security and football: what's difference

© 2006 Cisco Systems, Inc. All rights reserved. Cisco Confidential 1/38Cisco Security. Norway

Обеспечение соответствия ИТ- и ИБ-политике, а также требованиям иных стандартов и рекомендаций

Алексей Лукацкий

Бизнес-консультант по безопасности




Что общего между женщиной и защитой информации?




Информационная безопасность и футбол: что общего?

© 2006 Cisco Systems, Inc. All rights reserved. Cisco ConfidentialCisco Security. Norway 4/38

О чем пойдет речь

Футбол и безопасность: что общего

И все-таки о соответствии

Что нового у Cisco?

Заключение


Футбол и безопасность: что общего?


Футбол дворовый

«Любительское», несерьезное отношение

Команда не сформирована

Инвентаря нет

Границы игрового поля не очерчены

Правил нет и они не соблюдаются


Участники игры: игроки

Команда профессионалов

Скоординированные действия

Быстрое реагирование на изменения

Игра по правилам


Участники игры: болельщики

Не участвуют в игре, но от их поведения зависит ее результат

Предупреждения футбольному клубу

Штрафы за некорректное/ неэтичное поведение болельщиков

Засчитывание победы противнику


Участники игры: тренер

Сам не играет, но определяет действия игроков, отвечает за их квалификацию

Результат игры во-многом зависит от мастерства тренера, а не от качества инвентаря


Участники игры: владельцы клуба

Не участвуют в игре и тренировках

Определяют миссию

Выделяют финансы

Принимают на работу тренера


Участники игры: судьи

Определяют правила и контролируют их соблюдение

Контроль соответствия инвентаря установленным требованиям

Наказание


Участники игры: соперники

Соперник может быть на уровне дворовой команды, а может быть профессионально сформированной командой

Нельзя недооценивать соперника


Другие участники игры

Cheerleader, медицинские работники и т.д. появляются на игровом поле в разное время и для решения разных задач

Необходимо учитывать их влияние

Чем больше участников, тем сложнее игра


Инвентарь

Инвентарь важен, но не является определяющим для успеха игры

Есть инвентарь

Профессиональный и любительский

Отечественный и западный

Платный и самопальный / свободно распространяемый

Мяч – не единственный инвентарь


Игровое поле

Четко очерченные границы для игры

Каждый игрок должен знать свое место и возможные пути движения соперников


Правила игры

В игре побеждает не сильнейший, а тот кто смог применить свое умение в правильном месте и в правильное время

С правилами игры должны быть знакомы всеучастники игры

Противник должен играть по вашим правилам


Результат игры

Если вы проиграете или нарушите правила, то

Снижается ваш рейтинг

Падает известность и уходит слава

Вы не попадаете в высшую лигу

Вас штрафуют

Если вы выиграете, то

Растет ваш рейтинг

Увеличивается число болельщиков и спонсоров


Другие схожие моменты

Запрещенные методы игры

Подкуп судей

Переход/перекуп игроков


И все-таки о соответствии


Использовать ИТ- и ИБ-решения, соответствующие стандартам и требованиям

Регулярно проверять соответствие ИС требованиям стандартов и рекомендаций

Международных, национальных, отраслевых, корпоративных

2 задачи соответствия


ISO 17799 и решения Cisco

6УправлениеПК и сетью

1Политиказащиты

2Организация

защиты

3Классифик.

даных

4Защита

персонала

5Защита

окружения

7Контрольдоступа

к системе

8Разработка

9BCP и DRP

10Соответствие

• Хранение информации

• Копированиеинформации

• Управление информацией

• Классификаци

• Инвентаризаци

• Регистрация

• Безопасность недвижимости

• Поддержка

• Электропитани

• Безопасность оборудования

• Доступ в критичные области

• Контроль доступа

• Защита периметра

• Внешние связи

• Публичный доступ

• Защита E-mail

• eCommerce

• Сетевой контроль

• Управление сетью

• Резервировани

• Защита от вредоносного кода

• Внешние устройства

• Teleworking

• Изоляция систем

• Ограничение доступа

• Аутентификац.

