Kyberturvallisuuden implementointi Mika Laaksonen, KPMG HanselForum ICTpäivä 26.9.2013
Esityksen sisältö Mitä Kyberturvallisuus on? Keitä kyberturvallisuus koskettaa? Mitä organisaation tulisi tehdä lyhyellä ja pitkällä aikajänteellä? Havaro / verkon valvonta case esimerkki 1
Mitä Kyberturvallisuus on? Nykyään ihan kaikki on kyberturvallisuutta, termi ei kuitenkaan ole vakiintunut Oma näkemykseni on että Tietoturvallisuus oikein ja riittävän laajasti ymmärrettynä on lähes sama asia. Oleelliset erot/ tärkeät asiat ovat: Tietoturvallisuus keskittyy yleensä yksittäisen organisaation (tiedon) turvaamiseen, Kyberturvallisuus tähtää laajemman kokonaisuuden Toimialan tai yhteiskunnan tietojen ja toiminnan turvaamiseen Tietoturvallisuuden voi kohtuullisen hyvin toteuttaa yksin, kyberturvallisuus vaatii yhteistyötä Kyberturvallisuudessa tulee muistaa myös muut, kuin perinteiset IT-järjestelmät Yhden ja jälleen vähän suppean näkemyksen mukaan kyberturvallisuus on teollisuusautomaation turvaamista Suomen kyberturvallisuusstrategian mukaan kyberturvallisuudella tarkoitetaan tavoitetilaa, jossa kybertoimintaympäristöön voidaan luottaa ja jossa sen toiminta turvataan. Kybertoimintaympäristö on sähköisessä muodossa olevan informaation (tiedon) käsittelyyn tarkoitettu, yhdestä tai useammasta tietojärjestelmästä muodostuva toimintaympäristö. 2
Mitä Kyberturvallisuus on? Strategiset linjaukset Kyberturvallisuusstrategian linjaukset tiivistettynä ovat seuraavat: 1. Luodaan viranomaisten ja muiden toimijoiden välinen tehokas yhteistoimintamalli. 2. Parannetaan tilannetietoisuutta ja tilanneymmärrystä. 3. Ylläpidetään ja kehitetään kykyä havaita ja torjua elintärkeää toimintoa vaarantavat kyberuhkat ja -häiriötilanteet sekä toipua niistä osana elinkeinoelämän jatkuvuuden hallintaa. 4. Huolehditaan, että poliisilla on tehokkaat edellytykset toimia. 5. Puolustusvoimat luo kokonaisvaltaisen kyberpuolustuskyvyn 6. Osallistutaan kyberturvallisuuden kannalta keskeisten kansainvälisten organisaatioiden ja yhteistyöfoorumeiden toimintaan. 7. Parannetaan kaikkien yhteiskunnan toimijoiden kyberosaamista ja - ymmärrystä. 8. Lainsäädännöllä varmistetaan tehokkaan kyberturvallisuuden toteuttamisen edellytykset. 9. Määritellään tehtävät ja palvelumallit sekä yhteiset perusteet kyberturvallisuuden vaatimusten hallinnalle. 10. Strategian toimeenpanoa valvotaan ja toteumaa seurataan. Varsinaiset toimenpiteet näiden toteuttamiseksi on määrittelyn alla Kuva: Suomen kyberturvallisuusstrategia sivu 3 3
Keitä kyberturvallisuus koskettaa? Edelliseltä sivulta voidaan huomata, että Kyberturvallisuus ja kyberturvallisuusstrategian implementointi koskettaa yhteiskuntaa hyvin laajalti: Poolisi, puolustusvoimat, muut viranomaiset, lainsäätäjät, yritykset, kansalaiset Viimeaikaiset paljastukset ja tietomurrot ovat yksi osoitus siitä, että asia koskettaa hyvin monia toimijoita Mandiant APT1 raportti kiinan tiedustelusta Edvard Snowden paljastukset NSA:n tiedustelusta Kotimaiset uutiset laajoista tietomurroista 4
