Какво (не как) трябва да направим за да изградим Система за управление на информационната сигурност (СУИС) ?

Практиката ми в проектирането, изграждането, внедряването и одитирането  на СУИС на организации от държавната администрация, индустрията, услугите, банковия сектор, а също, и множеството проведени курсове за обучение по въпросите на информационната сигурност,  ме мотивира да разработя и да започна да публикувам кратки, практически препоръки, свързани с изграждането на СУИС, в съответствие с изискванията на ISO 27001 и препоръките в останалите приложими стандарти от фамилията ISO 27000.

В публикациите ще бъдат предоставени практически препоръки за следните основни въпроси, свързани с информационната сигурност:
- Въведение в информационната сигурност и системите за нейното управление;
- Какво е „обхват на СУИС”? Само подробен Списък на информационните активи на организацията – или има и нещо друго, свързано с оценката на тези активи ?  Какво да направим за да оценим качествено и количествено нашите информационни активи?
- Какво е „оценка и анализ на рисковете към информационните активи”?  Какво трябва да направим за да бъдат нашите оценки и анализи реалистични?
- Какво е „противодействие на рисковете към информационните активи”?  Какво трябва да направим за да намалим рисковете към нашите информационни активи  и/или последствията от тяхната реализация?
- Какво, по същество означава „СУИС” (не като съкращение)? Какво управляваме с тази система (отговора не е „информационната сигурност”)? След като управляваме, можем ли да въздействаме на заплахите към информационната сигурност и/или на нашите уязвимости / слабости по сигурността? 
- Какво е „документиране на СУИС” ? Какво и защо го документираме?
- Какво от СУИС можем да направим в „домашни условия”?

Надявам се, че тези публикации ще помогнат на всички имащи необходимост и намерения да изграждат СУИС, като им дадат практическа информация за  това, което трябва да извършат.

В препоръките ще бъдат отразени и очакваните промени в изискванията към СУИС, съгласно ISO 27001:2013.

Публикациите ще бъдат налични в този блог и за тях ще има съобщения и във Facebook.

ISO 27001 и ISO 27002 - очакваните нови версии

Както вече публикувах преди време, до края на 2013 г. се очаква официално да бъдат публикувани новите версии на стандартите за Системи за управление на информационната сигурност (СУИС)  ISO 27001 и ISO 27002. Разбира се, след това ще се появяват и нови версии на всички останали стандарти от фамилията 27000, които пряко са свързани с променените изисквания в ISO 27001 (както това е направено вече с ISO 27002).
Към момента, са налични за свободно разпространение работни, неофициални  варианти на ISO 27001 и ISO 27002. Тези варианти отразяват състоянието на стандартите към м. март 2013 г., когато завърши процеса на предложения и обсъждания и са подготвени лично от мен, като цялостни документи. Разбира се официалните версии на тези стандарти, вероятно ще се различават от работните варианти, които предлагам, но се надявам (на практика съм сигурен), че разликите ще бъдат само от редакционен и технически характер.

За всички, които с интересуват от работните, неофициални варианти на ISO 27001 и ISO 27002, могат да направят заявка за получаване в електронен вид на e-mail:

infosecservicebg@gmail.com
infosecservice@study-security.com
+359 886 655 315 / Пламен Каменов

Още един аспект на енергийната сигурност – сигурност на системите за управление, наблюдение и контрол на енергийните системи

Това кратко съобщение има за цел да запознае интересуващите се с Доклад “ICT aspects of power systems and their security” (Информационно – комуникационни  технологични аспекти на енергийните системи и тяхната сигурност). Доклада е подготвен за Европейската Комисия от Обединения център за проучвания (JRS), по дейност   „Сигурност на критични мрежови инфраструктура”, от звеното „Оценка на сигурността на технологиите”.

Съдържанието на Доклада включва (но не само) описание на заплахите  и уязвимостите към/на системите за управление, наблюдение и контрол на енергийните системи, като особено вниманиe се обръща на SCADA (supervisory control and data acquisition) системите. Достатъчно подробно за засегнати и въпросите за оценката на риска, методите и средствата за противодействие на разкритите рискове и приложимите международни и/или национални  стандарти за сигурност. Не на последно място в Доклада са разработени и четири оперативни сценарии за атака на енергийни системи с цел нарушаване на тяхното нормално функциониране.

Доклада може да се използва, като  „учебник” за специалистите, имащи отговорности по сигурността на SCADA  системите, използвани в електроенергийната система на страната (НЕК, ЕСО и Националния диспечерски център и др.)

