Zgodnie z Rekomendacj\u0105 D banki powinny sprawnie zarz\u0105dza\u0107 ryzykiem oraz je zmniejsza\u0107. Ale w przypadku bank\u00f3w najcz\u0119\u015bciej zmniejszanie ryzyka to tylko prewencja i tzw. gaszenie po\u017car\u00f3w, je\u015bli takie wybuchn\u0105. Natomiast skuteczna obronna wymaga r\u00f3wnie\u017c wykrywania oraz reagowania. Te trzy czynniki, czyli zapobieganie, wykrywanie oraz reagowanie s\u0105 podstawowymi elementami procesu, kt\u00f3ry definiuje podej\u015bcie do bezpiecze\u0144stwa IT i pozwala skutecznie zmniejszy\u0107 ryzyko operacyjne zwi\u0105zane z bezpiecze\u0144stwem. I to w\u0142a\u015bnie zmniejszanie ryzyka w organizacjach jest tematem tego artyku\u0142u.<\/p>\n
<\/p>\n
Ryzyko i \u015brodki zaradcze<\/strong><\/p>\n Za\u0142\u00f3\u017cmy, \u017ce ju\u017c uda\u0142o si\u0119 zweryfikowa\u0107 ryzyko. Wtedy ka\u017cda organizacja powinna podj\u0105\u0107 \u015brodki zaradcze, jakie zostan\u0105 wykonane. Zasadniczo z ka\u017cdym ryzykiem mo\u017cemy zrobi\u0107 cztery rzeczy:<\/p>\n Ten artyku\u0142 odnosi si\u0119 bezpo\u015brednio do redukcji ryzyka, a wi\u0119c zak\u0142ada, \u017ce \u015brodki zaradcze b\u0119d\u0105 realizowane. Jak wspomniano na pocz\u0105tku artyku\u0142u, redukowanie ryzyka jest bardzo cz\u0119sto zwi\u0105zane tylko i wy\u0142\u0105cznie z podejmowaniem dzia\u0142a\u0144 prewencyjnych. Oczywi\u015bcie podejmowanie dzia\u0142a\u0144 prewencyjnych dzia\u0142a\u0142oby idealnie, gdyby idealne by\u0142y wszystkie \u015brodki zaradcze, ale rzeczywisto\u015b\u0107 jest ca\u0142kowicie inna. Zwykle musimy zak\u0142ada\u0107 najgorszy scenariusz, do kt\u00f3rego banki podchodz\u0105 bardzo infantylnie i zwykle je\u015bli ju\u017c kto\u015b dostanie si\u0119 do sieci wewn\u0119trznej, mo\u017ce zrobi\u0107 naprawd\u0119 bardzo du\u017co. Musimy za\u0142o\u017cy\u0107, \u017ce napastnik b\u0119dzie potrafi\u0142 omin\u0105\u0107 \u015brodki zaradcze i musimy odnale\u017a\u0107 spos\u00f3b, aby wykry\u0107 napastnika o ile tak si\u0119 stanie. Tutaj dochodzi do pe\u0142nego przemy\u015blenia strategii obronnych.<\/p>\n <\/p>\n Obrona system\u00f3w to tak naprawd\u0119 spos\u00f3b my\u015blenia<\/strong><\/p>\n Aby skutecznie zapobiega\u0107 w\u0142amaniom i minimalizowa\u0107 ryzyko, musimy koniecznie zmieni\u0107 nasz spos\u00f3b my\u015blenia. Musicie zapami\u0119ta\u0107 jedn\u0105 zasadnicz\u0105 rzecz, \u017ce z\u0142o\u017cono\u015b\u0107 jest najwi\u0119kszym wrogiem bezpiecze\u0144stwa. Zobaczcie sami, \u017ce dzisiejsze systemy bezpiecze\u0144stwa s\u0105 bardzo z\u0142o\u017cone, a i tak uzasadnionym jest za\u0142o\u017cenie, \u017ce komu\u015b uda si\u0119 je obej\u015b\u0107. A wi\u0119c ludzie, kt\u00f3rzy zawodowo zajmuj\u0105 si\u0119 bezpiecze\u0144stwem, musz\u0105 wdro\u017cy\u0107 pewne \u015brodki zaradcze na wypadek, gdyby atakuj\u0105cym uda\u0142o si\u0119 omin\u0105\u0107 \u015brodki zapobiegawcze. Tylko ten spos\u00f3b obrony tak naprawd\u0119 dzia\u0142a.<\/p>\n Zobaczcie sami, jak to wygl\u0105da z zewn\u0105trz. Ot\u00f3\u017c kiedy jest realizowane tylko i wy\u0142\u0105cznie zapobieganie, atakuj\u0105cy ma tylko i wy\u0142\u0105cznie jedn\u0105 przeszkod\u0119 do pokonania. Natomiast w momencie, kiedy jest realizowane zar\u00f3wno wykrywanie jak i zapobieganie, atakuj\u0105cy musi tak naprawd\u0119 omin\u0105\u0107 a\u017c dwie przeszkody i jest to dla niego zdecydowanie trudniejsze. Z punktu widzenia os\u00f3b pracuj\u0105cych w bezpiecze\u0144stwie nagle diametralnie wzrasta prawdopodobie\u0144stwo z\u0142apania atakuj\u0105cego. To jest oczywi\u015bcie jeden ze sposob\u00f3w, dzi\u0119ki kt\u00f3remu mo\u017cna zmniejszy\u0107 ryzyko operacyjne.