T Yritysturvallisuuden seminaari

Transkriptio

1 T Yritysturvallisuuden seminaari Enterprise Security Architecture (SABSA) Chapter 9: Contextual Security Architecture Jari Utriainen SABSA Matrix Chap. 9 Chap. 10 Chap. 11 Chap. 12 Chap. 13 Part 4 Lähde: 1

2 Contextual Security Architecture Jotta voidaan ratkaista liiketoiminnan ongelmia pitää ensin ymmärtää liiketoimintaan liittyviä ongelmia SABSA-metodin onnistumisen edellytyksenä ovat: liiketoimintalähtöisyys (Business-driven) liiketoimintakeskeisyys (Business-focused) Contextual Security Architecture on liiketoiminnan kuvaamista ja analysointia Liiketoimintastrategia, tavoitteet, asiakas- ja liiketoimintasuhteet, riskit, rajoitukset ja mahdollisuudet Lopputuloksena saadaan selville millaisen turvallisuusarkkitehtuurin (Security Architecture) yritys tarvitsee Contextual Security Architecture Nykyaikaiset yritykset ovat täysin riippuvaisia tietotekniikasta ja erityisesti sen kautta saatavasta tiedosta (ICT on levinnyt kaikkialle) Tietoturvan arvo määritellään sen perusteella, mikä on sen suojaaman liiketoiminnan arvo Luku 9 esittelee tarkistuslistan asioista, joita haluat luultavasti tutkia myös omassa yrityksessäsi 2

3 The Business (What) ICT mahdollistaa täysin uusia liiketoimintamalleja Mutta samalla se tarjoaa myös uusia tapoja toteuttaa vanhoja liiketoimintamalleja Esimerkkejä turvallisuudesta liiketoiminnan mahdollistajana Sähköinen julkaiseminen (e-kirjat) On-Demand viihdepalvelut (musiikki, videot) Erilaiset hyödylliset tietopalvelut (osakekurssitiedot) Prosessien etähallinta (tehtaat, valmistusprosessit) Jakeluketjun hallinta (kauppojen alihankintaketjut) Erilaiset tutkimukset ja tietojen kerääminen (erityisesti luotettavan tiedon kerääminen ja julkaisu) The Business (What) Digital Business E-Business (tekniikkalähtöisyys) Digital Business (liiketoimintalähtöisyys) Verkkopankit ovat olleet edelläkävijöitä Uusia hyökkäystapoja kuten phishing-hyökkäykset Sähköiset hankintapalvelut Automatisoidut tilausjärjestelmät (tilaukset ja niiden seuranta, lähetteet, erilaiset raportit) Saavutettu jopa 20-40% säästöt villien hankintojen estämisellä (ostot vain sopimuskumppaneilta) Sähköinen hallinto Tietojen vaihto virastojen välillä ja näin asioinnin helpottaminen Isoveli valvoo -yhteiskunta / identiteettivarkaudet 3

4 The Business (What) Liiketoiminnan jatkuvuus ja vakaus Tulojen jatkuvuus & kassavirta (millainen katkos kestetään) Asiakaspalvelun toimivuus (voi olla kilpailuvaltti) Yrityksen maine Liiketoiminnan johtaminen (tarkka ja ajan tasalla oleva tieto) Toimiluvat ja säädökset (terveydenhoito, ilmailu, pankit) Työntekijöiden luottamus (luottamus johtoa kohtaan, työntekijöiden kohtelu potentiaalisina rikollisina) Osakkeenomistajien luottamus (seurattava ja otettava huomioon erilaiset markkina-analyysit) Muut osakkaat (kansalaiset virastojen tapauksessa, valtapuolueen vaihtuminen vaaleissa) The Business (What) Turvallisuuteen liittyvät järjestelmät (Safety-Critical Dependencies) Ongelmat järjestelmissä voivat aiheuttaa ihmisten loukkaantumisen tai kuoleman Etäyhteydet turvallisuuteen liittyviin järjestelmiin Etähallintayhteydet (tehtaat, robotit, voimalaitokset) Yhteyksien autentikointi (lähetettyjen komentojen autentikointi, yhteyksien kaappaamisen estäminen) Dokumenttien aitous esimerkiksi lentokoneiden huoltoohjeiden jakelussa Toiminnan varmistaminen (System Assurance) Estettävä toimintahäiriöt myös odottamattomissa tilanteissa (rajaton määrä mahdollisia syötteitä) 4

5 Business Risk Model (Why) Muutamia avainalueita, joilla yritys voi kohdata riskejä ja joihin halutaan kehittää ratkaisuja Brändin suojeleminen (pitkän ajan investointi) Huijausten estäminen (ICT mahdollistaa uusia tapoja toteuttaa pieniä ja suuria huijauksia) Tappioiden estäminen (monet riskit aiheuttavat tappioita) Liiketoiminnan jatkuvuus (usein avainalue yritykselle) Yrityksen strategiat ja arkkitehtuurin tuki strategioille Lakivelvoitteet (ovat erilaisia eri maissa) Avainosakkaiden luottamus Asiakkaat, toimittajat, työntekijät, sijoittajat, pankit, virastot, hallintoviranomaiset Business Process Model (How) Liiketoimintaprosessit edellyttävät: Entiteetin (ihminen, yritys, ohjelmisto) tunnistamista Entiteetin autentikointia Entiteetin valtuuksien määrittelyä Yritysviestintä Viestintämenetelmillä (puhelin, verkko, fax) ja käytetyillä sovelluksilla (verkkopankki, , tietojen siirto) on suuri vaikutus yrityksen turvallisuusarkkitehtuuriin Liiketoiminnan tapahtumat / transaktiot On olemassa monenlaisia sähköisiä liiketoimintatapahtumia (tilaukset, lähetteet, tietojen toimittaminen, maksuliikenne) Tarkastele tapahtumia tarkasti, jotta voit määritellä niiden turvallisuusvaatimukset 5

