T Yritysturvallisuuden seminaari

Transkriptio

1 T Yritysturvallisuuden seminaari esitys Mikko Hopeakivi Ross Anderson: Security Engineering Security Engineering: A Guide to Building Dependable Distributed Systems Ross Anderson Cambridgen yliopiston professori Kokemusta tietoturvallisuuden eri aloilta yli parin vuosikymmenen ajalta Kirjoitti kirjan koska vastaavaa ei vielä ollut Security Engineering Jakaantuu kolmeen osaan Perusteet Syvemmän tason sovellukset Lait ja toimintatavat tietoturvallisuudessa Esityksessä käsitellään kirjan 14 ensimmäistä lukua 1

2 Yhteys yritysturvallisuuteen Mitä kaikkea voidaan suojata teknisin keinoin? Turvallisuusmalli Turvallisuusjohtaminen Omaisuuden hallinta Tietotekninen turvallisuus Fyysinen turvallisuus Henkilöstöturvallisuus Toiminnan turvallisuus Yhteys yritysturvallisuuteen 2

3 Tietotekninen turvallisuus Kaikki tietotekniset menetelmät joilla suojataan jotakin kohdetta Turvallisuusprotokollat Kommunikoivien osapuolten todennus Järjestelmien turvallisen toiminnan ydin Pyritään estämään erilaisia hyökkäystyyppejä Järjestelmän muutokset otettava huomioon Salasanat Käyttäjän todennus Käyttäjien ymmärtäminen vs. hyökkääjien ymmärtäminen Tärkeä osa järjestelmän toimivuutta ja turvallisuutta Haittaohjelmat, valepääte, salakuuntelu Tietotekninen turvallisuus Pääsynvalvonta Resurssiin pääsy on rajoitettu erilaisin käyttöoikeuksin Ohjelma-, käyttöjärjestelmä- ja laitteistotasot Bugien hyväksikäyttö, ympäristön muutokset Pääsynvalvonnalla minimoidaan virheitä tai haitantekoa Salaustekniikka Muodostetaan matemaattisin menetelmin salausavaimia, joilla tietoa voidaan mahdollisimman luotettavasti salata Algoritmin valintaakin tärkeämpää on käyttää algoritmia oikein ja salata oikeanlaisia asioita 3

4 Tietotekninen turvallisuus Hajautetut järjestelmät Joukko erillisiä tietoteknisiä järjestelmiä, jotka näkyvät käyttäjälle yhtenä järjestelmänä Suuri haaste rakentaa turvallinen kokonaisuus Vikasietoisuus ja toipuminen Biotunnisteet Yksilölliset fysiologiset tai anatomiset merkit joiden avulla ihminen voidaan tunnistaa Korkeaan turvallisuuteen pyrittäessä vaaditaan tietoteknistä apua Fyysinen turvallisuus Kohteiden suojaaminen mekaanisten ja kiinteiden järjestelmien ja vartioinnin avulla Tietojärjestelmien yhtäläisyys fyysiseen turvallisuuteen Valvontajärjestelmät Murtohälyttimet Mekaanisia laitteita mittarien valvontaan sähkö-, kaasu- ja taksimittarit ajopiirturit 4

5 Henkilöstöturvallisuus Suojataan organisaatiota oman henkilöstön aiheuttamilta uhilta Tiedon joutuminen vääriin käsiin suuri uhka Vuosina maailman petoksista 82% työntekijöiden toimesta Kirjassa turvallisuusmalleja joita voidaan soveltaa niin tietoteknisissä sovelluksissa kuin yleisesti yritysmaailmassakin Henkilöstöturvallisuus Monitasoinen turvallisuus Bell-LaPadula, luottamuksellisuus Biba, eheys Monenkeskeinen turvallisuus Chinese Wall BMA 5

6 Henkilöstöturvallisuus Pankkitoiminta ja kirjanpito Clark-Wilson -malli Constrained Data Items CDI Unconstrained Data Items UDI Trasformation Procedures TP Integrity Verification Procedures IVP Ei systemaattinen malli, vaan kokoelma sääntöjä Työtehtävien erottelu Kaksoishallinta Toiminnan erottelu Henkilöstöturvallisuus Valvontajärjestelmien merkitys henkilöstöturvallisuudessa Ydinasejohtaminen Jaettu määräysvalta Varmuuspainanta ja sinetit Henkilöstön valppaus ja rehellisyys Henkilöstön koulutus 6

7 Toiminnan turvallisuus Normaalia toimintaa joka ei aiheuta uhkia suojattaville kohteille Tieto ei saa muuttua tahattomasti tai oikeudettomasti tahallaan Vastuun keskittyminen on yksi toiminnan riskeistä Edellä esitetyt mallit pyrkivät kokonaisuuteen joka tukee toiminnan turvallisuutta Yhteenveto Kattava tietotekniikkapainotteinen turvallisuusopas Paljon erinomaisia käytännön esimerkkejä Oiva apu järjestelmäsuunnittelijoille Mielenkiintoinen oppikirja 7