Securitatea pe primul loc

Serviciile profesionale de testare a securităţii și de consultanță InfoSec ale ABC Technology Solutions sunt concepute pentru a ajuta companiile să îmbunătățească și să mențină nivelul de securitate a infrastructurilor IT&C. Consultanţii noştri, recunoscuţi ca experți atât în tehnologie cât și în securitatea informaţiei, au o înţelegere cuprinzătoare asupra riscului în mediul de afaceri, în contextul diferenţelor specifice caracteristice fiecărui client în parte.

Auditul de securitate al Sistemelor Informatice

Înainte ca orice măsuri să poată fi luate cu privire la securitatea cibernetică, starea actuală a riscurilor, resurselor, practicilor, procedurilor și proceselor InfoSec trebuie să fie evaluată.

Mai multe detalii

Identificarea si Evaluarea vulnerabilităților

O vulnerabilitate se poate referi la politica de securitate a sistemului, la modul cum a fost planificat, implementat sau configurat.

Mai multe detalii

Teste de Penetrare

Procesul implică o evaluare activă a sistemului pentru a descoperi punctele slabe care l-ar putea afecta și ulterior vom oferi recomandări la nivel operaţional pentru rezolvarea acestora.

Mai multe detalii

Consultanță InfoSec

Procesul de consultanţă InfoSec este un proces complex menit să garanteze asigurarea confidențialității, integrității și disponibilității informațiilor organizaţiei

Mai multe detalii

Cursuri InfoSec și Security Awareness

Pregătirea profesională urmată de o dezvoltare profesională continuă trebuie să constituie o prioritate atât pentru organizație, cât și pentru salariat, din dorința comună de a face performanță.

Mai multe detalii

GDPR

Oferim servicii de consultanță, implementare și audit în conformitate cu Regulamentul cu privire la datele cu caracter personal (G.D.P.R.)

Mai multe detalii

1. Auditul de securitate al Sistemelor Informatice (audit InfoSec)

Noi considerăm toate cele trei laturi ale triunghiului InfoSec - confidențialitatea, integritatea și disponibilitatea (CID), și oferim evaluări strategice ale întregului context al afacerii clientului înainte de a recomanda orice soluție tehnică de securitate. Acţiunile specifice de audit de securitate a sistemelor informatice din ansamblul competenţelor specialiștilor ABC Technology Solutions se referă la evaluarea securității arhitecturilor şi infrastructurilor IT&C, a sistemelor, aplicaţiilor şi serviciilor informatice şi reprezintă o activitate de evaluare a securității sistemelor informatice prin prisma optimizării managementului resurselor informatice disponibile (date, aplicaţii, tehnologii, facilităţi, servicii, resurse umane etc.), în scopul atingerii obiectivelor de business, prin asigurarea unor criterii de: eficienţă, confidenţialitate, integritate, disponibilitate, siguranţă în funcţionare şi conformitate cu un cadru de referinţă (standarde, bune practici, cadru legislativ etc.). Abordarea generală a auditului de securitate IT&C se bazează pe evaluarea riscurilor și este realizat în scopul verificării conformității unei activități (serviciu) particulare din cadrul unei organizații (sau a organizației în ansamblu) cu standardele de securitate a informației, cu bunele practici internaționale în domeniu și/sau cu un anumit cadru legislativ ce guvernează domeniul de activitate al organizației respective. Auditul de securitate al sistemelor informatice are drept scop stabilirea gradului de corelare a proceselor interne InfoSec ale entității auditate cu un set de criterii prestabilite, și evaluarea per ansamblu a eficacității proceselor de asigurare a securității IT&C.

Concluziile și constatările procesului de audit sunt raportate managementului organizației auditate sub forma unei opinii de audit și a unui raport de audit independent care să se pronunțe asupra conformității sau neconformității cu criteriile stabilite de reglementările legale în domeniu. Bazate exclusiv pe probele de audit identificate la fața locului, raportul și opinia de audit au rolul de a ajuta organizația prin prezentarea către management a situației reale a securității sistemelor informatice implicate în procesele de business, implicarea nivelelor operaționale și tehnice în înțelegerea și însușirea acestei situații la zi în scopul de a obține o anumită certificare, de a o menține sau doar de a opera procesele de business mult mai eficient și sigur.