Връзка към Доклада:

http://www.energy.eu/publications/ICT_aspects_of_power_systems_and_their_security.pdf

При проблем на „свалянето” на Доклада, може да го получите по електронна пощаq  при заявка на:

infosecservicebg@gmail.com

infosecservice@study-security.com

+359 886 655 315 / Пламен Каменов

Пропуски в сигурността на електрическата мрежа на САЩ

Съгласно Доклад на Конгреса на САЩ, компаниите управляващи и поддържащи националната електропреносна / резпределителна  система са подложени на ежедневни компютърни атаки. Представители на Конгреса  са изпратили до повече от 150 компании въпросници по сигурността и са получени отговори от 112 компании. Само 53 от тях (представилите отговори) са отговорили на всички въпроси, останалите са дали само частична информация и/или отговори, които не отговарят директно на поставените въпроси. Повече от 10 компании от отговорилите определят, че техните системи са подложени на всекидневни, постоянни или чести компютърни атаки. Една от компаниите е докладвала,че е установила 10 000 опити за компютърни атаки в рамките на един месец. Нито една от компаниите не е докладвала за нанесени щети на техните системи, вследствие на компютърни атаки.

Доклада на Конгреса на САЩ, с наименование "Electric Grid Vulnerability: Industry Responses Reveal Security Gaps" (Уязвимости на електрическата мрежа: Отговорите на индустрията разкриват пропуски по сигурността) обръща внимание на заплахите от хакери и природни явления (вкл. бедствия). Доклада настоятелно призовава Конгреса на САЩ да осигури на федералните власти пълномощия, които да гарантират, че националната електрическа мрежа е защитена от потенциални кибернетични атаки и геомагнитни бури.

Връзка към Доклада:
http://markey.house.gov/sites/markey.house.gov/files/documents/Markey%20Grid%20Report_05.21.13.pdf

„Осветяване” на една от организациите за кибернетично разузнаване на Китай (APT 1)

„Осветяване” на една от организациите за кибернетично разузнаване на Китай (APT 1)

Забележки:
1. Този кратък материал е подготвен на база проучването на  фирма MANDIANT, описано в доклад -  APT1 - Exposing One of China’s Cyber Espionage Units, публикуван през февруари, 2013 г.
2. Основния доклад от проучването и всички съпътстващи го приложения са публикувани на сайта www.mandiant.com;
3. В заглавието и съдържанието на основния доклад се говори за „шпионаж”, което е естествено, от гледна точка националността и функциите на фирмата. В настоящия материал думата „шпионаж” е заменена умишлено с „разузнаване”, като по-неутрален и общоприет термин  (гледна точка на автора – Пламен Каменов).
4. „Осветяването” / разкриването и описанието на действията на организацията АРТ 1 е извършено чрез провеждането на целенасочено наблюдение, събиране, обработка и анализ на данни и информация в един достатъчно дълъг период от време (няколко години). Използвани се и много явни (общодостъпни) източници на информация. По същество, тази дейност може да се определи също като провеждане на разузнаване. 
5. При трудности за „сваляне” на основния доклад и съпровождащите го приложения, автора на този материал е готов, при поискване  да изпрати комплекта документи. 

За контакт: 
E-mail:  infosecservicebg@gmail.com
    infosecservice@study-security.com
тел.:    +359 886 655 315 /  Пламен Каменов


От 2004 г. фирма MANDIANT извършва разследвания, свързани с нарушения в информационната сигурност на стотици организации по целия свят. Голямата част от тези нарушения са извършени от лица/организации  представляващи висока степен на заплаха, наричани още  “Advanced Persistent Threat” (APT).

За първи път фирма MANDIANT публикува подробности за APT в доклад M-Trends от м. януари, 2010. Тяхното мнение в този доклад е, че правителството на Китай може да упълномощава и възлага  провеждането на такива дейности (нарушения) , но не съществува възможност за определяне до каква степен и обхват правителството е въвлечено в тази дейност. Към началото на тази година (2013), MANDIANT имат вече достатъчно събрани доказателства за да променят началната си оценка. Анализите на събраните данни от проведените стотици разследвания  ги убеждават, че групите, които извършват тези нарушения на сигурността са основно базирани в Китай и правителството на Китай знае за тяхното съществуване и дейност.

