silicon mountains DATENDIEBSTAHL IN GROSSEN UNTERNEHMEN

Transkript

1 silicon mountains DATENDIEBSTAHL IN GROSSEN UNTERNEHMEN

2 Ziele der Präsentation 1 2 Bedrohung welche Daten sind betroffen Welche Daten sind betroffen, wie findet der Angriff statt, warum kommt die Gefahr nun auch von innen? Konsequenzen was bedeutet ein Datenverlust 3 Was kostet ein Datenverlust direkt und indirekt? Welcher Handlungsbedarf entsteht? Prävention was kann dagegen gemacht werden Welche Massnahmen kann ein Unternehmen mit realistischem Aufwand ergreiffen Bedrohung 2

3 Welche Daten sind interessant? Kunden-Daten Konto-Daten Steuer-Daten Bürger-Daten Personen-Daten Personal-Daten Benutzer-Daten Gesundheits-Daten Firmen-Daten Konstruktionspläne Produktdetails Forschungsdaten Entwicklungsdaten Preis-Informationen Verträge Protokolle Beispiel: Die Kosten für Produktentwicklung bewegen sich schnell zwischen Mio KMU Produkt Neue Uhr Neue Maschine 1 Mio 10 Mio 100 Mio Neues Medikament Mio Realbeispiel: CH Uhrenfirma will Konstruktionspläne neuer Uhren und Personaldaten ihrer Uhrenmacher schützen. Ein Verlust dieser Informationen könnte existenzbedrohend sein. DATENDIEBSTAHL BESCHRÄNKT SICH NICHT AUF BANK-KUNDENDATEN! Bedrohung

4 Wo kann der Angriff erfolgen? Improve Policy Bestechung Bestechung durch Dritte zur Herausgabe von Daten Physische Datenklau via physischen Druck- Output Organisiertes Verbrechen durch Feind Phishing Phishing Kunde Trojaner Social Attack Bot Netze aufgebaut durch Trojaner Zugriff auf Daten durch sozialen Kontakt DMZ Mitarbeiter Datenklau USB Datenträger oder Bluetooth Mobile Datenklau via PrintScreen oder Foto Druck Elektonische Dateien Foto Daten Man in the Middle Denial of Service Überlastung von Systemen durch konzentrierten Angriff Unerlaubte Mithörer und Akteure Sicherheit Applikationen Verzeichnis Awareness Prepare Prevent Forensic Mail Datenklau Mail Versand Mail Bedrohung Kein Anspruch auf Vollständigkeit

5 Konsequenzen Neue Studie(2010) des US Institutes Ponemon. Schweiz dürfte irgendwo zw. USA und DE liegen Schweiz Konsequenzen gestohlener Daten? Reputation Reputationsverlust Verlust von öffentlicher Unterstützung Beziehung Beziehung zu Kunden, Mitarbeitern und Staat gestört Kosten / Datensatz [in US$] USA DE FR AU GB Vertrauen Vertrauen beschädigt Kosten / Fall [in Mio US$] 5 Werte Geschäftsminderung durch Verlust Schadenersatzforderungen (indirekt) USA DE FR AU GB

6 Konsequenzen Wer muss handeln? Konsequenzen: schlimm bis existenzbedrohend DLP ist eine unternehmensweite Lösung Die Realisierung beinhaltet verschiedene Technologien Der Betrieb braucht gute Governance Resultate lösen Massnahmen aus Massnahmen können Einfluss auf Geschäftsprozesse nehmen Budget wird benötigt Die Erwartungshaltung muss gemanagt werden Datenschutz ist Chef-Sache

7 Konsequenzen Ist Datendiebstahl ein Geschäftsmodell? Schweiz = Dienstleistungs- und Wissensgesellschaft Wissen und Daten sind Kapital und haben einen Wert Schweiz ist Nr. 3 weltweit in Innovation Innovation hat einen Wert Identitätsdiebstahl erlaubt Zugriff auf direkte Vermögenswerte Wo so viel Werte involviert sind, werden «Gelegenheiten» genutzt Bei vielen «Gelegenheiten» entstehend Geschäftsmodelle!

