Защита мобильных данных в организации Александр Вакуленко / 17 сентября,

Содержание: Современные вызовы при обеспечении ИБ Проблема адаптации мобильных устройств Пять шагов к мобильной безопасности Модель зрелости мобильной безопасности Сервисы безопасности для мобильных устройств Решения для безопасных мобильных приложений 2

3 Современные вызовы при обеспечении ИБ Совершенствование атак (технологическое и организационное) 1 ResearchInfiltrationDiscoveryCaptureExfiltration Изменения в технологиях (развитие, внедрение новых решений) 2 Consumption Traditional DCPrivate cloudManaged cloudPublic cloud Virtual desktopsNotebooksTabletsSmart phones Обеспечение соответствия (больше контроля, расширение области проверок) 3 ФСБФСТЭК

4 Киберпреступность – это большой бизнес

HP Security Research Инновационные исследования 5 SANS, CERT, NIST, OSVDB и другие (не) коммерческие организации ~3000 исследователей наших клиентов, сообщающих об атаках сетей, защищаемых решениями HP Ecosystem partner ESS HP Security Research На шаг впереди Интеграция в портфолио продуктов HP HP обнаруживает больше уязвимостей, чем все остальные компании вместе взятые Выделенное подразделение по изучению актуальных угроз Оперативная информация

Обобщенный анализ уязвимостей мобильных приложений 6

Проблема адаптации мобильных устройств Основные вызовы: – Стратегии управления мобильными устройствами. – Ответственность за мобильные данные, утечка, уничтожение, недоступность информации. – Ожидания пользователей от использования мобильных устройств. – Богатый функционал мобильных устройств. – Выполнение требований регуляторов и соответствие требованиям. Индустриальная специфика: – Государственный сектор. – Производственный сектор. – Розничная торговля. – Финансовый сектор. – Здравоохранение. 7

Требования бизнеса и управление рисками в организации Пять шагов к мобильной безопасности Оценка рисков и инвестиций в мобильную безопасность Использовани е проверенных практик, принципов и технологий Разработка безопасных приложений для мобильного использования Гарантия уровня безопасности бизнес- процессов Персонал Процессы Технологии Аутентификация и т.д. Безопасный жизненный цикл Модель зрелости мобильной безопасности Обеспечение взаимодействия с бизнесом Разработка стратегии мобильной безопасности 8

Уровень 2 Уровень 1 Долгосрочное стратегическое видение (взамен оценки рисков в конкретной ситуации) Взаимодействие безопасников с бизнесом Стратегия мобильной безопасности охватывает технологии не полностью Используются лучшие практики Выполняется оценка рисков для каждой ситуации Использование некоторых мобильных облачных сервисов Уровень 3 Модель зрелости мобильной безопасности 9 Вовлечение бизнеса для улучшения понимания постоянных изменений Всестороннее взаимодействие с целью понимания влияния человеческих и экономических факторов при оценке рисков Стратегическое использование мобильных облачных сервисов Уровень 4

Сервис безопасности для мобильных устройств HP Security Risk and Controls Advisory для bring your own device (BYOD) Стадия 1 Стадия 2 Стадия 3 Выявление проблем управлением ИБ при переходе к BYOD Выработка стратегического плана работы с этими проблемами Оценка бизнес-рисков адаптации к BYOD Создание отчета об угрозах и уязвимостях бизнесу при переходе к BYOD Определение списка рисков перехода к BYOD, приоритизация их по потенциалу воздействия на бизнес Подготовка списка необходимых мер адаптации управленимя и контроля Подготовка плана применения и улучшения рекомендуемых мер Полный анализ и план действий в течение месяца или меньше. 10

Решения для безопасных мобильных приложений 11

Трехуровневый подход к мобильной безопасности 12 Решение Fortify on Demand от HP предусматривает трехуровневый подход к обеспечению безопасности в мобильной сфере.

13 Fortify static code analyzer Автоматический статический анализ исходного кода позволяет разработчикам устранить уязвимости и создать безопасное ПО.

Сертификация ФСТЭК 14 TippingPoint 3232 от г СОВ-4 1Г ИСПДн-1 НДВ-4 HP ArcSight ESM 3117 от г ТУ Решение ФСТЭК 4755 от г НДВ-4, ТУ HP Service Manager от г СВТ.НСД-5 НДВ-4

Семинары и тренинги для заказчиков 15 Тренинги вебинары технические воркшопы по продуктам обзорные семинары по продуктам Документы РД, ТЗ на продукты сертификация сценарии и лучшие практики в России

Спасибо за внимание Вакуленко Александр Викторович, Head of Information Security Group HP Russia, Ph.D., CISSP, 16