Mills Monica Galiano Specialista Sicurezza Tivoli IBM SW Group 12/01/03 Strumenti di gestione della sicurezza a supporto del controllo del rischio Monica Galiano Specialista Sicurezza Tivoli IBM SW Group 031201 MILLS FIFTH THIRD BANK

Strumenti software di sicurezza per la mitigazione del rischio Come trasformare una minaccia in una opportunità attraverso l’automazione e la centralizzazione dei processi di gestione IT Richiamo sulle “Misure Minime di Sicurezza” La protezione dei dati Dai rischi di accesso non autorizzato Access & Privacy Management Identity Management Compliance Management Security Event Management Dai rischi di distruzione Storage Management Caso Banca Antonveneta

Mills 12/01/03 Codice in materia di protezione dei dati personali (DL 196/2003) Disciplinare tecnico in materia di misure minime di sicurezza in caso di trattamento con strumenti elettronici (Allegato B) Adeguamento entro il 30 Giugno 2004 Controllo degli accessi tramite credenziali Robustezza e politica delle password Organizzazione degli utenti in profili autorizzativi Monitoraggio ed eliminazione delle utenze orfane Verifica periodica delle autorizzazioni effettive Adozione di strumenti anti-intrusione, rilevazione delle vulnerabilità Salvataggio dei dati e ripristino D.L. 196/03 del 30 Giugno 2003: “Codice in materia di protezione dei dati personali” 031201 MILLS FIFTH THIRD BANK

Le Organizzazioni non necessitano solo di Sicurezza Perimetrale Mills 12/01/03 Le Organizzazioni non necessitano solo di Sicurezza Perimetrale Difesa Perimetrale Tenere fuori gli intrusi con Firewalls Anti-Virus Intrusion Detection, etc. Difesa Perimetrale Strato di Controllo Strato di Verifica Livello di Controllo Che utenti possono entrare? Cosa possono vedere e fare? Sono supportate personalizzazioni? Puo’ essere protetta la user privacy? Assurance Layer Sono conforme con i regolamenti? Posso rilasciare audit reports? Quanto sto rischiando? Posso rispondere a security events? 031201 MILLS FIFTH THIRD BANK

Il controllo: Access & Privacy Management Definire in modo efficiente le politiche di sicurezza per le applicazioni, in conformita’ con standard e regolamenti Minimizzare l’impatto negativo sugli utenti dall’uso di credenziali per accedere a più sistemi Adottare un sistema di credenziali che sia facile da modificare in caso di cambi alla normativa Assicurare che ogni utente acceda solo ai dati cui ha diritto di accedere in base al ruolo Tracciare gli accessi alle applicazioni e ai dati?

IBM Tivoli Access Manager Mills 12/01/03 IBM Tivoli Access Manager Operating Systems Root Control Data Integrity Audit Enterprise Application Integration Business Integration via MQSeries Queue Access Control Message Integrity Confidentiality Cross-Platform e-business Solutions Now let’s look at the Access Manager family. The flagship product here is IBM Tivoli Access Manager for e-business, which supports web single sign-on and consistent application security across apps based on J2EE – including websphere and others, SAP, Siebel, Plumtree, etc. IT also features SSO into Lotus e-mail, is ported to Linux on our mainframes, and supports access from pervasive devices, which negates the need to setup a custom security infrastructure for wireless access. IBM Tivoli Access Manager for Business Integration extends this support to the WebSphere Mq – MQSeries – environment. It not only controls access to MQ queues, but also protects the business data in the queues and during transmission, based on your policy. Domino/ Notes XML/Web Services J2EE Servers Portals 390 zSeries CRM ERP 031201 MILLS FIFTH THIRD BANK

IBM Tivoli Privacy Manager

Il controllo: Identity Management Controllare e gestire il processo di erogazione di un’utenza sui propri sistemi, in modo efficiente Assicurare che i profili di accesso siano implementati coerentemente con le politiche aziendali ed in modo consistente Assicurare che l’ultimo dipendente/cliente che ha chiuso il rapporto non abbia più accesso ai sistemi Controllare che l’erogazione delle utenze sia avvenuto con le approvazioni richieste Controllare chi ha cambiato il profilo di accesso per gli utenti Corporate e quando.

IBM Tivoli Identity Manager - User & Directory Management Utenza modificata (add/del/mod) Attribuz. coretto profilo Utente abilitato Accounts on 70 different types of systems managed. Plus, In-House Systems & portals Operating Systems Databases Applications Approvazione Validazione Rilevazione e correzione dei privilegi locali TIM HR Systems/ Identity Stores

La verifica: Compliance Management Come riuscire a verificare che gli standard di sicurezza definiti a livello aziendale siano correttamente rispettati? La lunghezza delle password è corretta? Quel servizio importante è installato? E quel database è criptato? Quel determinato file è presente? Siamo sicuri che determinati software pericolosi non siano presenti? Come governare questa complessità di temi su tutto il parco di macchine presente?

