Implementação de um SGSI na FCT FCCN

Transcrição

1 Implementaçã de um SGSI na FCT FCCN Prcesss e Ferramentas de Segurança SSEG Jrge de Carvalh jcarvalh@fccn.pt

2 Agenda Infrmaçã Segurança da infrmaçã SGSI, que é? Cm implementar um SGSI SGSI na FCT FCCN Objetivs interns Prcess de cntrataçã Implementaçã Fases Fase 2 Identificaçã de ativs e valr d ativ Fase 2 Identificaçã de ativs e analise de riscs Fase 2 Análise de risc Fase 4 Parametrizaçã Plan de tratament de riscs Fase 2 Plitica de segurança Fase 3 Cntinuidade de negóci Fase 5 Plan de auditrias Fase 6 Gestã d SGSI Jrnadas FCCN UTAD 2

3 Infrmaçã Infrmaçã é a resultante d prcessament, manipulaçã e rganizaçã de dads, de tal frma que represente uma mdificaçã (quantitativa u qualitativa) n cnheciment d sistema (human, animal u máquina) que a recebe Serra, J. Paul (2007). Manual de Teria da Cmunicaçã Jrnadas FCCN UTAD 3

4 Segurança da infrmaçã Jrnadas FCCN UTAD 4

5 SGSI, que é? Sistema de Gestã da Segurança da Infrmaçã SGSI Cmpõem se pr pliticas, prcediments, diretrizes, recurss e atividades relacinadas, geridas cletivamente pr um rganism cm bjetiv de prteger s seus ativs de infrmaçã ISO Jrnadas FCCN UTAD 5

6 Cm implementar um SGSI? Nrmas ISO da série ISO Define s requisits para estabelecer, implementar, manter e melhrar de frma cntinua um SGSI Jrnadas FCCN UTAD 6

7 Cm implementar um SGSI? Nrmas ISO da série ISO Códig de bas praticas para um sistema de gestã da segurança da infrmaçã dividids pr 14 secções, 114 cntrles Jrnadas FCCN UTAD 7

8 Cm implementar um SGSI? Nrmas ISO da série ISO Linhas diretrizes para a implementaçã de um Sistema de Gestã da Segurança da Infrmaçã Jrnadas FCCN UTAD 8

9 Cm implementar um SGSI? Nrmas ISO da série ISO Códig de bas praticas para um sistema de gestã da segurança da infrmaçã dividids pr 14 secções, 114 cntrles Jrnadas FCCN UTAD 9

10 SGSI na FCT FCCN Candidatura a SAMA Sistema De Apis À Mdernizaçã Administrativa r Jrnadas FCCN UTAD 10

11 Objetivs interns Visã glbal da segurança da infrmaçã Definir plítica de segurança Fazer pensar Fazer diferente? Cnsciencializaçã das questões de segurança Definir papeis e respnsabilidades Prcesss, nrmas, prcediments, guidelines Definir SLAs Apresentar estatísticas Cnsciencializar chefias para riscs Jrnadas FCCN UTAD 11

12 Prcess de cntrataçã Cadern de encargs submetid na platafrma em fevereir de 2016 Requisits: Frmaçã certificada u certificaçã PMP (u similar) Certificaçã em ISO27001:2013 Lead Implementer u Lead Auditr Experiência cmprvada em prcesss de gestã de risc (avaliaçã e tratament) u frequência de curss u certificaçã nas áreas de 27005:2011 Risk Management (u utra cm grau similar de recnheciment) Experiência cmprvada e/u certificaçã na vertente técnica da Segurança da Infrmaçã Prpstas de 3 frnecedres em mai 2016 Arranque d prjet em julh de Jrnadas FCCN UTAD 12

13 Implementaçã Tdas as áreas da FCCN Spnsr Gestr Supervisr Implementadr Clabradres Spnsr Jã Nun Ferreira Cmeçar simples Mais prcessual Cnstruir bases cmuns Entrevistas cm tdas as áreas Jã Nun Jrge Carls Cnsultra Diretres/ Crdenadres Jrnadas FCCN UTAD 13

14 Fases 1 Diagnóstic Fases 2 Desenvlviment d SGSI Descriçã Realizaçã de um Gap Analysis Identificaçã de prtunidades de melhria Identificaçã de Ativs e Análise de Risc Criaçã u Revisã da Plítica de Segurança 3 Cntinuidade de negci Análise de Impact n Negóci (BIA) 4 Parametrizaçã Plan de tratament de riscs Suprte na implementaçã ds cntrls 5 Plan de auditrias Definiçã d Plan de Auditrias 6 Gestã d SGSI Suprte à implementaçã da Organizaçã de Segurança Jrnadas FCCN UTAD 14

