Presentation title Date 1 Hvordan håndteres patchpolitik bedst muligt Bent Kock (projektleder og IT Security ansvarlig)
PowerPoint toolbox 2 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst muligt Forskellige syn på vulnerability assessment og life cycle management IT-afdelings patch-politik kan skabe bøvl I produktionen Hvad er erfaringerne, og hvor langt er vi nået I dag Spørgsmål
Presentation title Date 3 Hvordan håndteres patch-politik bedst muligt Hvad er vores erfaringer med udfordringerne i forbindelse med: Forskellige syn på vulnerability assessment og life cycle management Hvordan styrker vi denne proces og organisationen Hvem gør hvad IT-afdelings patch-politik kan skabe bøvl I produktionen Patch frekvens/lukke vinduer Kompetencer/Ansvar/Resurser
PowerPoint toolbox 4 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst muligt Forskellige syn på vulnerability assessment og life cycle management IT-afdelings patch-politik kan skabe bøvl I produktionen Hvad er erfaringerne, og hvor langt er vi nået I dag Spørgsmål
Presentation title Date 5 Forskellige syn på vulnerability assessment og life cycle management Historisk set har vi tænkt vulnerability = FW regler Password regler og review af Security log, manuel proces for applikationer Ekstern adgang og eksterne konsulenter WIFI Fysik beskyttelse af udstyr, primært servere/udstyr der indeholder data Backup AD/netværk M.m.
Presentation title Date 6 Forskellige syn på vulnerability assessment og life cycle management Hvor langt er vi i dag: Vi er pt. I gang med at styrke vores infrastruktur med: Vulnerability scanning af FW trafik, netværks trafik Log management services Andre fælles services inden for IT Security RISK assessments i forbindelse med patch/projekter Vi er pt. I gang med at styrke vores Applikationer/Systemer (MES, PCS, SCADA, m.m.) gennemføre IT Security assessments Patch management Monitorering Anti-Malware/Whitelisting
Forskellige syn på vulnerability assessment og life cycle management Hvad har vi stadig ikke løst De største udfordringer Proces på tværs af systemer Proces hvor vi har overblikket over alle kendte sårbarheder på et system Deling af kendte sårbarheder på tværs af afdelinger Aftaler med leverandøre omkring information når der erkendes en sårbarhed Afklaring af hvad ligger lokalt og hvad ligger centralt Presentation title Date 7
8 Forskellige syn på vulnerability assessment og life cycle management Asset LCM proces Sikre at alt HW/SW er supporteret Bedre planlægning for opgraderinger Sikre oppetid og minimere nedtiden ved nedbrud Strategi inputasset LCM proces Opdatere standarten (SOP) for CI (HW/SW) og konfig review. Med LCM info/status Job Training Plan I ny standart Migrere CI lister til ny std. CI lister med LCM status og afrappotere LCM status via årlig konfig. review. Afrappotere til ITC via mdr. system status. Udruldning I resten af området
PowerPoint toolbox 9 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst muligt Forskellige syn på vulnerability assessment og life cycle management IT-afdelings patch-politik kan skabe bøvl I produktionen Hvad er erfaringerne, og hvor langt er vi nået I dag Spørgsmål
Presentation title Date 10 IT-afdelings patch-politik kan skabe bøvl I produktionen Udfordringer omkring af patch i produktionen Patch frekvens/lukke vinduer Kompetencer/Ansvar/Resurser
Presentation title Date 11 IT-afdelings patch-politik kan skabe bøvl I produktionen Patch frekvens = mdr. Administrativt netværk Produktions netværk Fabriks chef Patch frekvens?
IT-afdelings patch-politik kan skabe bøvl I produktionen HW patches SW. i Microsoft Infrastruktur patch. samarbejde = patch med all, applikationer HW/SW = 2 X årlig leverandøren ud fra leverandør anbefalinger/risk 26/11/2014 Slide no 12 Fordele ved fælles services DAPI DATA CENTER Domain controller Virtual Machines Domain controller CITRIX LMES VMWare VMWare LMES CITRIX High availability Citrix TS Oracle DB & Report VM ESX Host VM ESX Host Oracle DB & Report Citrix TS Oracle SDK SAN mirror Oracle SDK Backup System SAN SAN epo SCOM SCCM Citrix TS Backup System
IT-afdelings patch-politik kan skabe bøvl I produktionen Presentation title Date 13 Udgangspunkt er patch all ALLE systemer tages i betragtning DAPI IT Sec sikrer kvartalsvis vurdering af patch-lister Patchning udføres 1-2 gange årligt på ALLE systemer Fælles SOP: Beskriver proces Fælles årshjul med patch plan pr område, skal sikre at parter kan levere ressourcer for udrulning Lokale årshjul med patchplan på maskine niveau
IT-afdelings patch-politik kan skabe bøvl I produktionen Presentation title Date 14 De største udfordringer Forståelse for hvorfor dette er vigtig hos de produktions ansvarlige Hvem har ansvaret for at teste en patch Skilleflader mellem ejer af de enkelte systemer og deres afhængigheder Patch af programmer som eks. SCADA PCS BMS
PowerPoint toolbox 15 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst muligt Forskellige syn på vulnerability assessment og life cycle management IT-afdelings patch-politik kan skabe bøvl I produktionen Hvad er erfaringerne, og hvor langt er vi nået I dag Spørgsmål
26/11/2014 Hvad er erfaringerne, og hvor langt er vi nået I dag Slide no 16 Sikre Life Cycle overblik, så der prioriteres rigtigt Starte dialog med leverandøren I god tid Holde HW/SW opdateret hele tiden, små opgraderinger = lille RISK Have Security kontroller til at sikre de systemer der ikke kan opgraderes inden support udløber Lave en infrastruktur og drift setup som nedbringer RISK og tid i forbindelse med patch/opgraderinger Finde en proces der gør os i stand til at afdække sårbarheder I vores systemer: F.eks. Kendte fejl I applikation: Som der ikke kendes en løsning på som rettes med næste patch Hvor vi selv skal rette I applikationen
PowerPoint toolbox 17 Agenda slide 1 2 3 4 5 Hvordan håndteres patch-politik bedst muligt Forskellige syn på vulnerability assessment og life cycle management IT-afdelings patch-politik kan skabe bøvl I produktionen Hvad er erfaringerne, og hvor langt er vi nået I dag Spørgsmål
26/11/2014 Slide no 18 Spørgsmål