Zin en Onzin
11-12-2007,10:55 doorRedactieReacties: 1
In het kader van de themaweek Managed Security vorig jaar betoogde ik dat het uitbesteden van beveiliging een hoge mate van maturiteit in de organisatie vraagt: je moet immers weten wat je aan beveiliging moet doen, voordat je dat door een ander kan laten doen. Om een smart buyer te zijn moet je méér materiedeskundigheid hebben dan als je het zelf doet, want bij zelf doen geval kun je nog 'Iteratief' kennis opbouwen. En bijgevolg zul je er meer van moeten weten dan je leverancier. Maar goed, dit jaar wil ik iets minder filosofisch naar deze materie kijken. Het concept Managed Security Service Provider (MSSP) lijkt bedacht te zijn door Counterpane – nou ja, dat zeggen ze zelf. Gartner heeft dit MSSP concept eind vorige eeuw omarmd en massaal aanbevolen. Volgens het magic quandrant Noord Amerika van 1/8/07 staat Verisign bovenin (zowel in visie als in het vermogen tot uitvoering), op de voet gevolgd door IBM, AT&T en Symantec en meer op afstand gevolgd door BT en onze eigen KPN (nou ja, Getronics dan). In de Europese Magic Quadrant van April 2007 staan eigenlijk alleen Cybertrust en Integralis als partijen die een geschiedenis hebben in Security, de rest zijn dezelfde doorsnee mix van systeem integrators en telco’s die alles aanbieden wat een beetje potentie lijkt te hebben. Wat overigens niets hoeft te zeggen over de kwaliteit. In dit licht moet je ook de overname van GPR door de KPN zien: BT heeft Counterpane, Deutsche Telecom heeft debis en dan kun je niet achterblijven. Deze 'me too' scenario’s spelen een grote rol, waardoor grote bedragen worden gespendeerd om het portfolio op hoofdlijnen vergelijkbaar met dat van de concurrentie te maken. De vraag of het allemaal even zinvol is voor de klant, krijgt minder aandacht zo te zien. De uitkomst van Gartner is niet verwonderlijk, als je je realiseert dat het zwaarst wegende aspect in deze weging de omvang van de firma en de financiële positie is. Met dit soort vergelijkingen zul je als je een auto koopt thuiskomen met een Opel of een Fiat. Prima auto’s hoor, maar als je naast iemand parkeert in een Donkervoort of een Spyker, steekt het wat schraal af. Als je een auto moet hebben om indruk te maken op de buren, is een Kadett of een Panda duidelijk een mismatch. En helemaal als je nog geen rijbewijs hebt – het gaat op den duur toch opvallen dat je er nooit in rijdt. Wat is er te koop? Managed Security is een containerbegrip, waarin allerlei beveiligingszaken in een doosje met een strik erom aangeboden worden. Om te voorkomen dat je appels en peren vergelijkt, is een korte rondgang noodzakelijk. Bij het vergelijken van abstracte, samengestelde proposities als Managed Security moet je nu eenmaal onder de motorkap kijken om te zien wat het aanbod nu precies inhoudt. Het resultaat van een rondgang langs de aanbieders lijkt dat het beheer van security devices geouttasked wordt. Security Devices variëren een beetje, waarbij sommige leveranciers zich beperken tot de klassieke firewalls, maar het merendeel woont inmiddels wat hoger de OSI stack in door ook allerlei IDS/IPS-achtigen en crypto spul te beheren. De meeste aanbieders concentreren zich bij het beheer van devices op de netwerk perimeter, sommigen durven de sprong het interne netwerk in, aan. Een specifieke categorie zijn de aanbieders van Managed PKI services, maar in de praktijk lijkt deze markt zeer beperkt. Nu ja, de meeste bestuurders krijgen nog steeds puistjes als je PKI roept…. Als toefje op de taart wordt over het algemeen ‘threat management’ in allerlei varianten aangeboden, waarbij je eerder dan de rest van de wereld weet dat er een gat zit in een stuk software, zonder dat je daarvoor zelf allerlei bronnen in vele talen moet gaan doorwaden om deze informatie te vinden. Om eens te gaan kijken wat je aan Managed Security zou hebben of wat je zou willen aanbieden, moeten we nader ingaan op de verschillende onderdelen van de dienstverlening. Managed Security Devices Deze categorie omvat het bulk van alle aanbieders. Met het uitbesteden van het beheer van een stel appliances is op zich niets mis, omdat die dingen ook beheerd moeten worden. Bij de producten die zich op de applicatielaag begeven is er een behoorlijke patchcyclus en als het volgende gat in een rar of chm parser gepubliceerd wordt, zal een externe leverancier wellicht sneller patchen dan je dat zelf zou doen. Doen dus. Als je vervolgens leest dat 'Managed Firewall Services' een 'totaaloplossing voor de implementatie en beheer van een effectief Security beleid binnen een organisatie' bieden “door inzet van ervaren, gecertificeerde security engineers en consultants”, ga je toch weer twijfelen. Firewalls die uitstekend helpen binnen een netwerk? Is dit een leverancier die voldoende kennis heeft? Het in de lucht en gepatched houden van een firewall, een VPN concentrator, een IDS of een log correlatiedoosje is het simpelste stuk, je moet echter nog steeds iets dóen met dergelijke apparaten. Zeker met de meer geavanceerde. Zoals ik laatst als predikte op dit platform moet je als bewaker weten wat je bewaakt omdat je anders niet weet wat je ziet. Dit houdt in dat je als MSSP-klant je leverancier in detail op de hoogte moet brengen van wát en wie er bewaakt wordt en of er intern (of extern) operationeel iets speelt waardoor normaliter valide verkeer dat op eens niet hoeft te zijn. Dat kan zoiets banaals zijn als een medewerker die uit dienst is gegaan. Het “detecteren van afwijkingen in het netwerk van de klanten en het onmiddellijk op de hoogte brengen van de klant” is dan ook grotendeels wensdenken: alle beperkingen en nuances van bewakingssystemen gelden, ongeacht of deze nu in-house dan wel geoutsourced bediend worden. Managed Security Devices zal helaas zelden meer voorstellen dan het in de lucht houden van onderbenutte geavanceerde doosjes. De bijdrage aan de veiligheid is dan ook gering, de rationale is puur kosteneffectiviteit. Hoewel effectief, je geeft minder uit aan iets wat je net zo goed kan laten, omdat je er nog niet aan toe bent. Haal eerst maar je rijbewijs voordat je die Panda koopt. Managed Secure Internet Hosting Feitelijk is dit gewoon hosting met een modieus verkooppraatje, vrijwel iedere echte hosting provider regelt de beveiliging goed. Ze moeten wel. Dit is de meest volwassen vorm van Managed Security. Managed Secure Internet Access Deze vorm kan wel interessant zijn om te outsourcen: voor je inbound proxy staat een filtering proxy die virussen en spyware vangt en de meest omineuze sites op een blacklist zet. Deze extra laag kan veel ellende voorkomen. Hierbij geldt dat dit alleen het algemene basisniveau kan leveren. Een nadeel om in de gaten te houden dat een filter op de proxylaag de feitelijke bandbreedte aanzienlijk beperkt. Dit is ondanks de uitvoerbaarheid en het evidente nut verassend genoeg een weinig gangbaar product bij de grote MSSP. Het concept wint wél terrein bij de reguliere ISP’s, waar het waarschijnlijk beter past. Managed Secure E-Mail Deze categorie wordt door een paar gespecialiseerde aanbieders geleverd, en maakt vaker deel uit van een pakket van weer een andere aanbieder. Het beveiligen van mail laat zich goed outtasken, zo lang de afnemer niet verwacht dat het fire and forget is en een tamelijk algemeen beveiligingsniveau vraagt, net als bij de Secure Internet Access. Een aandachtspunt is mail integratie met andere functies zoals webmail: mailscanners werken op SMTP niveau waardoor de eigen mailinfra niet meer extern zichtbaar mag zijn. Het kan daardoor conflicteren met webmail en de wens op userniveau verschillende regels neer te zetten. Het wordt anders als je bijvoorbeeld meer dan de standaard beveiligingsfuncties vraagt; wil je dat alles wat positief herkend wordt als virus of spam verwijderd wordt zijn er tal van prima aanbieders die dit wellicht goedkoper kunnen dan je het zelf zou doen met dezelfde standaardproducten. Wil je dat informatielekken door eigen medewerkers of alle 0-day’s worden tegengehouden, dan zul je merken dat iets anders dan een kadett niet in het assortiment zit. Managed Threat Management Wat je uitbesteedt met deze dienst is het afspeuren van de boze buitenwereld op nieuwe bedreigingen. Je MSSP koopt het op haar beurt weer in bij een hierin gespecialiseerde speler. Threat Management is prima etalagemateriaal, want je laat zien dat je proactief goed op de hoogte bent wat je bedreigd. En de besparing kan op het eerste gezicht reëel zijn, omdat het doorlezen van duizenden berichten per dag in allerlei moeilijke talen op zoek naar dat ene puntje dat een eigen systeem kan raken wellicht niet kosteneffectief is. Maar de vraag is wát je er überhaupt aan hebt. Immers, je hebt een tijdje eerder het