Kurs i informationssäkerhet. Det händer inte mig. Säkerhetsenheten

Kurs i informationssäkerhet Det händer inte mig Säkerhetsenheten 2015-02-09

Innehåll 1. Inledning a) Säkerhetsenheten b) Säkerhet i Medarbetarportalen c) Presentationsrunda 2. Lagar och riktlinjer 3. Allmänt om risker 4. Skydd a) Mobila enheter b) Säkerhetskopiering c) Lösenord d) Virus, cyberskräp m.m. e) Allmän handling och e-post f) Sociala medier och molnet g) Kryptering och digitala signaturer h) Loggning och spårbarhet 5. Demo 6. Riskhantering 7. Sammanfattning Start: 09.15 Fika: ca 10.15 Slut: 12.00

Säkerhetsenhetens 4 områden Kris och kontinuitetshantering Utbildning Övning Information Risk och sårbarhetsanalys Personsäkerhet Hot och våldsutbildningar Konsultationer och säkerhetshöjande aktiviteter Bevakning Larm Passerkontroll Utbildning Informationssäkerhet Utbildning Informationssäkerhetsklassningar Dokumenthantering Mobil utrustning (bärbara datorer, smarta telefoner, surfplattor osv) IT-säkerhet (IRT) Internet, webben Riskanalyser Säkerhetsanalyser IT-säkerhetsgranskningar Skydd mot virus, nätfiske, trojaner Egendomsskydd Brandskyddsutbildningar Systematiskt brandskyddsarbete Restvärdesräddning Universitetets verksamhetsförsäkring Riskanalyser Teknisk säkerhet Bevakning Skalskydd Larm Passerkontroll Åtgärder vid evenemang

Här finns säkerhetsenheten! På S:t Olofsgatan 10 A, inne på gården ( Röda stugan ) E-post: security@uu.se Telefon: anknytning 7560 (IT-säkerhet) Personalens telefonnummer och e-postadresser finns i katalogen: http://katalog.uu.se/orginfo/?orgid=af8:12 Universitetsförvaltningen, Byggnadsavdelningen, Säkerhetsenheten Vid akut händelse: Universitetets larmnummer anknytning 2500 Övrig information i Säkerhetskalendern

Presentationsrunda Kort om kursdeltagarna

Lagar & riktlinjer

Lagar, förordningar, föreskrifter Tryckfrihetsförordningen (1949:105) Offentlighets- och sekretesslag, OSL (2009:400) Brottsbalken (1962:700) Arkivlag (1990:782) Personuppgiftslag, PuL (1998:204) Lagen om offentlig anställning (1994:260) Förvaltningslagen (1986:223) Lag (2003:389) om elektronisk kommunikation Lag (2000:832) om kvalificerade elektroniska signaturer Lag (1998:112) om ansvar för elektroniska anslagstavlor Förordning (1995:1300) om statliga myndigheters riskhantering MSB:s föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10) E-delegationens riktlinjer för sociala medier

Universitetets riktlinjer för IT och säkerhet Övergripande i universitetets mål- och regelsamling Specifika och konkreta i Medarbetarportalen

Allmänt om risker

Vi gör dagligen riskbedömningar

Det händer inte mig USB-minne borttappat Dator stulen vid inbrott Mobil liggande framme inloggad Glömmer känsligt dokument på skrivbordet Klickar på en länk utan att veta vart jag kommer Går ifrån datorn utan att logga ur Håller upp låst dörr för obekant person Glömmer sudda ut på whiteboard efter möte Pratar känsliga saker i mobil på offentlig plats

Informationssäkerhet & IT-säkerhet Den hur kursen handlar om hur man kan få rätt säkerhet genom att använda sunt förnuft och nyttja den hjälp som finns inom universitetet Genom detta kan man minska risken att det händer dig och om det ändå händer reducera skadan

Mobila enheter

Mobila enheter Bärbar dator Läs- och surfplatta Smart mobiltelefon och liknande Portabla lagringsmedia Minneskort USB-minnen Externa hårddiskar och liknande

