Managing Risk Enabling Growth Jacob Herbst København, 30.10.2012
Agenda IT udviklingen og forretningen Trusselsbilledet Hot topics 2012 Dubex Platformen Forretningsmæssigværdi Konklusion Spørgsmål
It er forretningen Mission for it-afdelingen: Øge virksomhedens indtjening og vækst Ledelsen og bestyrelsen skal forøge og beskytte værdien af virksomheden It er grundlaget for alle forretningsprocesser Synliggørelse af den risiko som itanvendelsen medfører Risikostyring er det værktøj vi kan bruge til beskytte værdien af virksomheden Myndigheder Bestyrelse IT Sikkerhed Risiko Ledelse Udfordringer: Umuligt at synliggøre teknisk it-risiko uden forretningssammenhæng Forretning forstår sjældent værdien og betydningen af it-systemer Forskellige interessenter har forskellig opfattelse af sikkerhed og risiko Kunder Medarbejder CIO
Risikostyring på ledelse- og bestyrelsesniveau Risiko strategi Tager vi de rigtige risici? Risikoappetit Har vores risiko det rette omfang? Evner Er vi effektive til at styre risici? Kender vi de betydeligste risici, vi tager? Er de risici vi tager på linje med vores forretningsmæssige mål og vækststrategier? Vil de risici, vi tager hjælpe os med at opnå konkurrencemæssige fordele? Hvordan passer de risici, vi tager med aktiviteter, der skaber værdi? Har vi rettidig og relevant information til at foretage strategiske valg? Kan vi opnå et afkast, der er i overensstemmelse med vores overordnede risikoprofil? Fremmer eller hæmmer vores kultur det rette niveau af risikotagning adfærd og aktiviteter? Har vi en defineret, formidlet og forstået organisatorisk risikoappetit og tolerance? Er vores risikoappetit kvantificeret både samlet og per hændelse? Er vores reelle risikoprofil i overensstemmelse med vores risikovillighed? Er vores kapital er tilstrækkelig til at understøtte vores risikoprofil? Er vores risikostyringsproces "ensartet", på niveau med vores strategiske beslutningsproces og key performance foranstaltninger? Risikostyring - Er der klarhed over bemyndigelse, afgrænsninger og ansvarsområder? Overvåges vores risikostyringsproces effektivt på tværs af hele virksomheden? Er vores ensartede risikostyringsproces omkostningseffektiv og effektiv?
Drivere it-sikkerhed som enabler Cloud Mobility Big Data Sociale Medier Private Cloud, public Cloud, hybrid cloud SmartPhones og tablets Consumirization Vækst i datamængder Analyse værktøjer Facebook og Twitter Private Cloud Computing is among the highest interest areas across all cloud computing, with 75% of respondents saying they plan to pursue a strategy in this area by 2014. By 2013, 80 percent of businesses will support a workforce using tablets. Big data in 2-5 years will have a transformative impact on the organization and to give appropriate feedback; by 2015 it will allow companies who have mastered the technology to beat competitors by 20 percent for all existing financial metrics. 78% of IT organizations are concerned about the risks of employee driven, unsanctioned use of Web 2.0 tools and technologies Sikkerhed som enabler
It-udfordringer Interne krav - forretningen Reduktion af omkostninger Grøn it Fleksibilitet Tilgængelighed og performance Interne krav - brugere Adgang til sociale netværk Mobil adgang overalt Work/life balance Consumerization og user empowerment Applikationer Web baserede applikationer Peer-to-peer applikationer Web 2.0 (sociale, wiki, blogs) Nye mobile operativ systemer og applikationer Trusler Organiseret kriminalitet Målrettede angreb - APT Tilfældige angreb og datatab Dag-0 sårbarheder Eksterne krav Compliance Forventninger fra kunder Aftaler og SLA er Teknologisk udvikling Trådløse teknologier og mobile enheder Båndbredde, netværk og IPv6 Telepresense Open Source
Infrastrukturudviklingen Fortiden Servere er monolitter Begrænset mobilitet Nutiden Delvis virtualisering Delvis mobilitet Fremtiden Cloud Computing Mobile Enterprise
Sikkerhedstendenser Udfordrende trusselsbillede APT angreb Dag-0 angreb Polymorfisk angreb Målrettede angreb Avanceret infrastruktur Konvergens på IP-netværk Virtualisering Mobile devices Organizations face an evolving threat scenario that they are ill-prepared to deal with.advanced threats that have bypassed their traditional security protection techniques and reside undetected on their systems. Øget kompleksitet Sikkerhed er komplekst Flere opgaver Manglende interne ressourcer og kompetencer Angreb stiger i kompleksitet og hyppighed Information er blevet strategisk Vores virksomheder bygger på information Kommunikation er vital Dataeksplosion Big data
