Johdatus tietoturvainformaation hallinnan kehittämiseen

Transkriptio

1 Johdatus tietoturvainformaation hallinnan kehittämiseen Juha Kunnas, Johtava konsultti, CISA

2 DISE (Digital Identity Solutions Oy) on perustettu 2005 DISE on erikoistunut identiteetinhallinnan ja tietoturvainformaation hallinnan haasteiden ratkaisemiseen DISE:n palvelut kattavat konsultoinnin, projektitoimitukset ja jatkuvat palvelut DISE Lyhyesti

3 DISE Lyhyesti Missiomme on auttaa asiakkaitamme maksimoimaan liiketoiminnalliset hyödyt identiteetinja tietoturvainformaation hallinnan investoinneista. IDM ja SIEM ovat lähtökohtaisesti liiketoiminnallinen haaste, ei yksin tekninen ongelma

4 Johdatus tietoturvainformaation hallinnan kehittämiseen Tietoturvainformaation hallinta mitä se on? Tietoturvainformaation hallinta perusteet kehittämiselle? Tietoturvainformaation hallinta miten edetä kehittämisessä?

5 Tietoturvainformaation hallinta mitä se on?

6 Tietoturvainformaatio Identiteetin-ja pääsynhallinta Käyttäjä- ja käyttöoikeushallinta Pääsynhallinta Päätelaitteet ja palvelimet Tyäasemat Tabletti / Kännykkä Serverit Hakemi sto Log Log Sovellukset ja niiden käyttö Tietoturvainformaatio Verkkokomponentit Palomuurit Reitittimet/ kytkimet Tietoliikenne Operatiiset sovellukset Tietokannat DB Log IDS Hunajapurkit Etäyhteydet Log

7 Tietoturvainformaation hallinta Useasta eri lähteestä tuleva tietoturvainformaatio: Tiedon kerääminen Tiedon kerääminen Seuranta Tiedon kerääminen Varastointi Korrelointi Seuranta Korrelointi Tietoturvainformaatio

8 Tiedon kerääminen Tieto hajallaan eri laitteilla eri lokeissa eri muodossa > NORMALISOINTI Tiedon keruuajurit Standardituotteille valmiit ajurit Muille asiakaskohtaiset räätälöidyt ajurit Tiedon suodattaminen ja luokittelu Windows XP Server ERP: SAP In-House sovellus Log Log Log Log Standardi ajuri Standardi ajuri Standardi ajuri As.koht. ajuri Tiedon normalisoitu muoto Tiedon suodattaminen Identiteetinhallinta: Tietoturvainformaation tietovarasto

9 Tiedon varastointi Haaste Suuret tapahtumamäärät Skaalautuvuus Tiedon normalisoitu muoto Tiedon suodattaminen Monitorointi Tarve tiedon ajantasaisuuteen Tietoturvainformaation tietovarasto Tallentamisen optimointi Hakujen optimointi Tiedon arkistointi

10 Tiedon seuranta Tiedon normalisoitu muoto Kirjautumiset Auktorisointi Toimistot ALL Kokonaisuuden monitorointi Tiedon suodattaminen Porautuminen haluttuun tietoon Tietoturvainformaation tietovarasto Raportti Raportti Raportti Kirjautumiset Y Y: 10:30 SUCCESFUL Z.Z: 10:31 SUCCESFUL X X: 10:31 FAILED Oleellisen tiedon saatavuus: suodattaminen ja luokittelu (priorisointi)

11 Tiedon korrelointi Korrelointisääntö K1: Käyttäjä kirjautunut ulos kulunvalvonnassa, mutta kirjautuu sisäverkossa lähiverkkoon Säännöstöjen luominen Usean muuttujan perusteella asetettu poikkeamien tunnistus Kirjautumiset Toimistot Auktorisointi ALL Kirjautumiset Y Y: 10:30 SUCCESFUL K1: EI-SALLITTU SISÄÄNKIRJAUTUMINEN Etsii samanaikaisesti erillisestä sisääntulevasta tietoturvainformaatiosta ennalta määritettyjä muotoja

12 Tietoturvatapahtumien hallinta Tietoturvatapahtuma on tunnistettu ja asian selvittämistä/korjaamista edellyttävä tapahtuma, joka voi syntyä joko manuaalisesti luotuna tai asetetun korrelointisäännön perusteella. Tavoitteena on parantaa selvitettävien tietoturvatapahtumien selvittämisen reagointinopeutta ja minimoida mahdollinen haittavaikutus Prosessi: Systemaattinen ja tehokas tapahtumien selvittämisen työnkulku ja automaattiset toimenpiteet Kirjautu miset SUCCESFU SUCCESFU X X: 10:31 FAILED Korrelointisääntö: Selvitystä vaativa tapahtuma Manuaalinen kirjaus: Selvitystä vaativa tapahtuma Tietoturvatapahtumien hallinta Hälytykset Tapahtuman kirjaaminen Tapahtuman selvittäminen Tietoturvainformaatio Toimenpiteiden käynnistys Tapahtuman päättäminen

13 Tietoturvainformaation hallinta perusteet kehittämiselle? 3/15/2012 Juha Kunnas 13

14 Liiketoiminnan toimintaympäristö Tietointensiivisyys Liiketoiminnallinen tieto ja tietämys ovat organisaatioiden ydinomaisuutta Lainsäädäntö, compliance -vaatimukset & auditoinnit Vastuun jalkautuminen johdolle ja läpinäkyvyys Hallinnon systematiikka Dokumentoidut toiminta- ja päätöksentekomallit & kontrollit Toiminnan jäljitettävyys Kattavat ja yksiselitteiset jäljet käyttövaltuuksien hyväksynnästä ja muutoksista, järjestelmäkäytöstä ja tapahtumista tietoteknisessä ympäristöissä Kustannustehokkuus Tavoitteena yleisesti manuaalisten prosessien automatisointi ja parempi palvelutaso 3/15/2012 Juha Kunnas 14

