Revista >> Bankwatch Martie 2010 [Nr. 11] >> Securitate

FISARB – Un nou front

Razvan Grigorescu

15 Aprilie 2010

Răzvan GRIGORESCU
CEC BANK SA - CISO/Chief Information Security Officer
Preşedinte al Comisiei ARB de Securitate IT&C
Din cauza numărului din ce în ce mai ridicat al incidentelor de securitate în domeniul bancar, CISO¹ este solicitat să evalueze riscul asociat în cadrul perimetrului de care este responsabil şi să activeze măsuri corespunzătoare pentru protecţia împotriva efectelor survenite în urma exploatării vulnerabilităţilor existente. Ca urmare, studii recente arată că profesioniştii în securitatea informaţiei şi management al riscului din domeniul instituţiilor financiare sunt în mod prioritar dedicaţi protejării datelor clienţilor, precum şi informaţiilor având caracter senzitiv din cadrul instituţiei unde îşi desfăşoară activitatea.

Iată câteva consideraţii de care CISO trebuie să ţină cont la momentul conceperii unui plan menit să prevină sau să reducă efectele unui incident de securitate:

Proiectarea responsabilă a unei apărări pe mai multe niveluri (în adâncime)

Un atacator are la dispoziţie numeroase modalităţi prin care să-şi pună în aplicare planurile malefice, aceasta constituind probabil prima provocare în protejarea împotriva materializării incidentelor de securitate. Dacă personalul desemnat cu protecţia informaţiei scapă din vedere chiar şi o singură cale de atac, doar acest aspect ar putea conduce la apariţia unui incident de securitate. Abordarea apărării în adâncime asigură diminuarea riscului prin intermediul celorlalte nivele care compensează atunci când o anumită soluţie nu asigură un nivel suficient de securitate.

Sunt numeroase situaţiile în care specialiştii în securitatea informaţiei, deşi sunt la curent cu această abordare, pun în aplicare conceptele enunţate numai prin intermediul tehnologiei. In mod specific, pentru faptul că există numeroase filtre şi protecţii instalate atât la nivelul porţilor de intrare a fluxurilor de date, a canalelor de comunicaţie, cât şi pe staţiile utilizatorilor cu scopul protecţiei împotriva atacurilor informatice de orice natură, omit adeseori din această ecuaţie factorul uman. Organizaţia trebuie să acorde o atenţie sporită educării personalului, în sensul contracarării atacurilor desfăşurate prin intermediul ingineriilor sociale, şi stabilirii unor procese care să administreze corespunzător incidentele.

Stabilirea şi testarea proceselor

Este surprinzător de ridicat numărul organizaţiilor care nu au un plan sau proces care să răspundă incidentelor în securitatea informaţiei. Dintre cele care deţin planuri de răspuns în caz de incident, multe sunt orientate însă pe repunerea sistemelor în funcţiune şi mai puţin pe diminuarea riscului bunurilor informaţionale. Suplimentar, în situaţia în care totuşi acest document există şi are şi valoare operaţională, adeseori nu este actualizat rămânând uitat pe un raft, suport pentru praf.

Rolul CISO este de a se asigura că planificarea împotriva apariţiei şi diminuării efectelor materializării incidentelor de securitate o constituie piatra de temelie în managementul incidentelor. De asemenea, este esenţial ca acest plan să fie actualizat şi testat cu regularitate. Echipa de răspuns în situaţii de urgenţă trebuie să exerseze scenariile respective în condiţii cât mai realiste, perturbatoare şi de stress. Acest tip de intervenţii simulate, consolidează echipa şi conferă eficacitate sporită în situaţii reale. Nu în ultimul rând, cu fiecare iteraţie sunt identificate eventuale deficienţe, modalităţi de optimizare, actualizări necesare şi verificarea alinierii cu strategia de afaceri a instituţiei.

Stabilirea unor relaţii externe

Compromiterea sistemelor informatice, necesită adeseori implicarea organismelor din afara organizaţiei: Poliţia, autorităţi de reglementare sau/şi criminalişti în cibernetică. Este important ca aceste relaţii să fie stabilite din timp. Dacă o instituţie trebuie să aloce timp identificării şi contactării agenţiei guvernamentale sau departamentele potrivite din cadrul Poliţiei locale, nu numai că iroseşte timp preţios, dar evaluarea şi alegerea partenerului, care ar răspunde cerinţelor de moment, se va face în grabă şi superficial.

Confirmarea incidentului de securitate de îndată ce informaţiile sunt validate

Nu puţine au fost situaţiile în care companiile au fost penalizate de autorităţile de reglementare locale pentru că nu au făcut publice incidentele de securitate în timp util. In alte situaţii, au existat purtători de cuvânt care s-au repezit să ofere informaţii neverificate, aceste companii fiind confruntate cu situaţii stânjenitoare când ulterior atât dimensiunea, cât şi natura incidentelor s-a dovedit a fi mult diferită faţă de rapoartele iniţiale. Istoria a demonstrat că atât clienţii, cât şi instituţiile de reglementare tind să fie mai înţelegătoare în situaţia în care acest tip de incidente sunt anunţate într-un interval rezonabil de timp. Totuşi, instituţiile trebuie să aibă stabilite procese şi fluxuri informaţionale clare care să permită verificarea tuturor aspectelor, înainte ca acestea să fie făcute publice.

Înţelegerea contextului juridic

Este considerată esenţială pentru organizaţie implicarea experţilor juridici din primul moment al declanşării situaţiei de criză în scopul înţelegerii cerinţelor şi limitărilor identificate, aspecte importante înaintea declanşării procedurilor de răspuns. Datorită eterogenităţii cadrului legislativ, în anumite ţări (jurisdicţii), există reglementări legate de asumarea, raportarea şi intervenţia în situaţia unui incident de securitate pe când în altele, obligativitatea recunoaşterii publice nu există, fiind stipulate numai cerinţe legate de colectarea evidenţelor şi acţiunilor ciber-criminalistice.

Mandatarea echipei de administrare a situaţiilor de criză în luarea deciziilor

Datorită aspectelor şi problematicii specifice acestor situaţii, echipa de răspuns în tratarea incidentelor este alcătuită, în general, din manageri ai diverselor departamente cu rol cheie în menţinerea funcţiilor critice de afaceri şi susţinerea obiectivelor organizaţiei. Deşi este important ca aceşti oameni să fie la curent cu evoluţia evenimentelor, nu ei sunt cei care se ocupă efectiv cu restabilirea proceselor de afaceri. Pentru aceste motive, echipa de răspuns este necesar să conţină în mod proporţional atât factori de decizie, cât şi personal tehnic.