• Terminal ID

• Контроль маршрутизаци

• Контроль соединений

• Разделение сети

• Аутентификаци узлов

• Аутентификаци внешних связей.

• Enforced Path

• Network Access Control

• Привилегии

• Скрытые каналы и троянцы

• Ограничение изменений в исходниках

• Ограничение доступа к исходникам

• Контроль ПО

• Криптоконтрол

• Аутентификацисообщений

• Требования защиты к приложениям

• Business Continuity Process

• Disaster Recovery Plans

• Highly Available Systems

NAC

ISR

ASA/PIX

IDS/IPS

CSA

IBNS (802.1x)

DDoS

MARS

NetFlow

SPA

Защищенные унифицированные коммуникации

Защищенный storage


Требование PCI ASA CS-MARS NAC/CCA ACS CSA ISR IPS CSM

1) Установка и поддержка МСЭ для защиты данных

2) Не использовать заданные по умолчанию пароли и настройки

3) Защищать хранимые данные

4) Шифровать данные, передаваемые по открытым каналам связи

5) Использовать и регулярно обновлять антивирус

6) Разрабатывать и поддерживать в защищенном состоянии системы и приложения

7) Ограничивать доступ к данным.

8) Аутентифицировать каждого пользователя с помощью уникального ID

9) Ограничивать физический доступ к информации

10) Отслеживать весь доступ к информации о владельцах карт и к сетевым ресурсам

11) Регулярное тестирование систем и процессов

12) Разработка и поддержка политики безопасности в актуальном состоянии

PCI и решения Cisco


CoBIT и решения Cisco

Objective ASA PIX IPS CSA NAC CCA GuardCisco

Works

IOS

Router

Catalyst

CIFACS MARS ICS

W ireless

APNAM CSM

DS1.5 X X

DS2.4 X

DS5.3 X X X

DS5.4 X X

DS5.5 X X

DS5.6 X X X X X

DS5.7 X X X

DS5.8 X X X X X

DS5.9 X X X X X X X X

DS5.10 X X X X X X X X X X X X X

DS5.11 X X X X

DS9.1 X X

DS9.2 X X

DS9.3 X X

DS10.2 X

DS11.6 X X X


Соответствие требованиям РФ

300+ сертификатов Гостехкомиссии / ФСТЭК

Процесс сертификации непрерывен, в т.ч. и по ГОСТ Р ИСО/МЭК 15408 («Общие критерии»)

Сертифицированы МСЭ, IDS, HIPS, VLAN, управление, маршрутизаторы, коммутаторы, IOS...

Сертификация единичных экземпляров, партии и… производства

Сертификация по линии ФСБ

Соответствие СТР-К, Стандарту Банка России и т.д.

© 2005 Cisco Systems, Inc. All rights reserved.


Как проверить соответствие?

CiscoWorks LAN Management Solution (LMS)

Cisco Security Manager (CSM)

Cisco Network Admission Control (NAC)

Cisco Network Compliance Manager

Cisco Configuration Assurance Solution



Что нового у Cisco


Применение и контроль политик

Защищенная сетеваяплатформа

Защитасвязей

Сетевая безопасность

Контрольугроз

Контроль контента

Обычно внедряется на периметре

Защита клиентских приложенийот Anti-X-активности

– Вредоносное ПО, фильтрация URL, спам, фишинг, ботнеты и т.д.

Защита приложений

Обычно внедряется в центре обработки данных (ЦОД)

Защищает серверные приложения от атак уровня 4-7

– SQL Injection, XML FW, HTTP spoofing и т.д.