15 Fase 2 Identificaçã de ativs e análise de riscs Tips de ativs Infrmaçã e Dads infrmaçã de negóci u de utr tip, infrmaçã sensível u que de alguma frma tenha valr para a rganizaçã. Hardware e Sftware Servidres, desktps, prtáteis, aplicações e códig. Físics Armáris, cfres, telefnes, edifícis, datacenters, etc. Sistemas e serviçs Cmunicações, suprte IT, Legal, Fiscal, etc. Pessas Clabradres, parceirs, key users, utilizadres privilegiads, entidades externas, etc. Intangíveis Marca, reputaçã, requisits cntratuais, regulatóris, parcerias, relaçã cm membrs, fidelizaçã, etc Jrnadas FCCN UTAD 15

16 Fase 2 Identificaçã de ativs e valr d ativ Classificaçã Elevad Nrmal Integridade Infrmaçã, dcuments e matérias que, se alterads pr pessas nã autrizadas u crrmpids, pdem causar graves impacts financeirs u jurídics, u ameaçar a saúde e/u a segurança de pessas e bens. Infrmaçã, dcuments e matérias que, se alterads pr pessas nã autrizadas u crrmpids, pdem causar impacts financeirs u jurídics mderads. Valr Baix Infrmaçã, dcuments e matérias que pdem ser alterads pr pessas nã autrizadas u crrmpids, sem causar impacts para a empresa, u causand 1 impacts negligentes. N/A Nã aplicável. N/A 5 3 Classificaçã Cnfidencialidade Valr Infrmaçã que só pde ser partilhada pr Secret pessas u área específicas dentr da (RED) rganizaçã. 5 Cnfidencial Infrmaçã que só pde ser partilhada (AMBER) internamente pr tda a rganizaçã. 4 Infrmaçã que pde ser partilhada pr tda a Reservada rganizaçã e cm parceirs externs (GREEN) autrizads. 3 Pública Infrmaçã que pde ser divulgada publicamente (WHITE) sem prejuíz para a rganizaçã. 1 N/A Nã aplicável N/A Impact Valr d ativ de infrmaçã valr médi de CID Classificaçã Descriçã Valr Mens de 1 O activ nã pde estar indispnível mais d que uma hra até hra cmeçar a advir prejuíz para negóci. 5 Até 4h O activ nã pde estar indispnível mais d que 4 hras até cmeçar a advir prejuíz para negóci. 4 Até 1 dia O activ pde estar indispnível até 1 dia antes de cmeçar a advir prejuíz para negóci. 3 Até 1 semana O activ pde estar indispnível até 1 semana antes de cmeçar a advir prejuíz para negóci. 2 Mais de 1 O activ pde estar indispnível mais d que 1 semana sem trazer semana qualquer prejuíz a negóci N/A Nã aplicável. Jrnadas FCCN UTAD N/A 16

17 Fase 2 Identificaçã de ativs e valr d ativ #ID Risc Quem Identificu Dn d Ativ Respnsável na FCCN pel Ativ R23 ACGP R240 AIA Ativ de Infrmaçã Infrmaçã de cntrataçã pública de frnecedres Cnjunt de Sistemas de Infrmaçã interns (ERP, SGD, P. Cmpras, Sft. RH, OTRS e utrs) Tip de Ativ Dads Lcaliza çã Impact Valr d Activ C I D I Aplicaçã PC ,0 Serviçs Interns , Jrnadas FCCN UTAD 17

18 Fase 2 Análise de risc Ativs de Infrmaçã têm imprtância pel seu estã expsts a Vulnerabilidades que sã explradas pr Valr (C,I,D) Degradaçã que causam Ameaças Impact resultand em Vs. Prbabilidade cm certa RISCO Cntrls existentes: risc deve ser calculad cm base ns cntrls que já estã neste mment implementads Jrnadas FCCN UTAD 18

19 Fase 2 Análise de risc Risc Ameaça Alg que pssa prejudicar ativ: Fuga de infrmaçã Ataque DS Códig malicis (malware, virus, trjans, etc.) Crrupçã ds dads Falha de eletricidade Espinagem industrial Ameaça Ativ RISCO Vulnerabilidade uma fraqueza n ativ que pde ser explrada pela ameaça: Dcuments esquecids nas impressras Mecanisms de segurança de uma aplicaçã inadequads Falta de antivírus cm assinaturas actualizadas Falta de cntrl de acesss, u cntrl de acesss físics inadequad Falta de redundância nas ligações elétricas Funcinári insatisfeit Jrnadas FCCN UTAD 19

