Принцип Парето в стандартизации ИБ

© 2008 Cisco Systems, Inc. All rights reserved.InfoSecurity 2008 1/18

Принцип Парето в стандартизации по ИБ

Алексей Лукацкий

Бизнес-консультант по безопасности


“Небольшая доля причин, вкладываемых средств или прилагаемых усилий, отвечает за большую долю результатов, получаемой продукции или заработанного вознаграждения.”

Вильфредо Парето (1848 – 1923)


Принцип Парето на практике

20% вложенных средств ответственны за 80% отдачи

80% следствий проистекает из 20% причин

20% покупателей приносит 80% прибыли

20% преступников совершают 80% преступлений

20% водителей виновны в 80% ДТП

80% времени вы носите 20% имеющейся одежды

80% энергии двигателя теряется впустую

20% населения владеют 80% всех ценностей

80% времени ПК тратится на 20% команд программы


Суть принципа Парето

Диспропорция является неотъемлемым свойством соотношения между причинами и результатами, вкладом и возвратом, усилиями и вознаграждением за них

Если мы изучим и проанализируем два набора данных, относящихся к причинам и результатам, то скорее всего получим картину несбалансированности

65/35, 70/30, 75/25, 80/20, 95/5…

Он опровергает логическое предположение, что все факторы имеют примерно одинаковое значение

Принцип 80/20 будет работать всегда и везде, если не прилагать усилий по его преодолению


Принцип Парето в безопасности

80% людей совершат НСД, если это не станет известным

88% ИТ-специалистов допускают месть работодателю после своего увольнения

20% уязвимостей приводят к 80% всех атак

Атаки обычно направлены на 95% уязвимостей, для которых уже существуют способы устранения

Только 20% функций СЗИ используются на практике

Стоимость лицензии на систему защиты составляет около 15-20% от совокупной стоимости владения


Принцип Парето в стандартизации

80% всех защитных механизмов и мер покрываются 20% стандартов

80% стандартов покрывают 20% существующих потребностей/технологий


Существующие стандарты ИБ в РФ

РД ФСТЭК

15408

СТР-КЧетверокнижие

по ПДн

КСИИ

СТО БР ИББСКоммерческая

тайна

PCI DSS

ГОСТ Р ИСО17799:2005

…

Разграничение доступаИзоляция процессовУправление потоками

Межсетевое экранированиеИдентификация/аутентификация

Регистрация действийРеакция на НСДОчистка памяти

Тестирование функций защитыУчет и маркировка носителей

Контроль целостности



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Контроль доступа (мандатный/

дискреционный)VLANVPN

БиллингОС (одноуровневые/

многоуровневые)СУБДIDS

Электронные замки



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Защита от утечек по техническим каналамДокументальное оформление

Физическая безопасностьРегистрация действийРазграничение доступа

Учет и маркировка носителейРезервирование

Антивирусная защитаЗащита ЛВС

Защита внешнего взаимодействияСУБД



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Система управленияДокументальное сопровождениеУправление жизненным циклом

Разграничение доступаРегистрация действийАнтивирусная защита

Защита внешнего взаимодействияЗащита e-mail и архив почты

КриптографияПлатежные процессы

Технологические процессы



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Разграничение доступаРегистрация действий

Учет носителейОбеспечение целостности

Межсетевое взаимодействиеОтсутствие НДВ

Антивирусная защитаАнализ защищенности

Обнаружение вторженийBCP

Реагирование на инцидентыОценка рисков

Повышение осведомленностиАудит

Защита коммуникаций



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Документальное сопровождениеЗащита от утечек по техническим каналам

Антивирусная защитаОбнаружение вторженийРазграничение доступаРегистрация действий

Учет и маркировка носителейОбеспечение целостности

Межсетевое взаимодействиеКриптографическая защита

ЛовушкиСканеры защищенности



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…






Защита от утечек по техническим каналамРазграничение доступа

Межсетевое взаимодействиеVPN

Аутентификация и идентификацияКриптозащита

Шифрование информацииЭЦП

Пакетное шифрованиеСтеганография

Регистрация действийСигнализация

Обнаружение вторженийЗащита от ПМВ

Защита от сбоев, отказов и ошибокОбеспечение целостности и надежностиТестирование и контроль безопасности



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…

Настройка МСЭКонтроль паролей

Защита данных держателей картШифрование в канале связи

Обновление антивирусаЗащита приложений

Разграничение доступаИдентификация и аутентификация

Физический доступРегистрация действийАнализ безопасности

Документальное сопровождение



РД ФСТЭК

15408


по ПДн

КСИИ


тайна

PCI DSS


…






Политика безопасностиОрганизация ИБ

Управление активамиБезопасность HR

Физический доступБезопасность окружения

Управление средствами связиКонтроль доступа

Приобретение, разработка и обслуживание ИСУправление инцидентами

BCPСоответствие требованиям


Связь документов

15408

РД

СТО БРИББС

ФСТЭК

PCI

Перс-данные

СТР-К

Только один гос.регулятор


Когда в товарищах согласья нет…

ИБ

ФСТЭК

ФСБ

Минком-связь

МО

СВР

ФСО

ЦБPCI

Council

Газпром-

серт


Пример: большинство банков

БанкPCI DSS

ФЗ-152

ФСБ

СТО БРИББС

Минком-связь


Пример: Сбербанк

Сбер-банк

PCI DSS

СТО БРИББС

ФЗ-152

КСИИ

ФСБ


Пример: Газпром

Газпром

КСИИ

ФЗ-152 ФСБ

Газпром-серт


Как есть сейчас

PCI DSS

ОБИ

Защита данных

владельцев карт

СТО БР

ИББС

ОБИ

Защита платежных процессов

СУИБ

ФЗ-152

ОБИ

Тех.каналы

СТР-К

ОБИ

Тех.каналы

КСИИ

ОБИ

ОБИ КСИИ


Блиц-анализ технических требований

•Разграничение доступа (+ управление потоками)

•Идентификация / аутентификация

•Межсетевое взаимодействие

•Регистрация действий

•Учет и маркировка носителей (+ очистка памяти)

•Документальное сопровождение

•Физический доступ

•Контроль целостности

•Тестирование безопасности

•Сигнализация и реагирование

•Контроль целостности

•Защита каналов связи

•Обнаружение вторжений

•Антивирусная защита

•BCP

•Защита от утечки по техническим каналам

Общие

•Защита специфичных процессов (биллинг, АБС, PCI…)

•Защита приложений (Web, СУБД…)

•Нестандартные механизмы (ловушки, стеганография)Специфичные


Как правильно (фрагмент)

Базовые требования

Финансы

АБС ДБО PCI

КСИИ

АСУ ТП

СУИБбазовая

СУИБпроцесс

СУИБинтеграция

Базовая функциональность

Расширенная функциональность


Заключение

Понимание того «немного, имеющего значение» и отсеивание «заурядного большинства» позволит нам реформировать нормативные требования, удалить ненужные в конкретной ситуации и сконцентрироваться на деле

За основу базовых требований можно взять ISO 2700x


Вопросы?

Дополнительные вопросы Вы можете задать по электронной почте [email protected]или по телефону: +7 495 961-1410

Презентация выложена на сайте http://lukatsky.blogspot.com/


Technology

Принцип Парето в стандартизации ИБ