Как довести ИБ-проект до ума? Как и когда лучше преподнести проект руководству? Как обосновать бюджет на имиджевый ИБ-проект? Что такое модель зрелости ИБ Gartner?
Как построить систему ИБ в кризис; 3 способа снижения затрат на ИБInfoWatch
1. Оценка рисков как способ снижения затрат на ИБ: как оценить и минимизировать риски
2. Оргмеры для снижения затрат, какие оргмеры работают и когда
3. Какие технические средства могут помочь повысить эффективность
Роль Информационной Безопасности в управлении проектами или почему скрипач нуженAlexey Evmenkov
Все руководители проектов пристегиваются в машине, но редко кто думает об информационной безопасности, управляя своим проектом.
Что знают руководители проектов об информационной безопасности? То, что пароли должны быть сложными и существуют абстрактные политики про можно/нельзя?
В реальном мире - информационная безопасность (ИБ) - это огромный пласт практик: технических, организационных, управленческих.
В докладе будет рассмотрены аспекты ИБ в разрезе управления ИТ проектами. Автор обсудит вопросы - а стоит ли вкладываться в эту область на проекте - ресурсами, деньгами, временем? Если да, то почему это оправдает себя?
Как построить систему ИБ в кризис; 3 способа снижения затрат на ИБInfoWatch
1. Оценка рисков как способ снижения затрат на ИБ: как оценить и минимизировать риски
2. Оргмеры для снижения затрат, какие оргмеры работают и когда
3. Какие технические средства могут помочь повысить эффективность
Роль Информационной Безопасности в управлении проектами или почему скрипач нуженAlexey Evmenkov
Все руководители проектов пристегиваются в машине, но редко кто думает об информационной безопасности, управляя своим проектом.
Что знают руководители проектов об информационной безопасности? То, что пароли должны быть сложными и существуют абстрактные политики про можно/нельзя?
В реальном мире - информационная безопасность (ИБ) - это огромный пласт практик: технических, организационных, управленческих.
В докладе будет рассмотрены аспекты ИБ в разрезе управления ИТ проектами. Автор обсудит вопросы - а стоит ли вкладываться в эту область на проекте - ресурсами, деньгами, временем? Если да, то почему это оправдает себя?
При построении СМИБ согласно ИСО 27001, внедряется около 114 защитных мер. Условно эти меры можно разделить организационные, процессные и технические.
В докладе будут рассмотрены практические аспекты внедрения технических защитных мер и роли технических специалистов ИБ в рамках проекта внедрения СМИБ.
За какие технические защитные меры отвечают технические специалисты, какова их роль в команде внедрения, на что обращать внимание и т.п.
VII Уральский форум
Информационная безопасность банков
ТЕМАТИЧЕСКОЕ ЗАСЕДАНИЕ № 4
Обеспечение безопасности банковских приложений
на различных этапах жизненного цикла
Качалин Алексей Игоревич, заместитель генерального директора, ГК «Инфотекс»
Источник: http://ural.ib-bank.ru/materials_2015
Управление инцидентами информационной безопасности от А до ЯDialogueScience
Управление инцидентами информационной безопасности один из ключевых процессов, направленный на снижение размера потенциального ущерба от реализации угроз информационной безопасности. В презентации рассмотрены ключевые этапы создания и внедрения процессов управления инцидентами информационной безопасности, а также рассмотрены подходы к реализации процесса в рамках комплексных систем обеспечения информационной безопасности.
Управление инцидентами. Ключевые этапы создания и внедрения процесса.
Классификация инцидентов. Необходимое и достаточное количество классификационных параметров.
Выявление инцидентов. Достаточно ли SIEM?
Обработка инцидентов информационной безопасности.
Расследование инцидентов.
Оценка эффективности процесса управления инцидентами информационной безопасности.