Raportul de audit este un livrabil ce documentează operaţiunile şi testele întreprinse și scoate în evidență neconformităţile, observaţiile şi recomandările pentru îmbunătăţire. Pentru fiecare vulnerabilitate identificată de echipa de audit, raportul va conține recomandări detaliate pentru eliminarea acesteia în vederea minimizării riscului aferent.

Cere ofertă

2. Identificarea, evaluarea și prioritizarea vulnerabilităților IT&C

O vulnerabilitate in domeniul InfoSec (securitatea informatiei) reprezinta o suma de conditii care impreuna pot duce la un sistem deschis accesului nedorit sau neautorizat din partea unui intrus, la neputinta de a folosi corespunzator sistemul sau reprezintă o violare a politicilor de securitate ale sistemului. O vulnerabilitate se poate referi la politica de securitate a sistemului, la modul cum a fost planificat, implementat sau configurat. Pentru a obtine rezultatele pe care le doreste, un atacator trebuie sa se foloseasca de o vulnerabilitate a calculatorului sau a retelei, care este definita dupa cum urmeaza:

Vulnerabilitatea (vulnerability) este o slăbiciune a sistemului care permite o acțiune neautorizată. Acestea sunt erori care apar in diferite faze ale dezvoltarii, respectiv folosirii sistemelor. Acestea pot fi deci clasificate in urmatoarele categorii:

  • Vulnerabilitate de proiectare (design vulnerability)
  • Vulnerabilitate de implementare (implementation vulnerability)
  • Vulnerabilitate de configurare (configuration vulnerability)

Vulnerabilitățile pot exista in software-ul serviciilor de rețea sau în software-ul care este capabil să primeasca date din rețea. Viermii din internet și compromiterea sistemelor de la distanță exploatează vulnerabilități ale serviciilor de rețea. Alte vulnerabilități sunt locale pentru o aplicație particulară care rulează pe un calculator sau care are nevoie de acces nemijlocit la sistemul de operare sau la sistemul de fișiere al calculatorului respectiv. Toate tipurile de vulnerabilități de mai jos se aplică atât vulnerabilităților serviciilor de rețea cât și vulnerabilităților locale:

  • Software fara patch-uri de securitate
    Majoritatea atacurilor informatice exploatează vulnerabilități introduse de lipsa “patch-urilor” (actualizărilor software)
  • Configurări greșite
    Fiecare organizație adoptă configurații diferite pentru echipamentele IT&C, dar de multe ori aceste configurații nu respectă cerințele minime de securitate, introducând vulnerabilități periculoase
  • Configurări implicite
    Un număr mare de produse, atât hardware cât și software, au configurări implicite (de la producător) nesecurizate. Acestea pot include conturi de utilizator și parole implicite bine cunoscute sau rularea de servicii care nu sunt necesare
  • Aplicații fără suport de securitate
    Fie că vorbim de software ieșit din ciclul de viață (furnizorul nu mai ofera actualizări) sau de software utilizat fără suportul producătorului, neactualizarea acestuia cu ultimele patch-uri de securitate reprezintă un risc major pentru securitatea informatică a oricărei organizații
  • Erori de programare în validarea datelor de intrare
    Acest tip de vulnerabilități sunt erorile de programare nesecurizate și permit atacuri de genul „stack buffer overflow”, „cross-site scripting” și „SQL injection”. Este de departe cel mai utilizat tip de vulnerabilitate folosit în compromiterea sistemelor

Serviciul de scanare de vulnerabilităţi oferit de ABC Technology Solutions reprezintă implementarea externalizată a procesului de “Patch and Vulnerability Management” ce este obligatoriu în orice program de securizare a infrastructurilor informatice și constă în:

  • Identificarea vulnerabilităților
    Vulnerabilitățile tehnice descrise mai sus sunt identificate de specialiștii ABC Technology Solutions în conformitate cu descrierea lor CVE (Common Vulnerabilities and Exposures) ce este menținută și actualizată permanent de către MITRE Corporation cu sprijinul US Homeland Security
  • Evaluarea și prioritizarea vulnerabilităţilor unui sistem IT (calculatoare, reţele, comunicaţii)
    În conformitate cu descrierea CVE a vulnerabilităților descoperite, acestea sunt evaluate și prioritizate în conformitate cu metodologia CVSS (Common Vulnerability Scoring System)
  • Raportarea rezultatelor
    Toate vulnerabilitățile tehnice identificate sunt raportate clientului, iar raportul va conține, pe lângă descrierea detaliată a vulnerabilității / riscului asociat și soluția tehnică de eliminare a respectivei vulnerabilități în vederea minimizării riscului

Cere ofertă

3. Teste de penetrare

Testul de penetrare este o metodă de evaluare a securității unui sistem, rețea sau pentru întreaga organizație prin simularea unui scenariu real de atac. Scopul final al testului de penetrare este de a ajuta la identificarea riscurilor specifice care, atunci când sunt adresate, vor avea un impact pozitiv asupra securității în general. Procesul implică o evaluare activă a sistemului pentru a descoperi punctele slabe care l-ar putea afecta. Ca parte a procesului de PenTest, consultanții noștri de securitate nu numai că vor identifica punctele slabe, ci, de asemenea, le vor exploata pentru a determina riscul real ce l-ar putea ridica o amenințare pentru afacere.

La încheierea testării, un raport cuprinzător este livrat către client. Raportul va descrie în detaliu problemele de securitate găsite în timpul testării, inclusiv impactul acestora și riscul pentru afacere. Pentru fiecare neconformitate de securitate cuprinsă în raport, o explicație detaliată a acțiunilor de minimizare a riscului și recomandări sunt sugerate. Pe lângă oferirea de recomandări tehnice, acolo unde este posibil, vom identifica cauza principală a neconformităţii și vom oferi recomandări la nivel operaţional şi de politică de securitate.

Există trei abordări principale pentru testele de penetrare în funcție de nivelul inițial de cunoștințe asupra sistemului țintă:

  • BlackBox
    Într-un test de penetrare BlackBox consultanții ABC Technology Solutions efectuează evaluarea ţintei fără nici o cunoștință despre sistemul sau rețeaua ţintă. Acest lucru oferă un scenariu foarte realist, emulând un atacator anonim din afara sistemului.
  • WhiteBox
    Într-un PenTest în modul WhiteBox consultanții ABC Technology Solutions dispun de toate detaliile şi informaţiile necesare despre sistemul țintă. Aceasta include, de obicei, harta reţelei, detalii de infrastructură și chiar codul sursă al aplicațiilor folosite. În funcție de scenariu, testul de penetrare în modul WhiteBox poate să fie mult mai axat pe elemente particulare şi prin urmare poate fi de multe ori mult mai eficient.
  • GreyBox
    O combinație dintre cele două tipuri de PenTests sus-amintite, în care se emulează un atacator intern (deci cu oarecare cunoștințe despre infrastructura IT&C existentă) dar care e un utilizator neprivilegiat (credențialele acestuia nu-i permit accesul decât într-un mod restrâns), acesta trebuind să reușească o escaladare a privilegiilor pentru a reuși un atac.

Cere ofertă

4. Consultanță InfoSec

Ce este consultanţa InfoSec?

În managementul modern, în cadrul procesului de elaborare a deciziilor de management, informaţia ar trebui să reprezinte pilonul de bază al procesului decizional. Procesarea, prelucrarea, analiza şi sinteza informaţiei este asigurată de către și prin intermediul sistemelor informatice. Procesul de consultanţă InfoSec este un proces complex menit să garanteze asigurarea confidențialității, integrității și disponibilității informațiilor organizaţiei, prin identificarea soluţiilor optime de exploatare a sistemelor informatice atât din punct de vedere tehnic cât şi din punct de vedere procedural.


