Agenda. La protezione della Banca. attraverso la convergenza della Sicurezza Fisica e Logica. innovazione per nuovi progetti

Transcript

1 La protezione della Banca attraverso la convergenza della Sicurezza Fisica e Logica Roma, Maggio 2007 Mariangela Fagnani (mfagnani@it.ibm.com) ABI Banche e Sicurezza Corporation Agenda & Privacy Lo Scenario La Convergenza di Sicurezza Logica e Fisica L approccio Integrato Le soluzioni I vantaggi 2

2 & Privacy Lo Scenario Servizi Personalizzati alla clientela Dematerializzazione asset Multicanalità Acquisizioni & Fusioni Time to Market Riduzione Costi di Sicurezza e di Vigilanza Nuova concezione nel layout delle agenzie Riduzione delle barriere fisiche 3 & Privacy Le Minacce e i Vincoli Normativi Hacking Intrusioni Furti Informazioni Phishing Basilea II Banca d Italiad Linee Guida per la continuità di servizio delle Infrastrutture qualificate dei sistemi di pagamento 2004 Banca d Italiad Gestione dell Continuità Operativa Rapine Frodi interne ed esterne Indisponibilità Infrastrutture e/o personale critico Atti Terroristici ICT BS D.Lgs. 196/2003 Banca Centrale Europea: Business Continuity for Systematically Important Payment Systems (SIPS)

3 & Privacy La Sinergia tra Sicurezza Logica, Fisica e Continuità Operativa CLIENTI DIPENDENTI INFORMAZIONI BENI IMMAGINE RISK MANAGEMENT BUSINESS CONTINUITY FIDUCIA ENTERPRISE SECURITY CRISIS MANAGEMENT HOMELAND SECURITY SECURE SITE & FACILITY PREVENZIONE REAZIONE 5 & Privacy Da un approccio classico alla sicurezza... L approccio classico alle tematiche di sicurezza è di tipo piece-by-piece, con l utilizzo di prodotti/soluzioni, nonché processi organizzativi che non sono tra loro integrati; L enfasi maggiore è quasi sempre posta sul rinforzare il perimetro e le infrastrutture dell azienda; Le risposte agli incidenti di sicurezza sono di tipo reattivo e scollegate le une dalle altre; Questo approccio non permette una visione d insieme (sia a livello di applicazioni che di processi) dell azienda, della sua organizzazione e dei rischi di sicurezza. 6

4 & Privacy... ad un approccio Integrato L approccio classico va contrapposto con un approccio di convergenza fra sicurezza fisica e sicurezza IT; Il vantaggio è una visione chiara e integrata di tutti gli eventi di sicurezza, e quindi delle minacce, per rispondere in modo efficace e tempestivo alle situazioni; La correlazione e l integrazione comportano la gestione contemporanea di eventi generati da un numero sempre più elevato di tecnologie presenti in Banca: Videosorveglianza e sicurezza fisica viste come applicazioni IT (maggior sicurezza e scalabilita, gestione accessi, interoperabilita con altri sistemi) Interoperabilita consente alla banca di condividere i dati fra l ambito fisico e quello logico e di coordinare la protezione degli asset fisici, delle informazioni, della rete Il numero di dati e di allarmi da analizzare puo essere molto elevato ma si riduce la complessita operativa L integrazione e difficile da raggiungere ma e fondamentale per il sistema di Governance 7 & Privacy Information Framework Information Framework Standard Internazionali (Cobit, ISO/IEC 17799,..) Policy aziendali Governance and Compliance Enterprise Information Management & Privacy Enterprise Information Management and Privacy Esperienza del team global Threat mitigation Transaction and data integrity Identity and access management Application security Best Practice Physical security Personnel security 8

5 & Privacy Le leve di governo della sicurezza devono essere indirizzate e coordinate a partire da un modello integrato Modello: obiettivi, ruoli e responsabilità Processi di gestione e controllo Requisiti di indirizzo Architetture di sistema Procedure di implementazione e gestione Soluzioni tecnologiche Standards 9 & Privacy Il Framework a supporto della Convergenza e dell Integrazione Governance Processi Ruoli e Responsabilita Strumenti Information Framework Governance Enterprise Information Management & Privacy Threat mitigation Identity and access management Physical security Transaction and data integrity Application security Personnel security Competenze Servizi Soluzioni Prodotti Processi 10

6 & Privacy Le focus area della Sicurezza Areas Managed Professional Data Threat Mitigation Physical Identity and Access Management Governance / OEM Hardware and Software 11 & Privacy Threat Mitigation (1/2) Managed Professional / OEM Hardware and Software 2 Threat Mitigation Protezione Network - Garantisce una prevenzione e rilevamento completo delle minacce presenti nella rete. Protezione Endpoint - Garantisce una vigilanza costante di tutti i desktop/ server e delle soluzioni di accesso remoto. Protezione Applicazioni - Gestisce il traffico della rete per migliorare la postura di sicurezza dell azienda e promuovere le linee guida strategiche. Gestione Sicurezza e Vulnerabilità - Identifica e gestisce in modo proattivo la postura di sicurezza e la compliance alle normative da parte dell azienda. ISS è nel Quadrante dei Leader nel Magic Quadrant per il mercato dei Managed Service Gartner, Gennaio