Спикер: Антон Свинцицкий, Руководитель отдела консалтинга АО «ДиалогНаука»
Новая триада законодательства по финансовой безопасностиAleksey Lukatskiy
Презентация рассказывает о трех ключевых направлениях регулирования ИБ в финансовых организациях в 2018+ годах (исключая удаленную идентификацию) - 187-ФЗ по критической информационной инфраструктуре, 382-П по защите информации при осуществлении денежных переводов и новый ГОСТ 57580.1
Стандарт ISO/IEC 27001:2013 – все слышали, мало кто видел
Сложность темы ИБ находит отражение в стандарте. Полное внедрение ISO 27001, с использованием всех рекомендаций - потребует годы для средней организации.
Как создать с нуля сбалансированную СУИБ, как выбрать только реально необходимые защитные меры и как правильно внедрить процессы ИБ?
При построении СМИБ согласно ИСО 27001, внедряется около 114 защитных мер. Условно эти меры можно разделить организационные, процессные и технические.
В докладе будут рассмотрены практические аспекты внедрения технических защитных мер и роли технических специалистов ИБ в рамках проекта внедрения СМИБ.
За какие технические защитные меры отвечают технические специалисты, какова их роль в команде внедрения, на что обращать внимание и т.п.
VII Уральский форум
Информационная безопасность банков
ТЕМАТИЧЕСКОЕ ЗАСЕДАНИЕ № 4
Обеспечение безопасности банковских приложений
на различных этапах жизненного цикла
Качалин Алексей Игоревич, заместитель генерального директора, ГК «Инфотекс»
Источник: http://ural.ib-bank.ru/materials_2015
Управление инцидентами информационной безопасности от А до ЯDialogueScience
Управление инцидентами информационной безопасности один из ключевых процессов, направленный на снижение размера потенциального ущерба от реализации угроз информационной безопасности. В презентации рассмотрены ключевые этапы создания и внедрения процессов управления инцидентами информационной безопасности, а также рассмотрены подходы к реализации процесса в рамках комплексных систем обеспечения информационной безопасности.
Управление инцидентами. Ключевые этапы создания и внедрения процесса.
Классификация инцидентов. Необходимое и достаточное количество классификационных параметров.
Выявление инцидентов. Достаточно ли SIEM?
Обработка инцидентов информационной безопасности.
Расследование инцидентов.
Оценка эффективности процесса управления инцидентами информационной безопасности.
Спикер: Антон Свинцицкий, Руководитель отдела консалтинга АО «ДиалогНаука»
Новая триада законодательства по финансовой безопасностиAleksey Lukatskiy
Презентация рассказывает о трех ключевых направлениях регулирования ИБ в финансовых организациях в 2018+ годах (исключая удаленную идентификацию) - 187-ФЗ по критической информационной инфраструктуре, 382-П по защите информации при осуществлении денежных переводов и новый ГОСТ 57580.1
Стандарт ISO/IEC 27001:2013 – все слышали, мало кто видел
Сложность темы ИБ находит отражение в стандарте. Полное внедрение ISO 27001, с использованием всех рекомендаций - потребует годы для средней организации.
Как создать с нуля сбалансированную СУИБ, как выбрать только реально необходимые защитные меры и как правильно внедрить процессы ИБ?
Презентация на CyberCrimeCon про некоторые важные моменты построения SOC, включая вопросы ценообразования, оргштатной структуры, технологического стека, сервисной стратегии, Threat Intelligence и т.п.
DLP 007: три элемента мобильной безопасностиInfoWatch
BYOD или контролируемый периметр? Мобильность сотрудников с возможностью эффективно работать в любое время и в любом месте или защита от утечек конфиденциальных данных через смартфоны и планшеты? Непростой выбор, правда?
Но бизнес и безопасность не терпят компромиссов, а значит новая миссия агента DLP 007 – обеспечить трехстороннюю защиту корпоративных данных в концепции BYOD!
Как защитить Windows 10 от хакерских атакInfoWatch
Из презентации вы узнаете:
1) Что такое аномалии и как происходит их анализ
2) Почему облачная экспертная технология эффективней, чем локально стоящее решение
3) Какие сложности возникают при реализации антируткит технологий под Windows 10
К сожалению, в презентации содержится лишь малая часть материала по теме, а также нет ответов на вопросы по теме. Вот почему мы рекомендуем посмотреть запись ВЕБИНАРА. Смотрите ее по ссылке http://www.infowatch.ru/webinar/iw_11_02_2016
Защита веб-приложений и веб-инфраструктурыInfoWatch
Андрей Бондаренко, эксперт компании Qrator Labs, поделится опытом защиты от DDoS-атак, расскажет о современных трендах и даст прогнозы о том, какие виды DDoS будут наиболее «популярны» в следующем году.
