Informationssäkerhet 2014-11-21

Informationssäkerhet 2014-11-21 Veronika Berglund Hans Carlbring Bo Hiding Säkerhetsenheten

Innehåll Säkerhetsarbetet på universitetet, säkerhetsenheten Laget runt kort om kursdeltagarna Lagar och riktlinjer Lösenord Mobila enheter Virus och skadlig kod Sociala medier och molnet E-post Säkerhetskopiering Avslutande diskussion Säkrare e-kommunikation, digital signering

Här finns säkerhetsenheten! På S:t Olofsgatan 10 A, inne på gården ( Röda stugan ) E-post: security@uu.se Telefon: IT-säkerhet 7560 Övriga telefonnummer och e-postadresser i Katalogen: http://katalog.uu.se/orginfo/?orgid=af8:12

Säkerhetsenhetens 4 områden Kris och kontinuitetshantering Utbildning Övning Information Risk och sårbarhetsanalys Personsäkerhet Hot och våldsutbildningar Konsultationer och säkerhetshöjande aktiviteter Bevakning Larm Passerkontroll Utbildning Informationssäkerhet Utbildning Informationssäkerhetsklassningar Dokumenthantering Mobil utrustning (bärbara datorer, smarta telefoner, surfplattor osv) IT-säkerhet (IRT) Internet, webben Riskanalyser Säkerhetsanalyser IT-säkerhetsgranskningar Skydd mot virus, nätfiske, trojaner Egendomsskydd Brandskyddsutbildningar Systematiskt brandskyddsarbete Restvärdesräddning Universitetets verksamhetsförsäkring Riskanalyser Teknisk säkerhet Bevakning Skalskydd Larm Passerkontroll Åtgärder vid evenemang Stöd och samordning för hela UU

Säkerhet i Medarbetarportalen

Kort om kursdeltagarna

Lagar & riktlinjer

Lagar, ett axplock Offentlighets- och sekretesslag, OSL (2009:400) Tryckfrihetsförordningen (1949:105) Brottsbalken (1962:700) Arkivlag (1990:782) Personuppgiftslag, PuL (1998:204) Lag (2003:389) om elektronisk kommunikation Lag (2000:832) om kvalificerade elektroniska signaturer Lag (1998:112) om ansvar för elektroniska anslagstavlor Förvaltningslagen (1986:223) Förordning (1995:1300) om statliga myndigheters riskhantering MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10) Lagen om offentlig anställning (1994:260) E-delegationens riktlinjer för sociala medier.

Universitetets riktlinjer IT, säkerhet Mål- och regelsamlingen Handlingsplan för IT Riktlinjer inom IT-området Riktlinjer för säkerhetsarbetet: informationssäkerhet Regler för användning av användarkonton och datornät Hantering av allmänna handlingar Arkivhandboken Kommunikationspolicy Säkerhet och IT i Medarbetarportalen Lösenordshantering Elektronisk signering Automatisk vidaresändning av e-post Mobila enheter Hantering av elektroniskt lagrad information

Lösenord

Våga fråga!!. om säkerhetsrelaterade händelser eller farhågor som är, har varit eller kan bli aktuella på er institution. Våga fråga om informationssäkerhet ur ett verksamhetsperspektiv En situationsanpassad, multimedial och aktuell kurs för er som hanterar känslig information i universitetets datasystem. Utifrån vanliga risker som att lagra forskningsinformation på sin bärbara dator eller andra mobila enheter, skicka känsliga personuppgifter med e-post, använda molntjänster eller att inte ta backup på databasen med tentamensresultat. Universitetets informationssäkerhetssamordnare informerar riktlinjer och metodstöd för att motverka dessa, och liknande, risker och försöker svara på era frågor och funderingar om hur man bäst hanterar säkerhetsrelaterade händelser eller farhågor som är eller kan bli aktuella på er institution. Välkommen med din anmälan här.

Intro 1 Informationssäkerhet handlar i sin enkelhet om att säkerställa att Rätt person får Rätt information vid Rätt tillfälle.

Intro 2 Eller enligt universitetets riktlinjer för informationssäkerhet Konfidentialitet (sekretess) Riktighet (integritet) och Tillgänglighet Nästa avsnitt adresserar samtliga dessa säkerhetsaspekter

Riktlinjer Nya riktlinjer för lösenordshantering vid universitetet fr.o.m. 2013-11-06. Gäller för alla IT-tjänster och system om inte särskilda skäl föreligger. Riktlinjerna omfattar två områden; lösenordskvalitet och lösenordsskydd. Kontrolleras i universitetets gemensamma inloggningstjänst (CAS och AKKA).

