Ανάλυση, Αποτίμηση και Διαχείριση Επικινδυνότητας Π.Σ.

Ανάλυση, Αποτίμηση και Διαχείριση Επικινδυνότητας Π.Σ. Στηρίζεται στο κεφ. 11 «Ανάλυση, Αποτίμηση και Διαχείριση Επικινδυνότητας ΠΣ» από το βιβλίο Ασφάλεια Πληροφοριακών Συστημάτων» επιμ. Σ. Κάτσικας, Δ. Γκρίτζαλης, Σ. Γκριτζαλης Εισαγωγή Το ενδιαφέρον για την ασφάλεια οδηγεί σε σημαντική έρευνα και ανάπτυξη τεχνικών και εργαλείων Εντούτοις Τα επεισόδια παραβίασης συστημάτων αυξάνουν σε πλήθος και σοβαρότητα 2 1

Εισαγωγή Συνήθεις δυσκολίες στην ανάπτυξη της ασφάλειας Π.Σ. σε επιχειρήσεις/οργανισμούς: Δυσκολία αιτιολόγησης κόστους ασφάλειας Δυσκολία επικοινωνίας με διοικητικά στελέχη Δυσκολία εξασφάλισης ενεργητικής συμμετοχής χρηστών και διαρκούς υποστήριξης από τη διοίκηση Αντίληψη ότι η ασφάλεια είναι μόνο τεχνικό ζήτημα Δυσκολία ανάπτυξης ολοκληρωμένου και αποτελεσματικού σχεδίου ασφάλειας Π.Σ. Προσδιορισμός και αποτίμηση οργανωσιακών επιπτώσεων από την εφαρμογή του σχεδίου ασφάλειας Π.Σ. 3 Επικινδυνότητα και συναφείς έννοιες Απειλή Αγαθό έχει Επίπτωση Ευπάθεια Συνέπεια Επικινδυνότητα Αντίμετρο 4 2

Η έννοια της επικινδυνότητας Η Επικινδυνότητα (Ε) ορίζεται ως το γινόμενο της Πιθανότητας (Π) πραγματοποίησης ενός επεισοδίου ασφάλειας επί το (οικονομικό ή άλλο) Κόστος (Κ) που θα επιφέρει, ήτοι Ε = Π x Κ 5 Η έννοια του αντίμετρου Ένα αντίμετρο (ή μέτρο προστασίας, control measure, safeguard, countermeasure) τροποποιεί την επικινδυνότητα Τα μέτρα προστασίας για την ασφάλεια ΠΣ μπορεί να είναι διοικητικά (διαδικασίες, πολιτικές, οδηγίες, πρακτικές, οργανωτικές δομές), τεχνικά, ή νομικά. Τα μέτρα προστασίας μπορεί να μην είναι πάντα αποτελεσματικά. 6 3

ISO/IEC 27005 ISO/IEC 27005:2011 Information Technology Security Techniques Information security risk management Ανήκει στη σειρά προτύπων ISO/IEC 27000 Συμπληρώνει το ISO/IEC 27001 και αντικαθιστά το ISO/IEC 27005:2008 Δεν προτείνει συγκεκριμένη μέθοδο διαχείρισης επικινδυνότητας, αλλά προτρέπει κάθε οργανισμό να εφαρμόσει αυτή που θεωρεί κατάλληλη. 7 information security risk management process 8 4

Αναγνώριση επικινδυνότητας Αναγνώριση επικινδυνότητας (risk identification) είναι η διαδικασία αναζήτησης, αναγνώρισης και περιγραφής: των πηγών των κινδύνων, των γεγονότων (ασφάλειας), των αιτιών και των πιθανών συνεπειών τους. 9 Ανάλυση επικινδυνότητας Στόχος της ανάλυσης επικινδυνότητας είναι να κατανοηθεί η φύση της επικινδυνότητας και να καθορίσουμε το επίπεδο επικινδυνότητας (level of risk) 1) Ανάλυση χωριστά κάθε παράγοντα (αξία αγαθών, πιθανότητα απειλής, σοβαρότητα ευπαθειών). 2) Σύνθεση των παραγόντων για τον υπολογισμό του βαθμού επικινδυνότητας 10 5

