Bezpieczeństwo Informacji w Systemie Teleinformatycznym Banku. Gdynia 20 czerwca 2006

Transkrypt

1 Bezpieczeństwo Informacji w Systemie Teleinformatycznym Banku Gdynia 20 czerwca 2006

2 Agenda spotkania Powitanie uczestników i przedstawienie programu konferencji Prawne aspekty zarządzania bezpieczeństwem informacji. Cyber Service Bezpieczeństwo informacji - przegląd wybranych rozwiązań. Asseco Poland SA Przerwa Produkty i usługi dodane w ofercie dla Banków Spółdzielczych. Asseco Poland SA Bezpieczna platforma przetwarzania informacji. Hewlett-Packard Polska Poczęstunek Zarządzanie bezpieczeństwem stacji roboczych. Check Point Integrity, Clico Sp. z o.o Koncepcja budowy systemu bezpieczeństwa brzegowego, implementacja i konfiguracja środowiska zapór sieciowych. Clico Sp. z o.o Realizacja bezpiecznych połączeń sieciowych i międzysieciowych. Asseco Poland SA Zakończenie warsztatów losowanie nagród.

3 Produkty i usługi dodane w ofercie dla Banków Spółdzielczych. Krzysztof Śmigiel Asseco Poland SA.

4 Oferta Standardy działania System Zarządzania przez Jakość w Asseco Poland SA otrzymał certyfikat na zgodność z normą ISO 9001:2000 w następującym zakresie: marketing, sprzedaż, projektowanie, wytwarzanie i wdrażanie oprogramowania dla sektora bankowego oraz świadczenie usług serwisowych z nim związanych. Kompleksowe Usługi Integracyjne Produkty Sprzęt Oprogramowanie

5 Usługi integracyjne Audyt Bezpieczeństwa Teleinformatycznego Bezpieczeństwo Zasobów i Usług Bezpieczeństwo Systemów Sieciowych Budynek Inteligentny Efektywność Dostępu i Pasma Przetwarzanie Danych Serwis i Wsparcie Techniczne Struktura Sieciowa Usługi dla Użytkowników Zarządzanie Strukturą IT

6 Serwis i wsparcie techniczne Serwis sprzętu informatycznego Po podpisaniu umowy bank ma zagwarantowane w stosunku do sprzętu objętego tą umową: natychmiastowe przystąpienie do usuwania zgłoszonych awarii gwarantowany czas usunięcia awarii - <12 godz. ( z reguły krótszy) 2 przeglądy okresowe w ciągu roku konsultacje dla informatyka w kwestiach dotyczących sprzętu na umowie. Gotowość może być: Standardowa - przyjmujemy zgłoszenia w standardowych godzinach pracy serwisu 8:00-17:00 24h - zgłoszenia przyjmujemy 24h na dobę przez cały okrągły rok. Koszty związane z umową są kosztami miesięcznymi netto i zależą od wiekowości sprzętu. Opłata miesięczna składa się z opłaty za gotowość serwisową i składnika za sprzęt.

7 Obsługa Serwisowa Monitoring Systemów Informatycznych Celem jest stałe dostarczanie do centrum serwisu dodatkowych informacji na temat stanu tych systemów, ich wydajności, obciążenia oraz ostrzeżeń o osiągnięciu niebezpiecznych poziomów poszczególnych ich parametrów. Realizowany poprzez stałe lub komutowane łącza serwisowe funkcjonujące w oparciu o dedykowany do tych celów System Dostępu Serwisowego zapewniający bezpieczeństwo dostępu, kontrolę uwierzytelniania i autoryzacji oraz rozliczalność prowadzonych prac. Wsparcie techniczne zapewniające utrzymanie wdrożonej funkcjonalności systemów: kontrola zapisów historii działania sytemu wykryte nieprawidłowości, zmiany konfiguracji (udaremnione próby włamań, zablokowane/usunięte wirusy atakujące sieć), sprawdzenie stanu aktualizacji baz wirusów, przegląd generowanych raportów administracyjnych systemu itp., drobne modyfikacje wdrożonego systemu.

