Arquitectura de Máxima Seguridad (AMS)

Transcripción

1

2 <Insert Picture Here> Arquitectura de Máxima Seguridad (AMS) Luis Serrano Consultor de Ventas Oracle LAD

3 Agenda Introducción Contexto Actual Arquitectura de Máxima Seguridad Resumen y Conclusiones P&R

4 Oracle Corporation Crecimiento $24.2B in TTM revenue for Oracle #1 in 50 product or industry categories 370,000 customers in 145 countries 30,000 partners $40B on 60+ acquisitions, since ,000 employees 10 million developers in Oracle online communities Innovación e Inversión 29,000 developers and engineers 15,500 customer support specialists, speaking 27 languages 20,000 implementation consultants 1 million students supported 870 independent Oracle user groups with 355,000 members Revenue represents March 1, 2009 February 28, 2010

5 Oracle s Strategy

6 SOFTWARE. HARDWARE. COMPLETE.

7 Oracle Acquires Best-in-Class Companies (pending) Middleware Platform and Management Business Intelligence Identity & Access Management Performance Management Enterprise Content Management Data Integration (pending) Operating Systems Systems Management Virtual Machines

8 Agenda Introducción Contexto Actual Arquitectura de Máxima Seguridad Resumen y Conclusiones P&R

9 Hablamos de Seguridad

10

11 - Activos de Información RIESGO = - Amenazas - Vulnerabilidades

12 Categorías de Riesgos Financiero Tasas de interes Tipos de cambios Creditos Seguridad& Salud Ocupacional Cadena de Suminstros Gobernabilidad TI Gestión Sostenible del Medio Ambiente

13 Capas de Seguridad en la Empresa Base de Datos Middleware Hardware Base de datos Aplicaciones Middleware Aplicaciones Contenido Más allá de los límites de la organización

14 85% de controles internos en el promedio de las compañías son manuales - Financial Executives Research Foundation

15 Tipos de Controles Monitorear Eficacia de Controles Qué han hecho los usuarios Controles Detective Qué ha cambiado en los procesos Cuáles son los patrones de ejecución ACCESS Controls CONFIGURATION Controls TRANSACTION Controls Qué pueden hacer los usuarios Como es el proceso de seteo Controles Preventivos Implementa Políticas en Contexto Como los usuarios ejecutan los procesos

16 Agenda Introducción Contexto Actual Arquitectura de Máxima Seguridad Resumen y Conclusiones P&R

17 Entorno Empresarial Típico Una Transacción Típica Employees Customers Services Partners (External) Portal and App Services (Internal) Capa de Presentación Capa Lógica (Negocio) Mainframe Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa Datos / File BI and Content Management Databases Data Warehouses Unstructured Content Directories

18 Capa de Presentación Capa de Presentación Esto Incluye, Fat Clients y web services expuestos externamente Employees Customers Partners Capa de Presentación Capa Lógica (Negocio) Mainframe Services (External) Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa Datos / File BI and Content Management Databases Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

19 Temas a considerar en la capa de Presentación De Autenticación 1. Quién es el usuario? 2. Como puedo asegurarme que ellos son quienes dicen ser? Employees Customers Partners Capa de Presentación De Acceso de Usuarios Cómo puedo simplificar el acceso a TODAS mis aplicaciones usando SSon? Basado-(Oracle y No- Oracle apps) Capa de Logic a (Negocio) Client / Server-based apps A traves de la empresa usando estándares Mainframe Services (External) Auto Servicio y Gestión de Cuentas Cómo puedo exponer Auto- Registro, Auto-Administración y reinicialización de contraseña? Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa de Datos De Autorización Cómo puedo controlar el acceso a mis aplicaciones web en un solo lugar? / File BI and Content Management Databases Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

