Производственные риски и кибер угрозы. Эффективность защиты.

Как анализ производственных рисков и влияющих на них кибергугроз помогает оптимизировать затраты на безопасность и повысить прозрачность инфраструктуры. Руководитель практики промышленной кибербезопасности в Positive Technologies

Transcript

1. Производственные риски и кибер угрозы. Эффективность защиты.
2. Традиционный подход к ИБ жертв не замечают факт взлома 9 из 10 компаний взламываются от одного до пяти дней 90%
3. Текущие особенности ИБ преподносится как закрытая для понимания непрофессионалами область Результат от внедрения мер безопасности не гарантируется Метрики эффективности службы ИБ и их бюджетов отсутствуют Отсутствие ответственности за результат
4. В итоге Правильная отчётность и комплаенс на бумаге вместо реальной защиты Безопасники толком не понимают что именно они защищают Средства защиты есть, а самой защиты нет Производственные подразделения не видят практической пользы от ИБ
5. Ожидания Защищённость от актуальных рисков Наличие чётко очерченных целей по срокам и деньгам Простые метрики эффективности
6. Ситуационная ИБ Бумажная ИБ Тотальная ИБ Изменение подхода Практическая ИБ
7. Практическая ИБ ИБ для Бизнеса — прозрачно и понятно Бизнес строит разговор с ИБ на понятном ему языке и говорит о вещах по-настоящему беспокоящих. Дорожная карта развития ИБ основана на сценариях реализации киберрисков Результативность ИБ и измеримость результатов Работа службы ИБ и взаимодействие подразделений выстраивается таким образом, чтобы бизнесу были видны измеримые результаты от реализации мероприятий по ИБ Вовлеченность руководства Результаты ИБ достигаются в основном за счёт координации подразделений и вовлечения руководства, а не за счёт преимущественно финансовых инвестиций
8. Риск-ориентированный подход Анализ модели рисков компании, выявление реальных производственных рисков, зависящих от состояния ИБ 01 Верификация возможности реализации рисков 02 Разработка метрик и составление дорожной карты внедрения мер и средств ИБ для достижения требуемого уровня защищенности 03
9. Риск-ориентированный подход. Сложности На предприятии просто не управляют никакими рисками ИТ и ИБ подразделения исторически не взаимодейстуют с рисковиками, в отличии от производственников Производственники не нуждаются в защите их активов от кибер угроз. или да и вообще
10. Нормативка… •ГОСТ Р 12.0.010-2009 Система стандартов безопасности труда. Системы управления охраной труда. Определение опасностей и оценка рисков; •ГОСТ Р 14.09-2005 Экологический менеджмент. Руководство по оценке риска в области экологического менеджмента; •ГОСТ Р 27.001-2009 Надежность в технике. Система управления надежностью;–ГОСТ Р 27.004-2009 Надежность в технике. Модели отказов; •ГОСТ Р 27.202-2012 Надежность в технике. Управление надежностью. Стоимость жизненного цикла;–ГОСТ Р 27.203-2012 Надежность в технике. Управление устареванием; •ГОСТ Р 27.302-2009 Надежность в технике. Анализ дерева неисправностей; •ГОСТ Р 27.403-2009 Надежность в технике. Планы испытаний для контроля вероятности безотказной работы;–ГОСТ Р 27.404-2009 Надежность в технике. Планы испытаний для контроля коэффициента готовности; •ГОСТ Р 27.601-2011 Надежность в технике. Управление надежностью. Техническое обслуживание и его обеспечение; •ГОСТ ISO 12100-2013 Безопасность машин. Основные принципы конструирования. Оценки риска и снижения риска; •ГОСТ Р ИСО 13824-2013 Практические аспекты менеджмента риска. Общие принципы оценки риска при проектировании зданий и сооружений; •ГОСТ Р ИСО 15265-2006 Менеджмент риска. Основы стратегии оценки риска для предупреждения стресса и дискомфорта в термальных рабочих средах; •ГОСТ Р ИСО/МЭК 16085-2007 Менеджмент риска. Применение в процессах жизненного цикла систем и программного обеспечения; •ГОСТ Р ИСО 17666-2006 Менеджмент риска. Космические системы; •ГОСТ Р ИСО 17776-2012 Нефтяная и газовая промышленность. Морские добычные установки. Способы и методы идентификации опасностей и оценки риска. Основные положения; •ГОСТ Р ИСО 31000-2010 Менеджмент риска. Принципы и руководство; •ГОСТ Р ИСО/МЭК 31010-2011 Менеджмент риска. Методы оценки риска; •ГОСТ Р 51338-99 Безопасность машин. Снижение риска для здоровья от вредных веществ, выделяющихся при эксплуатации машин. Часть 1. Основные положения для изготовителей машин; •ГОСТ Р 51897-2011/Руководство ИСО 73:2009 Менеджмент риска. Термины и определения; •ГОСТ Р 51898-2002 Аспекты безопасности. Правила включения в стандарты; •ГОСТ Р 51901-2002 Управление надежностью. Анализ риска технологических систем; •ГОСТ Р 51901.3-2007 (МЭК 60300-2:2004) Менеджмент риска. Руководство по менеджменту надежности; •ГОСТ Р 51901.4-2005 (МЭК 62198:2001) Менеджмент риска. Руководство по применению при проектировании; •ГОСТ Р 51901.5-2005 (МЭК 60300-3-1:2003) Менеджмент риска. Руководство по применению методов анализа надежности; •ГОСТ Р 51901.6-2005 (МЭК 61014:2003) Менеджмент риска. Программа повышения надежности; •ГОСТ Р 51901.10-2009/ISO/TS 16732:2005 Менеджмент риска. Процедуры управления пожарным риском на предприятии; •ГОСТ Р 51901.11-2005 (МЭК 61882:2001) Менеджмент риска. Исследование опасности