8 Sprzęt Zasilanie Serwery Stacje robocze Terminale Drukarki Peryferia Bezpieczeństwo Urządzenia sieciowe

9 ZASILANIE Niezbędne jest wyposażenie centrum przetwarzania danych w systemy podtrzymujące pracę serwerów i innych urządzeń informatycznych na wypadek awarii zasilania Rekomendacja D rozdz. IV p7 PN-I A.7.2.2

10

11 Zasilanie - Agregaty

12 Mikroprocesorowy sterownik Podstawowe informacje o pracy zespołu i stanie sieci odczytywane są na wyświetlaczu, w postaci takich parametrów, jak: - napięcie sieci głównej, - napięcie z zespołu prądotwórczego, - częstotliwość z zespołu prądotwórczego, - napięcie akumulatora, - licznik motogodzin. Przy pomocy klawiatury istnieje możliwość zaprogramowania różnych parametrów, wśród których znajdują się takie, jak: - częstotliwość: 50 Hz lub 60 Hz, - włączenie syreny alarmowej, - czas zatrzymania silnika, - ilość prób uruchomień silnika, - czas próby uruchomienia silnika, - przerwa między próbami uruchomień, - czas międzyobsługowy, - opóźnienie włączania lub wyłączania napięcia sieci przemysłowej, - czas wychładzania silnika, - próg przełączania napięcia "sieć - agregat", - czas i długość testu tygodniowego, - inne, wg uzgodnień. Sterownik mikroprocesorowy informuje również o stanach awaryjnych zespołu prądotwórczego, które powodują natychmiastowe zatrzymanie zespołu z takich powodów, jak: zbyt wysoka temperatura cieczy silnika (jeżeli występuje), zbyt niskie ciśnienie lub poziom oleju, zbyt duża odchyłka od ustalonej prędkości obrotowej silnika, brak napięcia prądnicy, uruchomienie zdalnego alarmu, rezerwa paliwa (jeżeli występuje).

13

14 Dane techniczne zespołu prądotwórczego z silnikiem wysokoprężnym RUGGERINI chłodzonym powietrzem przy 3000 obr/min z elektronicznym regulatorem napięcia: Moc maks: VA Napięcie: 230 V Pojemność zbiornika: 60 litrów Moc silnika: 28 Km Zużycie paliwa: 4,70 l/h Rozruch: AVR Wymiary L x W x H: 124x60x85 cm Masa: 250 KG Cena Euro + (13 tys. zł)

15 Pomieszczenie 2x3 m przy zewnęcznej scianie budynku, mozliwość zamontowania czerpni, wentylatora.

16 APC Smart-UPS RT /VT Automatyczny wewnętrzny tor obejściowy. Elastyczny czas podtrzymania. Inteligentne zarządzanie bateriami. Akumulatory wymienialne przez użytkownika na gorąco. Ładowanie akumulatorów dostosowane do temperatury. Zarządzalne sieciowo. Regulacja częstotliwości i napięcia. Filtrowanie napięcia. Korekcja wejściowego współczynnika poboru mocy. Kompatybilny z generatorem. Cerfyfikat bezpieczeństwa Moc RT 1 kva - 10kVA Moc VT 10kVA 40kVA

17 Powerware Powerware chroni przed wszystkimi dziewięcioma podstawowymi problemami, które mogą doprowadzić do uszkodzenia urządzeń lub spowodować utratę cennych danych(zaniki napięcia, chwilowe wahania amplitudy, udary napięciowe, długotrwałe podwyższenia napięcia, długotrwałe obniżenia napięcia, przepięcia łączeniowe, szumy, wahania częstotliwości, odkształcenia harmoniczne Technologia: Seria 9 (podwójna konwersja online) Moc znamionowa: ,7-6 kva kva Napięcie: VAC Czas podtrzymania: typowo 10 min. (z możliwością wydłużenia do kilku godzin)

18 Hp Serwery ML: , DL Sun Sun Fire: X4100, X4200, V40z, V240, V890

19 WAN WAN: Wide Area Network Sieć łącząca dwie lub więcej odległe lokalizacje typowo przez IP (TCP/IP) Realizowane zazwyczaj z wykorzystaniem: Frame Relay Trakty cyfrowe Dzierżawki ISDN, DSL, Cable Mosty radiowe/optyczne VPN przez Internet Łączność satelitarną

20 Bank powinien posiadać zdolność efektywnego świadczenia usług, zapewniać ciągłość działalności oraz posiadać procesy planowania awaryjnego w celu zapewnienia dostępności systemów i usług Rekomendacja D Rozdz. V PN-I A.11

21 WAN Serwery Sieć routerów do łączy podstawowych VPN dla łaczy podstawowych Przełączniki Router do łącza podstawowego NS 50 NS 5 GT Stacje robocze Oddział Banku Stacje robocze NS 5 GT Kolejny oddział Banku

22 WAN - Awaryjne Serwery Sieć routerów do łączy podstawowych VPN dla łaczy podstawowych Przełączniki Router do łącza podstawowego NS 50 VPN dla łaczy backup Router do łącza backup NS 5 GT Stacje robocze Oddział Banku Stacje robocze Sieć routerów do łączy backup NS 5 GT Kolejny oddział Banku