20 Soluciones Capa Presentación Autenticación Basada en Riesgos Despliega Detección de Fraude Online Usar formas más fuertes de Autenticación que U/P como autenticadores x software Employees Customers Partners Capa de Presentación Auto-Servicio Despliega herramientas de autoayuda para registro, reinicializacion de contraseñas etc Capa Lógica (Negocio) Mainframe Services (External) Single Sign On Simplifica el Acceso de Usuarios con SSO: Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) 1. -based Apps 2. Client / Server-based Apps 3. Partners with Federation Capa de Datos / File BI and Content Management Databases Portal and App Data Warehouses Autorización Centralizada Centraliza la protección de tuss aplicaciones web y Services Services (Internal) Unstructured Content Directories

21 Capa Lógica (Negocio) Capa Lógica (Business) Esto incluye aplicaciones empaquetadas, servidores aplicacion, Mainframes, and File asi como web services internos Employees Customers Partners Capa de Presentación Capa Lógica (Negocio) Mainframe Services (External) Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa de Datos / File BI and Content Management Databases Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

22 Temas a Considerar : Capa de Logica (Negocio) Gestión de Roles Cómo puedo crear roles a nivel de la empresa que alcancen mis aplicaciones? Gestión de Contraseñas Cómo puedo ayudar a mis usuarios a administrar todos los passwords? Identity Management Cómo puedo automatizar alta/baja basado en mi sistema de RRHH? Employees Customers Partners Auditoría de Identidades 1. Yo no sé Quién Tiene Acceso a Qué? 2. Es también muy dificil saber quien tuvo acceso? Capa Presentación 3. Recertificación de derechos es muy manual 4. Cómo reducir el tiempo requerido para generar reportes de auditoría? Capa Lógica (Negocio) Mainframe Services (External) Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa Datos / File BI and Content Management Segregación de Deberes Validar que no existan conclictos de intereses Databases Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

23 Soluciones en la Capa Lógica (Negocios) Employees Customers Partners Capa de Presentación Role Management Identity Audit/Governance Usea un sistema que puede minar, crear y administrar role a nivel de la organizacion que abarca muchas aplicaciones Usa un sistema integrado basado en web para: Rapidamente decirte Quién tiene y tuvo acceso a que? Incluye un motor de workflow Te permite programar y delegar atestiguamiento de asignamiento de privilegio de usuarios Capa Te notifica sobre cuentas huerfanas o sospechosas Lógica (Negocio) Mainframe Services (External) Password Management Reduce el número de contraseñas sincronizandolos por todos los sistemas Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) / File Capa Datos BI and Content Management Databases Identity Management Automatiza Alta/Baja, y cambios de rol basado en datos de RRHH Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

24 Capa de los Datos Employees Customers Partners Capa de Presentación Capa Lógica de Negocios Mainframe Services (External) Capa de Datos Esto incluye BD Oracle y No Oracle, directorios, files shares etc Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Capa Datos / File BI and Content Management Databases Portal and App Data Warehouses Services (Internal) Unstructured Content Directories

25 Temas a Considerar en la Capa de Datos Employees Customers Partners Capa de Presentación Muchos almacenes de datos. No vista Comun Tenemos muchos datos en BD, directorios, etc, pero no podemos conseguir una vista comun de ellos? Capa Lógica de Negocios Gestion Usuarios de BD Mainframe Services (External) Cómo puedo hacer uso de mis directorios existentes para usuarios de y contraseñas de BD? Packaged Apps (PSFT, EBS, Hyperion, Siebel, SAP) Control de Acceso Cómo bloqueas el acceso a los datos Aún de los usuarios más privilegiados y auditas los eventos? Capa Datos / File BI and Content Management Databases Portal and App Data Warehouses Encriptamiento Cómo puedo asegurar mis datos sensitivos mientras estan en : Movimiento Reposo Backed up Services (Internal) Unstructured Content Directories

26 Desafiós sobre los controles Desafío: Multiples Requerimientos Respuesta Fragmentada Finance SOX, JSOX Groups IT Security / Risk Mgmt Groups C1b C2b C3b C5b C6b C7b C9b C10b C11b Business Assessment / Audit Groups R1 R2 R3 R1 R2 R3 R1 R2 R3 C1a C2a C3a C5a C6a C7a C9a C10a C11a C1c C2c C3c C5c C6c C7c C9c C10c C11c Desafío: Gestión de Riesgo no Proactivo Desafío: Estrategias puntuales con controles manuales C Business Processes

27 Como la AMS puede ayudar Solución: Consolidar multiples regulaciones & estándares sobre una única plataforma Regulation A Risk B R1 R2 R3 C1 C2 C3 C5 C6 C7 C9 C10 C11 Standard C Solución: Context & Types Administrar el riesgo de forma disciplinada & consistente Respond & Manage Enterprise Risks Identify & Associate Solución: Incluir controles automatizados dentro de los procesos de negocios estandar Analyze & Evaluate C Business Process

28 Casos de Usos Protección Contra los que No deben ingresar a la información

29 Casos de Usos Protección Contra los que Si deben ingresar a la información Function 1 Function 2 Business Risk Enter PO Define Supplier Enter AP Invoice Fixed Asset Physical Inventory Enter SO Enter Customer Enter Credit Limits Misc. Inventory Transaction Inventory Transaction Receive PO Pay Invoice PO Returns Asset Retirement Manage Price Lists Ship SO Enter SO Inventory Counts Ship SO Previene la compra y recepción de articulos para uso personal del usuario Previene que un usuario de configurar y pagar a un proveedor ficticio para beneficio propio Previene recibir bienes, facturas y luego retornalas Activos podrian ser inapropiadamente retirados y luego rapidamente descontados Un usuario podría manipular los precios para beneficio propio o de un cliente Un usuario podría ingresar y enviar una orden a si mismo Políticas de créditos manipuladas podrían incrementar el riesgo o beneficio de clientes Ajustar el balance de inventarios para satisfacer los resultados Shipping users no debieran ser capace de mover inventario

30 Capas de Seguridad en la Empresa Base de Datos Middleware Hardware Base de datos Aplicaciones Middleware Aplicaciones Contenido Más allá de los límites de la organización

31 Capas de Seguridad en la Empresa Base de Datos Middleware Hardware Base de datos Aplicaciones Middleware Aplicaciones Contenido Más allá de los límites de la organización

32 Oracle Database Security Oracle Identity Management Enterprise User Security Network Encryption Strong Authentication Transparent Data Encryption EM Config Monitoring Fine Grained Auditing Audit Vault Data Classification Label Based Access Control Database Vault Realms Factors & Command Rules Secure Backup

33 Oracle Maximum Security Architecture Capa de Base de Datos Default Database Database Vault Advanced Security Default Database Auditing Enterprise User Security Database Vault Advanced Security Policy-based Auditing Advanced Security Virtual Private Database Data Masking Pack Audit Vault Default Database Label Security DataPump + Advanced Security or PassPhase Security Checklist Label Security RMAN + Secure Backup Configuration Management Pack

34 Arquitectura Lógica del Identity Management Externos Internos SOA Applications Delegated Admin Customers Partners IT Staff EmployeesSOA Applications Auditing Access Management Authentication & SSO Authorization & RBAC Identity Federation and Workflow & Orchestration Identity Reporting Management Service Data Abstraction Layer Identity Management Service Identity Administration Delegated Administration Self-Registration & Self-Service Entitlement Management Monitoring and Management Directory Services LDAP Directory Meta-Directory Virtual Directory Identity Provisioning Agent-based Agentless Password Synchronization Applicaciones Sistemas & Repositorios Activos Físicos ERP CRM OS (Unix) HR Mainframe NOS/Directories Cell Phone Physical Access

35 Oracle Identity Management Identity Administration Identity Manager Access Management Access Manager Adaptive Access Manager Enterprise Single Sign-On Identity Federation Entitlements Server Identity & Access Governance Identity Analytics Oracle Platform Security Services Directory Services Directory Server EE Internet Directory Virtual Directory Operational Manageability Management Pack For Identity Management Oracle Confidential For Internal Use Only

