Моя презентация с IT & Security Forum Kazan

1. МОБИЛЬНЫЙ
ДОСТУП:
КАК ЭТО
БЫЛО
РЕАЛИЗАЦИЯ БЕЗОПАСНОГО МОБИЛЬНОГО ДОСТУПА
К КОРПОРАТИВНЫМ РЕСУРСАМ ХОЛДИНГА
Алексей Волков,
ОАО «Северсталь»

2. ХОЛДИНГ: СТРУКТУРА
Сталь
Лом
Метизы
Сбыт
Уголь
Золото
Трубы
Сервис

3. ХОЛДИНГ: ГЕОГРАФИЯ

4. БИЗНЕС-ТРЕБОВАНИЯ VS
ТРЕБОВАНИЯ БЕЗОПАСНОСТИ
Возможность Соблюдение
доступа установленных
сотрудников к правил и политик
корпоративным безопасности
ресурсам вне зависимости
в любом месте, от места,
в любое время времени
и с любого и способа
устройства подключения

5. КАК ДОСТИГАЕТСЯ БАЛАНС
Подключение отдельных
рабочих мест к ТФОП через
модем
Организация корпоративных
модемных пулов
Прямое подключение
корпоративных ресурсов к
сети «Интернет»
Защищенное подключение «внешних»
пользователей к корпоративной сети

6. ИТ-ИНСОРСИНГ И КСПД
Корпоративная сеть
передачи данных
Корпоративный
ИТ-оператор

7. PKI И VPN

8. МОБИЛЬНЫЙ ПОЛЬЗОВАТЕЛЬ
Безопасный доступ к рабочему месту
из любой точки земного шара
(Remote Desktop, VPN)
Корпоративная электронная почта
на мобильных устройствах
(MS Exchange, SSL)
Возможность доступа к
корпоративным ресурсам с
любого устройства
Для малого и среднего бизнеса
все это весьма недешево…

9. МОБИЛЬНЫЙ БИЗНЕС
• Оперативное развертывание и перемещение ИТ-
инфраструктуры филиала без существенных
капитальных затрат
• Ежемесячная абонентская плата без
необходимости приобретения дорогостоящего
оборудования и получения лицензий
• Полноценное техническое сопровождение на
базе SLA
• Распространение политик безопасности на все
подразделения и филиалы
• Централизованное управление и контроль
использования информационных ресурсов
VPN AS A SERVICE

10. РАЗНЫЕ КАТЕГОРИИ ИНФОРМАЦИИ
Сведения, распространение или предоставление которой
может оказать существенное влияние на цены финансовых
инструментов и привести к снижению рыночной
капитализации (инсайдерская информация)
КТ1 Сведения, распространение или предоставление
которых может привести к нанесению прямого ущерба
компании (хищение ресурсов, потери от простоя,
КТ2 недополученная прибыль и др.)
Сведения, разглашение которых может нанести
косвенный ущерб (упущенная выгода из-за
нарушения бизнес-процессов, имиджевые и
КТ3 репутационные риски и др.)
Разрозненная информация,
подлежащая защите в связи с
потенциальной опасностью
формирования сведений высших
КТ4 категорий при анализе некоторой ее
совокупности

11. РАЗНЫЕ ТРЕБОВАНИЯ ПО ЗАЩИТЕ
Точная и конкретная информация, в связи с чем идентифицировать ее и
определить область защищаемых ресурсов гораздо легче, чем в остальных
категориях. К этой категории относится в основном информация о
стратегических замыслах руководства, предстоящих инвестиционных проектах,
будущих управленческих решениях и финансовой отчетности, до ее
официального раскрытия. Меры защиты для КТ1 должны быть самые жесткие,
но четкие и конкретные, а потому эффективные.
КТ1 Информация для этой категории определяется путем анализа
ОСНОВНЫХ бизнес-процессов компании и информационных потоков,
их сопровождающих, на предмет возможных рисков, связанных с
утечкой информации. Защитные меры для КТ2 выбираются на
основании качественной или количественной оценки потенциального
КТ2 ущерба активам в случае реализации этих рисков: чем больше ущерб –
тем выше и дороже защита).
Информация для этой категории определяется путем анализа
ВСПОМОГАТЕЛЬНЫХ бизнес-процессов компании и
информационных потоков, их сопровождающих, и определения
КТ3 степени влияния утечки информации на основные бизнес-
процессы компании. Как правило, такую информацию тяжело
идентифицировать и защитить, поэтому бОльшая ее часть
защищается путем внедрения СУИБ и оргмерами.
Наименее контролируемая категория, а потому
труднее всех защищаемая. КТ4 может быть везде – в
КТ4 переписке, в приказах, служебных записках и т.д.
Опасна тем, что в руках аналитика, умеющего
сопоставлять и анализировать разрозненную
информацию, некоторая ее совокупность способна
после анализа дать сведения из «высших»
категорий. Из-за огромного объема защитить ее
практически невозможно (потому что очень дорого)
– только оргмеры и постоянное обучение
пользователей этой информации.

12. BYOD И КОММЕРЧЕСКАЯ ТАЙНА
Обязательное условие установления режима коммерческой тайны (ч. 5 ст. 10 98-
ФЗ): Нанесение на материальные носители (документы), содержащие информацию,
составляющую коммерческую тайну, грифа "Коммерческая тайна" с указанием
обладателя этой информации (для юридических лиц - полное наименование и место
нахождения, для индивидуальных предпринимателей - фамилия, имя, отчество
гражданина, являющегося индивидуальным предпринимателем, и место жительства)
Ст. 2 98-ФЗ. Положения настоящего Федерального закона распространяются на
информацию, составляющую коммерческую тайну, независимо от вида носителя, на
котором она зафиксирована.
ГОТОВЫ «ОКЛЕИТЬ» ЛИЧНЫЙ ГАДЖЕТ?

13. BYOD И ПЕРСОНАЛЬНЫЕ ДАННЫЕ
Статья 19 152-ФЗ. Меры по обеспечению безопасности персональных
данных при их обработке
1. Оператор при обработке персональных данных обязан принимать
необходимые правовые, организационные и технические меры или
обеспечивать их принятие для защиты персональных данных от
неправомерного или случайного доступа к ним, уничтожения, изменения,
блокирования, копирования, предоставления, распространения
персональных данных, а также от иных неправомерных действий в
отношении персональных данных.
2. Обеспечение безопасности персональных данных достигается, в
частности:
5) учетом машинных носителей персональных данных
А КАК БЫТЬ С СЕРТИФИЦИРОВАННЫМИ
АНТИВИРУСАМИ, МЕЖСЕТЕВЫМИ ЭКРАНАМИ
И ПОНЯТИЕМ «КОНТРОЛИРУЕМАЯ ЗОНА» ?

14. BYOD И ВОЗМЕЩЕНИЕ УЩЕРБА
Работник может использовать свое личное имущество при
выполнении трудовой функции с согласия или с ведома
работодателя и в его интересах (в том числе и на
договорной основе). В этих случаях работнику
выплачивается компенсация за использование, износ
(амортизацию) инструмента, личного транспорта,
оборудования и других технических средств и материалов,
принадлежащих работнику, а также возмещаются расходы,
связанные с их использованием (ст. 188 ТК РФ).
При утрате или повреждении этого имущества по вине
работодателя работнику должен быть возмещен
понесенный им материальный ущерб (ст. 235 ТК РФ).
А ЕСЛИ УЩЕРБ ИМУЩЕСТВУ
ПРИЧИНЕН ТРЕТЬИМИ ЛИЦАМИ?

15. РЕАЛИЗАЦИЯ ТРЕБОВАНИЙ
КТ1 КТ2 КТ3 КТ4
Запрет использования личных средств обработки
информации
Запрет использования неучтенных и
немаркированных носителей информации
Шифрование содержимого жестких дисков
Шифрование электронной почты
Использование смартфонов и планшетов для
обработки информации
Использование VPN для доступа к корпоративной
сети передачи данных
Использование защищенных терминальных
серверов для доступа к корпоративным ресурсам

16. SAP (SYBASE) AFARIA

17. МОБИЛЬНОСТЬ И ОТВЕТСТВЕННОСТЬ
=

18. СПАСИБО
ЗА ВНИМАНИЕ!
Блог: http://anvolkov.blogspot.com
E-Mail: anvolkov@lenta.ru
Алексей Волков,
ОАО «Северсталь»