Strategie di sicurezza informatica
Per progettare e implementare un cyberspazio sicuro, sono state messe in atto alcune strategie rigorose. Questo capitolo spiega le principali strategie impiegate per garantire la sicurezza informatica, che includono quanto segue:
- Creazione di un ecosistema cyber sicuro
- Creazione di un quadro di garanzia
- Incoraggiare gli standard aperti
- Rafforzare il quadro normativo
- Creazione di meccanismi per la sicurezza IT
- Protezione dei servizi di e-governance
- Protezione dell'infrastruttura delle informazioni critiche
Strategia 1 - Creazione di un ecosistema informatico sicuro
L'ecosistema informatico coinvolge un'ampia gamma di entità diverse come dispositivi (tecnologie di comunicazione e computer), individui, governi, organizzazioni private, ecc., Che interagiscono tra loro per numerosi motivi.
Questa strategia esplora l'idea di avere un ecosistema informatico forte e robusto in cui i dispositivi informatici possono lavorare insieme in futuro per prevenire attacchi informatici, ridurre la loro efficacia o trovare soluzioni per recuperare da un attacco informatico.
Un tale ecosistema informatico avrebbe la capacità incorporata nei suoi dispositivi informatici di consentire l'organizzazione di modalità di azione sicure all'interno e tra gruppi di dispositivi. Questo cyber-ecosistema può essere supervisionato dalle attuali tecniche di monitoraggio in cui i prodotti software vengono utilizzati per rilevare e segnalare i punti deboli della sicurezza.
Un forte cyber-ecosistema ha tre strutture simbiotiche: Automation, Interoperability, e Authentication.
Automation - Facilita l'implementazione di misure di sicurezza avanzate, migliora la rapidità e ottimizza i processi decisionali.
Interoperability- Rafforza le azioni collaborative, migliora la consapevolezza e accelera la procedura di apprendimento. Esistono tre tipi di interoperabilità:
- Semantico (cioè lessico condiviso basato su una comprensione comune)
- Technical
- Policy - Importante per l'assimilazione di diversi contributori in una struttura di difesa informatica inclusiva.
Authentication - Migliora le tecnologie di identificazione e verifica che funzionano per fornire -
- Security
- Affordability
- Facilità di utilizzo e amministrazione
- Scalability
- Interoperability
Confronto degli attacchi
La tabella seguente mostra il confronto delle categorie di attacchi con le capacità desiderate dell'ecosistema informatico -
Argomento di studio
Il diagramma seguente è stato preparato da Guilbert Gates for The New York Times, che mostra come un impianto iraniano è stato violato tramite Internet.
Explanation- È stato progettato un programma per far funzionare automaticamente la centrale nucleare iraniana. Sfortunatamente, un lavoratore che non era a conoscenza delle minacce ha introdotto il programma nel controller. Il programma ha raccolto tutti i dati relativi all'impianto e ha inviato le informazioni alle agenzie di intelligence che hanno poi sviluppato e inserito un worm nell'impianto. Usando il verme, la pianta è stata controllata da miscredenti che hanno portato alla generazione di più vermi e, di conseguenza, la pianta ha fallito completamente.
Tipi di attacchi
La tabella seguente descrive le categorie di attacco:
| Categoria di attacco | Descrizione dell'attacco |
|---|---|
| Attrito | Metodi utilizzati per danneggiare reti e sistemi. Include quanto segue:
|
| Malware | Qualsiasi software dannoso utilizzato per interrompere il normale funzionamento del computer e danneggiare le risorse di informazioni senza il consenso del proprietario. Qualsiasi esecuzione da un dispositivo rimovibile può aumentare la minaccia di un malware. |
| Hacking | Un tentativo di sfruttare intenzionalmente i punti deboli per ottenere un accesso non etico, di solito condotto a distanza. Può includere:
|
| Tattiche sociali | Usare tattiche sociali come l'inganno e la manipolazione per acquisire l'accesso a dati, sistemi o controlli. Include:
|
| Uso improprio (minaccia interna) | Uso improprio dei diritti sui dati e sui controlli da parte di un individuo in un'organizzazione che violerebbe le politiche dell'organizzazione. Include:
|
| Azione fisica / perdita o furto dell'attrezzatura | Attacchi guidati dall'uomo come:
|
| Componente multiplo | Tecniche di attacco singolo che contengono diverse tecniche e componenti di attacco avanzati. |
| Altro | Attacchi come -
|
Strategia 2 - Creazione di un quadro di garanzia
L'obiettivo di questa strategia è progettare una struttura in conformità con gli standard di sicurezza globali attraverso prodotti, processi, persone e tecnologie tradizionali.
