E-Crime Survey 2009 Tommy Kinnunen Manager KPMG Advisory, Forensic 3. Desember 2009 As one of the world s leading providers of Information Protection and Forensic advice, KPMG firms can help you to effectively assess and respond to your e-crime risks
Kort om undersøkelsen Profesjonelle sikkerhetsaktører innen elektronisk kriminalitet (e-kriminalitet), og en utvalgt gruppe av KPMG sine klienter, ble invitert til å delta i denne undersøkelsen som ble gjennomført i tidsrommet 3. Februar til 13 Mars 2009. I alt 307 respondenter deltok globalt, og representerte et tverrsnitt av strategiske og operasjonelle disipliner innenfor sikkerhet, IT sikkerhet, granskning, revisjon og risiko. Til felles hadde de alle et ansvar å beskytte sin organisasjon og sine kunder mot elektronisk kriminalitet. Majoriteten av respondentene (80%) arbeider i privat sektor, og resultatene fra undersøkelsen viser et spektrum av oppfatninger blant de som jobber i næringsvirksomheter innenfor finansielle tjenester, detaljhandel, olje og gass, hjelpesystemer, spillbransjen, produksjonsindustri, mediebransjen transport- og logistikkbransjen. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 2
Kategorier omhandlet i presentasjonen Resesjon (finanskrisen) Svindel/bedrageri Forbrukersikkerhet E-kriminalitet og virksomhetenes forsvar Virksomhetenes sikkerhet 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 3
Resesjon (finanskrisen) 66% av respondentene er enige i at en økning av IT profesjonelle uten arbeid under resesjonen vil medføre at flere personer med teknisk kompetanse vil bli kriminelle. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 4
Resesjon (finanskrisen) (forts.) De interne risikoene ik som respondentene bekymrer seg mest for, sett i lys av dagens økonomiske klima, knytter seg til; Tyveri av kunde- eller ansattdata ved folk på innsiden eller av tidligere ansatte, Kunnskap om sårbarheter i forretningsprosesser/systemer bevisst blir utnyttet av folk på innsiden eller av tidligere ansatte. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 5
Svindel/bedrageri 45% av respondentene har sett en økning i svindel/bedrageri-aktiviteterer d i it t rapportert av kunder. Kundenes datamaskiner representerer det enkleste punktet å kompromittere når det gjelder transaksjoner og interaksjon mellom kommersielle virksomheter og deres kunder over internett. Kundene representerer et lett mål for kriminelle og vil fortsatt være et fokusområde 45% av respondentene innenfor finansielle tjenester har registrert en økning i antallet angrep mot sine kunder. 49% av respondentene innenfor finansielle tjenester har registrert en økning av teknologisk sofistikerte angrep mot sine kunder. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 6
Svindel/bedrageri (forts.) 47% av respondentene innenfor finansielle i tjenester t har registrert en økning av antall spesielt målrettede angrep mot sine kunder. Sofistikert phishing som utnytter menneskelig usikkerhet, eller tilliten mellom kunde og forretning, fortsetter å lure brukere til å oppgi personlig og sensitiv informasjon. Utbredelsen av sosiale nettverk som et foretrukket kommunikasjonsmedium gir kriminelle god informasjonstilgang. 33% av respondentene innen finansielle tjenester har sett en økning i antall ulegitime innloggingsforsøk på kundenes brukerkontoer. Det finnes en rekke tekniske løsninger som kan hjelpe til med å avsløre slik aktivitet. Investeringen i en slik løsning kan være vel verdt pengene. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 7
Svindel/bedrageri (forts.) Phishing er ingen trussel mot dine kunder? Tenk om igjen 47% av respondentene innen finansielle tjenester ser en økende trend innen phishing rettet mot kunder. MarkMonitor s Brandjacking Index of March 09 identified that financial services is still the primary target of phishing style attacks and saw a 51% rise during the second half of 2008, as fraudsters attempted to profit from the flux and confusion in the sector with many individuals moving their savings more actively. Sectors outside of payment/auction services, financial and retail saw a 135% growth in phish attacks during 2008, according to MarkMonitor s March 2009 Brandjacking Index. This group includes gaming, betting and recruitment sites which have seen a significant growth in usage on the Internet. The United States continues to host the highest percentage of phish sites (36% during 2008) which can be explained by it having such a large concentration of the World s hardware and ISPs. The Russian Federation and the Republic of Korea were the only two other countries that were amongst the top five hosting phish each quarter of 2008. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 8