Forretning drivere der påvirker it sikkerhed Eksterne drivere Økonomi Udsving på aktiemarkedet Love og regler Trusselsbillede Spionage Social engineering Branche-risikoprofil Terrorisme Forretningsmodel Hacktivism Sårbarheder Serviceleverandører Ondsindede insidere Lille kontrol Interne drivere Politikker og compliance Budget Bemanding og personale Markedsføring til kunder Firma kultur Serviceleverandører Samarbejde Forretningsmodel Revision Hændelser Større kontrol
Udfordringer - sårbarheder og angreb Mindre, hyppigere, målrettede og mere intelligente angreb Specialisering og arbejdsdeling blandt itkriminelle Målrettet screening og misbrug af sårbarheder Målrettet geografisk og efter sprog Unik malware for hver angreb/infektion Blandede angreb Flere samtidige angrebsvektorer Flere samtidige dag-0 sårbarheder Anvendelse af kompromitterede certifikater Sårbarheder i produktionsudstyr - fx PLCudstyr Adskillige anvendelser af f.eks. botnets Social engineering Angreb der udnytter betroede "brands" Angreb rettet mod sociale netværk Social engineering angreb såsom phishing Service Sells Access to Fortune 500 Firms Monday, October 22nd, 2012 at 12:01 An increasing number of services offered in the cybercrime underground allow miscreants to purchase access to hacked computers at specific organizations. For just a few dollars, these services offer the ability to buy your way inside of Fortune 500 company networks. The service I examined for this post currently is renting access to nearly 17,000 computers worldwide, although almost 300,000 compromised systems have passed through this service since its inception in early 2010. http://krebsonsecurity.com/2012/10/service-sells-access-to-fortune-500-firms/
Hændelser - 2012 Global Payments: data breach cost a whopping $84.4 million Ellen Messmer July 26, 2012 (Network World) Global Payments, which back in the spring reported a data breach in which information associated with an estimated 1.4 million payment cards was stolen, has revealed that expenses associated with investigations, fines and remediation has hit $84.4 million. The Atlanta-based payments-processing firm acknowledged that number as part of its fiscal report for 2012 revenues, which totaled about $2.2 billion, up 18% from $1.82 billion in 2011. Researchers identify Stuxnetlike malware called 'Flame' Security researchers believe that a newly identified cyberespionage threat called Flame is even more complex than Stuxnet or Duqu Lucian Constantin May 28, 2012 (IDG News Service) A new, highly sophisticated malware threat that was predominantly used in cyberespionage attacks against targets in the Middle East has been identified and analyzed by researchers Swedish websites down after from several security companies and New, sneakier Flashback organizations. Anonymous threats malware infects Macs According to the Anonymous Iranian Computer promised Emergency to attack some sites Response Team Ditches all attempts at duping after (MAHER), police raid the on new a hosting piece of service associate malware is called with Flamer The Pirate and Bay might be users with social engineered responsible for Grant recent Gross data loss incidents in tactics, exploits Java bug Iran. There are October also reasons 5, 2012 to believe (IDG News that Service) the malware is related to the Stuxnet and Duqu through drive-by attacks cyberespionage Gregg Keizer A handful threats, of the Swedish organization websites said remained down on Monday. April 24, 2012 (Computerworld) Friday evening there after hacking group Anonymous threatened earlier this week to A new, sneakier variant of the Flashback attack the nation for a police raid on a hosting malware was uncovered yesterday Update: by the Hackers service exploit that new was once IE home to The Pirate Bay. French security firm Intego. zero-day vulnerability HD Moore, maker of Metasploit, As of 6:45 urges p.m. users Swedish to time Friday, the Flashback.S, which Intego described ditch Monday, IE7, IE8 and IE9 until website Microsoft of the fixes Swedish Security Service was uses the same Java vulnerability as critical an earlier flaw down, as well as Sweden.se and version that has infected an estimated Gregg 820,000 Keizer Studyinsweden.se, with the latter two sites Macs since its appearance and still September plagues 17, 2012 (Computerworld) apparently down for most of the week because over 600,000 machines. of distributed denial-of-service attacks.