Syfte och mål Att förhindra obehörig åtkomst till känslig information 1) Inloggning ska ske via universitetets gemensamma inloggningstjänst till alla system där det är tekniskt möjligt. 1) T.ex. forskningsdata, känsliga personuppgifter och studieresultat. Metodstöd finns för klassificering och rekommenderade skyddsåtgärder.

Lösenordskvalitet minst 10 tecken. vara sammansatt av följande tecken: A Z a z 0 9 mellanslag följande specialtecken: ~,!, @, #, $, %, ^, &, (, ), _, +, -, *, /, =, {, }, [, ],, \, :, ;,,, <, >,, (kommatecken),. (punkt), och? innehålla minst en versal, minst en gemen och antingen minst ett specialtecken eller en siffra.

Lösenordskontroll I den CAS/AKKA går lösenordet inte att spara om det inte är sammansatt enligt f.g bild det finns i katalog med dåliga lösenord (123456, årstider, bilmärken etc) det är samma som närmast föregående A- och B-lösenordet är för lika varandra

Lösenordsskydd Datalagring och transport av lösenord alltid i krypterad form. aldrig i läs/hörbar form via e-post, telefon el motsv. Skydd mot gissningsattacker (rate limiting) max. 10 felaktiga gissningar inom 60 min. därefter låses kontot 5 min. Tvingande lösenordsbyte inom 24 mån. för anställda och övr. verksamma inom 5 år för studenter Gäller fr.om nu men görs successivt från 1996 (5 tkn) och framåt

Ditt ansvar Som användare av universitetets informationssystem ansvarar du själv för att dina lösenord uppfyller den kvalitet och hantering som anges i dessa riktlinjer. du håller dina lösenord hemliga. som en del av ovanstående punkt, aldrig uppge dina lösenord till någon som efterfrågar dem via e-post, i telefon eller på annat sätt.

Till sist Byt lösenord omedelbart om någon annan kan ha fått reda på det Anmäl till security@uu.se om någon (t.ex. i e-post eller i telefon) försöker lura av dig lösenordet Använd andra lösenord för tjänster utanför universitetet (twitter, facebook, google, gmail )

Mobila enheter

Mobila enheter Bärbar dator Läs- och surfplatta Smart mobiltelefon och liknande Portabla lagringsmedia Minneskort USB-minnen Externa hårddiskar och liknande

BYOD Bring Your Own Device En företeelse för universitetet att förhålla sig till

Risker kopplade till mobila enheter - är det något vi oroar oss över vid Uppsala universitet? Risk- och sårbarhetsanalys för Uppsala universitet 2013 Känslig information och dokument som lagras okrypterat i molnet eller på mobila enheter (BYODs) utan lösenordsskydd

Vad finns i universitetets riktlinjer med anknytning till mobila enheter och BYOD? Från Riktlinjer inom IT-området (Dnr UFV 2013/907): Personlig utrustning som används vid studier eller i tjänsteutövning ska, oavsett om den ägs av universitetet eller enskild verksam, hanteras på ett säkert sätt som minimerar risken för informationsförluster och intrång i universitetets datornät. Nivån på skyddet ska bedömas utifrån graden av känslighet på den information som lagras i eller som på annat sätt kan nås via enheten.

minimerar risken för informationsförluster och intrång i universitetets datornät. Hur då? Nivån på skyddet ska bedömas utifrån graden av känslighet på den information som lagras i eller som på annat sätt kan nås via enheten. Hur bedömer man det?

Att minska risken för intrång handlar inte, i detta sammanhang, om ta till några tekniskt avancerade handgrepp. Vad det handlar om är att ta till sig enkla råd och att verkligen följa dem. Många gånger väljer vi det bekväma framför det säkra. Angående nivå på skydd det handlar till stor del om medvetenhet! Medvetenhet om hur jag använder telefonen/plattan och vilken information jag lagrar i den. Behovet av skydd är naturligtvis större för en platta som innehåller känsliga tjänstedokument än en mobiltelefon som jag använder enbart för att ringa och SMS:a med.

