Hvordan være lur. Ståle Askerød Johansen - UiO-CERT Espen Grøndahl IT-sikkerhetssjef

Transkript

1 Hvordan være lur Ståle Askerød Johansen - UiO-CERT Espen Grøndahl IT-sikkerhetssjef

2 To hoveddeler Jus og personvern IT-sikkerhet i det daglige

3 Hva er personopplysninger? Personopplysninger er alle former for data, informasjon og opplysninger som kan knyttes til og identifisere en person: Eksempelvis: Navn, fødselsnummer, telefonnummer, bilde, bankkontonummer, adferdsmønster Sensitive personopplysninger er: a)rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning, b)at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, c)helseforhold, d)seksuelle forhold, e)medlemskap i fagforeninger. Opplysninger som krever ekstra beskyttelse NB! Fødselsnummer er ikke en sensitiv personopplysning skal likevel anvendes etter nøye vurdering regulert i egen bestemmelse i personopplysningsloven. 12/9/16 3

4 Behandling av personopplysninger Behandling av disse opplysningene er innsamling, registrering, sammenstilling, lagring og utlevering = enhver bruk Eksempler: Logger Brukernavn Innhold i nettskjema Personpresentasjonen om deg Informasjon lagret i applikasjoner 4

5 Grunnleggende personvernprinsipp Samtykke i størst mulig grad frivillig, uttrykkelig og informert Proporsjonalitet velge det minst inngripende alternativet Formålsbestemthet bare samles inn og brukes til bestemte og lovlige formål Relevans og minimalitet kun når det er nødvendig og ikke mer enn det som virkelig trengs Fullstendighet og kvalitet korrekte, oppdaterte og nøyaktige Informasjon og innsyn urokkelige rettigheter til de registrerte Informasjonssikkerhet - sikre opplysningene mot uautorisert tilgang, endring, ødeleggelse og spredning. Sensitive personopplysninger trenger særlig vern Anonymitet og sporfri ferdsel retten til å være anonym hvis det ikke er behov for å registrere identifiserende opplysninger 12/9/16 5

6 Prinsipper i konflikt Sterkt formidlingsønske ved UiO og det er åpenhet som ligger til grunn som prinsipp for arbeidet som blir gjort både forskning og undervisning Prinsippet om åpenhet kan ofte komme i konflikt med den økende risikoen for angrep utenfra som er ute etter våre data og opplysninger Vi som arbeider med IT-sikkerhet og jussens rammer har daglige utfordringer hvor disse prinsippene blir satt mot hverandre, samtidig som vi har grupper av ansatte og studenter, og forskning/undervisning som krever ekstra beskyttelse

7 Hva betyr dette for dere? Dere håndterer store mengder personopplysninger i flere ulike system Alle har et selvstendig ansvar Ha som mål å ha innebygd personvern i systemet/tjenesten/arbeidet deres Jobbe for at sikkerhet og brukervennlighet nærmer seg hverandre Fange opp problemer som må tas tak i

8 Innebygd personvern Innebygd personvern betyr at det tas hensyn til personvern i alle utviklingsfaser av et system eller en løsning. 1)Vær i forkant, forebygg fremfor å reparere 2)Gjør personvern til standardinnstilling 3)Bygg personvern inn i designet 4)Skap full funksjonalitet: Både-og, ikke enten-eller 5)Ivareta informasjonssikkerheten fra start til slutt 6)Vis åpenhet 7)Respekter brukerens personvern 12/9/16 8

9 Konflikt for utviklere og systemforvaltere Brukervennlighet vs. Personvern Forventning om Brukervennlighet Tilgjengelighet Personvern Bonusen vår dersom vi tenker i pose og sekk er: 12/9/16 Vi følger loven og får lov til å lansere tjenesten Konkurransefortrinn Trygghetsfølelse Omdømmefortrinn Kostnadsbesparende 9

