IT Security Assessment

OBIECTIVELE SERVICIILOR DE TESTARE A SECURITATII SISTEMELOR INFORMATICE SUNT:

  • Identificarea, delimitarea şi inventarierea elementelor sistemului/lor ce urmează a fi testat;
  • Identificarea şi detalierea cerinţelor de securitate pentru sistemul/sistemele ţintă definite în obiectivele şi strategiile de funcţionare;
  • Analiza sistemului ţintă din punct de vedere arhitectural şi al modului de configurare;
  • Inventarierea instrumentelor de testare disponibile şi definirea unor criterii de selecţie în vederea efectuării testelor de securitate; proiectarea unor paşi de execuţie în efectuarea testelor de securitate;
  • Execuţia testelor de securitate în conformitate cu paşi stabiliţi la proiectarea fazei de testare;
  • Determinare, în colaborare cu beneficiarul, a unui set complet de mecanisme şi măsuri de securitate care să permită eliminarea vulnerabilităţilor şi reducerea astfel a riscurilor de securitate și a unui plan de implementare a acestora.

METODOLOGIA DE TESTARE A SECURITATII SISTEMELOR INFORMATICE ISI PROPUNE PUNEREA IN APLICARE A URMATOARELOR ETAPE ALE PROCESULUI DE TESTARE:

Etapa I. Analiza iniţială a sistemului ţintă – este o etapă iniţială obligatorie în care se colectează informaţii despre sistemul ce urmează a fi testat şi despre aşteptările responsabililor privind nivelul de securitate. Are următoarele sub-etape de parcurgere:

  • Identificarea sistemului ţintă – sub-etapă în care se definesc la nivel primar perimetrul şi elementele componente ale sistemului ţintă.
  • Identificarea cerinţelor iniţiale – sub-etapă în care se colectează informaţii referitoare la cerinţele de securitate aplicabile sistemului ţintă şi la aşteptările responsabililor cu privire la efectuarea testelor de securitate.
  • Analiza configuraţiei sistemului ţintă – sub-etapă în care se studiază documentaţia sistemului şi se strâng informaţii de la personalul tehnic pentru a putea defini o imagine detaliată a arhitecturii şi modului de funcţionare a sistemului ţintă.
  • Evaluarea proceselor cheie IT – etapă în care sunt evaluate premizele pentru asigurarea constantă a cerințelor de securitate în sisteme și aplicații

Livrabil: Document de analiză a domeniului de evaluare și a cerințelor de securitate aplicabile

Etapa II. Proceduri de testare a securităţii sistemelor informatice – etapă a procesului de testare în care se proiectează şi se pune în aplicare setul de teste asupra sistemului ţintă. Implică parcurgere următoarelor sub-etape:

  • Alegerea instrumentelor şi tehnicilor de testare – proces de selecţie şi proiectare a testelor în funcţie de specificul sistemului ţintă.
  • Acordul responsabililor.
  • Derularea testelor de securitate – punerea în aplicare efectivă a testelor de securitate.

Livrabile:
– Proceduri detaliate de testare a sistemelor din domeniul de evaluare
– Rezultate brute ale activităților de testare

Etapa III. Proceduri de analiză a rezultatelor testării – interpretarea şi analiza rezultatelor testelor de securitate efectuare în etapa anterioară. Principale activităţi ale acestei etape constau în:

  • Raportarea vulnerabilităţilor tehnice descoperite în urma scanărilor de securitate.
  • Propuneri de îmbunătăţire a sistemului de securitate bazate pe vulnerabilităţile şi neconformităţile descoperite în urma derulării testelor de securitate.
  • Elaborarea raportului final al testării securităţii sistemului informatic.

Livrabile:
– Raport de audit
– Plan de măsuri pentru remedierea riscurilor de securitate identificate

TEHNICI DE TESTARE

Analiza topologiei de reţea se face pe baza documentaţiei de reţea a sistemului ţintă. Presupune analiza arhitecturii de reţea şi a mecanismelor de securitate implicate în funcţionarea sigură a sistemului ţintă după cum urmează:

  • Analiza topologiei de reţea, conectarea cu alte reţele, separare sistemelor publice, subreţele;
  • Identificarea şi analiza configuraţiei pentru elementele active de reţea;
  • Identificarea sistemelor active de protecţie.

În cazul în care documentaţia nu este completă sau nu este actualizată, analiza se poate face pe baza discuţiilor cu personalul tehnic responsabil. Analiza are ca scop identificarea vulnerabilităţilor de reţea pentru sistemele ţintă.