8 Prävention Wo ist DLP? Data Object Protection Awareness Policy Prepare Prevent Forensic Improve Prozess Erkennen der Schutzobjekte Umgang mit der Bedrohungslage definieren Need to Know und ähnliche Grundsätze verankern Geeignete Prevent- Systeme etablieren und auswerten Forensische Methoden zur Identifizierung von Problemstellen Lessons learned Verbesserungs- Vorschläge Verständnis der Bedrohungslage Aufgabe Abstecken des Handlungsfeldes im Rahmen gesetzlicher und regulatorischer Vorgaben Voraussetzungen für geringe Eintretens- Wahrscheinlichkeit treffen Systemische Unterstützung durch IT und Prozesse vorbereiten Sammeln von Beweisen für die Einleitung weiterer Schritte Kontinuierliche Anpassung an veränderte Bedrohungslage q Analyse der Objekte q Kategorisier -ung der Objekte q Feind Erkennung q End to End Risiko-Mgmt q... q Datenschutz- Strategie q Weisungen und Richtlinien q Privatnutzung von geschäftlichen Ressourcen definieren q... q Ausbildung q Mitarbeiter q Kunden q Partner q Sicherheitsüber- Prüfungen BPSP (Externe), PSP (MA) q Physischen Zugang auf das Notwendige reduzieren q Identity Mgmt q Authorisation Mgmt q Systeme härten q Data Loss Prevention (DLP) Systeme q Digital Rights Mgmt (DRM) Systeme q Zentrale Log Systeme q Datensicherung q Datenauswertung q Datenbeschaffung Auslesen von Daten q... q Lessons learned q Schwachstelle n-analyse q... q... q Integritäts- Sicherung Massnahmen q...

9 Prävention Welche Daten können kontrolliert werden? Bekannte persönliche Daten Beschreibbare Daten (z.b. Kontonummern) Text-Teile, grössere Inhalte (z.b. Krankheitsdiagnosen, Protokolle, Verträge) Keywords (z.b. unerwünschte Wörter) Klassifizierungen (z.b. GEHEIM ) Lexikalische Annäherungen (z.b. Wortlaut eines Vertrages) Typen (z.b. Konstruktionspläne) Nicht prüfbare Daten (verschlüsselte Dateien)

10 Prävention Wie funktioniert DLP? Roaming Data erlaubt die Zugriffskontrolle auf Daten ausserhalb des Unternehmens Improve Policy Bestechung Social Attack Data in Use erlaubt die Kontrolle der Daten während der Bearbeitung Data in Use Mitarbeiter Physische Data Printed erlaubt die Kontroller von Druck, Fax und rer Feind Roaming Phishing Kunde Data Trojaner Man in the Middle DMZ Elektonische Druck Dateien Foto Daten Data at Rest findet und remediert gespeicherte Daten im Unternehmen und reduziert so die «Gelegenheiten» Denial of Service Sicherheit Mail Applikationen Mail Verzeichnis Awareness Prepare Prevent Forensic late adaptor early adaptor First mover Data in Motion schützt die Grenzen des Unternehmens und verhindert ungewollten Datenabfluss

11 Prävention Wie wird vorgegangen? Erfahrung über alle Kunden 1 2 Analyse wo können Daten abwandern? Quantifizierung wie gross ist das Problem? Opportunitäten Es gibt zahlreiche Möglichkeiten Zahlreich die hohe Anzahl erstaunt immer Sensibilisierung User gegen Unvorsichtigkeit schulen Überwachung ungewünschte Datenabflüsse anzeigen Prävention ungewünschte Datenabflüsse verhindern Verfolgung Verursacher belangen Bedarf kontinuierliche Weiterbildung für Mitarbeiter ist notwendig Komplexität ist kleiner als zu erwarten wäre Potential ist hoch für automatische Prävention Beseitigung entfernen kritischer Elemente bevor Daten abfliessen

12 Warum wird nicht mehr gemacht? Rechtlich & Akzeptanz Datenschutz persönlicher Daten DLP mit kontrollierten Regeln ist das Einzige, was belegbar die Gratwanderung zwischen Schutz von Geschäftsdaten und Schutz von Persönlichkeitsdaten schafft Erfahrung zeigt: dass Mitarbeiter Interesse haben, die Geschäftsdaten zu schützen und DLP sehr gut aufnehmen Komplexität Aufbau ist relativ einfach Die verfügbaren Produkte machen den Aufbau von DLP relativ einfach Betrieb ist machbar braucht zu Beginn entsprechende Spezialisten, kann teilweise aber automatisiert werden Prävention 12

13 Prävention DLP ist die Basis DRM, ERM Classification Dateien, DB s, Ressourcen DLP Infrastruktur ist die Basis für weiterführende Sicherheits-Lösungen DLP

14 Q&A Silicon Mountains GmbH Standnummer 6.06a