6 Business Organisation and Relationships (Who) Organisaatiolähtöiset tietoturvavaatimukset Hallinnon hierarkia ja sen vaikutukset arkkitehtuuriin Toimitusketjun integraatiot Yhteydet toimittajien ja asiakkaiden suuntaan ICT-toimintojen ulkoistaminen palveluntarjoajalle Strategiset kumppanuudet Mitä tietoa / kuinka paljon jaetaan kumppanille Yhteisyritykset (Joint Ventures) Kumppani voi olla kilpailija toisella alalla Fuusiot ja yrityskaupat Muutosten vaikutukset arkkitehtuuriin ja arkkitehtuurin joustavuus muutostilanteissa Business Geography (Where) Internet on yhteinen maailmanlaajuinen markkinapaikka Enää ei välttämättä tunneta ja nähdä liiketoiminnan toista osapuolta Helppo myös menettää asiakkaita kilpailijoille Etätyöskentely Monet työntekijät tekevät etätyötä / matkustavat maailmalla Eri puolilla maailmaa olevat yrityksen työntekijät muodostavat virtuaalisia tiimejä, jotka voivat kommunikoivat ICT:n avulla keskenään 6

7 Business Time Dependencies (When) Aikasidonnainen liiketoiminta Transaktioiden vasteajat / asiakaspalvelun vasteajat Määräajat ja aikaleimat esimerkiksi osakekaupassa Vanhoilla medioilla olevien tietojen käytettävyys Markkinoille menoaika (kehitetäänkö täydellinen tietoturva jolloin markkinarako ehtii mennä ohi) Time-Based Security P = Protection Value (time it takes to break into system) D = Detection Value (time it takes to raise the alarm) R = Reaction Value (time it takes to react to an alarm) IF P > D + R (system is secure and the attack will fail) Aim: reduce D and R as close as zero as possible Business Risk Model (Why) (in more detail) Riskien perusmallinnus riskien arvioiminen Auttaa kehittämään yritykselle Business Risk Modelin Riskeihin liittyvät peruskäsitteet (Risk Modelling) Assets (mitä arvokasta halutaan suojella) Threats (vahingolliset tapahtumat jotka vaarantavat assetit) Impacts (mitä aiheutuu kun uhka (threat) toteutuu) Vulnerabilities (heikkoudet ja tietoturva-aukot joiden kautta uhka voi toteutua ja vaarantaa assetit, aiheuttaen impactin) Riskin toteutumisen todennäköisyyteen vaikuttavat Level of threat (hyökkäyksen/uhan todennäköisyys) Level of vulnerability or weakness (hyökkäyksen/uhan onnistumisen todennäköisyys kyseisessä järjestelmässä) 7

8 Business Risk Model (Why) Riskien arviointi (Risk Assessment) Kirjassa esitellään yksi toteutustapa riskien arviointiin Liiketoiminnan riskien arvioinnin tyypilliset vaiheet Step 1: Identify your assets Step 2: Identify the possible threats againts your assets Step 3: Identify and quantify threat impacts Step 4: Identify and quantify vulnerabilities and weaknesses Step 5: Can you reduce vulnerabilities or weaknesses by introducing additional controls Step 6: Quantify the benefits and costs of these controls Tuloksena ymmärretään riskit paremmin ja voidaan tehdä perusteltuja riskienhallintapäätöksiä Threat Modelling Framework Two-dimensional threat classification scheme: Threat Domains (initial classification) People (past, current or future employees) Processes (employees, customers, suppliers, partners, ) Systems (technical systems) External Events (accidents, natural events, 3rd parties) Threat Categories Threat Category (facilities, strategy, technology, legal ) Domain Mapping (people, processes, systems, ext. events) Description Examples Information Security Mapping 8

9 Threat Scenarios Select one specific threat from previous framework Describe a threat scenario Specific Threat Threat Agent Capability (finance, software, expertise, literature) Motivation (personal gain, group gain, revenge) Opportunity Catalysts (Step changes in level of technical difficulty) Inhibitors (High level of technical difficulty) Amplifiers (Low level of technical difficulty) Now you can do risk priorisation based on scenarios SABSA Risk Assessment Method Kvalitatiivinen menetelmä riskien luokitteluun Tavoitteena luoda Business Risk Model -taulukko Step 1: Business Drivers and Business Attributes (1-4) Step 2: Threat Assessment (5) Step 3: Impact Assessment (6-7) Impact value: high (H), medium (M), low (L) Step 4: Vulnerability Assessment (8-9) Green field value (ignore controls already done): H, M, L Step 5: Risk Category (10) A (red), B (yellow), C (green), D (blue) Risk Mitigation (11-13) Response to the risk (Conceptual Security Architecture) 9

10 Luvun 9 yhteenveto SABSA alkaa liiketoiminnan analysoimisesta Mitkä ovat liiketoiminnan pääpilarit, jotka tulee suojata Analysoi uhat luokittele ne priorisoi Lopputuloksena tiedetään: Minkälaisen turvallisuusarkkitehtuurin liiketoiminta tarvitsee Mitkä ovat pääuhat, jotka kohdistuvat liiketoimintaan (järjestettyinä vakavuusjärjestykseen) Seuraavaksi aletaan pohtia ratkaisuja saatuihin ongelmiin luvun 10 myötä (luova vaihe) Conceptual Security Architecture 10