Analiza configuraţiei sistemelor se face pe baza documentaţiei şi a fişierelor de configurare pentru sistemele analizate. În funcţie de rolul sistemului analizat se pot distinge următoarele situaţii:

  • Analiza sistemelor de tip ruter, firewall, IDPS – se vor analiza fişierele de configurare şi documentaţia care detaliază regulile de filtrare şi scanare a conţinutului;
  • Analiza sistemelor de tip server web – se va analiza modul de configurare a rulării conţinutului activ, modul de separare a fişierelor publice, metode de cifrare a protocolului web, alte mecanisme de securitate;
  • Analiza sistemelor de tip server de email – se vor analiza mecanismele de securitate de tip antivirus şi antispam, autentificarea utilizatorilor pentru acces la căsuţele de email şi pentru trimiterea de emailuri, cifrarea protocoalelor de comunicaţie;
  • Analiza sistemelor de tip server de baze de date – se va analiza modul de configurare a serverului cu privire la accesul clienţilor (aplicaţiilor client) la sistemul de baze de date;
  • Analiza sistemelor de tip server DNS – se va analiza modul de implementare a zonelor DNS, modul de replicare şi modificare a zonelor în mod automat;
  • Analiza altor sisteme de tip server – în funcţie de specificul serviciului se poate avea în vedere: analiza configurării autentificării utilizatorilor, parametrii de izolare a proceselor serviciului, metode de cifrare şi de gestiune a instrumentelor de cifrare, interacţiunea cu alte servicii.

Această tehnică nu-şi propune analiza configurării sistemelor de calcul de tip staţie de lucru ce pot fi scanate automat cu ajutorul unui instrument specializat. Indiferent de tipul sistemului analizat se vor avea în vedere şi parametrii de configurare ai sistemului de operare (sistem de fişiere, fişiere de loguri şi instrumente de audit, autentificarea utilizatorilor).

Analiza funcţionării mecanismelor de securitate constă în verificarea în practică a implementării mecanismelor de securitate impuse de politica de securitate a companiei (mecanismele de securitate legate de complexitatea şi durata de viaţă a parolelor, de exemplu). Verificarea se poate efectua în trei moduri:

  • Consultarea personalului tehnic – se poate vedea dacă mecanismele indicate de politica de securitate şi de documentaţia sistem au fost puse în practică în mod efectiv;
  • Intervievarea personalului non-tehnic – se poate vedea dacă mecanismele de securitate necesare sunt eficace;
  • Verificarea personală de către auditor a mecanismelor de securitate – poate indica posibilitatea ocolirii (sau nu) a mecanismelor de securitate.

Analiza proceselor cheie IT suport pentru securitate. Se realizează prin intermediul intervievării prin sondaj a personalului companiei. Procesele IT analizate includ:

  • Managementul accesului
  • Managementul schimbărilor
  • Copii de siguranță
  • Managementul cererilor de servicii si incidentelor
  • Managementul configuratiilor

Portfolio Categories:

Solutii GDPR 


GDPR. Tot ce trebuie sa stii. Pe scurt.

Ghid esential pentru companii privind Regulamentul General Pentru Protectia Datelor.
Daca il veti urmari cu atentie, veti reusi sa realizati cu succes alinierea la GDPR. .

Nu este o sarcina usoara sa aplicati si sa mentineti conformitatea cu regulamentul european de protectie a datelor. De aceea, am creat acest ghid, pentru a va ajuta sa aveti o imagine de ansamblu, simpla si clara, in ceea ce priveste GDPR.

261 de pagini de legislatie GDPR le-am comprimat intr-un ghid practic de 26 de pagini. Convenabil, nu?

Aboneaza-te la newsletter-ul nostru si primesti gratuit ghidul in format PDF.

* toate campurile sunt obligatorii.


Informatiile dvs. vor fi folosite pentru a va trimite acest ghid si pentru a va abona la newsletter-ul nostru bi-lunar. Va vom trimite doar informatii relevante, iar datele dvs. nu vor fi transmise, niciodata, unei terte parti.


Desigur, oricand va puteti dezabona de la newslettrul Powernet. Cititi politica noastra de confidentialitate


 

Ghidul esential pentru companii privind GDPR contine:

  • Informatii complete, verificate, intr-un limbaj accesibil si pe intelesul tuturor. Acest ghid GDPR a fost creat de experti in domeniu si contine informatii valoroase, verificate de specialisti din domeniul legislatiei privind protecția datelor.
  • Sfaturi practice si actionabile de la experti. Bazandu-ne pe experienta extinsa, acumulata de echipa PowerNet in sesiunile de consultanta privind conformitatea cu standardele GDPR si standardele de securitate a informatiilor, am intesat ghidul cu sfaturi practice si actionabile pentru implementarea conceptelor juridice robuste. Iar la sfarsit, oferim un plan clar, in 6 pasi, catre conformitatea GDPR.