Алексей Афанасьев, эксперт InfoWatch, расскажет о подходе компании InfoWatch в борьбе с таргетированными атаками, о философии Continuous Security, а также о многомодульном решении InfoWatch Attack Killer, реализованном на технологиях компании Qrator Labs, Wallarm и Appercut и Cezurity.
Как безделье сотрудников влияет на эффективность бизнеса?InfoWatch
Вебинар InfoWatch был посвящен влиянию безделья сотрудников на бизнес-процессы компаний. Мы выясняли, куда уходит «свободное» время работников и стало ли его меньше в кризис, а также обсудили инструменты, которые помогут бизнесу сократить офисное безделье.
Запись вебинара доступна по ссылке - http://my.webinar.ru/record/621263/
Как защитить веб-сайт от хакеров и внешних атакInfoWatch
С ростом сложности веб-ресурса и важности переносимых в веб процессов встаёт в полный рост проблема не только защиты своих веб-приложений от внешних угроз, но и построения непрерывных процессов контроля разработки и используемой инфраструктуры. Как решить данную проблему рассказывает Рустем Хайретдинов. Смотрите запись вебинара http://www.infowatch.ru/webinar/iw_12_11_2015
Подписывайтесь на другие вебинары InfoWatch: http://www.infowatch.ru/webinar
Следите за новостями компании в соцсетях:
https://www.facebook.com/InfoWatch
https://www.twitter.com/infowatchnews
InfoWatch Attack Killerрешение проблемы всех направленных атакInfoWatch
InfoWatch предлагает решение для обнаружения и защиты от многовекторных таргетированных атак, состоящее из 4 технологий, каждая из которых зарекомендовала свое качество на рынке информационной безопасности.
14 мая прошел открытый вебинар InfoWatch, посвященный теме целенаправленных атак и защите от них. В ходе презентации ведущий рассказал, что представляют целенаправленные/APT атаки, каким образом их организуют, в чем мотивация преступников и как защититься от подобных атак.
Посмотреть запись вебинара Андрея Арефьева, менеджера по развитию продуктов InfoWatch, можно по ссылке http://www.infowatch.ru/webinar/tad
Презентация с вебинара InfoWatch "Как сделать защиту бизнеса простой и эффек...InfoWatch
Предлагаем вам посетить открытый вебинар по вопросам информационной безопасности для небольших компаний. На вебинаре речь пойдет о простых и понятных способах защиты, которые доказали свою эффективность и не требуют больших временных затрат и финансовых вложений.
http://www.infowatch.ru/webinar/infosecurity_for_small_business
Задачи бизнеса и эволюция DLP: какова следующая ступень?InfoWatch
Многие рассматривают DLP просто как очередное средство защиты информации. Модное, интересное, а для некоторых компаний уже и обязательное. При этом упускают саму суть и не до конца осознают все возможности и перспективы современных решений.
Лингвистический анализ, распознавание письменной речи, ее «понимание» системой и трансформация в данные, пригодные к интеллектуальной обработке – все это ядро, самая суть и критерий качества любой DLP-системы. В рамках вебинара специалисты компании InfoWatch расскажут о том, где гуманитарные науки встречаются с техническими, как заставить программу «выучить» новый язык и в чем главные секреты волшебства DLP-систем
Как довести проект по информационной безопасности до ума
1. DLP Hero: Жизнь до DLP
Мария Воронова
Ведущий эксперт по
информационной безопасности
2. Специальность «компьютерная
безопасность»
В ИБ более 10 лет
C 2008 года – в банковском секторе
С 2010 года – руководитель ИБ-
подразделения Финансовой Группы,
руководитель ИБ-проектов
Автор публикаций, статей,
комментариев в СМИ
Мария Воронова
Ведущий эксперт InfoWatch
Пара слов о себе
3. О чем будем
говорить? О DLP!
