CIAの管理

CIAを指揮することは非常に興味深いでしょうが、これは同志スノーデンのみが利用できます。 このメモでは（メモのサイズが大きすぎます）、情報セキュリティの3つの柱について話します。もちろん、誰もが推測したとおり、機密性、完全性、可用性です。 この資料はロシア製の教科書の資料とあまり似ていないので、興味深いものになることを願っています。 いくつかの概念をオリジナルに残し、知識のある人は翻訳を必要とせず、コンテキストでは、すべてが非常に明確になると思います。 これらの3つの側面はそれぞれ、物理的安全性（安全性）と密接に関連しており、これらのいずれかに違反すると、マイナスの結果につながる可能性があります。



今日の人気のあるクラウドサービスを検討してください。その主な利点は、スケーラビリティと柔軟性または弾力性です。 データを別の組織、たとえばSP（サービスプロバイダー）に信頼する場合、データが私たちだけに知られていることを確認する必要があります。 機密性を確保する（C）。 どのような基本タイプ（コントロールタイプ）を使用できますか？ プラットフォームに関係なく、暗号化または暗号化を使用できます。

1. ファイルごとの暗号化-「境界」の重要な情報を送信する前に、提供されるサービスに関係なく（まあ、SPはクラウドで暗号化されます）、まずすべての情報をローカルで暗号化する必要があります。 同様に、情報がモバイルデバイスに保存されている場合-使用の前提条件として、デバイス/ディスクの完全な暗号化。
2. 次の条件は、技術管理の文脈におけるアクセス制御、アクセス分離、情報分離であり、その理由は明らかです。 主なアプリケーションスキームは、MAC-DAC（何と混同しないでください）およびRBACです。 これらのスキームを使用して、情報への不正アクセスから身を守ることができます。
3. まあ、小さなおもちゃだけでなく、効果的なツール-ステガノグラフィー。 慣れていない人のために-救助へのOpenPaff。 セキュリティポリシーをバイパスして機密情報のプライバシーを確​​保することにより、DLP =）のバイパスを試みることができます。

重要なインフラストラクチャコンポーネントの管理者は、多くの場合、それらを更新する必要があります。 更新が開発者からの元のファイルであることを確認する方法、つまり それらの整合性（I）は壊れていません。 特にこれらの目的のために、開発者のサイトでは、オブジェクトへのリンクの横に、通常、追加の識別情報（チェックサムまたはHASH）を含む行があります。 これは、HASH関数（MD5、SHA-1）に基づく一方向の制御値の計算です。 そして、これらの値は一致する必要があります-ダウンロードした後に計算されたサイトとあなたのもの。



以下のIサポートテクノロジーは、上記を最大限に活用します-電子署名（連邦法No. 63による）、または以前に呼び出された電子デジタル署名。 EPには3つのタイプがあります：シンプルおよび拡張：資格あり、未熟練。 タイプに応じて、電子署名は作成者の否認防止（否認防止）および/または送信されたメッセージの整合性を保証します。 ESを使用する全体のポイントは、非対称暗号化技術に限定されます-オープンで唯一の秘密鍵ペアです。 ESをグローバルに使用するために、公開キー基盤（PKI）が特別に形成され、その主な構造要素はCA（CA）であり、ESのすべてのサブジェクトがCAを信頼します。



可用性について少し説明します。 私たちにはたくさんのお金があり、冗長（冗長）インフラを作ります。 利点は何ですか？ 高可用性-クラスタリング-耐障害性。 不可抗力により、システムが確実に使用可能になり、マイナス要因がなければパフォーマンスを向上させることができます。 重要な要因Aは、パッチの適切なインストールです。 何かを更新する前に、すべてを徹底的にテストし、すべての変更をドキュメントで調整する必要があります（変更管理）。



組織的および技術的なセキュリティ対策を適用して、物理的なアクセスを忘れてはなりません。 可能であれば、何かが必須である場合は、フェンス、ビデオ監視、特別なロックなどを使用してください。

「お金を稼ぎ、お金を稼ぎ、残りはすべてゴミです...」

だから！ 誰もが「過労によって獲得した」資産を失いたくありません。 負の可能性のある結果-脅威による損害は常にあります。 不可能なシステムは存在しません-脆弱性。 そして、脆弱性の悪用による損害の可能性はリスクです。 CIAの違反が脅威である場合、何らかの形でこの脅威に対抗する必要があります（リスク軽減-対策）。



各管理者は、よく知られた親密な、いわゆるテクニカルコントロールです。 これらは、情報セキュリティを提供するために使用されるすべてのテクノロジーです：FW、ポートセキュリティ、ACL、AV、IPS、UTM、DLP、PKI、802.1x、パスワードなど。 原則として、他に何が必要ですか？ =）