APT Advanced Persistent Threats Udfordringer - angreb og metoder Synlige Slørede Kompromittering er vanskeligt at detektere Sløringsteknikker til at undgå afsløring Angreb rettet gennem perimeter Truslerne er web-baseret Udbredelsen af netværk overalt gør opdagelse endnu vanskeligere Angreb rettet mod slutbrugere Indirekte angreb på klienter Angreb rettet mod sociale netværk Slutbrugeren bliver narret af social engineering Indirekte angreb via betroede eksterne tredjeparter Sårbarheder i software gør det bare endnu nemmere at narre slutbrugerne Sårbarheder og avancerede dag-0- angreb Hurtig udnyttelse af sårbarheder Misbrug af ukendte sårbarheder - dag-0 Tidligere Kendte sårbarheder Brede Engangsangreb APT Ukendte dag-0 sårbarheder Målrettede Vedholdende 56% af kompromitteringerne opdages først efter flere måneder Avancerede 59% af kompromitteringerne er først fjernet flere uger efter opdagelse
Hvorfor bliver vi angrebet? Intellektuelle værdier Forretningshemmeligheder kan misbruges af konkurrenter Konsekvenser Kunderne har ret til fortrolighed og integritet Tab af kundernes data er uacceptabel Ansvar / risiko for handling Regulatoriske krav (USA) - Stat "Breach Notification" Love (dvs. SB1386) Negativ indvirkning på "brand value", tab af værdifulde oplysninger, tab af troværdighed, tab af offentlighedens tillid osv. Mistede konkurrencefordele Spionage Konkurrenter Kriminelle Terrorisme Dyson alleges Bosch corporate espionage Tom Espiner, October 25 2012 Engineering firm Dyson has alleged that rival Bosch used an insider to steal company secrets. Dyson filed legal proceedings against Bosch in the High Court on Tuesday, a Bosch spokeswoman told SC Magazine on Wednesday. Dyson alleges that an employee working at its Malmesbury research facility passed details about Dyson motors to Bosch over a period of two years, according to the Independent. "We have spent over 15 years and 100 million developing high speed brushless motors, which power our vacuum cleaners and Airblade hand dryers," Dyson research and development director Mark Taylor said in a statement. "We are demanding the immediate return of our intellectual property." Politiske Angreb Cyberwar http://www.scmagazineuk.com/dyson-alleges-bosch-corporate-espionage/printarticle/265396/
Hot topics 2012 Mobilitet, BYOD & Consumerization Website beskyttelse/websikkerhed/ddos Advanced Persistent Threats (APT) SCADA Patch management Risk Management Identity Management Compliance & loghåndtering Optimering Virtualisering og VDI Cloud Computing
Udfordringer - organisering Dagens fundamentale problemer - Sikkerhed Mangler en klar strategi Ikke planlagt godt nok Fragmenterede sikkerhedsløsninger Mangler overblik over, hvad der egentligt skal beskyttes Delt mellem afdelinger intet centralt ansvar Reaktivt drevet af konkrete hændelser Konsekvenser Sikkerhed Huller i sikkerheden Besværlig administration og drift Høje omkostninger Manglende fokus Dårlig Return On Investment Driftsforstyrrelser Tabt troværdighed og kunder Løsninger, som ikke følger med truslerne Dobbeltarbejde Eric Ouellet, Gartner: What we have found is that organizations that spend more than seven percent of the IT budget on security are actually less secure because they use reactionary approaches. They end up with point solutions where there s no overarching theme and no integration. http://www.securecomputing.net.au/news/123479,gartner dispels security myths.aspx