Forbrukersikkerhet 79% av respondentene tror ikke at sikkerhetssoftware basert på signaturdetektering gir et tilfredsstillende nivå av beskyttelse for Internettbrukere. Sikkerhetssoftware er blitt sett på som et førstelinjeforsvar for å holde datamaskiner tilknyttet Internett infeksjonsfri. Men løsninger som benytter signaturdetektering for å beskytte datamaskiner fra skadelig programvare (malware) er bare oppdatert på den informasjonen som er samlet inn av softwareleverandørene (og installeres på datamaskinene som oppdateringer). Denne metoden for beskyttelse er, av sin natur, reaktiv. Sett i forhold til det høye volumet av sofistikert skadelig programvare, som er spesialdesignet for å kidnappe hjemmedatamaskiner, virker det som fånyttes å forvente at sikkerhetssoftware vil kunne holde tritt med utviklingen. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 9
Forbrukersikkerhet (forts.) Infiserte nettsider, infiserte e-post, phishing og sosiale nettverk vil mest sannsynlig medføre at kunders nettsikkerhet vil kompromitteres. Utfordringen med å sikre kundesystemer og gjøre Internett til et sikkert sted å gjøre forretning vil øke i kompleksitet. Anonymiteten som karakteriserer interaksjonen mellom forretning og forbruker, samt måten transaksjoner gjennomføres på, gir store muligheter for misbruk. Forbrukerne utsettes for mer risiko etter hvert som tiden går, men oppfatningen til respondentene i denne undersøkelsen er at nettopp denne gruppen bidrar minst i kampen mot e-kriminalitet. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 10
Forbrukersikkerhet (forts.) 39% av respondentene hadde registrert t en økning i antall angrep mot kunder, og bare 1% av respondentene indikerte en nedgang. 40% av respondentene mener at angrepene mot kundene er mer teknisk k sofistikert. Å lære opp brukere om trusler og fremme en kollektiv bevissthet rundt sikkerhet er ikke uproblematisk. Programvare og nettlesere må balansere på en tynn linje mellom brukervennlighet og sikkerhet. Det å benytte alarmmetoder hvor advarsler kommer opp som pop-ups kan medføre at de dukker opp så ofte at de til slutt blir oversett. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 11
E-kriminalitet og virksomhetenes forsvar Klassifisering av objekt med høy risiko: 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 12
E-kriminalitet og virksomhetenes forsvar (forts.) Eksterne trusler som bekymrer mest: 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 13
E-kriminalitet og virksomhetenes forsvar (forts.) Beskyttelse av infrastrukturen Trojanere, og applikasjoner på nettet bekymrer mest 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 14
E-kriminalitet og virksomhetenes forsvar (forts.) Infiserte websider, nedlasting av filer, e-postvedlegg og fake websider bekymrer respondentene innen IT- sikkerhet mest. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 15
E-kriminalitet og virksomhetenes forsvar (forts.) Er virksomheten tilstrekkelig sikret mot skadelig programvare? 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 16
Virksomhetenes sikkerhet 62% av respondentene mener at deres organisasjon ikke benytter nok ressurser på å lokalisere sårbarheter. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 17
Virksomhetenes sikkerhet (forts.) Hoveddrivkraften for økt investering i sikkerhetsinnretninger i løpet av det siste året. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 18
Virksomhetenes sikkerhet (forts.) 67% av respondentene pekte på budsjettmessige utfordringer som den største flaskehalsen for deres organisasjon til å øke den proaktive kapasiteten og redusere omfanget av e-kriminalitet. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 19
Virksomhetenes sikkerhet (forts.) 58% av respondentene som må overholde Payment Card Industry Data Security Standard (PCI DSS) sier at dette har bidratt til at IT-sikkerhet har blitt mer synlig på styrenivå (42% sier at det ikke har det). På tilsvarende spørsmål svarte 92% respondenter tilhørende detaljhandel at IT-sikkerhet har blitt mer synlig på styrenivå (90% av respondentene innen denne gruppen svarte at overholdelse av PCI DSS er en av hoveddrivkreftene for økt investering i i sikkerhetsinnretninger i t i i løpet av det siste året) 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 20
Virksomhetenes sikkerhet (forts.) 70% av respondentene svarte at styret vurderer deres avdeling til å være en integrert del av organisasjonsplanlegging, styring og virksomhetens risikostyring, med hensyn til forretningsstrategi og utviklingen, implementeringen og vedlikeholdet av infrastruktur. Rollen til sikkerhetsavdelingen endres, og det er oppmuntrende å vite at avdelingen har en sentral rolle innen forretningsstrategi. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 21
Spørsmål? The information contained herein is of a general nature and is not intended d to address the circumstances of any particular individual id or entity. Although h we endeavor to provide accurate and timely information, there can be no guarantee that such information is accurate as of the date it is received or that it will continue to be accurate in the future. No one should act on such information without appropriate professional advice after a thorough examination of the particular situation. 2009 KPMG AS, a Norwegian member firm of KPMG network of independent member firms affiliated with KPMG International, a Swiss cooperative. All rights reserved. 22