Your SlideShare is downloading. ×
  • Like
  • Save
Technology Risk Management of Web Applications — A Case Study
Upcoming SlideShare
Loading in...5
×

Thanks for flagging this SlideShare!

Oops! An error has occurred.

×

Now you can save presentations on your phone or tablet

Available for both IPhone and Android

Text the download link to your phone

Standard text messaging rates apply

Technology Risk Management of Web Applications — A Case Study

  • 794 views
Published

 

Published in Technology
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
No Downloads

Views

Total Views
794
On SlideShare
0
From Embeds
0
Number of Embeds
1

Actions

Shares
Downloads
0
Comments
0
Likes
1

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. Zarządzanie ryzykiem technologicznym aplikacji webowych Studium przypadku Grill IT Wrocław, 12 października 2007 Michał Sobiegraj, CISSP
  • 2. CzyToDziała
      • Usługa podobna do CzyToDziala.pl
    • Przypadek jest fikcyjny!
    /31
  • 3. Po co zarządzać ryzykiem?
    • Koncentrujemy się na dostępności
      • Ile jest niezależnych serwerów?
      • Jak wygląda dystrybucja geograficzna?
      • Ile jest niezależnych łącz?
      • Niezależne zasilanie?
      • Serwery DNS?
      • Backup?
      • Dlaczego?
    /31
  • 4. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
      • Spodziewana strata
      • Bilans kosztów/zysków
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 5. Spodziewana strata
    • SLE (Single Loss Expectancy) – przewidywana wartość pojedynczej straty
          • AV (Asset Value) – wartość aktywa
          • EF (Exposure Factor) – część AV, która zostanie utracona podczas pojedynczego incydentu
    • ALE (Annualised Loss Expectancy)
          • ARO (Annual Rate of Occurance) – ilość wystąpień na rok
    /31
  • 6. Bilans kosztów/zysków
    • ROSI (Return On Security Investment)
        • ALE (Annualised Loss Expectancy) – Przewidywana wartość strat w ciągu roku
        • ALE SG – Przewidywana wartość strat w ciągu roku przy zastosowaniu środków zaradczych (Safe Guards)
    0 /31
  • 7. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
      • Identyfikacja
      • Właściciel biznesowy
      • Wartość
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 8. Aktywa (1) – Identyfikacja
    • Często mapowane z procesu biznesowego
      • Szczegółowość zależy od bilansu kosztów/zysków
      • System testowania dostępności
      • System wysyłania alarmów
        • Podsystem wysyłania maili
        • Podsystem wysyłania SMSów
      • System serwowania raportów
      • System do fakturowania
    /31
  • 9. Aktywa (2) – Właściciel biznesowy
    • Odpowiedzialny za aktywa
      • Odbiorca analizy ryzyka
      • Ponosi koszty związane z aktywem
    • Małe przedsięwzięcia
      • Zwykle przedsiębiorca
      • Być może delegowana osoba
      • Przedsiębiorca i tak jest ostatecznie odpowiedzialny
      • ?
    /31
  • 10. Aktywa (3) – Wartość (1)
    • Czyli?
      • Ile będzie kosztowało odtworzenie systemu?
      • Ile będzie kosztować odtworzenie utraconych danych?
      • Ile będzie kosztować niedostępność systemu?
      • Ile będzie kosztować niedostępność danych?
      • Ile konkurencja zyska na niedostępności?
      • Ile będzie kosztować utrata reputacji?
      • SLA z naszymi klientami
      • AV
    /31
  • 11. Aktywa (3) – Wartość (2)
    • Kwantyfikacja
      • Wartości monetarne
      • 1/2/3, etc
    • Wyczucie ;-)
    • Algorytm
      • Dostosowany do konkretnych warunków
      • Skomplikowanie zależy od bilansów kosztów/zysków
    • Spójna!
    /31
  • 12. Aktywa (3) – Wartość (3)
      • System testowania dostępności
        • Odtworzenie systemu
          • Serwery: 20.000PLN
          • Oprogramowanie i dane: 20.000PLN
        • Kary umowne wynikające z SLA: 40.000PLN
        • Utrata reputacji (chyba, że się nikt nie zorientuje ;-) : 20.000PLN
        • AV: 100.000PLN
      • System wysyłania alarmów
        • Jak wyżej – główny system
        • AV: 100.000PLN
    /31
  • 13. Aktywa (3) – Wartość (4)
      • System serwowania raportów
        • Odtworzenie systemu
          • Serwery
          • Oprogramowanie
        • Niedostępność danych w czasie awarii
        • Kary umowne wynikające z SLA
        • Utrata reputacji
        • Całkowita utrata danych
        • AV: 20.000 PLN
      • System do fakturowania
        • Odtworzenie systemu
        • Odtworzenie danych z kopii papierowych
        • AV: 3.000 PLN
    /31
  • 14. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
      • Identyfikacja i ocena
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 15. Zagrożenia (1)
    • Spowodowane przez człowieka
      • Atak
        • Z zewnątrz
        • Od wewnątrz
        • exploity, bomba, etc.
      • Błąd
    • Techniczne
      • Utrata zasilania
      • Uszkodzenie serwera
