'

Система управления информационной безопасности

Понравилась презентация – покажи это...





Слайд 0

Система управления информационной безопасности Виктор Сердюк, к.т.н. Генеральный директор ЗАО «ДиалогНаука» 01 февраля 2008 года


Слайд 1

Слайд 2 Рост количества атак Вирусы Перебор паролей «Троянские кони» Подмена субъекта соединения Перехват данных Автоматизированное сканирование Атаки типа «отказ в обслуживании» Атаки на общедоступные Web-сервисы Атаки типа «format string» Атаки типа «SQL Injection» Распределенные атаки 1980 г. 1985 г. 1990 г. 1995 г. 2000 г. Stealth - сканирование Атаки типа «переполнение буфера» 2005 г. 6 252 1334 2573 9859 21756 52658 73359 137529 Интернет-черви


Слайд 2

Слайд 3 Причина неэффективности применяемых мер защиты В ряде случаев в организациях отсутствуют нормативно-методические документы, формализующие процесс обеспечения информационной безопасности Персонал компании зачастую не осведомлён о возможных угрозах, вследствие чего допускаются непреднамеренные ошибки, приводящие вирусным атакам В компаниях отсутствует полноценная система защиты информации Информационная безопасность воспринимается как проект, подразумевающий разовое выполнение задач по защите данных


Слайд 3

Слайд 4 Система Управления Информационной Безопасностью СУИБ – это документированная системы управления, определённая в рамках компании, которая включает в себя Утвержденную руководством политику информационной безопасности Определяет понятие информационной безопасности, цели и задачи СУИБ, приверженность руководства и т.д. План по оценке рисков безопасности Описывает порядок оценки и анализа рисков безопасности Перечень информационных активов, подпадающие в области действия СУИБ Положение о применимости контролей (Statement of Applicability) определяет набор контрмер, направленных на минимизацию рисков информационной безопасности Исчерпывающий набор взаимоувязанных процедур, подполитик, регламентов и инструкций, направленных на формализацию процессов защиты информации


Слайд 4

Слайд 5 СУИБ предназначена для: Успешного руководства обеспечением ИБ, организуя её функционирование систематически и прозрачным способом Постоянного улучшения деятельности в области обеспечения ИБ с учётом потребностей всех заинтересованных сторон Получения уверенности в том, что заданные требования к ИБ будут выполнены Формирования единых подходов к оценке достигнутого уровня ИБ


Слайд 5

Слайд 6 Международный стандарт ISO/IEC 27001 История формирования стандарта BS 7799 Часть 1 опубликована – февраль 1995 BS 7799 Часть 2 опубликована – февраль 1998 BS 7799:1999 Часть 1 и Часть 2 опубликованы – апрель 1999 ISO 17799 Часть 1 опубликована – декабрь 2000 BS 7799:2002 Часть 2 опубликована – сентябрь 2002 ISO 17799:2005 опубликован – июнь 2005 ISO 27001:2005 опубликован – октябрь 2005


Слайд 6

Слайд 7 Процесс реализации СУИБ


Слайд 7

Слайд 8 Планирование Определение области действия проекта (scope) Идентификация информационных активов Оценка и анализ рисков информационной безопасности Принятие высшим руководством остаточных рисков Разработка Политики информационной безопасности организации Определение защитных мер контроля и их обоснование для минимизации рисков


Слайд 8

Слайд 9 Реализация Реализация плана обработки рисков ИБ и внедрение защитных мер Определение ключевых показателей эффективности для выбранных защитных мер Управление работами и ресурсами, связанными с реализацией СМИБ Реализация программ по обучению и осведомленности ИБ


Слайд 9

Слайд 10 Проверка Мониторинг и контроль защитных мер, включая регистрацию действий и событий, связанных с СУИБ Анализ эффективности СУИБ, включая анализ уровней остаточного риска ИБ и приемлемого риска при изменениях Внутренний аудит СУИБ Анализ СУИБ со стороны высшего руководства Внешний аудит СУИБ


Слайд 10

Слайд 11 Действие Реализация тактических улучшений СУИБ Реализация стратегических улучшений СУИБ Информирование об изменениях и их согласование с заинтересованными сторонами Оценка достижения поставленных целей и потребностей в развитии СУИБ


Слайд 11

Слайд 12 Определение рамок проекта Область действия (scope) должна охватывать наиболее критические бизнес-процессы компании На этапе определения границ проекта необходимо учитывать взаимодействие различных бизнес-процессов Область действия может определяться на основе следующих критериев: Ключевые бизнес-задачи компании Наиболее критическая информация Ключевые информационные системы компании


