Rätt informationssäkerhet Mårten Möller Säkerhetskonsult

Tre kärnområden - TOL Tillgänglighet och säkerhet Nivå Teknik Organisation Ledning

Vår affärsidé Genom djup kompetens inom teknik, organisation och ledning skapar vi en säker informationshantering, ökad lönsamhet och konkurrenskraft hos våra kunder.

Change to Exchange Advokatfirman VINGE

Bakgrund Advokatfirman Vinge E-post systemet är företagskritiskt Ca 500 användare Spridda på 9 kontor i 5 länder E-post systemet är företagskritiskt Höga men odefinierade krav Oro för den nya hotbilden

Drivkrafter Funktionalitet som uppfyller nya krav från verksamheten Uppfylla tillgänglighetskrav Kunna kommunicera säkert Centralisera och konsolidera Integration med andra system

Projekt faser Fas 1 Fas 2 Fas 3 Fas 4 Projektering med effekt- och produktmål Kravspecifikation och design Införande med acceptanstester Utvärdering och uppföljning av effektmål

Effektmål Sänkta kostnader Centralisera Konsolidera Riskreducera Säkerhet och tillgänglighet Ökad funktionalitet och effektivitet

Kravspecifikation Tillgänglighet och säkerhet Nivå Teknik Organisation Ledning

Teknikval WAP Kluster SSL PKI IDS Antispyware SSL VPN Smarta kort IPS Antispoofing HOS Backup/Restore 802.1x IPsec Antivirus Brandvägg Patch hantering S/MIME HAS Segmentera Anti-Spam

Hitta rätt säkerhet… Skydds- och skadekostnad Skyddsnivå Underskydd Rätt skydd Överskydd

Klassificering System Sekretess Riktighet Tillgänglighet Exchange 3 4 Klient

Riskhantering

Verksamhet / System/Organisation/Projekt/Produkt Riskanalys Verksamhet / System/Organisation/Projekt/Produkt Hot Hot Hot

Riskanalys Oacceptabel risk Acceptabel risk Sannolikhet Konsekvens Låg Hög Riskanalys

Scenariobaserad riskanalys Konsekvens Scenario Åtgärder Sannolikhet Brister

Microsoft Defense-in-Depth Objekt Ledning Organisation Teknik ISO 17799 ITIL Microsoft Defense-in-Depth

Vill kommunicera med flera Larm Brandvägg Publicering Vill kommunicera med flera Säker server Mobilitet Applikation Härdning Kryptering A N T I V I R U S P R 0 C E S S E R Signering Säkerhetskopiering Säker klient Åtkomstkontroll Brandskydd

Roller och rutiner Rollbeskrivningar Support 2:a line AV-ansvarig Driftsrutiner Åtgärd Incident Incident Incident DOG VOG MOG Admin Planering Rapport AV Konsol

Rätt tillgänglighetsnivå Hur länge kan verksamheten klara sig utan Exchange systemet? Hur mycket data är acceptabelt att förlora vid ett eventuellt haveri?

Uppfylla tillgänglighetskraven Kluster Windows 2003 kluster för backend NLB kluster för frontend Säkerhetskopiering och återläsningsrutiner Arkivering

Centralisering och Konsolidering

Centralisering och Konsolidering

Tidsplan FAS 1 FAS 2 FAS 3

Delprojekt Exchange serverplattform Klient Migreringsmetodik Arkivering Säkerhetskopiering Utbildning

Övriga projektfaser Design baserat på kravspecifikation Acceptans och funktionstester Införande Utbildning Projektutvärdering Effektmålsuppfyllnad

Resultatet av projektet Effektmålen uppfylldes Systemet uppfyller verksamhetskraven Rätt säkerhet

Framgångsfaktorer Nära dialog med verksamheten Noggrann planering och styrning Tester och pilotfas Kommunikation inom och utanför projektet Utbildning av användare och supportpersonal

Microsoft Defense-in-Depth TOL analys Exchange Ledning Organisation Teknik ISO 17799 ITIL Microsoft Defense-in-Depth