Tudatos kockázatmenedzsment vs. megfelelés Horváth Balázs horvath.balazs@trconsult.hu Ruha Norbert ruha.norbert@trconsult.hu
Agenda A korszerű kockázatmenedzsment kihívásai és jellemzői A megfelelés problémaköre Tapasztalatok, következtetések Támogató eszköz bemutatása 2
A korszerű kockázatmenedzsment kihívásai - A vállalatok informatikai támogatásának egyre dinamikusabb fejlődése - Folyamatosan változó és növekvő fenyegetettség-tér hatékony kezelése - Védelmi intézkedések folyamatos fenntartása és fejlesztése - A védelem teljes körűségének, zártságának (sérülékenységek minimumon tartásának) folyamatos biztosítása 3
A fenyegetettség-tér számokban 100 biztonsági ellenőrzés/ip 1000 IP átlag 20 SW komponens 20 db sebezhetőség/ip 5 db /IP 4
A kockázat- és sérülékenység menedzsment rendszerek gyengeségei- a fenyegetettség tér változása Which of the following attack types have exploited your organization in 2015? Forrás: State of Cybersecurity - Implications for 2016 (https://www.isaca.org/cyber/documents/state-of-cybersecurity_res_eng_0316.pdf) 5
A tudatos és korszerű kockázatmenedzsment jellemzői Önfejlesztő, tanuló: Amit nem ismerünk, az ellen védekezni sem tudunk hatékonyan! Ha nem ismerjük a helyes választ, elkésünk! Folyamatos: A fenyegetettség-tér folyamatosan változik, aki lemarad, nagy valószínűséggel válik áldozattá! Gyors reagálású: pl.: 0. órai probléma, nincs idő hezitálni! Integrált: Amit szigetszerűen látunk, az nem biztos, hogy a teljes valóság! Automatizált: A fenyegetettségek számosságát ember nem kezelheti hatékonyan, ha így tesz lemarad a küzdelemben! 6
Példa egy integrált, hatékony kockázatmenedzsment rendszerre AC FW IPS/IDS SLA&TM Auditok és átvizsgálások eredményei WC DDOS SIEM IBIR ISE AV Sérülékenység menedzsment eszköz DLP EMM BCP, DRP tesztek eredményei 7
Ma már a vállalati információbiztonsági szakértelem legnagyobb értéke nem a manuális védelem megvalósítása, hanem az IBIR és a technológiai védelmi rendszer hatékony kiépítése, összekapcsolása és működtetése. 8
A TRC ajánlata kockázatmenedzsment eszközökre 9
Agenda Kockázatmenedzsment korszerű kihívásai és jellemzői A megfelelés problémaköre Tapasztalatok, következtetések Támogató eszköz bemutatása 10
Megfelelési kényszer vállalat MSZ ISO/IEC 27001:2014 szabvány PCI DSS szabvány GDPR MNB 1/2015. ajánlása 1997. évi CLIV. törvény 2013. évi L. törvény 41/2015. (VII. 15.) BM rendelet 2011. évi CXII. törvény 1997. évi XLVII. törvény 11
Megfelelés vs. Tudatos kockázatmenedzsment Tulajdonság Önfejlesztés, tanulás Folyamatosság Gyorsreagálás Integráltság Automatizáltság Tudatos kockázatmenedzsment Megfelelés 12
Agenda Kockázatmenedzsment korszerű kihívásai és jellemzői A megfelelés problémaköre Tapasztalatok, következtetések Támogató eszköz bemutatása 13
Tapasztalatok, következtetések A vállalatok többsége megfelelés minimumra törekszik! A magas szintű bürokrácia miatt elvész a valódi védelemre fordítható energia! A törvényi megfelelés elsősorban mennyiségi és nem minőségi kontrollokra fókuszál! Az auditorok - felkészültségük függvényében- gyakran túlzóan vagy túl megengedően értelmezik a törvényt! A legtöbb törvényből hiányzik az IBIR, illetve az hogy hogyan érjük el a megfelelést A megfelelés szükséges, de nem elégséges! A tudatos és korszerű kockázatmenedzsment alkalmazása automatikusan ad megfelelést, de fordítva nem áll fenn az ok-okozat! 14
Agenda Kockázatmenedzsment korszerű kihívásai és jellemzői A megfelelés problémaköre Tapasztalatok, következtetések Támogató eszköz bemutatása 15
16
Globális vevői kör 17
Az integrált Qualys felület 18
Kipróbálási lehetőségek Próba verzió tartalma: Korlátlan hálózati feltérképezés és felfedezés Korlátlan hálózati perem vizsgálat PCI megfelelés vizsgálat Web alkalmazás biztonsági vizsgálat Malware fertőzések és fenyegetések érzékelése IT biztonsági policy készítés, vizsgálat és riportálás 19
Ad-hoc Folytonos Gyakorlatias Adminisztratív Hatékony kockázatkezelés vs. megfelelés Qualys-al Lassan fejlődő Dinamikus, naprakész Széles spektrumú védelem Keskeny spektrumú védelem 20
A megfelelés még nem nyújt biztonságot, sőt sok esetben hamis biztonságtudatot eredményez! 21
Köszönjük a figyelmet! 22