Domanda:
Perché la sicurezza dovrebbe coprire cose come i disastri naturali?
Celeritas
2016-01-10 07:02:02 UTC
view on stackexchange narkive permalink

Sto frequentando un corso progettato pensando alla certificazione CISSP. Sebbene la classe sia classificata come ingegneria del software, abbiamo parlato molto di sicurezza fisica e, in particolare, inondazioni, incendi, terremoti e auto che si imbattono in cose. Com'è questa sicurezza? Ad esempio, ci è stato detto che i data center sono più sicuri nel mezzo di un edificio perché se il tetto perdeva, la parte superiore non sarebbe stata sicura e l'acqua tendeva a scendere, quindi i piani inferiori sarebbero i primi ad allagarsi.

Questo è davvero un problema di sicurezza? Ad esempio, se il tetto perde, la colpa sarebbe dell'ingegnere, non dell'analista della sicurezza. Non assumeresti un analista della sicurezza per assicurarti che il tetto sia solido.

AGGIORNAMENTO: Inoltre, cose come avere dissuasori intorno a un edificio per proteggere i pedoni dalle auto, com'è questa sicurezza? Nessuno lo ha ancora spiegato davvero. Mi è stato detto che le risorse più preziose delle aziende sono i loro dipendenti, ma con questo ragionamento, cosa non è la sicurezza?

Se la disponibilità è così globale, cosa non fa parte della sicurezza?

Opinione personale, penso che sia un modo per farti pensare fuori dagli schemi, per così dire. Che è quello che dovresti fare in scenari di vita reale. La sicurezza delle informazioni non è limitata alla protezione digitale ma anche alla protezione fisica dei dati.
Applichi rapidamente la domanda di sicurezza fisica a un "analista". Il CISSP è per persone di sicurezza di livello superiore rispetto a quelle a livello di analista. Vuoi sapere perché il CISSP include i disastri naturali o perché un analista dovrebbe preoccuparsi?
Se il corso è progettato per il CISSP, non è un corso di ingegneria del software. La sicurezza delle informazioni include documenti cartacei, sicurezza personale, disponibilità di servizi, ecc
Ti interessa davvero cosa sta attaccando i tuoi dati? Fa differenza per te (e soprattutto per il modo in cui lo proteggi) se qualcuno sta intenzionalmente distruggendo il tuo data center o se si verifica un fenomeno meteorologico naturale?
"se il tetto perde, l'ingegnere sarebbe colpevole" ma se questo si traduce in un problema di sicurezza, la colpa è dell'analista della sicurezza. L'obiettivo non è trovare qualcuno da incolpare, ma mantenere le risorse disponibili e sicure. Il tuo obiettivo dovrebbe essere quello di considerare * ogni * possibilità. Se il tetto perde dovreste aver scritto da qualche parte che questo è un rischio che l'azienda è disposta ad accettare o che ha delle mitigazioni. Ma in ogni caso, è tuo compito averlo considerato!
@Josef 1) Non lo chiamerei biasimo, lo definirei ragionevole 2) Non era una misura di sicurezza in primo luogo avere un tetto che non perdeva quindi non sarebbe colpa dell'analista della sicurezza 3) in questo senso cosa non sarebbe la sicurezza?
Immagino che il mio punto sia, in uno scenario pratico, cosa farebbe più probabilmente un'azienda: assicurarsi di avere un tetto di buona qualità o pagare per computer impermeabili? Dal punto di vista della sicurezza, sembra che si parli di quest'ultimo, che non è conveniente.
Ovviamente si assicureranno di avere un tetto di buona qualità. Ma è ** tua responsabilità come analista della sicurezza ** assicurarti che il tetto sia buono. Con CISSP hai mangiato ** non ** un _computer guy_. Sei responsabile della ** sicurezza ** e il tetto, le porte, i muri ... ne fanno parte!
@Josef non richiederebbe una formazione in carpenteria o ingegneria strutturale e sarebbe meglio lasciare a quei tipi di professionisti? Inoltre, non esitare a smettere di usare punti esclamativi e lettere in grassetto.
@Celeritas No. Non è così che funziona la gestione! Devi decidere come deve essere il tetto, ricevere feedback dagli specialisti se necessario e poi incaricare uno specialista di farlo in questo modo! Se hai bisogno di una nuova connessione Internet, non ottieni nemmeno la pala, vero? Decidi tu come deve essere (larghezza di banda, tecnologia, due cavi in ​​direzioni diverse per la ridondanza ...) e poi paga qualcuno per scavare e inserire il cavo! Ma non chiami nemmeno un ragazzo a caso e gli dici "portami Internet con la tua scavatrice".
@Celeritas per chiarire: con "assicurati che il tetto sia buono" non intendo dire che dovresti salire sul tetto e martellarlo o versare acqua e vedere se perde. Di solito assumeresti un professionista che ti garantisca (in un contratto scritto) che il tetto aderisce a determinati standard e può sostenere determinate quantità di pioggia e cosa no. Ma è tuo compito sollevare la questione e la direzione deciderà con il tuo contributo a quali standard deve aderire il tetto. Oppure ti dicono che non gli importa. Quindi ** lo scrivi **.
@Celeritas i dissuasori SONO per proteggere l'edificio, la sicurezza dei pedoni è un felice sottoprodotto. Esiste un tipo di crimine chiamato "raid ariete".
** La sicurezza non è solo "guardia" nel senso di "guardia di sicurezza" **
@Burgi è quello che pensavo, ma quando ho detto che in classe tutti hanno riso e hanno detto che è per la sicurezza dei pedoni.
Questo potrebbe aiutare la tua argomentazione: http://www.marshalls.co.uk/commercial/street-furniture/products/anti-ram-supermarket-bollard-webfa100039
Potresti provare a guardare le cose dal punto di vista di un datore di lavoro. Se ti rifiuti di fare cose che il datore di lavoro pensa siano una tua responsabilità, presto sarai un ex dipendente.
@gnasher729 hai frainteso: ho detto che un datore di lavoro è meno propenso a nominare un consulente per la sicurezza piuttosto che una sorta di operaio edile per cose come il tetto o la protezione antincendio.
@Celeritas Ovviamente è meglio assumere un operaio edile per la sicurezza degli edifici, uno strizzacervelli per il profilo psicologico dei dipendenti e un centinaio di professionisti in più. Ma chi assume queste persone? Il management superiore non vuole pensare a cento scenari e scoprire di cosa hanno bisogno le persone. Non hanno 100 problemi, hanno un unico requisito "99,9% di uptime" e assumeranno un solo ragazzo che lo garantirà. È compito di questo ragazzo trovare tutte le possibili cose che potrebbero andare storte e assumere specialisti. E quel ragazzo è il responsabile della sicurezza ;-)
Diciamo che un meteorite colpisce l'edificio e lo distrugge totalmente. Il tuo cliente si sarebbe aspettato che ti preparassi a tale eventualità (ad esempio con backup remoti). Se dici "Ah sì, i tuoi dati sono andati per sempre, ma tecnicamente non è un problema di sicurezza", quale pensi che sarà la loro reazione? Il mio sarebbe "Beh, non sembra che tu sia tenuto al sicuro se ora è andato per sempre".
Le categorie non esistono in natura, sono create dalle persone per le persone. La pianificazione dei disastri va di pari passo con la sicurezza perché le azioni necessarie per mitigarli vanno bene con le azioni richieste per fare la sicurezza (e in alcuni casi sono le stesse azioni).
Nove risposte:
#1
+60
Deer Hunter
2016-01-10 16:22:13 UTC
view on stackexchange narkive permalink

Tutte le altre risposte vanno bene. Ti offrirò una classica prospettiva di sicurezza.

  • L'inizio di un incendio / inondazione è uno scenario da manuale per la penetrazione / esfiltrazione fisica. Le persone sotto stress hanno meno probabilità di sfidare gli estranei.

  • Un fuoco può essere usato per distruggere prove forensi, in particolare quando c'è il coinvolgimento di persone interne.

  • Un terremoto o, in effetti, qualsiasi disastro naturale (come gli incendi boschivi) è una potenziale complicazione per la sicurezza perché la legge e l'ordine si rompono e il saccheggio alza la sua brutta testa.

  • La sicurezza perimetrale contro gli SVBIED è una considerazione necessaria in alcuni paesi e ambienti di minaccia. Se un attentatore suicida può guidare vicino alle mura del tuo data center, è il tuo fallimento come consulente per la sicurezza. Da qui dissuasori, aiuole e barriere di cemento.

  • La sicurezza è una disciplina olistica. Ogni specialista si prende cura di pezzi e pezzi dell'impresa e per necessità della vita perde di vista il tutto. Ci dovrebbe essere almeno una persona là fuori che pensa in termini di comportamento dell'avversario e non della propria casella di posta. Che, per inciso, è la descrizione del lavoro di un consulente per la sicurezza.

Soprattutto estranei che indossano trench gialli che sono entrati con i vigili del fuoco legittimi.
Sono abbastanza sicuro che sia un caso d'uso così comune che è persino un tvtrope. Ma non voglio essere risucchiato in quel buco quindi non cercherò un collegamento;)
#2
+50
Nobeater
2016-01-10 07:19:56 UTC
view on stackexchange narkive permalink

Si tratta della classica triade di sicurezza; Integrità, riservatezza e disponibilità. L'ultimo dei quali potrebbe sicuramente soffrire di qualsiasi tipo di disastro naturale, motivo per cui devi includerlo nel tuo piano di continuità.

Non è una visione eccessivamente pedante della disponibilità? Se c'è qualcuno che usa un computer su cui devi essere, non diresti che è un problema di sicurezza.
@Celeritas: Condividere un computer con qualcuno ha un livello di sicurezza piuttosto basso; la disponibilità non è così critica in quella situazione. Ma se sei un'azienda in cui la tua integrità e disponibilità sono davvero importanti, i disastri naturali potrebbero rovinarti. Immagina se la tua banca è allagata e hanno perso tutti i tuoi soldi (o hai perso l'accesso ai tuoi soldi per un periodo di tempo molto lungo). Oppure immagina di essere un provider di posta elettronica e un'auto si schianta contro il tuo edificio: i tuoi utenti si troveranno nei guai se ciò ti causerà la perdita dei loro dati (o impedirà l'accesso per un periodo prolungato).
@Celeritas Direi che nasce da obiettivi aziendali. Esiste un'enorme sovrapposizione tra la garanzia di riservatezza, integrità e disponibilità e le attività di "pura sicurezza", ma, come dici tu, ci sono anche differenze. Tuttavia, alla fine è la CIA * totale * che conta, non è mai sufficiente gestire solo la sicurezza del software, quindi le aziende devono pianificarle e realizzarle tutte comunque, ea causa della grande sovrapposizione è spesso efficiente averla gestita dagli stessi processi e persone invece di avere la sicurezza del software separata dalla sicurezza fisica e dalla risposta ai disastri.
Anche l'integrità non sarebbe potenzialmente colpita da un disastro naturale?
@ToddWilcox Penso che le violazioni dell'integrità siano casi in cui è ancora possibile accedere ai dati, ma sono stati modificati (o avrebbero potuto essere modificati) _senza che tu te ne accorgessi_. Dubito che un disastro naturale avrebbe quel tipo di effetto. Immagino che potresti contare qualcosa come un raggio cosmico vagante che colpisce un po 'di RAM e altera il risultato di un calcolo critico, ma è un po' esagerato considerarlo un disastro! (Anche se vale ancora la pena proteggersi, in una certa misura.)
È molto probabile che i rischi di integrità e riservatezza di @ToddWilcox siano influenzati dalla * tua risposta * a un disastro naturale. Ad esempio, se un ufficio o un data center è fisicamente non disponibile a causa di un disastro naturale, la maggior parte delle aziende continuerà a lavorare con dati riservati e prenderà decisioni finanziarie sensibili a prescindere da ciò, anche se l'ambiente di sicurezza ordinario non è disponibile o alcune verifiche solitamente obbligatorie vengono semplicemente ignorati perché i dati oi sistemi necessari non sono disponibili. È necessario proteggere anche i processi / le procedure di "failover", non solo come al solito.
Questo. L'oggetto non è la sicurezza dei tuoi computer, è la sicurezza dei tuoi dati. Se non riesci ad accedere ai dati (temporaneamente o peggio in modo permanente) questo è un problema.
Quindi tutto ciò che ostacola la disponibilità è un problema di sicurezza? Qualcosa sembra essere più un problema di usabilità, come se l'utente non sapesse come accendere il computer o inserire il supporto.
@Celeritas: L'attacco denial of service è un esempio comune di un problema di disponibilità nella sicurezza.
@Celeritas: Non è "* nulla * che ostacola la disponibilità è un problema di sicurezza". Il fatto che Amazon sia qualche secondo più lento a Natale è un degrado accettabile del servizio e quindi non un problema di sicurezza; impiegare 600 secondi per pubblicare una pagina è senza dubbio un Denial of Service per Amazon. Da qualche parte nello spettro tra 1 e 600 arriva un punto in cui smetti di pensare che sia leggermente fastidioso per i tuoi clienti e inizi a pensare a come perdere i tuoi clienti.
Devi sempre vedere le cose dal punto di vista dell'azienda. Se un utente può accendere un computer o meno non è importante. L'importante è che il dipendente possa adempiere ai compiti di cui l'azienda ha bisogno da lei! Se il compito della persona è sorvegliare il cancello e controllare le persone in arrivo, è certamente un enorme problema di sicurezza se non può accendere il computer per ottenere l'elenco dei dipendenti autorizzati e non sa come scansionare un badge. Se il lavoro è scrivere informazioni riservate e finisce su carta invece che sul computer protetto, è un problema di sicurezza ...
I disastri naturali possono colpire anche me, non solo A. Hai abbastanza tempo UPS per assicurarti che tutte le transazioni siano scritte su disco e le cose siano state girate correttamente, o dovrai occuparti del ripristino di un database danneggiato? E se quello era il tuo DBA che è stato investito dall'auto, hai qualcun altro in loco che può eseguire un ripristino, o dovrai coinvolgere qualcuno da un altro sito o qualcuno che non è stato controllato dalla tua azienda ?
#3
+50
limbenjamin
2016-01-10 17:20:50 UTC
view on stackexchange narkive permalink

CISSP è una certificazione di sicurezza delle informazioni non una certificazione di sicurezza informatica .

La sicurezza delle informazioni riguarda la protezione del riservatezza, integrità, disponibilità delle informazioni in generale . Le informazioni non vengono archiviate solo sui computer. Vengono stampati e conservati in schedari, vengono memorizzati e conservati nel cervello dei tuoi dipendenti. Pertanto, oltre a garantire che le reti di computer siano sicure, è necessario garantire la sicurezza fisica dei propri locali. Se quei documenti riservati vengono rubati o distrutti in un disastro, è anche una perdita di disponibilità. Se i tuoi dipendenti vendono le informazioni a un concorrente, viene considerata una perdita di riservatezza. Ecco perché le politiche e le misure di sicurezza fisica sono importanti.

questo ha più senso per me :)
Esattamente! Il compito del CISSP è garantire la sicurezza delle informazioni. E se perde non puoi ballare e giocare al gioco della colpa. È tua responsabilità garantire la sicurezza e se fallisce è colpa tua. Ecco perché ottieni un bel compenso.
#4
+17
David Z
2016-01-10 11:56:00 UTC
view on stackexchange narkive permalink

Anche se si assume una visione ristretta della sicurezza informatica come limitata alla gestione di attacchi dannosi intenzionali, qualsiasi modo in cui il sistema è vulnerabile a un disastro naturale rappresenta anche un modo in cui un attaccante ben attrezzato (o intelligente) potrebbe interrompere il tuo servizio. Ad esempio, se un data center è vulnerabile alle inondazioni, qualcuno che vuole portarlo offline potrebbe tagliare un tubo di irrigazione nell'edificio. Quindi ha senso proteggersi da scenari di calamità naturali come parte di un piano di sicurezza generale.

#5
+14
Whome
2016-01-10 07:22:53 UTC
view on stackexchange narkive permalink

Le catastrofi sono un problema di sicurezza tanto quanto mitigare gli attacchi denial of service. Nei documenti ISC2 (CISSP), la sicurezza è spesso rappresentata dalla triade della CIA: riservatezza, integrità e disponibilità. Le strategie di ripristino di emergenza e la mitigazione DDOS riguardano sia la creazione che il mantenimento della disponibilità.

#6
+7
schroeder
2016-01-12 01:58:10 UTC
view on stackexchange narkive permalink

Aggiungerò la mia 2c e menzionerò qualcosa che altri non hanno specificamente menzionato: Piani di continuità operativa

BCP è una funzione importante del lavoro di un analista della sicurezza e, come ad esempio, il CISSP fornisce un'ampia panoramica dei problemi che possono avere un impatto su disastri e interruzioni. Conoscere questi dettagli di alto livello aiuta il CISSP a costruire una base per la conoscenza e le mentalità necessarie per fare BCP.

Si noti che ciò che viene trattato nel materiale CISSP è un'ampia panoramica di alto livello degli argomenti. C'è molto, molto di più che un professionista della sicurezza deve sapere e considerare per creare e gestire correttamente un programma BCP.

#7
+4
paj28
2016-01-12 02:37:35 UTC
view on stackexchange narkive permalink

Se guardiamo in un dizionario uno dei significati secondari di "sicurezza" è:

il fatto che è improbabile che qualcosa fallisca o essere persi

Anche se spesso pensiamo alla sicurezza delle informazioni come guardie, pistole e hacker con gli occhiali scuri, ciò di cui si tratta è la protezione delle informazioni dalle minacce. Queste minacce potrebbero essere:

  • Attaccanti esterni: hacker
  • Insider dannosi
  • Disastri naturali
  • Problemi tecnici: perdite, alimentazione interruzioni
  • Errori onesti, come perdere un CD pieno di dati
  • Molto di più!

