Внутреннее качество в процедурах информационной безопасности

Внутреннее качество в процедурах информационной безопасности

• 1.
  Использование встроенного качества впроцедурах информационной безопасности Алексей Бабенко руководитель направления
• 2.
  Где самое уязвимоеместо? ? ! ! ! ? ? ! !
• 3.
  Использование социальной инженерии Неудача 27% Успех 73% Источник:внутренняя статистика Информзащиты по проведенным тестам на проникновение за 2012 год Социальная инженерия проводилась в 67% от общего числа проектов по анализу защищенности
• 4.
  Методы противодействия Обучение Тестирование Отладка процессов Разборполетов
• 5.
  Встроенное качество «Покончите сзависимостью от массового контроля: Уничтожайте потребность в массовых проверках и инспекции как способе достижения качества, прежде всего путем «встраивания» качества в продукцию» 14 ключевых принципов Деминга
• 6.
  Встроенное качество Встроенное качество– это такие решения, которые делают невозможным неправильные действия пользователя системы.
• 7.
  Встроенное качество –примеры из жизни
• 8.
  Встроенное качество вИБ К чему уже привыкли: – Парольная политика (невозможно задать простой пароль) – Ограничение подключаемых устройств (невозможно скопировать информацию) – Автоматическое блокирование экрана (невозможно оставить активный экран) – Ограничение прав доступа (невозможно выполнить несанкционированные действия) – Контроль передаваемых «во вне» файлов (невозможно скопировать информацию) – и так далее.
• 9.
  Встроенное качество вИБ Пример 1: оператор банка. Проблема – проведение несанкционированных действий, без предъявления аутентифицирующей информации Решение – изменение сценария работы, было: проверка кодового слова по отображаемому значению, стало: до ввода кодового слова возможна только блокировка карты
• 10.
  Встроенное качество вИБ Пример 2: пропускной режим. Проблема – посетители не сдают пропуск, несколько человек проходят по одному пропуску Решение – система «сдал пропуск – проходи», шлюзовые кабины
• 11.
  Встроенное качество вИБ Пример 3: контроль кода. Проблема – разработчики не соблюдают требования по безопасному программированию Решение – автоматизированный контроль кода, до компиляции продукта
• 12.
  Встроенное качество вИБ Идеи: реагирование на события ИБ. Проблема – реагирование на события ИБ осуществляются не оперативно, откладываются Решение – сообщение об ошибке на весь экран.
• 13.
  Встроенное качество вИБ Идеи: лишние права доступа Проблема – пользователи обладают лишними правами доступа в прикладном ПО Решение – обеспечивать сотрудников работой в соответствии с предоставленными правами доступа
• 14.
  Встроенное качество вИБ Идеи: съем информации с экрана Проблема – пользователи могут сфотографировать содержимое экрана Решение – добавить дополнительный спектр, не видимый человеку, но «засвечивающий» камеру
• 15.
  Заключение – Думая оновых угрозах, не надо забывать о старых; – При проектировании систем, процессов важно продумывать не как заставить сотрудников выполнять что-то, а как сделать неправильное выполнение невозможным; – Решать проблему, а не следствие; – Не забыть про бизнес. Безопасность ради бизнеса. – Мониторинг. Работает сейчас, а завтра? См. также: Идеальный конечный результат (Теория решения изобретательских задач) Встроенное качество (Концепция бережливого производства)
• 16.
  Вопросы? Алексей Бабенко руководитель направления,PA&PCI QSA a.babenko@infosec.ru +7 (495) 980-23-45 доп.458 +7 905 991-99-19 skype: arekusux www.infosec.ru arekusux.blogspot.com