indoklás: A 29.2 idézete a szakirodalomból („szabotázskapcsolóval ellátott fémdobozba — a műanyag dobozok nem biztosítanak kellő szintű védelmet"), a lezárás helyéről szóló mondattal együtt. A műanyag doboz kérdése azért fontos, mert olcsó és könnyű, de könnyen felfeszíthető és átfúrható, a szabotázskapcsoló pedig stabilabban működik fémdobozban. A lezáró ellenállás helye pedig ugyanaz a klasszikus szerelési hiba, amelyet a 23.10 és a 27.4.1 is tárgyal: ha a központ sorkapcsán van, a kábelszakadás észrevétlen marad.

3. feladat — párosítási

Indoklás: A 29.2. ábra öt támadás–ellenlépés párja, illetve a 29.3. A C)-nél a lényeg, hogy a polarizált mágneses, több, elforgatott jelfogós kivitelt egy kívülről odatett közönséges mágnes nem tudja megtéveszteni. A D)-nél a rádiós zavarás elleni védelemnek két rétege van: a zavarásjelzés bekapcsolása (és annak vezetése — hova megy, ki látja), valamint az, hogy a jelzés másik fizikai közegen is ki tudjon menni; a rádiót rádióval nem lehet megvédeni.

4. feladat — igaz-hamis Megoldás: - a) Hamis. A jelölés a termék megfelelőségéről szól, nem a telepítés biztonságáról (lásd 29.1 tippje). Helyesen: a rendszer valódi szintjét a leggyengébb támadási felület határozza meg — hiába Grade 3 minden érzékelőd, ha a rögzítőn ott maradt a gyári jelszó. - b) Igaz. A szabotázsvédelemnek élesített és hatástalanított állapotban is működnie kell (29.2 és a 29.8 B8 pontja) — különben a betöröni készülő nyugodtan szétszerelheti a rendszert napközben, amikor a rendszer hatástalanított. - c) Hamis. Két út csak akkor redundáns, ha más fizikai közegen, más szolgáltatónál megy, és mindkettőt külön felügyelik (lásd 29.8 C5 pontja, részletesen 17.3). Helyesen: két SIM ugyanattól a szolgáltatótól nem két út, hanem egy út két kártyával; a soha nem tesztelt tartalék pedig nem tartalék. - d) Hamis. A gyári jelszót minden eszközön és alkalmazáson le kell cserélni: központ, rögzítő, minden kamera, switch, beléptető vezérlő, menedzsmentszoftver (lásd 29.8 A1). És egy további szabály ugyanonnan (A5): ugyanaz a jelszó ne ismétlődjön másik eszközön. - e) Hamis. Az átadáskori biztonsági ellenőrzőlista a szakirodalom tesztlistáiból összeállított szakmai jó gyakorlat, nem jogszabályi kötelezettség (lásd 29.8 bevezetője). Helyesen: ettől még el kell végezni — a lista az átadás-átvételi eljárás (24. fejezet) biztonsági melléklete.

5. feladat — csoportosítási

Indoklás: A négy támadási felület a 29.1-ben van felsorolva, és a 29.1. ábra rendeli hozzá a jellemző módokat. A besorolás elve: melyik felület ellen irányul a támadás — az eszköz (fizikai), a levegőben terjedő jel (rádiós), a hálózat (informatikai), vagy az ember és a papír (emberi). Az antenna megrongálását a fejezet a rádiós támadási módok táblázatában sorolja fel (a hatása az átjelzés megszűnése, az ellenszere az antennaállapot-felügyelet, 29.3), ezért elsődlegesen rádiós támadás; aki fizikaiként sorolja be — mert kézzel férnek hozzá az eszközhöz —, és ezt megindokolja, annak a válasza is elfogadható. A jel felvétele és visszajátszása (replay) a rádiós felület klasszikus támadása — a hatása jogosulatlan hatástalanítás, az ellenszere a korszerű, változó kódos eszköz (29.3).

