Infosecurity management in the Enterprise

Информационная безопасность крупной

корпорации

С чего начать и чем закончить?

Сергей Солдатов

Преамбула

• В презентации НЕ БУДЕТ:• Конкретных решений конкретных вендоров

• Названий конкретных компаний

• Привязки к отрасли

• Но БУДЕТ:• Альтернативный взгляд на привычные вещи

• Многие моменты проверены на практике

• Возможны гиперболы

Краткий план

• Эволюция подходов к обеспечению ИБ в Компании: с чего обычно начинают, к чему со временем приходят

• Типовые заблуждения

• Как можно делать ИБ, если понимания в ее необходимости нет

• Как развить понимание необходимости ИБ

Эволюция ИБ в Компаниии типовые заблуждения

Эволюция ИБ в Компании (по видению)

«Что бы поделать?»

• Участие везде

• Нет стратегии

• Не определена ответственность

«Против ИТ»

• Выполнение технических сервисов ИТ

• «Конфликт интересов» с ИТ

• Низкое качество сервисов ИТ для потребителей

• Уклон в сопровождение инфраструктуры

• Нет мониторинга

• Нет аудита

«Сервис ИТ»


• Па факту –подразделение ИТ

• Уклон в сопровождение систем ИБ

• Мониторинг инфраструктуры

• Аудит инфраструктуры (?)

«Сервис бизнеса»

• Все технические сервисы переданы в ИТ

• Технический сервис ЭБ

• Уклон в мониторинг бизнес-транзакций

• Аудит соответствия

Эволюция ИБ в Компании (по видению)

«Что бы поделать?»

• Участие везде

• Нет стратегии

• Не определена ответственность

«Против ИТ»


• «Конфликт интересов» с ИТ

• Низкое качество сервисов ИТ для потребителей

• Уклон в сопровождение инфраструктуры

• Нет мониторинга

• Нет аудита

«Сервис ИТ»


• Па факту –подразделение ИТ

• Уклон в сопровождение систем ИБ

• Мониторинг инфраструктуры

• Аудит инфраструктуры (?)

«Сервис бизнеса»

• Все технические сервисы переданы в ИТ

• Технический сервис ЭБ

• Уклон в мониторинг бизнес-транзакций

• Аудит соответствия

Эволюция ИБ в Компании (по модели OSI?)

• Различные вариантыЧто бы поделать?

• Сетевое оборудование (маршрутизаторы, МЭ, АСО*, VPN)

• Почтовые шлюзы, HTTP(S)/FTP-прокси

• Выделенные системы ИБ (IDS/IPS, сканеры, пр.)Инфраструктура

• Мониторинг работы бизнес-пользователей

• Контроль Проектов и Изменений

Бизнес-приложения

• Анализ бизнес-процессов, прогнозирование сценариев атак\мошенничества, проектирование контролей ИБ

• Расследование инцидентов ИБ => корректировка контролей

• Аудит и оценка эффективности контролей ИБ

Бизнес-процессы

* Активное сетевое оборудование

Эволюция ИБ в Компании (глазами пользователей)

А они есть?

Полностью незаметно

Полное непонимание

Исключительно негатив

Полный или частичный

запрет всего

Вредительство

Как к ИТ

Неотличимо от ИТ

Равноправная БФ

Экспертиза в предметной

области

Помощь

« К а р а т е л ь н а я » ф у н к ц и я

«По видению» -- «По модели OSI» --«По отношению пользователей»

? Против ИТ Сервис ИТ Сервис бизнеса

Инфраструктура Бизнес-приложения? Бизнес-процессы

? Негатив Как к ИТ Равноправная БФ

Шкала времени

Этап становления («?»)

• Compliance – все

• Активный поиск врагов…

• Подмена «соответствует» на «безопасно»

• … и они находятся рядом

• Парадоксальные выводы

Индикаторы Проблемы Последствия

«Против ИТ». Индикаторы, Проблемы и последствия.

• СИБ сама обслуживает системы ИБ.

• «Навесные решения»

• Нет общего SLA с ИТ перед бизнесом

• Рассогласование работы оборудования ИТ и ИБ

• Неоптимальные решения

• Высокие накладные расходы на коммуникации

• Низкий уровень доступности сервисов ИТ

• Высокая трудоемкость обеспечения качества сервиса


Основные заблужденияКорпоративный стандарт неприкосновенен

Это такой же контроль, как и любой другой.

Compliance – основа построения СУИБ

Compliance – побочный продукт

Основная угроза - ИТНелояльность админа не компенсируется исключительно техническими контролями.

«Доверенно» == «Самостоятельно»

Нехватка ресурсов => снижение уровня сервиса => снижениеуровня ИБ

Потребность в сервисе – личное желание (не желание) пользователя

Пользователь решает свои бизнес задачи(без понимания бизнес-процессов утверждать обратное –безосновательно, в т.ч. и права «в прок»)

Основной уклон в запрещениеИмея минимальный доступ к информации (чтение) всегдаможно ее унести

Цель управления Инцидентами – найти нарушителя

Цель – выработать и реализовать меры по не повторению

Сервис вместо отсутствия

Защита данных

в ИС

Защита данных на АРМ

Контроль АРМ*

Информационныепотоки с и на

Мотивированный нарушитель:Запрет не остановит мотивированного нарушителя, однако отсутствие запрета позволит эффективно его выявить и собрать доказательную базу

«Нарушитель»

Непросвещенный пользователь:Эффективнее использовать другие мероприятия (обучение, оценка знаний, пентесты социнженерии)

ИБ только тогда эффективна, когда интегрирована на всех уровнях бизнес-процесса => каждый его участник несет свой вклад в обеспечение ИБ => эффективность ИБ достигается только при участии каждого, когда каждый играет правильную роль правильно.

* АРМ == Endpoint

«Против ИТ». Индикаторы, Проблемы и последствия.



• Нет общего SLA с ИТ перед бизнесом

• Рассогласование работы оборудования ИТ и ИБ


• Высокие накладные расходы на коммуникации

• Низкий уровень доступности сервисов ИТ

• Высокая трудоемкость обеспечения качества сервиса


«Сервис ИТ». Индикаторы, Проблемы и последствия.



• Есть общий SLA с ИТ

• Согласованная работа систем ИТ и ИБ


• Оптимизированы коммуникации

• Нормальный уровень сервиса

• Нормальная трудоемкость


«Сервис ИТ». Индикаторы, Проблемы и последствия.



• Есть общий SLA с ИТ

• Согласованная работа систем ИТ и ИБ


• Оптимизированы коммуникации

• Нормальный уровень сервиса

• Нормальная трудоемкость


Переходный период «инфраструктурной» к «бизнес-процессной» ИБ

IDPS VM FW

Сетевая ИБ

MС

ACA

CM

CM


Переходный период «инфраструктурной» к «бизнес-процессной» ИБ

IDPS VM FW

Сетевая ИБ

MС

ACA

CM

CM


Пр

оек

ты

Изм

енен

ия

Целевое состояние и пути к нему

Целевое состояние ИБ («процессная ИБ»)

Бизнес-процесс 1


Бизнес-процесс i

Бизнес-процессы ИТ

Бизнес-процессы безопасности



Бизнес-процесс i

Бизнес-процессы ИТ

Безопасность




Си

стем

а у

пр

авл

ени

я

Обеспечение инфраструктурной ИБ

Распределение обязанностей внутри ИТ

IDPS

VM

FW

С ACА

уди

т

Изм

енен

ия

Пр

оек

ты

Mо

ни

тор

ин

г

VM

Operations ИТ Operations ИБ


Инфраструктура

Проекты. Что это такое?Проект Изменение

Формально стартованНе имеет формального старта, но дату поступления запроса

Выполняется выделенной проектной командой

Выполняется ресурсами существующих операционных подразделений

Всегда финансируется отдельноВыполняется в рамках существующих сервисных договоров

Операционные подразделения –члены проектной команды, могут выполнять любые работы

Операционные подразделения выполняют работы, заявленные в их SLA в соответствии с требованиями эксплуатационной документации (Инструкции администраторов и т.п.)

Сроки регулируются планом проекта

Сроки регулируются SLA

Предпосылки ИБ в проектах

Интегрированная безопасность эффективнее «навесной»

Вопросы безопасности

адресовать непосредственно в

проекте

Эксперт по ИБ – в составе проектной

команды

Дополнительно:

• Требования безопасности не всегда очевидны

• Зачастую следует выбирать компромиссное решение, основанное на анализе рисков

• Требуется хорошая экспертиза в предметной области

ИБ в проектах

Что есть в наличии:• NIST SP800-64R2: Security Considerations in the System Development

Life Cycle

Бизнес-потребность

ИТ

Бизнес

ИБАнализ рисков*

Разработка ИТ-решения Информационная

система

Реализовано в системе Требуетсядополнительно

Необходимые контроли безопасности

Дорабтки

Аудит

ИБ

* Автоматизируемого БП

Аудит в проектах, и не только

Аудит соответствия Тест на проникновение

Проверяет соответствие требованиям\критериям

Проверка возможности осуществления атаки

Легко автоматизируется Не очень

Не требователен к квалификации

Требует практический опыт

Приводит к изменению в системе

Приводит к изменению требований\критериев

Заключение об участии в проектах

• Очевидный способ выхода на уровень бизнес-процессов

• Очевидный способ строить интегрированную безопасность

• Очевидный способ участвовать в построении целевой архитектуры ИТ

• Очевидный способ «идти в ногу» с ИТ

Что делать пришедшему в поле?

