Identiteter och behörigheter i molnet och BYOD

Transkript

1 Identiteter och behörigheter i molnet och BYOD GÖRAN MELVÅS IDENTITET OCH ÅTKOMS ANSVARIG SKANDIA CISA CISM CRISC CGEIT COBIT SECURITY +PRINCE2 LAEAN SIX SIGMA

2 Lite om mig Sedan drygt 1 år på Skandia identitets & åtkomst ansvarig första gången på verksamhets sidan 13 år som konsult 20 år inom informations och IT säkerhet Har varit med i informationskommittén ISACA Kassör i SigSecurity Varit med att starta CSA Sweden

3 Regler Inga frågor är dumma Jag vill ha frågor och inflikningar från er Om svaret kommer eller det tar för lång tid -> parkeringsplats Djupare frågor i kväll till middagen eller goran.melvas@skandia.se Exempel kommer från Skandia eller uppdrag innan jag började på Skandia, eller skrönor Åsikter är mina och inte Skandias

4 Agenda Anledningar till att välja moln och BYOD Utmaningar Vad är speciellt i molnet och BYOD Angreppssätt Problem och lösningar Sammanfattning Frågor och svar

5 Anledningar till moln och BYOD Lägre kostnad Högre säkerhet Mer funktionalitet, fler plattformar, mer inbyggt Snabbare utveckling, Renare gränssnitt mellan IT och verksamhet leverans och kostnad Mer elastisk leverans och kostnad Uppfattas som modern och kan behålla personal, passa en decentralicerad organisation

6 Utmaningar Compliance, Safe Harbor, Patriot Act,,, DI har klara regler, mer otydligt FI?, andra länder har tydligare? Vilket lands lag? Redan rykten om regel dumpning Dataskyddsförordningen Åtkomst till HW och loggar Måste lita med på tredjepartsgranskning Kan man lita på ID från en osäkerhet Vad kan man konsumera i osäkerenhet Vem äger din identitet? Vad får den användas till?

7 Vad är speciellt i molnet och BYOD I BYOD vet man inte om det finns för elak kod som kan ta över ID eller sessionen. I många moln scenarier har man bara tillgång till standard loggar I molnet är förhoppningsvis säkerheten mycket bättre än i egen drift och därför är attackvägen oftast inloggningen. Molnet ofta inloggning med mail adress och passord Ofta skiljer man på ID och behörighet i molnet, mer senare. Måste lita på leverantören och tredjepartsgranskningar. Många moln kan inte tala om var ditt data är. Snabbare byte av leverantör Inlåsning

8 Angreppssätt Tänk igenom: Varför vill vi använda BYOD eller moln? Mycket olika angrepp Dela upp inloggningen i så små delar som möjligt Behåll kontroll på identiteten Fundera på vad av behörighets hanteringen vill man släppa till andra och vad vill man göra själv Extern identifiering Exempel federation med bara id eller med attribut Extern auktorisation, attributbaserad auktorisation behöver moln lev varken känna till din id eller behörighet.

9 Vad sker i en inloggning? Och hur påverkar det i moln och BYOD? Hävdar att jag är NN Verifiering att jag är NN Kontrollera vad är jag? Vad får jag göra eller vad får någon som har en egenskap göra? Sätta upp en session Kontrollera sessionen Hur ser denna process ut i just den inloggning som gäller? Hur påverkas det av att det är moln eller BYOD Hur göra om jag vill byta leverantör varje timme? Hur mycket information måste skickas? Varför skicka mer Kan användaren välja

10 Stark autentisering Passord är förlegat Initial identifiering oftast dyrare än tekniken och svårare Github säkrar koden med U2F tex Ubikey Microsoft MFA TPM/ Virtuella-Smartcard, SD kort, SIM kort Se till att det är enkelt för användaren Exempel TPM-Samung Knox-Centrify Kerberos constrained delegation Om man inte kan lita på plattformen öka logg och gör något!!! liknande kredit kort i USA.där man istället för hög säker het har bra hantering av risk beteenden.

11

12 Sammanfattning En lösning passar inte alla börja med att ta reda på Varför vill vi använda moln eller BYOD? Vad är de regulatoriska kraven? Vad är de interna kraven? Fråga inte är molnet moget för dig utan är du mogen för molnet? Försök att dela upp alla delar av inloggningen i så separata delar som möjligt så att de kan över tid bytas Försök att använda standard så långs som möjligt Tänk inte på hur svårt det är att skruva in något utan hur svårt är det att byta ut när det är dags, ofta tidigare än vad man tror nu Försök att släpp så lite av identiteten och behörigheten som möjligt utanför egen kontroll Tänk på att det ingår i leverantörens plan att låsa fast dig i deras lösning

13 Frågor?

14 Tack för mig Linkedin