Αξιολόγηση της επικινδυνότητας Αξία των στοιχείων του συστήματος, τα οποία εφόσον έχουν αξία αποκαλούνται αγαθά (assets). Η αξία είναι συνάρτηση της επίπτωσης από την προσβολή του αγαθού Πιθανότητα εκδήλωσης μίας απειλής Πιθανότητα αξιοποίησης μίας ευπάθειας και πραγματοποίησης της απειλής 11 Αποτίμηση επικινδυνότητας Αποτίμηση επικινδυνότητας(risk assessment) είναι η διαδικασία που περιλαμβάνει την αναγνώριση επικινδυνότητας (risk identification), την ανάλυση επικινδυνότητας (risk analysis) και την αξιολόγηση επικινδυνότητας (risk evaluation) 12 6

Διαχείριση Επικινδυνότητας Η Διαχείριση Επικινδυνότητας ως μεθοδολογία Διαχείριση επικινδυνότητας = Αποτίμηση επικινδυνότητας (risk assessment) + Αντιμετώπιση της επικινδυνότητας (risk treatment) 13 Αντιμετώπιση επικινδυνότητας Μπορούμε να μηδενίσουμε την επικινδυνότητα; Μηδενική επικινδυνότητα συνεπάγεται μηδενική αξία των στοιχείων του συστήματος ή μηδενική πιθανότητα πραγματοποίηση μιας απειλής. Π.χ. διαθέτουμε λογισμικό που, όμως, δεν μπορούμε να προστατεύσουμε από πειρατεία. Αλλάζουμε το επιχειρηματικό μας σχέδιο και το προσφέρουμε δωρεάν Στόχος: ο περιορισμός της επικινδυνότητας σε "ανεκτά" επίπεδα. Σύνηθες κριτήριο: κόστος αντιμέτρων/μείωση επικινδυνότητας Απομένουσα επικινδυνότητα (residual risk) μετά τη λήψη μέτρων προστασίας 14 7

Τρόποι αντιμετώπισης επικινδυνότητας Μείωση πιθανότητας εκδήλωσης απειλών Αντιμετώπιση ευπαθειών Περιορισμός επιπτώσεων Ανάκαμψη Μεταβίβαση επικινδυνότητας Αποδοχή επικινδυνότητας 15 Συνήθεις δυσκολίες Υποκειμενικότητα αποτίμησης αξίας αγαθών ή αντίστοιχα του μεγέθους των επιπτώσεων Δυναμικό περιβάλλον δυναμικές, σύμπλοκες και ποικίλες απειλές Η ανθρώπινη συμπεριφορά δύσκολα προβλέπεται και μοντελοποιείται Οι πόροι που διαθέτουμε είναι πεπερασμένοι 16 8

Πλεονεκτήματα Διαχείρισης Επικινδυνότητας Αιτιολόγηση κόστους αντιμέτρων Βελτίωση επικοινωνίας ανάμεσα στους ειδικούς της πληροφορικής και τη διοίκηση του οργανισμού Ευέλικτη μεθοδολογία, μπορεί να εφαρμοστεί με ποικίλους τρόπους Καλύπτει τις απαιτήσεις της νομοθεσίας Βοηθά στην κατανόηση του Π.Σ. Αποτελεί την πλέον διαδεδομένη μεθοδολογία 17 Μειονεκτήματα Διαχείρισης Επικινδυνότητας Στηρίζεται σε ένα απλοϊκό μοντέλο του Π.Σ., αγνοώντας τα ιδιαίτερα χαρακτηριστικά του κάθε οργανισμού Εμπεριέχει σημαντική υποκειμενικότητα, που συχνά συγκαλύπτεται μέσω της αυστηρότητας των μαθηματικώνπιθανοτικών μοντέλων Βασίζεται σε απλές στατιστικές μεθόδους 18 9

Μέθοδοι Διαχείρισης Επικινδυνότητας Μέθοδος είναι "ο συστηματικός και προγραμματισμένος τρόπος προσεγγίσεως, εξετάσεως, αναλύσεως και ερμηνείας προβλημάτων ή φαινομένων βάσει συγκεκριμένων κανόνων " Είτε ακολουθούμε το ISO27005, είτε όχι, απαιτείται η υιοθέτηση μιας μεθόδου που θα μας καθοδηγήσει στη διαχείριση της επικινδυνότητας 19 Μέθοδοι Διαχείρισης Επικινδυνότητας Περισσότερες από 100 διαφορετικές μέθοδοι ανάλυσης ή/και διαχείρισης επικινδυνότητας Π.Σ. CRAMM SBA MEHARI OCTAVE MAGERIT COBRA CORAS Callio Secura Proteus RiskWatch EBIOS 20 10