Контрольконтента

Защитаприложений

Информационнаябезопасность

Эволюция Self-Defending Network 3.0


Набор готовых решений

Минимально необходимая ИБ

Firewall

Cisco PIX

Intrusion Prevention

Cisco IPS

Remote Access VPN

Cisco VPN 3000

Router Security

Cisco ISR Family

Switch Security

Catalyst Engines,PISA

Security Systems

NAC , DLP/SME, Trust Sec

Security Mgmt/Compiance

CSM / MARS

Endpoint Security

Cisco Security Agent

Converged Security

Cisco ASA 5500

Information Security

AVS/ACE/XG, Ironport

Доступпартнеров

Корпоративнаясеть

Internet

Удаленный доступ

Отделение / филиалЦОД

LAN

Web сервера / Web сервисы

Партнеры

Public IM / Public IPC

Secure WAN

Secure Perimeter Secure Data Center

Secure LAN

Расширенная ИБ

Защита приложений

Контроль контента Compliance & Policy

Secure IPC & Wireless


Последние новости

Новые версии Cisco IPS, MARS, CSM, CSA, ASA…

Решения по контролю электронной почты и Web-трафика

Антивирусная проверка, антиспам, контроль утечек, шифрование почты…

Контроль XML и SOAP

Новая версия SAFE

Сервисы

Бесплатные Web-курсы и Cisco Secure Policy Builder

Advanced / Advisory Services

IntelliShield Alert Manager

TAC на русском языке

VPN-модуль с ГОСТ

Сертификация производства Cisco ISR, Cisco Catalyst, Cisco ASA


Финансирование проектов по ИБ

Кредитование

Срок – до 5-ти лет (отсрочка первого платежа – до 6 месяцев)

Оборудование Cisco – не менее 65%

Финансовый лизинг

Оплата небольшими частями

Возвратный лизинг

Выкуп оборудования с последующей его сдачей в лизинг

Оперативный лизинг

Замена оборудования по мере морального или технического устаревания



Преимущества лизинга

CapEx переходит в OpEx (улучшает CashFlow)

Ускоренная амортизация (коэффициент – 3)

Налоговые преимущества

Снижение налога на прибыль (лизинг относится на себестоимость)

Снижение налога на имущество (ускоренная амортизация)

Не снижает Net Income, EBITDA

Улучшает показатели возврата инвестиций (ROI) и рентабельности активов (ROA)

Нет проблем списания оборудования



Заключение


Множество требований


Не увлекайтесь стандартами!

Впервые стали говорить об атаках

Многошума

Не так страшен черт,как его малюют

Наработаны контрмеры Плато продуктивности

технологии

зрелость

Сентябрь 2006

Плато будет достигнуто:

Меньше чем за 2 года

От 2 до 5 лет

От 5 до 10 лет Больше чем 10 летУстареет еще до плато

RFID угрозыУгрозы виртуализации

Атаки на SOAАутсорсинговыеугрозы Бот-сети

Zero-Day атаки

Бумажная безопасность

Фишинг

Атаки на мобильные устройства

Шпионское ПО

Атаки на P2P

Уязвимости Embedded ОС

Спам

DNS атаки

Гибридныечерви

Кража identity

SOHO уязвимости

VoIP угрозыDoS-атаки

Социальный инжиниринг

Вирусы

WLANатаки

Web-атаки

Бумажнаябезопасность!!!


Дополнительная информация

WP

Managing Security Best Practices with the Cisco SDN

Managing Risk and Compliance with the Cisco SDN

PCI Compliance Using the Cisco SDN

Решения Cisco для реализации требований СТР-К

Реализация требований стандарта Банка России по ИБ с помощью решений Cisco

Ресурсы Cisco

http://www.cisco.com/go/compliance

http://www.cisco.com/go/security

http://www.cisco.com/global/RU/broch.shtml

http://www.cisco.com/go/compliance

http://www.cisco.com/go/security

http://www.cisco.com/global/RU/broch.shtml


Играйте…

Дополнительные вопросы Вы можете задать по электронной почте [email protected]или по телефону: +7 495 961-1410

по правилам!!!

security and football: what's difference

Entertainment & Humor