必要なのは、これがすべて機能するはずであることに基づいています：管理コントロール-管理管理。 組織の長により承認されたセキュリティポリシーの基礎としての非常に有能なリスク/脆弱性評価、および情報セキュリティの分野での組織の活動を管理する他の規制文書-これはすべて管理管理です。



管理に基づいて、運用管理または運用管理が構築されます-毎日の作業規則、指示、次/特別な作業の計画（変更管理）。 ITインフラストラクチャの「正常な」機能を判断するために、これはすべてセキュリティポリシーと相関する必要があります。

ポリシー（管理コントロール）の重要性について「合意されたものはすべて推奨され、書かれたものはすべて実行されます！」

通常のユーザーの場合、ユーザーが許可するかどうかに焦点を合わせて、プライバシーポリシー、アクセプタブルユースポリシーなどを実行することをお勧めします。 その影響と責任の領域（メール、インターネット、リムーバブルメディア、CT開示など）を決定すること、ユーザーが就業時間中にサーバー機器の電源を切らないようにすることは意味がありません。 彼はこの責任領域にアクセスするべきではありません。 これらのポリシーは、職責の観点から必要に応じて何度でも確認できます。



グローバルセキュリティポリシー（セキュリティポリシー）-組織が運営する領域に基づいており、あらゆる種類の状況を説明するテキスト、図などの多くのページで構成されています。 理想的には、このポリシーでは、組織の情報セキュリティに関する質問への回答を見つけることができます。

主観的な要素に関連する以下のリスク低減手順は、ポリシーまたはその他の文書に反映される必要があります。

1. 義務的な休暇：（信じがたいことですが）この期間中、従業員は詐欺（詐欺、横領、怠慢）を削減または検出するために職場に出て会社の従業員に連絡することを禁じられています-発見または抑止メカニズム。 たとえば、SuperAdminは強制休暇を取り、別の熟練者がSuperAdminの代わりに派遣されました。 通常、金融機関で効果的です。 銀行での経験から、記載されていることはすべて正しいと言えますが、計画された休暇でのみ、私は義務に会ったことがありません。 理論的には、これは従業員の解雇に役立つはずであり、その結果、組織は常に代替（クロストレーニング）の準備が整います。
2. ほぼ同じことですが、強制休暇はありません（ほとんどの組織ではそうなっています）-ジョブローテーション。
3. 制御の最も重要な方法の1つは、責任の分割、2人の原則などです。 （職務の分離）。 複数の反復で構成される重要な操作を1人の被験者が実行することはできません。各被験者が責任範囲を制御します。
4. すぐに別の重要な要素に従います-義務を実行するための最小特権（権利）または必要性と十分性の原則（最小特権）。 たとえば、あなた（ネットワーク担当者）はチップボードスタンプのある情報にアクセスできますが、これはチップボードドキュメントにアクセスするのに十分ですが、たとえば物理的なセキュリティセンサーによってドキュメントにもアクセスする必要がありますか？ 答えはノーです！ この情報はあなたの責任範囲ではありません。 したがって、最初に権利が分割され（最小原則に従って）、その後にのみ責任が割り当てられます。

このような役割と責任の変更を伴う主なポリシーは、1つのエンティティが、かつて業務を行っていたすべてのエンティティの権利を受け取るときに、重複する可能性のある「アクセス権の競合」を特定するために、定期的な監査を実施する手順である必要があります情報セキュリティのその他の問題。

サードパーティ組織と統合する際のリスク。

「より多くの論文を書いてください-より多くの論文を書いて問題を減らしてください。」 原則として、これ以上言うことはありません。SLA-サービスレイヤー契約、BPA-ビジネスパートナー契約、MOU-覚書、ISA-相互接続セキュリティ契約。

一般に、他の場所と同様に、相互作用手順と開示、保管、処理などの当事者の責任を最も詳細な方法で説明する あなたは決して知らない、あなたは法廷に行かなければならない...

信じて、書いた

今、手形を取りましょう。 リスクを軽減するために費やす必要がある金額-定量的リスク分析（定量的分析）。

,     – ,  1100,    – 250  ,      (risk transference).   SLE (single loss) –    = 1100. ARO – annual rate occurrence –       (1   5 ) = 0.2. ALE – annual loss expect (  ) = SLE * ARO = 220,      .   .
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

リスク転送に加えて、それを回避（回避-BYODを許可しない）、受け入れ（受け入れ-安価）、削減（緩和-FW、AV）、および対抗（抑止-マントラップ）することができます。 専門家の評価に基づく定性的リスク分析もあります（定性的）：影響*尤度、あまり正確ではないタイプの分析ですが、何もないよりはましです。

