Digitalt førstevalg. Risikosport for virksomheten? Sikkerhet & Sårbarhet 7. Mai Rune Schumann og Morten Tandle

Transkript

1 Digitalt førstevalg Risikosport for virksomheten? Sikkerhet & Sårbarhet 7. Mai 2013 Rune Schumann og Morten Tandle

2 Digitalt førstevalg «Å gjere elektronisk kommunikasjon til den primære kanalen for dialog mellom innbyggjarar/næringsliv og offentlege verksemder er eit viktig mål for regjeringa, jamfør St.meld. nr. 19( ) "Ei forvaltning for demokrati og fellesskap og Statens kommunikasjonspolitikk (2009). Denne politikken vert kalla digitalt førstevalg.» Difi «Vi skal digitalisere offentlige tjenester. Norge skal være i front internasjonalt på å levere digitale offentlige tjenester til innbyggere og næringsliv.» Regjeringens digitaliseringsprogram

3

4

5 Hendelser

6 2007

7 Estland angrepet etter omplasseringen av Bronsesoldaten i Tallinn. Angrepene ble sporet tilbake tilbake til offisielle servere fra myndighetene i Russland. Departement, banker og media var målet for angrepet.

8 Amerikansk industri og militære kilder antar at Israel har brukt cyberkrigføring for at militære fly ikke skulle bli oppdaget av radar under angrep av Syria

9 Nettstedet til den Kirgisistans sentrale valgkomite endret av hackere under valget

10 2008

11 Russiske, Russian, Sør- Ossestia, Georgia og Aserbajdsjanske siter ble angrepet av hackere under krigen om Sør- Ossestia i 2008

12 2009

13 En serie an koordinerte Denial of Service (DOS) angrep mot sentrale offentlige nettsteder, media og finansvesen i Sør Korea og USA

14 2010

15 1000+ Indiske nettsteder hacket av PakHaxors, TeaMp0isoN, UrduHack & ZCompany Hacking Crew

16 Iran angrepet av Stuxnet ormen. Målet vurderes til å være Natanz anlegg for urananriking

17 Den Indiske Cyberhæren hacket Pakistanske nettsteder til hæren, utenriksdepartementet, utdanningsdepartementet, finansdepartementet, Pakistan Computer Bureau, Council of Islamic Ideology, etc., etc.

18 Den pakistanske cyberhæren hacket nettstedet til Indias etterretningsorganisasjon, Central Bureau of Investigation (CBI)

19 2011

20 Det Sør- Koreanske selskapet SK Communications ble hacket, resulterte i at personopplysninger til 35 millioner personer ble stjålet

21 Creech (Nevada) Air Force Base's drone og Predator flåtes datastrøm for kommando og kontroll blir keylogged, alle forsøk på å reversere inntrengingen mislykkes i 2 uker

22 en hacker ødela en vannpumpe i Curran- Gardner Township Public Water District, Illinois

23 2012

24 Norske nettsider spredte dette kvartalet mer skadevare enn noen gang før, kompromitterte reklameannonser på nettsidene førte til spredning av skadevare og virus til vanlige databrukere. Virus rettet mot norske nettbanker har hatt et stort oppsving, Norge var i slutten av september i Europatoppen på antall infiserte maskiner i forhold til antall brukere totalt sett. NorCERT har som vanlig håndtert en stor mengde alvorlige saker knyttet til spionasje mot norske høyteknologibedrifter. NorCERT kvartalsrapport 3dje kvartal 2012 Vi har i det siste kvartalet observert en økning i antallet kompromitterte nettsteder. Det vil si at vi i nor nesten hver uke fikk inn en ny sak knyttet til målrettede angrep. NorCERT kvartalsrapport 4dje kvartal 2012

25 2013

26 I slutten av januar meldte The New York Times at de hadde fått sitt interne nettverk invadert av hackere. Disse hadde kommet seg inn ved hjelp av eposter med malware som vedlegg. Deretter hadde de tatt kontroll over domenekontrolleren på nettverket og hentet ut passord til de fleste brukerne. USAs energidepartement ble i februar utsatt for et massivt datainnbrudd fra Kina Telenor informerte om at de hadde blitt utsatt for et sofistikert og målrettet data- angrep i mars. Angrepet ble utført ved hjelp av malware sendt via e- post og store mengder intern informasjon ble kopiert ut av PCer tilhørende toppledelse. Telenor anmeldte saken til Kripos Både Nord- og Sør- Korea ble utsatt for cyber- angrep i mars. Dette skjer mens det er økende spenning mellom de to landene. sånn går no dagan

27 Hvem angriper

28 Angrep fra gutterommet?

29

30

31

32

33

34 Every year, an amount of intellectual property larger than that contained in the Library of Congress is stolen from networks maintained by U.S. businesses, universities, and government departments and agencies. Department of Defense Strategy for Operating in Cyberspace

35 også var det dette med Digitalt førstevalg

36 36 Digitalt førstevalg hvordan påvirker dette risikobildet/ sikkerhetssituasjonen til virksomheten?

37 37 Erfaring fra bank/finans Første minibank: ca 1978 Første nettbanker: ca 1996 Har gradvis lagt sin forretning ut på nettet siden det Fått rene internett- banker Status 2013: De enkle produktene og tjenestene er automatisert. Dagligbank. Fortsatt mange mer kompliserte tjenester og produkter som krever manuelt arbeid

38 38 TRUSSELBILDET ENDRES

39 39 Risikobilde for bank classic

40 Risikobilde for bank på nett?

41 efraud? Nytt fagområde Pionerer : virksomheter som er helt nettbasert. Hvis nettløsningen står, så tjener de ikke penger. Billettsalg Gambling Norske nettbanker, lærekurve siden ca 2007

42 Sikring av virksomheten Hvordan tar virksomheten tak i dette? è Jobbe systematisk, risikobasert ISO27001: Styringssystem for informasjonssikkerhet (prosess, roller og ansvar) ISO27002: "Administrasjon av informasjonssikkerhet (konkrete tiltak)

43

44

45

46 IKT Hendelseshåndtering Begynner å bli et modent fagområde. ISO/IEC Guidelines for Cyber Security

47 Behov for nye evner - CERT Forebygge Kjenne trusselbildet Oppdage Håndtere hendelser Skadebegrense Retur til normalsituasjon Lære av erfaringen Tiltak

48 Tverrfaglighet Erfaringer tilsier at et CERT trenger bidrag fra hele organisasjonen Ikke bare IT, og ikke bare sikkerhet Enheter som ofte er involvert: Informasjon/kommunikasjon Kundeservice Marked IT (ledelse og operative ressurser inkludert support/forvaltning)

49 Spisskompetansebehov Knapphet på kompetanse Ofte behov for tilgang 24/7 Viktig å samarbeide med relevante partnere NorCERT ISP MSS leverandører IKT leverandører

50 Digitalt førstevalg risikosport? By failing to prepare, you are preparing to fail. - Benjamin Franklin

51 Hva betyr dette for deg? Hvis din virksomhet jobber med å få på plass digitalt førstevalg, må du forvisse deg om at oppbygging av CERT-type kapasitet også er på agendaen.

52 By failing to prepare, you are preparing to fail. - Benjamin Franklin

53 Takk for oss! Spørsmål?