Er fremtiden nem for NemID?

Transkript

1 Er fremtiden nem for NemID? John Christensen, 6. september 2013 Mail: Tlf.:

2 l Agenda Kort om esecurity i Nets Status på NemID Sikkerheden i NemID NemID nyheder 2

3 Kort om esecurity i Nets 3

4 l Nets - esecurity E-Ident OTP E-Signing Products Schemes eid Banks Public Authorities exploit Businesses E-Archive NemID BankID 4

5 l Nets - esecurity 4,1M 4,1 million NemID Users 2,8M 2,8 million BankID users 350K active eid certificates 800K employee signatures 34M 34 million Certificate Validations 5

6 Status på NemID 6

7 l NemID 4,1 millioner NemID brugere 3,9 millioner har et OCES certifikat 447 Tjenesteudbydere + alle banker 228 private tjenesteudbydere 219 offentlige tjenesteudbydere 1,5 milliarder transaktioner siden 2010 Der forventes 600 millioner transaktioner i % af transaktionerne er bankrelaterede transaktioner 25 % af transaktionerne er relateret til offentlige myndigheder og øvrige private tjenesteudbydere 7

8 Sikkerheden i NemID Status og trusler 8

9 l Udviklingen i netbank sikkerhed NemID har medvirket til at knække kurven Ingen tab Fælles sikkerhedsløsning fra 2010 I 2012 kom vi tilbage på 2009-niveau. Der er behov for nye tiltag kr kr kr kr Netbanktab* kr Netbanktab kr kr kr kr *Tallene inkluderer også tab fra kunder, der ikke benytter NemID 9

10 l Udviklingen i udlandet Danmark er heldigvis forskånet for de massive angreb og tab, som ses i udlandet. Lande som Sverige, Norge, Holland og England er hårdt ramte. I England har de i 2012 haft et tab på ca. 400 mio. kr. Skaleres til danske forhold skulle vi i Danmark have tabt 80 mio. kr. i Vi tabte 6 mio. kr.! 10

11 Misbrugssager Hjemmel i lovgivning før Nets DanID udleverer data. Sagerne ligner det der kendes fra den analoge verden. Få misbrugssager vi har kendskab til: DBA Søn bestiller NemID til sin far og optager lån 11

12 l Trusler mod NemID infrastrukturen DDoS Hackere Insider threat Fejl i udvikling eller drift 12

13 l Mitigering - DDoS Stigende problem med DDoS Angrebene tiltager i styrke og varighed. Angrebenes karakter ændres kontinuerligt Alle kan blive ramt og fjerne tilstedeværelsen på nettet. Bare spørg virksomhederne bag fx 3f.dk, rejseplanen.dk, kl.dk, borger.dk, politi.dk og justitsministeriet.dk NemID har også været ramt, hvilket medførte: Nedetid. Gener for brugerne af NemID. Hvad gør Nets ved det? Tæt samarbejde med førende leverandører af DDoS services. Beskyttelse på flere niveauer. Overvejer kontinuerligt behovet for justeringer af NemID infrastrukturen, så denne er tilpasset trusselsbilledet. 13

14 l Mitigering - brugerne Kontinuerlig formidling af sikkerhedsråd til brugerne. Fælles infrastruktur gør, at interessenterne samarbejder om at opdrage brugerne. Gode råd om it-sikkerhed Fra Finansrådet Fra 14

15 l Mitigering internt og eksternt Best practice for udvikling og drift Intern og ekstern audit Funktionsadskillelse Dual adgang til kritiske dele af infrastrukturen Intern og ekstern kodereview Ekstern sikkerheds- og penetrationstest Mange testmiljøer Rigide change processer ved idriftsættelse Samarbejde Bankernes sikkerhedsansvarlige GovCert Center for Cybersikkerhed CSIS 15

16 NemID nyheder 16

17 l Situationen i dag NemID er i dag supporteret på Windows, Mac og Linux i form af en Java applet Der har de senere år været et stigende antal brugere af SmartPhones og tablets Java er ofte ikke supporteret på SmartPhones og tablets JavaScript er blevet synonym med klientimplementeringer i moderne browsere 17

18 l Overordnede krav til ny klient Minimum samme sikkerhedsniveau Minimum samme performance Minimum samme brugervenlighed 18

19 l Ny NemID klient i JavaScript Samme bruger-id, adgangskode, nøglekort og nøgleviser Genkendelig brugergrænseflade Virker i moderne browsere Kan også anvendes på SmartPhones og tablets Java skal ikke installeres Forbedret time-to-market Reducering af de løbende vedligeholdelsesomkostninger 19

20 l NemID klient i JavaScript Vigtige milepæle Foreløbig implementeringsvejledning (november 2013) Ny version af tjenesteudbyderpakken (januar 2014) Adgang til testsystemer for tjenesteudbydere (april 2014) Start på pilot med udvalgte tjenesteudbyder (april 2014) Start på migrering for alle tjenesteudbydere (juli 2014) 20

21 l Konklusion Nets DanID forventer umiddelbart ikke, at fremtiden bliver nemmere, da man konstant skal arbejde på at tilpasse sikkerhedsniveauet og dermed den samlede NemID løsning - til det aktuelle trusselsbillede For tjenesteudbyderne bliver det lettere, da de i langt højere grad kan undgå at udvikle specialløsninger. Brugerne kan anvende NemID på flere platforme, og antallet af tjenesteudbydere, der understøtter NemID øges. 21

22 Tak for opmærksomheden! John Christensen Mail: Tlf.: