Social Engineering ett av de största hoten mot din verksamhet

Transkript

1

2 Social Engineering ett av de största hoten mot din verksamhet Hans Danielsson Engagement Manager Combitech

3 Social Engineering Security Awareness Hans Danielsson Engagement Manager Cyber Security

4 Vad är Social Engineering? You re driving a bus with 30 people on board. The bus stops to pick up three passengers and drop off 12. At the next stop, it picks up Vem körde bussen? five passengers and drops off seven. Further along, five passengers get on, but only one gets off. Twelve minutes later, the bus finally arrives at the terminus. 4

5 Varför används Social Engineering? Det är enkelt och väldigt effektivt 5

6 Hur fungerar det? 1. Informationsinhämtning 2. Planering 3. Utförande Bitar av betydelselös information Vilka sårbarheter finns och hur utnyttjar vi dem? Fysiska (Walk-in, USB) Distans (Telefon, mejl osv.) 6

7 Olika angripare och metoder Short Cons Long Cons

8 Inhämtning Sociala medier I verkliga livet (AFK) 8

9 Exempel planering Hejsan Bosse Jag hörde från min kollega Ewa på HR att du också ägnar dig åt flugfiske. Du kanske är intresserad av den här resan? Mvh Emma 9

10 Utfall 10

11 Varför fungerar det? Mänskliga svagheter. Inte klantigheter Respekt för auktoritet Hjälpsamhet Tilltro Jag har ingen värdefull information 11

12 Hur ser hotbilden ut? 12

13 Trender bland angriparna Spear phishing Fungerar som ett modernt företag Helt nya möjligheter att träna 13

14 Hur försvarar man sig som individ? Före: Vad avslöjar du inför andra? Vilken information lämnar du ut på sociala medier? Under: 1. Brukar du bli kontaktad på det här sättet? 2. Vilken information efterfrågas? 3. Vet du vem den här personen/organisationen är? 4. Måste du svara nu? Efter: Incidenthantering 14

15 Hur skapar vi säkra medarbetare 15

16 För min organisation stämmer följande 1. Det finns ingen formell utbildning avseende Informationssäkerhet på mitt företag 2. Det finns en grundläggande utbildning som alla medarbetare har genomfört 3. För medarbetare som är särskilt utsatta eller hanterar känslig information finns en mer avancerad utbildning 4. Vi testar och mäter de anställdas beteende

17 Hur stor andel av incidenterna orsakas av de anställda? 20% 40% 60% 80% 100%

18 Investera där de tyngsta behoven finns I takt med att de ekonomiska ramarna blir stramare är det angeläget att de satsningar som görs på skydd verkligen träffar där de tyngsta behoven finns. Att utveckla säkerhetsmedvetandet hos all personal kan därför ses som en god investering 18

19 Hur jobbar vi med säkerhet? Komplexa säkerhetslösningar Orimliga krav Utmaning för ledningen att förstå komplexa begrepp och konsekvenser One size fits all Vi som skyddar lever på nya och värre hot 19

20 Mänskliga egenskaper Riskaversiva ~7% Risksökande ~7%

21 Vad behöver vi göra? Förstå dina användare Förklara hur tekniken påverkar Arbeta top-down & bottom-up Sälj in budskapet Arbeta bort workarounds och förbättra kommunikationen Inga enkla och allmängiltiga lösningar, undvik one size fits all Arbeta långsiktigt och proaktivt Gör det enkelt för ledning att stödja ditt arbete 21

22 Vilka metoder behöver vi? Mäta säkerhetsmedvetenhet Testa säkerhet Undersök hur de anställda upplever säkerheten 22

23 Kan vi mäta de anställdas säkerhetsmedvetenhet? Intentioner Faktiskt beteende Intentioner Faktisk beteende Självuppskattning It is a typical Tuesday in early April and Jens, one of the best salesmen at his company, has just sat down at his computer with his first coffee of the day to start work on a sales report. Jens receives an .. On a scale of 0 to 10, with 0 being not at all likely and 10 being 100 percent likely, what is the likelihood that you would do what Jens has just done in the outlined scenario? 23

24 Hur kan vi använda mätningen? 24

25 Vad uppnår vi genom att mäta? Skapar en organisation som bedriver ett proaktivt säkerhetsarbete Bättre och befästa prioriteringar Ett långsiktigt säkerhetsarbete Ett aktivt stöd av ledningen för ditt arbete 25

26 Testa säkerheten Social Engineering - metoder: Phishing Telefon Walk-in USB (kombinera med ett tekniskt penetrationstest) Varför ska man testa? Öka inlärningsförmågan Intresset och engagemanget ökar Identifiera nuläget En potentiell risk Resultatet ska absolut inte användas som en tillrättavisning 26

27 Förstå hur dina användare upplever säkerheten Intervjuer eller workshops: Medvetenhet kring informationssäkerhet Kännedom om säkerhetsregler Uppfattning kring nyttan/besväret Attityd till efterlevnad Praktiska säkerhetsåtgärder Upplevd hotbild och allvarlighetsgrad För att skapa en god säkerhetsmedvetenhet måste du veta vad användarna behöver 27

28 Cyber Security by Combitech 28

29 Avslutningsvis: 1. Hitta nuläget 2. Förklara säkerheten 3. Förstå användarna 4. Arbeta bottom-up & topdown 5. Mät och följ upp medvetenheten 6. Använd reminders kontinuerligt

30 » Cyber Security en förutsättning för trygghet i en allt mer digital och uppkopplad värld «Ledande inom Cyber Security Över 100 konsulter på tio orter Spetskompetens baserad på mer än 40 års erfarenhet Komplett tjänste- och konceptportfölj Branschledande laboratorie- och testresurser Certifieringar: EC/ITSEF, ISO/IEC 9001, 17025, 27001

31 31

32 Tack!

33