Mitä organisaation tulisi tehdä lyhyellä ja pitkällä aikajänteellä? Yhteistä viimeaikaisille paljastuksille ja tietomurroille on ollut ainakin se, että suuri osa kohteista ei ole havainnut tapahtunutta, vaikka tunkeilija on monessa tapauksessa ollut järjestelemissä vuosia -> Havainnointi ja siten myös reagointikyky on ihan riittämätön Lyhyellä aikajänteellä pitäisi ainakin: Kysyä itseltään kysymys: Tiedänkö minä mitä verkossani ja järjestelmissäni tapahtuu ja huomaisinko jos niissä tapahtuisi eitoivottua. Kun vastaus edelliseen on En, niin parantaa havaitsemis- ja reagointikykyä Liity Havaroon, jos voit. Varmista, että raporttien perusteella organisaatiossasi tehdään oikeasti tutkintaa mitä on meneillään Onko tähän edellytykset (osaaminen, lokit, laitteet) Hyödynnä IDS, SIEM, verkon valvontaa yms. ratkaisuita ja selvitä millaista liikennettä verkossa on, mihin sieltä avataan yhteyksiä yms. - > Tulokset ovat usein jännittäviä Kuva: Mandiant APT1 report 5
Mitä organisaation tulisi tehdä lyhyellä ja pitkällä aikajänteellä? Pidemmällä aikajänteellä tulisi ainakin: Pystyä seuraamaan mitä verkossa ja järjestelmissä tapahtuu ja pystyä reagoimaan ei-toivottuihin tapahtumiin Myöntää, että aika, jolloin uskottiin, että järjestelmien suojaaminen on mahdollista, on ohi ja varautua siihen, miten toimitaan, kun havaitaan tietomurto Keskittyä myös muiden, kuin perinteisten IT-järjestelmien suojaamiseen ja tilan seurantaan Yhteiskunnan tulisi luoda toimintamalli ja ratkaisut, joiden avulla yksittäisten organisaatioiden tekemästä tutkinnasta saataisiin muodostettua uhkien kokonaiskuva, joka olisi kaikkien käytettävissä Havaro ja kyberturvakeskus ovat askelia oikeaan suuntaan ja luovat edellytyksiä tähän, mutta eivät vielä nykyisellään ole tarpeeksi Kuva: Mandiant APT1 report 6
HAVARO Case Esimerkki
Mikä HAVARO, ja miten KPMG voi siinä auttaa? HAVARO on Viestintäviraston ja Huoltovarmuuskeskuksen tietoturvapalvelu huoltovarmuuskriittisille organisaatioille. Käytännössä palvelu perustuu organisaation Internet-liikennettä tutkivaan IDS-sensoriin (Intrusion Detection System) joka etsii liikenteestä haitallista sisältöä. Internet Asiakkaan ympäristö HAVARO haittaohjelmahavainto sensorista HAVARO -raportti Asiakasorganisaatio KPMG kommunikoi ja tekee yhteistyötä myös CERT:n kanssa tietoturvapoikkeaman selvityksessä. KPMG:n HAVARO-palvelu: -Forensiikka -Lokien keräys ja analysointi -Tiedonhaku -Riskianalyysi -Reverse Engineering -Kehitysehdotukset 8
HAVARO Case-esimerkki (Huoltovarmuuskriittinen yritys) Mitä teemme? KPMG käy viikoittain läpi asiakkaan kriittiset (punaiset) HAVARO-poikkeamat, ja merkittävät (keltaiset) poikkeamat kuukausittain. KPMG analysoi ja suhteuttaa riskin asiakkaan ympäristöön ottaen huomioon eri suojausten toimivuuden. KPMG analysoi tapahtuman vaikutuksia asiakasympäristössä: KPMG:llä on suojattu yhteys asiakkaan ympäristöön VPN:n ja hyppypalvelimen kautta (lukuoikeus eri lokitietoihin) KPMG suorittaa asiakkaan operatiivisten järjestelmien lokitutkintaa tapauksen selvittämiseksi (Palomuuri/IDS, Internet Proxy, CMDB, SCCM, Antivirus, Työaseman/palvelimen lokit) KPMG suorittaa tiedonhaun ja