20 Fase 2 Análise de risc Prbabilidade Classificaçã Descriçã Valr Frequente Varias crrências / Ocrrências diárias u semanais. 5 Prvável Tem acntecid algumas vezes / Acnteceu algumas vezes n últim mês. 4 Ocasinal Acnteceu casinalmente /Acnteceu algumas vezes n últim an. 3 Eventual Acnteceu raramente /Acnteceu pucas vezes ns últims 5 ans. 2 Remt Nunca acnteceu / Nunca acnteceu ns últims 5 ans Jrnadas FCCN UTAD 20

21 Fase 2 Análise de risc Valr d Risc Valr d risc = P + I Alt Médi Baix Riscs priritáris e urgentes. Pela sua pssível gravidade requerem que sejam definidas ações de intervençã urgentes e definid um plan de acmpanhament, de frma a minimizar as cnsequências crridas. Riscs priritáris. Devem ser identificadas as medidas adequadas para tratament d risc e planeada a sua implementaçã num praz estabelecid, cm bjetiv de reduzir risc a um nível aceitável pela empresa. Riscs nã priritáris. Pdem ser gerids pr prcediments de rtina, nã brigand à criaçã de medidas adicinais de cntrl Jrnadas FCCN UTAD 21

22 Fase 2 Análise de risc Exempl Quem Respnsável #ID Identific Dn d Ativ na FCCN Risc u pel Ativ Ativ de Infrmaçã Tip de Ativ Lcalizaçã Impact Valr d Activ Vulnerabilidades Ameaças P Risc C I D I R510 ## ### ### ficheir cm dads de acess a sistemas de infrmaçã e/u ferramentas de trabalh Dads pastas de rede ## ,3 Wrng allcatin f access rights; acess indevid utras vias u através de cmputadres nã blqueads R643 ## ### ### #####: Ferramentas: #### Sftware Datacenter ,7 Sincrnizaçã de dads Identificads mais de 800 riscs Rub/extravi de infrmaçã; prblema infrmatic que apague dcuments Infrmaçã incmpleta 3 7,3 4 7, Jrnadas FCCN UTAD 22

23 Fase 4 Parametrizaçã Plan de tratament de riscs Prpsta aceite pela direçã de se incluir tratament de riscs cm uma atividade para a rganizaçã para riscs a tratar pr área Praz final de agst Trabalhads 20/30 riscs pr área, para que cada uma delas esclha 12 Apresentada a metdlgia a seguir para tratament. Cmeçar simples Cnstruir bases cmuns Criar prcesss, prcediments, catálg de serviçs Definir SLAs Apresentar estatísticas de crrências Mi gar Eliminar Opções de tratament de risc MITIGAR implementar/alterar cntrls de segurança EVITAR deixar de executar a atividade TRANSFERIR segurs, utsurcing, etc. ACEITAR cntinuar a perar cm nrmal Jrnadas FCCN UTAD 23

24 Fase 4 Parametrizaçã Plan de tratament de riscs Metdlgia Tratament de riscs cm base nas pliticas definidas Para cada riscs serã esclhidas algumas das alíneas das pliticas cm rientadras para tratament Cmeçar pelas bases, prcediment para tratament de alguns riscs, acabam pr reslver parte u mesm na ttalidade utrs SSEG apenas irá fazer SUGESTÕES cm base n ativ, vulnerabilidade e ameaças identificadas. Cada área é livre de decidir seguir utras alíneas para aplicar tratament Dificuldades Âmbit grande, recurss escasss em cada área Necessidade de chefias verem imprtância d prcess: Gestã da mudança Gestã da expectativa Bases para tratament recaem em muits cass sbre a área de infraestruturas Custs de implementaçã de algumas medidas Jrnadas FCCN UTAD 24

25 Fase 2 Plitica de segurança Criaçã de plitica de segurança seguind as rientações d ISO27001:2013. Plitica de Segurança Funções e Respnsabilidades Plitica de Gestã Acesss Lógics Plitica de Gestã de Alterações Plitica de Gestã de Dispsitivs Mveis Plitica de Gestã de Incidentes Plitica de Gestã de Lgs Plitica de Gestã de Recurss Humans Plitica de Gestã da Segurança Física Plitica de Gestã de Terceirs Plitica de Gestã de Vulnerabilidades Plitica de Segurança de Prjets Plitica de Utilizaçã de Equipaments e Serviçs TI Plitica de Gestã de Operações Plitica de Utilizaçã de Serviçs de Rede Jrnadas FCCN UTAD 25