nieuws dat er een gat zit in een PHP script op een specifieke Linux distro of je kent eerder de details over een gat in Excel. Bij de eerste moet je je afvragen of je dat script eigenlijk wel hebt, en of het in een kwetsbare opstelling draait, en bij het tweede of de organisatie het gaat vreten dat je een tijdlang – tot er een fix is – het gebruik van Excel uitsluit. En als er géén fix komt, dat je het hele product per direct overboord gooit…. Hetzelfde geldt de gedetailleerde informatie over virussen: wat heb je aan de informatie in realtime, als je antivirus producten het vervolgens niet kunnen onderscheppen? Ga je de internetpijp dichtgooien omdat er mogelijk een virus aankomt? Wanneer mag die dan weer open? Kennis zonder dat je er iets mee kunt veranderen, leidt hooguit tot een gefrustreerde Security Officer. Zonder een zeer goed functionerende beheerorganisatie en/of een dringende behoefte een hoog veiligheidsniveau te realiseren, is Threat Management dan ook meer bezigheidstherapie voor Security-knutselaars dan zakelijk zinvol. Hoewel je de directie goed de stuipen op het lijft kunt jagen met het aantal bedreigingen waar je geen middelen tegen hebt. Maar of en wanneer het nuttig is je eigen onvermogen zo te etaleren behoort tot de arena der politiek. Andere diensten Naast deze vormen van managed service worden incidenteel nog andere zaken onder de noemer geschaard, om een nog breder en indrukwekkender portfolio te bouwen. Forensische Opvolging, Managed Vulnerability Management of Managed Security Audit zijn niet meer dan terugkerende diensten in deze of gene vorm. Kan helemaal zijn wat je zoekt, maar ik zou dit onder koppelverkoop scharen; het woord Managed staat ongeveer gelijk aan een strippenkaart of een abonnement en ik zou het feit dat ik iedere twee weken de Bobo door de brievenbus krijg toch niet als Managed Service durven omschrijven. Het Managen van Managed Security Een vereiste voor iedere managed service is dat je een manier hebt om de resultaten te meten. Tenminste, als het goed is, je gaat toch geen contract afsluiten vanwege een buikgevoel en mooie taartpunten en stoplichten? Nou dan! Security Metriek geldt als een soort holy grail, net zoiets als ROSI (Return On Security Investment) dat is. Uitbesteding geeft nog een extra dimensie aan deze queeste. De uitdaging der metriek is in Managed Security van een hele andere ordegrootte dan bij normale outsourcing, en ga er van uit dat de gemiddelde service manager hier inhoudelijk niet op voorbereid is. Een Security incident is geen storing die ‘opgelost’ is als de stack van een doosje weer antwoord geeft op een ping. Eindgebruikerstevredenheid zegt bij Security niet of de gestelde doelen bereikt zijn, misschien eerder het tegendeel. De klassieke KPI’s gelden hier niet. Het gaat meestal mis in de discussies als het subtiele verschil tussen de beveiliging en de resulterende veiligheid niet voldoende onderkend wordt. Het meest realistische is het meten van de inspanning van de leverancier in plaats ‘resultaten’. Als je de leverancier op de resulterende veiligheid wilt afrekenen, moet je immers de detaillering van het beveiligingsbeleid en de dagelijkse interpretatie overlaten aan de leverancier. En dat wil je wellicht niet, niet in het minst omdat je dan maar één leverancier kunt hebben. Je kunt de bewaker van de voordeur niet afrekenen op het resultaat, behalve als je geen achterdeuren hebt én dat aan kunt tonen. Je loopt bovendien al gauw vast in oeverloze discussies over hoe dat virus op het netwerk is gekomen of waarom je niet gezien hebt dat de echtgenoot van een ex-medewerkster informatie uit een systeem steelt. Forensisch onderzoek kan dan – in sommige gevallen – uitsluitsel geven, maar de zakelijke relatie staat op dat moment al zó onder druk, en digitale bewijsvoering is zó ondoorgrondelijk en inhoudelijk betwistbaar, dat je die kant écht niet op moet willen. Het laatste aandachtspunt dat ik mee wil geven, is het verschil is tussen het meten van de beveiligingsinspanning en het meten van goede bedoelingen. Dat een Managed Security provider ISO27001/CMM-SSE of whatever gecertificeerd is, zegt niet noodzakelijker wijze iets concreets over hoe goed deze de informatie van een klant beveiligd. De gangbare methodes zijn te abstract voor een dergelijk gebruik. Ze stellen statische doelen, zonder beschrijving van de middelen, en zijn niet gedimensioneerd op uitbestedingsrelaties waarbij een leverancier meerdere partijen met verschillende beveiligingsbehoeftes bediend. Deze noodzakelijke nuanceringen maken het er niet verkoopbaarder op, behalve als de afnemer bereid en in staat is diep op de materie in te gaan. Of blind te tekenen. 'Managed Security' is al met al een gemengd pakket van onrijpe en rijpe diensten. Voor de meeste organisaties zal de bezuiniging van uitbesteden inhouden dat ze minder uitgeven aan iets wat ze net zo goed kunnen laten, behalve als ze het doen met het expliciet doel ervaring op te doen. Als ze deze eerste horde genomen hebben en een echte smart buyer zijn geworden, is het verantwoord bepaalde diensten in te kopen. Ik acht de kans groot dat ze dan weer té goed weten wat de beperkingen van de meeste proposities zijn, en hoeveel ze nog steeds zelf moeten doen, zodat ze het liever helemaal zelf blijven doen. Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -
zondag 31 augustus 2008
Bank verliest tapes met gegevens 12,5 miljoen klanten
Vrijdag, 30 augustus 2008
De Bank van New York Mellon heeft niet de gegevens van 4,5, maar van 12,5 miljoen klanten verloren. Het gaat om rekeninggegevens, zoals namen, adresgegevens, geboortedata en Social security nummers, die op zes onversleutelde backup tapes stonden die een koerier verloor. Vanwege het grote aantal gegevens, is het waarschijnlijk het grootste beveiligingsincident van dit jaar. "Het is schandalig dat deze berg van gegevens niet beter beschermd is, en het is net zo schandalig dat zes maanden nadat het heeft plaatsgevonden er nog eens zes miljoen extra individuen en bedrijven getroffen zijn," aldus de gouverneur van Connecticut Jodi Rell. Ze overweegt nu om de betrokken bedrijven te beboeten en hun klanten financieel te laten compenseren. Volgens de bank zijn er geen aanwijzingen dat de informatie misbruikt is.
Tags: backup tapesbankdataverlies
De Bank van New York Mellon heeft niet de gegevens van 4,5, maar van 12,5 miljoen klanten verloren. Het gaat om rekeninggegevens, zoals namen, adresgegevens, geboortedata en Social security nummers, die op zes onversleutelde backup tapes stonden die een koerier verloor. Vanwege het grote aantal gegevens, is het waarschijnlijk het grootste beveiligingsincident van dit jaar. "Het is schandalig dat deze berg van gegevens niet beter beschermd is, en het is net zo schandalig dat zes maanden nadat het heeft plaatsgevonden er nog eens zes miljoen extra individuen en bedrijven getroffen zijn," aldus de gouverneur van Connecticut Jodi Rell. Ze overweegt nu om de betrokken bedrijven te beboeten en hun klanten financieel te laten compenseren. Volgens de bank zijn er geen aanwijzingen dat de informatie misbruikt is.
Tags: backup tapesbankdataverlies
Role Based Access Control ???
Role Based Access Control
Uit Wikipedia, de vrije encyclopedie
Ga naar: navigatie, zoeken
Role Based Access Control (RBAC) is een methode waarmee op een effectieve en efficiënte wijze de toegang tot informatiesystemen kan worden ingericht.
Inhoud[verbergen]
1 Methode
1.1 Voorbeeld RBAC
2 Standaarden
3 Alternatieve toegangscontrole methodieken
4 Bekende RBAC hulpmiddelen
5 Zie ook
6 Externe links
//
[bewerk] Methode
Kenmerk van RBAC is dat individuen niet rechtstreeks worden geautoriseerd in informatiesystemen, maar dat ze uitsluitend rechten krijgen op basis van een vorm van groepslidmaatschap, op basis van de rol die ze hebben binnen een organisatie of bedrijfsproces. Ook de permissies op objecten/functies in informatiesystemen kunnen worden gegroepeerd in rollen.
Door het koppelen van de rol van de gebruiker in de organisatie aan een rol in een informatiesysteem, is het eenvoudig om de effectieve rechten van een gebruiker te bepalen. Het daadwerkelijk toekennen van rechten en permissies aan een gebruiker en het verstrekken van gerelateerde objecten (tokens en dergelijke) heet provisioning.
In het kader van RBAC trajecten wordt binnen organisaties een overzicht van de gebruikte rollen opgesteld middels de techniek van role-mining.
[bewerk] Voorbeeld RBAC
Bob vervult de rol van baliemedewerker bij een bank.
Het CRM-systeem kent de rol klantcontactbeheer.
De organisatierol baliemedewerker wordt gekoppeld aan de informatiesysteemrol klantcontactbeheer. Daarmee verkrijgt Bob automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren.
Op zich levert deze inrichting geen besparing op. Maar als nu ook Alice wordt benoemd als baliemedewerker, dan verkrijgt ook zij automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren. En als Bob van rol wisselt doordat hij niet langer baliemedewerker is maar de functie van hypotheekadviseur krijgt, dan raakt hij ook automatisch de klantcontactbeheer functies kwijt.
[bewerk] Standaarden
Het Amerikaanse NIST heeft een standaard voor RBAC gedefinieerd. De meeste producten die op de markt zijn verschenen zijn in staat om de standaard te volgen.
[bewerk] Alternatieve toegangscontrole methodieken
RBAC is niet een model om de autorisaties op een dynamische wijze toe te kennen. Om dat te realiseren kan de methode van Rule Based Access Control of Lattice Based Access Control worden toegepast. Deze beide vormen van toegangscontrole zijn ook onder de noemer Mandatory Access Control te vatten.
Ook Discretionary access control is een vorm van toegangscontrole, waarbij de eigenaar van een object zelf bepaalt wie welke toegangsrechten mag uitoefenen.
[bewerk] Bekende RBAC hulpmiddelen
BetaSystems SAM Jupiter
BHOLD Company
BMC Control SA en IdM
CA eTrust
HP Select Access
IBM TIM en TAM (Tivoli Identity Manager en Tivoli Access Manager)
Microsoft Authorization Manager (Azman)
Novell Access Manager
Sun Identity Management Suite
[bewerk] Zie ook
Bell-La Padula vertrouwelijkheidsmodel
Biba integriteitsmodel
Take-Grant Model
The Clark-Wilson integriteitsmodel
Graham-Denning Model
Security Enhanced Linux
[bewerk] Externe links
Role Based Access Controls at NIST - De RBAC standaard van het NIST
Handreiking Identity Management van het Genootschap van Informatiebeveiligers (GvIB)
Categorieën: Informatiebeveiliging Identity and Access Management
Zet RBAC bij het grof vuil
Woensdag,16:55 doorRedactieReacties: 14
In de slag om compliance aan SOX en vergelijkbare 'hoge normen' stellen beveiligingsspecialisten RBAC voor als conditio sine qua non. Deze trend wint nog steeds terrein. Er zijn ook al consultants die RBAC-compliancy eisen van software zoals Active Directory of IDM, in het kader van SOX. RBAC-achtige features in allerlei software wordt ook verpakt in compliancy termen - sommige leveren 'GRC'-modules en sinds enige tijd is er zelfs 'Compliancy As A Service (CaaS). Dit is niet heel vreemd: RBAC is eind jaren tachtig bedacht om dit soort problemen op te lossen. Maar noch SOX noch PCI-DSS schrijven het voor; er wordt alleen een "adequate internal control" geëist, en vendors en consultants roepen in koor dat RBAC in allerlei subsmaken de enige manier is. Was dat maar waar. RBAC is een slecht plan en brengt je juist verder van adequate interne controls omdat het niet werkt. Rollenexplosie Het uitgangspunt bij RBAC is dat medewerkers die hetzelfde werk doen, dezelfde rechten en applicaties nodig hebben. RBAC wekt daarmee de schijn van efficiency en 'consolidatie', van rechtvaardigheid. Deze schoonheid trekt mensen met een ordelijke geest aan, waarvan er velen in de ICT werken. Maar wat is hetzelfde werk? Het idee dat verschillende mensen dezelfde rol hebben en dus gelijk zijn, is een misvatting. Een secretaresse heeft meestal rechten op de mailbox van de baas. Een programmeur heeft toegang tot de source code repository. Maar welke baas? Welke repository? Sommige bazen hebben meerdere secretaresses of delen secretaresses. En programmeurs hebben de hebbelijkheid niet altijd aan alle projecten te werken. Medewerkers hebben altijd meer dan één rol. Sommige medewerkers hebben sóms maar één rol. Zelfs in de spreekwoordelijke koekjesfabriek hebben mensen meerdere petten - denk aan lijn en projectrollen, interimtaken en allerlei vormen van samenwerking en taakwaarneming. Bovendien zijn er ook autorisaties nodig voor eenmalige taken, zoals toegang tot een dataset voor het maken van jaarrekeningen of root toegang tot een systeem om een storing op te lossen. Ieder RBAC project stuit dan ook op het feit dat er meer rollen dan gebruikers zijn. En dan gaan ze groepen samenstellen op grond waarvan mensen rechten krijgen. Iedereen krijgt alle rechten die een ander lid van het groepje nodig heeft. Je krijgt dus altijd meer rechten dan je nodig hebt. Dat draagt niet bij tot meer veiligheid, integendeel, want als iemand expliciet rechten krijgt dan is misbruik wel heel moeilijk aan te tonen. Op dit vraagstuk struikelen de meeste implementaties. Maar er is meer mis. Autorisaties waarop? In normale omgevingen zal RBAC alleen de toegang tot applicaties, devices en directories kunnen regelen. Dit zijn hooguit indirecte waarborgen van de veiligheid van de informatie; er is immers geen mechanisme dat afdwingt waar de informatie staat. Door deze beperkingen is RBAC een puur IT-feestje, waarbij je niet op medewerking van 'de business' of 'Corporate Security' hoeft te rekenen. Een goed werkende RBAC zou ervoor kunnen zorgen dat gebruikers sneller en met minder fouten toegang tot IT resources krijgen, maar dat heeft niets met compliancy (het voorkomen van misbruik immers) te maken. Niet alles is rolgebonden Het klassieke rollendenken kent twee variabelen, rollen (functies) en autorisaties. RBAC koppelt autorisaties alleen aan functies van personen. Beveiligingseisen zijn echter niet alleen afhankelijk van medewerkers. Sommige taken mogen niet op bepaalde systemen worden uitgevoerd, omdat ze op minder veilige plaatsen staan. Denk daarbij aan balie PC's en thuiswerkplekken, maar ook aan meer en minder beveiligde zones en panden. Op jacht naar de bron RBAC vraagt aan een bronsysteem actuele attributen op grond waarvan rechten uitgedeeld kunnen worden. Het bronsysteem voor rollen is meestal de HR administratie. Daarin staat wel op welke afdeling iemand zit (of zat) en wat de functienaam van iemand is (of was). Maar je hebt veel meer input nodig als je niet met heel grove schetsen autorisaties wilt uitdelen, veel meer informatie dan HR heeft. Die moet je gaan bijhouden. Als je geen bron hebt, dan moet je alles handmatig gaan doen. Nu zijn er soms wel andere registers die de benodigde informatie bevatten. Maar om het urenschrijfsysteem, de prikklok en het helpdesksysteem te koppelen als bron voor deze onmisbare informatie, gaat nogal ver. Het zal slechts incidenteel kunnen, omdat vrijwel al deze registraties achteraf vastleggen, terwijl RBAC de informatie vooraf nodig heeft. Datakwaliteit RBAC en ieder ander geautomatiseerd autorisatiebeheer is 100% afhankelijk van triggers in bronsystemen. De datakwaliteit is kritiek, en hoe meer brongegevens je moet gebruiken, hoe meer data die nu nog informationeel is, kritiek wordt. Voor HR is het kamernummer een leuk extraatje, maar als je er provisioning aan koppelt moet het kloppen. En blijven kloppen. Het gebruik van meerdere bronnen leidt tot interessante synchronisatievragen en arbitraire keuzes over welke gegevens wanneer leidend zijn. Als één systeem 90% goede data heeft, dan gaat 10% van de autorisaties fout. Met vijf bronsystemen met ieder 90% kwaliteit mag je blij als er wel eens een transactie lukt. Bedenk je dat als data op twee plekken staat in plaats van op een plek, iedere waarde in het eigen systeem kan kloppen maar dat ze ten opzichte van elkaar kunnen verschillen waarmee de datakwaliteit daalt. Hoge kwaliteit van data is fijn, maar zeker niet gratis. Onderhoud Naast bronnen voor triggers heb je voor alle geautomatiseerde provisioning business logica nodig: iedereen die op kamernummer A213 zit krijgt default printer B11787_VNS. Zit iemand in project HUPSA dan moet hij bij de projectenshare, op de testkamer V4_120 kunnen komen, rechten op bepaalde VPN's krijgen en een nieuwere versie van bepaalde software op de PC hebben. Echter, niet iedereen in het project heeft precies hetzelfde nodig. Stopt die persoon bij project HUPSA, dan moet hij nog twee maanden bij de data kunnen voor de nazorg maar niet meer bij de rest, terwijl andere mensen die stoppen met het project geen nazorgtaken hebben en dus ook niet onder de twee maanden regel vallen. Bij een gemiddeld project zijn deze zaken bovendien niet van te voren bekend, dus ze moeten snel. Als je dit soort vragen projecteert op een organisatie met enige schaalgrootte, een paar projecten en een reorganisatietje hier en daar, dan weet je dat je dagelijks tientallen mutaties in de logica zult hebben. En dit zijn mutaties die in de regel in de applicatiecode zitten. Als dat zo is, heb je na iedere logicawijziging een nieuwe release van de Code. De Change Manager ziet je al aankomen; en met maar één change window per week kom je er in ieder geval niet. RBAC 2.0? Jean Pierre Vincent beschrijft in het blad Informatiebeveiliging een concept voor "RBAC 2.0" met een structuurwijziging (een extra abstractielaag), om niet persoonsgebonden rules te kunnen bevatten. Een prima idee, waarvoor de 'toolleveranciers' wel even hun systemen moeten aanpassen. Dat zal misschien gebeuren, maar het existentiële probleem van de beschikbaarheid van brongegevens en de realiteit van de almaar wijzigende logica wordt er niet door opgelost. Zij maken RBAC tot een monstrum van complexiteit. De implementatie- en de beheeruitdaging zal navenant zijn, evenals de foutkans, dus het beweren dat de kosten zullen dalen en de veiligheid zal toenemen is erg optimistisch, ongeacht de wijzigingen in RBAC 2.0 of later. De belangrijkste argumenten om RBAC in te voeren zijn vermindering van de kosten en het verhogen van de veiligheid. Veiliger en goedkoper, omdat het eenvoudiger zou worden. Welnu, in de zestienjarige geschiedenis van RBAC is aangetoond dat het niet in te voeren is. Mislukte projecten zijn per definitie duur. En het mislukken is echt niet omdat het niet serieus geprobeerd is, knappere koppen dan alle Security.nl lezers bij elkaar hebben de tanden erop stukgebeten. Stukjes van RBAC zie je soms wel, maar het grote geheel is nergens gelukt. Het is net zoiets als PKI en X.500 - er zitten bruikbare zaken in, maar het grote concept is te complex en te ambitieus. Onbruikbaar dus. Het is dan ook hoog tijd dat we met z'n allen afspreken nooit meer te zeggen dat RBAC een bruikbare oplossing is. Voor je het weet staat het daadwerkelijk in een bindende richtlijn. Dan moeten we het bouwen en dat heeft uiteindelijk maar één mogelijke uitkomst: een compleet fiasco. Daarmee verliezen we veel van de opgebouwde geloofwaardigheid die we als ICT Security zo moeizaam opgebouwd hebben. Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -
Uit Wikipedia, de vrije encyclopedie
Ga naar: navigatie, zoeken
Role Based Access Control (RBAC) is een methode waarmee op een effectieve en efficiënte wijze de toegang tot informatiesystemen kan worden ingericht.
Inhoud[verbergen]
1 Methode
1.1 Voorbeeld RBAC
2 Standaarden
3 Alternatieve toegangscontrole methodieken
4 Bekende RBAC hulpmiddelen
5 Zie ook
6 Externe links
//
[bewerk] Methode
Kenmerk van RBAC is dat individuen niet rechtstreeks worden geautoriseerd in informatiesystemen, maar dat ze uitsluitend rechten krijgen op basis van een vorm van groepslidmaatschap, op basis van de rol die ze hebben binnen een organisatie of bedrijfsproces. Ook de permissies op objecten/functies in informatiesystemen kunnen worden gegroepeerd in rollen.
Door het koppelen van de rol van de gebruiker in de organisatie aan een rol in een informatiesysteem, is het eenvoudig om de effectieve rechten van een gebruiker te bepalen. Het daadwerkelijk toekennen van rechten en permissies aan een gebruiker en het verstrekken van gerelateerde objecten (tokens en dergelijke) heet provisioning.
In het kader van RBAC trajecten wordt binnen organisaties een overzicht van de gebruikte rollen opgesteld middels de techniek van role-mining.
[bewerk] Voorbeeld RBAC
Bob vervult de rol van baliemedewerker bij een bank.
Het CRM-systeem kent de rol klantcontactbeheer.
De organisatierol baliemedewerker wordt gekoppeld aan de informatiesysteemrol klantcontactbeheer. Daarmee verkrijgt Bob automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren.
Op zich levert deze inrichting geen besparing op. Maar als nu ook Alice wordt benoemd als baliemedewerker, dan verkrijgt ook zij automatisch de rechten die nodig zijn om de CRM functie van klantcontact te kunnen uitvoeren. En als Bob van rol wisselt doordat hij niet langer baliemedewerker is maar de functie van hypotheekadviseur krijgt, dan raakt hij ook automatisch de klantcontactbeheer functies kwijt.
[bewerk] Standaarden
Het Amerikaanse NIST heeft een standaard voor RBAC gedefinieerd. De meeste producten die op de markt zijn verschenen zijn in staat om de standaard te volgen.
[bewerk] Alternatieve toegangscontrole methodieken
RBAC is niet een model om de autorisaties op een dynamische wijze toe te kennen. Om dat te realiseren kan de methode van Rule Based Access Control of Lattice Based Access Control worden toegepast. Deze beide vormen van toegangscontrole zijn ook onder de noemer Mandatory Access Control te vatten.
Ook Discretionary access control is een vorm van toegangscontrole, waarbij de eigenaar van een object zelf bepaalt wie welke toegangsrechten mag uitoefenen.
[bewerk] Bekende RBAC hulpmiddelen
BetaSystems SAM Jupiter
BHOLD Company
BMC Control SA en IdM
CA eTrust
HP Select Access
IBM TIM en TAM (Tivoli Identity Manager en Tivoli Access Manager)
Microsoft Authorization Manager (Azman)
Novell Access Manager
Sun Identity Management Suite
[bewerk] Zie ook
Bell-La Padula vertrouwelijkheidsmodel
Biba integriteitsmodel
Take-Grant Model
The Clark-Wilson integriteitsmodel
Graham-Denning Model
Security Enhanced Linux
[bewerk] Externe links
Role Based Access Controls at NIST - De RBAC standaard van het NIST
Handreiking Identity Management van het Genootschap van Informatiebeveiligers (GvIB)
Categorieën: Informatiebeveiliging Identity and Access Management
Zet RBAC bij het grof vuil
Woensdag,16:55 doorRedactieReacties: 14
In de slag om compliance aan SOX en vergelijkbare 'hoge normen' stellen beveiligingsspecialisten RBAC voor als conditio sine qua non. Deze trend wint nog steeds terrein. Er zijn ook al consultants die RBAC-compliancy eisen van software zoals Active Directory of IDM, in het kader van SOX. RBAC-achtige features in allerlei software wordt ook verpakt in compliancy termen - sommige leveren 'GRC'-modules en sinds enige tijd is er zelfs 'Compliancy As A Service (CaaS). Dit is niet heel vreemd: RBAC is eind jaren tachtig bedacht om dit soort problemen op te lossen. Maar noch SOX noch PCI-DSS schrijven het voor; er wordt alleen een "adequate internal control" geëist, en vendors en consultants roepen in koor dat RBAC in allerlei subsmaken de enige manier is. Was dat maar waar. RBAC is een slecht plan en brengt je juist verder van adequate interne controls omdat het niet werkt. Rollenexplosie Het uitgangspunt bij RBAC is dat medewerkers die hetzelfde werk doen, dezelfde rechten en applicaties nodig hebben. RBAC wekt daarmee de schijn van efficiency en 'consolidatie', van rechtvaardigheid. Deze schoonheid trekt mensen met een ordelijke geest aan, waarvan er velen in de ICT werken. Maar wat is hetzelfde werk? Het idee dat verschillende mensen dezelfde rol hebben en dus gelijk zijn, is een misvatting. Een secretaresse heeft meestal rechten op de mailbox van de baas. Een programmeur heeft toegang tot de source code repository. Maar welke baas? Welke repository? Sommige bazen hebben meerdere secretaresses of delen secretaresses. En programmeurs hebben de hebbelijkheid niet altijd aan alle projecten te werken. Medewerkers hebben altijd meer dan één rol. Sommige medewerkers hebben sóms maar één rol. Zelfs in de spreekwoordelijke koekjesfabriek hebben mensen meerdere petten - denk aan lijn en projectrollen, interimtaken en allerlei vormen van samenwerking en taakwaarneming. Bovendien zijn er ook autorisaties nodig voor eenmalige taken, zoals toegang tot een dataset voor het maken van jaarrekeningen of root toegang tot een systeem om een storing op te lossen. Ieder RBAC project stuit dan ook op het feit dat er meer rollen dan gebruikers zijn. En dan gaan ze groepen samenstellen op grond waarvan mensen rechten krijgen. Iedereen krijgt alle rechten die een ander lid van het groepje nodig heeft. Je krijgt dus altijd meer rechten dan je nodig hebt. Dat draagt niet bij tot meer veiligheid, integendeel, want als iemand expliciet rechten krijgt dan is misbruik wel heel moeilijk aan te tonen. Op dit vraagstuk struikelen de meeste implementaties. Maar er is meer mis. Autorisaties waarop? In normale omgevingen zal RBAC alleen de toegang tot applicaties, devices en directories kunnen regelen. Dit zijn hooguit indirecte waarborgen van de veiligheid van de informatie; er is immers geen mechanisme dat afdwingt waar de informatie staat. Door deze beperkingen is RBAC een puur IT-feestje, waarbij je niet op medewerking van 'de business' of 'Corporate Security' hoeft te rekenen. Een goed werkende RBAC zou ervoor kunnen zorgen dat gebruikers sneller en met minder fouten toegang tot IT resources krijgen, maar dat heeft niets met compliancy (het voorkomen van misbruik immers) te maken. Niet alles is rolgebonden Het klassieke rollendenken kent twee variabelen, rollen (functies) en autorisaties. RBAC koppelt autorisaties alleen aan functies van personen. Beveiligingseisen zijn echter niet alleen afhankelijk van medewerkers. Sommige taken mogen niet op bepaalde systemen worden uitgevoerd, omdat ze op minder veilige plaatsen staan. Denk daarbij aan balie PC's en thuiswerkplekken, maar ook aan meer en minder beveiligde zones en panden. Op jacht naar de bron RBAC vraagt aan een bronsysteem actuele attributen op grond waarvan rechten uitgedeeld kunnen worden. Het bronsysteem voor rollen is meestal de HR administratie. Daarin staat wel op welke afdeling iemand zit (of zat) en wat de functienaam van iemand is (of was). Maar je hebt veel meer input nodig als je niet met heel grove schetsen autorisaties wilt uitdelen, veel meer informatie dan HR heeft. Die moet je gaan bijhouden. Als je geen bron hebt, dan moet je alles handmatig gaan doen. Nu zijn er soms wel andere registers die de benodigde informatie bevatten. Maar om het urenschrijfsysteem, de prikklok en het helpdesksysteem te koppelen als bron voor deze onmisbare informatie, gaat nogal ver. Het zal slechts incidenteel kunnen, omdat vrijwel al deze registraties achteraf vastleggen, terwijl RBAC de informatie vooraf nodig heeft. Datakwaliteit RBAC en ieder ander geautomatiseerd autorisatiebeheer is 100% afhankelijk van triggers in bronsystemen. De datakwaliteit is kritiek, en hoe meer brongegevens je moet gebruiken, hoe meer data die nu nog informationeel is, kritiek wordt. Voor HR is het kamernummer een leuk extraatje, maar als je er provisioning aan koppelt moet het kloppen. En blijven kloppen. Het gebruik van meerdere bronnen leidt tot interessante synchronisatievragen en arbitraire keuzes over welke gegevens wanneer leidend zijn. Als één systeem 90% goede data heeft, dan gaat 10% van de autorisaties fout. Met vijf bronsystemen met ieder 90% kwaliteit mag je blij als er wel eens een transactie lukt. Bedenk je dat als data op twee plekken staat in plaats van op een plek, iedere waarde in het eigen systeem kan kloppen maar dat ze ten opzichte van elkaar kunnen verschillen waarmee de datakwaliteit daalt. Hoge kwaliteit van data is fijn, maar zeker niet gratis. Onderhoud Naast bronnen voor triggers heb je voor alle geautomatiseerde provisioning business logica nodig: iedereen die op kamernummer A213 zit krijgt default printer B11787_VNS. Zit iemand in project HUPSA dan moet hij bij de projectenshare, op de testkamer V4_120 kunnen komen, rechten op bepaalde VPN's krijgen en een nieuwere versie van bepaalde software op de PC hebben. Echter, niet iedereen in het project heeft precies hetzelfde nodig. Stopt die persoon bij project HUPSA, dan moet hij nog twee maanden bij de data kunnen voor de nazorg maar niet meer bij de rest, terwijl andere mensen die stoppen met het project geen nazorgtaken hebben en dus ook niet onder de twee maanden regel vallen. Bij een gemiddeld project zijn deze zaken bovendien niet van te voren bekend, dus ze moeten snel. Als je dit soort vragen projecteert op een organisatie met enige schaalgrootte, een paar projecten en een reorganisatietje hier en daar, dan weet je dat je dagelijks tientallen mutaties in de logica zult hebben. En dit zijn mutaties die in de regel in de applicatiecode zitten. Als dat zo is, heb je na iedere logicawijziging een nieuwe release van de Code. De Change Manager ziet je al aankomen; en met maar één change window per week kom je er in ieder geval niet. RBAC 2.0? Jean Pierre Vincent beschrijft in het blad Informatiebeveiliging een concept voor "RBAC 2.0" met een structuurwijziging (een extra abstractielaag), om niet persoonsgebonden rules te kunnen bevatten. Een prima idee, waarvoor de 'toolleveranciers' wel even hun systemen moeten aanpassen. Dat zal misschien gebeuren, maar het existentiële probleem van de beschikbaarheid van brongegevens en de realiteit van de almaar wijzigende logica wordt er niet door opgelost. Zij maken RBAC tot een monstrum van complexiteit. De implementatie- en de beheeruitdaging zal navenant zijn, evenals de foutkans, dus het beweren dat de kosten zullen dalen en de veiligheid zal toenemen is erg optimistisch, ongeacht de wijzigingen in RBAC 2.0 of later. De belangrijkste argumenten om RBAC in te voeren zijn vermindering van de kosten en het verhogen van de veiligheid. Veiliger en goedkoper, omdat het eenvoudiger zou worden. Welnu, in de zestienjarige geschiedenis van RBAC is aangetoond dat het niet in te voeren is. Mislukte projecten zijn per definitie duur. En het mislukken is echt niet omdat het niet serieus geprobeerd is, knappere koppen dan alle Security.nl lezers bij elkaar hebben de tanden erop stukgebeten. Stukjes van RBAC zie je soms wel, maar het grote geheel is nergens gelukt. Het is net zoiets als PKI en X.500 - er zitten bruikbare zaken in, maar het grote concept is te complex en te ambitieus. Onbruikbaar dus. Het is dan ook hoog tijd dat we met z'n allen afspreken nooit meer te zeggen dat RBAC een bruikbare oplossing is. Voor je het weet staat het daadwerkelijk in een bindende richtlijn. Dan moeten we het bouwen en dat heeft uiteindelijk maar één mogelijke uitkomst: een compleet fiasco. Daarmee verliezen we veel van de opgebouwde geloofwaardigheid die we als ICT Security zo moeizaam opgebouwd hebben. Door Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -
woensdag 2 juli 2008
Gartner: Seven cloud-computing security risks (source Network World)
Data integrity, recovery, privacy and regulatory compliance are key issues to consider
By Jon Brodkin , Network World , 07/02/2008
Sponsored by:
Cloud computing is fraught with security risks, according to analyst firm Gartner. Smart customers will ask tough questions, and consider getting a security assessment from a neutral third party before committing to a cloud vendor, Gartner says in a June report titled “Assessing the Security Risks of Cloud Computing.”
Cloud computing has “unique attributes that require risk assessment in areas such as data integrity, recovery and privacy, and an evaluation of legal issues in areas such as e-discovery, regulatory compliance and auditing,” Gartner says. (Compare security products.)
Amazon’s EC2 service and Google’s Google App Engine are examples of cloud computing, which Gartner defines as a type of computing in which “massively scalable IT-enabled capabilities are delivered ‘as a service’ to external customers using Internet technologies.”
Customers must demand transparency, avoiding vendors that refuse to provide detailed information on security programs. Ask questions related to the qualifications of policy makers, architects, coders and operators; risk-control processes and technical mechanisms; and the level of testing that’s been done to verify that service and control processes are functioning as intended, and that vendors can identify unanticipated vulnerabilities.
Related Content
Here are seven of the specific security issues Gartner says customers should raise with vendors before selecting a cloud vendor.
1. Privileged user access. Sensitive data processed outside the enterprise brings with it an inherent level of risk, because outsourced services bypass the “physical, logical and personnel controls” IT shops exert over in-house programs. Get as much information as you can about the people who manage your data. “Ask providers to supply specific information on the hiring and oversight of privileged administrators, and the controls over their access,” Gartner says.
2. Regulatory compliance. Customers are ultimately responsible for the security and integrity of their own data, even when it is held by a service provider. Traditional service providers are subjected to external audits and security certifications. Cloud computing providers who refuse to undergo this scrutiny are “signaling that customers can only use them for the most trivial functions,” according to Gartner.
3. Data location. When you use the cloud, you probably won’t know exactly where your data is hosted. In fact, you might not even know what country it will be stored in. Ask providers if they will commit to storing and processing data in specific jurisdictions, and whether they will make a contractual commitment to obey local privacy requirements on behalf of their customers, Gartner advises.
4. Data segregation. Data in the cloud is typically in a shared environment alongside data from other customers. Encryption is effective but isn’t a cure-all. “Find out what is done to segregate data at rest,” Gartner advises. The cloud provider should provide evidence that encryption schemes were designed and tested by experienced specialists. “Encryption accidents can make data totally unusable, and even normal encryption can complicate availability,” Gartner says.
5. Recovery. Even if you don’t know where your data is, a cloud provider should tell you what will happen to your data and service in case of a disaster. “Any offering that does not replicate the data and application infrastructure across multiple sites is vulnerable to a total failure,” Gartner says. Ask your provider if it has “the ability to do a complete restoration, and how long it will take.”
6. Investigative support. Investigating inappropriate or illegal activity may be impossible in cloud computing, Gartner warns. “Cloud services are especially difficult to investigate, because logging and data for multiple customers may be co-located and may also be spread across an ever-changing set of hosts and data centers. If you cannot get a contractual commitment to support specific forms of investigation, along with evidence that the vendor has already successfully supported such activities, then your only safe assumption is that investigation and discovery requests will be impossible.”
