ISO17799 & Risicoanalyse: Vrienden of Vijanden? Aart Bitter 20 september 2007
Aart.Bitter @information-security-governance.com
Agenda • Hoe wordt een goede risico analyse uitgevoerd? • Risico’s – maatregelen - incidenten
20 september 2007
Saxion Hogescholen
2
1
Vijand • Het niet beheersen van beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening zal leiden tot: • Verlies van vertrouwen bij klanten en het niet kunnen doen van “nieuwe business” • Juridische straffen (rechtszaken) • Onnodig extra werk / beheer • Het niet kunnen garanderen van de continuïteit van de bedrijfsvoering
• Verdediging: informatiebeveiliging / Information Security • Wat beveiligen, Hoeveel beveiligen
20 september 2007
Saxion Hogescholen
3
Wat en hoeveel: Risicoanalyse high
$
Cost of security Optimal Expenditure
Cost of incidents
low
20 september 2007
Security
Saxion Hogescholen
high
4
2
Risico management
Impact Transfer
Avoid
Accept
Reduce
Kans
20 september 2007
Saxion Hogescholen
5
Security Management
20 september 2007
Saxion Hogescholen
6
3
Informatiebeveiligingsmodel
Beveiligingsbeleid Beveiligingsbeleid
Risicomanagement Risicomanagement Bewaken Bewaken && Evalueren Evalueren Beveiligingsplan Beveiligingsplan
Implementatie Implementatie
20 september 2007
Saxion Hogescholen
7
2006 Survey of RM/RA Methodes • • • • • • • • • • • • •
Tools
Australian IT Security handbook CRAMM Dutch A&K analysis EBIOS ISF methods for RA & RM ISO/IEC 13335-2 (ISO/IEC 27005) ISO/IEC 17799:2005 ISO/IEC 27001 IT Baseline Protection Manual MARION HEHARI Octave v2.0 SP800-30 (NIST)
20 september 2007
Saxion Hogescholen
• • • • • • • • • • • •
Callio Casis Cobra CounterMeasures CRAMM EBIOS GSTool ISAMM Octave Proteus RA2 RiskWatch
8
4
Risico (A&K) analyse
Beveiligingsbeleid Beveiligingsbeleid
Afhankelijkheidsanalyse Afhankelijkheidsanalyse
Betrouwbaarheidseisen Betrouwbaarheidseisen voor voorinformatiesysteem informatiesysteem
Risicomanagement Risicomanagement
Kwetsbaarheidsanalyse Kwetsbaarheidsanalyse
Beveiligingsniveaus Beveiligingsniveausper per IS-component IS-component
Beveiligingsplan Beveiligingsplan
Risicomanagement Risicomanagement
Selectie Selectievan vanmaatregelen maatregelen
Bewaken Bewaken && Evalueren Evalueren
Implementatie Implementatie
20 september 2007
Saxion Hogescholen
9
Afhankelijkheidsanalyse Beveiligingsbeleid Beveiligingsbeleid
1a. 1a.Inventariseer Inventariseeren en beschrijf beschrijfprocessen processen
1b. 1b.Beschrijf Beschrijf informatiesysteem informatiesysteem
3.3.Bepaal Bepaalbelang belangvan van ieder iederproces proces
2.2.Relateer Relateerinformatieinformatiesysteem systeemaan aanprocessen processen
4.4.Definieer Definieer betrouwbaarheidseisen betrouwbaarheidseisen
Betrouwbaarheidseis B
Betrouwbaarheidseisen Betrouwbaarheidseisenvoor voor informatiesysteem informatiesysteem
IS1
L IS2
H L
20 september 2007
Saxion Hogescholen
I
H
V M
M
10
5
Kwetsbaarheidsanalyse Betrouwbaarheidseisen Betrouwbaarheidseisenper perISIScomponent component
Bepaal Bepaalkwetsbaarheid kwetsbaarheidper perISIScomponent component
Bepaal Bepaalbenodigde benodigdebeveiliging beveiligingper perISIScomponent component
