Post on 05-Dec-2014
description
© 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential 1/38Cisco Security. Norway
Обеспечение соответствия ИТ- и ИБ-политике, а также требованиям иных стандартов и рекомендаций
Алексей Лукацкий
Бизнес-консультант по безопасности
© 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential 2/38Cisco Security. Norway
Алексей Лукацкий
Бизнес-консультант по безопасности
Что общего между женщиной и защитой информации?
© 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential 3/38Cisco Security. Norway
Алексей Лукацкий
Бизнес-консультант по безопасности
Информационная безопасность и футбол: что общего?
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 4/38
О чем пойдет речь
Футбол и безопасность: что общего
И все-таки о соответствии
Что нового у Cisco?
Заключение
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 5/38
Футбол и безопасность: что общего?
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 6/38
Футбол дворовый
«Любительское», несерьезное отношение
Команда не сформирована
Инвентаря нет
Границы игрового поля не очерчены
Правил нет и они не соблюдаются
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 7/38
Участники игры: игроки
Команда профессионалов
Скоординированные действия
Быстрое реагирование на изменения
Игра по правилам
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 8/38
Участники игры: болельщики
Не участвуют в игре, но от их поведения зависит ее результат
Предупреждения футбольному клубу
Штрафы за некорректное/ неэтичное поведение болельщиков
Засчитывание победы противнику
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 9/38
Участники игры: тренер
Сам не играет, но определяет действия игроков, отвечает за их квалификацию
Результат игры во-многом зависит от мастерства тренера, а не от качества инвентаря
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 10/38
Участники игры: владельцы клуба
Не участвуют в игре и тренировках
Определяют миссию
Выделяют финансы
Принимают на работу тренера
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 11/38
Участники игры: судьи
Определяют правила и контролируют их соблюдение
Контроль соответствия инвентаря установленным требованиям
Наказание
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 12/38
Участники игры: соперники
Соперник может быть на уровне дворовой команды, а может быть профессионально сформированной командой
Нельзя недооценивать соперника
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 13/38
Другие участники игры
Cheerleader, медицинские работники и т.д. появляются на игровом поле в разное время и для решения разных задач
Необходимо учитывать их влияние
Чем больше участников, тем сложнее игра
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 14/38
Инвентарь
Инвентарь важен, но не является определяющим для успеха игры
Есть инвентарь
Профессиональный и любительский
Отечественный и западный
Платный и самопальный / свободно распространяемый
Мяч – не единственный инвентарь
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 15/38
Игровое поле
Четко очерченные границы для игры
Каждый игрок должен знать свое место и возможные пути движения соперников
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 16/38
Правила игры
В игре побеждает не сильнейший, а тот кто смог применить свое умение в правильном месте и в правильное время
С правилами игры должны быть знакомы всеучастники игры
Противник должен играть по вашим правилам
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 17/38
Результат игры
Если вы проиграете или нарушите правила, то
Снижается ваш рейтинг
Падает известность и уходит слава
Вы не попадаете в высшую лигу
Вас штрафуют
Если вы выиграете, то
Растет ваш рейтинг
Увеличивается число болельщиков и спонсоров
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 18/38
Другие схожие моменты
Запрещенные методы игры
Подкуп судей
Переход/перекуп игроков
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 19/38
И все-таки о соответствии
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 20/38
Использовать ИТ- и ИБ-решения, соответствующие стандартам и требованиям
Регулярно проверять соответствие ИС требованиям стандартов и рекомендаций
Международных, национальных, отраслевых, корпоративных
2 задачи соответствия
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 21/38
ISO 17799 и решения Cisco
6УправлениеПК и сетью
1Политиказащиты
2Организация
защиты
3Классифик.
даных
4Защита
персонала
5Защита
окружения
7Контрольдоступа
к системе
8Разработка
9BCP и DRP
10Соответствие
• Хранение информации
• Копированиеинформации
• Управление информацией
• Классификаци
• Инвентаризаци
• Регистрация
• Безопасность недвижимости
• Поддержка
• Электропитани
• Безопасность оборудования
• Доступ в критичные области
• Контроль доступа
• Защита периметра
• Внешние связи
• Публичный доступ
• Защита E-mail
• eCommerce
• Сетевой контроль
• Управление сетью
• Резервировани
• Защита от вредоносного кода
• Внешние устройства
• Teleworking
• Изоляция систем
• Ограничение доступа
• Аутентификац.