BYOD Bring Your Own Device En företeelse för universitetet att förhålla sig till

Risker kopplade till mobila enheter - är det något vi oroar oss över vid Uppsala universitet? Risk- och sårbarhetsanalys för Uppsala universitet 2013 Känslig information och dokument som lagras okrypterat i molnet eller på mobila enheter (BYODs) utan lösenordsskydd

Vad finns i universitetets riktlinjer med anknytning till mobila enheter och BYOD? Från Riktlinjer inom IT-området (Dnr UFV 2013/907): Personlig utrustning som används vid studier eller i tjänsteutövning ska, oavsett om den ägs av universitetet eller enskild verksam, hanteras på ett säkert sätt som minimerar risken för informationsförluster och intrång i universitetets datornät. Nivån på skyddet ska bedömas utifrån graden av känslighet på den information som lagras i eller som på annat sätt kan nås via enheten.

minimerar risken för informationsförluster och intrång i universitetets datornät. Hur då? Nivån på skyddet ska bedömas utifrån graden av känslighet på den information som lagras i eller som på annat sätt kan nås via enheten. Hur bedömer man det?

Att minska risken för intrång handlar inte, i detta sammanhang, om ta till några tekniskt avancerade handgrepp. Vad det handlar om är att ta till sig enkla råd och att verkligen följa dem. Många gånger väljer vi det bekväma framför det säkra. Angående nivå på skydd det handlar till stor del om medvetenhet! Medvetenhet om hur jag använder telefonen/plattan och vilken information jag lagrar i den. Behovet av skydd är naturligtvis större för en platta som innehåller känsliga tjänstedokument än en mobiltelefon som jag använder enbart för att ringa och SMS:a med.

Hämtat från Regler och rekommendationer för användning av mobila enheter Enheten får inte lämnas fysiskt obevakad på osäker plats, t ex. hotellrum, i bil etc. Lösenordskydda enheten så att den blir låst när skärmsläckaren är aktiv Uppdatera enheten ofta, så fort tillgängliga uppdateringar finns. Lagra inte känsliga data eller dokument med personuppgifter i moln-tjänster, typ Dropbox, icloud, Google Drive och liknande Öppna inte SMS/MMS från okända avsändare, klicka inte heller vidare på länkar som skickats från okända Installera endast de applikationer som det finns ett behov av Radera regelbudet information som inte längre behövs. Överför information till annan lagring vid behov

Vad kan hända? Vad ska jag vara orolig för? Problemet med skadlig kod ökar för kategorin mobila enheter. I takt med att de mobila enheternas användningsområden blir fler, kommer också hoten alltmer att rikta sig mot just dessa. Räkna med att de hot som vi pratar om när det gäller datorer också gäller för din mobiltelefon.

Spelar det någon roll vilket operativsystem som mobiltelefonen använder? Jämförelsen Android iphone motsvarar jämförelsen Windows Mac på persondatorsidan. Hoten riktar sig i mycket stor utsträckning mot det operativsystem som har den största spridningen och som dessutom är mera öppet. En förkrossande stor andel av den skadliga programkod som existerar i den mobila världen riktar sig mot Android. Behåll din Android, men var medveten om problemet!

Vad kan hända? Vad ska jag vara orolig för? Hämtat från en artikel i Ny Teknik: Så öppnar appar mobilen för spioner Slarv vid programmeringen av appar som görs på kända utvecklingsplattformar lämnar mobilerna öppna för dataspionage utan användarens vetskap. Programmerarna måste ta sig tid att bara aktivera de rättigheter som krävs för just den app de utvecklar. Problemet är att begäran om alla dessa rättigheter lämnar dörren öppen för datapioner via funktioner som kamera, kontakter, gpsposition o s v. Mobilanvändaren märker inte något.