Слайд 12

Слайд 13 Идентификация активов Информационные ресурсы, которые обеспечивают выполнение бизнес-процессов, заданных рамками проекта Прикладное и общесистемное программное обеспечение Аппаратное обеспечение Телекоммуникационное обеспечение Персонал


Слайд 13

Слайд 14 Классификация информационных ресурсов открытая информация открытая информация ограниченного распространения (для внутреннего использования) конфиденциальная информация строго конфиденциальная информация


Слайд 14

Слайд 15 Оценка рисков безопасности Методика базируется на лучших мировых практиках NIST-800, OCTAVE и др. Выполняется адаптация методики исходя из специфики организации Заказчика Методика предполагает разработку модели угроз для информационных активов, определенных в рамках проекта Может осуществляться на основе количественных и качественных шкал оценки рисков


Слайд 15

Слайд 16 Качественная оценка рисков Качественная шкала оценки уровня ущерба Малый ущерб Приводит к незначительным потерям материальных активов, которые быстро восстанавливаются, или к незначительному влиянию на репутацию компании Умеренный ущерб Вызывает заметные потери материальных активов или к умеренному влиянию на репутацию компании Ущерб средней тяжести Приводит к существенным потерям материальных активов или значительному урону репутации компании Большой ущерб Вызывает большие потери материальных активов или наносит большой урон репутации компании Критический ущерб Приводит к критическим потерям материальных активов или к полной потере репутации компании на рынке


Слайд 16

Слайд 17 Качественная оценка рисков Качественная шкала оценки вероятности проведения атаки Очень низкая Атака практически никогда не будет проведена. Уровень соответствует числовому интервалу вероятности [0, 0.25) Низкая Вероятность проведения атаки достаточно низкая. Уровень соответствует числовому интервалу вероятности [0.25, 0.5) Средняя Вероятность проведения атаки приблизительно равна 0,5 Высокая Атака, скорее всего, будет проведена. Уровень соответствует числовому интервалу вероятности (0.5, 0.75] Очень высокая Атака почти наверняка будет проведена. Уровень соответствует числовому интервалу вероятности (0.75, 1]


Слайд 17

Слайд 18 Качественная оценка рисков Пример таблицы определения уровня риска информационной безопасности


Слайд 18

Слайд 19 Количественная оценка рисков Количественная шкала оценки вероятности проведения атаки Вероятность проведения атаки измеряется от 0 до 1 Количественная шкала оценки уровня ущерба Ущерб измеряется в финансовом эквиваленте


Слайд 19

Слайд 20 Критерии оценки безопасности Нормативно-правовые документы предприятия, касающиеся вопросов информационной безопасности Требования действующего российского законодательства (РД ФСТЭК, СТР-К, ГОСТы) Требования отраслевых стандартов (СТО БР ИББС-1.0) Рекомендации международных стандартов (ISO 13335, OCTAVE) Рекомендации компаний-производителей программного и аппаратного обеспечения (Microsoft, Oracle, Cisco и т.д.)


Слайд 20

Слайд 21 Анализ рисков Определение приемлемого уровня риска Выбор защитных мер, позволяющих минимизировать риски до приемлемого уровня Варианты управления рисками безопасности уменьшение риска за счёт использования дополнительных организационных и технических средств защиты; уклонение от риска путём изменения архитектуры или схемы информационных потоков АС; изменение характера риска, например, в результате принятия мер по страхованию; принятие риска в том случае, если он уменьшен до того уровня, на котором он не представляет опасности для АС


Слайд 21

Слайд 22 Инструментальный анализ защищенности Для чего предназначен: Инвентаризация ресурсов сети (устройства, ОС, службы, ПО) Идентификация и анализ технологических уязвимостей Подготовка отчетов, описание проблем и методов устранения Типы используемых для анализа средств: Сетевые сканеры безопасности Хостовые сканеры безопасности (проверка ОС и приложений) Утилиты удаленного администрирования Утилиты для верификации найденных уязвимостей Утилиты для инвентаризации ресурсов


Слайд 22

Слайд 23 Инструментальный анализ защищенности Анализ средств защиты информации Анализ VPN-шлюзов Анализ антивирусных средств защиты Анализ систем обнаружения атак IDS/IPS Анализ межсетевых экранов Анализ систем защиты от утечки конфиденциальной информации Анализ безопасности сетевой инфраструктуры Анализ безопасности коммутаторов Анализ безопасности маршрутизаторов Анализ безопасности SAN-сетей Анализ безопасности сетей WLAN


