Rätt informationssäkerhet

En presentation över ämnet: "Rätt informationssäkerhet"— Presentationens avskrift:

1 Rätt informationssäkerhet
Mårten Möller Säkerhetskonsult

2 Tre kärnområden - TOL Tillgänglighet och säkerhet Nivå Teknik
Organisation Ledning

3 Vår affärsidé Genom djup kompetens inom teknik, organisation och ledning skapar vi en säker informationshantering, ökad lönsamhet och konkurrenskraft hos våra kunder.

4 Change to Exchange Advokatfirman VINGE

5 Bakgrund Advokatfirman Vinge E-post systemet är företagskritiskt
Ca 500 användare Spridda på 9 kontor i 5 länder E-post systemet är företagskritiskt Höga men odefinierade krav Oro för den nya hotbilden

6 Drivkrafter Funktionalitet som uppfyller nya krav från verksamheten
Uppfylla tillgänglighetskrav Kunna kommunicera säkert Centralisera och konsolidera Integration med andra system

7 Projekt faser Fas 1 Fas 2 Fas 3 Fas 4
Projektering med effekt- och produktmål Kravspecifikation och design Införande med acceptanstester Utvärdering och uppföljning av effektmål

8 Effektmål Sänkta kostnader Centralisera Konsolidera Riskreducera
Säkerhet och tillgänglighet Ökad funktionalitet och effektivitet

9 Kravspecifikation Tillgänglighet och säkerhet Nivå Teknik Organisation
Ledning

10 Teknikval WAP Kluster SSL PKI IDS Antispyware SSL VPN Smarta kort IPS
Antispoofing HOS Backup/Restore 802.1x IPsec Antivirus Brandvägg Patch hantering S/MIME HAS Segmentera Anti-Spam

11 Hitta rätt säkerhet… Skydds- och skadekostnad Skyddsnivå Underskydd
Rätt skydd Överskydd

12 Klassificering System Sekretess Riktighet Tillgänglighet Exchange 3 4
Klient

13 Riskhantering

14 Verksamhet / System/Organisation/Projekt/Produkt
Riskanalys Verksamhet / System/Organisation/Projekt/Produkt Hot Hot Hot

15 Riskanalys Oacceptabel risk Acceptabel risk Sannolikhet Konsekvens Låg
Hög Riskanalys

16 Scenariobaserad riskanalys
Konsekvens Scenario Åtgärder Sannolikhet Brister

17 Microsoft Defense-in-Depth
Objekt Ledning Organisation Teknik ISO 17799 ITIL Microsoft Defense-in-Depth

18 Vill kommunicera med flera
Larm Brandvägg Publicering Vill kommunicera med flera Säker server Mobilitet Applikation Härdning Kryptering A N T I V I R U S P R 0 C E S S E R Signering Säkerhetskopiering Säker klient Åtkomstkontroll Brandskydd

19 Roller och rutiner Rollbeskrivningar Support 2:a line AV-ansvarig
Driftsrutiner Åtgärd Incident Incident Incident DOG VOG MOG Admin Planering Rapport AV Konsol

20 Rätt tillgänglighetsnivå
Hur länge kan verksamheten klara sig utan Exchange systemet? Hur mycket data är acceptabelt att förlora vid ett eventuellt haveri?

21 Uppfylla tillgänglighetskraven
Kluster Windows 2003 kluster för backend NLB kluster för frontend Säkerhetskopiering och återläsningsrutiner Arkivering

22 Centralisering och Konsolidering

23 Centralisering och Konsolidering

24 Tidsplan FAS 1 FAS 2 FAS 3

25 Delprojekt Exchange serverplattform Klient Migreringsmetodik
Arkivering Säkerhetskopiering Utbildning

26 Övriga projektfaser Design baserat på kravspecifikation
Acceptans och funktionstester Införande Utbildning Projektutvärdering Effektmålsuppfyllnad

27 Resultatet av projektet
Effektmålen uppfylldes Systemet uppfyller verksamhetskraven Rätt säkerhet

28 Framgångsfaktorer Nära dialog med verksamheten
Noggrann planering och styrning Tester och pilotfas Kommunikation inom och utanför projektet Utbildning av användare och supportpersonal

29 Microsoft Defense-in-Depth
TOL analys Exchange Ledning Organisation Teknik ISO 17799 ITIL Microsoft Defense-in-Depth