Auditoría de sistemas y bases de datos para IBM Power i · · 2017-11-10... (Client Server...

Simple & Efficientwww.quick-software-line.com

Auditoría de sistemas y bases de datos

para IBM Power i


Un único objetivo: LA SEGURIDAD

Quick-CSi

Control & Seguridad para IBM i

Seguridad de datos a través de un proceso de

Control de Accesos y

Trazabilidad de Transacciones


• ConfidencialidadEs muy importante, que todos los usuarios del sistema, entiendan qué

significa esta palabra. Por ejemplo, su usuario y contraseña son un

“PATRIMONIO” único, para todos y cada uno de los usuarios. Nadie

debe saber la contraseña de otro usuario sin el consentimiento del

administrador del sistema

• IntegridadDebemos prevenir que nadie no autorizado pueda modificar los datos

y, en caso de que los cambie debe quedar un log con aquello que

había antes del cambio



• DisponibilidadOtra de las claves en la seguridad, es la disponibilidad del sistema,

obviamente, no podemos llevar a cabo políticas de seguridad sin

sistema. En este punto, podemos hacer mención a los sistemas de

Alta Disponibilidad

• RestricciónTodas las políticas de seguridad, se basan en la Restricción en llevar

a cabo determinadas funciones de los usuarios o, sencillamente en

permitir o no el acceso de usuarios al sistema



• Coste de Exposición VS Coste de Protección

• ¿Dónde están sus puntos débiles?

• ¿Qué riesgos está teniendo?

• ¿Quién?, ¿Qué?, ¿Cuándo?, ¿Por qué?,

¿Dónde?

• Políticas de seguridad



Un único objetivo: LA SEGURIDADLos sistemas IBM Power i garantizan una gran seguridad siendo uno de los servidores con mayor nivel de seguridad por defecto.Pero estos niveles pueden no ser suficientes y en ocasiones nos encontramos con:

- Poca sensibilidad a los posibles problemas de seguridad del sistema.

- Poca sensibilidad ante las necesidades de auditoria del sistema- Poco conocimiento en cuanto a seguridad/auditoria por parte de

los profesionales de la plataforma.

Aunque posiblemente los datos más críticos de la empresa se encuentren en el sistema Power i.


Un único objetivo: LA SEGURIDAD¿Qué deberíamos comprobar y asegurar en un sistema Power i? ¿Sobre que elementos podemosactuar/auditar?:- Valores de sistema- Opciones de auditoria de la base de datos- Configuración de seguridad y auditoria de archivos y bibliotecas- Accesos desde el exterior a través de conexiones de red (FTP,

ODBC, etc…)- Perfiles de usuario- Usuarios con autorizaciones especiales- Establecimiento de políticas de seguridad

Quick-Csi le permitirá controlar de forma sencillatodos estos elementos para obtener la máximaseguridad y auditoria de su sistema


Quick-CSi - IBM System i - Riesgos

LegalesLOPD - SOX –

Bale2 – PCI –

HIPAA – 21CFR

En las comunicacionesigual que en otras

plataformas a través de

diferentes protocolos (FTP,

ODBC, DDM/DRA, etc…)

Por los usuariosEn local o remotos

En el accesoIFS, Telnet, SQL,

Query, Signon…


Los clásicos:

� TELNET,

� FTP (Client Server Trivial REXEC),

� SIGNON,

� DATAQ,

� IFS,

� DDM y DRDA,

� ODBC (JDBC - Client Access -

Remote Command iSeries Nav),

Otros:

� ShowCase,

� Conexión CLI,

� SQL remoto,

� Motor SQL & QRY,

� Todos los mandatos:

- UPDDTA,

- RSTOBJ

- CHGSYSVAL,

- SNDDS

- RUNRMTCMD,

- EDTF, etc…

Los anunciados:

� Open / Close DBF

� Qry Governor

� EASYCOM

Quick-CSi - IBM System i - Riesgos


Quick-CSi - IBM System i - Reglamentación

SOX

BASEL 2

PCI

HIPAA

21CFR

• Obligaciones legales para:

– Garantizar la fiabilidad y la integridad de los datos

– Minimizar las actividades fraudulentas

– Reducir los riesgos asociados a los sistemas de información

– Reducir los riesgos de usos incorrectos y de divulgación de información reservada

– Garantizar la trazabilidad y confidencialidad de la información

– Asegurar el acceso a los sistemas

– Realización de procesos de control y auditoríasLOPD


Quick-CSi – Detección de eventos

AUDIT

Funciones del sistema

Transacciones

Trabajos

DB Journal

Funciones del sistema

Transacciones

Inserts

Deletes

Updades

• FTP

• SQL

• …

Exit Points

CSi recording

Audit Journal

Permite la

trazabilidad de

cualquier evento

relativo a los objetos

Exit-Points obtiene

los datos deseados

en formato « CSi »

DB Journal permite

la trazabilidad de

cualquier evento

relativo a los datos


Quick-CSi Arquitectura – Control de Accesos

Exit Points

Filtrado

BBDDCSi

• Los accesos son controlados a partir de los Exit Points (WRKREGING)

• Control de los puntos de entradasegún necesidades

• Registro de eventos

• Posibilidad de procedimientosespecíficos en lugar de los programas estándard

Quick-CSi

Análisis de las transacciones

para controlar y mejorar las

normas de acceso al sistema

de información


Quick-CSi – Control de accesos

• Todas las entradas al sistema son supervisadas

• Definición de los exit points según necesidades del cliente

• Registro de eventos en una base de datos para consultas, producción de informes periódicos y análisis multicriterio

• SIN Bloqueo de transacciones – Quick-CSi vigila y controla(actúa como un supervisor) los accesos para adecuar las normas de seguridad del cliente con los accesos reales en el sistema

• Entrega de informes « auditables »

Un producto eficaz y fácil de gestionar!


