1
<Insert Picture Here> Jak garantovat bezpečnost systémů ve státní správě Tomáš Dvořáček Oracle Consulting
Kvíz na začátek Čím se proslavil tento muž: Jménem Herve Falciani Autor bezpečnostního SW pro HSBC Do roku 2008 zodpovědný za zlepšování databází a bezpečnosti Napsal nejhodnotnější email v dějinách daňové správy 3
...něco jednoduššího Kdo jsou tito dva pánové: Julian Assange tvář WikiLeaks Bradle Manning poskytl přes 250 tis dokumentů získaných ze sítě SIPRNet 4
Jaká je situace ve státní správě? Podle ankety z roku 2009 největší riziko vlastní zaměstnanci Plánovaný vznik centrálních registrů a technologických center krajů Rozpočtová omezení a restruktualizace Standardy bezpečnostní pro dodavatele IS? 5
Oracle Security Inside Out Low level Solaris / Linux / virtualizace Šifrování a maskování dat Kontrola privilegovaných uživatelů Vícefaktorová autentizace Sledování aktivit, audit Zabezpečená konfigurace Middleware Information Infrastructure Databases Správa identit Správa rolí Správa autorizací Adaptivní autentizace Virtuální adresářové služby Aplikace, dokumenty Applications Content Sledování a audit používaní dokumentů Správa přístupu Zabezpečení v / mimo firewall GRC 6
Oracle Security Inside Out Databázová bezpečnost Šifrování a maskování dat Kontrola privilegovaných uživatelů Vícefaktorová autentizace Sledování aktivit, audit Zabezpečená konfigurace Information Infrastructure Middleware Aplikace, dokumenty Databases Applications Content 7
Kompletní zabezpečení dat v databázi Únik dat Uživatelé Database Firewall SQL Injection Virtual Private Database Label Security Jak konsolidovat, ale nezpřístupnit data všem? Data Masking Únik dat z testu/vývoje Test a vývoj Database Vault Zneužití pravomocí Dělba rolí ve správě db. Únik dat Bezpečnostní administrátor Silná autentizace (ASO) Převzetí přihlášení z Kerberos, MS Active Directory Proxy authentication Anonymní přístup přes společný technický účet Transparent Data Encryption (ASO) Únik dat přes operační systém Krádež záloh Zálohy Total Recall Jak vypadala data v době incidentu? Datové úložiště Auditní datový sklad Audit Vault Prokazatelnost Zahlazení stop Konsolidace auditu Administrátoři 8
Oracle Security Inside Out Lowlevel Middleware Správa identit Správa rolí Správa autorizací Adaptivní autentizace Virtuální adresářové služby Information Infrastructure Aplikace, dokumenty Databases Applications Content 9
Centralizace dat o identitách Databáze, operační systémy Systémy na řízení životního cyklu dokumentů Directory Services Portály Typicky extranet prostředí Nebo database heavy Nebo SOA AD není v datacentru 10
Správa identit Oracle Identity Manager GRANT REVOKE GRANT REVOKE GRANT REVOKE Zaměstnanec HR System Schvalovací proces Aplikace Automatizace provisioning / deprovisioning Identifikace osiřelých účtů Reporty - Kdo má přístup kam Samoobsluha Centralizovaná správa rolí Role a rule-based provisioning Mapování business rolí na IT role & privilegia Multi-dimenzionální hierarchie rolí 11
Oracle Security Inside Out Lowlevel Middleware Aplikace, dokumenty Sledování a audit používaní dokumentů Správa přístupu Zabezpečení v / mimo firewall GRC Information Infrastructure Databases Applications Content 12
Information Rights Management Zabezpečení informací mimo chráněná úložiště Aplikace Obálka Distribuce Uživatelé Oracle IRM Management Console Oracle IRM Server Oracle IRM Desktop Sync práv a audit informací Business Managers IT Admins Audit Secure offline cache 13
Správa autorizací (entitlements) Před Poté App Application App Oracle Access Management Suite App App App Bezpečnostní politika zaprogramovaná do aplikace Statická data role z LDAP Definice a psaní politik posun od vývojáře k security Centralizovaná správa bezpečnostních politik 14
Oracle pro GRC Dashboardy GRC reporty a analýzy Reporty KRI, alerty 360º pokrytí Jednotný zdroj informací Předpřipravené dashboardy Sledování KRI a problémů Audit SOD & Správa přístupů Identity Mgmt GRC správa procesů Definice politik a procedur GRC kontroly v aplikacích Konfigurace aplikací GRC kontrola infrastruktury Data Security Change Mgmt Evidence problémů, jejich náprava Records Mgmt Custom or Legacy Applications Event & Loss Mgmt Monitorování transakcí Digital Rights Centralizovaný náhled na GRC Jednotné úložiště GRC Audit kontrol Správa nápravných opatření Zabudované kontrolní mechanismy Detektivní, preventivní Automatická kontrola Předpřipravená knihovna Návaznost na systémy Integrovaná správa identity a aplikačních kontrolních mechanismů Ochrana sensitivních dat Správa obsahu 15
16