Mobila enheter och informationssäkerhetsrisker för nybörjaren
•
0 gefällt mir•848 views
Presentation från GRC 2015 den 20 maj. Kontakta gärna talaren om du har några frågor. Hela schemat för eventet hittar du här: http://www.transcendentgroup.com/sv/har-har-du-hela-schemat-for-grc-2015/
Empfohlen
Empfohlen
Weitere ähnliche Inhalte
Was ist angesagt?
Was ist angesagt? (20)
Andere mochten auch
Andere mochten auch (20)
Ähnlich wie Mobila enheter och informationssäkerhetsrisker för nybörjaren
Ähnlich wie Mobila enheter och informationssäkerhetsrisker för nybörjaren (20)
Mehr von Transcendent Group
Mehr von Transcendent Group (7)
Mobila enheter och informationssäkerhetsrisker för nybörjaren
- 1. Mobila enheter och informationssäkerhetsrisker för nybörjaren Marcus Larsson 20 maj, GRC 2015
- 2. Hos Transcendent Group möter du erfarna konsulter inom governance, risk and compliance. Våra tjänster skapar trygghet och möjligheter för myndigheter, företag och andra organisationer inom en rad olika branscher. Transcendent Group har fyra år i rad utsetts till en av Sveriges bästa arbetsplatser. Om företaget ©TranscendentGroupSverigeAB2015
- 3. Agenda • Bakgrund och statistik • Varför syna mobil säkerhet? • Hur går man till väga? • Hemläxa: utmana din organisation ©TranscendentGroupSverigeAB2015
- 4. Om mig • Bakgrund som IT-revisor och GRC-konsult inom offentlig sektor, finansiella sektorn, retail, med flera. • Tjänsteområdesansvarig för informationssäkerhet och CISO på Transcendent Group. • Granskare och rådgivare kring informationssäkerhet och IT-säkerhet. • CISA, CISM, CISSP, CRISC, CEH, ITIL-certifierad. ©TranscendentGroupSverigeAB2015
- 5. Varför syna mobil säkerhet? ©TranscendentGroupSverigeAB2015
- 6. Riskbilden Användning av mobila enheter har varit, och fortsätter att vara en källa till säkerhetsincidenter. Centrala riskområden är: • Brist på lämpliga styrande principer, procedurer och kontroller i samband med hantering av mobila enheter. ©TranscendentGroupSverigeAB2015
- 7. 0% 10% 20% 30% 40% 50% 60% 2013 2015 Antal personliga enheter som lagrar företagsdata Personliga enheter anslutna till företagsnät Bakgrundsinformation och statistik Ny studie genomförd i fem länder visar: • 56% av tillfrågade uppger att antalet personliga enheter som lagrar företagsdata ökat från 37% 2013 till 56% slutet av 2014. • 95% tampas idag med utmaningar av personligt ägda enheter som är anslutna till verksamhetens nätverk (BYOD). ©TranscendentGroupSverigeAB2015 Källa: Checkpoint Survey Oct 2014 – ”The impact of mobile devices on information security: a survey of it and security professionals”
- 8. Bakgrundsinformation och statistik • Antalet mobila enheter anslutna till företagsnätverk växer. • Säkerhetsincidenter kopplade till mobila enheter ökar, och så även kostnaden att fixa problemen. • 82% av tillfrågade säkerhetsexperter tror att mobila säkerhetsincidenter kommer fortsätta öka. • 64% uppger att kostnaden för att avhjälpa mobila säkerhetsincidenter ökar. • 42% av tillfrågande i företagsledningen uppger att en mobil säkerhetsincident i regel kostar mer än $250.000 ©TranscendentGroupSverigeAB2015 60% 62% 64% 66% 68% 70% 72% 74% 76% 2012 2013 2014 Personliga enheter anslutna till företagsnät Personliga enheter anslutna till företagsnät Källa: Checkpoint Survey Oct 2014 – ”The impact of mobile devices on information security: a survey of it and security professionals”
- 9. Hur går man till väga? ©TranscendentGroupSverigeAB2015
- 10. Att syna mobil säkerhet • ansats, riskanalys/ avgränsningar/syfte • policy och riktlinjer • riskanalyser • enhetshantering • tekniska kontroller • administrativa kontroller • säkerhetsmedvetande och utbildning ©TranscendentGroupSverigeAB2015
- 11. Riskbaserad ansats • Varför har frågan dykt upp? • Inträffade incidenter? • Nya lagkrav på informationssäkerhet? • Verksamhetsrisk – Finns ett starkt beroende av mobila enheter idag? • Diskutera med ledningen. ©TranscendentGroupSverigeAB2015 Riskbaserad ansats }
