Informationssikkerhed om fem år. Nye udfordringer giver nye kommercielle fordele. Luke Herbert

Transkript

1 Informationssikkerhed om fem år Nye udfordringer giver nye kommercielle fordele Luke Herbert

2 Agenda Hvorfor har vi computere? Hvorfor er sikkerhed vigtigt? Hvad vil det sige, at en computer er sikker? Hvorfor er computere ikke sikre? Hvordan bliver de udnyttet? Hvem angriber? Hvilke trends ser Deloitte? Hvad kan man gøre? 2015 Deloitte 2

3 Hvorfor har vi computere? 2015 Deloitte 3

4 Computere øger effektivitet USA s produktivitetsvækst under Elektrificering ( ) [1915 = 100] IT ( ) [1995 = 100] 2015 Deloitte 4

5 Computere er overalt En moderne bil har typisk omkring 50 computere 2015 Deloitte 5

6 ...og der kommer flere Koncept fra MIT af en mobiltelefon i din krop 2015 Deloitte 6

7 Milliarder Internet of Things Køretøjer Forbruger Generiske produkter Vertikale produkter Samlet Forventet antal internet of things enheder online [Gartner Nov 2014] 2015 Deloitte 7

8 Hvorfor er sikkerhed vigtigt? 2015 Deloitte 8

9 Kunders tillid er din license to operate Forbrugerbekymring 92% af internetbrugere i USA er bekymrede for deres private data. Dette er steget fra 89% i Forbrugertillid Forretningspåvirkning 55% af alle internetbrugere i USA stoler på, at internetvirksomheder passer på deres private data. Dette er en nedgang fra 57% i % af alle internetbrugere i USA siger, de undgår virksomheder, som de ikke føler beskytter deres private data ordentligt. Dette er uændret fra [TRUSTe, Inc. (2014)] 2015 Deloitte 9

10 Hvad vil det sige at en computer er sikker? 2015 Deloitte 10

11 Rimelige krav Lovlige brugere af systemet kan lave det, som de skal, når de skal og Ulovlige brugere kan ikke lave noget som helst, når som helst 2015 Deloitte 11

12 Store konsekvenser Sikkerhedsbrud Nedetid / Operationel Stop Bøder Legal Finansielle tab Manglende overholdelse af compliance krav Tab of IP Nedsat / tabte salg Tabt tillid Omdømme skade 2015 Deloitte 12

13 Hvorfor er computere ikke sikre? 2015 Deloitte 13

14 Computere er Turing maskiner 2015 Deloitte 14

15 Eksempel Et lille computer program (Turing maskine) 2015 Deloitte 15

16 Eksempel Et lille computer program (Turing maskine) På 5 linjer kan man implicit kode et matematikproblem Fermats sidste sætning (1637) (også kaldet Fermat-Wiles-sætningen efter 1994) 2015 Deloitte 16

17 Eksempel Beviset: 223 Sider 2015 Deloitte 17

18 Eksempel Beviset: 223 Sider Understøttende Teori: 492 Sider 2015 Deloitte 18

19 Konklusion Man kan ikke bygge en Turing maskine Deloitte 19

20 Konklusion Man kan ikke bygge en Turing maskine 1 If you think technology can solve your security problems, then you don't understand the problems and you don't understand the technology - Bruce Schneier 2015 Deloitte 20

21 Hvordan bliver computere udnyttet? 2015 Deloitte 21

22 James Reason s model af ulykkeshændelser 2015 Deloitte 22

23 Praktisk sikkerhed Bugs (1947) Mennesker Processer 2015 Deloitte 23

24 Hvem angriber? 2015 Deloitte 24

25 Elite hackere? 2015 Deloitte 25

26 Zero Cool [Hackers 1995] 2015 Deloitte 26

27 Commerciel Cybercrime Ydelse Ransomeware (crypto-locker) Exploit Kit Dedicated Server Pris (USD) 10 (eksekverbar) (kildekode) 500 (eksekverbar) 250,000 (kildekode) 1 (basic) (bulletproof 1Gbps / måned) Fake website + deployment 5-20 Blackhat SEO Spamming Pay-per-Install Botnet (fuld kontrol) DDos Service Consulting 80 (20,000 spammed back links) (1,000,000 mails) 100(RU) - 150(UK) (1000 inficeret) 500 (2000 bots/dag - 40% online) 10 (time) til 1200 (måned) 350 (time) til 100,000 (uge) RAND Corporation 2014 undersøgelse af cybercrimetjenester 2015 Deloitte 27