Säker användning av appar några enkla råd: Installera endast de appar du behöver Försök bedöma om utgivaren är en seriös aktör Se upp med de frågor som ställs via appar. Ditt svar kan resultera i att du delar med dig av uppgifter som lagras i telefonen. Håll apparna uppdaterade

Risker med trådlösa nät

och den smarta telefonen är fortfarande en telefon Ja, det här är ju lite känsligt men..!

Vad gör jag om jag tappar bort eller blir bestulen på min mobiltelefon? Remote wipe: Raderar personliga inställningar och återställer fabriksinställningar Raderar SMS och MMS Raderar e-post Vid Uppsala universitet Remote wipe sätts till enable per automatik i och med att man synkar via Exchange och wipe utförs sedan enligt instruktion nedan (Om ej exchange gäller tredjepartsprodukter).

Logga in i webbmail (länk finns i Medarbetarportalen) Klicka på alternativ i övre högra hörnet välj visa alla alternativ

Välj Telefon (Mobila enheter) - här visas dina mobila enheter som är kopplade till ditt konto. Markera enheten i listan som du vill radera. Klicka på Rensa enhet. När rensningen är genomförd får du ett e-post meddelande om detta till din inkorg. Efter att du har fått en bekräftelse om rensning; gå till Telefon (Mobila enheter), markera enheten och välj Ta bort genom att klicka på krysset i rubriklisten (annars fortsätter synkningen med telefonen).

Säkerhetskopiering

Se på din dator som något som kan fara i luften när som helst Diskkrasch Brand Radering eller uppdatering av misstag Intrång etc. Suck, diskkrasch och ingen backup! Typ surt!

Risker kopplade till bristfällig säkerhetskopiering - är det något vi oroar oss över vid Uppsala universitet? Risk- och sårbarhetsanalys för Uppsala universitet 2013 Förlust eller förvanskning (fusk) av forskningsdata pga. slarvig hantering av persondatorer, lokal lagring på persondatorer med bristfällig eller ingen backup, stöld, hackning etc.

Vad finns i universitetets riktlinjer med anknytning till säkerhetskopiering av persondatorer, mobil utrustning och portabla lagringsmedia? Från Riktlinjer inom IT-området (Dnr UFV 2013/907): Innehavaren är ansvarig för att säkerhetskopiering sker med relevant periodicitet och på ett säkert sätt... Uppdateringar, antivirus och säkerhetskopiering sköts i normalfallet av IT-ansvarig/dataansvarig på respektive institution/motsvarande eller av intendenturen. Prefekt/motsvarande kan besluta om undantag från detta Hur funkar det vid min institution?

Vad finns i universitetets riktlinjer med anknytning till säkerhetskopiering och serverdrift? Driftorganisationen ansvarar för att säkerhetskopiering sker med relevant periodicitet och på ett säkert sätt. Systemägaren försäkrar sig om detta genom upprättande av ett s.k. servicenivåavtal med driftorganisationen. Här finns en del att tänka på: Vad ska sparas och med vilken periodicitet? Hur länge ska data sparas? Behövs krypterad lagring? Test av återläsning? m.m. Mer detaljerade riktlinjer för säkerhetskopiering kommer att fastställas inom kort!

Att tänka på Vad behöver jag göra själv? Kolla vad som gäller vid din institution. Kom ihåg att en bärbar dator måste anslutas till nätet med nätverkssladd för att säkerhetskopiering ska fungera! Säkerhetskopior ska förvaras säkert och skilda från berörda datorer. Lika viktigt som att ta säkerhetskopior är att testa att det går att återställa filer från dessa. Hur gör du med säkerhetskopiering hemma? Har du tusentals familjebilder och annat viktigt på din dator, men ingen backup?

Lösenord

Västvärldens 25 vanligaste lösenord 2014 http://splashdata.com/splashid/worst-passwords/ 1. 123456 2. password 3. 12345 4. 12345678 5. qwerty 6. 123456789 7. 1234 8. baseball 9. dragon 10.football 11.1234567 12.monkey 13.letmein 14.abc123 15.111111 16.mustang 17.access 18.shadow 19.master 20.michael 21.superman 22.696969 23.123123 24.batman 25.trustno1 Vanliga i Sverige även: årstider, bilmärken, personnamn

Riktlinjer för lösenord Finns publicerade i medarbetarportalen och handlar om lösenordskvalitet (starka lösenord) lösenordsskydd (hur de hanteras) Två ansvarsområden Ditt ansvar Systemens ansvar.