Слайд 23

Слайд 24 Инструментальный анализ защищенности Анализ безопасности общесистемного программного обеспечения Анализ ОС Windows Анализ ОС UNIX Анализ ОС Novell Netware Анализ безопасности прикладного программного обеспечения Анализ безопасности баз данных Анализ безопасности почтовых серверов Анализ безопасности Web-серверов Анализ безопасности Web-приложений


Слайд 24

Слайд 25 Особенности использования инструменталь-ных средств для сбора информации Заранее оговариваются рамки проведения инструментального аудита Результаты анализируются и интерпретируются экспертами Производится фильтрация полученных данных Проверку критически важных систем желательно проводить во внерабочие часы, в присутствии администратора с обязательным резервным копированием информации


Слайд 25

Слайд 26 Состав исходных данных Информация об организации Заказчика Организационно-распорядительная документация по вопросам информационной безопасности Информация об аппаратном, общесистемном и прикладном обеспечении хостов Информация о топологии автоматизированной системы Заказчика Схема информационных потоков внутри компании


Слайд 26

Слайд 27 Методы сбора исходных данных Предоставление опросных листов по определённой тематике, самостоятельно заполняемых сотрудниками Заказчика Интервьюирование сотрудников Заказчика, обладающих необходимой информацией Анализ существующей организационно-технической документации, используемой Заказчиком Использование специализированных программных средств


Слайд 27

Слайд 28 Что такое контроли (Control)? Меры контроля (Control) – это мера по минимизации риска Меры контроля позволяют снизить риск, но не устранить его полностью Стоимость внедрения меры контроля должна быть меньше величины ущерба Каждый актив может быть подвержен различным рискам Каждому риску должна быть сопоставлена мера контроля Некоторые меры контроля влияют на несколько различных рисков Меры контроля должны быть комплексными


Слайд 28

Слайд 29 Разработка Положения о применимости контролей Положение о применимости контролей (Statement of Applicability) описывает совокупность контролей, которая должна быть внедрена в компании для обеспечения минимизации рисков до приемлемого остаточного уровня Положение базируется на контролях, описанных в ISO 17799, но может включать в себя дополнительные меры, необходимые для повышения уровня информационной безопасности


Слайд 29

Слайд 30 Нормативно-правовое обеспечение информационной безопасности


Слайд 30

Слайд 31 Основные разделы Политики Цели и задачи Политики безопасности Законодательная и нормативная основа обеспечения информационной безопасности Модель угроз информационной безопасности Требования к комплексной системе защиты организации Организационные меры защиты информации Технологические меры защиты информации План краткосрочных и долгосрочных мер по реализации Политики безопасности


Слайд 31

Слайд 32 Особенности создания Политики учитывается текущее состояние и ближайшие перспективы развития АС учитываются цели, задачи и правовые основы создания и эксплуатации АС учитываются режимы функционирования данной системы производится анализ рисков информационной безопасности для ресурсов АС Компании


Слайд 32

Слайд 33 Частные политики ИБ Политика предоставления доступа к информационным ресурсам Политика обеспечения безопасности коммуникаций Политика обеспечения безопасности приложений Политика выбора технических средств Политика антивирусной защиты Политика обеспечения физической безопасности средств информатизации и защиты информации Политика взаимодействия с организациями-подрядчиками


Слайд 33

Слайд 34 Регламенты в области ИБ Регламент резервного копирования информации Регламент расследования инцидентов в области информационной безопасности Регламент проведения аудита информационной безопасности Регламент управления документами в области ИБ


Слайд 34

Слайд 35 Инструкции по безопасности Инструкция администратору безопасности Инструкция пользователю по обеспечению информационной безопасности


Слайд 35

Слайд 36 Система контроля версий правила оформления титульного листа систему нумерации документов и их версий в рамках единого классификатора специальные поля для учета изменений, внесенных в текст документа правила авторизации изменений, вносимых в нормативные документы


Слайд 36

Слайд 37 Внедрение разработанных документов Обучение администраторов безопасности, ответственных за установку и обслуживание средств защиты Обучение пользователей, работающих со средствами защиты Аттестация специалистов по результатам программы обучения Укомплектование подразделений предприятия сотрудниками, ответственными за выполнение работ по защите от угроз безопасности


Слайд 37

Слайд 38 Разработка и внедрение СУИБ


Слайд 38

Слайд 39 Разработка и внедрение СУИБ


Слайд 39

Слайд 40 Разработка и внедрение СУИБ


Слайд 40

Спасибо за внимание! ЗАО «ДиалогНаука» Тел.: (495) 980-67-76 Факс: (495) 980-67-75 vas@DialogNauka.ru www.DialogNauka.ru


×

HTML:





Ссылка: