Organizacijos kibernetinio saugumo strategijos formavimas

Agenda:
1. Kas yra kibernetinio saugumo strategija?
2. Kaip nuspręsti ką reikia saugoti?
3. Kaip užtikrinti strategijos įgyvendinimą ir politikos efektyvumą?
4. Nuo ko pradėti?
5. O kaip saugu kilti į „debesis“?

Transcript

1. Vytenis Sakalas Head of Cloud Division
2. Organizacijos kibernetinio saugumo strategijos formavimas
3. Agenda 1. Kas yra kibernetinio saugumo strategija? 2. Kaip nuspręsti ką reikia saugoti? 3. Kaip užtikrinti strategijos įgyvendinimą ir politikos efektyvumą? 4. Nuo ko pradėti? 5. O kaip saugu kilti į „debesis“?
4. Kas yra kibernetinio saugumo strategija? 1.
5. Kibernetinio saugumo strategija tai: Organizacijos patvirtintas ir periodiškai atnaujinamas dokumentas, apibrėžiantis ilgalaikę organizacijos kibernetinio saugumo viziją, tikslus, uždavinius, prioritetines saugumo sritis, išteklius, roles ir uždavinius. Apsaugoti Aptikti Reaguoti Atsistatyti Identifikuoti
6. Kibernetinio saugumo strategijos reikšmė Kibernetinio saugumo strategija turi būti vienintelis pagrindas bet kokių su saugos valdymu ir užtikrinimu susijusių veiksmų planavimui, vykdymui ir resursų alokacijai.
7. Kaip nuspręsti ką reikia saugoti? 2.
8. Pagrindinės sąvokos • Rizikos analizė sisteminis informacijos panaudojimas, siekiant nustatyti šaltinius ir įvertinti riziką. Rizikos analizė sukuria pagrindą rizikos vertinimui, rizikos valdymui ir rizikos priėmimui. • Rizikos vertinimas procesas, kurio metu rizikos tikimybė ir pasekmės išreiškiamos konkrečia verte. • Rizikos valdymas koordinuoti veiksmai, kuriais siekiama valdyti ir kontroliuoti organizacijos rizikas. Paprastai rizikos valdymas apima rizikos analizę, rizikos priežiūrą, rizikos priėmimą ir informavimą apie riziką.
9. Rizikos valdymas Sąvokų sąsajos pagal: t.y. pagal: ISO Guide 73:2009 ir ISO 31000:2018
10. Rizikos valdymas Norint valdyti riziką, pirmiausia reikia ją identifikuoti, o tam būtina žinoti rizikos komponentus. Pagrindiniai rizikos komponentai: • Organizacijos turtas/ ištekliai – vertybės, kurias reikia apsaugoti • Grėsmės • Pažeidžiamumai Ratų nebeturėjimas (grėsmė) Ratai (turtas) Skylė tvoroje (pažeidžiamumas) Išnešti ratus per skylę tvoroje (pasinaudojimas pažeidžiamumu) Ratų vagystė (rizika) Vagis (grėsmės šaltinis)
11. Organizacijos išteklių kategorijos Ištekliai Išteklių rūšys Informacija • Apdorojami, saugomi ir ryšio linijomis perduodami duomenys • Popieriniai dokumentai; • Archyviniai duomenys ir atsarginės kopijos Personalas • Vadovai • Techninis personalas • Aptarnaujantis personalas • Trečiųjų šalių atstovai Techninė įranga • Darbo vietų kompiuteriai • Serveriai • Kiti įrenginiai (spausdintuvai, kopijuokliai, skeneriai ir pan.) • Komunikaciniai įrenginiai (telefonai, faksai) • Tinklo įranga (maršrutizatoriai, komutatoriai, užkardos) Programinė įranga • Komercinė programinė įranga (OS, darbo vietų ir serverių PĮ) • Kita PĮ ir nedokumentuotos darbuotojų naudojamos programinės priemonės Paslaugos • Interneto ryšys • Teisinės, konsultacinės paslaugos ar kitokios paslaugos
12. Rizikos valdymo etapai • Rizikos vertinimo metodo parinkimas • Turto/ išteklių (vertybių) identifikavimas • Grėsmių ir pažeidžiamumų analizė • Rizikos vertinimas • Apsaugos priemonių parinkimas • Apsaugos priemonių diegimas ir testavimas • Likutinės rizikos įvertinimas
13. Rizikos vertinimas • Informacinių sistemų ir informacijos šaltinių charakterizavimas • Grėsmių ir pažeidžiamumų identifikavimas • Naudojamų apsaugos priemonių analizė • Grėsmės tikimybės nustatymas • Padarinių analizė • Rizikos nustatymas
14. Grėsmės tikimybių vertinimas Grėsmės tikimybė Aprašymas Didelė Grėsmės šaltinis labai suinteresuotas ir pasižymi puikiais gebėjimais pasinaudoti IS pažeidžiamumais; organizacijos naudojamos apsaugos priemonės yra neefektyvios Vidutinė Grėsmes šaltinis suinteresuotas ir turi gebėjimų pasinaudoti IS pažeidžiamumais, tačiau naudojamos apsaugos priemonės apsunkina grėsmės realizaciją Maža Grėsmės šaltinio motyvacija ir gebėjimai pasinaudoti IS pažeidžiamumais yra nepakankami, naudojamos apsaugos priemonės labai apsunkina grėsmės realizaciją
15. Žalos dydžio vertinimas Žala Aprašymas Didelė Materialinių išteklių ir organizacijos reputacijos praradimas arba grėsmė žmonių sveikatai ir gyvybei Vidutinė Dalinis materialinių išteklių ir organizacijos reputacijos praradimas arba galimybė sukelti žmonėms traumų pavojų Maža Grėsmės realizacija susijusi su daliniu materialinių išteklių ir organizacijos reputacijos praradimu
16. Rizikos lygių matrica Grėsmės tikimybė Žala Maža (10) Vidutinė (50) Didelė (100) Didelė (1,0) Maža 10x1,0=10 Vidutinė 50x1,0=50 Didelė 100x1,0=100 Vidutinė (0,5) Maža 10x0,5=5 Vidutinė 50x0,5=25 Vidutinė 100x0,5=50 Maža (0,1) Maža 10x0,1=1 Maža 50x0,1=5 Maža 100x0,1=10
17. Rizikos tvarkymas • Rizikos priėmimas tęsti veiklą susitaikius su esama rizika, tačiau sudarant galimus veiksmų planus, taikytinus įvykus pažeidimui • Rizikos mažinimas naudojant įvairias grėsmių aptikimo ir informavimo priemones • Rizikos perkėlimas trečioms šalims pvz., sudarant draudimo sutartį • Rizikos išvengimas atsisakant tam tikrų funkcijų, arba išjungiant sistemą kai nustatomas pavojus
18. Rizikos analizės proceso privalomos savybės • Adekvatumas ir racionalumas, racionalumas, racionalumas • Saugos politika, uždaviniai ir veiksmai turi atspindėti organizacijos uždavinius • Diegiamos saugos priemonės turi atitikti organizacijos kultūrą • Būtina akivaizdi vadovybės parama ir dėmesys • Būtinas geras saugos reikalavimų, rizikos analizės ir rizikos vertinimo supratimas • Būtina užtikrinti reikalingą darbuotojų švietimą ir mokymus
19. Kaip užtikrinti strategijos įgyvendinimą ir politikos efektyvumą? 3.
20. Darbuotojų motyvacija jos laikytis • Pradėti nuo viršaus: jeigu vadovas nesivadovauja tvarkomis arba jam tai nerūpi, jokia strategija neveiks • Įtraukimas: Būtinas efektyvus kibernetinio saugumo reikšmės išaiškinimas visiems vadovams ir darbuotojams • Viešumas ir aiškumas: pati strategija ir visa mokymų medžiaga turi būti prieinama visiems darbuotojams • Dinaminės saugumo kultūros įdiegimas: visos technologinės ir organizacinės priemonės turi būti parinktos tokios, kad darbuotojams taptų kasdienybe ir dalimi nuolatinių palaikančių procesų, o ne „ai-vieną-kartą-metuose-reikia- padaryti“
21. Reguliarūs procesai • Periodinės žinių/ įpročių atnaujinimo sesijos • Periodiškai pratestuoti ir nesėkmių atveju ne bausti, o panaudoti nesėkmingus scenarijus nuolatiniam tobulinimui • Aiškūs procesai strategijos peržiūrėjimui ir atnaujinimui • Dokumentas turi būti gyvas negali būti padėtas į stačių, o turi būti nuolat matomas, analizuojamas ir naujinamas (galima kelti reikalavimą būtinai periodiškai peržiūrėti ir sukurti bylos naują numerį • Periodinė komunikacija su kibernetinio saugumo organizacijoje įgyvendinimo statusu, pokyčiais, priminimais • Periodinės priemonės praktiškai patikrinti darbuotojų budrumą (pvz., Sophos Phish Threat)
22. Komunikacija ir skaidrumas Atsižvelgiant į istorinius įvykius, geriausias būdas suvaldyti incidentus/ krizes yra kuo didesnis atvirumas ir skaidrumas – kuo skaidresnė organizacija yra, kuo labiau ji bendradarbiauja incidento atveju, tuo daugiau pasitikėjimo ji turi ir išlaiko krizės metu. Žinoma, kiekvienas incidentas turi neigiamos įtakos organizacijos patikimumui, tačiau organizacijos skaidrumas, bendradarbiavimas ir komunikacijos valdymas padeda sumažinti ne tik reparacinius, tačiau ir finansinius nuostolius.
23. Nuo ko pradėti? 4.
24. Viskas arba nieko Svarbu užsibrėžti tikslą ir imtis veiksmų Toliau saugumo politikos procesus ir reikalavimus galima auginti etapiškai Tai nuo ko pradėti? • Išteklių auditas ir inventorizacija (ypač. Informacijos išteklių) • Kibernetinio saugumo brandos įvertinimas: Kur dabar esu? Kur noriu būti? Bei kaip pasiekti tai, kur noriu būti – trumpalaikiu ir ilgalaikiu laikotarpiu?
25. O kaip saugu kilti į „debesis“? 5.
26. KAI PASIRENKU MIGRUOTI Į DEBESĮ Ar aš esu saugus? Ar man nebereikia rūpintis sauga?
27. Turite pasitikėti, tačiau turite būti pasiruošę ir patys
28. Visų pirma, svarbu suprasti, kad nėra vieno “debesies”. Jie skirtingi Pizza as a Service You Manage Vendor Manages
29. Paskirstytos atsakomybės modelis angl. Shared Responsibility Model
30. Vytenis Sakalas THANK YOU!