Organizational Security Processes and Crisis Management in the Knowledge Society
Total Page：16
File Type：pdf, Size：1020Kb
DOCTORAL THESIS Organizational Security Processes and Crisis Management in the Knowledge Society Krizový management a bezpecnostníˇ procesy organizace ve znalostní spolecnostiˇ Author: Ing. Libor Sarga Degree Program: P 6208 Economics and Management Degree Course: 6208V038 Management and Economics Supervisor: Assoc. Prof. Mgr. Roman Jašek, Ph.D. Defense date: 2014 c Ing. Libor Sarga, 2014 Published by Tomas Bata University in Zlín. Full version of the Doctoral Thesis available at the TBU Library. Klícovᡠslova bezpecnost,ˇ data, ICT, informace, komunikacní,ˇ krizový, malware, management, metoda, mobilní, politika, proces, profil, riziko, technologie, testování, útok, zranitelnost Keywords attack, communication, crisis, data, ICT, information, malware, management, method, mobile, policy, process, profile, risk, security, technology, testing, vulnerability ISBN Abstrakt Informacníˇ a komunikacníˇ technologie (ICT) tvoríˇ soucástˇ infrastruktury vetšinyˇ moderních organizací ve všech sektorech ekonomiky a jejich popularita neustále vzr˚ustás novými produkty a snadnou dostupností také u spotrebitel˚u.ICTˇ organizacím pomáhají plnit operavní i strategické cíle, definované v podnikových dokumentech, a jsou dnes již natolik d˚uležité,že nekterᡠodvetvíˇ jsou podmínenaˇ jejich bezchybnou funkcnostíˇ a nepretržitouˇ dostupností, namátkou algoritmické a vysokofrekvencníˇ obchody, elektronická tržište,ˇ energetika, vojenství a zdravotnictví. Financní,ˇ hmotné a lidské ztráty, které byly v poslední dobeˇ zaznamenány dokazují neplatnost výše zmínenýchˇ predpoklad˚u.ˇ Autor se domnívá a predpoklademˇ této disertacníˇ práce je, že úzkým místem jsou predevšímˇ zamestnanciˇ a jejich chování. Zajišteníˇ ICT bezpecnostiˇ je proto úkolem, na nemžˇ by se meliˇ svým prístupemˇ a chováním podílet všichni clenovéˇ organizace. Dizertacníˇ práce je proto zameˇrenaˇ na oblast bezpecnostiˇ ICT z pohledu organizace i uživatele. Po rešerši sekundárních literárních zdroj˚ujsou formulovány predpokladyˇ pro výzkumnou cást,ˇ jež nejprve zhodnotí soucasnýˇ stav. Výstupy pak budou základem pro tvorbu modelu a doporucení,ˇ zajišt’ujících zvýšení bezpecnostiˇ ICT a uživatel˚u,pricházejícíchˇ s nimi do kontaktu a považovaných útocníkyˇ za cenný zdroj informací. Uživatelé se z rúzných príˇ cinˇ nechovají v souladu s nejlepšími praktikami bezpecnosti,ˇ což mohou podniky korigovat direktivními a vzdelávacímiˇ metodami a také ukázkami možných dopad˚unevhodného využívání ICT. Jedním z aktuálních, ale málo rozšírenýchˇ zp˚usob˚uje cílené oddeleníˇ osobního a pracovního prostoru využitím politiky elektronických, centrálneˇ distribuo- vaných profil˚upro chytrá mobilní zarízení,ˇ dovolující presnouˇ definici povolení a omezení pro každý prístrojˇ po dobu pracovní doby i priˇ vzdálených interakcích s informacnímiˇ systémy. Ošet- reníˇ na úrovni uživatel˚uvšak musí být doplnenoˇ opatrenímiˇ pro další soucástiˇ ICT infrastruktury: zabezpeceníˇ operacníchˇ a databázových systém˚u;audity webových rozhraní; revize krizových plán˚ua plán˚uobnovy pro prípadyˇ neocekávanýchˇ výpadk˚unebo napadení; pravidelné testování úzkých míst a jejich odstranování;ˇ vcasnᡠinstalace aktualizací; a pr˚ubežnýˇ monitoring a aplikace myšlení útocníkaˇ priˇ zkoumání slabin systému i jeho prvk˚u. V první kapitole disertacníˇ práce je vymezena terminologie. Ve druhé kapitole jsou predsta-ˇ veny základní principy informacníˇ bezpecnosti,ˇ tvorícíˇ CIA (Confidentiality, Integrity, Availabi- lity) triádu. Ve tretíˇ kapitole je popsán trend BYOD (Bring Your Own Device), který se zacínᡠprosazovat priˇ práci s citlivými daty, budou také priblíženaˇ mobilní zarízeníˇ a jejich vliv na bezpecnost.ˇ Ve ctvrtéˇ kapitole budou demonstrovány útoky, pomocí nichž je útocníkˇ schopen ne- oprávnenˇ eˇ získat prístupˇ k citlivým dat˚umzneužitím softwarové infrastruktury nebo zamestanc˚u,ˇ kteríˇ mohou být manipulováni prostrednictvímˇ cílených nebo plošných pokus˚uo kompromitaci cílového systému. V páté kapitole jsou formulovány cíle, vedeckéˇ otázky, hypotézy a metody, které budou v dizertacníˇ práci využity pro jejich testování. V šesté a sedmé kapitole jsou po provedení kvalitativního i kvantitativního výzkumu a vhodných statistických test˚uvysloveny záveryˇ o predstavenýchˇ hypotézách. V osmé kapitole je predtavenˇ model ICT bezpecnostiˇ a eko- nomické ukazatele, které mohou organizacím pomoci priˇ vyhodnocování ekonomických prínos˚uˇ implementace opatreníˇ ICT bezpecnosti.ˇ V deváté kapitole jsou shrnuty výsledky disertacníˇ práce. V deváté kapitole jsou zmínenyˇ prínosyˇ pro vedu,ˇ praxi a výuku spolu spolu s možnostmi budoucího navazujícího výzkumu. Dizertacníˇ práce predstavíˇ procesní model ICT governance integrující poznatky z výzkumné cásti.