Типовой план

• Определение ключевых бизнес-процессов

• Изучение бизнес-процессов

• Определение рисков

• Определение мероприятий по снижению рисков (1)

• Выявление существующих контрольных процедур (2)

• Gap-анализ (1) и (2)

• План построения нового, доработки существующего

Что делать?

• Аудит:• Интервью

• Изучение ОРД и пр. *РД

• Технологический аудит

• Справочники контролей:• NIST SP800-53

• ISO 2700*

• CobIT

• ….

• Взять у кого это уже есть

Чем делать?

Типовой план

• Определение ключевых бизнес-процессов

• Изучение бизнес-процессов

• Определение рисков

• Определение мероприятий по снижению рисков (1)

• Выявление существующих контрольных процедур (2)

• Gap-анализ (1) и (2)

• План построения нового, доработки существующего

Что делать?

• Аудит:• Интервью

• Изучение ОРД и пр. *РД

• Технологический аудит

• Справочники контролей:• NIST SP800-53

• ISO 2700*

• CobIT

• ….

• Взять у кого это уже есть

Чем делать?

неТиповой план

Мониторинг Инфраструктура Периметр Зоны Внутри*.info

Управление инцидентами

1 Первый контроль ИБ

РасследованияПланирование

2

3

4

Новые контроли ИБ

Интеграция в процессы

ij

k

Мониторинг бизнес-приложений

Мониторинг транзакций

Аудит

СУИБ == совокупность контролей из operations

http://reply-to-all.blogspot.ru/2013/01/blog-post.html

Основные заблужденияПридумывание СУИБ можно поручить Интегратору (*)

Если вам известно мало, то Интегратору – еще меньше

Комплексный подходВажно давать как можно больше результата, как можно раньше. Актуальность решения может значительно меняться во времени

Compliance и сертифицированные решения – основа ИБ

Соответствовать не значит быть безопасным.

Выбор лучших в классе Интегрированность\Управляемость - важнее

Все можно зааутсорсить Закон сохранения трудоемкости\сложностиhttp://reply-to-all.blogspot.ru/2012/04/blog-post_19.html

Борьба с атаками нулевого дня Оставьте это производителям ПОhttp://reply-to-all.blogspot.ru/2014/03/0-day-apt.html

Борьба с АНБ Оставьте это ФСБhttp://reply-to-all.blogspot.ru/2014/01/blog-post_15.html

Функциональные тендеры Простое превращение CapEx в OpExhttp://reply-to-all.blogspot.ru/2014/04/blog-post.html

Сервис вместо отсутствия: продолжение

Мотивированный нарушитель: не останавливается запретом

«Нарушитель»

Пользователь

Работа с Интернет Работа на АРММинимум функционалаМинимум полномочийМинимум …..

Альтернативные маршруты в Интернет

Работа на альтернативных АРМ

Прощай, периметр! Прощай, данные! Здравствуй, зло «из дома»!

П р о щ а й , к о н т р о л ь !

Что можно аутсорсить (критерии)?

• Критичность сервиса

• Ситуация с предложением на рынке

• Внутренние компетенции

• Степень соответствия Стратегии

• Степень формализации требований

• Себестоимость

• Стоимость управления и контроля

Выработали критерии

Пропустили через них все работы

Определили что продать

Проводите такую оценку регулярно

http://reply-to-all.blogspot.ru/2012/02/blog-post.html

Инсорсинг == Аутсорсинг || Аутстаффинг ?

Нап

рав

лен

ие

1

Нап

рав

лен

ие

2

Нап

рав

ле

ни

е i

Нап

рав

лен

ие

n

Лидер 1 Лидер 2 Лидер i Лидер n

С т р а т е г и я Корпорация

ИнсорсерАутстаффинг

Аутсорсинг

Штат

Спасибо за Ваше внимание!

Сергей Солдатов, CISA, CISSP

reply-to-all.blogspot.com

Business

Infosecurity management in the Enterprise