Фирмата MANDIANT продължава да проследява дейността на десетки АРТ групи по целия свят, но техния доклад е насочен към организацията и дейността на на групата с „най-добри” резултати. Те наричат тази група „АРТ1”, която е една от 20 – те (и повече)  АРТ групи, произхождащи от Китай.  АРТ1 е   обособена организация на „оператори”, които могат да провеждат кибернетично разузнаване, насочено срещу много широк кръг от обекти. Организацията е започнала да функционира не по-късно от 2006 г. Резултатите от дейността на АРТ1 – количество и качество на присвоената / откраднатата информация - я определят, като „най-добра” в своята дейност – кибернетично разузнаване. Счита се, че директно наблюдаваните дейности на APT1, обхващат малка част от разузнаването, което се извършва. От специалистите на MANDIANT са анализирани почти 150 извършени прониквания на APT1 в продължение на 7 (седем) години. Проследявани са 4 големи мрежи в Шанхай, разкрити са местоположението и инфраструктура за провеждане на кибернетични атаки, системи за командване и управление, множество специализиран програмен инструментариум, описани тактики и процедури за действие. Разкрити са и конкретни „оператори” (вероятно военнослужащи), получаващи заповеди за изпълнение. Анализа на MANDIAN показва, че може да се направи заключението, че APT1, с  голяма степен на вероятност е поддържана от държавата (правителството на Китай). Като резултат от проведените проучвания  е установено, че военната част № 61398 от Китайската народна армия е подобна на APT1 по своята мисия, способности и ресурси. Тази военна част има географско разположение, еднакво с местото от където действа и  APT1.

За повече информация  - www.mandiant.com

„ИЗТИЧАНЕ” на корпоративни данни – мит или реалност ?

„ИЗТИЧАНЕ” на корпоративни данни – мит или реалност ?

Следващите данни са от извършеното от фирма VAIO Digital Business (фирма на Sony) изследване, свързано „изтичането” на важни за корпорациите данни и информация.

В изследването са взели участие представители на 600 компании от Великобритания. В процеса на работата се е установило, че през 2012 г., всяка четвърта компания е установила загуба на електронни носители, съдържащи ценна корпоративна информация. По-голямата част от компаниите считат, че основната вина за това явление имат:

- широкото разпространение на практиката BYOD (Bring your own device /BYOD/ ,  политика позволяваща на служителите да носят на работното си място на собствени, мобилни устройства – лаптопи, таблети , смартфони и др.);

- ниското ниво на информационната сигурност;

-  увеличаването на броя на недоволните служители.

Независимо голямата вероятност за изтичане на данни с помощта на мобилни устройства, само 28% от компаниите са заявили, че на техните нотбуци има инсталирани и работещи системи за защита на информацията от „изтичане”.

Около 75% от компаниите са заявили, че защитата на данните има първостепенно значение за техния бизнес, а 90% признават, че техните служители могат да получат достъп до корпоративна информация от своите лични, мобилни устройства, независимо от политиката за сигурност на компанията.

Освен това, изследването  е установила, че 46% от компаниите (техните служители) преднамерено нарушават политиките за сигурност и продължават да използват лични мобилни устройства за достъп до корпоративни данни.

Изследването е установило, че 82% от отговорилите на въпросите в изследването рядко сменят своите пароли, независимо препоръките за тяхната периодична промяна  (най-малко един пътна месец). 20% са съобщили, че никога не променят своите пароли, а 17% са признали, че променят паролите си, само когато при обновяване на системите, трябва задължително да извършат това действие.

В отчета по изследването се съобщава, че 56% от компаниите са отговорили, че имат дистанционно, резервно оборудване, което им позволява да извличат данни, в случаи на кражби или други непредвидени обстоятелства. 42% от компаниите използват механизми за шифриране на данните, а 25% използват технологии, позволяващи отдалечено блокиране на загубени / откраднати устройства. Само 18% от фирмите прилагат в някаква степен технологии, позволяващи им проследяване на устройства по тяхното местоположение.

Очевидно „изтичането” на корпоративна информация” не е мит, а са съжаление е реалност, клоняща към всекидневно явление.

УСЛУГИ ПО ИНФОРМАЦИОННА СИГУРНОСТ ПРЕДОСТАВЯНИ ОТ INFOSEC SERVICE

INFOSEC SERVICE предоставя набор от услуги за своите клиенти,  свързани с изграждането система за фирмена сигурност и в частност, система за управление на информационната сигурност (СУИС).

Забележка: От началото на 2013 г.,  всички предоставяни от INFOSEC SERVICE услуги отчитат и новите / променените изисквания на  предстоящите за официално въвеждане (трето тримесечие на 2013 г.) стандарти за информационна сигурност ISO 27001:2013 и ISO 27002:2013

Контакти:

www.study-security.com

infosecservicebg@gmail.com

infosecservice@study-security.com

Пламен Каменов - Консултант

мобилен: +359 886 655 315

Колко време е необходимо за разкриването на инциденти, свързани с „изтичане” на данни / информация – дни, месеци или може би ...години ?