Related Content
7. Long-term viability. Ideally, your cloud computing provider will never go broke or get acquired and swallowed up by a larger company. But you must be sure your data will remain available even after such an event. “Ask potential providers how you would get your data back and if it would be in a format that you could import into a replacement application,” Gartner says.
All contents copyright 1995-2008 Network World, Inc. http://www.networkworld.com
By Jon Brodkin , Network World , 07/02/2008
Sponsored by:
Cloud computing is fraught with security risks, according to analyst firm Gartner. Smart customers will ask tough questions, and consider getting a security assessment from a neutral third party before committing to a cloud vendor, Gartner says in a June report titled “Assessing the Security Risks of Cloud Computing.”
Cloud computing has “unique attributes that require risk assessment in areas such as data integrity, recovery and privacy, and an evaluation of legal issues in areas such as e-discovery, regulatory compliance and auditing,” Gartner says. (Compare security products.)
Amazon’s EC2 service and Google’s Google App Engine are examples of cloud computing, which Gartner defines as a type of computing in which “massively scalable IT-enabled capabilities are delivered ‘as a service’ to external customers using Internet technologies.”
Customers must demand transparency, avoiding vendors that refuse to provide detailed information on security programs. Ask questions related to the qualifications of policy makers, architects, coders and operators; risk-control processes and technical mechanisms; and the level of testing that’s been done to verify that service and control processes are functioning as intended, and that vendors can identify unanticipated vulnerabilities.
Related Content
Here are seven of the specific security issues Gartner says customers should raise with vendors before selecting a cloud vendor.
1. Privileged user access. Sensitive data processed outside the enterprise brings with it an inherent level of risk, because outsourced services bypass the “physical, logical and personnel controls” IT shops exert over in-house programs. Get as much information as you can about the people who manage your data. “Ask providers to supply specific information on the hiring and oversight of privileged administrators, and the controls over their access,” Gartner says.
2. Regulatory compliance. Customers are ultimately responsible for the security and integrity of their own data, even when it is held by a service provider. Traditional service providers are subjected to external audits and security certifications. Cloud computing providers who refuse to undergo this scrutiny are “signaling that customers can only use them for the most trivial functions,” according to Gartner.
3. Data location. When you use the cloud, you probably won’t know exactly where your data is hosted. In fact, you might not even know what country it will be stored in. Ask providers if they will commit to storing and processing data in specific jurisdictions, and whether they will make a contractual commitment to obey local privacy requirements on behalf of their customers, Gartner advises.
4. Data segregation. Data in the cloud is typically in a shared environment alongside data from other customers. Encryption is effective but isn’t a cure-all. “Find out what is done to segregate data at rest,” Gartner advises. The cloud provider should provide evidence that encryption schemes were designed and tested by experienced specialists. “Encryption accidents can make data totally unusable, and even normal encryption can complicate availability,” Gartner says.
5. Recovery. Even if you don’t know where your data is, a cloud provider should tell you what will happen to your data and service in case of a disaster. “Any offering that does not replicate the data and application infrastructure across multiple sites is vulnerable to a total failure,” Gartner says. Ask your provider if it has “the ability to do a complete restoration, and how long it will take.”
6. Investigative support. Investigating inappropriate or illegal activity may be impossible in cloud computing, Gartner warns. “Cloud services are especially difficult to investigate, because logging and data for multiple customers may be co-located and may also be spread across an ever-changing set of hosts and data centers. If you cannot get a contractual commitment to support specific forms of investigation, along with evidence that the vendor has already successfully supported such activities, then your only safe assumption is that investigation and discovery requests will be impossible.”
Related Content
7. Long-term viability. Ideally, your cloud computing provider will never go broke or get acquired and swallowed up by a larger company. But you must be sure your data will remain available even after such an event. “Ask potential providers how you would get your data back and if it would be in a format that you could import into a replacement application,” Gartner says.
All contents copyright 1995-2008 Network World, Inc. http://www.networkworld.com
zondag 29 juni 2008
Thieves steal tapes holding 2.2M billing records (source;networkworld)
By Brian Fonseca , Computerworld , 06/11/2008
University of Utah officials this week acknowledged that a metal box of backup tapes containing billing records of some 2.2 million patients was stolen early this month from the car of a courier who left it in a parked car overnight outside his home.
The missing tapes were taken on June 2 from the car of an employee of Perpetual Storage, an independent storage company hired by the university to transport its computer tapes to off-site facilities, said school officials. The tapes contained names, demographic information and Social Security numbers of patients of the University of Utah Hospitals & Clinics healthcare system.
The healthcare system has suspended all backup tape deliveries to Perpetual Storage pending a full review of the company's protocols and procedures, said a university spokeswoman.
The spokeswoman confirmed that Perpetual Storage fired the individual involved with the data breach for violating company data security transportation protocols. The driver had been employed by Perpetual Storage for 18 years, she said.
Related Content
The spokeswoman said the driver informed his employer immediately upon discovering that the tapes were lost. Perpetual Storage informed the University of Utah Hospitals & Clinics officials within 24 hours of the breach, she added.
Perpetual Storage did not immediately return calls by Computerworld seeking comment.
The university spokeswoman declined to say whether any of the missing data storage tapes were encrypted.
Lorris Betz, senior vice-president for Health Sciences and CEO of University of Utah Health & Clinics, said in a posted alert ?that it's unlikely that any information on the backup tapes will be exposed to thieves. "Although it is unlikely that information on the tapes will be compromised, we are nevertheless taking aggressive steps to protect our patients' confidentiality," Betz said in the post.
The university plans to mail notification letters to all patients whose data was held on the stolen tapes and offer them free credit monitoring services. The missing tapes did not hold any credit card information, noted school officials.
The university is offering a reward of $1,000 for the return of the stolen tapes with "no questions asked." The Salt Lake County Sherriff's Department, the FBI and U.S. Postal Service are investigating the theft.
For more enterprise computing news, visit Computerworld. Story copyright Computerworld, Inc.
All contents copyright 1995-2008 Network World, Inc. http://www.networkworld.com
University of Utah officials this week acknowledged that a metal box of backup tapes containing billing records of some 2.2 million patients was stolen early this month from the car of a courier who left it in a parked car overnight outside his home.
The missing tapes were taken on June 2 from the car of an employee of Perpetual Storage, an independent storage company hired by the university to transport its computer tapes to off-site facilities, said school officials. The tapes contained names, demographic information and Social Security numbers of patients of the University of Utah Hospitals & Clinics healthcare system.
The healthcare system has suspended all backup tape deliveries to Perpetual Storage pending a full review of the company's protocols and procedures, said a university spokeswoman.
The spokeswoman confirmed that Perpetual Storage fired the individual involved with the data breach for violating company data security transportation protocols. The driver had been employed by Perpetual Storage for 18 years, she said.
Related Content
The spokeswoman said the driver informed his employer immediately upon discovering that the tapes were lost. Perpetual Storage informed the University of Utah Hospitals & Clinics officials within 24 hours of the breach, she added.
Perpetual Storage did not immediately return calls by Computerworld seeking comment.
The university spokeswoman declined to say whether any of the missing data storage tapes were encrypted.
Lorris Betz, senior vice-president for Health Sciences and CEO of University of Utah Health & Clinics, said in a posted alert ?that it's unlikely that any information on the backup tapes will be exposed to thieves. "Although it is unlikely that information on the tapes will be compromised, we are nevertheless taking aggressive steps to protect our patients' confidentiality," Betz said in the post.
The university plans to mail notification letters to all patients whose data was held on the stolen tapes and offer them free credit monitoring services. The missing tapes did not hold any credit card information, noted school officials.
The university is offering a reward of $1,000 for the return of the stolen tapes with "no questions asked." The Salt Lake County Sherriff's Department, the FBI and U.S. Postal Service are investigating the theft.
For more enterprise computing news, visit Computerworld. Story copyright Computerworld, Inc.
All contents copyright 1995-2008 Network World, Inc. http://www.networkworld.com
Top five compliance challenges in a virtualized world (Source: SCMagazine)
By Chris Farrow, director of product strategy, Fortisphere
March 28 2008
News flash! Virtualization is here to stay. Despite the naysayers, virtualization is showing some extremely compelling ROI and transforming the way corporate IT provisions and administers not only the data center but also the user desktop experience. Big businesses, analyst firms and the vendor community all point towards virtualization continuing to enjoy huge growth in adoption as a core IT strategy. However, recent studies have shown that organizations frequently get enamored by the hot technology of the day (such as VOIP or SOA) and begin to deploy virtualization before the complexities and impact to security and compliance are well understood. Significant challenges to IT compliance are introduced when you consider the mappings of policy, guidance and the resulting controls that now have to be considered through the layers of virtualization. Here are five challenging aspects of IT compliance when dealing with virtualization:
Discovery and inventory: You can't measure what you can't see (or for that matter, don't even know exists). Determining which virtual machines (VMs) are active, which are abandoned or dormant and what data they are accessing is a fundamental part of defining your scope of compliance and applying the appropriate IT controls. Perhaps of a greater concern is how organizations cope with unapproved or rogue VMs.
Chain of custody: Can you provide an audit trail for critical VMs as they move from development to testing to production? Are only approved changes occurring and are they made by the appropriate personnel? Due to the dynamic and mobile nature of virtualization, keeping track of where the VMs are, who touched them and what changed is key for audit documentation and a true lifesaver in incident response scenarios.
