Certifiering av informationssäkerhet Vad, varför, hur? Anne-Marie Eklund Löwinder Säkerhetschef,.SE amel@lowinder.se @amelsec https://www.iis.se
Vad är.se? Stiftelsen för Internetinfrastruktur grundades 1997. Verka för positiv utveckling av Internet i Sverige..SE sköter administration och teknisk drift av det nationella domännamnsregistret under.se. ~1 300 000 domännamn, 800-1000 nyregistreringar per dag. Ca 80 medarbetare. Ca 150 återförsäljare (Registrarer). Omsättning 2011: 111,5 Mkr 51,5 Mkr till Internetutveckling.SE står under tillsyn av: PTS genom Lagen om nationella toppdomäner på Internet i Sverige (SFS:2006:24). Länsstyrelsen genom Stiftelselagen. Certifierade enligt ISO 27000 Ledningssystem för informationssäkerhet.
Varför valde vi certifiering? Vi lever på förtroende och tillit från det lokala Internetkollektivet. För att hantera tillväxt volym, personal, uppgifter. För att visa att vi tar säkerhet på allvar. Spårbarhet. Bild 3
Utveckling och trender Angreppen blir mer avancerade dynamiska, smygande och slår framgångsrikt omkull traditionellt försvar som: Brandväggar IPS:er Antivirus Bryggor/gateways Domännamn används bara några få gånger - går under radarn för bland annat svartlistor och signaturbaserade filter. DNS är en måltavla i sig.
Så vad händer? Massiv ökning av avancerad skadlig kod, plattformsoberoende e-post eller webbaserat. Mönstret för mängden attacker varierar starkt mellan olika branscher; hälso- och sjukvård och energisektorn har det jobbigt. Angripare använder kortlivade domäner för riktade nätfiskeattacker via e-post. Variationen på skadliga bifogade bilagor ökar. Verksamheter med upphovsrättsskyddat material eller personuppgifter är de vanligast drabbade.
Varför händer det? Användare fortsätter aningslöst att klicka på skadliga länkar. Skadlig kod inbäddad i webbtrafik (http) har visat sig särskilt effektivt för att ta sig igenom befintligt försvar. Som ett resultat av de två ovan, eftersom angripare ser att deras taktik fungerar ökar antalet attacker kontinuerligt.
Informationssäkerhet 2013 Mobilitet Använd dina egna grejer (BYOD). Molntjänster Vad, hur och varför? Big data konsten att hitta och filtrera rätt information och konsten att utvinna information ur annan information.
Vad behövs för att nå framgång? Struktur och metodik i arbetet. En bra kommunikation med och stöd från ledningen.
Strategiskt Taktiskt Operativt Att och vad? Strategiskt På vilket sätt? Taktiskt Vilja Av vem, hur, vid vilken tidpunkt? Operativt Kunskap Förmåga
Förbättringshjulet - PDCA
Säkerhetsarbetets delar Underrättelse och riskbedömning. Förebyggande och skadereducerande säkerhetsåtgärder. Incidenthantering/krishantering, återställande. Förmåga att veta Förmåga att skydda Förmåga att leda Underrättelse/ riskbedömning Förebyggande/ skadereducerande åtgärder Incidenthantering/krishantering Styrning och samordning
Säkerhetsarkitektur Verksamhetens behov Risker Legala krav ISO 2700x Verksamhet Informationssäkerhetspolicy Information Säkerhetshandbok säker hantering av information Applikation Övergripande krav utvecklingsprojekt Säkerhetsfunktioner och säkerhetsprocesser Infrastruktur Övergripande krav IT-säkerhetsinfrastruktur IT-säkerhetstjänster, säkerhetsfunktioner och säkerhetsprocesser
Ledningssystemet på.se Integrerat i affärsplaneprocessen. Informationssäkerhetspolicy (fastställd av styrelsen). Säkerhetshandbok för användare förbindelser. Policy och plan för krishantering. Definierade roller och ansvar. Informationsklassificiering. Säkerhetsinstruktioner - drift och förvaltning. Systemspecifika instruktioner. Definierad grundskyddsnivå. Systemsäkerhetsplaner. Incidentrapportering och -hantering. Granskning och uppföljning.
Everything should be as simple as possible, but not simpler. - Albert Einstein Tack! Frågor?