Când este necesar sa apelaţi la serviciile unui consultant?

În măsura în care deciziile de management se bazează pe informaţiile de ieşire ale unui sistem informatic, optimizarea, întreţinerea şi extinderea acestui sistem informatic vă poate influenţa direct rezultatul activităţii de bază a organizaţiei. Aspecte legate de primirea unei opinii independente asupra securitatii exploatarii infrastructurii informatice existente, securitatea extinderii sistemelor informatice, asigurarea continuităţii activităţii în caz de dezastre, adaptarea sistemelor informatice la nevoile reale ale companiei, toate acestea sunt legate de activitatea de consultanţă InfoSec.


De ce am folosi servicii de consultanță InfoSec?

  • Consultanții au experiența, expertiza și timpul pe care angajații companiei nu îl au
    Managerii sunt bombardați zilnic cu noi proiecte care necesită noi abilități și din ce în ce mai mult timp. În schimbările rapide ale zilelor noastre, mediul în continuă schimbare al companiilor are dificultăți în a angaja îndeajuns de multe persoane pentru a putea ține la zi sarcinile care se desfășoară. Companiile își îndreaptă atenția către consultanți pentru a completa cunoștințele și decalajul de timp pentru mulțimea de proiecte speciale care apar. Consultanții vin cu experiența, expertiza și ideile din proiectele anterioare, eventual și din alte domenii de activitate.
  • Consultanții dau flexibilitate
    Consultanții pot fi aduși în proiecte pentru o perioadă scurtă. Sunt acolo când ai nevoie de ei și dispar când nu mai sunt necesari. Lucrează la orice oră din zi sau din noapte, chiar și în week-end-uri și în concedii pentru a-și îndeplini sarcinile “întocmai și la timp”. Spre deosebire de personalul angajat care va cere plăți suplimentare la salariu, beneficii și renegocieri ale contractului de muncă, consultanții servesc scopul propus și după asta dispar.
  • Consultanții oferă un punct de vedere calificat și obiectiv
    Cu multe alte proiecte în spate și o experiență bogată în a lucra cu o paletă largă de situații și personalități, consultanții au posibilitatea de a oferi idei imparțiale și calificate despre problematica în cauză. Personalul angajat poate fi mult prea implicat într-o problemă uneori pentru a vedea soluția acesteia. În plus, consultanții au avantajul de a putea transmite cu mai mare ușurință managementului eventuale puncte de vedere contrare acestuia fără a se teme de eventuale repercursiuni.
  • Consultanții sunt mai eficienți
    Consultanții sunt mai eficienți din trei motive. Primul, ei aduc experiența problemelor similare cu ei și aceasta elimină timpul care ar fi necesar pentru a instrui personalul și a-l aduce la zi în problemele respective. În al doilea rând consultanții au luxul de a se concentra exclusiv pe proiectul sau problema atribuită spre deosebire de angajați care trebuie să-și realizeze munca de zi cu zi în timp ce lucrează la proiecte deosebite. În al treilea rând, consultanții nu sunt nevoiți să interacționeze cu politicile și sarcinile interne ale companiei: sedințele cu personalul, înregistrări ale timpului și prezenței, scoateri la pensie, email-uri și alte politici și proceduri. Consultanții sosesc, lasă capul jos și incep să-și facă treaba. Mai există vreun dubiu că un consultant poate termina un proiect în numai o pătrime din timpul alocat unui angajat?

Securitatea informației este obținută prin implementarea unui set adecvat de procese, politici, proceduri, structuri organizaționale și funcții software/hardware. Aceste elemente trebuie implementate în măsura în care se asigură atingerea obiectivelor specifice de securitate. Noi vă ajutăm să identificați propriile cerințe de securitate. Pentru aceasta facem apel la trei surse principale:

Identificăm amenințările asupra resurselor, evaluăm vulnerabilitățile posibil a fi exploatate de aceste amenințări și probabilitatea de producere a lor și estimăm impactul potențial, rezultând riscul la care organizația dvs. este supusă.