      • Uszkodzenie dysku
      • ...
      • Naturalne – Mogą skutkować zagrożeniami technicznymi
      • Huragan
      • Powódź
      • ...
    /31
  • 16. Zagrożenia (2) – Identyfikacja i ocena
    • Dla każdego zidentyfikowanego aktywa
    • Czy zagrożenie ma zastosowanie (Applicability)
      • Np. pojawienie się Tsunami w Polsce jest dość mało prawdopodobne
    • Prawdopodobieństwo
      • Ile razy na rok? ( ARO )
      • Z danych statystycznych
      • Z SLA z dostarczycielem usługi, etc.
    /31
  • 17. Zagrożenia (3)
    • System testowania dostępności
      • Utrata zasilania: ARO == 3
      • Uszkodzenie serwera: ARO == 1
      • Uszkodzenie dysku: ARO == 1/3
    • System serwowania raportów
      • Utrata zasilania: ARO == 3
      • Uszkodzenie serwera: ARO == 2
      • Uszkodzenie dysku: ARO == 1
    /31
  • 18. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
      • Rodzaje
      • EF
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 19. Podatności (1) – Rodzaje (1)
    • Podatności na atak
      • Szczególnie istotne w aplikacjach webowych
      • SQL Injection, XSS, XSRF, ...
      • Wymaga specjalistycznej wiedzy
      • Ograniczenie problemu: frameworks
        • Redukcja przestrzeni podatnej na błędy
        • Bugtraq
        • Exploity 0-day
    /31
  • 20. Podatności (2) – Rodzaje (2)
    • Podatności na zagrożenia techniczne i fizyczne
      • Brak kopii zapasowych
      • Niewłaściwa strategia tworzenia kopii zapasowych
      • Brak redundancji serwerów
      • Brak redundancji łącz
      • etc...
    • W połączeniu z zagrożeniami determinują EF
    /31
  • 21. Podatności (3) – EF
    • System testowania dostępności
      • Utrata zasilania
        • Brak redundancji serwerów ( EF == 3% )
          • Kary umowne wynikające z SLA: 2000PLN
          • Utrata reputacji: 1000PLN
      • Uszkodzenie dysku
        • Jeden serwer i brak kopii zapasowych ( EF == 28% )
          • Dysk: 1000PLN
          • Odtworzenie systemu: 20000PLN
          • Kary umowne wynikające z SLA: 5000PLN
          • Utrata reputacji: 2000PLN
        • Brak redundancji serwerów i kopia zapasowa ( EF == 4,5% )
          • Dysk: 1000PLN
          • Kary umowne wynikające z SLA: 2000PLN
          • Odtworzenie systemu z kopii zapasowych: 500PLN
          • Utrata reputacji: 1000PLN
    /31
  • 22. Spodziewane straty
      • System testowania dostępności
        • Utrata zasilania
          • Brak redundancji serwerów
        • Uszkodzenie dysku
          • Jeden serwer i brak kopii zapasowych
          • Brak redundancji serwerów i kopia zapasowa
    /31
  • 23. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 24. Środki zaradcze (1)
    • Eliminują lub zmniejszają podatności
      • Redundancja maszyn
      • Redundancja łącz
      • Zmiana strategii wykonywania kopii zapasowych
      • Zastosowanie macierzy dyskowej
      • ...
    • Zmniejszają zagrożenia
      • Przeniesienie serwerowni (tsunami)
      • ...
    • Kosztują
    • Wpływają na wartość EF
    /31
  • 25. Środki zaradcze (2)
    • System testowania dostępności
      • Utrata zasilania
        • 2 redundantne serwery
          • Brak kar umownych wynikające z SLA
          • Bark utraty reputacji
          • EF == 0
          • Ryzyko na poziomie akceptowalnym (nie zerowe)
          • Koszt inwestycji: 20.000PLN
    /31
  • 26. Środki zaradcze (3)
      • Uszkodzenie dysku
        • Jeden serwer i kopia zapasowa
          • Dysk: 1.000PLN
          • Odtworzenie systemu: 500PLN
          • Kary umowne wynikające z SLA: 2.000PLN
          • Utrata reputacji: 2.000PLN
          • EF: 5,5%
          • Koszt inwestycji: 5.000PLN
        • 2 redundantne serwery i kopia zapasowa
          • Dysk: 1.000PLN
          • Brak kar umownych wynikające z SLA
          • Bark utrata reputacji
          • EF: 1%
          • Koszt inwestycji: 20.000PLN
    /31
  • 27. Spodziewane straty SG
      • System testowania dostępności
        • Utrata zasilania
          • Brak redundancji serwerów
        • Uszkodzenie dysku
          • Jeden serwer i brak kopii zapasowych
          • Brak redundancji serwerów i kopia zapasowa
    /31
  • 28. Zarządzanie ryzykiem technologicznym aplikacji webowych
    • Formuły
    • Aktywa
    • Zagrożenia
    • Podatności
    • Środki zaradcze
    • Bilans kosztów/zysków
    • Pytania
    /31
  • 29. Bilans kosztów/zysków (1)
    • System testowania dostępności
      • Utrata zasilania
        • Brak redundancji serwerów ( SG: drugi serwer )
        • Nie zwróci się w ciągu roku
    0 /31
  • 30.
    • System testowania dostępności
      • Uszkodzenie dysku
        • Jeden serwer i brak kopii zapasowych ( SG: kopia zapasowa )
        • Brak redundancji serwerów i kopia zapasowa ( SG: drugi serwer )
    /31
  • 31. Pytania
    • ???
    [email_address] /31