Mobile Security und Risikomanagement im Lifecycle

Transkript

1 Mobile Security und Risikomanagement im Lifecycle

2 Template und Logos copyright HIC AG OSSTMM Schemas and Pictures cc-by-nd & OML by ISECOM Pete Herzog! Photos cc-by-sa Joerg Simon&Diana Fong for the Fedora Projects 2 2

3 In CommSec people are as much a part of the process as are the machines. derived from ISECOM, OSSTMM

4 Security vorgestern physical technical Firewall IDS, HIDS Antivirus Security GW Screening Router Spamfilter Multi-level Authentication VPN Quelle: Pete Herzog ISECOM 4 4

5 schlechte Gewohnheiten? Quelle: Pete Herzog ISECOM 5 5

6 Security 2.0 gestern manchmal noch heute ;) Compliance & Audits! Compliant sein? Audit bestehen? Compliant aber blockiert? Nicht compliant deshalb blockiert Best Practises? Copy Paste Security? Quelle: OSSTMM ISECOM 6 6

7 Security 3.0! - Heute! Cloud Social Media Mobile Plattform 7 7

8 Security 4.0? Die Security-Industrie wird sich was einfallen lassen ;) 8 8

9 Herausforderung Security 3.0 Mobile Security Quelle: BSI 9 9

10 Smartphones / Marktübersicht 10 10

11 Das Dilemma mit den Hersteller-Implementierungen! Sensation, Sensation! Aktuelle News der letzten 3 Monate! Googles Android-Sicherheitstool mit Trojaner infiziert! iphone verloren, Passwörter weg! Pwn2Own, die zweite: iphone und Blackberry gehackt! BSI warnt iphone-nutzer vor PDF s! ZeuS-Trojaner - nach Symbian, BlackBerry und Windows Mobile nun auch Android-Smartphones infiziert! Die Wahrheit über SecurityControls! Baue eine bessere Mausefalle, um die Ecke kommt eine bessere Maus! Mache es Idiotensicher und um die Ecke kommt ein besserer Idiot! 11 11

12 Compliance not ready! Gesetze, Standards, Firmen-Policies Zugangskontrolldienstegesetz Vertragliche Vereinbarungen Betriebsverfassungsgesetz ggf. Betriebsrat Teledienstegesetz IT Baseline Protection Manual(BSI), ISO (BS 7799), ISO 27001, GAO, FISCAM, NIST 800 B Mobiltelefon [1] Mobile Security - Zusammenfassung BSI [2] BSI Studien [3] 12 12

13 Herausforderung Security 3.0 Apps & Social Media!? 13 13

14 Herausforderung Security 3.0 Cloud (Googles first Webfarm/Cloud) 14 14

15 [ how much security do you really need? ]

16 [ Operationsfähig bleiben ] OpSec == Schutz vor Gefahr/Risiko verletzte Schutzziele! nicht Compliant sein! Auswirkungen? HIC Audit Services 16 16

17 Security Management / Lifecycle 17 17

18 RAV als Treibstoff für den Lifecycle! z.b. OSSTMM by ISECOM Messbarkeit, Vergleichbarkeit, Nachvollziehbarkeit Berücksichtigt das operationelle Risiko nicht nur Schwachstellen! Treibstoff für Ihr ISMS nach ISO27001 Quelle: OSSTMM ISECOM 18 18

19 RAV Quelle: OSSTMM ISECOM 19 19

20 Branchen Vergleich RAV Industrie Military Banken/Versicherungen Software-Vendors Politik 74,49% 97,16% 84,36% 73,12% 76,58% 20 20

21 - Visibility - Access - Trust [ porosity ] 21 21

22 Vertrauenstellungen/Trust Erinnern Sie sich? 22 22

23 Security 3.0 = new Trusts! Cloud, Apps, Social Media&Collaboration? Trusting everyone is insecure but not trusting anyone is inefficient OSSTMM

24 Fedora-Calendaring Fedora-Bugzilla Fedora- Koji&Bodhi Fedora- Gobby Fedora- People Fedora- Hosted Fedora- IRC Fedora- Planet Fedora- Voice Fedora-Mailing-Lists Fedora- Fedora-Wiki Trust hat Konsequenzen! Fedora Account System FAS

25 Fedora Project Ein Beispiel für Trust! Fedora Code hat 30 Mio. Nutzer! Common Platform FAS über 400 commit Groups ~25000 aktive Contributors 25 25

26 Trust Property Was ist Trust/Vertrauen? keine Emotion! eine Entscheidung! funktioniert nicht quantifizierbar zwischen Menschen! Falsche Trust Properties Risiko bei Vertrauensverlust? no Control = Blind Trust! Quelle: OSSTMM ISECOM 26 26

27 Trust! There are only 2 ways to steal something: either you take it yourself or you have someone else take it and give it to you OSSTMM

28 Do you know your trusts? Size Visibility Value Integrity Subjugation Symmetry Offsets Consistency Components Porosity 28 28

29 Tom the Cat is calling home 29 29

30 Tom the Cat is calling home 30 30

31 [ controls ] 31 31

32 [ limitations ] 32 32

33 OSSTMM Risk Assessment Value Quelle: OSSTMM ISECOM 33 33

34 Verteilung RAV RAV 34 34

35 RAV

36 Security Management / Lifecycle 36 36

37 Informationen bug me Der interessierte Sicherheitsverantwortliche ist eingeladen, sich über die Änderungen und Neuerungen des OSSTMM 3.0 in meinem Artikel zu informieren: Infosecisland.com OSSTMM logos and schematics are licensed cc-by-nd and OML by ISECOM Presentation Template incl. HIC-Logo copyright by HIC AG original Backgrounds licenced cc-by-sa by Joerg Simon for the Fedora Project 37 37

38