Как об инструменте комплексного
процесса защиты от утечек и
внутренних угроз
• Опыт обоснования проекта – как это бывает
• Почему внедрения только инструментария без
сопутствующих процедур недостаточно?
• А что говорит на эту тему Gartner?
• Что надо сделать для максимально эффективного
использования DLP и решения бизнес-задач и целей?
• Какие задачи должны быть решены на этапе подготовки?
• Количественная оценка рисков утечки
4. ИнфоБезопасник
О чем мы говорим,
когда говорим о DLP?
Отлично!
Это же контроль
информационных
потоков!
Информационная
безопасность
5. Безопасник
О чем мы говорим,
когда говорим о DLP?
О, возможность контроля
за сотрудниками!!
Служба
безопасности
6. Рисковик
(продвинутый)
О чем мы говорим,
когда говорим о DLP?
Снижение операционных
рисков за счет снижения
вероятности утечек и
мошенничества
Риски
7. Топ-менеджер
О чем мы говорим,
когда говорим о DLP?
Это что такое? Сколько
стоит?
СКОЛЬКО-
СКОЛЬКО????
Руководство
8. Понимание
необходимости
Как приходят к необходимости
применения DLP
Понимание рисков
Случались инциденты («пожары», которые надо было тушить»)
Compliance
Взгляд на конкурентов
Уровень зрелости и стратегия развития
9. Понимание
необходимости
Как пришла финансовая
группа?
1. Интуитивно ощущали проблему: то тут, то там были
«звоночки»
2. Требовал уровень зрелости ИБ – все что могли сделать без
крупных финансовых затрат, уже было сделано. Ручной
контроль – утопия для масштаба в 20 000 сотрудников
3. Нужен был ИБ проект
…и в конечном итоге понятный всем,
в том числе руководству
ИМИДЖЕВЫЙ ПРОЕКТ
10. Старт
С чего же начать?
• Цели
• KPI
• Бюджет
• План
• Риски и ограничения
А бюджет возможен только инвестиционный, собственного
не имеем
Надо его получить!
Проект
11. Защита проекта
О чем говорилось на
защите?
• Рост утечек по рынку (графики,
таблички)
Приводили
статистику
• Нет возможности выявлять утечки
• Об инцидентах узнаем от третьих лиц
• Отсутствие механизмов
расследования
Говорили о
проблемах
13. Зато о гипотетических
рисках - много
Защита проекта
• Снижение числа новых и отток существующих клиентов
• Переманивание клиентов за счет утечки клиентской информации в
другие компании/банки
• Падение лояльности клиентов
• Снижение репутации
• Потеря конкурентных и имиджевых преимуществ вследствие утечки
конфиденциальной информации в СМИ и Интернет
• Потеря доверия поставщиков и партнеров
• Судебные разбирательства
• Санкции контролирующих органов (планируется увеличение
штрафов за разглашение/утечку персональных данных вплоть до
1% от общегодового заработка компании за один инцидент)
• Необходимость затрат на устранение последствий
17. Опыт Gartner
*из материала Gartner «Anticipate and Overcome the Five Key Obstacles
to Success in Content-Aware DLP Deployments» (24 March 2014)
«К 2017-му году 80% внедрений DLP-решений
окажутся провальными с точки зрения получения
выгоды и преимуществ для бизнеса из-за
неправильного управления проектом, планирования и
распределения ресурсов».*
18. Gartner
«Я всего лишь помогаю вам
сохранить ваши деньги» (с)
Комментарий Gartner
Не хватает понимания, что конкретно, а главное – «зачем»
нужно будет защищать
Не хватает вовлеченности бизнеса и бизнес-целей в
проекте
Оценка рисков должна быть в том числе и количественной
Процесс надо прорабатывать более детально
20. Анализ «постфактум»
Анализ
Было решено запустить исследовательский этап
проекта или фазу 1 «Исследование»
Срок – 4 месяца
Глобальная цель – сбор информации, достаточной
для принятия руководством решения о необходимости
внедрения процесса защиты от утечек внутри компании
21. Что имеется в виду под конфиденциальной и чувствительной информацией?
