Controllo della sicurezza delle informazioni

Vulnerabilità di retemodifica

• Intercettazione: I dati che vengono trasmessi attraverso la rete sono vulnerabili a essere intercettati da una terza parte non intenzionale che potrebbe mettere i dati a uso dannoso.
• Disponibilità: le reti sono diventate estese, attraversano centinaia o migliaia di miglia su cui molti si affidano per accedere alle informazioni aziendali e la perdita di connettività potrebbe causare l’interruzione dell’attività.
• Punto di accesso/ingresso: le reti sono vulnerabili agli accessi indesiderati. Un punto debole della rete può rendere tali informazioni disponibili agli intrusi. Può anche fornire un punto di ingresso per virus e cavalli di Troia.

ControlsEdit

• Controlli di intercettazione: l’intercettazione può essere parzialmente scoraggiata dai controlli di accesso fisici nei data center e negli uffici, compresi i punti in cui i collegamenti di comunicazione terminano e dove si trovano il cablaggio e le distribuzioni di rete. La crittografia aiuta anche a proteggere le reti wireless.
• Controlli di disponibilità: il miglior controllo per questo è avere un’eccellente architettura di rete e monitoraggio. La rete dovrebbe avere percorsi ridondanti tra ogni risorsa e un punto di accesso e il routing automatico per passare il traffico al percorso disponibile senza perdita di dati o tempo.
• Controlli di accesso / punto di ingresso: la maggior parte dei controlli di rete vengono posizionati nel punto in cui la rete si connette a una rete esterna. Questi controlli limitano il traffico che passa attraverso la rete. Questi possono includere firewall, sistemi di rilevamento delle intrusioni e software antivirus.

Il revisore dovrebbe porre alcune domande per comprendere meglio la rete e le sue vulnerabilità. Il revisore deve prima valutare l’estensione della rete è e come è strutturato. Un diagramma di rete può aiutare l’auditor in questo processo. La prossima domanda che un auditor dovrebbe porsi è quali informazioni critiche questa rete deve proteggere. Elementi quali sistemi aziendali, server di posta, server Web e applicazioni host accessibili dai clienti sono in genere aree di interesse. È anche importante sapere chi ha accesso e a quali parti. I clienti e i fornitori hanno accesso ai sistemi sulla rete? I dipendenti possono accedere alle informazioni da casa? Infine, il revisore dovrebbe valutare come la rete è connessa a reti esterne e come è protetta. La maggior parte delle reti sono almeno connessi a Internet, che potrebbe essere un punto di vulnerabilità. Queste sono domande critiche nella protezione delle reti.

Encryption and IT auditEdit

Nel valutare la necessità per un cliente di implementare politiche di crittografia per la propria organizzazione, l’Auditor deve condurre un’analisi del rischio e del valore dei dati del cliente. Le aziende con più utenti esterni, applicazioni di e-commerce e informazioni sensibili sui clienti / dipendenti dovrebbero mantenere rigide politiche di crittografia volte a crittografare i dati corretti nella fase appropriata del processo di raccolta dei dati.

I revisori devono valutare continuamente le politiche e le procedure di crittografia del cliente. Le aziende che dipendono fortemente dai sistemi di e-commerce e dalle reti wireless sono estremamente vulnerabili al furto e alla perdita di informazioni critiche nella trasmissione. Le politiche e le procedure dovrebbero essere documentate ed eseguite per garantire che tutti i dati trasmessi siano protetti.

Il revisore deve verificare che la gestione disponga di controlli sul processo di gestione della crittografia dei dati. L’accesso alle chiavi dovrebbe richiedere un doppio controllo, le chiavi dovrebbero essere composte da due componenti separati e dovrebbero essere mantenute su un computer non accessibile ai programmatori o agli utenti esterni. Inoltre, la direzione dovrebbe attestare che le politiche di crittografia garantiscono la protezione dei dati al livello desiderato e verificare che il costo della crittografia dei dati non superi il valore delle informazioni stesse. Tutti i dati che devono essere mantenuti per un lungo periodo di tempo devono essere crittografati e trasportati in una posizione remota. Le procedure dovrebbero essere in atto per garantire che tutte le informazioni sensibili crittografate arrivino nella sua posizione e siano memorizzate correttamente. Infine, il revisore dovrebbe ottenere la verifica dalla direzione che il sistema di crittografia è forte, non attaccabile e conforme a tutte le leggi e i regolamenti locali e internazionali.

Logical security auditEdit

Il primo passo in un audit di qualsiasi sistema è cercare di capire i suoi componenti e la sua struttura. Durante il controllo della sicurezza logica, il revisore deve esaminare quali controlli di sicurezza sono in atto e come funzionano. In particolare, le seguenti aree sono punti chiave nel controllo della sicurezza logica:

• Password: Ogni azienda dovrebbe avere scritto le politiche per quanto riguarda le password, e l’uso dei dipendenti di loro. Le password non devono essere condivise e i dipendenti devono avere modifiche programmate obbligatorie. I dipendenti dovrebbero avere diritti utente in linea con le loro funzioni lavorative. Dovrebbero anche essere consapevoli delle corrette procedure di accesso / disconnessione. Sono utili anche i token di sicurezza, piccoli dispositivi che gli utenti autorizzati di programmi per computer o reti portano per aiutare nella conferma dell’identità. Possono anche memorizzare chiavi crittografiche e dati biometrici. Il tipo più popolare di token di sicurezza (SecurID di RSA) visualizza un numero che cambia ogni minuto. Gli utenti vengono autenticati inserendo un numero di identificazione personale e il numero sul token.
• Procedure di terminazione: procedure di terminazione appropriate in modo che i vecchi dipendenti non possano più accedere alla rete. Questo può essere fatto cambiando password e codici. Inoltre, tutte le carte d’identità e i badge che sono in circolazione dovrebbero essere documentati e contabilizzati.
• Account utente speciali: Gli account utente speciali e altri account privilegiati dovrebbero essere monitorati e avere controlli adeguati in atto.
• Accesso remoto: l’accesso remoto è spesso un punto in cui gli intrusi possono entrare in un sistema. Gli strumenti di sicurezza logici utilizzati per l’accesso remoto dovrebbero essere molto rigorosi. L’accesso remoto deve essere registrato.

Strumenti specifici utilizzati in network securityEdit

La sicurezza di rete è ottenuta da vari strumenti tra cui firewall e server proxy, crittografia, sicurezza logica e controlli di accesso, software antivirus e sistemi di controllo come la gestione dei log.

I firewall sono una parte fondamentale della sicurezza di rete. Sono spesso collocati tra la rete locale privata e Internet. I firewall forniscono un flusso per il traffico in cui può essere autenticato, monitorato, registrato e segnalato. Alcuni diversi tipi di firewall includono firewall a livello di rete, firewall subnet schermati, firewall filtro pacchetti, firewall di filtraggio pacchetti dinamici, firewall ibridi, firewall trasparenti e firewall a livello di applicazione.

Il processo di crittografia comporta la conversione del testo normale in una serie di caratteri illeggibili noti come testo cifrato. Se il testo crittografato viene rubato o raggiunto durante il transito, il contenuto è illeggibile per lo spettatore. Ciò garantisce una trasmissione sicura ed è estremamente utile per le aziende che inviano / ricevono informazioni critiche. Una volta che le informazioni crittografate arrivano al destinatario previsto, il processo di decrittografia viene distribuito per ripristinare il testo cifrato in chiaro.

I server proxy nascondono il vero indirizzo della workstation client e possono anche fungere da firewall. I firewall del server proxy dispongono di un software speciale per applicare l’autenticazione. I firewall del server proxy fungono da intermediario per le richieste degli utenti.

Programmi software antivirus come McAfee e Symantec software localizzano e smaltiscono contenuti dannosi. Questi programmi di protezione antivirus eseguono aggiornamenti in tempo reale per assicurarsi di avere le ultime informazioni sui virus informatici noti.

La sicurezza logica include misure di sicurezza software per i sistemi di un’organizzazione, tra cui l’accesso all’ID utente e alla password, l’autenticazione, i diritti di accesso e i livelli di autorità. Queste misure servono a garantire che solo gli utenti autorizzati siano in grado di eseguire azioni o accedere alle informazioni in una rete o in una workstation.

Sistemi di controllo, traccia e registra ciò che accade sulla rete di un’organizzazione. Le soluzioni di gestione dei log sono spesso utilizzate per raccogliere centralmente audit trail da sistemi eterogenei per analisi e analisi forensi. Gestione dei log è eccellente per il monitoraggio e l’identificazione di utenti non autorizzati che potrebbero tentare di accedere alla rete, e ciò che gli utenti autorizzati sono stati l’accesso nella rete e le modifiche alle autorità degli utenti. Il software che registra e indicizza le attività degli utenti all’interno di sessioni di finestre come ObserveIT fornisce una traccia di controllo completa delle attività degli utenti quando è connesso in remoto tramite servizi terminal, Citrix e altri software di accesso remoto.

Secondo un sondaggio del 2006 su 3243 utenti Nmap di Insecure.Org, Nessus, Wireshark, e Snort erano alcuni strumenti di sicurezza di rete top-rated. Secondo lo stesso sondaggio, il BackTrack Live CD è il top-rated controllo della sicurezza delle informazioni e la distribuzione di test di penetrazione. Nessus è uno scanner di sicurezza remoto che esegue oltre 1200 controlli di sicurezza per Linux, BSD e Solaris. Wireshark analizza protocollo di rete per Unix e Windows, e Snort è un sistema di rilevamento delle intrusioni che supporta anche Microsoft Windows. Nessus, Wireshark e Snort sono gratuiti. Alcuni altri prodotti popolari per la sicurezza di rete includono OmniGuard, Guardian e LanGuard. Omniguard è un firewall, così come Guardian che fornisce anche protezione antivirus. LanGuard fornisce il controllo della rete, il rilevamento delle intrusioni e la gestione della rete. Per la gestione dei log, le soluzioni di fornitori come SenSage e altri sono la scelta per le agenzie governative e le industrie altamente regolamentate.

Behavioural auditEdit

Le vulnerabilità spesso non sono legate a una debolezza tecnica nei sistemi IT di un’organizzazione, ma piuttosto al comportamento individuale all’interno dell’organizzazione. Un semplice esempio di questo è che gli utenti lasciano i loro computer sbloccati o sono vulnerabili agli attacchi di phishing. Di conseguenza, un audit InfoSec completo includerà spesso un test di penetrazione in cui gli auditor tentano di accedere al maggior numero possibile di sistemi, sia dal punto di vista di un tipico dipendente che di un estraneo.

Gli audit di System and Process assurance combinano elementi provenienti dall’infrastruttura IT e dagli audit di sicurezza delle applicazioni/informazioni e utilizzano diversi controlli in categorie quali Completezza, Accuratezza, Validità (V) e accesso limitato (CAVR).