Bedreigingen Bedreigingenen enbeveiligingsniveaus beveiligingsniveaus per perIS-component IS-component Bedreiging Beveiligingsniveau
Component 1
Component 2
20 september 2007
Saxion Hogescholen
Bedreiging 1 Bedreiging 2 Bedreiging 3 Bedreiging 4 Bedreiging 5 Bedreiging 1 Bedreiging 2 Bedreiging 3 Bedreiging 4 Bedreiging 5
11
Risico-management Bedreigingen Bedreigingenen enbeveiligingsniveaus beveiligingsniveaus per perIS-component IS-component
Bepaal Bepaalmaatregelen maatregelenper per IS-component IS-component
Bepaal Bepaalmaatregelen maatregelenper per Informatiesysteem Informatiesysteem
Vergelijk Vergelijkmaatregelen maatregelen- set setmet metreferentielijst referentielijst
Referentielijst Referentielijst (ISO-17799) (ISO-17799)
Getroffen Getroffen maatregelen maatregelen
Selectie Selectievan vanmaatregelen maatregelen Informatie beveiligings plan
20 september 2007
Saxion Hogescholen
12
6
CRAMM Methode Componenten & Afhankelijkheden
Dreigingen
Kwetsbaarheden
Risico ’s
Maatregelen
20 september 2007
Saxion Hogescholen
13
De Risico's De risico's worden door CRAMM berekend: Afhankelijkheid 11 22 33 44 55 66 77 88 99 10 10
+
Dreiging
+
Kwetsbaarheid
Risico 11
Zeer Zeer Laag Laag
Laag Laag 22
Laag Laag
Middel Middel
33 Middel Middel
44 55
Hoog Hoog
66 Zeer Zeer Hoog Hoog
Hoog Hoog 77
Uitgedrukt in een score 1 - 7 20 september 2007
Saxion Hogescholen
14
7
De Risico-matrix Afhankelijkheid
Dreiging
+
11
+
Kwetsbaarheid
Risico
Laag Laag
11
Zeer ZeerLaag Laag
22 33
22
Laag Laag
44
33
55
Middel Middel
66 77
Middel Middel
44 55
HHoooogg
88
66
99
Zeer Zeer Hoog Hoog
1100
HHoooogg
77
ZL
ZL
ZL
L
L
L
M
M
M
H
H
H
ZH
ZH
ZH
L
M
H
L
M
H
L
M
H
L
M
H
L
M
H
1
1
1
1
1
1
1
1
1
2
2
2
2
2
2
3
2
1
1
2
2
2
2
3
3
3
3
3
3
3
3
3
3
2
2
3
3
3
3
3
4
4
4
4
4
4
4
4
4
2
2
3
4
4
4
4
4
4
4
4
4
4
4
4
5
3
3
3
4
4
4
4
5
5
5
5
5
5
5
5
6
3
4
4
4
5
5
5
5
5
5
5
5
5
5
5
7
4
4
4
4
5
5
5
6
6
6
6
6
6
6
6
8
5
5
5
5
5
5
5
6
6
6
6
6
6
6
6
9
5
5
5
5
6
6
6
6
6
6
7
7
7
7
7
10
5
5
5
5
6
6
6
6
6
6
7
7
7
7
7
Afhankelijkheid
Dreiging Kwetsbaarheid
20 september 2007
Saxion Hogescholen
15
ISO-27005 Risk Assessment & Treatment ESTABLISH CONTEXT
RISK COMMUNICATION
RISK ANALYSIS
RISK IDENTIFICATION RISK ESTIMATION RISK EVALUATION RISK TREATMENT RISK AVOIDANCE
RISK TRANSFER
RISK REDUCTION
RISK MONITORING AND REVIEW
RISK ASSESSMENT
RISK ACCEPTANCE
20 september 2007
Saxion Hogescholen
16
8
20 september 2007
Saxion Hogescholen
17
ISMS Definition
• An ISMS (Information Security Management System) is the part of the overall management system that, based on a business risk approach, is intended to ensure the availability, confidentiality and integrity of information and associated assets. 20 september 2007
Saxion Hogescholen
18
9
4.2.1 Establish the ISMS (2/5) c) Define a systematic approach to risk assessment 1) Identify a method of risk assessment that is suited to the ISMS, and the identified business information security, legal and regulatory requirements. 2) Determine criteria for accepting the risks and identify the acceptable levels of risk The risk assessment methodology selected shall ensure that risk assessments produce comparable and reproducible results.