Η μέθοδος CRAMM CRAMM, CCTA Risk Analysis and Management Method Αναπτύχθηκε το 1987 στη Μεγάλη Βρετανία από την Κεντρική Υπηρεσία Υπολογιστών και Επικοινωνιών (CCTA). Η τελευταία έκδοση (V5.0) κυκλοφόρησε το 2003 Νέα έκδοση (V5.2) το 2009 Έχει χρησιμοποιηθεί σε εκατοντάδες μελέτες διεθνώς Παρέχει κατάλογο απειλών και αντιμέτρων 21 Μέτρηση της επικινδυνότητας Η μέτρηση της επικινδυνότητας (σε κλίμακα 1:7) γίνεται: Με αποτίμηση περιουσιακών στοιχείων (κλίμακα 1:10), βάσει των επιπτώσεων στον οργανισμό Με αξιολόγηση απειλών (κλίμακα 1:5) Με αξιολόγηση ευπαθειών (κλίμακα 1:3) 22 11

Στάδια και βήματα της CRAMM Σ1: Προσδιορισμός και αξιολόγηση των αγαθών (assets) Μοντελοποίηση Π.Σ., Αποτίμηση στοιχείων Π.Σ., Επιβεβαίωση και επικύρωση Σ2: Ανάλυση της Επικινδυνότητας Προσδιορισμός απειλών για κάθε αγαθό Εκτίμηση απειλών και αδυναμιών Υπολογισμός Επικινδυνότητας Επιβεβαίωση και επικύρωση Σ3: Διαχείριση της Επικινδυνότητας Προσδιορισμός λίστας προτεινόμενων αντιμέτρων Κατάρτιση Σχεδίου Ασφάλειας 23 Στάδιο 1 Βήμα 1.1 Στάδιο 1: Προσδιορισμός και αξιολόγηση αγαθών Βήμα 1.1: Δημιουργία του μοντέλου του Π.Σ. Προσδιορισμός των δεδομένων που επεξεργάζεται το Π.Σ. και ομαδοποίηση Προσδιορισμός των υλικών στοιχείων (physical assets) Προσδιορισμός των χώρων και των εγκαταστάσεων Προσδιορισμός του λογισμικού Δημιουργία μοντέλων που συσχετίζουν τα ανωτέρω 24 12

Στάδιο 1 Βήμα 1.2 Στάδιο 1: Προσδιορισμός και αξιολόγηση αγαθών Βήμα 1.2: Αποτίμηση των στοιχείων του Π.Σ. Κλίμακα 1-10 Εξέταση και αποτίμηση επιπτώσεων Συνεντεύξεις χρηστών Επεξεργασία από το λογισμικό της CRAMM 25 Στάδιο 1 Βήμα 1.2 Εξεταζόμενες περιπτώσεις Μη-διαθεσιμότητα Καταστροφή Αποκάλυψη Μη-εξουσιοδοτημένη μεταβολή Ηθελημένη μεταβολή Λάθη μετάδοσης δεδομένων Χρηματική αξία υλικού/λογισμικού (κόστος αντικατάστασης) 26 13

Στάδιο 1 Βήμα 1.2 Επιπτώσεις Σωματική ακεραιότητα και ζωή φυσικών προσώπων Δυσαρέσκεια από έκθεση προσωπικών πληροφοριών Νομικές επιπτώσεις Παρεμπόδιση δικαιοσύνης Οικονομικές απώλειες Διατάραξη δημόσιας τάξης Μη-εφαρμογή πολιτικής οργανισμού Απώλεια της εμπιστοσύνης του κοινού Υπολογισμός αξίας αγαθών, αξιοποιώντας και το μοντέλο. 27 Στάδιο 1 Βήμα 1.3 Στάδιο 1: Προσδιορισμός και αξιολόγηση αγαθών Βήμα 1.3: Επιβεβαίωση και επικύρωση της αποτίμησης Παρουσίαση αποτελεσμάτων πρώτου Σταδίου στη διοίκηση υπό μορφή αναφοράς Σύσκεψη επικύρωσης αποτελεσμάτων 28 14