Udfordringer baggrund for Dubex platformen Kompleksitet Mange produkter og mange konfigurationer Management & drift Håndtering af mange ændringer Adaptability Behov for hurtig tilpasning og ændringer Forretningsmæssig risikostyring Tilpasning af sikkerhedsniveau til behov Trusler Konstant ændret trusselsbillede Teknologi Cloud, Virtualisering, Mobility, Big data & Sociale Medier
Hvordan løser Dubex dine sikkerhedsudfordringer? DUBEX-PLATFORMEN Mennesker Proces Politik Forretning Teknologi
Vi tilpasser teknologier til dine forretningsbehov DUBEX-PLATFORMEN EXPERT SUPPORT TECHNOLOGY EVALUATION & SOLUTION DEVELOPMENT OPERATION AND MAINTENANCE LICENSE MANAGEMENT CONSULTING & PROJECT MANAGEMENT CASE MANAGEMENT
Løsninger - Security in depth Kontrol og overblik Flere forskellige redundante og uafhængige sikkerhedsmekanismer Sikkert design proaktiv/generisk sikkerhed Anvend forebyggende teknologier Indbyg sikkerhed i systemerne Aktiv beskyttelse reaktiv sikkerhed Supplerer den indbyggede sikkerhed Overvåger intern trafik for afvigende mønstre Overvågning Overvågning af handlinger på systemer og netværk Konsolidering, sammenstilling og intelligent analyse af logfiler Politikker og procedurer Management Overvågning & korrelation Perimeter Netværk Host Applikation Data Brugere Murphy's law: Anything that can go wrong will go wrong.
Risikobaseret tilgang Risikostyring er et værktøj til at sikre korrekt anvendelse af ressourcer Identificerer informationsaktiver, deres værdi og risiko Sikkerhed er altid et spørgsmål om prioritering Implementering af sikkerhed forbundet med udgifter Som regel begrænsede ressourcer Beslutninger baseres på en vurdering af risici Informationscenteret Viser de faktiske sårbarheder i en forretningsmæssige sammenhæng Risikobaseret Klar prioritering og baggrund for sikkerhedsinvesteringer Information Risiko Foranstaltninger Risikostyring er en løbende proces
Cyberkrig - risikostyring Efter Stuxnet bliver risikoen for cyberkrig taget seriøst Risiko for angreb på kritisk infrastruktur dvs. elektricitets-, vand-, og energiforsyningen Samfundets afhængighed af fungerende it-systemer vokser Eksempler på hændelser bl.a. mod Estland og Georgien Cyberkrig er større trussel mod Danmark end terror Torsdag den 25. oktober 2012, 21:45 Digitale angreb er nu den største trussel mod Danmark, fastslår Forsvarets Efterretningstjeneste (FE). Det skete for Estland i 2007, da ministeriers, mediers og telefonselskabers hjemmesider blev angrebet. Det skete for Georgien i 2008, da et kæmpemæssigt cyberangreb lammede et stort antal officielle hjemmesider, og det skete for Iran i 2010, da det iranske atomanlæg Natanz blev angrebet af computervirussen Stuxnet. Risikoen for cyberkrig bliver i dag taget seriøst»der er en stigende trussel mod Danmark i cyberspace. I takt med, at vi bliver mere digitaliserede, bliver vi også mere sårbare, og derfor kræver truslen fra cyberspace mere opmærksomhed. Vi oplever, at danske interesser og danske myndigheder mere eller mindre konstant er under angreb i cyberspace,«thomas Ahrenkiel, chef Forsvarets Efterretningstjeneste (FE). http://www.b.dk/nationalt/cyberkrig-er-stoerre-trussel-mod-danmark-end-terror