analyysin hyökkäyksestä tai haittaohjelmasta (Internet, KPMG-sisäinen tietoturvayhteisö, ym.) Haittaohjelma voidaan suorittaa ja sen toimintaa tutkia myös KPM G:n omassa hiekkalaatikko - ympäristössä (Reverse Engineering) Työasemalle/palvelimelle tehdään tarvittaessa myös syvempää forensiikkaa (esim. Rootkit-etsintää) Yksityiskohtainen raportti asiakkaalle tapahtumasta ja sen seurauksista, sekä suositukset jatkotoimenpiteistä. Kehitysehdotuksia ympäristöön liittyen (esim. lokienhallinnan kehittäminen), ja ehdotus miten vastaavia poikkeamia voidaan jatkossa paremmin torjua (Javan suodatus Internet-proxyllä, haavoittuvien ohjelmistojen päivitys tms.) 9
HAVARO Case-esimerkki (Huoltovarmuuskriittinen yritys) Miten teemme? Saatuaan HAVARO-raportin KPMG ensin analysoi sen sisällön ja havaintojen merkityksen KPMG:n toimistolla. Tämän jälkeen otamme yhteyden asiakkaan lokijärjestelmiin ja selvitämme: Mitä laitteita havainto mahdollisesti on koskettanut Onko eri suojauskeinot toimineet ja estäneet ei-toivottavan tapahtuman Mitä on tapahtunut ja missä järjestyksessä Tapahtuman kategorisointi riskin tyypin, laajuuden ja kohteen kriittisyyden perusteella Vaatiiko asia toimenpiteitä välittömästi tai pidemmällä ajanjaksolla Jos tapaus vaatii välittömiä toimenpiteitä, olemme yhteydessä asiakkaaseen ja kerromme mistä on kyse ja mitä pitäisi tehdä. Tarvittaessa autamme asiakasta korjaavissa toimenpiteissä ja/tai menemme paikanpäälle tekemään syvällisempää analyysiä/muita toimenpiteitä Laadimme asiakkaalle selvityksen asiasta ja annamme suosituksia suojaustoimenpiteiden kehittämiseksi Suojaustoimenpiteiden kehittäminen ei yleensä liity yksittäiseen HAVARO-havaintoon, mutta se voi olla herätteenä kehitystoimille, jotka jatkossa estävät muitakin ei-toivottuja tapahtumia. 10
HAVARO Case-esimerkki (Huoltovarmuuskriittinen yritys) - Hyödyt Asiakas on saanut paremman käsityksen siitä, mitä Havaro-raportin havainnot tarkoittavat ja on pystynyt suhteuttamaan riskit omaan ympäristöönsä, ottaen huomioon olemassa olevat suojauskeinot. Punainen Havaro-havainto ei ole kriittinen, jos suojaukset torjuvat sen tehokkaasti. Asiakas on pystynyt paremmin perustelemaan tehtyjen tai uusien tietoturvainvestointien tarpeellisuuden, koska on voitu osoittaa mitkä kontrollit ovat ehkäisseet ei-toivotun tapahtuman. Jos mitkään kontrollit eivät ole ehkäisseet ei-toivottua tapahtumaa, suunnitellaan mahdollisesti uusia kontrolleja tai kehitetään olemassa olevia. Asiakas on voinut nukkua yönsä paremmin tietäen, että ongelmatilanne ja sen aiheuttaja on selvitetty. Asiakas on saanut konkreettisia ehdotuksia suojaustoimien parantamiseksi, jotka on myös toteutettu. Kriittisten (punaisten) Havaro-havaintojen määrä on pudonnut tehtyjen toimenpiteiden ansiosta. Ympäristöstä on saatu tietoa riittävätkö järjestelmien lokitasot nykyisellään selvittämään tietoturvapoikkeamia riittävällä tasolla Asiakas on saanut mitattavaa ja raportoitavaa tietoa tietoturvan tilasta. Toimiiko esimerkiksi päivitystenhallintaprosessi ja noudatetaanko tietoturvapolitiikkaa? 11
Kiitos! Mika Laaksonen KPMG Oy Ab