Στάδιο 2 Βήμα 2.1 Στάδιο 2: Ανάλυση Επικινδυνότητας Βήμα 2.1: Προσδιορισμός των απειλών που αφορούν το κάθε αγαθό Σύνδεση κάθε αγαθού με συγκεκριμένες κατηγορίες απειλών 29 Στάδιο 2 Βήμα 2.2 Στάδιο 2: Ανάλυση Επικινδυνότητας Βήμα 2.2: Εκτίμηση απειλών και αδυναμιών Συμπλήρωση ερωτηματολογίων εκτίμησης απειλών και αδυναμιών Αυτόματη (από το εργαλείο) αποτίμηση απειλών (κλίμακα 1-5) και αδυναμιών (κλίμακα 1-3) Επιβεβαίωση ή/και διόρθωση των τιμών από τους αναλυτές 30 15

Στάδιο 2 Βήμα 2.3 Στάδιο 2: Ανάλυση Επικινδυνότητας Βήμα 2.3: Υπολογισμός επικινδυνότητας για κάθε συνδυασμό αγαθού-απειλής Αυτόματος (από το εργαλείο) υπολογισμός ενός βαθμού επικινδυνότητας (σε κλίμακα 1-7) για κάθε ζεύγος αγαθού-απειλής. 31 Στάδιο 2 Βήμα 2.4 Στάδιο 2: Ανάλυση Επικινδυνότητας Βήμα 2.4: Επιβεβαίωση και επικύρωση του Βαθμού Επικινδυνότητας Παρουσίαση σε μορφή αναφοράς της ανάλυσης επικινδυνότητας. Επιβεβαίωση της αποτίμησης από τη Διοίκηση σε κοινή σύσκεψη εργασίας με τους αναλυτές. 32 16

Στάδιο 3 Βήμα 3.1 Στάδιο 3: Διαχείριση Επικινδυνότητας Βήμα 3.1: Προσδιορισμός της λίστας των προτεινόμενων αντιμέτρων Αυτόματη παραγωγή (από το εργαλείο) λίστας προτεινόμενων αντιμέτρων. Επιλογή μέτρων προς υλοποίηση 33 Στάδιο 3 Βήμα 3.1 Η επιλογή βασίζεται στα εξής κριτήρια: Επίδραση αντιμέτρων στη λειτουργία του Οργανισμού Διαθέσιμος προϋπολογισμός Κόστος εφαρμογής και διαχείρισης αντιμέτρων (χρηματικό και σε ανθρώπινους πόρους) Άποψη της Διοίκησης και στόχοι του Οργανισμού Ενδείξεις για μελλοντική ένταση ή ύφεση των απειλών Αποτελεσματικότητα αντιμέτρων 34 17

Στάδιο 3 Βήμα 3.1 Κατηγορίες αντιμέτρων σε φθίνουσα σειρά αποτελεσματικότητας Μείωση των απειλών Μείωση των αδυναμιών Μείωση της επίπτωσης Ανίχνευση της παραβίασης Ανάκαμψη (recovery) 35 Στάδιο 3 Βήμα 3.1 Καταστάσεις αντιμέτρων Ήδη εγκατεστημένο (installed) Επιλεγμένο για εγκατάσταση (to be installed) Υπό υλοποίηση (implementing recommendation) Έχει υλοποιηθεί (implemented recommendation) Έχει ήδη καλυφθεί από άλλο αντίμετρο (already covered) Αναλαμβάνεται η επικινδυνότητα και δεν υλοποιείται (accept level of risk) Υπό συζήτηση (under discussion) Μη εφαρμόσιμο (not applicable) 36 18

Στάδιο 3 Βήμα 3.2 Στάδιο 3: Διαχείριση Επικινδυνότητας Βήμα 3.2: Κατάρτιση σχεδίου/πλάνου ασφάλειας Σύνταξη σχεδίου ασφάλειας, το οποίο περιλαμβάνει: (α) Πολιτική Ασφάλειας, (β) Κατάλογος Αντιμέτρων, (γ) Στρατηγική εφαρμογής Κατάθεση του Σχεδίου στη Διοίκηση και επικύρωσή του σε κοινή σύσκεψη 37 Προϋποθέσεις επιτυχίας Συμμετοχή και υποστήριξη της ανώτερης Διοίκησης Συμμετοχή στελεχών του Οργανισμού Ορθή επιλογή δείγματος στελεχών για την πραγματοποίηση συνεντεύξεων Ακριβής οριοθέτηση της μελέτης 38 19