36 Agenda Introducción Contexto Actual Arquitectura de Máxima Seguridad Resumen y Conclusiones P&R

37 Por qué Segregar Deberes? La estrategia de consolidación de bases de datos requieren medidas preventivas contra el acceso a los datos de las applicaciones de parte de usuarios Privilegiados (DBA) Las amenazas internas (Internal threats) son una preocupación mucho más grande hoy en día que requieren la implementación de políticas de seguridad operacional - Quién, Cuándo, Dónde y Cómo los datos pueden ser accesados? Reducción de costos via implementación de Políticas en tiempo real, sin la dependencia de procesos o controles manuales Demanda creciente en servicios de Outsourcing de TI Regulaciones como Sarbanes-Oxley, ISO 17799, Graham-Leach Bliley, and Basel II, ó PCI requieren controles Internos Muy Fuertes y Separación de Deberes DEMO

38 MENU Por qué una solucion de Auditoría Principales Beneficios Simplifica los Informes de Cumplimiento gracias a los reportes incluidos y la capacidad de crear reportes adicionales Detección temprana de amenazas gracias a las alertas Transparentemente colecciona y consolida datos de auditoría Protége la data de auditoría con Oracle Database Vault y Oracle Advanced Security Administra las Políticas de auditoría sobre todas las BD Capacidad de escalamiento robusto gracias a la tecnologia de BD de Oracle TECNICO

39 Para quién es importante las Soluciones de Gestion de Configuraciones? Proyecto o Motivador Control sobre Implementaciones de Composite Application/SOA Compañias con un número muy alto de recursos informaticos por controlar Clientes de Oracle Packaged Enterprise Application Compañías con grandes initiciativas de migración Clientes actuales de Configuration Management Pack Compañías con altos ratios de cambio Iniciativas de Cumplimiento Mucha complejidad dificil de rastreas SOA facilita el cambio el cual debe ser controlado Demasiadas apps que registrar (1,000+ on average) Necesita automatizar; demasiada gestion de configuración es hecha manualmente Buscando gestores de configuración viables para Oracle packaged apps lo cual no ha sido disponible hasta ahora. Grandes esfuerzos de migración que requieren gestión de configuración del ciclo de vida (des a prod.) Tendremos interes en soporte de aplicaciones packed Tendremos interes en el hallazgo de aplicaciones más granular y agentless Online retail/e-commerce, financial services, insurance, health care Cambios incluyen adicionar nueva lógica de negocio, parches, upgrades, nuevos web services y nuevos apps/databases Compañías trabajando con SOX, HIPAA, Basel II, PCI, FERPA, GLBA, CALEA y otras regulaciones

40 Application Configuration Console Blueprints Available

41 Por qué enmascarar datos? Conclusiones Ayuda a compartir datos de produción en cumplimiento con las políticas de privacidad de datos. Entrega formatos de enmascaramiento uniformes para todos los datos de la organización Incrementa la productividad del DBA automatizando el descubrimiento y enmascaramiento e datos sensitivos.

42 Resumen Gestion Tradicional del Riesgo Fragmentado Después del Hecho Teórico

43 Resumen Gestion del Riesgo con AMS Gestiona todas las categorías del riesgo a través de la empresa Holístico Predictivo Relevante

44 Resumen Gestion Tradicional del Riesgo Gestiona todas las categorías del riesgo a través de la empresa Preveer el inicio de un inaceptable nivel de riesgo Holistíco Predictivo Relevante

45 Resumen Gestion Tradicional del Riesgo Gestiona todas las categorías del riesgo a través de la empresa Preveer el inicio de un inaceptable nivel de riesgo Incluir la gestión del riesgo dentro de la planificación operacional y estratégica Holístico Predictivo Relevante

46 Para Mayor Información search.oracle.com security or oracle.com/security or oracle.com/grc

47 Propuesta de Valor De Oracle Componentes estándares Facilidad de despliegue y gestión Mejor desempeño Mayor seguridad Mayor confiabilidad Menor costo de propiedad Estamos cambiando la forma en que se compran, ejecutan y administran los Sistema del Negocio

48 Agenda Introducción Contexto Actual Arquitectura de Máxima Seguridad Resumen y Conclusiones P&R