IT-Security. Quelle: blob%3dnormal%26v%3d3

Transkript

1 Quelle: blob%3dnormal%26v%3d3

2 Who am I? Carsten John system administrator, at the MPI since 2004 IT safety representative since 2010 focus: network, UNIX server, security

3 Agenda background harassments mobile data storage notebook encryption questions

4 background nowadays we heavily depend on the flawless function of the IT infrastructure laws and provisions we see more and more incidents happen

5 german law 2 Abs. 2 BSI-Gesetz(2) Sicherheit in der Informationstechnik im Sinne dieses Gesetzes bedeutet die Einhaltung bestimmter Sicherheitsstandards, die die Verfügbarkeit, Unversehrtheit oder Vertraulichkeit von Informationen betreffen, durch Sicherheitsvorkehrungen in informationstechnischen Systemen oder Komponenten oder bei der Anwendung von informationstechnischen Systemen oder Komponenten. 9 BDSG mit Anlage Sicherheitsmaßnahmen für personenbezogene Daten...haben die technischen und organisatorischen Maßnahmen zu treffen, die erforderlich sind, um die Ausführung der Vorschriften dieses Gesetzes, insbesondere die in der Anlage zu diesem Gesetz genannten Anforderungen, zu gewährleisten.

6 german law 9 BDSG mit Anlage 2. zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle), 3. zu gewährleisten, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle), 4. zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, (Weitergabekontrolle) Eine Maßnahme nach Satz 2 Nummer 2 bis 4 ist insbesondere die Verwendung von dem Stand der Technik entsprechenden Verschlüsselungsverfahren.

7 Quelle: Heise Online

8 Source:

9 HARASSMENTS unintentional: intentional: - act of God - human error - organizational error - technical error - theft - fraud - extortion - espionage - sabotage

10 IT Security act of God

11 IT Security human error simple error

12 human error top 5 passwords(study 2011) password qwerty abc123 Quelle:

13 Excursion secure passwords minimum of 8 characters combination of small and capital letters special characters ($%& \/)may cause problems (depends on application) example: zah0af7u don't use your MPI (TUX) password for foreign services

14 Excursion secure passwords Sources:

15 Excursion secure passwords how to remember my password? take a sentence easy to remember for you, eg: On my way to the MPI I'm always barked at by a dog replace some letters by numbers result: 0mwttM1abab1d

16 Excursion secure passwords software to store passwords KeePass Password Safe ( stores password encrypted with AES on your Computer, Smartphone etc.(linux, Windows, Mac-OS, Android, Symbian, IOS, Blackberry) only as secure as the Master Password

17 Excursion secure passwords KeePass

18 IT Security human error negligence

19 human error gross negligence

20 1.) Die Konfiguration eines Passwortes in einen Pop3-Sammeldienst stellt einen schwerwiegenden Verstoß gegen die Passwortregeln der MPG dar. Dies sehen übrigens viele andere Einrichtungen genauso (Ich sage das, um dem Argument vorzubeugen, nur bei der MPG sei das verboten). 2.) Die automatische Weiterleitung aller dienstlichen s an einen externen Dienstleister stellt einen Verstoß gegen datenschutzrechtliche Vorgaben (soweit es sich um personenbezogene Daten handelt) und gegen die allgemeinen arbeitsvertraglichen Verschwiegenheitspflichten (soweit es sich um interne Informationen der MPG handelt). Siehe auch: Gerade bei amerikanischen Dienstleistern (oder europäischen Töchtern derselben) muss auch immer damit gerechnet werden, dass diese Daten an amerikanische staatliche Stellen weitergegeben werden. Sowohl Google als auch Microsoft haben dies in der Vergangenheit gemacht (und zugegeben). Quelle: Prof. Dr. Rainer W. Gerling, Datenschutz und IT-Sicherheitsbeauftragter der MPG

21 IT Sicherheit human error carelessness

22 carelessness nowadays everything is in the cloud that is, storing and processing data on unspecified servers in the internet

23 Cloud Quelle: Computerwoche

24 IT Security Telling consumers their data is in the cloud is like telling a kid his dog has gone to doggie heaven. There is no doggie heaven, and your data isn't in a cloud. It's in a windowless, fortress-like data center somewhere in the rural U.S.

25 IT Security carelessness all these services have one common feature they are for free?!

26 IT Security carelessness cloud services the business model is based on collecting data, data mining, selling data think about it! you pay with your data, it's not really for free

27 social networks Quelle:

28 social networks many users enter data carelessly into social networks a remarkable number of social network accounts are faked even third party relations are exhibited due to the carelessness of users

29 social networks Quelle:

30 social networks Source: Source:

31 social networks Quelle:

32 social networks Quelle:

33 theft

34 theft problems loss of primary data without backup loss of individual-related data with legal issues damage to organizations public image monetary damage

35 fraud (419er, Nigeria Connection)

36 fraud (Phishing)

37 fraud

38 espionage in most cases it's the competitor it might be a foreign government depending on the origin, the expertise of the attacker varies theft of hardware is not uncommon to get access to data

39 sabotage ideological reasons Quelle:

40 sabotage extortion Source:

41 sabotage competitor Quelle:

42 sabotage cyber war Quelle:

43 sabotage unhappy employee Quelle:

44 sabotage just for fun (!?) Quelle:

45 mobile storage devices

46 mobile storage devices highly exposed to: miss (theft, loss) espionage technical defect (do you have a backup?)

47 mobile storage devices loosing a mobile storage device usually causes trouble: perhaps, there is no backup unintentional data flow (espionage) legal issues (individual-related data) image loss

48 mobile storage devices image loss Quelle:

49 mobile storage devices image loss what about that headline:

50

51 IT-Sicherheit mobile storage devices notebooks are on high risk the digital scientific nomad of the 21st century carries it around all over the world full of valuable data everybody likes to have one easy to carry (...away) it's valuable (even without the data)

52 mobile storage devices VIP notebooks are on even higher risk devices are supposed to be more expensive devices contain individual-related data more attraction for Joe Average Thief addresses, reviews etc. devices contain valuable scientific data (the final draft of the next paper?)

53 mobile storage devices encryption is the only way to go ordinary theft is reduced to the material damage no image loss no unintended data flow the unintended installation of software (by third parties) is aggravated

54 mobile storage devices encryption of notebooks all MPI notebooks are to encrypted by default problem: some countries have banned encryption or force you to decrypt when entering the country

55

56 encryption there is no alternative to encryption of notebooks employees are demanded to check the local regulations before travelling if there are problems to expect, an unencrypted, freshly installed notebook will be provided by the IT staff

57 IT-Sicherheit?