Πλεονεκτήματα CRAMM Καλύπτει όλες τις φάσεις της ανάλυσης και διαχείρισης επικινδυνότητας Καλύπτει όλες τις συνιστώσες ασφάλειας (π.χ. θέματα προσωπικού, διαδικασιών, τεχνικά θέματα, φυσική ασφάλεια κ.ά.) Έχει δοκιμαστεί με επιτυχία και υπάρχει μεγάλη διεθνής εμπειρία Συνοδεύεται από ειδικό εργαλείο που διευκολύνει την εφαρμογή της και παρέχει μία μεγάλη βιβλιοθήκη αντιμέτρων 39 Μειονεκτήματα CRAMM Στηρίζεται σε μεγάλο βαθμό στη συνεργασία με τους χρήστες και τη διοίκηση του οργανισμού και τις δικές τους (υποκειμενικές απόψεις) Έχει υψηλό κόστος εφαρμογής (χρόνος και ανθρώπινη προσπάθεια) Στηρίζεται σε ένα πολύ απλοϊκό μοντέλο του πληροφοριακού συστήματος Εστιάζει ουσιαστικά μόνο στα δεδομένα και λαμβάνει υπόψη τους ανθρώπους μόνο ως πηγές απειλών 40 20

Μειονεκτήματα CRAMM Απαιτεί αρκετές φορές την επέμβαση του αναλυτή και την προσαρμογή των αποτελεσμάτων των αυτόματων υπολογισμών Το τελικό αποτέλεσμα στηρίζεται σε μεγάλο βαθμό σε υποκειμενικές εκτιμήσεις, οι οποίες όμως συχνά δεν γίνονται αντιληπτές ως τέτοιες. Απαιτεί επεξεργασία των προτεινόμενων αντιμέτρων για την προσαρμογή τους στα ιδιαίτερα χαρακτηριστικά του υπό μελέτη Π.Σ. Τα περισσότερα αντίμετρα είναι πολύ γενικά. 41 Κριτήρια επιλογής κατάλληλης μεθόδου Να ανταποκρίνεται στο μέγεθος και τη συμπλοκότητα του Π.Σ. Να έχει χαμηλότερο κόστος εφαρμογής Να ταιριάζει στα οργανωσιακά χαρακτηριστικά και την κουλτούρα του οργανισμού Να υποστηρίζεται από εξειδικευμένο λογισμικό Να εφαρμοστεί από αναλυτές με εμπειρία στη συγκεκριμένη μέθοδο Να καλύπτει όλους τους παράγοντες που συνδέονται με την ασφάλεια Π.Σ. (τεχνικούς και κοινωνικούς) 42 21

Μελέτη περίπτωσης: ΕΤΟ Α.Ε. Έμπιστη Τρίτη Οντότητα Α.Ε. Αρχή Πιστοποίησης: Παροχή και διαχείριση ψηφιακών πιστοποιητικών. Θυγατρική ελληνικής τράπεζας Μικρή ομάδα ειδικών πληροφορικής, έλλειψη στελεχών πληροφορικής Ανάθεση μελέτης ασφάλειας Αρχής Πιστοποίησης σε αναδόχους 43 Επιλογή μεθόδου CRAMM διότι: Εμπειρία της ομάδας μελέτης στην εφαρμογή της μεθόδου Η CRAMM είναι αναγνωρισμένη και γίνεται αποδεκτή με ευκολία Θεωρείται κατάλληλη για εφαρμογές αυτού του μεγέθους Περιέχει μία ιδιαίτερα πλούσια βιβλιοθήκη αντιμέτρων 44 22

