GUARDING YOUR BUSINESS Be SOxy! IT MEGFELELŐSÉG A MINDENNAPOKBAN

GUARDING YOUR BUSINESS Hogyan hat a SOx itthon? A SOx hatása inkább trendszerű, mint közvetlen Közvetlenül: amerikai tőzsdén jegyzett anyacég Közvetve: Euro SOx (EU Company Law 8th Directive 2005) Basel II (Basel Committee on Banking Supervision 2004) PCI DSS (Payment Card Industry Data Security Standard 2004) ISO szabványcsalád (2005) Hazai szabályozások (ÁSZ, PSZÁF, NHH, stb…) 2

GUARDING YOUR BUSINESS Mi lesz még ebből? A folyamat elején tartunk Az IT rendszer maga a szervezet, ami rengeteg megbízhatósági kérdést vet fel Állam: Mennyi profit után adóztál? Tulajdonos: Mennyi profit után kaptad a fizetésed? Ügyfél: Mi alapján számlázol? A szabályzások további bővülése várható. 3

GUARDING YOUR BUSINESS Mindennek az alapja: COBIT ISACA 1992 Az informatikai irányítás és ellenőrzés de facto, naprakész szabványa Az üzleti / hivatali igényekből indul ki Folyamat szemléletű Segít megérteni, és kezelni az informatikai kockázatokat Egyértelmű irányelveket és bevált gyakorlatokat ad az IT biztonsághoz és ellenőrzéshez 4

GUARDING YOUR BUSINESS Mire kell gondolni a mindennapokban? Belső szabályzatot és monitoring rendszert kell alkotni Egyértelmű felelőségi és számonkérési rendszert kell alkotni Sértetlenség, bizalmasság, rendelkezésre állás 5

GUARDING YOUR BUSINESS Még konkrétabban? Az alapelvek a körülményekhez igazított adaptációja 6

GUARDING YOUR BUSINESS Ki is az a szerver adminisztrátor? A rendszergazda a vállalat egyik legszélesebb operatív jogkörrel rendelkező tagja minimális felelőséggel. Miért? Tulajdonképp korlátlan jogosultságokkal rendelkezik beleértve a nyomok eltüntetésének lehetőségét is, ami rengetek előírásnak mond ellent.

GUARDING YOUR BUSINESS És a rendszergazda? Az alapelvek a körülményekhez igazított adaptációja 8

GUARDING YOUR BUSINESS A lehetséges megoldások és gyengeségeik 1. Központi naplózás A megfelelő naplózási szint beállítása nehézségekbe ütközhet, vagy akát lehetlen is Bonyolult üzemeltetni egy inhomogén hálózatban A naplóbejegyzések olyan helyen generálódnak, amely nem független a rendszer adminisztrátorától Újra felépíteni egy sessiont sok szakértelmet és időt (pénzt) kíván A naplózó kliensek üzemeltetése is jelentős emberi erőforrást igényelhet 2. Fraud detection / Network forensics Nincs kontroll csak naplózás Nem kezeli a titkosított adminisztratív csatornákat (SSH, RDP)

GUARDING YOUR BUSINESS A mi megoldásunk Transzparens felügyelet az SSH, Telnet és RDP forgalom felett Sun X2100 and X2200 alapokon 10

GUARDING YOUR BUSINESS A távoli hozzáférések kontrollálása Beágyazott csatornák ki/be kapcsolása Nincs lefedetlen csatorna A rendszergazdáktól független eszköz Erős authentikáció és titkosítás kikényszerítése Rugalmas integrációs lehetőségek a meglévő hálózat átalakítása nélkül (pl: LDAP) 11

GUARDING YOUR BUSINESS A teljes session archiválása A kapcsolat minden részletének naplózása, auditja A munkamenetek kereshető visszajátszása Tömörített és titkosított audit-trail fájlok „4-eyes” elv betartatása a hálózaton 12

GUARDING YOUR BUSINESS Elfogtunk egy videót… 13

GUARDING YOUR BUSINESS Kinek jó ez? Ki szeret minket? A rendszergazda? – Esetleg… Az auditor? – Minden bizonnyal! A tulajdonos? – Nem kérdéses. CIO? – Az nem kifejezés! 14

GUARDING YOUR BUSINESS Vége Köszönjük a figyelmet! Illés Márton 15