• Terminal ID
• Контроль маршрутизаци
• Контроль соединений
• Разделение сети
• Аутентификаци узлов
• Аутентификаци внешних связей.
• Enforced Path
• Network Access Control
• Привилегии
• Скрытые каналы и троянцы
• Ограничение изменений в исходниках
• Ограничение доступа к исходникам
• Контроль ПО
• Криптоконтрол
• Аутентификацисообщений
• Требования защиты к приложениям
• Business Continuity Process
• Disaster Recovery Plans
• Highly Available Systems
NAC
ISR
ASA/PIX
IDS/IPS
CSA
IBNS (802.1x)
DDoS
MARS
NetFlow
SPA
Защищенные унифицированные коммуникации
Защищенный storage
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 22/38
Требование PCI ASA CS-MARS NAC/CCA ACS CSA ISR IPS CSM
1) Установка и поддержка МСЭ для защиты данных
2) Не использовать заданные по умолчанию пароли и настройки
3) Защищать хранимые данные
4) Шифровать данные, передаваемые по открытым каналам связи
5) Использовать и регулярно обновлять антивирус
6) Разрабатывать и поддерживать в защищенном состоянии системы и приложения
7) Ограничивать доступ к данным.
8) Аутентифицировать каждого пользователя с помощью уникального ID
9) Ограничивать физический доступ к информации
10) Отслеживать весь доступ к информации о владельцах карт и к сетевым ресурсам
11) Регулярное тестирование систем и процессов
12) Разработка и поддержка политики безопасности в актуальном состоянии
PCI и решения Cisco
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 23/38
CoBIT и решения Cisco
Objective ASA PIX IPS CSA NAC CCA GuardCisco
Works
IOS
Router
Catalyst
CIFACS MARS ICS
W ireless
APNAM CSM
DS1.5 X X
DS2.4 X
DS5.3 X X X
DS5.4 X X
DS5.5 X X
DS5.6 X X X X X
DS5.7 X X X
DS5.8 X X X X X
DS5.9 X X X X X X X X
DS5.10 X X X X X X X X X X X X X
DS5.11 X X X X
DS9.1 X X
DS9.2 X X
DS9.3 X X
DS10.2 X
DS11.6 X X X
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 24/38
Соответствие требованиям РФ
300+ сертификатов Гостехкомиссии / ФСТЭК
Процесс сертификации непрерывен, в т.ч. и по ГОСТ Р ИСО/МЭК 15408 («Общие критерии»)
Сертифицированы МСЭ, IDS, HIPS, VLAN, управление, маршрутизаторы, коммутаторы, IOS...
Сертификация единичных экземпляров, партии и… производства
Сертификация по линии ФСБ
Соответствие СТР-К, Стандарту Банка России и т.д.
© 2005 Cisco Systems, Inc. All rights reserved.
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 25/38
Как проверить соответствие?
CiscoWorks LAN Management Solution (LMS)
Cisco Security Manager (CSM)
Cisco Network Admission Control (NAC)
Cisco Network Compliance Manager
Cisco Configuration Assurance Solution
© 2005 Cisco Systems, Inc. All rights reserved.
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 26/38
Что нового у Cisco
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 27/38
Применение и контроль политик
Защищенная сетеваяплатформа
Защитасвязей
Сетевая безопасность
Контрольугроз
Контроль контента
Обычно внедряется на периметре
Защита клиентских приложенийот Anti-X-активности
– Вредоносное ПО, фильтрация URL, спам, фишинг, ботнеты и т.д.
Защита приложений
Обычно внедряется в центре обработки данных (ЦОД)
Защищает серверные приложения от атак уровня 4-7
– SQL Injection, XML FW, HTTP spoofing и т.д.