ˇ Také formuluje rešeníˇ pro hlavní aspekty organizacníˇ bezpecnostníˇ politiky, napríkladˇ BYOD management, vzdeláváníˇ zamestnanc˚u,aˇ zabezpeceníˇ infrastruktury spolu se správou hesel a nejlepšími praktikami v techtoˇ oblastech. Výsledkem implementace tohoto modelu do praxe by melˇ být podnik s politikou reflektující existující i nastupující hrozby, a vzdelaní,ˇ na bezpecnostˇ orientovaní zamestnanci.ˇ Abstract Information and Communication Technology (ICT) forms infrastructure basis of most modern organizations in all economic sectors and has become more popular with individuals via new products and its ubiquitousness. Companies use ICT to fulfill both operational objectives and strategic goals, outlined in their fundamental documents. Nowadays, whole industries including algorithmic and high-frequency trading, online retailing, energy industry, military, and health care all assume uninterrupted ICT functionality and continuous availability. The repeated financial, material, and human losses that have occurred recently demonstrate this status should not be taken for granted. It is the author’s belief and the focus of this dissertation that the primary cause for these losses is people, and their actions. Hence, each employee should strive to minimize threat exposure. The doctoral thesis deals with corporate- and user-centric ICT security. Based on evaluation of secondary sources, assumptions for the research part will be formulated by first assessing the current state. The research output will then help formulate recommendations to promote increased security of ICT and users coming into contact with sensitive electronic assets whom the attackers consider a valuable source of information. Individuals tend not to behave in a variety of means for various reasons, requiring orga- nizations to employ directive and educational methods along with real-life demonstrations of inappropriate use of ICT. For example, one of the current, albeit scarcely used means are centrally-managed profiles separating personal and work space on small form-factor devices (smartphones, tablets) which allow specifying permissions and restrictions during work time and when remotely accessing protected data. The user-level focus must be complemented with efforts pertaining to ICT infrastructure elements: operating and database systems security; web user interface audits; revisions of crisis and contingency plans for unexpected disruptions or targeted actions; bottleneck identification and elimination; patch management; continuous monitoring; and applying attacker’s mindset when discovering weaknesses within the system and its parts. The first chapter delimits terminology used throughout the work. The second chapter intro- duces elements of the CIA (Confidentiality, Integrity, Availability) triad. The third chapter deals with BYOD (Bring Your Own Device), a trend increasingly common in organizations; mobile devices and how they may affect security will be also described. The fourth chapter demonstrates vectors which enable the adversary unauthorized system access using malicious techniques directed at ICT infrastructure as well as users who could be manipulated by custom-tailored or large-scale campaigns aimed to penetrate defensive measures and establish persistence. The fifth chapter formulates goals, scientific questions, hypotheses, and methods used to test them in the doctoral thesis. The sixth chapter presents and analyzes results of a large-scale questionnaire research conducted on a representative sample of participants. The eighth chapter consists of two case studies which practically investigates weaknesses in selected areas of ICT security. The ninth chapter outlines an ICT security governance model and economic metrics based on findings from the questionnaire research and the case studies. The tenth chapter lists contributions of the thesis for theory and practice, possible future research directions along with concluding remarks. The ICT security governance model in chapter nine articulates recommendations for major aspects of organizational policies such as BYOD management, employee training, infrastructure hardening, and password management which are discussed and best practices devised. The result of implementing the model should be an organization capable to face existing and novel threats, and educated, security-conscious employees. Acknowledgments Here is a list of acknowledgments. I apologize in advance to anyone I omitted, but mentioning everyone would have taken more space than would be appropriate. You all know who you are and how much you helped. I would like to thank my supervisor, Roman Jašek, for supporting me throughout the four years I have spent laboring over what to write and how. My sincerest thanks to Edwin Leigh Armistead not only for his brilliant proofreading skills,