и работоспособности. Прикладное руководство; •ГОСТ Р 51901.12-2007 (МЭК 60812:2006) Менеджмент риска. Метод анализа видов и последствий отказов; •ГОСТ Р 51901.14-2007 (МЭК 61078:2006) Менеджмент риска. Структурная схема надежности и булевы методы; •ГОСТ Р 51901.15-2005 (МЭК 61165:1995) Менеджмент риска. Применение марковских методов; •ГОСТ Р 51901.16-2005 (МЭК 61164:1995) Менеджмент риска. Повышение надежности. Статистические критерии и методы оценки; •ГОСТ Р 52806-2007 Менеджмент рисков проектов. Общие положения; •ГОСТ Р 53195.5-2010 Безопасность функциональная связанных с безопасностью зданий и сооружений систем. Часть 5. Меры по снижению риска, методы оценки; •ГОСТ Р 53387-2009 (ИСО/ТС 14798:2006) Лифты, эскалаторы и пассажирские конвейеры. Методология анализа и снижения риска; •ГОСТ Р 53480-2009 Надежность в технике. Термины и определения; •ГОСТ Р 54134-2010 Экологический менеджмент. Руководство по применению организационных мер безопасности и оценки рисков. Выбросы парниковых газов; •ГОСТ Р 54135-2010 Экологический менеджмент. Руководство по применению организационных мер безопасности и оценки рисков. Защита экологических природных зон. Общие аспекты и мониторинг; •ГОСТ Р 54139-2010 Экологический менеджмент. Руководство по применению организационных мер безопасности и оценки рисков. Изменение климата; •ГОСТ Р 54140-2010 Руководство по применению организационных мер безопасности и оценки рисков. Химические вещества и материалы; •ГОСТ Р 54141-2010 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Эталонные сценарии инцидентов; •ГОСТ Р 54142-2010 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Методология построения универсального дерева событий; •ГОСТ Р 54143-2010 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Промышленные инциденты; •ГОСТ Р 54144-2010 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Идентификация инцидентов; •ГОСТ Р 54145-2010 Менеджмент рисков. Руководство по применению организационных мер безопасности и оценки рисков. Общая методология •ГОСТ Р 54257-2010 Надежность строительных конструкций и оснований. Основные положения и требования;–ГОСТ Р 54617.1-2011 Менеджмент риска в наноиндустрии. Общие принципы; •ГОСТ Р 54617.2-2011 Менеджмент риска в наноиндустрии. Идентификация опасностей; •ГОСТ Р 55234.2-2013 Практические аспекты менеджмента риска. Менеджмент биориска; •ГОСТ Р 55234.3-2013 Практические аспекты менеджмента риска. Процедуры проверки и технического обслуживания оборудования на основе риска; •ГОСТ Р 55354-2012 Форматы описания и нормирования требований. Система информации о показателях и требованиях к менеджменту рисков; •ГОСТ Р 55914-2013 Менеджмент риска. Руководство по менеджменту психосоциального риска на рабочем месте; •ГОСТ Р 55980-2014 Управление рисками на железнодорожном транспорте. Классификация опасных событий (вступает в действие с 1 января 2015 года); •ГОСТ Р МЭК 61160-2006 Менеджмент риска. Формальный анализ проекта; •ГОСТ Р МЭК 62305-1-2010 Менеджмент риска. Защита от молнии. Часть 1. Общие принципы; •ГОСТ Р МЭК 62305-2-2010 Менеджмент риска. Защита от молнии. Часть 2. Оценка риска.
11. Результативность ИБ ИБ должна быть нацелена на гарантированное обнаружение и предотвращение кибер угроз до того как может быть реализован не приемлемый производственный риск и причинён ущерб Прозрачность 2–4 ч. Выявление типового вредоносного инструментария (хулиган, ОПГ-эпидемия) 5 мин Выявление эпидемий Выявление аномалий в работе внутренних приложений, что позволит осуществлять выявление действий инсайдеров до 16 ч. Выявление продвинутого инструментария (ОПГ-Целевые атаки) Выявление присутствия злоумышленников типа «Спецслужбы» в сети до 20 дней Выявление эпидемий и запуск реакции на них до 5 мин
12. Вовлеченность руководства Руководство принимает обоснованные решения о дальнейших шагах по совершенствованию системы информационной безопасности, если обоснование последних будет формулироваться в рамках разработанных метрик, а именно:  На улучшение какого риска направленна данная мера?  На противодействие какому злоумышленнику направленная данная мера?  Каково текущее значение реакции системы?  Какой ущерб может принести реализация данного типа атак?  Каковы будут достигнутые по результатам внедрения предлагаемой меры значения параметров работы системы информационной безопасности и достигнут ли они целевых?  Сколько стоит внедрение меры и когда будут достигнуты результаты?
13. Как мы помогаем Наша экспертиза поможет вам выстроить эффективные процессы, получить карту достижения результата, получать экспертные заключения о эффективности планируемых шагов Снизим порог достижения результата за счет сервисов экспертного мониторинга, расследования инцидентов, threat hunting Поможем создать как архитектуру системы безопасности, так и передать собственную компетенцию людям, которые будут обслуживать внедренные процессы. Экспертиза Сервисы и продукты ИБ «под ключ» лет опыта исследований и разработок 15 250 экспертов в нашем исследовательском центре — одном из крупнейших в Европе 1000 клиентов банковской и телеком- сфер, госсектора, промышленной отрасли
14. Производственные риски и кибер угрозы. Эффективность защиты.