De ce oferim acest ghid gratuit?

Pentru ca ne dorim ca mediul de afaceri din Romania sa fie mai pregatit pentru provocarile tehnologice moderne si sa ia decizii informate in acest sens.  Deasemenea, urmarind newsletter-ul nostru bi-lunar veti primi, direct in inbox, stiri despre GDPR si solutii de securitate tehnologica care pot avea impact asupra business-ului Dumneavoastra. Iar atunci, cand aveti intrebari legate de complianta GDPR, sa stiti ca va puteti baza pe echipa PowerNet.

Portfolio Categories:

Solutii GDPR 


Cursuri GDPR/DPO

Cursul de initiere in GDPR vă permite să învățați elementele de bază pentru implementarea și gestionarea unui sistem de conformitate cu privire la protecția datelor cu caracter personal.
Veți parcurge principiile fundamentale ale confidențialității și vă veți familiariza cu rolul Reponsabilului cu rotecția datelor.

Tematica cursului

A. Introducere

  1. Sisteme de protectie a datelor cu caracter personal – la nivel european si international
  2. Reglementari europene
  3. Reglementari UE
  4. Legislatie nationala
  5. Sistemul institutional in materia protectiei datelor cu caracter personal

B. Fundamente

  1. GDPR – (Regulamentul General privind Protectia Datelor) – terminologie si fundamente
  2. GDPR – principiile prelucrarii
  3. GDPR – temeiul legal al prelucrarii
  4. GDPR – consimtamantul (obtinere/revocare, consimtamant informat)
  5. GDPR – categorii speciale de date
C. Drepturile persoanei vizate
  1. Transparenta si dreptul la informare
  2. Dreptul de acces
  3. Dreptul la rectificare si dreptul la stergerea datelor (dreptul de a fi uitat)
  4. Dreptul la restrictionarea prelucrarii
  5. Dreptul la portabilitatea datelor
  6. Dreptul de opozitie
  7. Procesul decizional individual automatizat, inclusiv crearea de profiluri
  8. Restrictionarea exercitiului drepturilor

D. Data Protection Officer

  1. Desemnare. Rol si competente. Analizarea conflictelor de interese
  2. Functia responsabilului cu protectia datelor
  3. Independenta. Consilierea / informarea managementului
  4. Proceduri. Colaborare. Relatia cu persoana vizata
  5. Relatia cu Autoritatea Nationala de Supraveghere
  6. Competente profesionale. Instruire

E. Conformitatea cu GDPR

  1. Politici/proceduri privind protectia datelor cu caracter personal la nivelul organizatiei
  2. Identificarea datelor, a fluxurilor de date, determinarea categoriilor de date si maparea
  3. Determinarea conditiilor necesare respectarii principiilor prelucrarii, inclusiv retentia
  4. Determinarea conditiilor participantilor la prelucrare si a statutului legal, precum si a responsabilitatii acestora. Relatii si documente de lucru
  5. Evidentele activitatilor de prelucrare – identificarea si clasificarea activitatilor de prelucrare
  6. Privacy by design and by default – principii fundamentale
  7. Evaluarea impactului asupra protectiei datelor – fundamente
  8. Consultarea prealabila
  9. Securitatea datelor cu caracter personal. Notificare Autoritatii si a persoanei vizate in cazul incidentelor de securitate
  10. Transferul datelor cu caracter personal in afara UE – principii
Pentru inscriere si alte amnunte va rugam sa sunati la: +4021-201.94.81 
sau sa transmiteti un email la: sales@power.ro cu subiectul ‘curs gdpr’.

Portfolio Categories:

Solutii GDPR 


Panda Security

Endpoint Protection Plus

Endpoint Protection Plus ofera protectie centralizata si neintrerupta pentru toate statiile de lucru Windows, Mac si Linux, inclusiv laptop-uri si servere, pe langa sistemele de virtualizare si dispozitivele Android.

Cu Endpoint Protection, protectia este gestionata convenabil si usor de la o singura consola Web, permitand administrarea centralizata oricand si oriunde, fara a avea nevoie de cunostinte tehnice.

 

Endpoint Protection Plus

Systems Management

Systems Management este modalitatea usoara si accesibila de a gestiona, monitoriza si intretine toate dispozitivele organizatiei dvs., indiferent daca sunt in birou sau la distanta. Datorita simplitatii oferite de setarile preconfigurate, curba de invatare este practic inexistenta si asigura faptul ca infrastructura IT a organizatiei opereaza exact in functie de plan.