6. feladat — sorba rendezési Megoldás: 1. a felügyeleti hely és a helyszíni felhasználók előzetes értesítése a teszt időpontjáról és időtartamáról 2. az első átjelzési út külön kipróbálása 3. a második átjelzési út külön kipróbálása 4. az életjel (tesztjelzés) beérkezésének visszaigazoltatása 5. a teszt befejezésének bejelentése a felügyeleti helynek 6. az eredmény rögzítése a jegyzőkönyvben

Indoklás: A 29.8 C) blokkjának sorrendje: C1 az előzetes értesítés, C5 a két út külön-külön kipróbálása, C6 az életjel visszaigazoltatása, C13 a teszt befejezésének bejelentése. Az első és az utolsó előtti lépés a legfontosabb, és a szakirodalom külön kiemeli: a jelzésátviteli út tesztelésénél „a felügyeleti helyet és a helyszíni felhasználókat minden esetben előzetesen értesíteni szükséges a tesztelés időpontjáról és időtartamáról". A bejelentetlen próba nem erőpróba, hanem üzemzavar: kivonuló szolgálat indul, és a költséget valakinek állnia kell.

7. feladat — párosítási (ellenőrzőlista-blokkok) Megoldás: - a) A rögzítő ugyanabban a hálózati szegmensben van, mint az irodai gépek → (D) hálózat - b) A központdoboz nyitása nem ad jelzést hatástalanított állapotban → (B) szabotázsvédelem - c) A kódtasztatúra az utcáról belátható az ablakon át → (E) fizikai elhelyezés - d) A telepítői kód rá van írva a bekötési rajzra → (F) dokumentáció és napló - e) A hálózatkiesés jelzését soha nem próbálták ki → (C) átjelzés és tápellátás - f) Három kolléga ugyanazzal a felhasználónévvel lép be → (A) hozzáférés és jelszó

Indoklás: A 29.8 hat blokkja (29.6. ábra). Az a) a hálózati szeparáció kérdése — a kamerahálózat elkülönítése azért is a te átadási próbád pontja, mert a hivatkozott kutatás dokumentálta, hogy egy gyenge rögzítőn keresztül hálózati továbbugrás történhet (29.7, 20.8). A b) a B8 pont. A c) a fizikai elhelyezés blokkjában szerepel („az eszközök elhelyezése ne tegye lehetővé az illetéktelen betekintést a kódtasztatúrákba"). A d) kettős hiba: a kód nem kerül a műszaki dokumentációba (25.4, 28.6), ezért a dokumentációs blokkba tartozik. Az e) a C8 pont. Az f) az A3 pont — közös fiók mellett a napló semmit nem bizonyít.

A d) besorolásához a feladat maga adja meg a szabályt: azt a blokkot kell megadni, amelynek ellenőrzőlista-tétele (29.8) közvetlenül sérül. Itt az F-blokk F8 tétele sérül — „kódok, jelszavak külön, nem a műszaki dokumentációban" —, ezért a helyes válasz az (F); a telepítői kód kezelése emellett hozzáférési (A) kérdés is, de annak tétele csak közvetve érintett.

8. feladat — esettanulmány (mintaválasz) Megoldás:

(a) A három azonnali javítás. Azt javítom először, ami azonnal, ingyen vagy majdnem ingyen megszünteti a legnagyobb kockázatot, és nem igényel új eszközt. 1. A gyári/beszállítói jelszó lecserélése a rögzítőn és mind a négy kamerán, eszközönként eltérő, összetett jelszóra. Ez a leggyorsabban kihasználható és a legolcsóbban javítható hiba; ha a rendszer bármilyen módon elérhető kívülről, itt nem az a kérdés, hogy megtalálják-e, hanem hogy mikor. 2. A közös négyjegyű kód megszüntetése: a boltvezető és a két eladó kapjon nevesített, egyedi kódot, szerepkörhöz szabott jogosultsággal. Közös kód mellett a napló semmit nem bizonyít — és egy ékszerüzletnél a napló a legfontosabb utólagos bizonyíték. 3. A nyomvonalrajzot és a kódlistát tartalmazó PDF kezelésének rendezése: a kódokat kiveszem a dokumentumból, a rajzot titkosítva, jelszóval védve adom át, a jelszót külön csatornán — és megkérem az ügyfelet, hogy az eddig szétküldött példányt törölje. A dokumentáció maga is biztonsági kockázat: abból derül ki, hol nincs érzékelő és hol fut a kábel.

