Social Engineering ett av de största hoten mot din verksamhet Hans Danielsson Engagement Manager Combitech
Social Engineering Security Awareness 2015-05-27 Hans Danielsson Engagement Manager Cyber Security hans.danielsson@combitech.se
Vad är Social Engineering? You re driving a bus with 30 people on board. The bus stops to pick up three passengers and drop off 12. At the next stop, it picks up Vem körde bussen? five passengers and drops off seven. Further along, five passengers get on, but only one gets off. Twelve minutes later, the bus finally arrives at the terminus. 4
Varför används Social Engineering? Det är enkelt och väldigt effektivt 5
Hur fungerar det? 1. Informationsinhämtning 2. Planering 3. Utförande Bitar av betydelselös information Vilka sårbarheter finns och hur utnyttjar vi dem? Fysiska (Walk-in, USB) Distans (Telefon, mejl osv.) 6
Olika angripare och metoder Short Cons Long Cons
Inhämtning Sociala medier I verkliga livet (AFK) 8
Exempel planering Hejsan Bosse Jag hörde från min kollega Ewa på HR att du också ägnar dig åt flugfiske. Du kanske är intresserad av den här resan? Mvh Emma http://www.nordicfootprints.com/se/fiskeresor.php 9
Utfall 10
Varför fungerar det? Mänskliga svagheter. Inte klantigheter Respekt för auktoritet Hjälpsamhet Tilltro Jag har ingen värdefull information 11
Hur ser hotbilden ut? 12
Trender bland angriparna Spear phishing Fungerar som ett modernt företag Helt nya möjligheter att träna 13
Hur försvarar man sig som individ? Före: Vad avslöjar du inför andra? Vilken information lämnar du ut på sociala medier? Under: 1. Brukar du bli kontaktad på det här sättet? 2. Vilken information efterfrågas? 3. Vet du vem den här personen/organisationen är? 4. Måste du svara nu? Efter: Incidenthantering 14
Hur skapar vi säkra medarbetare 15
För min organisation stämmer följande 1. Det finns ingen formell utbildning avseende Informationssäkerhet på mitt företag 2. Det finns en grundläggande utbildning som alla medarbetare har genomfört 3. För medarbetare som är särskilt utsatta eller hanterar känslig information finns en mer avancerad utbildning 4. Vi testar och mäter de anställdas beteende
Hur stor andel av incidenterna orsakas av de anställda? 20% 40% 60% 80% 100%
Investera där de tyngsta behoven finns I takt med att de ekonomiska ramarna blir stramare är det angeläget att de satsningar som görs på skydd verkligen träffar där de tyngsta behoven finns. Att utveckla säkerhetsmedvetandet hos all personal kan därför ses som en god investering 18
Hur jobbar vi med säkerhet? Komplexa säkerhetslösningar Orimliga krav Utmaning för ledningen att förstå komplexa begrepp och konsekvenser One size fits all Vi som skyddar lever på nya och värre hot 19
Mänskliga egenskaper Riskaversiva ~7% Risksökande ~7%
Vad behöver vi göra? Förstå dina användare Förklara hur tekniken påverkar Arbeta top-down & bottom-up Sälj in budskapet Arbeta bort workarounds och förbättra kommunikationen Inga enkla och allmängiltiga lösningar, undvik one size fits all Arbeta långsiktigt och proaktivt Gör det enkelt för ledning att stödja ditt arbete 21
Vilka metoder behöver vi? Mäta säkerhetsmedvetenhet Testa säkerhet Undersök hur de anställda upplever säkerheten 22
Kan vi mäta de anställdas säkerhetsmedvetenhet? Intentioner Faktiskt beteende Intentioner Faktisk beteende Självuppskattning It is a typical Tuesday in early April and Jens, one of the best salesmen at his company, has just sat down at his computer with his first coffee of the day to start work on a sales report. Jens receives an e-mail.. On a scale of 0 to 10, with 0 being not at all likely and 10 being 100 percent likely, what is the likelihood that you would do what Jens has just done in the outlined scenario? 23
Hur kan vi använda mätningen? 24
Vad uppnår vi genom att mäta? Skapar en organisation som bedriver ett proaktivt säkerhetsarbete Bättre och befästa prioriteringar Ett långsiktigt säkerhetsarbete Ett aktivt stöd av ledningen för ditt arbete 25
Testa säkerheten Social Engineering - metoder: Phishing Telefon Walk-in USB (kombinera med ett tekniskt penetrationstest) Varför ska man testa? Öka inlärningsförmågan Intresset och engagemanget ökar Identifiera nuläget En potentiell risk Resultatet ska absolut inte användas som en tillrättavisning 26
Förstå hur dina användare upplever säkerheten Intervjuer eller workshops: Medvetenhet kring informationssäkerhet Kännedom om säkerhetsregler Uppfattning kring nyttan/besväret Attityd till efterlevnad Praktiska säkerhetsåtgärder Upplevd hotbild och allvarlighetsgrad För att skapa en god säkerhetsmedvetenhet måste du veta vad användarna behöver 27
Cyber Security by Combitech 28
Avslutningsvis: 1. Hitta nuläget 2. Förklara säkerheten 3. Förstå användarna 4. Arbeta bottom-up & topdown 5. Mät och följ upp medvetenheten 6. Använd reminders kontinuerligt
» Cyber Security en förutsättning för trygghet i en allt mer digital och uppkopplad värld «Ledande inom Cyber Security Över 100 konsulter på tio orter Spetskompetens baserad på mer än 40 års erfarenhet Komplett tjänste- och konceptportfölj Branschledande laboratorie- och testresurser Certifieringar: EC/ITSEF, ISO/IEC 9001, 17025, 27001
31
Tack!