Vad är ett bra (starkt) lösenord? minst 10 tecken långt innehåller en blandning av små och stora bokstäver, siffror och specialtecken (som ~! @ # $ % ^ & () _ + - * / = { } [ ] \ : ; < >? samt mellanslag, kommatecken och punkt) Det finns ett antal lösenordstestare online testa gärna men skriv inte in dina faktiska lösenord!

Ditt ansvar Använd starka lösenord Skydda dina lösenord Berätta aldrig dina lösenord eller koder för andra Använd inte universitetslösenord till andra tjänster Byt lösenordet om någon annan råkat få veta det Tips utanför universitetet: Använd olika lösenord till olika tjänster eller grupper av tjänster Var extra rädd om ditt e-postlösenord!

Systemens ansvar Gemensam inloggningstjänst Kontroller så lösenord är tillräckligt bra Säker hantering av lösenord Begränsad åtkomst Skydd mot gissningsattacker

Cyberskräp Virus, skadlig kod, nätfiske mm

Virus, skadlig kod, trojaner, botnet, trasig kod, adware, ransomware, key loggers.. Nästan allt sprids via webben Surfa till smittad sida kan vara tillräckligt Det finns alltid en sårbarhet någonstans Smarta telefoner och plattor ny riskgrupp Adobe Flash, Acrobat Reader och Java ofta utsatta Du märker oftast inte att din dator eller mobil attackerats

Att skydda sig och sin information Uppdatera Installera säkerhetspatchar för alla program så fort uppdateringar kommer Uppdatera smarta telefoner och plattor Ha antivirus som uppdateras automatiskt Tänk efter före En bärbar dator måste anslutas för att uppdateras Klicka inte på länkar i e-post eller chattprogram mfl Mata inte in personliga uppgifter i webbformulär från e- post, chattprogram mfl Klicka inte på pop-up fönster som påstår att du har virus Ladda inte ner appar du inte behöver

Att skydda sig och sin information Uppdatera Installera säkerhetspatchar för alla program så fort uppdateringar kommer Uppdatera smarta telefoner och plattor Ha antivirus som uppdateras automatiskt Tänk efter före En bärbar dator måste anslutas för att uppdateras Klicka inte på länkar i e-post eller chattprogram mfl Mata inte in personliga uppgifter i webbformulär från epost, chattprogram mfl Klicka inte på pop-up fönster som påstår att du har virus Ladda inte ner appar du inte behöver

Hjälp? Dator/IT-ansvarig vid institutionen Intendenturen på campusområdet Universitetets helpdesk anknytning 4440, helpdesk@uu.se OBS! Medarbetare på Akademiska sjukhuset och Rudbecklaboratoriet kontaktar IT på Akademiska. Säkerhetsenheten, anknytning 7560, e-post security@uu.se

E-post

Offentlighetsprincipen Offentlighetsprincipen finns i tryckfrihetsförordningen och innebär att vem som helst kan vända sig till en myndighet och begära ut en allmän handling. Vad är en allmän handling? Handlingar texter, bilder, ljudinspelningar som kommit till, eller skapats på, en myndighet. Allmänna handlingar är normalt offentliga Den som begär ut en handling behöver inte säga sitt namn eller vad handlingen ska användas till. En begäran ska alltid prövas innan utlämnande. Allmänna handlingar behöver inte diarieföras om de hålls ordnade.