Vă asistăm în procesul de stabilire a setului de reguli și reglementări legale pe care organizația trebuie să îl respecte.

Propunem setul specific de principii, obiective și cerințe pentru protecția informației pe care organizația o produce sau folosește pentru a-și susține activitățile. Implementarea sistemului de securitate a informației (InfoSEC) particularizat la cerințele specifice ale clientului cuprinde următorii pași:

  • Design-ul proceselor InfoSec (procese specifice cum ar fi “Asset Inventory”, “Patch Management”, “Vulnerability Management”, “Incident Response”, “Business Continuity”, “Disaster Recovery”, etc.);
  • Stabilirea strategiei de asigurare a securității;
  • Stabilirea modelului de securitate adoptat și design-ul politicilor de securitate în consecință;
  • Realizarea mecanismelor și procedurilor de securitate;

Atenția noastră se îndreaptă asupra necesităților de securitate ale clienților noștri, a furnizării unei consultanțe InfoSEC riguroase care să acopere toate posibilele breșe din sistemele dumneavoastră. Întreaga echipă are o abordare comună în ceea ce privește serviciile de securitate a informației oferite și s-a angajat să respecte cele mai înalte standarde profesionale, legale, de reglementare și etice.

Cere ofertă

5. Cursuri InfoSec si Security Awareness

Formarea specialiștilor necesari în managementul securității informațiilor și a administratorilor de securitate pentru sistemele informatice reprezintă o prioritate de business, cerută atât de mediile guvernamentale și de administrație centrală sau locală, cât și de mediul privat - companii, bănci, etc.

Cursurile organizate de ABC Technology Solutions în domeniul InfoSec se adresează personalului din structurile specializate în securitatea sistemelor informatice și de comunicatii, inclusiv în domeniul protecției informațiilor clasificate, precum și altor persoane interesate care lucrează fie în administrația de stat fie în companii și firme private. Cursurile de Securitate a Informației (InfoSec) își propun să atingă următoarele obiective didactice:

  • Dobândirea de cunoștințe cu privire la amenințările, vulnerabilitățile și riscurile de securitate specifice sistemelor informaționale;
  • Familiarizarea cu cele mai noi și avansate tehnologii folosite pentru asigurarea securității informațiilor;
  • Însușirea reglementărilor și a standardelor naționale și internaționale în domeniul securității informațiilor;
  • Înțelegerea metodologilor și schemelor de auditare, certificare și acreditare a securității produselor și sistemelor informatice;
  • Identificarea și soluționarea problemelor cu privire la achiziția, implementarea și exploatarea de soluții pentru asigurarea securității informațiilor;
  • Dezvoltarea cunoștintelor și deprinderilor privind managementul securității informațiilor, a resurselor tehnice și umane necesare asigurării securității IT&C;
  • Dobândirea capacității de a conduce grupuri de lucru sau echipe de specialiști în domeniul securității informațiilor;
  • Dezvoltarea de competențe pentru elaborarea de studii și rapoarte tehnice.

Cursurile organizate de ABC Technology Solutions se pot ajusta la cerere pe profilul și/sau necesitățile identificate ale clientului și se desfășoară într-un sediul special amenajat, dar pot fi desfășurate la cerere și la sediul clientului.

Cere ofertă

6. G.D.P.R.

-

-

-

Cere ofertă

Conduşi de pasiunea pentru securitate, specialiştii ABC Technology Solutions se mențin permanent la curent cu cele mai recente amenințări și vulnerabilități la adresa sistemelor informatice pentru a se asigura că prin soluţiile furnizate clienţilor nostri, aceştia au asigurată o protectie de nivel înalt ce se ridică exact la gradul de servicii de care aceştia au nevoie.