23 Zapewnienie ciągłości dostępu tradycyjnych łączy WAN Łącza podstawowe są realizowane w oparciu o Frame Relay, MPLS lub łącza dzierżawione Ciągłość dostępu w przypadku awarii łącz jest zapewniania przez: Dostęp wdzwaniany linią telefoniczną powoli i drogo ISDN troszkę szybciej ale i drożej Zarówno linia telefoniczna jak i ISDN mogą być w tej samej rurze co łącze WAN Łączność satelitarna: zapewnia niezależność od łącza, kosztowne oraz trudne w instalacji Mosty radiowe/optyczne: problemy topograficzne, zakłócenia atmosferyczne

24 WAN Podstawowe i zapasowe łącza VPN w technologii EDGE/GPRS

25 Zalety sieci komórkowych Pokrycie obszaru przez sieci Duża konkurencja Urządzenia Operatorzy komórkowi Opłacalne taryfy Coraz wyższe transfery danych Łączność z trudnymi do osiągnięcia miejscami Łączność w ramach sieci prywatnych Łatwe wdrożenie Mobilna łączność Uniezależnienie od kabli

26 Router Przewodowy WAN Frame, DSL Internet Normal WAN Centrala Odległa lokalizacja Wireless WAN Cellular IP IP Network Wireless Router

27 Zastosowania: Handel Bankomaty Zdalne zarządzanie i monitoring Transport Systemy zabezpieczeń Sieci tymczasowe / dostęp mobilny Łącza awaryjne

28 Router przekieruje ruch, gdy główne łącze ulegnie awarii Zapasowe łącza WAN Normal WAN Odległy LAN Digi Connect Wireless IP IP Net Net Frame, Internet, VPN VPN Centrala

29 Podstawowe łącza WAN Uzyskanie linii telefonicznej Trwa określony przedział czasu Wymaga prac ziemnych / prowadzenia kabli Może być bardzo ciężkie Miesięczne opłaty mogą być wysokie Zdalni pracownicy: Mogą potrzebować pracy mobilnej Mogą nie mieć dostępu do sieci LAN w odległej lokalizacji (klient nie pozwala się wpiąć inżynierowi wsparcia technicznego)

30 Rozwiązanie: Wireless WAN Odległa sieć oraz urządzenia Sieć korporacyjna Switch/Hub/WAP Wireless Wireless IP IP Net Net Frame, Frame, Internet, Internet, VPN VPN

31 Zdalne zarządzanie i monitoring Obiekt Czujnik Customer WAN // Internet Data Center Router Aplikacja Ethernet Wireless IP IP Net Net Digi Connect Konsola zarządzania

32 Sprzęt Digi Connect Cellular Gateways Digi Connect WAN Digi Connect WAN RG (urządzenia szeregowe) Digi Connect WAN VPN Digi Connect WAN IA Digi ConnectPort WAN VPN Usługi bezprzewodowej transmisji danych u operatora sieci komórkowych Zazwyczaj naliczanie za przesłane dane / miesiąc Różne warianty adresacji IP oraz bezpieczeństwa Różne metody połączenia z siecią klienta Platforma Digi Connectware Management

33 Określ z operatorem komórkowym... Pokrycie obszaru usługami Ilość danych / miesiąc / lokalizację Wymagania adresacji IP Adres prywatny / publiczny oraz statyczny / dynamiczny Czy będzie wykorzystywany VPN? Wymagania dotyczące bezpieczeństwa na trasie dostawca Twoja Firma Czy łączność może być przez Internet, czy przez prywatny kanał? Czy będzie wykorzystywany VPN?

34 Digi Connect WAN Router Ethernet sieci komórkowe GPRS Class 12 / EDGE Class 10 CDMA 1xRTT Zintegrowany routing: NAT, GRE oraz TCP/UDP Port Forwarding, IPsec Passthrough, IP Filtering (ACL) DHCP Server Technologia Digi s SureLink Always-on pozwala zrealizować permanentne połączenie Prosta instalacja i zarządzanie przez WebUI Szeregowy port konsoli można połączyć z konsolą routera/przełącznika dla zdalnego zarządzania

35 Digi Connect WAN VPN Router Wireless to Ethernet /Serial Urządzenie VPN CDMA 1xRTT lub GSM GPRS/EDGE Ethernet 10/100 Auto negotiating/sensing Port szeregowy RS 232/422/485 Opcje routingu, sieciowe, firewall jak w Digi Connect WAN Funkcje szeregowe jak w Digi Connect RG Wbudowany IPsec obsługa 2 tuneli Wymiana kluczy/uwierzytelnianie IKE/ISAKMP Szyfrowanie DES, 3DES oraz AES Kompatybilne z urządzeniami IPsec VPN jak Cisco, SonicWALL, Check Point, etc

36 Connect WAN i VPN LAN LAN Odległa lokalizacja Router/VPN Ethernet Customer WAN IPsec VPN Tunnel Wireless IP IP Net Net Centrala Router/VPN

37 Serwery Sieć routerów do łączy podstawowych VPN dla łaczy podstawowych Przełączniki Router do łącza podstawowego NS 50 VPN dla łaczy backup Router do łącza backup NS 5 GT Stacje robocze Oddział Banku Stacje robocze Sieć routerów do łączy backup NS 5 GT Kolejny oddział Banku

38 Oprogramowanie

39 SyMoZa System Monitorowania Zasobów jako system wspomagający zarządzanie ryzykiem informatycznym

40 Prawodawstwo UE w zakresie ochrony informacji i bezpieczeństwa systemów teleinformatycznych. Systemy teleinformatyczne powinny spełniać normy i standardy obowiązujące w UE czyli: Dyrektywy Parlamentu Europejskiego i Rady UE, Rezolucja Rady UE z r w sprawie bezpieczeństwa informacji i sieci teleinformatycznych, Decyzje Komisji UE z r w sprawie zasad i procedur bezpieczeństwa w ochronie informacji i sieci teleinformatycznych, Ramowa Propozycja Decyzji Komisji UE z r w sprawie ataków na systemy informatyczne (wejście w życie r) Standard ISO określający wymogi bezpieczeństwa systemów informatycznych, Standard ISO określający zasady zarządzania bezpieczeństwem

41 Zalecenia GINB Rekomendacje D i M zarządzanie ryzykami towarzyszącymi systemom informatycznym i telekomunikacyjnym używanym przez banki - władze banku SA odpowiedzialne za opracowanie strategii banku, w tym zakresie rozwoju i eksploatacji systemów informatycznych i sieci; - władze banku powinny ustanowić efektowną kontrolę zarządczą ryzyk związanych z systemami informatycznymi, w tym ustanowić polityki i inne regulacje służące zarządzaniu tymi ryzykami; - polityka bezpieczeństwa powinna określać m.in.: odpowiednie zabezpieczenie elektroniczne oraz procesy monitorowania dostępu, zapobiegające nieupoważnionemu dostępowi do systemów, aplikacji i baz danych.

42 Rekomendacja D mechanizmy kontroli bezpieczeństwa Mechanizmy kontrolne dot. wszystkich systemów informatycznych analiza zagrożeń i metody zabezpieczenia. Bank powinien stosować zabezpieczenia systemów informatycznych za pośrednictwem: rozwiązań sprzętowych; audytu zarządzania konfiguracją; działań organizacyjnych podejmowanych na wypadek naruszenia zabezpieczeń, oraz w przypadku awarii i katastrof, Zarządzanie sprzętem, wyposażeniem komputerowym oraz siecią - audyt informatyczny. Kontrola wewnętrzna: w ramach kontroli instytucjonalnej kierownictwo banku jest odpowiedzialne za powołanie komórki odpowiedzialnej za audyt systemów informatycznych. Kontrola zewnętrzna: władze banku mogą zlecić audytorom zewnętrznym stałą lub okresową kontrolę systemów informatycznych.

43 PN-ISO/IEC Rozliczalność aktywów Inwentaryzacja aktywów a) aktywa informacyjne b) aktywa oprogramowania: oprogramowanie aplikacyjne, systemowe, programy narzędziowe i użytkowe, c) aktywa fizyczne: sprzęt komputerowy (procesory, monitory, laptopy, modemy, nośniki, dyski itp.) 8.3 Ochrona przed szkodliwym oprogramowaniem d) dokonywanie regularnych przeglądów oprogramowania i danych systemowych

44 PN-I A Identyfikacja ryzyka wynikającego z dostępu osób trzecich A Inwentaryzacja Aktywów A Zmiany w urządzeniach do przetwarzania informacji systemach kontrola A Dzienniki operatorów A Permanentna kontrola zabezpieczenia sieci. A Zarządzanie wymiennymi nośnikami komputerowymi. A Użycie systemowych programów narzędziowych kontrola. A Monitorowanie używania urządzeń do przetwarzania informacji. A Zapewnienie zgodności z uregulowaniami prawnymi dotyczących użytkowania materiałów, objętych prawami do własności intelektualnej.