Allmän handling? E-post som kommer till eller skickas i tjänsten från anställd vid universitetet Inkorg och utkorg Privata meddelanden är inte allmän handling E-post till en viss person är inte automatiskt privat Skräppost är inte allmän handling

Allmän handling Exempel: Jag vill ta del av uppgifter om examinerade lärare vid lärosätet, och begär därför kopior av allmänna handlingar med nedanstående precisering: Examenslistor eller motsvarande handlingar som innehåller namn och personnummer för samtliga lärare som examinerats vid lärosätet sedan 1990, alternativt så länge som lärarutbildningen funnits vid lärosätet. Hej! jag önskar ta del av korrespondens på mejladresser registrerade på Uppsala universitet. Jag ber er behandla min begäran skyndsamt. Jag vill ha alla mejl till och från följande adresser och mellan 1-30 april 2014:...

Att skicka e-post lika säkert som att skicka vykort Undvik att blanda arbetspost och privat e-post Det finns alltid risk att andra kan ta del av meddelandet Det är lätt att skicka till fel mottagare av misstag Känsliga personuppgifter ska skickas krypterade Sekretesskyddade uppgifter bör inte skickas med e- post E-post får inte automatiskt vidaresändas utanför UU

All e-post är inte äkta Några möjliga varningstecken: Frågor om personlig information: ditt användarnamn, lösenord, koder, kreditkortsnummer Hot med negativa konsekvenser: Ditt konto kommer att stängas / låsas / tas bort om du inte.. Länkar i e-posten: Nätfiskelänkar går ofta till helt andra ställen än de ser ut att göra. Var uppmärksam om möjliga risker innan du klickar på en länk. Skydda dig! Svara inte skicka istället det misstänkta brevet till security@uu.se eller ring oss, anknytning 7560.

All e-post är inte äkta

All e-post är inte trevlig Hot, stalkning eller trakasserier i e-post Ta inte bort meddelandet Svara inte Skicka e-postmeddelandet till security@uu.se eller ring oss, anknytning 7560

Sociala medier och molnet

Sociala medier Ett sätt att kommunicera, skapa relationer, främja dialog och dela kunskap

Sociala medier Samma regler som för e-post-kommunikation men med fler och okända mottagare Allt mer ihopkopplade Höga förväntningar på snabbhet Koll på allmän handling arkivering gallring? Inga sekretessbelagda uppgifter Undvik personuppgifter Myndigheten eller privatperson? Använd inte privatkonto i tjänsten eller tjänstekonto privat

Sociala medier Vem är du när du skriver i tjänsten eller privat? Vad och hur skriver du? Vem är det som läser? Lätt att missuppfatta eller feltolka Lätt att sprida vidare Publicering av bilder Kartlägga någon är lätt Svårt att få bort

Molntjänster

Molntjänster Ställer krav på dig som användare! Vilken typ av information? Vem äger, når eller får använda informationen du har i molnet? Sekretess och känsliga personuppgifter ska inte finnas i molnet Universitetets handlingar får inte förloras På vilket sätt ska tjänsten användas? Läst avtalet?

Kryptering och digitala signaturer

Kryptering Är algoritmer som bland annat möjliggör: Skicka meddelanden som är oläsbara för andra än avsändaren och mottagarna Säkerställa avsändarens identitet Säkerställa att information inte är ändrad Göra information oläsbar för ej behörig

Kryptering Är grunden för mycket vi gör: När du surfar på nätet och https används När du använder din internetbank När du deklarerar på nätet Massor av annat

Kryptering Begrepp bra att känna till: Asymmetrisk kryptering publik & privat nyckel Symmetrisk kryptering hemlig nyckel Certifikat utfärdat av betrodd part Nyckellängd

Kryptering ett exempel Avsändaren krypterar Mottagaren dekrypterar

Kryptering Inom Universitetet kan du använda kryptering: För att skicka krypterad e-post För att kryptera dokument För att skriva under dokument För att kryptera hårddiskar och USB-minnen Det finns riktlinjer och instruktioner framtagna för dessa ändamål i Medarbetarportalen

Digital signering Används för två ändamål: Kontrollera avsändarens identitet är äkta Kontrollerar att innehållet inte är förändrat efter signeringen Sigillet Namnteckningen

Kryptering av hårddiskar USB-minnen och externa hårddiskar har oftast medföljande krypteringsmöjlighet Windows-PC har BitLocker förinstallerat men det behöver aktiveras Mac-datorer har filevault förinstallerat men det behöver aktiveras Dator Extern hårddisk USB-minne

Kryptering och signering av e-post Det finns två olika möjligheter inom universitetet: PGP S/MIME Båda dessa kräver att mottagarna också använder samma teknik

Kryptering och signering av e-post PGP Förstagångsinstallation: Hämta och installera programvaran OpenPGP Generera dina nycklar Ladda upp din publika nyckel på nyckelserver Hämta publik nyckel på de du skall maila till Fortsättningsvis: Skicka / ta emot krypterade och signerade mail Beskrivningar finns i Medarbetarportalen

Kryptering och signering av e-post S/MIME Förstagångsinstallation: Identifiera dig med ID-handling (körkort/pass) Beställ certifikat från SUNET TCS Personal Ladda ner och installera certifikatet Ställ in e-post programmet (exempelvis outlook) Fortsättningsvis: Skicka / ta emot krypterade och signerade mail Beskrivningar finns i Medarbetarportalen

Signering av pdf-dokument

Kryptering och digitala signaturer avslutningsvis Viss e-post ska krypteras, alternativt använd andra sätt att kommunicera Använd kryptering på USB-minnen och externa hårddiskar dom kan lätt komma på avvägar Överväg hårddiskkryptering av din dator speciellt om den är bärbar exempel BitLocker eller filevault Känner man sig osäker kontakta säkerhetsenheten för rådgivning

Loggning och spårbarhet

Loggning och spårbarhet Ur Allmänna regler för användning av användarkonton och datornät: För allt bruk av universitetets datornät gäller att trafikmetadata sparas för användning vid felsökning eller vid misstanke om brott mot gällande lagar och regler.

Demonstration i mån av tid

Riskhantering

Riskanalyser, informationssäkerhet.. men glöm inte att värdera de risker som finns?

Informationsklassning

Nulägesbedömning

Risk- och sårbarhetsanalys

Arbetsform

Sammanfattning

Avslutningsvis - 10 snabba råd att lägga på minnet 1.Se till att din dator och dina mobila enheter hålls uppdaterade. Gamla programversioner som innehåller sårbarheter gör att din dator/dina mobila enheter kan utsättas för skadlig kod. 2.Var rädd om ditt lösenord! Universitetets riktlinjer för lösenordshantering ger god vägledning. 3.Se upp med nätfiske (s.k. phishing) som via falska e-postbrev eller webbformulär försöker lura av dig personliga uppgifter, såsom lösenord, användarnamn, kontonummer eller koder. Många av de aktörer som ägnar sig åt sådan verksamhet har utvecklat en stor skicklighet i att använda logotyper och falska formulär som ser trovärdiga ut. Universitetets IT-personal frågar aldrig efter ditt lösenord i e-post. 4.Surfa med omdöme! Det kan räcka med att besöka en viss webbsida för att din dator/dina mobila enheter ska smittas med skadlig kod. 5.Lagra inte personuppgifter eller annan känslig informations i molntjänster. Fortsättning följer

Avslutningsvis - 10 snabba råd att lägga på minnet 6.Var noga med säkerhetskopiering! Ta reda på vad som gäller vid din institution beträffande säkerhetskopiering. 7.Installera bara de appar du behöver. Appar som inte uppfyller grundläggande säkerhetskrav gör dina mobila enheter sårbara. 8.Tänk på vad du skickar med e-post det är inte säkrare än ett vykort! 9.Anmäl incidenter till abuse@uu.se alternativt till security@uu.se och kom ihåg att Säkerhetsenheten finns till för er. 10.Hämta vägledning från universitetets riktlinjer.

I Medarbetarportalen Stöd och service Säkerhet Riktlinjer och stöddokument

I Medarbetarportalen Stöd och service IT-tjänster Regler och riktlinjer