Security Compliance Manager Mills 12/01/03 Security Compliance Manager The steps for security compliance mgmt are: Define the security policy Perform an accurate baseline assessment to assess security posture; Prioritize actions and mitigation strategies based on risk assessment (what is the value to the enterprise, what are the correction costs, and is the exposure level). 3. Enforce Security Policy Feed violations into change mgmt and mitigation process 4. Evaluate Compliance Routinely assess IT compliance 031201 MILLS FIFTH THIRD BANK

Security Compliance Manager Verifica delle politiche di sicurezza Mills 12/01/03 Security Compliance Manager Verifica delle politiche di sicurezza E’ lo strumento che consente di automatizzare le attività di verifica e controllo delle macchine secondo le policy di sicurezza aziendali SCM va oltre i normali sistemi di controllo delle vulnerabilità poiché consente di mettere in sicurezza a livello di Patch, aggiornamenti Congruità delle installazioni Configurazioni Amministrazione centralizzata ma delegabile E’ capace di gestire ambienti molto complessi ed estesi (scalabilità) Architettura semplice e leggera 031201 MILLS FIFTH THIRD BANK

La Verifica: Threat & Intrusion Management Firewall, Antivirus, sistemi di rilevazione delle intrusioni sono oggi una necessità ma come posso governarli? Come posso controllare un’infrastruttura di sicurezza che è sempre più eterogenea e distribuita? Come posso automatizzare il processo di controllo di tutte le segnalazioni che le varie soluzione mi obbligano a prendere in esame? Come evitare i “falsi allarmi”? Posso fornire velocemente alla Direzione un report consuntivo sulla situazione delle intrusioni?

IBM Tivoli Risk Manager Controllo delle Intrusioni Centralizzazione di tutti gli eventi/allarmi provenienti da sorgenti multiple Analisi dei dati ricevuti: Correlazione degli eventi provenienti da più sorgenti Eliminazione di falsi allarmi e ripetizioni Consolidamento in un’unica segnalazione (“incident”) degli allarmi collegati a un singolo attacco Automazione delle reazioni in caso di attacco riconosciuto In modo da: Valorizzare il patrimonio di strumenti anti-intrusione installati Passare da una sicurezza “percepita” a una sicurezza reale Semplificare l’attività di audit e di generazione di analisi a consuntivo

IBM Risk Manager Controllo delle Intrusioni Non e' un intrusion detection system! IBM Risk Manager Controllo delle Intrusioni RPC Attacks FireWall Border appliances DOS Attacks Intrusion Detection Vulnerability Assess. Illegal root access Systems Application Databases CGI Vulnerabilities WEB Servers RISK MANAGER Correlation of events Automatic Reaction Tasks

Partnership Con Cisco http://www-306.ibm.com/software/swnews/swnews.nsf/n/cpuy5w4n94?OpenDocument&Site=default

La protezione dal danneggiamento: Storage Management I backup li faccio. Ma come posso automatizzare completamente le attività su tutte le piattaforme ? Riesco a garantire continuità di servizio anche mentre faccio i salvataggi? Quanto decadono la prestazioni della rete? Riesco a ottimizzare le procedure di recupero in base ai sistemi gestiti, o in base agli utenti, …? Posso contare su una procedura assistita di “Disaster Recovery” ?

IBM Storage Manager Salvataggio e ripristino dei dati Mills 12/01/03 IBM Storage Manager Salvataggio e ripristino dei dati Protezione dei dati Backup and restore Disaster recovery Gestione del ciclo di vita dei dati Archiving and retrieval Massimo sfruttamento dei media Storage pool chaining “Automatic” client space management (HSM) FILES*.XYZ BEEN HAVE ERASED Disaster Hard Disk Audit/ Records Retention MMLXMXXLVMM XXLLIKLMNLXXLM VVMLPVMLMLMVX LIKLMN PPONLPXVULX NMLPMXVBLMWM ZMXLZPWMZZKLM the d Efficient Storage Use Dati fisicamente distribuiti ma gestiti centralmente Ambiente multi-vendor 031201 MILLS FIFTH THIRD BANK

Perche’ IBM Tivoli? Componenti integrate, modulari e aperte di una unica impostazione architetturale Eccellenza su ogni singola area Estesa capacità di gestione di sistemi Open Standard, multi-piattaforma Uso diffuso tra molti clienti in Italia e nel mondo

Il Giudizio di Gartner

Esperienza di un Banca Antoniana Popolare Veneta

Un progetto realizzato con Tivoli Access Manager

Grazie monica_galiano@it.ibm.com IBM Software Group - Tivoli