操作の信頼性を評価するために、次の概念が導入されています。

• MTBF-障害間の平均時間-障害と信頼性の間の作業時間。
• MTTR-復元までの時間-回復に必要な時間、速度。
• MTTF-障害発生までの時間-展開後、障害が発生するまでの作業量。
• 脅威ベクトル-攻撃される技術（電子メール、Web、IM、Tel）。
• RTO-目標復旧時間-復元する時間。
• RPO-目標復旧ポイント-使用するコピーの古いバージョン。

リスクを減らす方法は？

表面の答え：脆弱性または脅威を取り除きます。 脅威を取り除くことは不可能である可能性が非常に高いです。 したがって、誰もが既知の脆弱性を閉じようとしています。 現在、0日間のvunlsについては話していません。 脆弱性は、主に技術的な管理を通じてクローズされ、その適用は変更管理を通じて説明する必要があります。 責任者を示す行動と時間間隔の詳細な説明を伴う作業計画（テスト、監視、復旧）は、すべての関係者が署名する必要があります。 不可抗力状況の回復計画も必要です。 「アップデート後にセキュリティの問題はありません。」

悲しい部分。 インシデント管理-何か悪いことが起こり、それに対処する時間がありませんでした。 私たちの行動は、そのような場合のために事前に準備された計画と一致するはずです。 ユーザーは、指示またはポリシー（誰がすべてを呼び出し、書き込み、またはドロップして実行するか）に従って行動する必要があります。そのためには、セキュリティの認識を教えなければなりません。 インシデント後の計画の準備は無意味です。

ユーザー権利の監査については既に説明しました。これは非常に重要です。そうしないと、「ガーディアン同志マーシャ」がリポジトリを開き、突然ガーディアンになることがなくなる可能性があります。 従業員が切断することを無効にした場合（削除する必要がないと確信している場合）、行楽客は許可されません。 計画的および突然の両方で監査を実行します-結果として、監査レポートを取得する必要があります。 このようなレポートを分析して、ダイナミクスと、場合によっては従業員への影響を判断する必要があります。

多くの組織がロシアのPDでPiiを処理しています。 ロシア連邦の法律について、言葉ではありません=）。 データをクローズ（暗号化）して、リークから保護するために、DLPを実装できます（暗号化されたデータには役立ちませんが、SSL分析は忘れないでください）。

インシデントが発生した場合、調査する必要があります-フォレンジック。

非エンタープライズインシデントの3つの主要なステップ： 検索、分離、無効化 。 実稼働中のインシデントの場合、他の推奨事項に従う必要があります。 一時的な情報ソース（ほとんどの変動性）をオフにしないでください。データが収集されるまでレジスタ、RAM、キャッシュ、プロセスを実行し、可能であれば分析でMiddle volatile-swapファイルを使用します。

最小揮発性-HDDの場合、ビット単位のディスクイメージを作成し、ハッシュを計算して比較します。 イメージのコピーを作成し、必要に応じて読み取り専用モードでのみ操作します。 Syslogを介してネットワークデバイスから情報を収集し、SIEMが展開されている場合はレポートを収集し、GiGo-ネットワークトラフィック、正確な分析のためにタイムオフセットを考慮（NTPを使用）、スクリーンショットも有用であり、何も出ていない場合は従業員とのインタビューを実施し、あるエンティティから別のエンティティに情報を転送する際の整合性を管理することを忘れずに、外部から従業員を雇用します（契約を忘れないでください）。

平和を望むなら、戦争の準備をしてください！ 抵抗する方法（インシデント対応）。

準備をして、準備をして、準備をしてください。 準備すればするほど、回答に費やす時間は短くなります。 問題が発生したときに最初に通知する必要があるルールが必要です（ヘッド、ヘルプデスク、DIB）。 次に、有能なスタッフが優先順位を決定する必要があります。重要度、複雑さ、インシデントの規模。 対策を適用します（分離、中和）。 インシデントを排除した後、知識ベースを更新し（学習した教訓）、保護技術を改善し、インシデントを文書化して、次回のインフラストラクチャとポリシーへの対応または変更がより効果的になるようにして（ポリシーおよびインフラストラクチャ更新）、このタイプのインシデントの可能性を最小限に抑えることが不可欠です。 どうしても必要な場合は、法執行機関に連絡してください。ただし、調査中に非常に「良いレーキ」と追加の評判リスクが発生する可能性があるという事実を考慮する価値があります。 「わかりません、追い越さないでください！」。 インシデント対応手順と影響評価の後、インフラストラクチャを稼働状態にする必要があります。 このために、組織は復旧計画-「災害/復旧計画」を作成しておく必要があります。