Kompleksitet Sikkerhed er komplekst Flere opgaver Manglende interne ressourcer og kompetencer Angreb stiger i kompleksitet og hyppighed Store og stigende omkostninger ved datatab Krav om at tilføre forretningen værdi Dokumenteret sammenhæng mellem forretningsmæssig risiko og it-sikkerhed Budgetmæssige overvejelser Køb af services frem for produkter og investeringer Tilføre forretningsmæssige fordele optimering af forretningsprocesser, der kan retfærdiggøre forøgede budgetter Kilde: InformationWeek - 2011 Strategic Security Survey: CEOs take Notice
It-sikkerhed enabler forretningen Forøg værdien af forretningen Forbindelse med kunder Integration med samarbejdspartnere Myndiggør medarbejderne Understøtter dataintegritet og tilgængelighed Sikre dataintegritet Forbedre beslutningskvalitet Undgå civile / strafferetlige sanktioner Forbedring af brand / omdømme Optimer og beskyt værdien af informationsaktiver Administrer omkostninger ROI (Return On Investment) Forbundet Produktive Pålidelig Omkostningsbevidst Besparelser Omkostniger
Forretningsmæssig værdi Værdi: Risikostyring Værdi: Forretningsunderstøttelse Produktivitetstab - Indirekte konsekvenser (mistet salg, mistet konkurrenceevne, mistet troværdighed) Juridiske konsekvenser (manglende overholdelse af kontrakter, lovgivning m.m.) Udvidelse af forretningen Flere salgskanaler, kundeservice, fastholdelse af kunder Nye kundesegmenter og forøget omsætning, billigere leverance og konkurrencemæssige fordele Understøttelse af brand Hurtigere reaktionsevne SLA overholdelse til kunder og leverandører Interne compliancekrav Persondataloven Regulatorisk compliance PCI DSS EU Data Protection Act Konkurrencemæssige compliance Standarder - COBIT, ISO27002 Besparelser forbedring af forretningsprocesser Undgåede udgifter skalerbarhed Brug af eksisterende ressourcer Effektivitet behov for færre ressourcer, nye og forbedrede forretningsprocesser Værdi: Opretholde Compliance Værdi: Optimering af omkostninger
Forudsætninger for ordentlig sikkerhed Et behov for ændrede færdigheder og indsigt Hurtig udvikling og ændring af trusselsbilledet Krav om særlige færdigheder og kompetencer Forankring og integration af sikkerhed i virksomheden Voksende forståelse for at sikkerhed også er en ledelsesopgave Hurtig reaktionsevne Behov for hurtig, konsistent, koordineret og sammenhængende reaktion på alle niveauer i organisation ved hændelser Dannelse af en it-sikkerhedsbevidst organisation Klarlægge roller og ansvar fra toppen og ned Revurdere sikkerhedsfunktionens egnethed og parathed Opnå et 360-graders overblik over trusselsbilledet Opret et incident response team Opdyrk og del kompetencer Indtag en aktiv og gennemsigtig holdning over for trusler og angreb Vælg den rigtige samarbejdspartner
Risikobegrænsning Risikoen kan ikke fjernes, kun begrænses Sikkerhed kan ikke købes som produkt Sikkerhed opnås ved en blanding af Procedure & ledelse / (Management issues) Design, værktøjer og tekniske løsninger Løbende overvågning og vedligeholdelse Resultat: Formulering af sikkerhedspolitik og implementering af sikkerhedssystem
Thank you For more information please contact jhe@dubex.dk