Informa ní bezpe nost I Management bezpe nosti informa ních systém - ISMS
[email protected]
Obsah Úvod – bezpe nost IS Analýza rizik P ípadová studie
Bezpe nost Informa ních systém Ochrana informa ních aktiv v organizaci – D v rnost – Integrita – Dostupnost Bezpe nost jako integrální sou ást innosti organizace Bezpe nost jako stále probíhající proces Princip PDCA
Ochrana informací Informace musí být chrán ny tak: • aby k nim nem ly p ístup neoprávn né osoby • aby se zpracovávaly nezfalšované informace • aby se dalo zjistit kdo je vytvo il, zm nil, smazal • aby nebyly nekontrolovatelným zp sobem vyzrazeny • aby byly dostupné tehdy, kdy jsou pot ebné
Hrozby a zranitelnosti Zranitelná místa = slabiny
• • • • • • • • • • •
fyzické p írodní v hardwaru nebo softwaru fyzikální v lidském faktoru -------------v návrhu ve specifikaci požadavk v ešení (projektu) v konstrukci v provozu
Hrozby a zranitelnosti Hrozba je možnost využít zranitelné místo k útoku na IS Objektivní:
• P írodní • Fyzikální • Technické nebo logické
Subjektivní – plynoucí z lidského faktoru • Neúmyslné • Úmyslné
• Úto ník slabé síly • Úto ník st ední síly • Úto ník velké síly
Útok = bezpe nostní incident úmyslný x neúmyslný (náhodný) s malou škodou x s velkou škodou -----------------------------------------------na hardware na software na data na osoby ----------------------P erušením Odposlechem Zm nou P idáním hodnoty
Aktiva a jejich hodnota Vše co má pro organizaci n jakou hodnotu Ale jakou?? Jak ur it hodnotu aktiva?? • Vyjád ení hodnoty v pen zích • V pom rné soustav • Po adím
Aktiva • • • •
Služba koncovému uživateli Datová aktiva Softwarová aktiva Hardwarová aktiva • • • • • •
Servery Sí ové prvky WAN Pam ová za ízení Periférie PC, NTB,PDA
• Média • Osoby • Lokality
Dopad Pro ur ení dopadu (závažnosti incidentu) se používá analytická metoda. Tato vyjad uje závažnost poškození z hlediska: • • • • • •
finan ního komer ního organiza ního bezpe nostního právního regulatorního
Škála finan ního dopadu Kód
A B C D E
Obchodní dopad Hrozba nep ežití Vážná škoda D ležitá škoda Malý dopad Zanedbatelný dopad
Finan ní dopad
BIA
více než 60 % ro ního provozního zisku 10 až 60 % ro ního provozního zisku 1 až 10 % ro ního provozního zisku 0,01 až 1 % ro ního provozního zisku mén než 0,01 % ro ního provozního zisku
9,10 7,8 5,6 3,4 1,2
Inf orm at i on lea ka ge int o the
4w ee ks
org an iza tio n
Un ac ce ss ab ilit y
Un ac ce ss ab ilit y 1h ou r
BIA
9
6
3 IS8
I S5
0 IS3
IS1
Kategorie dostupnosti AB - Business kritické aplikace – vyžadují
ešení dostupnosti, musí existovat záložní prost edí b žící paraleln nebo p ipravené k okamžitému spušt ní v p ípad výpadku primární instance, data musí být replikována a okamžit dostupná záložní instancí. Akceptovatelný výpadek je v ádu minut.
C - Kritické systémy – vyžadují
ešení dostupnosti, musí existovat záložní prost edí, které ovšem m že být za normálního b hu využíváno k jiným ú el m (nap . k ú elu testování a školení). Dostupnost bude obnovena zprovozn ním záložní aplikace a p ípadn obnovou dat ze zálohy. Akceptovatelný výpadek je v ádu jednotek hodin.
D - Standardní systémy – nevyžadují
ešení dostupnosti, jejich funk nost bude obnovena re-instalací, obnovou konfigura ních dat a aplika ních dat ze zálohy. Akceptovatelný výpadek je v ádu desítek hodin.
E - Nekritické systémy – nevyžadují
ešení dostupnosti, jejich funk nost bude obnovena re-instalací a obnovou konfigura ních dat. Akceptovatelný výpadek je v ádu dn .
Riziko Pravd podobnost využití slabiny systému (zranitelnosti) s p ihlédnutím k dopadu do spole nosti. RPN =
(Ah + Ai) , Zu , Fp , Ru / Cp
kde: RPN je relativní míra rizika Ah je hodnota aktiva Ai je dopad zp sobený hrozbou Zu je úrove hrozby (možný škodlivý dopad) Fp je etnost (frekvence) výskytu hrozby Ru je úrove zranitelnosti (do jaké míry m že hrozba poškodit aktivum) Cp je ú innost protiopat ení (do jaké míry protiopat ení snižuje zranitelnost aktiva)
Analýza rizik Nástroj pro poznání spole nosti Metodika hodnocení aktiv Expertní systém pro návrh bezpe nostních protiopat ení Papírový ert !!!
Typy Analýzy rizik • Orienta ní • Elementární • Neformální • Detailní • Kombinovaná
Analýza rizik Definice stupnic a kritérií pro hodnocení – Analýza rizik v relativních hodnotách – … ve finan ním vyjád ení
Zjišt ní hodnoty aktiva – BIA Sestavení modelu aktiv – Aktiva hmotná a nehmotná
Identifikace a hodnocení hrozeb Hodnocení míry zranitelností Modelování míry rizika
Návrh adekvátních protiopat ení
Výstupy Analýzy rizik Znalost dopad na fungování organizace Sestavený funk ní model aktiv Znalost rizik Identifikace hrozeb p sobících na jednotlivá aktiva Návrh protiopat ení eliminujících jednotivé hrozby – snižujících rizika
Protiopat ení Technická Programová Komunika ní Procedurální Fyzická Personální
Vztah úrovn bezpe nosti a náklad
ízení bezpe nosti IS - ISMS ISMS – Information Security Management System Spln ní požadavk národní a EU legislativy Zmapování aktiv a proces Optimalizace náklad na bezpe nost Sjednocení ízení a úrovn bezpe nosti Vyškolení vlastních zam stnanc Zvýšení d v ryhodnosti organizace Rychlejší zotavení z mimo ádné situace Výhoda p i jednání se zahrani ními partnery
Nástroje prosazování bezpe nosti Pravidla
Vynucování
Sm rnice, politiky
Technické prost edky
Prost edky IS Osv ta Školení
Kontrola Sankce
Struktura ISMS Bezpe nostní strategie Politika informa ní bezpe nosti – Organiza ní aspekty informa ní bezpe nosti
Management rizik – Analýza rizik – Doporu ení pro zvýšení IB
Bezpe nostní politika IT/IS Implementace – Plán zvyšování informa ní bezpe nosti – Pov domí o bezpe nosti
Aktivity sledování Audit
Typy bezpe nostních politik • Promiskuitní – povoluje d lat vše • Liberální – povoluje d lat vše, až na v ci explicitn zakázané
• Opatrná – zakazuje d lat vše, co není explicitn povoleno
• Paranoidní – zakazuje d lat vše potenciáln nebezpe né
Pro
ešit bezpe nost v IT?
Pro eliminaci vysokého rizika zp sobeného: Vysokou hrozbou nebo Vysokým dopadem do organizace
D kuji za pozornost