- 12. Policy & Riktlinjer • Lämpligt utformad policy: – Dataklassificering – Godkända enhetstyper och säkerhetskrav – Centrala processer för hantering av enheter • Riktlinjer för hantering och användande • Uppdaterade och relevanta rutiner och instruktioner • Översyn årligen och på förekommen anledning • Löpande riskanalyser • Ledningens engagemang ©TranscendentGroupSverigeAB2015 Policy Riktlinjer Rutiner och instruktioner Plan Do Check Act
- 13. Vad är viktigast? värdeskapande kostnadseffektiv riskmedveten regelefterlevande ©TranscendentGroupSverigeAB2013
- 14. Regelbundna riskanalyser • Risker kopplade till mobila enheter identifieras och hanteras löpande • Periodiskt återkommande rapportering till ledningen (minst årligen) • Riskregister och uppföljning av åtgärder • Ledningens förståelse och engagemang • Verksamhetsrisker och rätt nomenklatur • Finns relevanta KRI:er identifierade idag? ©TranscendentGroupSverigeAB2015
- 15. Administration och teknik, det där sköter väl… IT? ©TranscendentGroupSverigeAB2015
- 16. Inte riktigt så enkelt Operativsystem- och databasplattformar under flera system Processer sträcker sig över flera system, kostnadsställen Data finns i flera system och byter värde och kravbild längs medvägen Verksamhetsmål och kostnadsställen Informationen i centrum ©TranscendentGroupSverigeAB2015 }-------------------------------- vem äger risken? + vem ombesörjer? + intern politik ( ) ^2
- 17. Administrativa kontroller • Tillämpliga kontroller i alla processer • Ansvar, roller och rutiner • Vem äger systemen, processen och informationen? • Vem äger risken? • Avsteg från riktlinjer Behörighetshantering Systemutveckling Ändringshantering ©TranscendentGroupSverigeAB2015 Generella IT-kontroller}
- 18. Tekniska kontroller 1/3 Behörighetsstyrning • Dataklassifikation • Tillgång till särskilt känslig information • Autentisering (PIN, komplex, stark/svag) Skydd mot dataförlust • Spårning av enheter (om tillämpligt/lagligt/etiskt) • Fjärrövervakning och kontroll • Regler för överföring/delning av data • Synkronisering mot molnet • Inkoppling av flyttbar media som ex. USB-enheter • Data Loss Prevention (DLP) ©TranscendentGroupSverigeAB2015
- 19. Tekniska kontroller 2/3 Kryptering • Dataklassifikation • Krypterad lagring och överföring • Centralt hanterad • Avvikelser upptäcks, hanteras och incidentrapporteras Regler för överföring • Policy och dataklassificering sätter kraven • Vilken data får röra sig mellan olika zoner, och under vilka förutsättningar? Mellan olika applikationer, urklippshanteraren, nätverkszoner, lokala lagringsytor etc. • Centralt hanterade kontroller (förhindrande och upptäckande) • Tillämplig säkerhetsmekanik för informationens risk (VPN, IPSEC, SSL etc.) ©TranscendentGroupSverigeAB2015
- 20. Tekniska kontroller 3/3 Skydd mot skadlig mjukvara • Malwareskydd (antivirus, antispionmjukvara etc) • Begränsning av installation av appar (whitelist/blacklist) • Verksamhetsunik applikationskatalog ”egen appstore” • Container för känslig verksamhetsinformation • Avsteg upptäcks och hanteras Intrångsskydd • Begränsad åtkomst mot verksamhetens infrastruktur • Upptäckande kontroller ©TranscendentGroupSverigeAB2015
- 21. Nått man kan vara säker på är att hårddiskar kraschar, det regnar på midsommarafton och mobiler tappas bort… ©TranscendentGroupSverigeAB2015
- 22. Enhetshantering BOYD/CYOD? - Policy styr Riskanalys innan nya enhetstyper tillåts Kontrollmiljö - Begräsningar beroende på enhetstyp Enrollment/derollment av enheter Mobile Device Management-verktyg (MDM) ©TranscendentGroupSverigeAB2015
- 23. Säkerhetsmedvetande: hur stort är problemet? ©TranscendentGroupSverigeAB2015
- 24. Olika utmaningar och exempel Skifte i kontroll och kravställning (consumerization) • Vem äger enheten? • IT- ställde tidigare krav, nu gör användaren det. • Säkerhetsuppdateringar sker nu av användaren. • Var går gränsen mellan arbetsverktyg och privat leksak? • Lägre krav på säkerhet och högre krav på användarvänlighet. 20 års lärdomar kan ibland kastas vid väggrenen. ©TranscendentGroupSverigeAB2015
