Art. 03 – Vol. 26 – Nr. 4 – 2016

Mihnea Horia Vrejoiu
mihnea@dossv1.ici.ro
Ştefan Alexandru Preda
stefanalex@ici.ro
Mădălina Cornelia Zamfir
madalina@ici.ro
Vladimir Florian
vladimir@ici.ro
Institutul Naţional de Cercetare – Dezvoltare în Informatică, ICI – Bucureşti

Rezumat: Problematica atacurilor informatice, a intruziunilor frauduloase în reţele, a compromiterii sistemelor, a blocării serviciilor sau a furtului de date este de mare actualitate, în contextul actual al expansiunii informatizării pe scară largă, atât la nivelul instituţiilor de stat cât şi al entitaţilor private de diferite dimensiuni. Efectele negative ale acestora, precum şi costurile considerabile generate direct sau indirect şi cele pentru remedierea daunelor produse de acestea, au condus la necesitatea dezvoltării şi implementării de metode şi măsuri specifice de răspuns eficient şi rapid la astfel de incidente de securitate informatică. Articolul de faţă prezintă rezumativ rezultatele şi concluziile unui studiu statistic bazat pe un sondaj realizat în anul 2014 sub egida institutului SANS^TM care oferă o imagine privind situaţia pe plan mondial cu privire la răspunsul la incidente şi unele direcţii de viitor în acest domeniu.

Cuvinte cheie: răspuns la incidente (RI), echipă de RI, atac de tip DDoS, malware, acces neautorizat, compromitere/furt de date, gestionarea informaţiilor şi evenimentelor de securitate.

Introducere: Incidenţa şi riscurile în continuă creştere ale acţiunilor de intruziune frauduloasă ostilă în sistemele informatice ale diferitelor instituţii, organizaţii şi companii, de stat sau private, de diferite dimensiuni, precum şi costurile importante cauzate de efectele negative ale acestora şi cele aferente eliminării lor, au condus la necesitatea dezvoltării şi implementării unor metode şi măsuri specifice de răspuns eficient şi rapid la astfel de incidente de securitate informatică, a adaptării, actualizării, îmbunătăţirii şi eficientizării continue a acestora.

Având în vedere actualitatea continuă şi utilitatea potenţială a acestor informaţii, prezentăm în articolul de faţă (redactat iniţial în toamna anului 2014), sintetic, rezultatele şi concluziile unui studiu statistic bazat pe un sondaj cu chestionare realizat în anul 2014 sub egida prestigiosului institut britanic SANS [1], privind situaţia bunelor practici pe plan mondial în legătură cu răspunsul la incidente (RI) de securitate în legătură cu sistemele informatice şi principalele direcţii de acţiune pentru viitor avute în vedere de principalii actori din domeniu.

În cadrul sondajului s-au exprimat 259 de profesionişti, dintre care majoritatea (88%) cu roluri în RI – manageri, analişti de securitate, investigatori legişti în criminalitate informatică – din companii şi organizaţii de diferite mărimi (de la sub 100 de angajaţi la peste 20.000), din peste 19 domenii (incluzând tehnologie şi tehnologia informaţiei – TI, servicii financiare, educaţie, sănătate şi industrie farmaceutică, guvernamental, militar, energie, utilităţi, asigurări etc.), acoperind o vastă arie geografică, reprezentând 13 regiuni şi ţări diferite de pe tot globul.

Recomandări:

Pe baza rezultatelor studiului, organizaţiile pot ajunge la eficientizarea proceselor de RI, prin implementarea următoarelor recomandări [1]:

a) O mai bună definire a termenului „incident”

În recomandările Institutului Naţional de Standarde şi Tehnologie de pe lângă Departamentul Comerţului din S.U.A. [4], un incident de securitate informatică este definit ca fiind „o încălcare sau o tentativă de încălcare a politicilor de securitate ale unui sistem informatic, a politicilor de utilizare acceptabilă, sau a practicilor standard de securitate”. Totuşi, în practică, organizaţiile dau diferite interpretări în legătură cu ce tipuri de evenimente intră sub această definiţie. În lipsa unei definiri clare şi unanim acceptate pentru ceea ce intră şi ceea ce nu intră în categoria de „incident”, se poate întâmpla ca o echipă de RI să fie copleşită cu trierea, investigarea şi tratarea unor evenimente care, în mod normal, nu ar fi trebuit să o implice direct. Pe de altă parte, având o definire acceptată, este mai uşor să fie adăugate metrici (măsuri) adecvate, sau indicatori cheie de performanţă (key performance indicators – KPI), pentru detecţie şi remediere, pe baza cărora să se poată justifica asigurarea unui buget corespunzător / suplimentar.

O politică bună de RI la nivelul unei organizaţii, concepută în etapa de pregătire a procesului de RI trebuie neapărat să includă o definire explicită a acelor tipuri de incidente care intră în responsabilitatea echipei de RI. În absenţa unor astfel de precizări, acesteia i se pot atribui în mod nefericit unele sarcini minore şi irelevante din punct de vedere al RI, de genul investigării oricărei încălcări a politicilor de utilizare acceptabilă, sau urmăririi/localizării echipamentelor şi/sau dispozitivelor pierdute sau furate.

Toţi actorii implicaţi sau interesaţi trebuie să agreeze asupra conţinutului definit pentru termenul „incident” înainte de stabilirea atribuţiilor echipei de RI, deoarece numai astfel pot fi definite cu claritate rolurile şi responsabilităţile echipei de RI. Mai trebuie menţionat că politicile şi procedurile de RI trebuie să furnizeze şi alte detalii, cum ar fi de exemplu condiţiile în care un membru al echipei de RI poate decupla din reţea sau închide/opri un sistem.

b) Asigurarea securităţii proceselor celorlalte componente ale afacerii

Toţi proprietarii/deţinătorii de date şi persoanele care gestionează/întreţin echipamentele şi/sau dispozitivele de tehnologia informaţiei (TI) ale organizaţiei trebuie pregătiţi/educaţi pentru a implementa cele mai bune practici de securitate.

Dezvoltatorii de software intern trebuie să includă (şi) consideraţii de securitate în ciclul de dezvoltare. Astfel, echipa de RI va avea mai puţine probleme cu vulnerabilităţi ale aplicaţiilor dezvoltate „în casă”.

Tehnicienii care asigură suport pentru utilizatori trebuie să deţină o bună înţelegere a trierii sistemului şi să fie antrenaţi astfel încât să poată discerne corect o problemă între utilizator şi o infecţie de tip malware.

Proprietarii/deţinătorii de date trebuie să înţeleagă avantajele asociate bunelor practici cum sunt cerinţa accesului cu privilegii minime la date şi auditarea evenimentelor specifice sistemului şi aplicaţiei.

Vizualizează articolul complet