d) Identify the risks 1) Identify the assets and the owners of these assets. 2) Identify the threats to those assets. 3) Identify the vulnerabilities that might be exploited by the threats. 4) Identify the impacts that losses of confidentiality, integrity and availability may have on the assets.
20 september 2007
Saxion Hogescholen
19
4.2.1 Establish the ISMS (3/5) e) Assess the risks 1) Assess the business harm that might result from a security failure 2) Assess the realistic likelihood of such a security failure 3) Estimate the levels of risks. 4) Determine whether the risk is acceptable or requires treatment using the criteria established in c).
f) Identify and evaluate options for the treatment of risks Possible actions include: 1) applying appropriate controls; 2) knowingly and objectively accepting risks 3) avoiding risks; 4) transferring the associated business risks to other parties, e.g. insurers, suppliers.
20 september 2007
Saxion Hogescholen
20
10
4.2.1 Establish the ISMS (4/5) g) Select control objectives and controls for the treatment of risks Control objectives and controls shall be selected and implemented to meet the requirements identified by the risk assessment and risk treatment process. This selection shall take account of the criteria for accepting risks (see 4.2.1c)2)) as well as legal, regulatory and contractual requirements. The control objectives and controls from Annex A shall be selected as part of this process as suitable to cover the identified requirements. The control objectives and controls listed in Annex A are not exhaustive and additional control objectives and controls may also be selected.
20 september 2007
Saxion Hogescholen
21
ISO/IEC 17799 Security Policy Organization of IS
Asset management Systems development
Access control
Operations mgt.
Physical security
HR security
Continuity management
IS incident Mgt
Compliance 20 september 2007
Saxion Hogescholen
22
11
So far, so good ISO 27000 ISO 27001 ISO 27002 ISO 27003 ISO 27004 ISO 27005
20 september 2007
– – – – – –
principles and vocabulary ISMS requirements (ISO/ IEC 17799:2005) ISMS Implementation guidelines ISMS Metrics and measurement ISMS Risk Management
Saxion Hogescholen
23
Risk Assessment
20 september 2007
Saxion Hogescholen
24
12
Security Policy
20 september 2007
Saxion Hogescholen
25
Organization of Info. Security
20 september 2007
Saxion Hogescholen
26
13
Asset management Advertentiebedrijf Ingezonden mededelingen
Scanners FTP server
Fotografen
Opmaak
Beeld Modempool
Graphics
Fax
Fotoredactie
RIJSWIJK, maandag
Reuters
Bijna negen op de Nederlanders tien is voor de invoering van een zogenoemd strafpuntenrijbe wirijes.kwart D heirvan wli dat dti voor alle rijbewijsbezitters gaat gelden, de rest heeft bepaalde alleen categorie ën bestuurders op het oog, zoals jonge bestuurders, weinigmensen rijervaring met en iedereen van 65jaarenouder. Zo blijkt uit een onderzoekdatis opdracht uitgevoerd vanhet in CentraalBureau Rijvaardigheidsbe wijzen(CBR).
EPD
Tekst
AP
Mail server
Redactie Schotels, decoders, Routerings PC’s
Beeld
RIJSWIJK, maandag
AN P
Bijna negen op de tien vNederlanders oor de invoeringis van een zogenoemd strafpuntenrijbe wijs. heirvan wD liriekdw at artdti voor alle rijbewijsbezitters gaat gelden, de rest heeft alleen categorie bepaalde ën bestuurders op het oog, zoals jonge bestuurders, mensenmet weinig en iedereen rijervaring van 65jaarenouder. Zo blijkt uit een onderzoekdatis uitgevoerdin opdrachtBureau Centraal vanhet Rijvaardigheidsbe wijzen(CBR).