Колко време е необходимо за разкриването на инциденти, свързани с „изтичане” на данни / информация – дни, месеци или може би ...години ?

Данните в тази публикация са на база проведения анализ от компанията Trustwave  (оповестени през м. март, 2013 г.)

Съгласно резултатите от проведения от Trustwave подробен анализ  на най-големите инциденти за 2012 г., става ясно, че на всеки шест от десет организации са били необходими най-малко три месеца за разкриване на инцидент, свързан с „изтичането” на данни / информация. Част от тези компаниите не са били в състояние и не са разкрили подобни инциденти по информационната сигурност в рамките на една година.

В своя Глобален доклад по сигурността – 2013, компанията съобщава, че в резултат изучаването на 450  случаи на „изтичане” на данни / информация за 2012 год., става ясно,че средното време, необходимо на една компания да разкрие факта на „изтичане” е 210 дни, което е с 35 дни повече от средното време за 2011 год.

Невероятно, но се оказва, че 14% от нарушенията остават неразкрити в течение на 2 (две)  години, а всеки двадесети случай остава неразкрит и за по-дълго време. Почти половината (45%) от нарушенията стават в компании за търговия на дребно – основно изтичане на данни от банкови карти; 24% от инцидентите са в компании от сферата на производството и търговията на храни и напитки; 9% - в сферата та услугите и 7% във финансовия сектор.

На база горепосочените базови данни, остава неясно, как злонамерените лица се внедряват толкова лесно в системите на съответните организации, и защо ИТ – персонала не забелязва / открива това внедряване толкова продължително време. Най-вероятната причина за дадената / разкритата ситуация е, че търговските компании активно използват услугите на вериги от доставчици, поддоставчици, предприемачи и др., което усложнява в значителна степен осигуряването и управлението  на необходимата и достатъчна сигурност на конфиденциалната информация / данни. Необходимо е да се обърне сериозно внимание на широко разпространената практика, когато компаниите защитават своите системи с пароли, имащи ниско ниво на сложност (напр. при отдалечен достъп до корпоративните ресурси от трети лица – бизнес партньори, доставчици и др.)

Компанията Trustwave дава отговор и на въпроса, защо следователите могат да разкрият нарушенията, макар и за продължителен период от време, а системните администратори така и не забелязват злонамереното внедряване в приемлив период от време.

Очевидно, че голям брой от компаниите с цел защита на информацията разчитат основно на автоматизирани системи за защита – напр. антивирусни програми или защитни стени, които не са предназначени за защита на данните / информацията от „изтичане”, което допълнително способства  за значително „изтичане” на важни за бизнеса данни / информация, създаващи неприемливи финансови, материални и др. последствия за организациите. При тези случаи, при проникване в корпоративната мрежа от хакери няма възможност за своевременно установяване и/или предотвратяване на нарушението.

Съгласно коментарите по тези въпроси на Роберт Джей МакКаллен, Генерален директор на Trustwave – „Всички разработчици, особено тези, които се занимават с електронна търговия, би следвало да реализират пълния цикъл от работи по осъществяването на информационна сигурност за съответната организация, което включва, освен другото обучение по сигурността на персонала и прилагането на най-добрите инструменти за защита на информацията. Специалистите от звената за информационна сигурност трябва да бъдат уверени в качествата на използваните ресурси за сигурност, с които се извършват ежедневни проверки на ИТ инфраструктурата за „изтичане” на данни / информация”

УСЛУГИ ПО ИНФОРМАЦИОННА СИГУРНОСТ ПРЕДОСТАВЯНИ ОТ INFOSEC SERVICE

INFOSEC SERVICE предоставя набор от услуги за своите клиенти,  свързани с изграждането система за фирмена сигурност и в частност, система за управление на информационната сигурност (СУИС).

Забележка: От началото на 2013 г.,  всички предоставяни от INFOSEC SERVICE услуги отчитат и новите / променените изисквания на  предстоящите за официално въвеждане (трето тримесечие на 2013 г.) стандарти за информационна сигурност ISO 27001:2013 и ISO 27002:2013

Контакти:

www.study-security.com

infosecservicebg@gmail.com

infosecservice@study-security.com

Пламен Каменов - Консултант

мобилен: +359 886 655 315