28 Commerciel Cybercrime...med kundeservice McDumpals [Maj 2014] 2015 Deloitte 28

29 Hvilke trends ser Deloitte? 2015 Deloitte 29

30 Angrebsmønstre ændrer sig Angrebsvektorer skifter fra teknologi til mennesker Angrebsvektorer ligner i stigende grad normal opførelse Mere intelligente upersonlige angreb Flere målrettede angreb Forsyningskæde / partner forgiftning

31 Tid er kritisk Forskellen er at kunne reagere på få minutter: ikke flere dage Dag 0 0 Skræddersyede malware forbigår din virksomheds antivirus-løsning Dag 1 Malware begynder at sende følsomme dokumenter over internettet Følsomme oplysninger fortsætter med at blive transmitteret over flere dage PR kan hverken benægte eller bekræfte omfanget af et sikkerhedsbrud, når medierne får øje på historien CEO informeres om at følsomme oplysninger bliver lækket til ukendte modtagere og at disse oplysninger ikke kan erstattes Rygtet spredes via sociale medier om et større brud på sikkerheden. Sikkerhedsholdet får besked og undersøger sagen Dag 7 Dag 8 Dag 9 Dag 10 Omdømme er beskadiget, og hoveder ruller Sikkerhedsovervågnings - indberetninger om unormale mønstre 2015 Deloitte min +2 timer Berørte maskiner isoleres og udskiftes, og databruddet begrænses +6 timer Dag 2 Forretningen fortsætter med at trives Attack metode identificeres, beviser indsamles og afleveres til politiet, for at forfølge hackerne PR er orienteret i tilfælde af mediedækning og intelligence deles med industriens peers

32 Big Data muliggør relevant insight Kunstig Intelligens Ustruktureret Data Big Data Sensorer Statistik 2015 Deloitte 32

33 Og der er meget data Logs / Events / Alerts Konteksten Konfiguratio ns information System audit trails / identitet kontekst Webside tekst Forretnings proces data Netværks flow Andet data Kunde Information 2015 Deloitte 33

34 6 essentielle sandheder omkring Cyber Risk 1Ingen industri er immun 2 Cyberskader er ikke kun finansielle 3 Asymmetrisk 4 angriber / forsvarer forhold Traditionelle kontroller er nødvendige, men ikke tilstrækkelige 5 Myndigheder og regeringer er centrale interessenter med stadigt stigende fokus 6 Alt kan ikke beskyttes ligeligt 2015 Deloitte 34

35 Hvad kan man gøre? 2015 Deloitte 35

36 Deloittes skridt til robust sikkerhed Sikkerhed er en proces Trusler & Innovation Reager & Retablere Kerne Forretning Risici & Risikoappetit Opbyg Awareness Modenhed & Ambition 2015 Deloitte 36

37 Vejen frem Indhent intelligence Omdan intelligence til handlevisende information Oversæt information til handling 2015 Deloitte 37

38 Mere information For mere information Deloitte 38

39 Om Deloitte Deloitte leverer ydelser indenfor Revision, Skat, Consulting og Financial Advisory til både offentlige og private virksomheder i en lang række brancher. Vores globale netværk med medlemsfirmaer i mere end 150 lande sikrer, at vi kan stille stærke kompetencer til rådighed og yde service af højeste kvalitet, når vi skal hjælpe vores kunder med at løse deres mest komplekse forretningsmæssige udfordringer. Deloittes ca medarbejdere arbejder målrettet efter at sætte den højeste standard. Deloitte Touche Tohmatsu Limited Deloitte er en betegnelse for Deloitte Touche Tohmatsu Limited, der er et britisk selskab med begrænset ansvar, og dets netværk af medlemsfirmaer. Hvert medlemsfirma udgør en separat og uafhængig juridisk enhed. Vi henviser til for en udførlig beskrivelse af den juridiske struktur i Deloitte Touche Tohmatsu Limited og dets medlemsfirmaer.