26 Fase 4 Parametrizaçã Plan de tratament de riscs Exempl #ID Risc Dn d Ativ Respnsável na FCCN pel Ativ R869 ### ### Ativ de Infrmaçã Tip de Ativ Lcalizaçã Vulnerabilidades Ameaças Risc Rede Integridade/ Integridade/ Ficheirs de trabalh Dads Área Cnfidencialidade: Cnfidencialidade: Acess partilhada Gestã de acesss nã autrizad à rede 8,7 Aplicaçã de plitica para tratament Plitica de gestã de lgs Plitica de gestã de acesss lógics Plitica de utilizaçã de serviçs de rede Plitica de gestã de perações Estatísticas de incidentes interns Jrnadas FCCN UTAD 26

27 Fase 4 Parametrizaçã Plan de tratament de riscs Exempl Plítica de perações 1.2 Gestã de Ativs 1. É mantid um inventári de ativs de infrmaçã, que cntempla a infrmaçã adequada relativamente a tds s ativs relacinads cm as infraestruturas TI; R Os ativs de infrmaçã sã classificads de acrd cm a sua criticidade; R A classificaçã atribuída especificamente a cada ativ será determinada a partir d grau de classificaçã mais elevad, de tdas as infrmações assciadas a esse ativ; 4. A classificaçã da criticidade d ativ 1.4 deverá Manutençã ter em cnta a sua cnfidencialidade, integridade e dispnibilidade; 5. A classificaçã da criticidade d ativ 1. terá As de ações ser igual preventivas e hmgénea e crretivas para tda devem a rganizaçã; ser aprvadas pr um respnsável previamente definid; R Sã realizadas ações preventivas e crretivas adequadas para assegurar a dispnibilidade e integridade cntínua Cada ativ tem um dn, respnsável das pr: infraestruturas TI; R869 R869 a. Assegurar seu inventári; 3. É planeada e definida manutençã preventiva de frma a incluir as ações adequadas para evitar incidentes / prblemas / falhas; R869 b. Assegurar a classificaçã adequada 4. e estabelecer Ns casss emrequisits que hajade necessidade gestã; de envi de equipaments para reparaçã n exterir, é assegurad que sã retirads tds dads armazenads antes da saída ds equipaments; c. Definir restrições de acess e regras 5. de Autilizaçã; manutençã crretiva tem de incluir ações aprpriadas para identificar, islar e reslver a causa de incidentes / d. prblemas / falhas, e para restabelecer as infraestruturas TI para uma cndiçã de peracinalidade; Pel prcess de atualizaçã/alteraçã. 6. Asatividades de manutençãsãsempre planeadase realizadas de acrd cm as especificações e recmendações 7. Antes de partilhar qualquer ativds de frnecedres infrmaçã eclabradr fabricantes; deve verificar se, de acrd cm a classificaçã atribuída a mesm, destinatári 7. As está atividades autrizad de amanutençã aceder a esse sãtip realizadas de infrmaçã. pr pessas especializadas, cm um nível de cnheciments adequad a cadaequipament / infraestrutura / sistema específic; 8. Ns cass em que haja reafectaçã de equipaments, devluçã de equipaments n final d víncul labral u envi de equipaments para abate, é assegurada a limpeza de tda a infrmaçã existente; R Cnstituirã exceçõesa númer anterir, cass em que um clabradr abandne a rganizaçã e seja necessári preservar para psterir análise a infrmaçã existente n equipament devlvid pel mesm; 10. As atividades de manutençã preventivas e crretivas, de reparaçã e abate realizadas devem ser registadas, cm tda a infrmaçã relevante relativamente à causa e tdas as ações executadas, send s registads armazenads pel Jrnadas FCCN UTAD períd de temp aprpriad. 27

28 Fase 3 Cntinuidade de negóci Nã está previst fazer se um verdadeir plan de cntinuidade de negóci (mereceria utr prjet similar a atual). Apenas um levantament preliminar. Envlver área de infraestruturas da FCCN Realizaçã de analise BIA (Análise de impact n negóci) RTO: Temp máxim de recuperaçã de x dias RPO: Perda de infrmaçã até a máxim de x dias Qual númer de utilizadres afetads em cas de indispnibilidade Quais s serviçs dependentes Quais s serviçs de que depende Quais s ativs de que depende Quais s pnts únics de falha atuais Que plans de recuperaçã já existem RPO Desastre Jrnadas FCCN UTAD 28 RTO

29 Fase 5 Plan de auditrias Plan de auditrias que abrde um cnjunt de ativs de segurança de infrmaçã identificads cm send suficientemente crítics Calendarizaçã /peridicidade das perações de auditria Tip de auditrias Respnsáveis e áreas envlvidas Jrnadas FCCN UTAD 29

30 Fase 6 Gestã d SGSI Definiçã das respnsabilidades e recurss para a gestã d SGSI dentr da FCT FCCN, nmeadamente n que tca à sua divulgaçã interna e api à melhria cntínua Jrnadas FCCN UTAD 30

31 Jrnadas FCCN UTAD 31