Bezpieczeństwo internetowych witryn informacyjnych administracji rządowej

Transkrypt

1 Bezpieczeństwo internetowych witryn informacyjnych administracji rządowej GOV.PL Małgorzata Olszewska 1

2 Stan bezpieczeństwa witryn GOV.PL Mimo podjętych działań przez MAiC i CERT.GOV.PL w ostatnich latach stan bezpieczeństwa informacyjnych witryn internetowych administracji rządowej jest niski: Stan bezpieczeństwa przebadanych witryn Ilość stron Bardzo dobry poziom bezpieczeństwa 31 Średni poziom bezpieczeństwa 39 Niski poziom bezpieczeństwa 25 Rok Statystyka wykrytych podatności w witrynach WWW należących do administracji publicznych według poziomu zagrożenia 2

3 Badanie ankietowe 2012 Szacunkowy poziom bezpieczeństwa Akceptowalny Występują ryzyka Krytyczny Objęto badaniem 90 instytucji W przypadku aż 15 z nich poziom bezpieczeństwa witryn jest krytyczny co może skutkować łatwym atakiem lub awarią serwisu (np. brak procedur awaryjnych, audytów) Tylko w 6 przypadkach można mówić o właściwym poziomie bezpieczeństwa technicznego i organizacyjnego Tylko dla 18 serwisów zostały wdrożone procedury na wypadek awarii czy ataku 3

4 Cel rekomendacji Osiągnąć minimalny akceptowalny poziom bezpieczeństwa dla serwisów GOV.PL w poszczególnych instytucjach. Ujednolicić wymagania jakościowe i bezpieczeństwa dla wszystkich portali administracji rządowej. Zdefiniować rodzaje serwisów i odpowiadające im wymagania w zakresie dostępności, integralności i poufności. 4

5 5

6 Rekomendacje - wytyczne to nie tylko nakazy, ale także wsparcie w zakresie budowy bezpiecznych portali administracji rządowej. 6

7 POUFNOŚĆ INTEGRALNOŚĆ DOSTĘPNOŚĆ Projekt wymagań brzegowych Redundancja Skalowalność Wymagania dla serwisów internetowych w domenie GOV.PL Klasa serwisu / witryny Active-Active - - O O X X Passive-Active O O X X - - Active-Active - - O O X X Passive-Active O O X X - - Active-Active - - O O X X Passive-Active O O X X - - O O O O X X Sprzęt - O O O O X Wirtualizacja O - X X X X Chmura - O O O O X Rev-proxy + round-robin O O X Serwowanie wersji dynamicznej (frontend+baza danych)/wersji statycznej (czysty html) w zależności od obciążenia systemu i łącza Centrum zapasowe Łącze Zasilanie Sprzęt Łącze Wdrożenie sondy ARAKIS-GOV Wydajność Wdrożenie rozwiązań rozproszonych w trybie on-demand Okresowa (częsta) weryfikacja zapisów treści (sumy kontrolne) Odpowiednia konfiguracja praw dostępu serwisu serwera WWW Uwierzytelnianie dokumentów krytycznych dla obywatela Brzegowe rozwiązania bezpieczeństwa (IPS/IDS/AV/FW) Strefowanie systemu z zachowaniem minimalnych praw Wewnętrzne rozwiązania bezpieczeństwa (IPS/IDS/AV/FW) - O O X X X offline O O X X - - online - - O - X X X X X X X X tylko odczyt (wersja statyczna) X - X X X X minimalne prawa dostępu do baz (wersja dynamiczna) - X X X X X - - X X X X X X X X X X - O X X X X O X X X X X O X X X X X Kontrola integralności serwisu na potrzeby użytkownika poprzez możliwość przełączenia połączenia na https weryfikowalne przy pomocy certyfikatu umiejscowionego w drzewie akredytowanym przez przeglądarkę Połączenie szyfrowane Przechowywanie danych w formie zaszyfrowanej Konta użytkowników zarządzających treścią O X X X X X logowanie użytkowników uprzywilejowanych X X X X X X logowanie użytkowników zewnętrznych X X przesyłanie informacji przez uż. zewnętrznych X X dane do logowania X X X X X X informacje od uż. zewnętrznych X X tylko dla pracowników jednostki X X X X X X dostępne tylko z określonych adresów IP O X X X X X 1 prosta publikacja informacji o jednostce O Opcjonalne 2 dynamiczna, informacyjna strona www X Zalecane 3 BIP - Nie dotyczy 4 strona zawierająca informacja dla obywateli stanowiące podstawę ich dalszych działań (np. formularze) 5 strona zawierająca dynamiczne formularze, które po wypełnieniu stanowią podstawę działań po stronie jednostki 6 strona zawierająca dwustronny system wymiany informacji jednostka <-> obywatel 7

8 Dziękuję za uwagę 8