Cisco network security strategy: Where is it going?

[weis]

Takie osoby nie wiedzą, co to jest CERT. Tak więc obawiam się, że skoro tyle incydentów zgłosili świadomi użytkownicy sieci, to poszkodowanych jest w rzeczywistości wielokrotnie więcej.

Jestem tego w pełni świadom ale czy dysponujesz lepszymi statystykami? To jest jedne z bardzo niewielu zestawień które powstały w kraju nad Wisłą. Z chęcią poczytałbym bardziej szczegółowe. Podaj link

[horac]

"Networking professionals rely on networking vendors such as Cisco, Juniper, HP and Enterasys to deliver integrated security products"

A gdzie checkpoint ? w wiekszosci sieci klienckich rozklad w wyborze vendora wygalda tak

40% CISCO ASA
40% Checkpoint
20% Juniper zazwyczaj te krowki SSG550 gdzies na brzegu sieci

Autor nawet slowem o checkpoincie nie wspomnial, ciekawe dlaczego

[Kyniu]

Gdzieś w tej dyskusji umknął chyba jeszcze jeden aspekt. Powiedzmy że mamy super świadomych inżynierów, że ich budżet na security jest nieograniczony, że współpracujący z firmą dostawcy i integratorzy również są "debeściaki", no słowem super hiper technologie obsługiwane przez geniuszy.

A na drugim końcu mamy użyszkodników, którzy podchodzą do bezpieczeństwa tak "mamy super technologie bezpieczeństwa i super genialnych adminów więc możemy lać na bezpieczeństwo - uruchamiamy co chcemy, skąd chcemy, wkładamy pendrivy nieznanego pochodzenia do naszych komputerów, etc." To już chyba lepiej straszyć użyszkodników niż ogłaszać wszem i wobec jacy jesteśmy bezpieczni. Inna sprawa że większość użyszkodników jest niereformowalna. I budowanie strategi bezpieczeństwa zaczynając od technologii to chyba nie jest właściwa droga. Albo skoro tak to po prostu zamknijmy komputery w sejfie i po sprawie - jak ich nikt nie używa to nie stanie się "ziazi". Niestety ale najbardziej niebezpiecznym elementem tej całej układanki są właśnie ludzie i bez zaangażowania ich w proces dbania o bezpieczeństwo to każda technologia polegnie.

A na koniec pojawia się pan prezes który ma pretensje że jak był na wakacjach to nie mógł tego czy owego albo mu nie działał SKYPE i kto to widział że on na swoim notebooku nie może odpalić gry wnuczkowi. Więc natychmiast każe powyłączać te zabezpieczenia i basta.

Kyniu

[lbromirs]

A na drugim końcu mamy użyszkodników, którzy podchodzą do bezpieczeństwa tak "mamy super technologie bezpieczeństwa i super genialnych adminów więc możemy lać na bezpieczeństwo - uruchamiamy co chcemy, skąd chcemy, wkładamy pendrivy nieznanego pochodzenia do naszych komputerów, etc." To już chyba lepiej straszyć użyszkodników niż ogłaszać wszem i wobec jacy jesteśmy bezpieczni. Inna sprawa że większość użyszkodników jest niereformowalna.

Politykę bezpieczeństwa firmy użyszkodnik podpisuje razem z umową/kontraktem. Tam zaświadcza że jest świadom, że jego umyślne czy nieumyślne działania które narażą firmę na straty zaowocują konsekwencjami surowymi albo i gorzej. W "normalnych" firmach szkolenia z zakresu bezpieczeństwa informacji/IT/etc odbywają się co jakiś czas żeby ktoś właśnie nie klikał na co popadnie, nie oddawał komputera służbowego znajomemu do naprawy, albo przez telefon/w internecie nie publikował informacji wewnętrznych firmy.

I budowanie strategi bezpieczeństwa zaczynając od technologii to chyba nie jest właściwa droga.

Strategia bezpieczeństwa oznacza że coś będziemy chronić. To czego chronimy narzuca wachlarz możliwości.

Niestety ale najbardziej niebezpiecznym elementem tej całej układanki są właśnie ludzie i bez zaangażowania ich w proces dbania o bezpieczeństwo to każda technologia polegnie.

Ludzie są najsłabszym ogniewem całości - wszyscy to wiedzą, niewiele osób/firm coś z tym robi, a atakujący doskonale to wykorzystują. I dlatego trzeba inwestować w ludzi. Po prostu.

[dorvin]

Dobrze mówisz, ale security to kompleksowy proces, a nie postawienie kilku pudełek. Każda książka o bezpieczeństwie od tego się zaczyna. Jeśli wspomniani przez Ciebie geniusze nie potrafią tych reguł wprowadzić w życie, to znaczy, że trochę im jeszcze brakuje. Budowanie polityki bezpieczeństwa zaczyna się od zarządu. Jak przekonasz władze, to z pozostałymi jakoś pójdzie. Dość fajnie mieliśmy to zrobione w SG. Nawet komendant się nie wyłamywał. Z najpoważniejszych rzeczy zdarzało się przekazanie komuś hasła do konta, ale też dość dobrze szło nam zwalczanie tego procederu. Tak więc "się da". A że wymaga więcej wysiłku? Trudno. W końcu gramy tu w "najsłabsze ogniwo".

[horac]

U nas Atosie jest pakiet szkolen poczatkowych dla nowych pracownikow, a ISO dotyczacego Security zdaje sie egzamin. Generalnie sec jest na wysokim poziomie, ale duzo tez zalezy od pracownikow czy sie stosuja do zasad ustalonych przez Security Officera itp.