Separation of critical assets (especially in a hosted environment): How do you know that customer A VMs are properly segregated from customer B VMs? Are low risk, non-critical VMs being hosted on the same box as high risk, mission critical VMs? Add features like VMotion and DRS in plus some modern storage solutions and there is good chance that things are not so cleanly separated. Having the ability to make VMs aware of their risk profile and location is going to be critical as more organizations adopt virtualization.
Software license violations: Push-button provisioning has become a huge contributor to virtual sprawl and major corporate licensing violations. This one seems simple but take the case of a software development shop. The vendor tools make it quick and easy to build a server for coding or testing purposes but then you can clone it, copy it and move it and before long there are numerous copies of the OS, applications and development tools floating around. Software inventory and metering will have to learn some new tricks in the context of products like VMware's Lab Manager.
Subject Matter Expertise (SME): Virtualization is being rolled out faster than IT audit staff is being trained. IT compliance and audit professionals have just not had the training and time they need to appropriately understand the role virtualization plays in regulatory compliance. This is an area that can be solved but it will take effort from the vendor community working alongside organizations like ISACA, ISSA, IIA and SANS. Virtualization offers enterprises unprecedented opportunities to increase agility, reduce costs and operate more efficiently. But, it also adds new challenges to IT, security and risk management for organizations when defining, deploying and enforcing IT policies. If not managed properly, the benefits that virtualization promises can actually add to the pressure of compliance mandates. It is clear that organizations are facing serious challenges that require an intelligent, controlled and well planned approach to delivering secure and sustainable growth of their virtual environments.
March 28 2008
News flash! Virtualization is here to stay. Despite the naysayers, virtualization is showing some extremely compelling ROI and transforming the way corporate IT provisions and administers not only the data center but also the user desktop experience. Big businesses, analyst firms and the vendor community all point towards virtualization continuing to enjoy huge growth in adoption as a core IT strategy. However, recent studies have shown that organizations frequently get enamored by the hot technology of the day (such as VOIP or SOA) and begin to deploy virtualization before the complexities and impact to security and compliance are well understood. Significant challenges to IT compliance are introduced when you consider the mappings of policy, guidance and the resulting controls that now have to be considered through the layers of virtualization. Here are five challenging aspects of IT compliance when dealing with virtualization:
Discovery and inventory: You can't measure what you can't see (or for that matter, don't even know exists). Determining which virtual machines (VMs) are active, which are abandoned or dormant and what data they are accessing is a fundamental part of defining your scope of compliance and applying the appropriate IT controls. Perhaps of a greater concern is how organizations cope with unapproved or rogue VMs.
Chain of custody: Can you provide an audit trail for critical VMs as they move from development to testing to production? Are only approved changes occurring and are they made by the appropriate personnel? Due to the dynamic and mobile nature of virtualization, keeping track of where the VMs are, who touched them and what changed is key for audit documentation and a true lifesaver in incident response scenarios.
Separation of critical assets (especially in a hosted environment): How do you know that customer A VMs are properly segregated from customer B VMs? Are low risk, non-critical VMs being hosted on the same box as high risk, mission critical VMs? Add features like VMotion and DRS in plus some modern storage solutions and there is good chance that things are not so cleanly separated. Having the ability to make VMs aware of their risk profile and location is going to be critical as more organizations adopt virtualization.
Software license violations: Push-button provisioning has become a huge contributor to virtual sprawl and major corporate licensing violations. This one seems simple but take the case of a software development shop. The vendor tools make it quick and easy to build a server for coding or testing purposes but then you can clone it, copy it and move it and before long there are numerous copies of the OS, applications and development tools floating around. Software inventory and metering will have to learn some new tricks in the context of products like VMware's Lab Manager.
Subject Matter Expertise (SME): Virtualization is being rolled out faster than IT audit staff is being trained. IT compliance and audit professionals have just not had the training and time they need to appropriately understand the role virtualization plays in regulatory compliance. This is an area that can be solved but it will take effort from the vendor community working alongside organizations like ISACA, ISSA, IIA and SANS. Virtualization offers enterprises unprecedented opportunities to increase agility, reduce costs and operate more efficiently. But, it also adds new challenges to IT, security and risk management for organizations when defining, deploying and enforcing IT policies. If not managed properly, the benefits that virtualization promises can actually add to the pressure of compliance mandates. It is clear that organizations are facing serious challenges that require an intelligent, controlled and well planned approach to delivering secure and sustainable growth of their virtual environments.
Worth the upgrade (Source: SCMagazine)
April 01 2008
Million of retail customers are no doubt still troubled by the massive 2005 data breach at TJX Companies and the cost of monitoring their accounts. However, security professionals, especially those using outdated wireless encryption, are likely more anguished about the attack method used than the mountains of lost data. That's because, nearly two years after the attack occurred, it's apparent that the malicious hackers used simple technology – a laptop and a telescope-shaped antenna – to crack the obsolete wireless connection at a Marshalls outlet in Minnesota. That St. Paul branch – like other retail outlets – was, according to investigators, running the Wired Equivalent Privacy (WEP) encryption standard, which was superseded nearly five years ago by the more robust Wi-Fi Protected Access (WPA) and Wi-Fi Protected Access 2 (WPA2) guidelines.The use of WEP encryption by retail chains was, in retrospect, a massive data breach waiting to happen, say wireless experts. Although the more recently created WPA and WPA2 offer stronger protection and meet most of the requirements of the IEEE 802.11 encryption standard -- as well as being recommended by the Wi-Fi Alliance, a wireless industry trade group -- many retailers are still comfortable with WEP, in use since 1999. However, the aging standard is rife with problems, and has been from the start, says David King, chairman and chief executive officer at AirTight, a wireless security vendor. “Even from its earliest inception, WEP was controversial because it was behind other existing standards. WEP had already been hacked, but what the standards groups were thinking about was how important was security going to become, and they wanted something that was as cheap as possible,” he says. “By about 2000, there were already all these academic articles about people exploiting WEP vulnerabilities, man-in-the-middle attacks and cracking attacks.”The newer WPA features 128-bit key encryption and a 48-bit initialization server and is certified on all laptops and wireless devices. Required for mobile PCs since 2003, WPA and WPA2 are the suitable security standards for the corporate world, says Kelly David-Felner, senior marketing manager at the Wi-Fi Alliance, who calls WEP “broken and absolutely not acceptable for enterprises.”“WEP was widely known to have security flaws by late 2000 and early 2001, and by that point [developers] were already working on IEEE 802.11i. April 2003 was when we announced the first version of WPA and that was in response to a market need for a security Wi-Fi that had not been cracked. WPA2 encompasses the entire [802.11] standard,” she says. “WPA has yet to be cracked and any enterprise should absolutely be using WPA2 security.”An acceptable investmentAlthough the specter of massive data breaches – and costs ranging in the millions to repair the damage – hangs over every enterprise that stores consumer data, an upgrade from WEP to WPA is not as simple as downloading new software. Due to the proliferation of handheld wireless devices, such as barcode scanners and registers at use in grocery stores and high-end clothing outlets, an upgrade to WPA can cost millions of dollars in new equipment and training for employees, says David Thomas, vice president of product strategy at AirDefense. WEP is a protocol of the past, as far as its cryptography strength goes, but unfortunately wireless being the physical thing that it is, it's very difficult for people to migrate. So it's extremely unlikely that there would be a WEP deployment again. There might be some smaller businesses that, due to a lack of education, might use WEP because they used it recently and they don't know the difference – it's actually harder to configure and use,” he says. “It all boils down to cost at the end of the day – and another thing is training. When you deploy many different handheld devices, there is a lot of training involved and it might be quite a migration.” While some corporate executives see headlines describing data breaches and feel an extreme sense of urgency, others must answer to a higher power: business cycles. With WPA nearing its five-year anniversary as the wireless encryption standard of choice, enterprises not scheduled to implement the technology for years risk upgrading on the eve of the introduction of another security yardstick. They also lay their businesses bare to vulnerable endpoints, says Michael Argast, analyst at anti-virus vendor Sophos. “Legacy equipment can be a big challenge here. For example, I run WPA2 at my house, but often visitors with older laptops are unable to connect because their wireless network interface cards aren't new enough to support the stronger crypto requirements. If you extend that to a retail environment, it could mean changing hardware in endpoints, which can be quite time-consuming and expensive, and devices may not be due to be replaced due to business cycles,” he says. “So, the security manager was often asking the business to break into an upgrade cycle early due to a vulnerability.”In the case of a wireless encryption upgrade, compliance standards – usually an ally to security officers making the case for additional funding – are not necessarily a talking point of choice. The Payment Card Industry Data Security Standard, which has spurred retailers and merchants to improve their data security out of fear of fines from Visa and other credit giants, leaves a considerable gray area in reference to wireless security, says Josh Wright, senior security analyst at Aruba Networks. “From our position, we see different issues. When we talk about WPA and WPA2 we can also talk about WPA enterprise and WPA personal. When we start dealing with PCI, it says everyone should use WPA, but it doesn't differentiate between enterprise and personal,” he says.To make matters more complicated, some enterprises use WEP – in coordination with other anti-intrusion technologies – to meet their PCI DSS requirements, which mandates that businesses rotate encryption keys on a regular basis. That routine does not present much of a hurdle for practiced cyberattackers, says Wright. “I've read a number of reports and empirical analysis and realized that some stores out there are still running WEP. Apparently a lot of people still haven't made the transition,” he says. “The PCI standard doesn't actually require WPA or WPA2, but you can use WEP as long as you rotate the keys, at least quarterly. It takes a hacker at least 10 minutes tops to break a web key.”TXJ as selling pointThe massive TJX data breach – which sent millions of American, Canadian and British shoppers scurrying to protect their credit – may have a silver lining when it comes to wireless security. Although WEP's vulnerabilities were already on the minds of executives before news of the data loss broke, the threat of a copycat intrusion has given security professionals extra ammunition to sell upgraded encryption to the corporate boardroom, says Argast. The media coverage of the TJX breach has helped increase visibility to the executive levels of these businesses, but largely the security departments in retailers were already quite aware of the vulnerabilities associated with WEP,” says Argast. “What this coverage has done is help the security and network departments push through and prioritize projects to upgrade their infrastructure.”Steve Alexander, information security architect at Circuit City, says that his company had zero doubt it would employ WPA2, as opposed to an earlier standard. Costly data breaches only reinforced that WEP was no longer useful, he says. “On hearing about the TJX breach I wasn't surprised it happened, but I was surprised that it wasn't noticed for such a long period of time,” he says. “If you haven't yet replaced WEP, you have to understand that the cost of replacing it is unparalleled by the cost of not replacing it.” [sidebar]
INSECURE RETAIL:
By the statisticsWhen wireless security vendor AirDefense conducted a survey of retail outlets prior to January's National Retail Federation Convention and Expo in New York, the supplier found that an alarming 81 percent of 887 devices in all five boroughs could be compromised.