Hämtat från Regler och rekommendationer för användning av mobila enheter Enheten får inte lämnas fysiskt obevakad på osäker plats, t ex. hotellrum, i bil etc. Lösenordskydda enheten så att den blir låst när skärmsläckaren är aktiv Uppdatera enheten ofta, så fort tillgängliga uppdateringar finns. Lagra inte känsliga data eller dokument med personuppgifter i molntjänster, typ Icloud, Google Drive och liknande Öppna inte SMS/MMS från okända avsändare, klicka inte heller vidare på länkar som skickats från okända Installera endast de applikationer som det finns ett behov av Radera regelbudet information som inte längre behövs. Överför information till annan lagring vid behov

Vad kan hända? Vad ska jag vara orolig för? Problemet med skadlig kod ökar för kategorin mobila enheter. I takt med att de mobila enheternas användningsområden blir fler, kommer också hoten alltmer att rikta sig mot just dessa. Räkna med att de hot som vi pratar om när det gäller datorer också gäller för din mobiltelefon.

Spelar det någon roll vilket operativsystem som mobiltelefonen använder? Jämförelsen Android iphone motsvarar jämförelsen Windows Mac på persondatorsidan. Hoten riktar sig i mycket stor utsträckning mot det operativsystem som har den största spridningen och som dessutom är mera öppet. En förkrossande stor andel av den skadliga programkod som existerar i den mobila världen riktar sig mot Android. Behåll din Android, men var medveten om problemet!

Vad kan hända? Vad ska jag vara orolig för? Hämtat från en artikel i Ny Teknik: Så öppnar appar mobilen för spioner Slarv vid programmeringen av appar som görs på kända utvecklingsplattformar lämnar mobilerna öppna för dataspionage utan användarens vetskap. Programmerarna måste ta sig tid att bara aktivera de rättigheter som krävs för just den app de utvecklar. Problemet är att begäran om alla dessa rättigheter lämnar dörren öppen för datapioner via funktioner som kamera, kontakter, gps-position o s v. Mobilanvändaren märker inte något.

Säker användning av appar några enkla råd: Installera endast de appar du behöver Försök bedöma om utgivaren är en seriös aktör Se upp med de frågor som ställs via appar. Ditt svar kan resultera i att du delar med dig av uppgifter som lagras i telefonen. Håll apparna uppdaterade

och den smarta telefonen är fortfarande en telefon Ja, det här är ju lite känsligt men..!

Vad gör jag om jag tappar bort eller blir bestulen på min mobiltelefon? Remote wipe: Raderar personliga inställningar och återställer fabriksinställningar Raderar SMS och MMS Raderar e-post Vid Uppsala universitet Remote wipe sätts till enable per automatik i och med att man synkar via Exchange och wipe utförs sedan enligt instruktion nedan (Om ej exchange gäller tredjepartsprodukter).

Logga in i webbmail (länk finns i Medarbetarportalen) Klicka på alternativ i övre högra hörnet välj visa alla alternativ

Välj Telefon (Mobila enheter) - här visas dina mobila enheter som är kopplade till ditt konto. Markera enheten i listan som du vill radera. Klicka på Rensa enhet. När rensningen är genomförd får du ett e-post meddelande om detta till din inkorg. Efter att du har fått en bekräftelse om rensning; gå till Telefon (Mobila enheter), markera enheten och välj Ta bort genom att klicka på krysset i rubriklisten (annars fortsätter synkningen med telefonen).

Virus och skadlig kod

Cyberskräp virus, skadlig kod mm Nästan allt cyberskräp sprids via webben Mycket sprids via Adobe Flash eller Reader Finns alltid en sårbarhet någonstans Surfa till smittad sida kan vara tillräckligt Smarta telefoner och plattor ny riskgrupp Du märker oftast inte att din dator smittats

Att skydda sig och sin information Tänk efter före Klicka inte på länkar i e-post eller IM Klicka inte på pop-up fönster som påstår att du har virus Mata inte in dina uppgifter i webbformulär som öppnats via e-postlänkar, skype, IM eller sociala medier Ladda inte ner appar som du inte behöver Installera säkerhetspatchar för alla program Uppdatera smarta telefoner och plattor Ha antivirus som uppdateras autmatiskt Surfa utan javascript om möjligt Adobe Reader, Acrobat, Flash

Världens 25 vanligaste lösenord 123456 password 12345678 qwerty abc123 123456789 111111 1234567 iloveyou adobe123 123123 admin 1234567890 letmein photoshop 1234 monkey shadow sunshine 12345 password1 princess azerty trustno 000000 http://splashdata.com/press/worstpasswords2013.htm

Adobe Reader, Acrobat och Flash Ändringar i Adobes Inställningar [Preferences] kan Hindra PDF-filer från att starta program Hindra javascript från att köra i PDF-filer Hindra PDF-filer från att öppnas automatiskt I webbläsaren Hindra Flash (SWF) sårbarheter från att utnyttjas i PDFfiler

Hjälp? Dator/IT-ansvarig vid institutionen Intendenturen på campus Säkerhetsenheten, tel 7560, e-post security@uu.se Universitetets helpdesk tel 7890, helpdesk@uu.se OBS! Medarbetare på Akademiska sjukhuset och Rudbecklaboratoriet kontaktar IT på Akademiska.