(b) A négy átadás előtti tétel. 4. A központ áthelyezése szabotázskapcsolós fémdobozba, a hátsó bejárattól elhúzva, védett térbe — érzékelőkkel figyelt helyre, a feltételezett támadási iránnyal ellentétes oldalra. A műanyag doboz a szakirodalom szerint nem ad kellő védelmet, a hátsó bejárat melletti elhelyezés pedig azt jelenti, hogy a behatoló előbb éri el a központot, mint amennyi a belépési késleltetés. 5. A második átjelzési út kiépítése, más fizikai közegen és más szolgáltatónál (mobil mellé IP, vagy fordítva), mindkettő külön életjellel és külön hibajelzéssel. Egyetlen mobilút egyetlen hibapont, és a felkészült behatoló első lépése épp az átjelzés megbénítása. 6. A szabotázsvédelem tételes bekötése és próbája: minden érzékelő-, bővítő-, táp- és központdoboz nyitása adjon jelzést, vonali szakadás és rövidzár is legyen tesztelve, élesített és hatástalanított állapotban egyaránt; a visszajelző LED-ek üzemi módban legyenek letiltva. 7. A mozgásérzékelők 1,8 méteres, pult mögötti elhelyezésének felülvizsgálata: ez a magasság szabadkézzel elérhető, tehát letakarható, elforgatható, leszerelhető. Ahol nem helyezhető magasabbra, ott kitakarás elleni védelemmel rendelkező eszköz kell, bekapcsolva és kitakarással tesztelve.

(c) Fejlesztési javaslat, fontosság és költség együtt. - Kis költség, nagy hozam: duress (kényszerítési) kód beállítása és a személyzettel való begyakorlása; a próbálkozás-korlátozás (lockout) bekapcsolása; a kamerák elforgatás-, letakarás- és fókuszvesztés-érzékelésének bekapcsolása és kipróbálása; a rögzítő elkülönítése az irodai hálózattól. - Közepes költség: a második átjelzési út havidíja; a központ áthelyezése és fémdobozba költöztetése; kitakarásvédett érzékelők cseréje a pult mögött. - Nagyobb költség, de a védendő értékhez mérve indokolt lehet: magasabb fokozatú érzékelők és központ, a pult környékén azonosításra méretezett kamerakép (DORI-számítással), valamint a távfelügyeleti szerződés kivonuló szolgálattal — mert az ékszerüzletnél a jelzés csak akkor ér valamit, ha valaki ki is megy rá.

(d) A maradék kockázatról egy mondat a tulajdonosnak.

„Ezekkel a javításokkal a rendszer a reálisan várható betöréstípusok nagy részét jelezni fogja — de teljes, százszázalékos védelem nincs: egy felkészült, célzottan erre az üzletre készülő elkövető ellen a rendszer feladata nem az, hogy megakadályozza a behatolást, hanem hogy elég korán jelezzen ahhoz, hogy a mechanikai védelem kitartson a kivonulás megérkezéséig — ezért ugyanolyan fontos a zárak, a rácsok és a széf állapota, mint a riasztóé."

Indoklás: A gyári jelszó és a közös fiók a 29.8 A1 és A3 pontja; a dokumentáció mint kockázat a 29.6-ban és a 25.4-ben; a fémdoboz és a központ elhelyezése a 29.2 és a 29.7 1. rétege; a két átjelzési út a 29.8 C5 és a 17.3; a szabotázspróbák a 29.8 B blokkja; az elérhetőségi magasság és a kitakarásvédelem a 29.2-ben (és a 19.9 szabotázsvédelmi elve: „segédeszköz nélkül, szabadkézzel ne legyen elérhető"). A záró mondat a 29.1 két alapgondolatából épül: a maradék kockázat elve és a komplexitás (időarányosság) elve — az elektronikai védelemnek olyan előrejelzést kell adnia, hogy a mechanikai védelem kitartson az élőerős védelem kiérkezéséig.