Mã hóa và an ninh mạng ( Chapter 16a)

Computer Security: Principles and PracticeFirst Editionby William Stallings and Lawrie BrownLecture slides by Lawrie BrownChapter 16 – Quản trị an ninh và đánh giá rủi roIT Security Management and Risk AssessmentOverviewYêu cầu an ninh nghĩa là hỏi Tài sản nào cần bảo vệ?Các tài sản đó bị đe dọa như thế nào?Chúng ta cần làm gì để chống các đe dọa đó?Quản trị an ninh IT trả lời các câu hỏi sauXác định các đối tượng an ninh và hồ sơ rủi roThực hiện đánh giá rủi ro an ninh các tài sản{chọn, cài đặt, kiếm soát theo dõi}Quản trị an ninh ITIT Security ManagementQuản trị anh ninh: là quá trình được dùng để đạt và duy trì được mức độ hợp lý về bảo mật, toàn vẹn, sẵn sàng, giải trình được, xác thực và tin cậy. Các chức năng của quản trị an ninh IT bao gồm:Chính sách, chiến lược và các mục tiêu an ninh của tổ chức Xác định yêu cầu an ninh IT của tổ chứcXác định và phân tích các nguy cơ anh ninh đến tài sản IT Xác định và phân tích rủi ro Chỉ định các bảo vệ an toàn thích hợp Theo dõi cài đặt và thao tác của bảo vệ an ninh Phát triển và cài đặt chương trình cảnh báo an ninh Phát hiện và phản ứng các sự cốISO 27000 Security StandardsIT Security Management ProcessPlan - Do - Check - ActChính sách an ninh và bối cảnh của tổ chứcKiểm tra đầu tiên của an ninh IT tổ chức:Các mục tiêu – các kết quả an ninh IT mong muốnChiến lược – làm sao đáp ứng các mục tiêuChính sách – xác định những gì cần thiết phải làmBảo trì và cập nhật thường xuyênXem xét lại an ninh có định kỳPhản ứng thay đổi môi trường rủi ro / kỹ thuật Xác định vai trò của hệ thống IT trong tổ chứcCác tiêu chí chính sách an ninhCần chỉ ra:Phạm vi và mục đích bao gồm quan hệ của các mục tiêu đối với các yêu cầu kinh doanh, hợp lệ, điều tiết.Các yêu cầu an ninh IT Phân công trách nhiệmTiếp cận quản lý rủi roĐào tạo và cảnh báo an ninhCác vấn đề an ninh nói chung và bất kỳ phê chuẩn hợp lệtoàn vẹn an ninh vào phát triển hệ thốngSơ đồ phân lọai thông tinKế hoạch liên tục kinh doanh và phòng ngừaPhát hiện sự cố và kiểm soát các tiến trìnhKhi nào xem lại chính sách và thay đổi kiểm soát nóHỗ trợ quản trịManagement SupportChính sách an ninh IT cần được hỗ trợ bởi quản trị chínhCần có kỹ sư an ninh IT Cung cấp sự xem xét tổng thể phù hợpQuản lý tiến trìnhXử lý các sự cốTổ chức lớn cần có các kỹ sư an ninh IT cho các đội dự án chínhQuản lý các tiến trình trong lĩnh vực của họĐánh giá rủi ro an ninhSecurity Risk AssessmentMột thành phần rất quan trọng của quá trìnhNếu không sẽ có lỗ hổng hoặc phí tiền của Lý tưởng nhất kiểm tra từng tài sản chống rủi ro Không khả thi trên thực tếChọn một trong các phuơng án có thể dựa trên nguồn tài nguyên của tổ chức và hồ sơ rủi roVạch ranh giớiKhông hình thứcHình thứcKết hợpTiếp cận vạch ranh giớiBaseline ApproachSử dụng “thực hành tốt nhất của công nghiệp”dễ, rẻ, có thể thay thếNhưng không có xem xét cụ thể cho tổ chứcCó thể bảo vệ an ninh quá nhiều hoặc quá ítCài đặt bảo vệ an tòan chống các đe dọa chungXem xét vạch ranh giới và lập tài liệu danh sách kiểm tra từ mọi bộ phận Không tách ra chỉ phù hợp với các tổ chức nhỏTiếp cận không hình thứcInformal ApproachTổng hợp phân tích rủi ro thực tế trong hệ thống IT của tổ chức Khai thác kiến thức và kinh nghiệm của các chuyên giaTương đối nhanh và rẻNêu một số điểm đặc thù của tổ chức Một số rủi ro có thể đánh giá saiBị méo mó qua cách nhìn nhà phân tích, biến thiên theo thời gianPhù hợp cho tổ chức nhỏ đến vừaPhân tích rủi ro chi tiết Detailed Risk AnalysisMột lựa chọn toàn diện nhấtĐánh giá sử dụng qui trình cấu trúc hình thứcVới một số bướcXác định kiểu rủi ro và hậu quảSuy ra có kiểm soát phù hợp, tin cậyTốn kém và chậm, đòi hỏi phân tích chuyên giaCó thể là yêu cầu hợp lệ khi dùngPhù hợp với tổ chức lớn với hệ thống IT rất quan trọng với mục tiêu kinh doanhTiếp cận kết hợpCombined ApproachKết hợp với các yếu tố của các cách tiếp cận khácTách ranh giới trên toàn hệ thốngPhân tích không hình thức để xác định rủi ro nguy hiểmĐánh giá hình thức trên các hệ thống đóLặp và mở rộng theo thời gianSử dụng tài nguyên thời gian và tiền bạc tốt hơnTốt hơn hết là an toàn trước khi nó xảy ra sự cốCó thể