Какая информация нуждается в защите?
Какие информационные потоки существуют в компании?
Какие сценарии утечек информации применимы к компании?
Какие риски существуют?
Надо ли защищать и контролировать? Каким образом?
Фаза 1
ИССЛЕДОВАНИЕ
Анализ
Получить ответы на вопросы
22. Задачи
исследовательской части
проекта
Исследование
Сбор, описание, ранжирование существующих
проблем:
• Детальное исследование области внедрения процесса
по защите от утечек (бизнес-процессы, в рамках
которых необходимо обеспечить контроль
использования конфиденциальной информации),
• Идентификация активов (информация, документы,
сотрудники и т. п.), участвующих в обработке.
• Определение допустимых сценариев работы с
критичной конфиденциальной информацией
Выявление фактов утечек:
• Проведение «пилота» DLP-решения
23. Определены и категоризированы активы, которые
нуждаются в защите (конфиденциальная
информация, коммерческая тайна, чувствительная
информация)
Выявлены основные каналы и области, подверженные утечкам
конфиденциальной информации
Проведена оценка рисков утечки конфиденциальной
информации
Спроектирована и согласована командой проекта
концепция защиты от утечек конфиденциальной
информации
Цели
Исследование
24. Реализация целей
Команда проекта
• Информационная
безопасность
• Внешний контрагент
• Опер. риски
• ИТ-подразделения
(опционально)
• Подразделения
безопасности
(опционально)
25. Аудит
1. Анализ бизнес-процессов на предмет выявления
информационных активов:
• Выделение ключевых бизнес-подразделений
• Проведение интервьюирования (2-5 интервью по
каждому направлению)
2. Анализ ИТ-систем и инфраструктуры на предмет
определения информационных потоков:
• Высокоуровневое представление о системах
• Понимание данных, которые в них обрабатываются
• Ролевая модель в системах
• Разграничение привилегий в целом
26. Анализ активов
• Выделение категорий информационных активов
• Оценка ценности каждой категории
• Оценка вероятности утечки (экспертно)
• Определение первоприоритетных областей
Важно!
1. Проводить оценки ценности совместно со
стейкхолдерами бизнеса
2. Категории должны быть четкими и понятными
31. Утечка клиентских данных
Пример расчета
Количественная
оценка рисков
1. Оценить стоимость клиентских данных (% доход + не%
доход + затраты на привлечение клиента
2. Сделать выборки по реальным инцидентам
3. Ввести гипотезу – «утечка с целью переманивания
клиентов»
4. Отследить отток клиентов (срезы 3, 6, 9 и 12 месяцев)
5. Оценить возможную конверсию, подкрепить данными о
реальном уходе
6. Рассчитать убытки по реальным инцидентам исходя из
стоимости клиентов
7. Произвести масштабирование
32. Защита проекта
Аргументы
1. Мы знаем наши данные:
понимаем что и где хранится, как обрабатывается и
перемещается, кто имеет доступ
2. Мы понимаем ценность наших данных
ценность данных и потенциальный ущерб от
утечки рассчитаны вместе с бизнесом
3. Точно знаем, что хотим от процесса защиты от утечек
(и от DLP-системы как части процесса)
3. Разработаны мероприятия по реагированию на
инциденты, продуманы и согласованы варианты
взаимодействия
33. Как представлять
проект?
Схема защиты ИБ-проекта
5. Перейти к «избавлению от проблем»
Что надо сделать Сколько это будет стоить
4. Подкрепить информацией «а что с проблемой делают
конкуренты»
3. Подкрепить «комплайнсом» (если он есть)
2. Рассказать об ущербе (потенциальном ущербе)
Количественная оценка Косвенный ущерб
1. Сообщить о проблеме
Побольше фактов Конкретика, реальные примеры
34. Монетизация
Самое важное – донести
мысль, что «вложив 10
рублей, мы сможем
сохранить 100 рублей»
за счет снижения рисков
возникновения ущерба