Controlul dispozitivelor ofera:

  • Vizibilitate granulara de 100% a dispozitivelor pe care le gestionati
  • Ramaneti la curent cu mediul dvs. IT si cu schimbarile
  • Controlati hardware-ul si software-ul instalat si in uz

Gestionati-va resursele IT dintr-o singura consola Web cu toate informatiile si instrumentele de care aveti nevoie:

  • Cloud-gazduit; fara infrastructura suplimentara
  • Gestionati-va toate dispozitivele, indiferent unde sunt in orice moment si de oriunde
  • Curba de invatare aproape inexistenta

Systems Management

Email Protection

Email Protection include un motor antivirus puternic care utilizeaza capacitatile maxime de detectare oferite de Inteligenta Colectiva. Acesta cuprinde un sistem multiplu de filtre pentru e-mailurile de intrare si de iesire, utilizand mai multe filtre de conexiuni, antivirus si continut pentru a oferi cea mai eficienta securitate.

Integrarea tehnologiei Cyren, incluzand liste de detectare a virusurilor si a reputatiei anti-spam, bazate pe modele, ofera protectie maxima.

Email Protection ofera protectie imediata, eficienta impotriva virusilor si a spam-ului, prin scanari online efectuate pe serverele Panda Security.

Email Protection este incredibil de simpla de utilizat. Configuratia serviciului si consola Web asigura o functionare completa chiar de la inceput.

 

Email Protection

Portfolio Categories:

Solutii GDPR 


Consultanta GDPR

Alinierea la GDPR a companiei dumneavoastra presupune urmatoarea abordare:

  • Faza 1, ce cuprinde: analiza situatiei existente si maparea dalelor cu character personal si a proceselor existente.

Practic, dupa incheierea acestei faze aveti toate informatiile pentru a putea continua pe cont propriu implementarea masurilor de aderare la GDPR.

  • Faza 2, ce cuprinde suport pentru implementarea masurilor propuse in procesele si documentele interne, adaptarea documentelor/ procedurilor/ contractelor, inclusiv suport pentru implementarea de solutii care sa usureze activitatea ulterioara datei de 25 mai 2018.

Astfel evaluarea situației curente precum si intelegerea specificului afacerii, a categoriilor de date cu caracter personal procesate si a principalelor procese se va face prin:

  • Analiza date publice
  • Discutii cu managementul
  • Completarea unui chestionar de evaluare de catre cei responsabili
  • Studierea documentelor furnizate (la cerere)
  • Agrearea rezultatelor cu managementul

Se va trece apoi la identificarea datelor personale utilizate (atat cele primite de la subiecti, cat si din alte surse sau produse de companie) – pe arii de business – precum si la identificarea mijloacelor de prelucrare si stocare a informatiilor:

  • Analiza raspunsurilor la chestionar,
  • Furnizare informatii la cerere (documente de proces, contracte sau exemple de date)
  • Pentru domeniile cu grad mare de generalizate (HR, contabilitate,securitate video, GPS…) se pleaca de la un set standard de date existent, analizandu-se doar diferentele) – pentru un efort minim

Urmatorul pas va fi identificarea si maparea scopurilor prelucrarii (pe tipuri de date), a duratei procesarilor,  rolurilor implicate si a tertelor parti care au acces la date.

Analiza de riscuri si gap-uri se face prin identificarea lipsurilor si propunerea de alternative. Pentru fiecare neconformitate cu cerintele GDPR se va analiza:

  • riscul (din punct de vedere al impactului asupra subiectilor, dar si a afacerii),
  • se vor prezenta alternative,
  • se va face o estimare a costurilor de implementare

In final se va face o propunere pentru procese/proceduri lipsa iar pentru ariile care nu fost deloc adresate anterior se vor propune un set de procese si proceduri noi.

**** Procesele si procedurile propuse vor necesita anumite particularizari ulterioare, in functie de posibilitatile de implementare sau vor contine un set de cerinte noi ce vor trebui inserate in documentele interne sau contracte cu terti.

Portfolio Categories:

Solutii GDPR 


DLP & Mobile Device management – Endpointprotector
Endpointprotector acopera:

  • Scurgeri de date/ Pierderi de date/ Furturi de date
  • Folosirea necontrolata de aparatelor
  • Managementul echipamentelor mobile
  • Neconformitatea cu reglementarile
  • Productivitatea scazuta

Endpoint Protector  poate fi implementat ca hardware sau prin mediu virtual, fiind instalat in cateva minute, In plus, interfata de management responsive permite verificari de rapoarte de pe orice dispozitiv, de la desktop la tablete.