Tekst
Mail relay server
Kabel Modempool
Beurs
X.25 (Datanet)
BRS
Web proxy
Externe redacteur “Iedereen”E-mail
20 september 2007
Ge-isoleerde PC’s op de redactie
Saxion Hogescholen
Internet 27
Human Resources Security
20 september 2007
Saxion Hogescholen
28
14
Physical Security (1)
20 september 2007
Saxion Hogescholen
29
Physical Security (2)
20 september 2007
Saxion Hogescholen
30
15
Operations Management
20 september 2007
Saxion Hogescholen
31
Access Control
20 september 2007
Saxion Hogescholen
32
16
Systems development
20 september 2007
Saxion Hogescholen
33
Information Security Incident Mgt.
Come on! It can‘t go wrong every time...
20 september 2007
Saxion Hogescholen
34
17
Business Continuity Management
20 september 2007
Saxion Hogescholen
35
Saxion Hogescholen
36
Compliance
ears neck feet
20 september 2007
18
People
10 Screensavers
9
12 1 11 Informatie vernietiging Backup’s hoe hij vertrouwelijk het belang van het maken Clear Desk Policy afval moet vernietigen van back-ups en waar het belang van een deze te bewaren
“clear desk policy”
het nut van dragen van ID pasjes en hoe om te gaan met bezoekers
bescherming van informatie op de PC met o.a. passwords en screensavers
de procedures rondom gerubriceerde gegevens
Informatiebeveiliging = “confidentiality, integrity and availability”
Informatiebeveiliging
de risico ’s bij het gebruik (van informatie) van het internet
dat fysieke toegang deel uit maakt van het beveiligen van systemen
8 Fysieke beveiliging
hoe hij passwords moet gebruiken en welke hij niet moet kiezen
7 Passwords 20 september 2007
2 Personeelspasjes
wat beveiligingsincidenten zijn en hoe en waar hij deze moet rapporteren
3 Geclassificeerde informatie
wat hackers kunnen aanrichten op “zijn ” systemen
5 6 Beveiligingsincidenten
4 Internet
Hackers
Saxion Hogescholen
37
Top-20 security issues (1) 1. Risicomanagement 2. Screening medewerkers 3. Opleiding en bewustwording 4. Security Incident Management 5. Business Continuity Management 6. Handboek IB niet goedkeurd 7. Controleplannen (Compliance) 8. (Physical + Logical) Access Control (PPT) 9. patchmanagement 10.Inzicht in externe koppelingen 20 september 2007
Saxion Hogescholen
38
19
Top-20 security issues (2) 11.Protection of log information 12.Confidentiality agreements 13.Information classification guidelines 14.Change management 15.Mobile devices 16.Monitoring System Use 17.Management of Removable Media 18.OSG, TVE, OS Hardening 19.Clear Desk Policy 20.Asset management 20 september 2007
Saxion Hogescholen
39
Referenties • •
•
Articles & presentations: ENISA ad hoc working group on risk assessment and risk management, Inventory of risk assessment and risk management methods GAO, Information Security Risk Assessment: Learning from Leading Organizations Books: NIST, Sp800-30, Risk Management Guide for Information Technology Systems ISO/IEC 27001; ISO/IEC 17799
• • • • •
www.enisa.europa.eu www.gao.gov www.nist.gov www.iso.ch; www.nen.nl www.information-security-governance.com
• •
20 september 2007
Saxion Hogescholen
40
20
Readings
20 september 2007
Saxion Hogescholen
41
Dank voor uw aandacht ! Vragen Opmerkingen Suggesties
Aart.Bitter @information-security-governance.com 20 september 2007
Saxion Hogescholen
42
21