15 Liiketoiminnan toimintaympäristö Olemassa olevien kontrollien puutteet ja hitaus Riski ja sen mitigointi: tarve kontrolloida mm. erityisvaltuutettujen käyttäjien toimintoja järjestelmissä ja tietokannassa (usein ulkopuolisia) Lokitiedon puutteet Tarve saada järjestelmien lokitus täyttämään tietoturvapolitiikan asettamat vaatimukset Tiedon väärinkäytökset ja vahingot Tarve varmistaa lokitietojen koskemattomuus Järjestelmistä irrallinen kontrolli valvomassa järjestelmän kautta tehtäviä toimenpiteitä Tarve minimoida vahingon sattuessa aiheutuvat vahingot

16 ICT-kontrollien haaste Manuaalityön paljous Rajalliset resurssit ja kompetenssit Teknisesti laajat ja heterogeeniset ympäristöt Verkko- ja laitteistoinfrastruktuuri Operatiiviset sovellukset ja tietokannat Työasemat ja muut päätelaitteet (tabletti, kännykkä) Auditoinnin kustannukset Application server Firew all Operatiiset sovellukset Firew all IDS Web server Reititin Firew all (proxy) Toimistoverkko Toimistoverkko Palvelimet Internet

17 Tietoturvainformaation hallinnan kehittämisen hyötyjä Liiketoimintahyödyt Riski-kontrollitilanteen merkittävä paraneminen Nopeampi 24x7 reagointi -> parempi palvelutaso Viranomaisvaatimusten täyttäminen Merkittävät kustannussäästöt kontrollien automatisoinnin ja parempien auditointivalmiuksien kautta ROI & TCO laskelmat Kustannussäästöt (automatisointi ja riskiposition muutos: osin haasteellinen laskea)

18 Tietoturvainformaation hallinta miten edetä kehittämisessä? 3/15/2012 Juha Kunnas 18

19 Tietoturvainformaation hallinnan kehittäminen Governance malli Määritetään tietoturvainformaation osalta organisaation hyvän hallintotavan edellyttämät vaatimukset ja reunaehdot Nykytilan analysointi Valitut kohdejärjestelmät / resurssit Lokitiedon lähteet ja niiden tila Lokitiedon rakenne Lokitiedon kattavuus ja jatkuvuus Tavoitetilan asettaminen Liiketoiminnalliset lähtökohtien kirjaaminen Automatisoitavien kontrollien määrittäminen Systemaattinen ja kokonaisvaltainen lähestyminen Seurannan piiriin valittavat järjestelmät, alustat, resurssit Halutut raportit / monitorointi Prosessit Normalisoitavan tiedon malli Ratkaisun arkkitehtuuri ja toiminnallisuus

20 Tavoitetila ja etenemissuunnitelma PROSESSIKUVAUS Laitteet, käyttöjärjestelmät, ohjelmistot, tietokannat Tietoturvainformaation hallinta Tyäasemat PDA / Kännykkä Ehkäisevät ja tunnistavat kontrollit Korjaavat kontrollit Automatisoitujen kontrollien ja korrelointisäännöstöjen hallinta Analysointisäännöstöt Tilastotieto Tietoliikenne Etäyhteydet Politiikka ja proseduurit, käytännöt Monitorointi Muutoshallinta Log Reitittimet/ Palomuurit Serverit kytkimet Hunajapurkit IDS Tapahtumien hallinta Hälytykset Tapahtuman kirjaaminen Log Toiminnallisuuden varmistaminen Tiedon korrelointi Tapahtuman selvittäminen Automatisoitujen kontrollien monitorointi Operatiiset sovellukset Toimenpiteiden käynnistys Käyttäjä- ja käyttöoikeushallinta Konfiguraatiot ajantasalla Kirjautumiset ja järjestelmäkäyttö DB Log Lokitiedon poikkeamat Tapahtuman päättäminen Tietoturvatapahtumien hallinta Raportit Raportit VAATIMUSLISTA KONTROLLIT Prioriteetti V_K001 1 Xxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx Hankintavaihe Kehitystyö ja konfigurointi V_K002 1 xxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx V_K003 2 Xxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx HALLINTA Prioriteetti Xxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx V_H001 1 ixxxxxxxx V_H002 2 Xxxxxx xxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxx Vaatimukset PoC Prosessin kehittäminen Hyväksymis testaus Pilotointi Toteutus Tuotekonfigurointi Tuotantokäyttö Rollout Tuotantokäyttö Xxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx Prosessi Prosessi käyttöoikeuksista eri järjestelmissä Sovellus Sovellus TUNNISTAMINEN As.koht.kehitystyö V_T001 V_T002 Prioriteetti 1 Xxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx 2 TXxxxxx xxxxx xxxxxxxxxxxxx xxxxxxxxxxxx xxxxxxxxxxxxxx Korrelointisäännöt Tiedonkeruuajurit Tiedonkeruuajurit Korrelointisäännöt Hyväksymis testaus

21 Maturiteetti Tapahtumien hallinta Omistajuus 5 4,5 4 3,5 3 2,5 2 1,5 1 0,5 0 Prosessit Nykytila Tavoitetila Monitorointi Osaaminen Järjestelmät

22