Quick-CSi - Trazabilidad

Ejecución de funciones

• Todos los trabajos, interactivos o batch, son analizados

• Independientemente del método utilizado: mandatos, programas, productos externos…

Diario de auditoría del

sistema

• Todas las operaciones y acciones son auditadas

• Todos los objetos están bajo control de la auditoria

• Función nativa del sistema operativo

Archivado

• Salvado de la totalidad de la informaciónrecogida para análisis posteriores.

• Informes automáticos en función de los filtrosdefinidosBBDD CSi

AUDIT


• Trazabilidad de cualquier tipo de transacciones

• Fiabilidad de la auditoría, registro a nivel del sistemaoperativo

• Aspectos complementarios: CSi para la trazabilidad de los datos, EDD/HA para la seguridad de los datos y, control de compromiso para la integridad de la información.

• Automatización del plan de auditoria

• Fiabilidad del archivado de la información y de su restauración

– Salvado de toda la información para consultas futuras

• Legibilidad de resultados – Informes automáticos

– Informes parametrizables por el usuario para obtener SOLO la información deseada/crítica

Quick-CSi - Trazabilidad


� Generador de reportes automático

� Listados de los diferentes tipos de información de auditoria.

� Listados de los accesos a través de los Exit Points.

� Listados detallados de cada tipo de informacióndependiendo de los parámetros predefinidos.

� Filtrado de las salidas para minimizar el tamaño de la información generada para permitir una lectura fácil, un mejor análisis y la consulta de la información realmentecrítica.

Quick-CSi – Listados y eficiencia


� Reportes gráficos

� Existe la opción de disponer de reportes gráficos a partir de Quick-DOC:

� Salidas gráficas

� PDF, email,…

� Archivado con claves e índices (Doc Finder)

� Consultas a través de GUI

� Disponibilidad de una GUI para consultas multi-criteriofacilitando el uso de la información.

� Interfaz adaptable (Pestañas, filtros,…)

Quick-CSi – Listados y eficiencia


Se destacan las señales de alerta


Listadofiltrado por un

criterio


Quick-CSi – Query GUIPestaña personalizada y

salvada para futuraspeticiones

Customizedfilters,

OnDemandactivation

Pestaña de información para la

descripción de archivos de base de

datos


Quick-CSi – Trazabilidad de base de datos

Transacciones

• Todos los trabajos, interactivos o batch, son analizados

• Independientemente del método utilizado: mandatos, programas, productos externos…

Diario de base de datos

• Los archivos de base de datos se registran pordiario

• Cualquier operación sobre el archivo se registra

• Función nativa del sistema operativo

Archivado

• Filtrado a nivel de campo para controlar el espacio en disco

• Informes automáticos en función de los filtrosdefinidosBBDD CSi

Diariode DB


• La trazabilidad se realiza sobre los archivos críticos del sistema

• Fiabilidad en el registro por diario, registro a nivel del sistema operativo

• Gestión sobre nuevos diarios o sobre diarios existentes

• Fiabilidad del archivado de la información y de su restauración

– Almacenamiento limitado según disponibilidad

• Legibilidad de resultados – Informes automáticos

Quick-CSi – Trazabilidad de la base de datos

Un producto eficaz y fácil de gestionar!


� Consultas multi-criterio

� Análisis de datos – Mostrar las diferencias entre las imágenes anterior y posterior de una/s fila/s en unaactualización (registro por diario *BOTH)

� Estadísticas detalladas

� Transacciones por objeto

� Transacciones por usuario

� GUI para consultas avanzadas

Quick-CSi – Trazabilidad de la base de datos


Quick-CSi – Query GUI

Accesos múltiplesa toda la

informaciónrecopilada

GUI única para consultar

información de Datos y auditoria


Quick-CSi – Exportación de datos

� La interfaz gráfica de consulta de datos es MULTIPLATAFORMA

� El módulo opcional Quick-EDD/DRm permite replicar los datos a cualquier otra base de datos SQL en cualquier otra plataforma

Datos Csi

en Power i� Los datos exportados

permanecen siempredisponibles.

� Las consultas yacreadas, siguen siendoválidas sobre los datosexportados

CSi / Oracle-

SQLServer...

DRm


Porqué Quick-CSi

� Responde a las necesidades de normativas de Trazabilidad

Justificación de transacciones

� Proteger el sistema de información y los datos que contiene

Finanzas : operaciones nocturnas, desatendidas

Sistemas de pago : fecha de entrada, cuenta corriente, cuotas fiscales, falsos boletines, préstamos

Distribución : tarifas de conveniencia, límite de crédito, cantidades entregadas

Banca : cuentas durmientes, cuentas de gestión defectuosa

Stocks : modificación de artículos, refacturación

Seguros : reembolso anticipado de una cuenta

Vigilancia : externalización, telemantenimiento

Desarrollo : bugs, errores de funcionamiento

Históricos : datos de clientes, dossiers médicos

Tablas : gestión de maestros

Avisos/Alertas : envío de mails o activación de tareas ante situaciones críticas

Calidad : seguimiento de datos de aranceles, logísticos, etc…

Date post:	13-May-2018
Category:	Documents
Upload:	dinhtruc
View:	215 times
Download:	1 times

Auditoría de sistemas y bases de datos para IBM Power i · · 2017-11-10... (Client Server...

Documents