Endpoint Protector reduce semnificativ riscurile amenintarilor interne care pot duce la scurgeri de sau furturi de date. Iar respectarea diferitelor reguli si reglementari este indeplinita.

Sistemul este bazat pe o impartire in liste albe si negre, ce permite dezvoltarea politicilor corecte. Organizatiile au astfel optiunea de a interzice folosirea anumitor dispozitive mobile, de a limita transferurile catre aplicatii tip cloud sau alte servicii online, de a scana pentru anumite PII-uri, dar si de a permite transferuri catre anumite URL-uri sau domenii pentru a evita intreruperea task-urilor.

Potrivite oricaror retele, produsele noastre pot fi folosite de catre intreprinderi mari, mijlocii si mici. Cu o structura client-server, ele sunt usor de instalat si controlat prin platforma online.

Endpoint Protector

Portfolio Categories:

Solutii GDPR 


Endpoint Protection Platform (EPP) – SentinelOne

Endpoint Protection Platform (EPP) – SentinelOne

  • protejeaza impotriva tuturor tipurilor de atacuri cibernetice majore
  • unifica prevenirea, detectarea si raspunsul într-o singura platforma, condusa de automatizarea inteligenta.
  • reducerea suprafetei de atac prin liste albe si liste negre
  • monitorizeaza si furnizeaza informatii detaliate in timp real.

Acesta va permite sa preziceti comportamentele rau-intentionate in timp real, sa eliminati rapid amenintarile prin sisteme complet automatizate si integrate, si sa va adaptati apararea impotriva atacurilor cibernetice cele mai avansate.

Endpoint Protection Platform SentinelOne

Endpoint Protection Platform

Portfolio Categories:

Solutii GDPR 


Camouflage Data Masking – Imperva

Beneficiile serviciului Camouflage Data Masking

  • Utilizati datele de productie in siguranta si in mod liber in medii neproductive, cum ar fi testarea / asigurarea calitatii, dezvoltarea de aplicatii, instruirea si externalizarea.
  • Obtineti vizibilitate in ceea ce priveste datele sensibile
  • Activati procesele de afaceri bazate pe date fara a expune date sensibile
  • Implementati un proces de mascare scalabila a unei companii
  • Respectati regulile de confidentialitate si protectia datelor, cum ar fi PCI, HIPAA, GDPR.

 

Camouflage Data Masking Impreva

Portfolio Categories:

Solutii GDPR 


Data Loss Prevention (DLP) – Forcepoint

Forcepoint DLP recunoaste angajatii tai ca prima linie de aparare in fata atacurilor cibernetice de azi.

  • Descopera si controleaza datele indiferent de locatie, fie ca sunt in cloud sau retea, pe email sau endpoint.
  • Educa angajatii pentru ca acestia sa ia decizii corecte – folosind mesaje care ghideaza actiunea utilizatorilor, educa angajatii asupra politicilor de securitate si valideaza intentia utilizatorilor atunci cand acestia interactioneaza cu date importante.
  • Colaboreaza in siguranta cu partenerii tai folosind sisteme de auto-encryption pentru documentele care circula prin organizatie.
  • Aplica clasificari si targetari ale datelor prin integrarea cu sisteme externe de clasificare (de exemplu Microsoft Azure Information Protection, Bolden James, Titus).

Data Loss Prevention
Portfolio Categories:

Solutii GDPR 


Securitate email – Forcepoint

Securitate email Forcepoint:

  • Opreste atacurile targetate – Sistemul avansat de clasificare Forcepoint (ACE) este in mijlocul tuturor solutiilor Forcepoint.
  • Asigura datele sensibile fata de atacuri externe sau amenintari interne – Pentru a fi pregatit in fata atacurilor interne sau externe, este vitala monitorizarea comunicatiilor de iesire.
  • Integreaza in siguranta tehnologiile cloud precum Office 365, sustinand in acelasi timp mobilitatea – departamentele IT sunt fortate sa mentina sistemele din prezent, mai ales cand forta de munca este preponderent mobile. De aceea se cere adoptarea noilor tehnologii precum Office 365.
  • Identifica utilizatorii cu comportament de “risc major” si ofera educatie pentru a imbunatatii constientizarea. Bogatele bazele de date obtinute in sistemul de Securizare email Forcepoint sunt folosite pentru a realiza rapoarte si a identifica zonele din sistem care necesita atentia departamentului IT.

Forcepoint Email Security  Protectie Impotriva Atacurilor Targetate

Portfolio Categories:

Solutii GDPR