bỏ qua một số rủi ro lúc đầuĐề xuất phương án này cho hầu hết các tổ chức Detailed Risk Analysis ProcessThiết lập ngữ cảnhEstablish ContextTiến hành tuyên truyền rủi ro rộng khắp trong tổ chứcLiên quan đến môi trường chính trị / xã hội rộng hơnVà các ràng buộc qui định và hợp lệVạch ranh giới cho việc tuyên truyền rủi ro trong tổ chức Nêu rõ thái độ của tổ chức về vấn đề rủi roĐặt ranh giới cho đánh giá rủi roRiêng biệt với tiếp cận đánh giá rủi ro đã dùngQuyêt định tiêu chuẩn đánh giá rủi ro đã sử dụng Xác định tài sảnAsset IdentificationXác định các tài sản “mọi thứ mà cần được bảo vệ”của giá trị đối với tổ chức để đáp ứng mục tiêu Hữu hình và vô hìnhTrên thực tế thử xác định các tài sản quan trọng Phác thảo dựa vào chuyên gia trong các lĩnh vực của tổ chức để xác định các tài sản chínhXác định và phỏng vấn những người như vậyXem danh sách kiểm tra trong các tiêu chuẩn khác nhau TerminologyXác định đe dọaThreat IdentificationĐể xác định đe dọa hoặc rủi ro đến tài sản HỏiAi và cái gì làm hỏng nó? Điều đó xảy ra như thế nào?Đe dọa là bất cứ điều gì mà cản trở hoặc ngăn cản tài sản cung cấp mức độ thích hợp của các dịch vụ an ninh chính:Bảo mật, tòan vẹn, sẵn sàng, giải trình được, xác thực và tin cậyTài sản có thể có nhiều mối đe dọaNguồn gốc đe dọaThreat SourcesĐe dọa có thể “hành động tự nhiên của trời” Con người tạo ra và hoặc tai họa hoặc toan tínhCó thể xem xét người tấn công:Động cơKhả năngNguồn lựcXác suất tấn côngSự ngăn cảnMọi lịch sử tấn công trong tổ chứcXác định đe dọaThreat IdentificationPhụ thuộc kinh nghiệm rủi ro trước kiaSử dụng nhiều nguồn khác nhauKhả năng đe dọa tự nhiên từ số liệu thống kê bảo hiểmDanh sách đe dọa tiềm ẩn theo chuẩn, tổng quan an ninh IT, thông tin từ chính phủLàm thích ứng với môi trường tổ chứcVà mọi lỗ hổng trong hệ thống IT của tổ chứcXác định lỗ hổngVulnerability IdentificationXác định thiếu sót có thể khai thác hoặc điểm yếu trong hệ thống IT hoặc các qui trìnhSau đó xác định khả năng ứng dụng và tầm quan trọng của đe dọa đến tổ chức Lưu ý cần sự kết hợp giữa đe dọa với lỗ hổng để tạo thành rủi ro đến tài sảnMột lần nữa cần sử dụng danh sách các lỗ hổng tiềm ẩn theo các chuẩn mựcPhân tích rủi roAnalyse RisksChỉ ra khả năng xuất hiện mỗi một đe dọa đến tài sản với kiểm soát cho trướcCác qui trình quản trị, thao tác, kỹ thuật và các thủ tục giảm thiểu các rủi ro cho tổ chứcChỉ ra hậu quả nếu đe dọa xảy raTừ đó suy ra rủi ro tổng thể cho từng mối đe dọa rủi ro = xác suất đe dọa xảy ra x giá trị tổn hại cho tổ chức Trên thực tế rất khó xác định chính xác Sử dụng hệ số chất lượng chứ không phải số lượng cho mỗi đe dọaHướng tới sắp xếp các kết quả rủi ro để đề phòng chúngDetermine LikelihoodDetermine ConsequenceDetermine Resultant RiskDocument in Risk Registerand Evaluate RisksRisk TreatmentCác phương án xử lý rủi roRisk Treatment AlternativesChấp nhận rủi roTránh rủi roSự lan truyền rủi roGiảm thiểu hậu quảGiảm khả năng xuất hiệnCase Study: Silver Star MinesMột câu chuyện hư cấu của công ty mỏ toàn cầuHạ tầng IT lớn cả phần mềm chuyên dụng và chuyên biệtMột số liên quan trực tiếp đến sức khỏe và an toànCác hệ thống cô lập trước đây bây giờ tạo mạngQuyết định tiếp cận kết hợpCông nghiệp mỏ xếp hạng rủi ro ở cuốiLà đối tượng cho các yêu cầu hợp lệ / qui định Quản trị chấp nhận rủi ro thấp hoặc vừa phảiCác tài sản - AssetsTin cậy và toàn vẹn của các nút và mạng SCADAToàn vẹn của cơ sở dữ liệu thông tin và file lưu trữTính sẵn sàng, toàn vẹn của hệ thống tài chínhTính sẵn sàng, toàn vẹn của hệ thống thu muaTính sẵn sàng, tòan vẹn của hệ thống bảo trì / sản xuất Tính sẵn sàng, toàn vẹn và bảo mật của dịch vụ thư từCác mối đe dọa và các lỗ hổngThreats & VulnerabilitiesChỉnh sửa không có chủ quyền của hệ thống kiểm soátPhá hủy, ăn cắp, mất thông tinTấn công/lỗi ảnh hưởng đến hệ thống…Risk RegisterSummarydetailed need to perform risk assessment as part of IT security management processrelevant security standardspresented risk assessment alternativesdetailed risk assessment process involvescontext including asset identificationidentify threats, vulnerabilities, risksanalyse and evaluate risksSilver Star Mines case study