Per soddisfare i requisiti di sicurezza nazionale, un quadro nazionale noto come Cybersecurity Assurance Frameworkè stato sviluppato. Ospita le organizzazioni di infrastrutture critiche e i governi attraverso azioni di "abilitazione e approvazione".
Enablingle azioni sono compiute da enti governativi che sono enti autonomi liberi da interessi commerciali. La pubblicazione dei "Requisiti di conformità alla politica di sicurezza nazionale" e delle linee guida e dei documenti sulla sicurezza IT per consentire l'implementazione e la conformità della sicurezza IT viene eseguita da queste autorità.
Endorsing le azioni sono coinvolte in servizi redditizi dopo aver soddisfatto gli standard di qualificazione obbligatori e includono quanto segue:
Certificazione ISO 27001 / BS 7799 ISMS, audit di sistema IS ecc., Che sono essenzialmente le certificazioni di conformità.
Standard "Common Criteria" ISO 15408 e standard di verifica del modulo Crypto, che sono la valutazione e la certificazione del prodotto di sicurezza IT.
Servizi per assistere i consumatori nell'implementazione della sicurezza IT come la formazione del personale di sicurezza IT.
Certificazione azienda attendibile
Gli IT / ITES / BPO indiani devono conformarsi agli standard internazionali e alle migliori pratiche in materia di sicurezza e privacy con lo sviluppo del mercato dell'outsourcing. ISO 9000, CMM, Six Sigma, Total Quality Management, ISO 27001 ecc., Sono alcune delle certificazioni.
I modelli esistenti come i livelli SEI CMM sono destinati esclusivamente ai processi di sviluppo software e non affrontano problemi di sicurezza. Pertanto, sono stati compiuti diversi sforzi per creare un modello basato sul concetto di autocertificazione e sulle linee del Software Capability Maturity Model (SW-CMM) di CMU, USA.
La struttura che è stata prodotta attraverso tale associazione tra industria e governo, comprende quanto segue:
- standards
- guidelines
- practices
Questi parametri aiutano i proprietari e gli operatori di infrastrutture critiche a gestire i rischi legati alla sicurezza informatica.
Strategia 3 - Incoraggiare gli standard aperti
Gli standard svolgono un ruolo significativo nel definire il modo in cui affrontiamo le questioni relative alla sicurezza delle informazioni nelle regioni geografiche e nelle società. Gli standard aperti sono incoraggiati a:
- Migliora l'efficienza dei processi chiave,
- Consentire incorporazioni di sistemi,
- Fornire un mezzo agli utenti per misurare nuovi prodotti o servizi,
- Organizzare l'approccio per organizzare nuove tecnologie o modelli di business,
- Interpretare ambienti complessi e
- Appoggia la crescita economica.
Standard come ISO 27001 [3] incoraggiano l'implementazione di una struttura organizzativa standard, in cui i clienti possono comprendere i processi e ridurre i costi di audit.
Strategia 4 - Rafforzare il quadro normativo
L'obiettivo di questa strategia è creare un ecosistema cyberspazio sicuro e rafforzare il quadro normativo. È stato previsto un meccanismo 24x7 per affrontare le minacce informatiche attraverso il National Critical Information Infrastructure Protection Center (NCIIPC). Il Computer Emergency Response Team (CERT-In) è stato designato per agire come agenzia nodale per la gestione delle crisi.
Alcuni punti salienti di questa strategia sono i seguenti:
Promozione della ricerca e sviluppo nella sicurezza informatica.
Sviluppo delle risorse umane attraverso programmi di istruzione e formazione.
Incoraggiare tutte le organizzazioni, pubbliche o private, a designare una persona che funga da Chief Information Security Officer (CISO) che sarà responsabile delle iniziative di sicurezza informatica.
Le forze armate indiane stanno istituendo un comando informatico come parte del rafforzamento della sicurezza informatica della rete e delle installazioni di difesa.
È in corso un'efficace implementazione di partnership pubblico-privato che contribuirà notevolmente alla creazione di soluzioni al panorama delle minacce in continua evoluzione.
