SÄKER IT-DRIFT
Agenda Kort om Datacenter Våra erfarenheter av 27001:2013 Varför ledningssystem för informationssäkerhet - LIS Förutsättningar Krav Säkerhetsåtgärder Riskanalyser Personrelaterade hot Tidsåtgång och resurser Summering
DATACENTER FÖR KUNDER SOM VÄRDESÄTTER SÄKERHET & TILLGÄNGLIGHET
Datacenter generellt Helhetsleverantör av IT-tjänster Datacenter äger sina egna datahallar som är placerade i Stockholm Alla tjänster produceras i vår egen regi, vilket gör att vi kan garantera att inget data lämnar Sverige Utökar vår marknadsandel i målgruppen bank, försäkring, myndigheter och media
Datacenter i siffror GRUNDAT 1997 TILLGÄNGLIGA 24/7 40 PERSONER VÄXANDE OCH LÖNSAMMA 55 MSEK I OMSÄTTNING ÄGER TVÅ ANLÄGGNINGAR ISO 27001 & 9001 CERTIFIERING 2011 2013 2015 FÖRVÄRVAR BERGRUM SOM BYGGS OM TILL HÖGSÄKERHETSANLÄGGNING FÅR UTMÄRKELSE OM HÖGSTA KREDITVÄRDIGHET AAA
Varför ledningssystem Firman växte Behov av ökad struktur och bättre effektivitet Informationssäkerhet är ett fokusområde för oss som driftleverantör Resulterade i att vi valde att certifiera oss mot ISO 27001 och 9001
Förutsättningar Intranät med rutiner och dokumentation fanns Ärendehanteringssystem redan på plats Lång tidigare erfarenhet av riskanalyser Teknisk redundans och säkerhet god från start
Kravbild - Informationssäkerhet Kund Regulatoriska Verksamhet
Säkerhetsåtgärder 1 Förslag personal Riskanalyser 17 Kundkrav 66 3 GAP-analys mot 27002 33 123 Åtgärder 4 Regulatoriska krav
Säkerhetsåtgärder 2 Initial GAP-analys mot kraven i 27002 indikerade att vi behövde genomföra 24 säkerhetsåtgärder som krav Förbättrad lösenordspolicy Rutiner för kryptoprotokoll & nyckelhantering Loggning och spårbarhet Förfinad åtkomststyrning Rutin gällande analys och upptäckt av sårbarheter Nessus mm Rutin för destruering och avveckling av information (allt från diskar till USB osv) 9 förbättringsåtgärder Tvåfaktorsautentisering mot bastioner Implementering av S/MIME
Säkerhetsåtgärder 3 Vi genomförde 9 riskanalyser som resulterade i 66 säkerhetsåtgärder Säkerställa resursbehov Insynsskydd för fönster Påbackningsskydd Kompetenshöjning kring informationssäkerhet Hårddiskkryptering klientdatorer
Riskbedömning - Metod Ofta Regelbundet Sällan Mycket sällan Allvarlig Betydande Måttlig Försumbar Sannolikhet mer än en gång per år en gång på ett år en gång på 10 år en gång på 100 år Konsekvens Åtalbart alt. skada motsvarande över 5 miljoner. skada motsvarande 1-5 miljoner. skada motsvarande 10 tkr - 1 miljon. skada motsvarande 0 tkr 10 tkr.
Slutsatser från riskanalyser Identifierade förbättringsområden och hjälpte oss prioritera rätt insatser Tydliggjorde accepterade risker på ledningsnivå Hjälpte oss koppla tid & resurser till förändring i risknivå Många risker kring personalrelaterade hot
Personalrelaterade Hot Insiderbrott och personhot utifrån Registerkontroll, kreditupplysning, personbedömning Två i förening Loggning Övervakning Rättighetsstyrning Mänskliga misstag Utbildning och träning Införande av omfattande internutbildningsprogram Verifiering och kontroll Medvetna överträdelser
Medvetna överträdelser - exempel Ex 1 Medarbetare skickar mail med känslig information okrypterat trots att det strider mot vår egen policy. Ex 2 Företaget ska införa ett nytt system och säkerhetsgruppen bjuds inte in i diskussionen eftersom det blir för krångligt.
Medvetna överträdelser Varför? Kringgår rutiner för att det upplevs krångligt eller onödigt. Görs oftast av medarbetare som tror att det är bra för organisationen. Vanligt att säkerhetsavdelningen har en högre ambitionsnivå än övriga medarbetare inklusive ledningen. Ibland upplevs vi som foliehattar som inte har kontakt med verkligheten och vi får en urusel efterlevnad.
Medvetna överträdelser - Lösning Företaget måste sätta en tydlig säkerhetsnivå och inte säkerhetschefen eller enskilda medarbetare. Viktigt att utbilda alla medarbetare att bli säkerhetsmedvetna och varför vi behöver göra vissa åtgärder. Försök hitta enkla lösningar till medarbetarnas problem i stället för att läxa upp vid avvikelser. Ex inför S/MIME för att kunna skicka krypterad e-post.
Tidsåtgång och Resurser 1 Utveckla Verksamhetssystem 1200 Riskanalyser 200 Säkerhetsåtgärder 1400 Utbildning 800 Extern och intern revision 400 Uppföljning och kontroller 600 Total 4800 timmar
Tidsåtgång och Resurser 2 400 timmar hjälp kring 27001 100 timmar hjälp kring 9001:2015 Lars Söderlund Gunilla Mattson Uppsec AB Certway AB
Summering Försök inte göra allt perfekt från början utan jobba med ständiga förbättringar Låt dom affärsmässiga målen utgöra grund för säkerhetsarbetet Ha inte övertro på de tekniska lösningarna - utbildning och träning är minst lika viktigt
TACK! www.datacenter.se 020-247 247