10 Sjekkliste Hva slags data skal du behandle? Alminnelige personopplysninger, sensitive personopplysninger? Skal noen andre behandle data for UiO? Utforme formål- og hjemmelsgrunnlag før utviklings-/innkjøpsprosess starter Opprette rutiner for håndtering av data og tilgangsstyring Lage vilkår for bruk - brukerne skal informeres om rettigheter og plikter Varsling om bruk av informasjonskapsler /cookies Gå gjennom sjekkliste for innebygd personvern Sørge for at risikovurderinger/-revisjoner gjennomføres

11 Bruk av reelle data i testing Lovens krav gjelder også på testdata Konsekvensen er større ved lekkasjer og avvik ved bruk av reelle data i test Hovedregel ved UiO: Testing skjer på testdata! 12/9/16 11

12 Risikovurdering Det rettslige kravet i personopplysningsloven: tjenesten kan først lovlig tas i bruk dersom informasjonssikkerheten i tjenesten er tilfredsstillende det vil si at risikoen for brudd på informasjonssikkerheten (uautorisert tilgang, eksponering, endring, skade eller tap av personopplysninger og andre informasjonsverdier) vurderes å være akseptabel. UiO må selv definere hvor stor risiko for brudd på informasjonssikkerheten vi kan akseptere. Dersom vurderingen viser at risikoen for sikkerhetsbrudd er uakseptabel høy, kan ikke tjenesten tas i bruk. UiO er ansvarlig for å gjennomføre risikoanalyse 12

13 Hva er avvik? Avvikende behandling personopplysninger på avveie Mapper/dokument med feil tilgang i Vortex Personopplysninger blir lagt ut på åpent nett ved en feil Epost sendt med sensitiv informasjon eller fødselsnummer / feilsendt epost Programmerings-/kodefeil At noen får tilgang til noe de ikke har rett til å få tilgang til... At UiO sine ressurser blir brukt til lovbrudd En student bruker UiOs utstyr til å laste ned ulovlig innhold

14 Hva gjør du når du oppdager/mistenker avvik? Følg rutinene som gjelder for dere Melde fra når nødvendig Linja nærmeste leder UiO-Cert UiOs IT-sikkerhetsgruppe Kopi av varsling til CERT skal til behandlingsansvarlig ( behandlingsansvarlig@uio.no) Informere ansatte/kolleger når nødvendig Du skal ikke selv undersøke avviket og dets omfang.

15 Hva gjør vi når vi oppdager/mistenker avvik? Kartlegging av situasjonen og vurderer /iverksetter tekniske tiltak Eks. fjerner tilganger og kartlegger hvem som har aksessert informasjonen Behandlingsansvarlig vurderer henvendelsen og hvem som skal kontaktes Informasjon til de registrerte (særlig de som er rammet av avviket) Rapport sendes til personvernombudet som vurderer om Datatilsynet skal varsles

16 12/9/16 Hentet fra 16

17 Nett og sporing Hva skjer når man surfer?

18 DNS-server Din maskin web-server

19 Sensorer i nettet Din maskin DNS-server web-server

20 web-server

21 web-server

22 web-server

23 Din maskin web-server

24

25

26 Før Driftede klienter

27 Nå Egne klienter Driftede klienter

28 Dere må patche (!) Automatisk patching av OS-et Firefox Chrome Java Adobe-produkter Flash

29 Passord

30

31 Password managers Keepass Keychain-greier Mac Linux Online-varianter? Not so much.

32

33

34 Oppsummering - passord Send aldri passordet i e-post Ulike passord Lange passord Tema Ikke gjenbruke To-faktor Beskytte toppen Tenk før du fødererer Passord manager (keepass++)

35 Spam Malware Phishing Ransomware Virus Kjipe ting

36 Personlige greier Personlige data Bilder Musikk Filmer

37 Personlige greier Personlige data Bilder Musikk Filmer

38 UiO-relaterte data Oppgaver Obliger Labrapporter

39 UiO-relaterte data Oppgaver Obliger Labrapporter Små datasett om steintyper Store datasett om romerske sandaler Små datasett om tannstilling Store datasett om dialekter øst for vannskillet

40 UiO-relaterte data Oppgaver Obliger Labrapporter Små datasett om steintyper Store datasett om romerske sandaler Små datasett om tannstilling Store datasett om dialekter øst for vannskillet

41 (228) 40911