45 Ocena zarządzania ryzykami przez Nadzór bankowy Czy systemy informatyczne i telekomunikacyjne spełniają obowiązujące przepisy i normy? Czy sposób zarządzania ryzykami towarzyszącymi systemom informatycznym i telekomunikacyjnym zapobiega powstawaniu zagrożeń i gwarantuje szybkie ujawnienie i naprawienie popełnionych błędów i nieprawidłowości oraz eliminuje powstanie ich w przyszłości? Czy posiada i realizuje procedury zarządzania technologią informatyczną? Czy posiada i realizuje zasady polityki bezpieczeństwa, w tym: procedury identyfikacji użytkowników? Czy posiada procedury postępowania zapewniające odpowiednie monitorowanie i zarządzanie ryzykami? Czy posiada opracowane i przyjęte w banku procedury audytu wewnętrznego? Czy posiada efektywnie działającą komórkę odpowiedzialną za kontrolę wewnętrzną bezpieczeństwa systemów informatycznych?

46 SyMoZa monitorowanie ryzyka informatycznego Identyfikacja w sieci informatycznej zasobów niesklasyfikowanych, niezidentyfikowanych lub o zmienionych parametrach. Ciągłe monitorowanie na obecność zagrożeń utraty kontroli nad danymi. Ciągłe monitorowanie aktywów informatycznych. Funkcjonalność systemu umożliwia wykorzystanie go również jako narzędzia do: stworzenia dokumentacji systemu elektronicznego przetwarzania danych, permanentnego audytu legalności oprogramowania, monitorowania sieci, uruchamianych aplikacji, internetu na stacjach roboczych.

47 SyMoZa funkcje systemu Inwentaryzacja zasobów sprzętowych (komponentów poszczególnych komputerów) bez potrzeby ręcznego spisywania. Inwentaryzacja zasobów programowych bez potrzeby ręcznego spisywania zainstalowanych programów dla poszczególnych komputerów. Monitorowanie zasobów sieci informatycznej: Wykrywanie czasie rzeczywistym wymiennych pamięci masowych. Śledzenie i raportowanie w czasie rzeczywistym zapisów na nośnikach wymiennych. Raportowanie zmian zainstalowanego oprogramowania oraz sprzętu dzięki metodzie analizowania i porównywania informacji. Monitorowanie uruchamianych aplikacji na stacjach roboczych. Monitorowanie wykorzystania Internetu.

48 Aplikacja sprawdzająca

49 Panel aplikacji

50 Inwentaryzator

51 Inwentaryzator

52 Inwentaryzator - wynik skanowania

53 Inwentaryzator - wynik skanowania

54 Inwentaryzacja zasobów programowych

55 Inwentaryzacja zasobów sprzętowych

56 Moduł bezpieczeństwa Monitor zasobów

57 Monitor zasobów

58 Monitor zasobów

59 Monitor zasobów

60 Monitor zasobów

61 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania

63 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania -słowniki

64 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania - słowniki

72 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania Audyt dla wszystkich komputerów

73 Drukuj umożliwia sporządzenie trzech wydruków: Ilość licencji, czyli ile jest zainstalowanych programów, ile wykupionych licencji oraz ile brakuje licencji. Drugi wydruk natomiast wskazuje lokalizację zainstalowanych programów, czyli jakie oprogramowanie, na jakich komputerach się znajduje. Trzeci raport wykazuje, dla jakich programów występuje niezgodność licencji OEM.

74 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania raport pojedynczy komputer

75 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania raport oddział

76 Zarządzanie Licencjami i Inwentaryzacja Oprogramowania nierozpoznane programy

77 Statystyki uruchamianych programów i aktywności w Internecie

78 Statystyki uruchamianych programów i aktywności w Internecie

79 Statystyki uruchamianych programów i aktywności w Internecie - raport Data Adres strony W W W C zas icrosoft.com 00:00: :37: :00: :37: :00: icrosoft.com 00:00: :37: :00: icrosoft.com 00:00: :37: icrosoft.com 00:00: :00: :37: :00: icrosoft.com 00:00:30 Raport urucham ianych aplikacji Data N azw a C zas C:\W INDOW S\System 32\logon.scr 00:05: C:\W INDOW S\system 32\taskm gr.exe 01:22: C:\Program Files\Internet Explorer\iexplore.exe 05:48: C:\W INDOW S\PCHealth\HelpCtr\Binaries\HelpSvc.exe 00:01:18

80 Statystyki uruchamianych programów i aktywności w Internecie - filtry

81 Zdalne aktualizacje programów

82 Zdalne aktualizacje programów

83 Generator raportów

84