7 & Privacy Threat Mitigation (2/2) 13 & Privacy Physical Managed Professional / OEM Hardware and Software 3 Physical Digital Video Surveillance Videosorveglianza integrata e soluzioni di sicurezza che permettono di vedere, monitorare e registrare attività in tutti gli ambienti. Smart Surveillance Solution Sistema di sorveglianza avanzato che controlla lo spazio in real time e permette di condurre ricerche intelligenti basate sui contenuti 14

8 & Privacy Physical Il Modello Integrato Identities management Enrollment CCTV Workstation security Alarm IP wireless or wired network SOC Time and machine management. Intrusion detection Products tracking (RFID) Computer security Visitors management Fire detection, flooding,... Access control 15 & Privacy Governance Managed Professional / OEM Hardware and Software 5 Governance Risk Management - gestisce il rischio legato agli asset informativi Program Design and Management supporta lo sviluppo e la realizzazione di un programma di sicurezza efficace Regulatory e Standard Compliance sviluppa modelli e processi operativi per garantire una efficace sicurezza IT a livello corporate Privacy fornisce servizi di privacy assessment e di progettazione e implementazione delle strategie di privacy 16

9 & Privacy Strumenti a supporto della Governance e Compliance Le nostre soluzioni e prodotti consentono di raccogliere e analizzare Log, correlare Eventi, sollecitare Alert, produrre Allarmi e verificare la Conformità rispetto a politiche di sicurezza Fisica e Logica e standard/norme di settore : Maggior efficacia tramite l automazione e i Workflow tra i Sistemi Miglioramento delle prestazioni e tempi di risposta Miglioramento dei Livelli di Servizio Controllo centralizzato della Sicurezza 17 & Privacy Il Modello Operativo: Monitoraggio, Correlazione e Compliance Dashboards & Drilldown Reports Log Management Alerts Management Level Operation Level Field Level Compliance Compliance & Audit PUMA Log Management Database Audit Network Event Events Collection Event Correlation Anomaly Detection Alerts Filtering Event Mgmt Reports Forensics Alerts Event Mgmt Events Collection Event Correlation Alerts Filtering Technology, & Business Events Video & Site Network,Systems,DB Governance KPI Tableau Ticket/Remedy Ext.System 18

10 & Privacy Un esempio di Architettura di correlazione eventi Integrazione di dati e allarmi provenienti da applicazioni IT e da sensori di natura logica, fisica e di videosorveglianza con correlazioni svolte sia a livello di singola agenzia che a livello enterprise: Aggregazione, correlazione e gestione degli eventi logici e fisici generati dal Sistema Informativo della Banca; Collegamento dei Bancomat al sistema di videosorveglianza Collegamento del sistema di accensioni delle luci di agenzia al sistema di videosorveglianza per eseguire comandi di accensione/ spegnimento Centrale Agenzia 19 & Privacy Le Best Practices per gestire la Convergenza Sponsorship del top management e adeguamenti modello organizzativo; Inserimento di nuove tecnologie e processi nell ambiente IT facendo leva sull infrastruttura esistente; Coesistenza e gestione di tecnologie digitali e analogiche ; Privilegiare, alle tecnologie proprietarie, l uso di tecnologie standard che, interconnesse con le altre, aumentano in modo esponenziale l efficacia della soluzione La correlazione delle informazioni (allarmi, logs, eventi) da tutte le fonti verso il centro operativo consente di focalizzarsi sulla prevenzione, intercettazione, contrasto e di rispondere alle situazioni; Fare leva sull Integrazione su rete IP e sull utilizzo di nuove tecnologie a supporto della comunicazione (cellulari, palmari, etc.) Affidarsi a partner in grado di dare continuità nel tempo alle soluzioni per una maggiore protezione degli investimenti Operation Center e organizzazione di sicurezza più efficienti Miglioramento delle comunicazioni cross-organization e rafforzamento del livello di sicurezza dell azienda 20

11 & Privacy Convergenza e Integrazione: quali vantaggi? La correlazione delle informazioni (allarmi, logs, eventi) da tutte le fonti verso il centro operativo consente di focalizzarsi sulla prevenzione, intercettazione, contrasto e di rispondere alle situazioni Migliora l efficacia delle misure di Sicurezza e riduce la Complessità Operativa Realizzazione concreta dell approccio integrato alla sicurezza Crea valore per la banca assicurando maggiore sicurezza ai clienti come fattore differenziante Realizza un nuovo Modello di Governance dei processi di Business e IT 21 Mariangela Fagnani & Privacy Manager 2007 Corporation