Εφαρμογή: γενικά Πρώτες διαπιστώσεις/εκτιμήσεις: Η Δνση πληροφορικής διαθέτει 6-7 άτομα και δεν έχει κερδίσει την εμπιστοσύνη της διοίκησης Μεσαία και ανώτερα διοικητικά στελέχη με θετική προδιάθεση, αλλά χωρίς τεχνικές γνώσεις Στρατηγική: Εμπλοκή στο έργο της ανώτερης διοίκησης Συμμετοχή σε όλες τις συνεντεύξεις ενός στελέχους της Δνσης Πληροφορικής (μεταφορά τεχνογνωσίας, διευκολύνσεις στη διεξαγωγή των συνεντεύξεων) Προσεκτική οριοθέτηση της μελέτης 45 Εφαρμογή CRAMM: Στάδιο 1 Στάδιο 1: Προσδιορισμός και αξιολόγηση των αγαθών Καταγραφή με τη βοήθεια της Δνσης Πληροφορικής Αξιολόγηση βάσει συνεντεύξεων με στελέχη Δνσης Πληροφορικής, Γενικού Δντη, Δντη Πωλήσεων και Μάρκετινγκ, Δνσης Οργάνωσης Αξιολόγηση: Δεδομένων (διαθεσιμότητα, εμπιστευτικότητα, ακεραιότητα) Υλικού (κόστος αντικατάστασης) Λογισμικού (κόστος αντικατάστασης) 46 23

Εφαρμογή CRAMM: Στάδιο 1 Δεδομένα: Ιδιωτικό Κλειδί (private key) και Πιστοποιητικό ΕΤΟ (certificate) Πληροφορίες Καταλόγου (directory services) Δημόσιες Πληροφορίες Διοικητικά Δεδομένα 47 Δεδομένα ΕΤΟ Αγαθό 1 Ωρ 3 Ωρ 12 Ωρ 1 Ημ 2 Ημ Διοικητικά Δεδομένα 1 1 1 1 Πληροφορίες Καταλόγου 2 2 2 3 3 Δημόσιες Πληροφορίες 1 1 2 2 Ιδιωτικό Κλειδί 2 2 2 3 3 48 24

Δεδομένα ΕΤΟ Αγαθό 1 Εβ 2 Εβ 1 Μ 2 Μ ΜΚ Διοικητικά Δεδομένα 3 3 3 3 Πληροφορίες Καταλόγου 5 5 5 7 3 Δημόσιες Πληροφορίες 3 3 3 5 Ιδιωτικό Κλειδί 5 5 5 5 49 Δεδομένα ΕΤΟ Αγαθό Ολ ΑΕσ ΑΣ Αεξ Μι Λ Διοικητικά Δεδομένα 3 2 3 4 Πληροφορίες Καταλόγου 7 3 Δημόσιες Πληροφορίες Ιδιωτικό Κλειδί 5 3 7 7 5 50 25

Δεδομένα ΕΤΟ Αγαθό Με Λ Ηθ Εισ Αρ ΑπΜ Διοικητικά Δεδομένα 2 Πληροφορίες Καταλόγου 5 5 3 2 2 Δημόσιες Πληροφορίες 3 5 Ιδιωτικό Κλειδί 5 6 51 Συντομογραφίες ΦΚ Φυσική Καταστροφή 1 Ωρ Απώλεια διαθεσιμότητας 1 Ώρα Ολ ΑΕσ Ολική καταστροφή (και των εφεδρικών αντιγράφων) Αποκάλυψη εντός του οργανισμού 3 Ωρ Απώλεια διαθεσιμότητας 3 Ώρες ΑΣ Αποκάλυψη σε συνεργαζόμενους οργανισμούς 12 Ωρ Απώλεια διαθεσιμότητας 12 Ώρες ΑΕξ Αποκάλυψη σε τρίτους 1 Ημ Απώλεια διαθεσιμότητας 1 Ημέρα ΜιΛ Μικρής έκτασης λάθη 2 Ημ Απώλεια διαθεσιμότητας 2 Ημ. ΜεΛ Μεγάλης έκτασης λάθη 52 26

Συντομογραφίες 1 Εβ Απώλεια διαθεσιμότητας 1 Εβδ. Ηθ Ηθελημένη τροποποίηση 2 Εβ Απώλεια διαθεσιμότητας 3 Εβδ. Εισ Εισαγωγή ψευδούς μηνύματος 1 Μ Απώλεια διαθεσιμότητας 1 Μήνα Αρ Άρνηση αποστολής μηνύματος 2 Μ Απώλεια διαθεσιμότητας 2 Μήνες Απ Μ Απώλεια Μηνύματος ΜΚ Μερική Καταστροφή 53 Εφαρμογή CRAMM: Στάδιο 1 Υλικό: 3 εξυπηρετητές, σταθμοί εργασίας, δικτυακός εξοπλισμός, μέσα αποθήκευσης Συνολικό κόστος αντικατάστασης περί τα 10.000 Ευρώ 54 27

