Как построить систему управления информационными рисками

www.redsealnetworks.com

Как построить систему

управления информационными рисками в организации с территориально-распределённой инфраструктурой


Информационная безопасность организации

ВАША

СЕТЬ

То что

Вы

знаете

То, что

Вам не

известно

То, что

Вы хотите

знать

2 © 2013 ООО «Альтирикс системс»

www.altirix.ru


© 2013 RedSeal Networks, Inc. All rights reserved. 3

ВАША

СЕТЬ



То, что

Вы

знаете

Нехватка

квалифициров-

анных

специалистов

Растущие

требования со

стороны

пользователей

Бюджетные

ограничения

Растущие

требования

регуляторов

Системные

сбои и

простой

оборудования

Сложность

эксплуатации

при расширении

числа систем и

пользователей

Постоянная

угроза

кибератак

www.altirix.ru



ВАША

СЕТЬ



То, что

Вы не

знаете

Насколько

эффективны

имеющиеся

механизмы

защиты?

Насколько

объективен

имеющийся

анализ

рисков?

Какой сценарий

организации

доступа к

ресурсам является

наиболее

рискованным?

Как

контролируется

«темная

область»

сети?

Какие

уязвимости

действительно

опасны?

Насколько

хорошо

выполняются

требования

регуляторов?

www.altirix.ru



ВАША

СЕТЬ


Как

минимизировать

риски

кибератак?

Как правильно

расставить

приоритеты

уязвимостям?

Как быстро

оценить

ущерб от

атаки?

Как

автоматизировать

анализ

соответствия?

Какова общая

картина

информационных

рисков?

То, что

Вы хотите

знать

Каков риск

при

организации

доступа к

ресурсам?


www.altirix.ru


Цели системы управления рисками


Система управления

информационными рисками

То, что

Вы

знаете

То, что

Вам не

известно То, что

Вы хотите

узнать

Минимизация рисков использования

информационных технологий, выработка

оптимальных механизмов и

сценариев защиты информационных

активов организации


www.altirix.ru


Анализ

рисков

Особенности

Система управления информационными рисками


Автоматизация Автоматизированная проверка контролей

Анализ Приоритезация угроз

Визуализация Всей инфраструктуры сети

Повышение

защищенности

2

Непрерывное

соблюдение

требований

3

Операционная

эффективность

1

© 2013 RedSeal Networks, Inc. All rights reserved. 7 7 © 2013 ООО «Альтирикс системс»

www.altirix.ru


Система решает многие проблемы

МЭ

Критичные

активы

DMZ

МЭ

Финансы

Непосредственное

определение уязвимого

устройства

Предотвращение атак

Оптимизация политики

мобильного доступа

Выбор

критически

уязвимых

хостов,

приоритезация

Оценка рисков, выбор

оптимальных сценариев

Минимизация директ-

доступа к критичным

информационным

активам

Использование лучших

практик (BPC’s) для проверки

настроек устройств

Оценка изменения

настроек МЭ и

вероятных угроз

Раскрытие «темной

области» сети

© 2012 RedSeal Networks, Inc. All rights reserved.

Оптимизация политики

внутрисетевого доступа

ИТ-специалисты

© 2013 RedSeal Networks, Inc. All rights reserved. 8 © 2013 RedSeal Networks, Inc. All rights reserved. 8 8 © 2013 ООО «Альтирикс системс»

www.altirix.ru


Единая платформа

Архитектура системы


Аппарат сбора исходных данных

Библиотека угроз

Аппарат корреляции рисков и сценариев

Топологическая

карта сети

Сбор

конфигураций

устройств

Моделирование

угроз

Контроль

изменений

Аппарат анализа & выработки конечного решения

Непрерывный

мониторинг

Визуализация

сети и рисков

Применение

метрик анализа

рисков и ИБ

Правила МЭ,

СОВ

Таблицы

маршрутизации

Конфигурации

балансировщиков

нагрузки

Конфигурации

устройств

удаленного

доступа

Результаты

сканирования

портов и

устройств

Передача

событий SIEM

Workflow

GRC

© 2012 RedSeal Networks, Inc. All rights reserved. © 2013 RedSeal Networks, Inc. All rights reserved. 9 © 2013 RedSeal Networks, Inc. All rights reserved. 9 9 © 2013 ООО «Альтирикс системс»

www.altirix.ru


Особенности

• Сети могут не иметь физической сегментации

• Логическое сегментирование по ресурсам

• Определение правил доступа и правил МЭ между

зонами

• Могут быть бизнес-правила доступа и

разграничения

• Уведомление о нарушениях

политик

• PCI Policy Compliance

© 2013 RedSeal Networks, Inc. All rights reserved. 10 © 2012 RedSeal Networks, Inc. All rights reserved. 10 © 2012 RedSeal Networks, Inc. All rights reserved. © 2013 RedSeal Networks, Inc. All rights reserved. 10 © 2013 RedSeal Networks, Inc. All rights reserved. 10 10 © 2013 ООО «Альтирикс системс»

www.altirix.ru


Контроли • Более 120+ лучших практик и отраслевых

стандартов

• Поддержка NIST, ISO, DISA, вендоров

• Определение небезопасных служб и конфигураций

• Кастомизация контролей (приказ 21, приказ 17,

НПС и т.п.)

DNS Not Configured

Floodguard Disabled

TELNET Enabled

TELNET Enabled

Default Admin

Password

HTTP Management

Enabled on Device

SNMP Write

Access Enabled

Stealth Rule Missing


www.altirix.ru


Анализ прав доступа

Детализация доступа, вкл. пути

Углубление в отдельные устройства, чтобы увидеть соответствующие строки в файле конфигурации устройства


www.altirix.ru


Визуализация угроз

Выберите одно или

несколько устройств,

подсеть или зону,

чтобы узнать:

- Какой доступ может

быть им получен?

- Какой доступ имеется?

- Какие угрозу могут быть?

- Какие риски, последствия угрозы?

Угрозы из

«не надежных» зон

Доступ из

«надежных»

зон


www.altirix.ru


Визуализация рисков

• Определение высоких рисков по хостам, протоколам

• Приоритезация уязвимостей:

– Вероятность реализации

– Величина риска

– Конечный риск для организации

• Оценка эффективности существующих мер


www.altirix.ru


Визуализация контролей

• Показатели KPI’s

• Отчет по контролям и процессам

• Выделение опасных трэндов

• Акцентирование на превентивных мерах

• Ключевые аспекты рисков

• Сетевой доступ

• Управление уязвимостями

• Выполнение требований

• Учет лучших практик

• Настройка отчетов

• PDF и CSV экспорт

• Конвертация в сторонние приложения

• Поддержка русского языка в отчетах


www.altirix.ru


Отрывок отчета о рисках


www.altirix.ru


192029, Санкт-Петербург,

проспект Обуховской Обороны, 70/2

т. +7 812 716 1414

ф. +7 812 313 1087

[email protected]

www.altirix.ru, альтирикс.рф

Technology

Как построить систему управления информационными рисками