Strategia 5 - Creazione di meccanismi per la sicurezza IT
Alcuni meccanismi di base esistenti per garantire la sicurezza IT sono: misure di sicurezza orientate al collegamento, misure di sicurezza end-to-end, misure orientate all'associazione e crittografia dei dati. Questi metodi differiscono per le caratteristiche delle applicazioni interne e anche per gli attributi della sicurezza che forniscono. Discutiamoli in breve.
Misure orientate al collegamento
Fornisce sicurezza durante il trasferimento dei dati tra due nodi, indipendentemente dall'eventuale origine e destinazione dei dati.
Misure end-to-end
È un mezzo per il trasporto di Protocol Data Unit (PDU) in modo protetto dall'origine alla destinazione in modo tale che l'interruzione di uno qualsiasi dei collegamenti di comunicazione non violi la sicurezza.
Misure orientate all'associazione
Le misure orientate all'associazione sono un insieme modificato di misure end-to-end che proteggono individualmente ogni associazione.
Crittografia dei dati
Definisce alcune caratteristiche generali dei cifrari convenzionali e della classe recentemente sviluppata di cifrari a chiave pubblica. Codifica le informazioni in modo che solo il personale autorizzato possa decrittografarle.
Strategia 6 - Garantire i servizi di e-governance
La governance elettronica (e-governance) è lo strumento più prezioso con il governo per fornire servizi pubblici in modo responsabile. Sfortunatamente, nello scenario attuale, non esiste una struttura legale dedicata all'e-governance in India.
Allo stesso modo, non esiste una legge per la fornitura elettronica obbligatoria dei servizi pubblici in India. E niente è più pericoloso e problematico dell'esecuzione di progetti di e-governance senza una sufficiente sicurezza informatica. Pertanto, garantire i servizi di e-governance è diventato un compito cruciale, soprattutto quando la nazione effettua transazioni quotidiane tramite carte.
Fortunatamente, la Reserve Bank of India ha implementato misure di sicurezza e mitigazione del rischio per le transazioni con carta in India, applicabili dal 1 ° ottobre 2013. Ha affidato la responsabilità di garantire transazioni sicure con carta alle banche piuttosto che ai clienti.
"E-government" o governo elettronico si riferisce all'uso delle Tecnologie dell'informazione e della comunicazione (TIC) da parte di enti governativi per:
- Fornitura efficiente di servizi pubblici
- Raffinare l'efficienza interna
- Facile scambio di informazioni tra cittadini, organizzazioni e enti governativi
- Ristrutturazione dei processi amministrativi.
Strategia 7 - Protezione delle infrastrutture critiche delle informazioni
L'infrastruttura delle informazioni critiche è la spina dorsale della sicurezza nazionale ed economica di un paese. Comprende centrali elettriche, autostrade, ponti, impianti chimici, reti, nonché gli edifici in cui milioni di persone lavorano ogni giorno. Questi possono essere garantiti con rigorosi piani di collaborazione e implementazioni disciplinate.
La salvaguardia dell'infrastruttura critica dallo sviluppo di minacce informatiche richiede un approccio strutturato. È necessario che il governo collabori in modo aggressivo con i settori pubblico e privato su base regolare per prevenire, rispondere e coordinare gli sforzi di mitigazione contro i tentativi di interruzione e gli impatti negativi sull'infrastruttura critica della nazione.
È richiesto che il governo collabori con imprenditori e operatori per rafforzare i loro servizi e gruppi condividendo informazioni cibernetiche e di altro tipo.
Una piattaforma comune dovrebbe essere condivisa con gli utenti per inviare commenti e idee, che possono essere lavorate insieme per costruire una base più solida per la sicurezza e la protezione delle infrastrutture critiche.
Il governo degli Stati Uniti ha approvato un ordine esecutivo "Miglioramento della sicurezza informatica delle infrastrutture critiche" nel 2013 che dà priorità alla gestione del rischio di sicurezza informatica coinvolto nella fornitura di servizi di infrastrutture critiche. Questo Framework fornisce una classificazione e un meccanismo comuni per le organizzazioni per:
- Definire il loro attuale cuscinetto di sicurezza informatica,
- Definire i propri obiettivi per la sicurezza informatica,
- Classificare e assegnare priorità alle possibilità di sviluppo nel quadro di un processo costante e
- Comunica con tutti gli investitori sulla sicurezza informatica.