Sociala medier och molnet

Sociala medier Ett sätt att kommunicera, skapa relationer, främja dialog och dela kunskap

Sociala medier Samma regler som för e-postkommunikation men med fler och okända mottagare Allt mer ihopkopplade Höga förväntningar på snabbhet Allmän handling? Arkivering? Gallring? Inga sekretessreglerade uppgifter Undvik personuppgifter Använd inte privatkonto i tjänsten

Sociala medier Vem är du när du skriver i tjänsten eller privat? Vad och hur skriver du? Vem är det som läser? Lätt att missuppfatta eller feltolka Lätt att sprida vidare Publicering av bilder Kartlägga någon är lätt Svårt att få bort

Carl-Johan Wallenklev Säkerhetsenheten

Molntjänster

Molntjänster Ställer krav på dig som användare! Vilken typ av information? Vem äger information som lagras i molnet? Personuppgifter /sekretess medför särskilda krav Universitetets handlingar får inte förloras På vilket sätt ska tjänsten användas? Läst avtalet?

E-post

E-post som allmän handling Skräppost är inte allmän handling E-post ska kontrolleras dagligen arbetsdagar (vardagar) Inkorg och utkorg är allmän handling Handlingar via e-post ska diarieföras i samma utsträckning som pappershandlingar E-post får inte automatiskt vidaresändas utanför myndigheten

Att skicka e-post Undvik att blanda arbetspost och privat e-post Det finns alltid risk att andra kan ta del av meddelandet Lätt att skicka till fel mottagare av misstag Känsliga personuppgifter och sekretesskyddade uppgifter ska skickas krypterade

All e-post är inte äkta Några möjliga varningstecken: Frågor om personlig information: ditt användarnamn, lösenord, koder, kreditkortsnummer Hot med negativa konsekvenser: Ditt konto kommer att stängas / låsas / tas bort om du inte.. Länkar i e-posten: Nätfiskelänkar går ofta till helt andra ställen än de ser ut att göra. Var uppmärksam om möjliga risker innan du klickar på en länk. Skydda dig! Svara inte skicka istället det misstänkta brevet till security@uu.se eller ring oss, anknytning 7560.

All e-post är inte trevlig Hot / trakasserier i e-post Ta inte bort meddelandet Svara inte Skicka e-postmeddelandet till security@uu.se eller ring oss, anknytning 7560

Information?

Informationsklassning Basen för allt arbete med informationssäkerhet. För att veta hur informationen ska skyddas måste man först veta vilken information som hanteras. Utgå från informationens funktion och betydelse för verksamheten, och konsekvenserna om den skulle ändras, försvinna, hanteras felaktigt, komma i orätta händer, osv. Obehöriga ska inte kunna ta del av skyddsvärd information. (konfidentialitet - sekretess/ skyddsvärde) Vad blir konsekvensen om informationen hamnar i orätta händer? Informationen ska inte kunna förändras av misstag eller av någon obehörig (riktighet) Vad blir konsekvensen om information ändras? Information ska vara nåbar när den behövs (tillgänglighet) Vad blir konsekvensen om informationen inte går att nå?

Informationshantering Oberoende av lagringsform Klassificera informationen Skydda det som är skyddsvärt Okända personer i lokalerna? Våga fråga! Lås in skyddsvärd information när den inte används / du lämnar rummet Lämna inte laptop / smart telefon / platta obevakad Lämna inte utskrifter i skrivaren Undvik känsliga ämnen på offentliga platser, bussar, tåg, flyget Säkerhetskopiera

Säkerhetskopiering

Se på din dator som något som kan fara i luften när som helst Diskkrasch Brand Radering eller uppdatering av misstag Intrång etc. Suck, diskkrasch och ingen backup! Typ surt!