Εφαρμογή CRAMM: Στάδιο 1 Λογισμικό: Λειτουργικό σύστημα Εξυπηρετητής ιστού Εξυπηρετητής πιστοποιητικών Λογισμικό υποστήριξης SSL/TLS Διαχειριστής βάσης δεδομένων Εργαλεία αυτοματισμού γραφείου Συνολικό κόστος αντικατάστασης περί τα 15.000 Ευρώ 55 Εφαρμογή CRAMM: Στάδιο 2 Στάδιο 2: Ανάλυση επικινδυνότητας Πλαστοπροσωπία (Masquerading) Μη-εξουσιοδοτημένη χρήση εφαρμογής Εισαγωγή ιομορφικού λογισμικού Τεχνική αστοχία εξυπηρετητή Διήθηση (filtering) επικοινωνιών Αστοχία λογισμικού δικτύου Αστοχία λογισμικού εφαρμογών Σφάλμα συντήρησης υλικού Σφάλμα συντήρησης λογισμικού Πυρκαγιά 56 28

Εφαρμογή CRAMM: Στάδιο 2 Κατάχρηση πόρων συστήματος Τεχνική αστοχία μέσου αποθήκευσης Πλημμύρα Έλλειψη εξειδικευμένου προσωπικού Τεχνική αστοχία εξοπλισμού δικτύου Ηθελημένη πρόκληση βλάβης Απώλεια παροχής ηλεκτρι-κής ενέργειας/πτώση τάσης Κλοπή Τρομοκρατική ενέργεια Διακοπή παροχής υπηρεσίας διαδικτύου 57 Παράδειγμα εκτίμησης απειλών/αδυναμιών Αγαθό Επίπτωση Απειλή Αδυναμία Πληροφορίες Καταλόγου Απώλεια Διαθεσιμότητας Υψηλή Μέτρια Πληρ. Καταλ. Αποκάλυψη Μέτρια Μέτρια Πληρ. Καταλ. Ηθελ. Τροπ/ση Υψηλή Μέτρια Παροχή Πιστοποιητικού Παροχή Πιστοποιητικού Παροχή Πιστοποιητικού Απώλεια Διαθεσιμότητας Αποκάλυψη Ηθελημένη Τροποποίηση Πολύ Υψηλή Πολύ Υψηλή Πολύ Υψηλή Μέτρια Μέτρια Μέτρια 58 29

Εφαρμογή CRAMM: Στάδιο 2 Σημαντικότερες αδυναμίες (ευπάθειες): Έλλειψη οργανωτικής υποδομής Έλλειψη τεχνογνωσίας ασφάλειας Π.Σ. Ελλιπής φύλαξη κτηρίου Εγκατάσταση στο κέντρο της πόλης Χρήση κοινής δικτυακής υποδομής για ποικιλία εφαρμογών Ελλιπής φυσική προστασία καλωδίωσης Αναξιοπιστία δικτύου παροχής ηλεκτρισμού 59 Εφαρμογή CRAMM: Στάδιο 2 Υπολογισμός βαθμού επικινδυνότητας, μέγιστες τιμές: Πλαστοπροσωπία χρήστη από εξωτερικούς χρήστες για παροχή πιστοποιητικού Πλαστοπροσωπία χρήστη από εξωτερικούς χρήστες για προσβολή της Ιστοσελίδας Εισαγωγή ιομορφικού λογισμικού στους εξυπηρετητές Διήθηση (filtering) διαδικτυακών επικοινωνιών Πυρκαγιά στο κτήριο της ΕΤΟ Κλοπή βασικού εξοπλισμού Βανδαλισμός, τρομοκρατική ενέργεια 60 30

Παράδειγμα: Παροχή πιστοποιητικού Αγαθό Επίπτωση 1Ώρ 3Ώρ 12Ώρ 1Ημ 2Ημ ΑΕξ Ηθ Απειλή ΠY ΠY ΠY ΠY ΠY ΠY ΠY Αδυναμία M M M M M M M Παροχή Πιστοποιητικού 3 3 3 4 4 6 5» Κτήριο ΕΤΟ 3 3 3 4 4 6 5» Δωμάτιο Αρχής Πιστοποίησης 3 3 3 4 4 6 5» Σκληρός Δίσκος 3 3 3 4 4 6 5 61 Εφαρμογή CRAMM: Στάδιο 3 Στάδιο 3: Διαχείριση επικινδυνότητας Το εργαλείο προτείνει περί τα 500 αντίμετρα Πολλά από αυτά μη-εφαρμόσιμα ή πλεονάζοντα Επιλέχθηκαν περί τα 150 και προστέθηκαν αντίμετρα από άλλες πηγές. Επίσης προτάθηκε σαφές και συγκεκριμένο οργανωτικό πλαίσιο διαχείρισης ασφάλειας Π.Σ. 62 31

Σχέδιο ασφάλειας Τομείς εστίασης: Δέσμευση της ανώτερης διοίκησης της ΕΤΟ για την προώθηση της ασφάλειας Π.Σ. Καθορισμός νέων ρόλων που αφορούν την ασφάλεια, διανομή τομέων ευθύνης και ανάπτυξη σαφούς οργανογράμματος ασφάλειας Εκπαίδευση του τεχνικού προσωπικού και ενημέρωση του συνόλου του προσωπικού Ενίσχυση της φυσικής ασφάλειας του κτηρίου και του δωματίου που είναι εγκατεστημένοι οι εξυπηρετητές 63 Σχέδιο ασφάλειας Τομείς εστίασης (συνέχεια): Ενίσχυση της ασφάλειας του δικτύου και εγκατάσταση firewall και συστήματος ανίχνευσης παρεισφρήσεων (intrusion detection system) Εφαρμογή ολοκληρωμένου σχεδίου για τη λήψη και διαχείριση εφεδρικών αντιγράφων δεδομένων Εφαρμογή σχεδίου συνέχειας (business continuity plan) Εφαρμογή της πολιτικής ασφάλειας Π.Σ. 64 32

Συμπεράσματα μελέτης περίπτωσης Η ενεργός συμμετοχή της ανώτερης διοίκησης κρίνεται απαραίτητη Η ενεργός συμμετοχή της ανώτερης διοίκησης είναι δύσκολο να επιτευχθεί σε οργανισμούς χωρίς ανεπτυγμένη κουλτούρα πληροφορικής Η οριοθέτηση της μελέτης θα πρέπει να έχει επίσημα επικυρωθεί πριν την έναρξη της ανάλυση επικινδυνότητας Η ομάδα μελέτης θα πρέπει να έχει εξασφαλίσει την αποδοχή των αποτελεσμάτων του κάθε σταδίου πριν προχωρήσει στο επόμενο 65 Συμπεράσματα μελέτης περίπτωσης Η μελέτη θα πρέπει να λαμβάνει υπόψη το κοινωνικό και οργανωσιακό πλαίσιο λειτουργίας του Π.Σ. Η σχετική αδυναμία της CRAMM είναι εμφανής Η ανάλυση επικινδυνότητας στηρίζεται σε μία περιορισμένη άποψη της ασφάλειας Π.Σ., που εστιάζει στην προστασία των περιουσιακών στοιχείων (αγαθών, assets). Η αξιοποίηση, όμως, της μελέτης απαιτεί αλλαγή της κουλτούρας, αλλά και της δομής του 66 οργανισμού 33

Σύνοψη Η μεθοδολογία της Ανάλυσης και Διαχείρισης Επικινδυνότητας Οι έννοιες της απειλής (threat), της ευπάθειας (αδυναμίας, vulnerability), του αγαθού (περιουσιακό στοιχείο, asset) και της επίπτωσης (impact) Το πρότυπο ISO/IEC 27005 Εκατοντάδες μέθοδοι. Παραδείγματα: SBA, MEHARI, CRAMM Η πρακτική εφαρμογή απαιτεί κοινωνικές και διοικητικές γνώσεις και ικανότητες επιπλέον των τεχνικών γνώσεων 67 Ερωτήσεις Ανάλυση, Αποτίμηση και Διαχείριση Επικινδυνότητας Πληροφοριακών Συστημάτων 68 34