Informatiksteuerungsorgan Bund ISB Nachrichtendienst des Bundes NDB Melde- und Analysestelle Informationssicherung MELANI.

Transkript

1 Informatiksteuerungsorgan Bund ISB Nachrichtendienst des Bundes NDB Aktuelle Bedrohungen und Herausforderungen Marc Henauer Finance 2.0, 21. Mai 2014

2 Agenda 1. Die aktuelle Bedrohungslage 2. Der Paradigmawechsel 3. Schlussfolgerungen

3 Informatiksteuerungsorgan Bund ISB Nachrichtendienst des Bundes NDB Die aktuelle Bedrohungslage

4 Risiken und Bedrohung Zunahme der Bedeutung der Informationstechnologie für Geschäftsprozesse und Finanztransaktionen Zunahme der Teilnehmer an diesen Prozessen, zunehmende Vernetzung Zugang zu immer mehr wertvoller Information wird möglich Zunahme der Möglichkeiten it für Betrug, Spionage, Erpressung, Sabotage Auftreten neuer Akteure (z.b. Organisierte Kriminalität, Staaten) Anpassung der Motive und Methoden bestehender Akteure: kommerzieller Gewinn, Know-how Transfer, politische Motive

5 Krimineller Opfer Internet Auch ein Krimineller

6 Einmal infiziert ist alles möglich Der Angreifer hat alle Möglichkeiten des eigentlichen Benutzers. Zugriffe auf die gleichen Daten und Files, egal ob lokal oder auf Netzwerken. Er besitzt dabei auch die gleichen -Kontakte, Benutzernamen, Passwörter und Kreditkartennummern. Und noch vieles mehr...

7 Informatiksteuerungsorgan Bund ISB Nachrichtendienst des Bundes NDB Von der IT-Sicherheit zur Informationssicherheit

8 Was alleine nicht (mehr) genügt g Antivirensoftware Updates für Betriebssysteme und Applikationen Off-Line-Netzwerke

9 Vom Umgang gmit Cyber-Risiken Heute V B S R

10 Cyber Risiken im Gesamtkontext Sicherheitsmassnahmen Or rganisatorisch Personell (IT-)Technisch Physisch h Entscheidet über die Implementierung der geeigneten Sicherheitsmassnahmen Geschäftsleitung Versteht das Gesamtrisiko für Cybereinen Risiken Prozess = Risiken die sich durch den Einsatz von IT zur Unterstützung von Prozessen ergeben. Physisches Risiken (IT-)Technisch Personelle Risiken Cyber Risiken

11 Informatiksteuerungsorgan Bund ISB Nachrichtendienst des Bundes NDB Schlussfolgerungen

12 Im Fokus stehen Daten = Personell, Physisch, IT und Organisatorisch Wer hat Zugriff auf was? Und wie werden diese Mitarbeiter genau ausgewählt, überprüft und allenfalls überwacht? Existieren Klassifizierungen? Wo sind unterschiedlich klassifizierte Daten gespeichert? Und wer hat die Verantwortung dafür? (Cloud-Services) Welche Kanäle werden gebraucht, um welche Daten zu senden oder um sie verfügbar zu machen? Welche Daten werden öffentlich oder intern publiziert? (Facebook: Social Engineering) Das Schutzbedürfnis der Information diktiert das entsprechende Schutzniveau. Dieses soll unter Einbezug und Austarierung aller Risikofaktoren erreicht werden.

13 Schlussfolgerungen Prinzipiell gilt: Wenn ein Markt oder Wille existiert, wird Information gestohlen. Neue digitale Verkaufskanäle eröffnen neue, technische Angriffsvektoren. Dabei wird die IT-Sicherheit immer den Entwicklungen hinterher laufen. Nur ein integrales Risikomanagement, welches sich auf alle Elemente eines Prozesses fokussiert, kann zu einem besseren Informationsschutz führen. Risikomanagement ist Aufgabe der Geschäftsleitung. Der Staat unterstützt dies, in dem er seine Informationen im Cyber-Bereich zentralisiert und bedarfsgerecht zur Verfügung stellt. Compliance und Auflagen nur dort wo branchenspezifisch h identifiziert.

14 Fragen?