Risker kopplade till bristfällig säkerhetskopiering - är det något vi oroar oss över vid Uppsala universitet? Risk- och sårbarhetsanalys för Uppsala universitet 2013 Förlust eller förvanskning (fusk) av forskningsdata pga. slarvig hantering av persondatorer, lokal lagring på persondatorer med bristfällig eller ingen backup, stöld, hackning etc.

Vad finns i universitetets riktlinjer med anknytning till säkerhetskopiering av persondatorer, mobil utrustning och portabla lagringsmedia? Från Riktlinjer inom IT-området (Dnr UFV 2013/907): Innehavaren är ansvarig för att säkerhetskopiering sker med relevant periodicitet och på ett säkert sätt... Uppdateringar, antivirus och säkerhetskopiering sköts i normalfallet av IT-ansvarig/dataansvarig på respektive institution/motsvarande eller av intendenturen. Prefekt/motsvarande kan besluta om undantag från detta Hur funkar det vid min institution?

Vad finns i universitetets riktlinjer med anknytning till säkerhetskopiering och serverdrift? Driftorganisationen ansvarar för att säkerhetskopiering sker med relevant periodicitet och på ett säkert sätt. Systemägaren försäkrar sig om detta genom upprättande av ett s.k. servicenivåavtal med driftorganisationen. Här finns en del att tänka på: Vad ska sparas och med vilken periodicitet? Hur länge ska data sparas? Behövs krypterad lagring? Test av återläsning? m.m. Mer detaljerade riktlinjer för säkerhetskopiering kommer att fastställas inom kort!

Att tänka på Vad behöver jag göra själv? Kolla vad som gäller vid din institution. Säkerhetskopior ska förvaras säkert och skilda från berörda datorer. Lika viktigt som att ta säkerhetskopior är att testa att det går att återställa filer från dessa. Hur gör du med säkerhetskopiering hemma? Har du tusentals familjebilder och annat viktigt på din dator, men ingen backup?

Avslutande diskussion Är informationssäkerhet bara lås och bom eller öppnar det upp för nya och effektivare arbetssätt också? Diskutera gruppvis (5-10 min) om ni kommer på några exempel.

Projekt Säkrare e-kom Elektronisk identifiering på nätet (e-leg) Elektronisk signering av dokument Kryptering av e-post Kan ni se möjligheter nya arbetssätt i er vardag med dessa funktioner??

Elektronisk signering av dokument En elektronisk signatur, eller underskrift, identifierar, precis som en vanlig handskriven underskrift, personen som undertecknar ett dokument. Till skillnad från en traditionell underskrift på papper är en elektronisk underskrift svår att förfalska, eftersom den innehåller krypterad information som är unik för undertecknaren. Den kan lätt verifieras och informerar mottagarna om dokumentet har ändrats eller inte efter det att undertecknaren signerade dokumentet.

Avslutningsvis - 10 snabba råd att lägga på minnet 1.Se till att din dator och dina mobila enheter hålls uppdaterade. Gamla programversioner som innehåller sårbarheter gör att din dator/dina mobila enheter kan utsättas för skadlig kod. 2.Var rädd om ditt lösenord! Universitetets riktlinjer för lösenordshantering ger god vägledning. 3.Se upp med nätfiske (s.k. phishing) som via falska e-postbrev eller webbformulär försöker lura av dig personliga uppgifter, såsom lösenord, användarnamn, kontonummer eller koder. Många av de aktörer som ägnar sig åt sådan verksamhet har utvecklat en stor skicklighet i att använda logotyper och falska formulär som ser trovärdiga ut. Universitetets IT-personal frågar aldrig efter ditt lösenord i e-post. 4.Surfa med omdöme! Det kan räcka med att besöka en viss webbsida för att din dator/dina mobila enheter ska smittas med skadlig kod. 5.Lagra inte personuppgifter eller annan känslig informations i molntjänster. Fortsättning följer

Avslutningsvis - 10 snabba råd att lägga på minnet 6.Var noga med säkerhetskopiering! Ta reda på vad som gäller vid din institution beträffande säkerhetskopiering. 7.Installera bara de appar du behöver. Appar som inte uppfyller grundläggande säkerhetskrav gör dina mobila enheter sårbara. 8.Tänk på vad du skickar med e-post det är inte säkrare än ett vykort! 9.Anmäl incidenter till abuse@uu.se alternativt till security@uu.se och kom ihåg att Säkerhetsenheten finns till för er. 10.Hämta vägledning från universitetets riktlinjer.