<\/p>\n <\/p>\n Nie zapominaj o wykrywaniu<\/strong><\/p>\n Mo\u017cna powiedzie\u0107, \u017ce tak naprawd\u0119 wykrywanie jest zwykle pomijane przez banki. To stwierdzenie jest absolutnie prawdziwe. Wi\u0119kszo\u015b\u0107 bank\u00f3w dopiero teraz wdra\u017ca systemy wykrywania intruz\u00f3w, a systemy do wykrywania w\u0142ama\u0144 dopiero si\u0119 ucz\u0105. Jednak to wcale nie oznacza, \u017ce wykrywanie jest do ko\u0144ca bezu\u017cyteczne. Wykrywanie intruz\u00f3w ca\u0142y czas mo\u017ce by\u0107 niezwykle przydatne i zdecydowanie powinno by\u0107 u\u017cywane, aby ustali\u0107, czy dzieje si\u0119 rzeczywi\u015bcie co\u015b z\u0142ego. Stwierdzenie \u201espr\u00f3bowa\u0107 wykry\u0107\u201d jest tutaj ca\u0142kowicie prawdziwe. Pomy\u015blcie o instalacji dobrego systemu IDS \/ IPS. System ten wykrywa wi\u0119kszo\u015b\u0107 znanych atak\u00f3w, ale \u017caden system IDS \/ IPS nie potrafi u\u017cywa\u0107 tzw, heurystyki koncepcji. Dlatego te\u017c nie ma \u017cadnej gwarancji, \u017ce uda si\u0119 wykry\u0107 wszystkie ataki. A wi\u0119c mimo \u017ce system detekcji intruz\u00f3w nie jest doskona\u0142y, to ju\u017c sama realizacja detekcji intruz\u00f3w jest realizowana, co pozwala drastycznie zmniejszy\u0107 ryzyko. Tak wi\u0119c wdro\u017cenie system\u00f3w detekcji intruz\u00f3w ma bardzo du\u017cy sens.<\/p>\n <\/p>\n Analogie bezpiecze\u0144stwa komputerowego, jakie mo\u017cna spotka\u0107 w realnym \u015bwiecie<\/strong><\/p>\n Przeanalizujmy kilka przyk\u0142ad\u00f3w, kt\u00f3re wyst\u0119puj\u0105 na co dzie\u0144 w realnym \u017cyciu, aby zrozumie\u0107, dlaczego zapobieganie i wykrywanie to lepsze podej\u015bcie, ni\u017c tylko wykrywanie. Pomy\u015blcie o tym, w jaki spos\u00f3b dzia\u0142a alarm w Waszym domu lub firmie. Ka\u017cdy z nas mo\u017ce uzna\u0107, \u017ce zamki w drzwiach s\u0105 wystarczaj\u0105cym zabezpieczeniem i \u017ce sama profilaktyka wystarczy i \u017ce nie trzeba wydawa\u0107 pieni\u0119dzy na nic innego. Rzeczywisto\u015b\u0107 jest jednak ca\u0142kowicie inna i wi\u0119kszo\u015b\u0107 firm oraz wi\u0119kszo\u015b\u0107 z nas posiada w domu zainstalowane alarmy. Teraz zastan\u00f3wcie si\u0119, dlaczego jednak wydajemy pieni\u0105dze na alarmy. Ot\u00f3\u017c ka\u017cdy z nas wie, \u017ce intruz mo\u017ce w\u0142ama\u0107 si\u0119 do budynku, a wi\u0119c instaluje alarmy, kt\u00f3re maj\u0105 za zadanie wykrywanie obecno\u015bci intruza. Tak wi\u0119c zak\u0142ada si\u0119, \u017ce \u015brodki profilaktyczne mo\u017cna omin\u0105\u0107. A wi\u0119c jak wida\u0107, tak naprawd\u0119 oba \u015brodki prewencji stosuje si\u0119 tak\u017ce w \u015bwiecie rzeczywistym.\u00a0 Albo prostszy przyk\u0142ad. Dlaczego stosujemy alarmy w samochodach? Poniewa\u017c chcemy wiedzie\u0107, kiedy kto\u015b w\u0142amie si\u0119 do naszego samochodu.