Контрольконтента
Защитаприложений
Информационнаябезопасность
Эволюция Self-Defending Network 3.0
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 28/38
Набор готовых решений
Минимально необходимая ИБ
Firewall
Cisco PIX
Intrusion Prevention
Cisco IPS
Remote Access VPN
Cisco VPN 3000
Router Security
Cisco ISR Family
Switch Security
Catalyst Engines,PISA
Security Systems
NAC , DLP/SME, Trust Sec
Security Mgmt/Compiance
CSM / MARS
Endpoint Security
Cisco Security Agent
Converged Security
Cisco ASA 5500
Information Security
AVS/ACE/XG, Ironport
Доступпартнеров
Корпоративнаясеть
Internet
Удаленный доступ
Отделение / филиалЦОД
LAN
Web сервера / Web сервисы
Партнеры
Public IM / Public IPC
Secure WAN
Secure Perimeter Secure Data Center
Secure LAN
Расширенная ИБ
Защита приложений
Контроль контента Compliance & Policy
Secure IPC & Wireless
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 29/38
Последние новости
Новые версии Cisco IPS, MARS, CSM, CSA, ASA…
Решения по контролю электронной почты и Web-трафика
Антивирусная проверка, антиспам, контроль утечек, шифрование почты…
Контроль XML и SOAP
Новая версия SAFE
Сервисы
Бесплатные Web-курсы и Cisco Secure Policy Builder
Advanced / Advisory Services
IntelliShield Alert Manager
TAC на русском языке
VPN-модуль с ГОСТ
Сертификация производства Cisco ISR, Cisco Catalyst, Cisco ASA
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 30/38
Финансирование проектов по ИБ
Кредитование
Срок – до 5-ти лет (отсрочка первого платежа – до 6 месяцев)
Оборудование Cisco – не менее 65%
Финансовый лизинг
Оплата небольшими частями
Возвратный лизинг
Выкуп оборудования с последующей его сдачей в лизинг
Оперативный лизинг
Замена оборудования по мере морального или технического устаревания
© 2005 Cisco Systems, Inc. All rights reserved.
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 31/38
Преимущества лизинга
CapEx переходит в OpEx (улучшает CashFlow)
Ускоренная амортизация (коэффициент – 3)
Налоговые преимущества
Снижение налога на прибыль (лизинг относится на себестоимость)
Снижение налога на имущество (ускоренная амортизация)
Не снижает Net Income, EBITDA
Улучшает показатели возврата инвестиций (ROI) и рентабельности активов (ROA)
Нет проблем списания оборудования
© 2005 Cisco Systems, Inc. All rights reserved.
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 32/38
Заключение
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 33/38
Множество требований
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 34/38
Не увлекайтесь стандартами!
Впервые стали говорить об атаках
Многошума
Не так страшен черт,как его малюют
Наработаны контрмеры Плато продуктивности
технологии
зрелость
Сентябрь 2006
Плато будет достигнуто:
Меньше чем за 2 года
От 2 до 5 лет
От 5 до 10 лет Больше чем 10 летУстареет еще до плато
RFID угрозыУгрозы виртуализации
Атаки на SOAАутсорсинговыеугрозы Бот-сети
Zero-Day атаки
Бумажная безопасность
Фишинг
Атаки на мобильные устройства
Шпионское ПО
Атаки на P2P
Уязвимости Embedded ОС
Спам
DNS атаки
Гибридныечерви
Кража identity
SOHO уязвимости
VoIP угрозыDoS-атаки
Социальный инжиниринг
Вирусы
WLANатаки
Web-атаки
Бумажнаябезопасность!!!
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 35/38
Дополнительная информация
WP
Managing Security Best Practices with the Cisco SDN
Managing Risk and Compliance with the Cisco SDN
PCI Compliance Using the Cisco SDN
Решения Cisco для реализации требований СТР-К
Реализация требований стандарта Банка России по ИБ с помощью решений Cisco
Ресурсы Cisco
http://www.cisco.com/go/compliance
http://www.cisco.com/go/security
http://www.cisco.com/global/RU/broch.shtml
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 36/38
Играйте…
Дополнительные вопросы Вы можете задать по электронной почте security-request@cisco.comили по телефону: +7 495 961-1410
по правилам!!!
© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 37/38