Abordari in imbunatatirea securitatii IT

Abordari in imbunatatirea securitatii IT

1 Abordarea Bottom Up

Aceasta abordare pleaca de la ce se doreste a fi protejat, de la ce nivel trebuie asigurata securitatea si fata de cine trebuie asigurata aceasta protectie. De aceea va trebui sa se procedeze la:

Întelegerea politicilor curente, tipologiei retelei, procedurilor de
operare si a practicii in uz.

Definirea unor posibile cai de atac care sa evidentieze care ar fi
tintele unor atacuri. Aceste scenarii evidentiaza care sunt retelele/sistemele vizibile din retelele externe, care sunt sistemele cele mai importante care vor trebui securizate si cum poate avea loc accesul fizic la ele, daca parolele pot fi divulgate de anumiti angajati etc.

Sintetizarea punctelor slabe identificate in urma parcurgerii celor doua cerinte prezentate mai sus si intocmirea listei cu vulnerabilitatile identificate si posibilele amenintari care trebuie contracarate.

Definirea unei politici informationale, in masura in care acest
lucru nu a fost deja facut.

ITSEC (IT Security)

TCSEC (Trusted Computer System Evaluation Criteria)

Un obiectiv al politicii este realizarea unei clasificari a informatiei si stabilirea informatiilor care prezinta o importanta deosebita pentru organizatie. Instruirea personalului cu privire la continutul politicii informationale.

Crearea de ghiduri tehnice in vederea asigurarii securitatii instalarii, intretinerii si exploatarii serverelor si retelelor precum si auditarea periodica a celor mai importante sisteme ale organizatiei.

2. Abordarea Top Down in procesul imbunatatirii securitatii

Aceasta este o abordare metodica si mult mai precisa dar necesita un timp mai indelungat si costuri initiale mai ridicate. In cazurile in care este necesara o imbunatatire rapida a securitatii se recomanda utilizarea ambelor metode, prezentate anterior, in paralel. Abordarea bottom up va fi aplicabila sistemelor organizatiei care sunt bine cunoscute de echipa antrenata in acest proces, iar abordarea top down va fi aplicabila in procesul, de mai lunga durata, elaborarii unei politici si strategii care sa fie intelese si sustinute de catre componenta manageriala. Abordarea top down presupune:

Analiza bunurilor Acest lucru presupune sa raspundem mai intai la urmatoarea intrebare: Ce trebuie protejat? Raspunsul la aceasta intrebare se va concretiza intr-o lista a informatiilor si proceselor.

Urmatoarele intrebari vor fi: Sunt aceste date stocate in sistem?

Care sunt implicatiile financiare ale distrugerii acestor bunuri?

Masurile care vor fi luate pentru protejarea acestor bunuri vor trebui sa fie in concordanta cu valoarea bunurilor pentru organizatie.

Analiza regulilor de securitate /politicilor/practicilor curente
in cadrul organizatiei.

Definirea obiectivelor de securitate de baza legate de
disponibilitate, confidentialitate si integritate.

Analiza amenintarilor: inainte de a se lua decizia referitoare la modul cum trebuie protejat sistemul trebuie identificate amenintarile la care acesta este supus (razbunari ale angajatilor, actiuni ale hackerilor, spionaj, erori hardware etc).

IAPS (Institute for Advanced Professional Studies)

Analiza de impact

o Care sunt consecintele amenintarilor sau a unei combinatii de amenintari? Va trebui identificata natura (sunt vizate datele secrete, modificarea datelor contabile, falsificarea transferurilor financiare etc) si anvergura acestor consecinte.

o Evaluarea impactului va trebui realizata nu de experti tehnici ci de experti in domeniul in care organizatia isi desfasoara activitatea.

o Evaluarea impactului se va realiza pe doua componente: impactul pe termen scurt si respectiv pe termen lung (amenintarea persista afectand businessul organizatiei pe termen lung). in urma evaluarii, impactul total va fi exprimat printr-o scara de la 0 la 5 dupa cum urmeaza:

Impact neglijabil

Impact minor, procesele majore ale businessului nu au fost afectate.

Procesele afacerii nu sunt operationale o anume perioada de timp, se inregistreaza pierderi de venituri, increderea clientilor este foarte putin afectata.

Se inregistreaza pierderi importante din activitatea organizatiei, pierderea increderii clientilor si a cotei de piata. Clientii vor fi pierduti.

Efectul este dezastruos, compania va putea sa supravietuiasca in conditiile unor costuri semnificative.

Efect catastrofal, compania nu va mai putea sa-si continue activitatea.

Calculul Riscului:

. Care este probabilitatea aparitiei amenintarii (0-5)? Expertii tehnici sunt cei care vor putea cel mai bine sa evalueze acest lucru:

Este putin probabil ca amenintarea sa apara.

Amenintarea poate sa apara cel mult o data pe an.

Amenintarea poate sa apara o data pe an.

Probabilitatea de aparitie este o data pe luna.

Probabilitatea de aparitie este o data pe saptamana.

Probabilitatea de aparitie este o data pe zi.

. Determinarea riscului se va realiza pe baza urmatoarei formule de calcul:

risc = impact * probabilitatea aparitiei

Riscul poate fi 0 (nu exista practic risc) iar valoarea maxima poate fi 25. Cu cat valoarea determinata a riscului este mai mare cu atat sunt mai importante masurile de contracarare.

Este necesar sa se stabileasca un nivel acceptabil al riscului. Toate riscurile care inregistreaza valori peste acest prag sunt considerate riscuri inacceptabile pentru organizatie si vor trebui gandite si implementate masuri de limitare/eliminare a lor.

Prezentam modalitatea de evaluare a valorii de impact pentru principalele categorii de amenintari:

Amenintari avand caracter general:

Amenintari legate de identificare/autorizare

Amenintari privind credibilitatea serviciilor

Amenintari secrete

Amenintari ale integritatii/acuratetei:

Amenintari privind controlul accesului:

Amenintari de natura repudierii:

Amenintari legale:

Sursele amenintarilor:

Impacturi

Lista care urmeaza va trebui completata in detaliu de managerii care cunosc businessul organizatiei in detaliu.

Analiza restrictiilor: in aceasta etapa se evalueaza o serie de restrictii asupra carora nu se poate interveni: cerinte legislative, cerinte ale organizatiei, cultura organizationala, elemente contractuale, bugete etc.

Formularea strategiei:

. Definirea obiectivelor de securitate

. Definirea masurilor (politica, roluri, procese, responsabilitati, mecanisme etc)

. Se verifica masura in care riscurile pot fi reduse la acel nivel considerat acceptabil de catre management. Se verifica daca nu sunt prea mari costurile impuse de masurile de securitate luate.

. Se verifica in ce masura riscurile neacoperite pot fi asigurate (polite de asigurare). ^:

. În caz contrar se revizuieste strategia.

9) Implementare:

Realizarea politicii de securitate, a documentatiilor necesare si realizarea clasificarii informatiei din sistem.

Definirea modului de organizare a securitatii sau modificarea celei existente. Utilizatorii, administratorii, managerii trebuie sa cunoasca foarte clar care le sunt rolurile/responsabilitatile si sa le respecte.

Efectuarea testelor si corectarea politicilor, proceselor si organizarii in functie de rezultatele obtinute.

Securizarea sistemelor.

10) Asigurare: Re-evaluarea riscurilor si securitatii in mod periodic (recomandabil la 2 ani).