<\/p>\n <\/p>\n Nie zapominajcie o reagowaniu<\/strong><\/p>\n Najwa\u017cniejszym elementem dla Was jest tak naprawd\u0119 u\u015bwiadomienie sobie, \u017ce sam system wykrywania jest bezu\u017cyteczny, je\u015bli nikt nie zareaguje na incydent. Pomy\u015blcie o alarmie w domu, o jakim wspomnieli\u015bmy w poprzedniej cz\u0119\u015bci. Samo to, \u017ce alarm jest zainstalowany nie pomo\u017ce, je\u015bli nie zareagujemy na jego odg\u0142os. Oczywi\u015bcie mo\u017cemy tak\u017ce zareagowa\u0107 i zatrzyma\u0107 z\u0142odzieja. I musimy zwykle zrobi\u0107 to szybko, a wi\u0119c nasza reakcja musimy by\u0107 szybka.<\/p>\n <\/p>\n Tak naprawd\u0119, ca\u0142o\u015b\u0107 wytycznych to jest proces\u00f3w<\/strong><\/p>\n W tym artykule tak naprawd\u0119 zosta\u0142 przedstawiony zarys ca\u0142ego procesu i nale\u017cy zapami\u0119ta\u0107, \u017ce profilaktyka musi ca\u0142y czas by\u0107 stosowana z wykrywaniem i reagowaniem. Musimy pami\u0119ta\u0107, \u017ce zapobieganie, wykrywanie oraz reagowanie powinny by\u0107 stosowane razem i \u017ce musz\u0105 by\u0107 stosowane w spos\u00f3b ci\u0105g\u0142y. Proces nie mo\u017ce zosta\u0107 wy\u0142\u0105czony, kiedy pracownicy id\u0105 do domu. Bezpiecze\u0144stwo jest procesem, jaki musi zachowa\u0107 ci\u0105g\u0142o\u015b\u0107 i nie ma \u017cadnej innej alternatywy, je\u015bli chcemy posiada\u0107 skuteczn\u0105 ochron\u0119. Musimy by\u0107 zawsze w stanie zareagowa\u0107 na incydenty bezpiecze\u0144stwa, nawet je\u015bli telefon budzi nas w \u015brodku nocy. Uwierzcie mi, \u017ce w przypadku bank\u00f3w i innych organizacji podwy\u017cszonego ryzyka, incydent bezpiecze\u0144stwa nie mo\u017ce zdarzy\u0107 si\u0119 w nocy i czeka\u0107 na \u00f3sm\u0105 lub dziewi\u0105t\u0105 rano, kiedy \u0142askawie sobie przyjdziemy do pracy. Je\u015bli nie b\u0119dziemy reagowa\u0107 natychmiast, to mo\u017ce si\u0119 okaza\u0107, \u017ce atakuj\u0105cy b\u0119dzie mia\u0142 na tyle czasu, aby wykra\u015b\u0107 informacje, jakie nie powinny nigdy ujrze\u0107 \u015bwiat\u0142a dziennego. Wykrywanie, zapobieganie i reagowanie tworzy kompletny proces, kt\u00f3ry pozwala na realizacj\u0119 skutecznej ochrony w ka\u017cdej firmie.<\/p>\n <\/p>\n Podsumowanie artyku\u0142u<\/strong><\/p>\n W tym artykule zosta\u0142o opisane ryzyko oraz to, \u017ce redukowanie ryzyka zwi\u0105zanego z bezpiecze\u0144stwem nie powinno by\u0107 zwi\u0105zane tylko i wy\u0142\u0105cznie z prewencj\u0105. Nowoczesne systemy prewencji s\u0105 ogromnie z\u0142o\u017cone, a ta z\u0142o\u017cono\u015b\u0107 to najwi\u0119kszy wr\u00f3g bezpiecze\u0144stwa. Dlatego mo\u017cna spokojnie za\u0142o\u017cy\u0107, \u017ce systemy prewencji mo\u017cna omin\u0105\u0107. Dlatego powinno by\u0107 tak\u017ce realizowane wykrywanie atakuj\u0105cych, kt\u00f3rzy mog\u0105 omin\u0105\u0107 systemy prewencji. Oczywi\u015bcie musimy pami\u0119ta\u0107 o tym, \u017ce zapobieganie i wykrywanie nigdy nie b\u0119d\u0105 idealne, ale mo\u017cemy skutecznie zmniejsza\u0107 ryzyko, stosuj\u0105c oba systemy r\u00f3wnocze\u015bnie, poniewa\u017c wtedy stawiamy przed atakuj\u0105cym a\u017c dwie przeszkody, a nie tylko pojedyncze elementy. Nale\u017cy pami\u0119ta\u0107, \u017ce ca\u0142o\u015b\u0107 profilaktyki jest bezu\u017cyteczna, je\u015bli nie b\u0119dziemy w stanie odpowiednio zareagowa\u0107 na incydent bezpiecze\u0144stwa. Dopiero wszystkie trzy elementy: prewencja, wykrywanie i reagowanie, pozwalaj\u0105 na opracowanie skutecznego podej\u015bcia do procesu bezpiecze\u0144stwa, jaki jest realizowany w organizacji.<\/p>\n <\/p>\n\n