Il motivo per cui il CISSP copre tutto questo è che un'organizzazione ha bisogno di qualcuno che si occupi di questi problemi. Risulta che il tipo di cose che fai per difenderti dalle minacce è abbastanza simile, quindi ha senso che un dipartimento si occupi di loro.

#8
+3
Greenstone Walker
2016-01-13 17:43:23 UTC
view on stackexchange narkive permalink

Ho intenzione di ribaltare le cose:

La pianificazione dei disastri non fa parte della sicurezza, perché la sicurezza fa parte della pianificazione delle catastrofi.

Pianificazione dei disastri, che si compone di Disaster Prevention e Disaster Recovery, copre una vasta gamma di argomenti (es. Ridondanza, backup) inclusa la sicurezza.

#9
+2
EBM
2016-06-24 07:54:10 UTC
view on stackexchange narkive permalink

La sicurezza delle informazioni riguarda la protezione dell'integrità, della riservatezza e della disponibilità delle informazioni. Senza poter tutelare le informazioni e renderle disponibili a chi ne avesse bisogno anche durante un disastro naturale potrebbe significare la fine di un'impresa.

Ho contribuito a sviluppare piani di continuità operativa in cui uno dei requisiti critici era che determinate informazioni dovevano essere (per legge) disponibili 24 ore al giorno, 7 giorni alla settimana, 365 giorni all'anno. Non erano consentiti tempi di inattività, nemmeno durante un disastro naturale come un terribile terremoto.

Non esisteva una soluzione semplice: doveva essere condotta un'analisi dell'impatto aziendale. Le informazioni non vengono archiviate solo sui computer. È spesso sparso e non si trova solo in una posizione centralizzata. Identificare le informazioni critiche necessarie per mantenere il funzionamento aziendale è molto complicato. Una volta completata e rivista l'identificazione dei sistemi e dei componenti critici. È necessaria un'ulteriore valutazione del rischio.

Durante grandi disastri naturali, come terremoti o grandi tornado, c'è un'alta probabilità che i locali fisici rimangano fuori servizio per un po 'di tempo. Ci sono stati anche esempi in cui non era rimasto alcun edificio o il team aveva un accesso limitato (da 15 a 20 minuti) per raccogliere ciò che era necessario prima che nessuno potesse più rientrare nell'edificio. Inoltre, potresti pianificare alcuni ritardi, perché doveva essere determinato che gli edifici fossero abbastanza solidi da consentire a chiunque di accedervi.

Se si tratta di un grave disastro, dove vai o come viene realizzata la continuità delle operazioni. Anche i dipendenti locali saranno sicuramente colpiti dal disastro. Potrebbero passare settimane prima che siano in grado di tornare al lavoro. Nel caso di un BCP su cui ho lavorato, anche i dipendenti hanno dovuto affrontare la distruzione totale delle loro case o hanno avuto solo pochi minuti per entrare nelle loro case e raccogliere le loro cose. Molti mi hanno detto di aver afferrato vestiti, spazzolini da denti e documenti di identificazione e di aver dovuto lasciare altri oggetti personali.

Quindi parte della strategia tecnica può essere lo sviluppo di una moltitudine di opzioni a seconda della valutazione del rischio. Possono esserci piani per siti freddi, siti caldi e siti caldi a seconda del budget. Strategie per proteggere server e hardware critici identificati con RAID, clustering e bilanciamento del carico, concentrandosi sulla tolleranza ai guasti. Ovviamente, vi è protezione dei dati tramite backup e piani per il ripristino dei dati critici e per averli a disposizione per essere utilizzati da siti freddi, siti caldi e siti caldi, garantendo che i documenti riservati siano protetti e disponibili a coloro che richiedono le informazioni su sempre.

Una volta in atto, tutte queste strategie, piani e politiche devono essere rivisti, mantenuti e verificati. Richiede il coinvolgimento e la consapevolezza di molto personale. L'unica cosa costante è il cambiamento. Nuove soluzioni hardware e software sono in fase di implementazione. I requisiti e le leggi aziendali sono in fase di modifica. Posso certamente capire perché è menzionato. La sicurezza delle informazioni riguarda la protezione dell'integrità, della riservatezza e della disponibilità delle informazioni.



Questa domanda e risposta è stata tradotta automaticamente dalla lingua inglese. Il contenuto originale è disponibile su stackexchange, che ringraziamo per la licenza cc by-sa 3.0 con cui è distribuito.
Loading...