Agenda. Kort om Datacenter. Våra erfarenheter av 27001:2013. Summering

Transkript

1 SÄKER IT-DRIFT

2 Agenda Kort om Datacenter Våra erfarenheter av 27001:2013 Varför ledningssystem för informationssäkerhet - LIS Förutsättningar Krav Säkerhetsåtgärder Riskanalyser Personrelaterade hot Tidsåtgång och resurser Summering

3 DATACENTER FÖR KUNDER SOM VÄRDESÄTTER SÄKERHET & TILLGÄNGLIGHET

4 Datacenter generellt Helhetsleverantör av IT-tjänster Datacenter äger sina egna datahallar som är placerade i Stockholm Alla tjänster produceras i vår egen regi, vilket gör att vi kan garantera att inget data lämnar Sverige Utökar vår marknadsandel i målgruppen bank, försäkring, myndigheter och media

5 Datacenter i siffror GRUNDAT 1997 TILLGÄNGLIGA 24/7 40 PERSONER VÄXANDE OCH LÖNSAMMA 55 MSEK I OMSÄTTNING ÄGER TVÅ ANLÄGGNINGAR ISO & 9001 CERTIFIERING FÖRVÄRVAR BERGRUM SOM BYGGS OM TILL HÖGSÄKERHETSANLÄGGNING FÅR UTMÄRKELSE OM HÖGSTA KREDITVÄRDIGHET AAA

6 Varför ledningssystem Firman växte Behov av ökad struktur och bättre effektivitet Informationssäkerhet är ett fokusområde för oss som driftleverantör Resulterade i att vi valde att certifiera oss mot ISO och 9001

7 Förutsättningar Intranät med rutiner och dokumentation fanns Ärendehanteringssystem redan på plats Lång tidigare erfarenhet av riskanalyser Teknisk redundans och säkerhet god från start

8 Kravbild - Informationssäkerhet Kund Regulatoriska Verksamhet

9 Säkerhetsåtgärder 1 Förslag personal Riskanalyser 17 Kundkrav 66 3 GAP-analys mot Åtgärder 4 Regulatoriska krav

10 Säkerhetsåtgärder 2 Initial GAP-analys mot kraven i indikerade att vi behövde genomföra 24 säkerhetsåtgärder som krav Förbättrad lösenordspolicy Rutiner för kryptoprotokoll & nyckelhantering Loggning och spårbarhet Förfinad åtkomststyrning Rutin gällande analys och upptäckt av sårbarheter Nessus mm Rutin för destruering och avveckling av information (allt från diskar till USB osv) 9 förbättringsåtgärder Tvåfaktorsautentisering mot bastioner Implementering av S/MIME

11 Säkerhetsåtgärder 3 Vi genomförde 9 riskanalyser som resulterade i 66 säkerhetsåtgärder Säkerställa resursbehov Insynsskydd för fönster Påbackningsskydd Kompetenshöjning kring informationssäkerhet Hårddiskkryptering klientdatorer

12 Riskbedömning - Metod Ofta Regelbundet Sällan Mycket sällan Allvarlig Betydande Måttlig Försumbar Sannolikhet mer än en gång per år en gång på ett år en gång på 10 år en gång på 100 år Konsekvens Åtalbart alt. skada motsvarande över 5 miljoner. skada motsvarande 1-5 miljoner. skada motsvarande 10 tkr - 1 miljon. skada motsvarande 0 tkr 10 tkr.

13 Slutsatser från riskanalyser Identifierade förbättringsområden och hjälpte oss prioritera rätt insatser Tydliggjorde accepterade risker på ledningsnivå Hjälpte oss koppla tid & resurser till förändring i risknivå Många risker kring personalrelaterade hot

14 Personalrelaterade Hot Insiderbrott och personhot utifrån Registerkontroll, kreditupplysning, personbedömning Två i förening Loggning Övervakning Rättighetsstyrning Mänskliga misstag Utbildning och träning Införande av omfattande internutbildningsprogram Verifiering och kontroll Medvetna överträdelser

15 Medvetna överträdelser - exempel Ex 1 Medarbetare skickar mail med känslig information okrypterat trots att det strider mot vår egen policy. Ex 2 Företaget ska införa ett nytt system och säkerhetsgruppen bjuds inte in i diskussionen eftersom det blir för krångligt.

16 Medvetna överträdelser Varför? Kringgår rutiner för att det upplevs krångligt eller onödigt. Görs oftast av medarbetare som tror att det är bra för organisationen. Vanligt att säkerhetsavdelningen har en högre ambitionsnivå än övriga medarbetare inklusive ledningen. Ibland upplevs vi som foliehattar som inte har kontakt med verkligheten och vi får en urusel efterlevnad.

17 Medvetna överträdelser - Lösning Företaget måste sätta en tydlig säkerhetsnivå och inte säkerhetschefen eller enskilda medarbetare. Viktigt att utbilda alla medarbetare att bli säkerhetsmedvetna och varför vi behöver göra vissa åtgärder. Försök hitta enkla lösningar till medarbetarnas problem i stället för att läxa upp vid avvikelser. Ex inför S/MIME för att kunna skicka krypterad e-post.

18 Tidsåtgång och Resurser 1 Utveckla Verksamhetssystem 1200 Riskanalyser 200 Säkerhetsåtgärder 1400 Utbildning 800 Extern och intern revision 400 Uppföljning och kontroller 600 Total 4800 timmar

19 Tidsåtgång och Resurser timmar hjälp kring timmar hjälp kring 9001:2015 Lars Söderlund Gunilla Mattson Uppsec AB Certway AB

20 Summering Försök inte göra allt perfekt från början utan jobba med ständiga förbättringar Låt dom affärsmässiga målen utgöra grund för säkerhetsarbetet Ha inte övertro på de tekniska lösningarna - utbildning och träning är minst lika viktigt

21 TACK!