情報セキュリティトレーニング-認識してから武装します。

従業員とともに、情報セキュリティに関するトレーニングを定期的に実施し、運用活動に関連する問題に関する知識をさらにテストする必要があります。 理想的には、これはユーザーを懲らしめ、最終的にはリスクの低減につながります。 少なくとも知識管理により、ユーザーは情報セキュリティポリシーの主要な側面を覚えることができます。



商業情報のGTを構成する情報とほぼ同じ方法で、CIおよびPDに関する法律に従って、すべてのデータ（ラベリング）を重要度/重要度別に分類する必要があります。 銀行は、財務書類に関する独自の分類を提供します。 このような情報については、必須アクセスポリシー（MAC）が適用されます。ユーザーは、情報へのアクセスが生産上の必要性によってのみ決定されることを理解する必要があります。 同様に、重要な情報の処理、輸送、および破壊は、規制文書に従って正しく実行する必要があります。 GTをゴミ箱に捨てたり、ハードドライブを転売したりしないでください=）



ユーザーの習慣も問題です。キーボードの下のパスワード、ロック解除されたコンピューター、オフィスのフラッシュドライブの近くにあるテーブルに残っているドキュメント、「見知らぬ人」がオフィスに入るのを助けます-これらはすべて排除され、実際の例と新たなリスクで説明されますおよびユーザー（保険料の損失、管理責任など）。 ソーシャルネットワークの使用（禁止されていない場合）、リンクや広告のオープン、「お気に入り」のユーザーインターネットリソースのルールを追加するために必要なものすべてに。



自然災害リスクは生産で発生する可能性があります-生産活動を減速させる可能性のある自然および人為的リスク（火災、地震、洪水、落雷）。 通常の機能に戻るプロセスを加速するために、BCP（ビジネス継続性計画）-概念的なアクションがあり、その主要部分はBIA-ビジネス影響分析です。

重要なシステム、通信、およびビジネス継続性への影響を識別する必要があります。 努力したいRTO、RPOを設定します。 いくつかのシナリオを持ち、リスクを評価します（できれば定量的に）。 事業の一部の損失および規制当局からの罰金を特定します。

たとえば、ホットサイトを展開することにしました。これはクールですが、非常に高価です。 メインサイトで何かが発生した場合、ホットリザーブは、複製のすべての情報と技術的能力を持ち（完全に運用可能）、交換を実行します。 お金を節約したい-ウォームサイト：試運転に時間がかかり、操作情報がなく、ハードウェアのコピーにすぎません。 一般的に、それは低予算の組織です-少なくともコールドサイトを組織することは、まあ、またはまったくありません...ご存知のように、それはすべて資産の価値に依存します。

したがって、開発中の災害復旧計画は、組織の既存の資産に基づいている必要があります。 資産を変更する場合、資産はレビューされ、常に監視手順の対象となります。 したがって、BCP-> 1 DRP + 2 DRP + ... + n DRP->各DRPのIT緊急時計画。 IT危機管理計画は、単一のシステムまたは資産を評価します。 緊急事態で何をすべきかを知るために-彼らは後継者計画を開発し、これらの状況が発生する前に排他的に開発することは理にかなっています。

HA-> Clustering-> Load Balancingの実装を引き起こす冗長性とフォールトトレランスについては、上記で説明しました。 RedundantArraryID（RAID）は、これに起因することもあります。0-ストリップ、1-ミラー、5、6-ビット、10、50、60を組み合わせたものです。これらの技術ツールとテクノロジーの使用は、BCPの設計におけるベストプラクティスです。

バックアップ計画 。 ここで、バックアップとそのボリュームを作成する必要がある頻度（完全、増分、差分）を決定する必要があります。 通常、完全バックアップは週末に行われ、稼働日の夕方に増分されます。 はい、そして本当に必要なものだけをバックアップする必要があります。ゴミでストレージを乱雑にすることは意味がありません。



全体として、メモでは、IS管理方法、リスク評価、およびテクノロジについて少し説明しようとしました。 危険な種類の活動である企業での仕事を思い出して、上記の概念は本当に重要であり、インテグレーターや請負業者と働くとき、そして緊急事態のとき、インフラストラクチャを「移動する」緊急の必要があるとき、しばしば助けになると言うことができます。



いつものように、私はあなたのコメントを見て喜んでいるでしょう。

ボリュームが大きすぎることを理解しているので、最後までマスターしてくれてありがとう！

PSユーザーとの仕事について。 私が書いたように、トレーニング後にテストを行うか、しばらくして「テスト購入」を手配することができます：不明な名前から手紙を送り、件名に「仕事の結果に対するボーナス/追加休暇/ファイルに詳細がある他の何か」を示し、このファイルには、添付ファイルにスクリプトが含まれており、開いた後にユーザーについて通知します。 おもしろいです、主なことはあなた自身を燃やすことではないので、あなたの行動を規制してください。