- 25. Ny teknik, samma dilemma användar- vänlighet säkerhet ©TranscendentGroupSverigeAB2015
- 26. Mer statistik ©TranscendentGroupSverigeAB2015 Källa: Checkpoint Survey Oct 2014 – ”The impact of mobile devices on information security: a survey of it and security professionals” Nyligen utförd studie visar att: • 87% av tillfrågade säkerhetsansvariga säger att vårdslösa anställda idag utgör ett större hot än cyberkriminella. • 63% säger att anställda nyligen bidragit till högprofils säkerhetsincidenter. • 92% säger att medarbetares korrekta beteende kunde förhindrat nyligen inträffade allvarliga säkerhetsincidenter. Anställdas handlingar har den största negativa påverkan på mobil säkerhet
- 27. Fundera på följande, vad är sagt hos er? • Vad får fotograferas med enhetens inbyggda kamera? • Är fotografierna på styrelsens whiteboard krypterad på minneskortet? • Synkroniseras jobbmaterial och fotografier till molnet och sen vidare till exempelvis en ”time capsule” på landstället? • Är det OK att låna ut Ipaden till barnen på väg till landstället? • Är det OK att skicka runt Ipaden på en fest för att visa fiskebilder? • Får man som anställd ansluta enheten till trådlösa okända nätverk utomlands, exempelvis caféer och flygplatser? • Varför är 4 siffrors kod för inloggning ok på mobiler medan det inte är det på datorer? Vilka kompenserande kontroller finns i så fall? ©TranscendentGroupSverigeAB2015
- 28. Tone at the top ©TranscendentGroupSverigeAB2015
- 29. Säkerhetsmedvetande • En av de största riskerna för en organisations informationssäkerhet är oftast inte en svaghet i den tekniska kontrollmiljön. • Handlingar eller underlåtenhet av anställda och annan personal leder ofta till säkerhetsincidenter som: – utlämnande av känslig information. – utnyttjande av obefogad tillgång till känslig information utan att följa lämpliga förfaranden. – att inte rapportera observerade aktiviteter och händelser. ©TranscendentGroupSverigeAB2015
- 30. Säkerhetsmedvetande • Viktigt att organisationer har ett program för säkerhetsmedvetenhet för att säkerställa att: – De anställda är medvetna om vikten av att skydda känslig information och vad de ska göra för att hantera information på ett säkert sätt samt att minska risken för misskötsel gällande känslig information. • Medarbetarnas förståelse för de organisatoriska och personliga konsekvenserna av felhantering känslig information är idag av avgörande betydelse för en organisations framgång. • Frånsteg från regler upptäcks, åtgärdas incidentrapporteras. Disciplinära åtgärder bör vidtas vid grov oaktsamhet eller medvetna avsteg från regler. Återkommande problem områden hanteras strukturerat. ©TranscendentGroupSverigeAB2015
- 31. Säkerhetsmedvetande och utbildning Awareness-utbildning: • Alla anställda får grundläggande utbildning av hur att hantera mobila enheter och riskerna förknippade med dem. • Fördjupad utbildning sker av personal vars hantering av och tillgång till information ställer ytterligare krav på kontroll och riskmedvetande. • Utbildning vid anställning/mottagande av mobil enhet, årligen uppdatering samt vid förekommen anledning. • Kompetensprov och krav på kvalifikationer finns etablerade. • Utbildningen uppdateras löpande efter hotbild • Återkoppling från riskanalyser och inträffade incidenter reflekteras i utbildningens utformning och fokus. ©TranscendentGroupSverigeAB2015
- 32. Vart är trenden på väg? ©TranscendentGroupSverigeAB2015
- 33. Ytterligare mobilisering innebär ökad risk Användningen av mobila enheter som faktiskt arbetsverktyg fortsätter att öka. Arbete på distans sätter nya krav på framtida tjänster på mobila enheter. Arbetsmoment såsom tidrapportering, fakturering och attestering börjar nu utföras via mobila enheter. Således inte längre bara konfidentialitet som är viktigt utan även tillgänglighet och riktighet ©TranscendentGroupSverigeAB2015
- 34. Nu till er egen hemläxa 1. Har ni tillförlitlig riskhantering på er mobila enheter idag? 2. Utbildning och riskmedvetande, hur ser ert program för detta ut idag och imorgon? ©TranscendentGroupSverigeAB2013