Krajowy System yberbezpieczeństwa Krajowy System yberbezpieczeństwa #2 aspekty praktyczne i rozwiązania IT 21 stycznia 2020, Gdańsk Lider Zespołu Projektów IT SNP Poland sp.

www.prs.pl

Krajowy System Cyberbezpieczeństwa#2 aspekty praktyczne i rozwiązania IT

21 stycznia 2020, Gdańsk

Lider Zespołu Projektów ITSNP Poland sp. z o.o.

Rafał Grześkowiak

www.prs.pl | www.snp-poland.com

DOSTOSOWANIE DO KSC

2

http://www.prs.pl/

http://www.snp-poland.com/


Normy ISO 27001 i 22301 jako fundament KSC – ISO 27001

• Kryteria i zakres normy• 4. Kontekst - zobowiązania korporacyjne, prawne, umowne.

• 5. Przywództwo - polityka, role, zakresy.

• 6. Planowanie - ryzyko, postępowanie, cele.

• 7. Wsparcie - zasoby, kompetencje, uświadamianie, komunikowanie, dokumentacja.

• 8. Eksploatacja.

• 9. Ocena, audyt, przegląd systemu zarządzania.

• 10. Samodoskonalenie.

• Ograniczenia zakresu wynikające z KSC

3

http://www.prs.pl/




• Obszary kontroli wg ISO 27001 (załącznik A):

• Polityka bezpieczeństwa.

• Organizacja bezpieczeństwa informacji.

• Bezpieczeństwo zasobów ludzkich.

• Zarządzanie aktywami.

• Kontrola dostępu.

• Kryptografia.

• Bezpieczeństwo fizyczne i środowiskowe.

• Bezpieczna eksploatacja.

• Bezpieczeństwo komunikacji.

• Pozyskiwanie, rozwój i utrzymanie systemów.

• Relacje z dostawcami.

• Zarządzanie incydentami związanymi z bezpieczeństwem informacji.

• Aspekty bezpieczeństwa informacji w zarządzaniu ciągłością działania.

• Zgodność.

4

http://www.prs.pl/




• Kryteria i zakres normy• 4. Kontekst - zobowiązania korporacyjne, prawne, umowne.

• 5. Przywództwo - polityka, role, zakresy.

• 6. Planowanie - ryzyko, postępowanie, cele.

• 7. Wsparcie - zasoby, kompetencje, uświadamianie, komunikowanie, dokumentacja.

• 8. Eksploatacja.

• 9. Ocena, audyt, przegląd systemu zarządzania.

• 10. Samodoskonalenie.

• Ograniczenia zakresu wynikające z KSC

5

http://www.prs.pl/



Normy ISO 27001 i 22301 jako fundament KSC – polityki

• Polityka bezpieczeństwa informacji

• Polityka bezpieczeństwa danych osobowych

• Polityka bezpieczeństwa IT

• Polityka klasyfikacji informacji i akceptowalnego użycia aktywów

• Polityka czystego biurka i ekranu

• Polityka urządzeń przenośnych i dostępu zdalnego

• Zasady kontroli dostępu do pomieszczeń

• Procedury operacyjne i plany BCM/PCD

• Polityka haseł i inne…

6

http://www.prs.pl/



Przebieg dostosowania

• Etap I – realny obraz sytuacji

• Etap II – zadania do 3 miesięcy

• Etap III – zadania do 6 miesięcy

• Etap IV – zadania do 12 miesięcy

7

http://www.prs.pl/



Przebieg wdrożenia – diagram

8

Decyzja w sprawie uznania za

Operatora Usługi Kluczowej (OUK)

(1) wdrożenie Zarządzania Ryzykiem w odniesieniu do systemów informacyjnych

(2) Wyznaczenie osoby odpowiedzialnej za

utrzymywanie kontaktów w ramach KSC

Powierzenie odpowiedzialności za cyberbezpieczeństwo

Powołanie wewnętrznej komórki organizacyjnej

Zawarcie umowy outsourcingowej z

zewnętrznym podmiotem

świadczącym usługi z zakresu

cyberbezpieczeństwa

Wdrożenie rozwiązań do monitoringu cyberzagrożeń

Wdrożenie Systemu Zarządzania

Bezpieczeństwem Informacji (ISO/IEC

27001) oraz Zarządzania Ciągłością Działania (ISO 22301)

oraz środków łączności z CERT

Audyt bezpieczeństwa systemu informacyjnego(zgodnie z Ustawą KSC)

Okresowy Audyt bezpieczeństwa

systemu informacyjnego

3 miesiące od doręczenia decyzji OUK

6 miesięcy od decyzji OUK12 miesięcy od decyzji OUKCo 24 miesiące

Dostosowanie techniczne

http://www.prs.pl/



Przebieg wdrożenia – Etap I

• Wskazanie osób odpowiedzialnych za projekt po stronie OUK

• Analiza stanu faktycznego w odniesieniu do KSC

• Określenie obszarów wymagających doskonalenia względem wymagań KSC

9

http://www.prs.pl/



Przebieg wdrożenia – Etap II (3 mies.)

• Powołanie Pełnomocnika ds. KSC/Oficera Bezpieczeństwa

• Powołanie Forum Bezpieczeństwa Informacji

• Wykonanie inwentaryzacji, identyfikacja procesów i aktywów

• Przeprowadzenie kompleksowej analizy ryzyka

• Stworzenie planu postępowania z ryzykiem

• Zbudowanie polityki reagowania na incydenty

• Powołanie Zespołu Reagowania na Incydenty

• Przeprowadzenie szkoleń dla pracowników

• Wykonanie zgłoszeń i zadań wymaganych przez KSC

10

http://www.prs.pl/



Przebieg wdrożenia – Etap III (6 mies.)

• Budowa dokumentacji systemowej wymaganej przez KSC oraz wynikającej z planu postępowania z ryzykiem (lub deklaracji stosowania) w celu zapewnienia adekwatnych organizacyjnych środków ochrony

• Przeprowadzenie BIA oraz budowa PCD dla wybranych elementów działania

• Sformalizowanie zagadnień monitoringu usługi kluczowej

• Zapewnienie adekwatnych technicznych środków ochrony i monitoringu

• Wprowadzenie procesu monitoringu zagrożeń i podatności

• Wprowadzenie środków łączności w ramach KSC

• Wprowadzenie nadzoru i ustalenie zakresu dokumentacji związanej z realizacją usługi kluczowej

11

http://www.prs.pl/



Przebieg wdrożenia – Etap IV

• Wykonanie audytu zgodności z UoKSC – do 12 miesięcy od doręczenia decyzji o uznaniu za operatora usługi kluczowej

12

http://www.prs.pl/



Przebieg wdrożenia – kamienie milowe

• Analiza luki• Raport

• Zarządzanie ryzykiem• Spis aktywów, proces analizy ryzyka, macierz ryzyka, plan postępowania z ryzykiem

• Budowa systemu• Powołanie ról, osób i struktur odpowiedzialnych za cyberbezpieczeństwo

• Wytworzenie dokumentacji systemu (polityki, procedury, instrukcje)

• Wdrożenie

• Uruchomienie SZBI zgodnego z KSC w zakresie realizacji usługi kluczowej

• Wykonanie szkoleń

• Audyt roczny• Raport z audytu

13

http://www.prs.pl/



Utrzymanie i ciągłe doskonalenie

• Cykliczne szkolenia pracowników

• Pentesty środowiska IT

• Cykliczny przegląd dokumentacji

• Audyty wewnętrzne i przeglądy systemu zarządzania

• Opcjonalne dążenie do uzyskania certyfikatu ISO/IEC 27001 przez organizację

14

http://www.prs.pl/



Sama dokumentacja nas nie obroni…

15

http://www.prs.pl/



Usługi cyberbezpieczeństwa dla OUK

16

http://www.prs.pl/



Zakres obowiązków OUK (Rozdz. 3)

• Zarządzanie bezpieczeństwem w systemie informacyjnym (Art.8)• Szacowanie ryzyka

• Utrzymanie odpowiednich środków technicznych w zakresie ochrony IT

• Zbieranie informacji o zagrożeniach

• Zarządzanie incydentami

• Ograniczenie wpływu incydentów

• Środki łączności w ramach KSC

• Kontakty i raportowanie w ramach KSC (Art.9)

• Dokumentacja cyberbezpieczeństwa systemu (Art.10)• Utrzymanie dokumentacji

• Nadzór

• Archiwizacja

• Zarządzanie incydentami (Art. 11)

• Współpraca z CSIRT (Art. 12 i 13)

17

http://www.prs.pl/



Monitoring systemu informacyjnego

18

SOC

Raportowanie

Analiza podatności

Inwentaryzacja zasobów

Wykrywanie naruszeń

bezpieczeństwa

Korelacja i agregacja logów

Analiza behawioralna

http://www.prs.pl/



Monitorowane obszary

19

SOCSieć

Aplikacje

Bazy danychStacje

robocze

Infrastruktura

Serwery

http://www.prs.pl/



Monitoring (1): infrastruktura IT

• Serwery fizyczne

• Klimatyzacja

• UPS

• System kontroli dostępu

• Systemy alarmowe

• Cloud (Azure, AWS itp.)

• Sieć przemysłowa

20

http://www.prs.pl/



Monitoring (2): aplikacje i serwery

• Monitoring serwerów Linux Windows

• Monitoring aplikacji krytycznych

• Systemy telemetryczne

• Systemy ERP

• Serwery Linux

• Serwery Windows

• Active Directory

21

http://www.prs.pl/



Monitoring (3): sieć

• Monitorowanie urządzeń sieciowych

• Monitorowanie aktywności VPN

• Aktywne / pasywne skanowanie

• Informacje z systemów IDS / IPS

22

http://www.prs.pl/



Monitoring (4): stacje robocze

• Logi systemowe

• Logi systemu antywirusowego

• Monitorowanie poprawek systemowych

23

http://www.prs.pl/



Wykrywanie podatności

• Proaktywne skanowanie zasobów

• Ustalony harmonogram skanowania

• Reagowanie na wykryte luki

24

http://www.prs.pl/



Wykrywanie ataku

25

http://www.prs.pl/



Wykrywanie awarii

26

http://www.prs.pl/



Narzędzia Security Operations Center

• Zarządzanie zasobami

• Aktywne / pasywne skanowanie sieci – ( nmap / zenmap / p0f )

• Inwentaryzacja zasobów ( SNMP / Domena )

• Inwentaryzacja oprogramowania na hostach ( Open-AudIT )

• Analiza podatności

• Skanowanie – ( openvas / Nessus / nikto )

• Monitorowanie podatności – ( WSUS / lynis / MBSA )

• Wykrywanie naruszeń bezpieczeństwa

• Host, network and wireless IDS ( McAffe / ClamAV / Snort / Suricata / Kismet / AirDefense )

• File integrity monitoring ( AIDE / bit9* / carbon black )

• Analiza behawioralna

• Centralny system logowania ( rsyslog / logalyze / graylog / logstash )

• Analiza netflow (nfsen / ntop)

• Monitoring dostępności usług ( nagios / zabbix )

• Security Intelligence

• Korelacja zdarzeń - system SIEM (Splunk / Graylog / AlienVault OSSIM / Logalyze )

• Obsługa incydentów ( NIST SP 800-61r2 / RTIR )

27

http://www.prs.pl/



Reagowanie

• Wykrycie i analiza• Analiza czy incydent rzeczywiście wystąpił

• Nadanie odpowiedniego priorytetu incydentowi

• Powiadomienie OUK (oraz CSIRT)

• Izolacja, usunięcie i przywrócenie• Zebranie i zabezpieczenie dowodów

• Izolacja incydentu

• Wykrycie i wyeliminowanie podatności lub zainstalowanego malware

• Przywrócenie systemów do działania, w razie konieczności, dodatkowy monitoring systemów

• Zadania po incydencie• Follow-up report

• Lessons learned

28

http://www.prs.pl/



Outsourcing cyberbezpieczeństwa

29

SNP SOC

Osoby kontaktowe

CSIRT(Computer Security Incident

Response Team)

OUK

http://www.prs.pl/



Dobór rozwiązań IT

30

http://www.prs.pl/



Granica formalnych wymagań KSC

SZBI (ISO 27001) + SZCD (ISO 22301)

Ochrona infrastrukturyDokumentacja systemu

informacyjnegoDokumentacja

sektorowaMonitoring

cyberbezpieczeństwa

31

Architektura i ochrona systemu informacyjnego (IT/OT)

http://www.prs.pl/



Ścieżka decyzyjna w doborze rozwiązań

Biznes Budżet IT Dział IT Wdrożenie

32

BiznesPotrzeby

biznesoweAnaliza ryzyka

Dział ITRozpoznanie

rozwiązań (IT)

Określenie wymaganego budżetu (IT)

Akceptacja budżetu (biznes)

Wdrożenie

http://www.prs.pl/



Perspektywa minimalizacji ryzyka

• Identyfikacja krytycznych systemów

• Aktywny udział biznesu (właścicieli procesów/ryzyk) w cyklu życia rozwiązań IT/OT

• Świadomość biznesowych kosztów ewentualnych incydentów cyberbezpieczeństwa

• Dział IT jako usługodawca biznesu

• Szerokie kompetencje ITSec/InfoSec

• Cykliczne testy/audyty

33

http://www.prs.pl/



Perspektywa minimalizacji ryzyka

• Właściwa architektura IT

• Bezpieczeństwo sieci

• Monitoring ilościowy i jakościowy środowiska

• Szyfrowanie

• Dwuskładnikowe uwierzytelnienie

• IPS / UTM

• Aktualizacje systemów i hardening konfiguracji

• Zabezpieczenia fizyczne

• Redundancja, backup

• Szkolenia użytkowników

• Dobre praktyki IT

34

http://www.prs.pl/



Q&A

35

http://www.prs.pl/


www.prs.pl

DZIĘKUJĘ ZA UWAGĘ!

m: 605 174 238e: [email protected]

Rafał Grześkowiak

Krajowy System yberbezpieczeństwa Krajowy System yberbezpieczeństwa #2 aspekty praktyczne i rozwiązania IT 21 stycznia 2020, Gdańsk Lider Zespołu Projektów IT SNP Poland sp.

Documents