Nearly 40 percent of the surveyed devices were unencrypted;
Almost 30 percent of equipment were encrypted with Wired Equivalent Privacy protection, which can be compromised in minutes;
35 percent of service set identifications listed the store's name, revealing retailers' identities;
23 percent of devices had data leakage occur;
50 percent of retailers offered free Wi-Fi service Source: AirDefense, “2008 New York City Retail Wireless Security Survey”
Million of retail customers are no doubt still troubled by the massive 2005 data breach at TJX Companies and the cost of monitoring their accounts. However, security professionals, especially those using outdated wireless encryption, are likely more anguished about the attack method used than the mountains of lost data. That's because, nearly two years after the attack occurred, it's apparent that the malicious hackers used simple technology – a laptop and a telescope-shaped antenna – to crack the obsolete wireless connection at a Marshalls outlet in Minnesota. That St. Paul branch – like other retail outlets – was, according to investigators, running the Wired Equivalent Privacy (WEP) encryption standard, which was superseded nearly five years ago by the more robust Wi-Fi Protected Access (WPA) and Wi-Fi Protected Access 2 (WPA2) guidelines.The use of WEP encryption by retail chains was, in retrospect, a massive data breach waiting to happen, say wireless experts. Although the more recently created WPA and WPA2 offer stronger protection and meet most of the requirements of the IEEE 802.11 encryption standard -- as well as being recommended by the Wi-Fi Alliance, a wireless industry trade group -- many retailers are still comfortable with WEP, in use since 1999. However, the aging standard is rife with problems, and has been from the start, says David King, chairman and chief executive officer at AirTight, a wireless security vendor. “Even from its earliest inception, WEP was controversial because it was behind other existing standards. WEP had already been hacked, but what the standards groups were thinking about was how important was security going to become, and they wanted something that was as cheap as possible,” he says. “By about 2000, there were already all these academic articles about people exploiting WEP vulnerabilities, man-in-the-middle attacks and cracking attacks.”The newer WPA features 128-bit key encryption and a 48-bit initialization server and is certified on all laptops and wireless devices. Required for mobile PCs since 2003, WPA and WPA2 are the suitable security standards for the corporate world, says Kelly David-Felner, senior marketing manager at the Wi-Fi Alliance, who calls WEP “broken and absolutely not acceptable for enterprises.”“WEP was widely known to have security flaws by late 2000 and early 2001, and by that point [developers] were already working on IEEE 802.11i. April 2003 was when we announced the first version of WPA and that was in response to a market need for a security Wi-Fi that had not been cracked. WPA2 encompasses the entire [802.11] standard,” she says. “WPA has yet to be cracked and any enterprise should absolutely be using WPA2 security.”An acceptable investmentAlthough the specter of massive data breaches – and costs ranging in the millions to repair the damage – hangs over every enterprise that stores consumer data, an upgrade from WEP to WPA is not as simple as downloading new software. Due to the proliferation of handheld wireless devices, such as barcode scanners and registers at use in grocery stores and high-end clothing outlets, an upgrade to WPA can cost millions of dollars in new equipment and training for employees, says David Thomas, vice president of product strategy at AirDefense. WEP is a protocol of the past, as far as its cryptography strength goes, but unfortunately wireless being the physical thing that it is, it's very difficult for people to migrate. So it's extremely unlikely that there would be a WEP deployment again. There might be some smaller businesses that, due to a lack of education, might use WEP because they used it recently and they don't know the difference – it's actually harder to configure and use,” he says. “It all boils down to cost at the end of the day – and another thing is training. When you deploy many different handheld devices, there is a lot of training involved and it might be quite a migration.” While some corporate executives see headlines describing data breaches and feel an extreme sense of urgency, others must answer to a higher power: business cycles. With WPA nearing its five-year anniversary as the wireless encryption standard of choice, enterprises not scheduled to implement the technology for years risk upgrading on the eve of the introduction of another security yardstick. They also lay their businesses bare to vulnerable endpoints, says Michael Argast, analyst at anti-virus vendor Sophos. “Legacy equipment can be a big challenge here. For example, I run WPA2 at my house, but often visitors with older laptops are unable to connect because their wireless network interface cards aren't new enough to support the stronger crypto requirements. If you extend that to a retail environment, it could mean changing hardware in endpoints, which can be quite time-consuming and expensive, and devices may not be due to be replaced due to business cycles,” he says. “So, the security manager was often asking the business to break into an upgrade cycle early due to a vulnerability.”In the case of a wireless encryption upgrade, compliance standards – usually an ally to security officers making the case for additional funding – are not necessarily a talking point of choice. The Payment Card Industry Data Security Standard, which has spurred retailers and merchants to improve their data security out of fear of fines from Visa and other credit giants, leaves a considerable gray area in reference to wireless security, says Josh Wright, senior security analyst at Aruba Networks. “From our position, we see different issues. When we talk about WPA and WPA2 we can also talk about WPA enterprise and WPA personal. When we start dealing with PCI, it says everyone should use WPA, but it doesn't differentiate between enterprise and personal,” he says.To make matters more complicated, some enterprises use WEP – in coordination with other anti-intrusion technologies – to meet their PCI DSS requirements, which mandates that businesses rotate encryption keys on a regular basis. That routine does not present much of a hurdle for practiced cyberattackers, says Wright. “I've read a number of reports and empirical analysis and realized that some stores out there are still running WEP. Apparently a lot of people still haven't made the transition,” he says. “The PCI standard doesn't actually require WPA or WPA2, but you can use WEP as long as you rotate the keys, at least quarterly. It takes a hacker at least 10 minutes tops to break a web key.”TXJ as selling pointThe massive TJX data breach – which sent millions of American, Canadian and British shoppers scurrying to protect their credit – may have a silver lining when it comes to wireless security. Although WEP's vulnerabilities were already on the minds of executives before news of the data loss broke, the threat of a copycat intrusion has given security professionals extra ammunition to sell upgraded encryption to the corporate boardroom, says Argast. The media coverage of the TJX breach has helped increase visibility to the executive levels of these businesses, but largely the security departments in retailers were already quite aware of the vulnerabilities associated with WEP,” says Argast. “What this coverage has done is help the security and network departments push through and prioritize projects to upgrade their infrastructure.”Steve Alexander, information security architect at Circuit City, says that his company had zero doubt it would employ WPA2, as opposed to an earlier standard. Costly data breaches only reinforced that WEP was no longer useful, he says. “On hearing about the TJX breach I wasn't surprised it happened, but I was surprised that it wasn't noticed for such a long period of time,” he says. “If you haven't yet replaced WEP, you have to understand that the cost of replacing it is unparalleled by the cost of not replacing it.” [sidebar]
INSECURE RETAIL:
By the statisticsWhen wireless security vendor AirDefense conducted a survey of retail outlets prior to January's National Retail Federation Convention and Expo in New York, the supplier found that an alarming 81 percent of 887 devices in all five boroughs could be compromised.
Nearly 40 percent of the surveyed devices were unencrypted;
Almost 30 percent of equipment were encrypted with Wired Equivalent Privacy protection, which can be compromised in minutes;
35 percent of service set identifications listed the store's name, revealing retailers' identities;
23 percent of devices had data leakage occur;
50 percent of retailers offered free Wi-Fi service Source: AirDefense, “2008 New York City Retail Wireless Security Survey”
Abonneren op:
Posts (Atom)