IT-Sicherheit in Kreditinstituten

Transkript

1 S Gibt es absolute Sicherheit beim Umgang mit meinen Kundendaten? IT-Sicherheit in Kreditinstituten - ein Praxisbericht der -

2 Ist das überhaupt Thema? Seite 2

3 Datenklau beim Geldabheben: Trotz Milliardeninvestitionen in die Sicherheit bleiben Geldautomaten im Fokus der Diebe 8 Mio. Euro beträgt nach Bankenschätzung der Schaden durch Diebstahl am Geldautomat Ist das überhaupt Thema? Mehr als 500 Mio. Euro erbeutet Moderne Bankräuber knacken keine Tresore mehr. Sie klauen per Mausklick erst die Daten, dann das Geld. In diesem Fall hatte bis im Juni 2013 eine Hackerbande mit dem Decknamen Aquabox Computer mit einem Virus infiziert und Passwörter ausspioniert. Seite 3 Bundesamt für Sicherheit in der Informationstechnik Die Zahl der Straftaten die mit Hilfe moderner Informationsund Kommunikationstechnik begangen werden, steigt weiter. Anstieg um 7,5 % auf fast Fälle in 2012 Spam-Angriff Spam-Angriff auf deutsche Nutzer Spam-Welle am 25. Juni war die größte seit zwei Jahren verbreitet. verbreitet. Die Die s s haben haben Betreffzeilen Betreffzeilen wie wie "Sichern "Sichern Sie Sie Ihre Ihre Kreditkarte Kreditkarte bei bei uns" uns" und und weisen weisen sprachliche sprachliche Mängel Mängel auf. auf. Aktuell Aktuell werden werden betrügerische betrügerische s s (Phishing-Mails) (Phishing-Mails) im im Namen Namen der der Kreditkarten-Phishing Kreditkarten-Phishing gegen gegen n-kunden n-kunden

4 Wir über uns Bilanzsumme: 6,3 Mrd. Euro Geschäftstellen: 62 Mitarbeiter: rd Anzahl Kundenkonten: rd. 526 TSD 4 Kompetenzcenter Firmen-/ Gewerbekunden, Unternehmenskunden/ Kommunen Immobilienfinanzierungen S-LOTSE für Gründer PCs/ThinClients/Laptops Drucker/Multifunktionsgeräte 250 Netzwerkkomponenten (Switche, Router) 140 physikalische bzw. virtuelle Server 70 vernetzte Standorte 70 iphones, BlackBerry, ipads Seite 4

5 Ressortverantwortung Tätigkeiten und Funktionen Geldwäsche Betrugsprävention Wertpapier-Compliance Datenschutz IT-Sicherheit Seite 5

6 IT-Sicherheit Formale Notwendigkeit Eigeninteresse Selbstzweck Seite 6

7 IT-Sicherheit Deutlich gestiegene aufsichtsrechtliche Anforderungen: Bundesdatenschutzgesetz (BDSG) Kreditwesengesetz (KWG) Mindestanforderungen an das Risikomanagement (MaRisk) Sicherer IT-Betrieb (SITB) Business Continuity Management (BCM) Seite 7

8 IT-Sicherheit IT wird überall benötigt Funktionieren ist wichtig Mobilität / Vernetzung mobile devices Schnittstellen sensible (Kunden-) Daten - Finanzen echte Transaktionen Seite 8

9 Gefährdungen der IT-Sicherheit Seite 9

10 Schutz vor Datenverlust Redundante Serverräume Brandverhinderung durch O²-Reduktion Brandmelde- / Feuerlöschanlagen Backup- / Datensicherungssysteme Notfall- und Wiederanlaufpläne für alle kritischen Prozesse im Rahmen des Business Continuity Managements (BCM) Seite 10

11 Schutz vor Datenverlust Mitarbeiter Mitarbeitersensibilisierung und -schulungen Protokollierung kritischer Events Abgestuftes Rollen- und Rechtesystem Mehrstufige Zutrittskontrollen für besonders schützenswerte Räume Administrative Vorgaben (z.b. Vier-Augen- Prinzip) Seite 11

12 Schutz vor Datenverlust Mitarbeitersensibilisierung in Hinblick auf social Engeneering Dritte Zutrittskontrollen Hoher Passwortschutz bei allen sensiblen Anwendungen/Systemen Verschlüsselte Datenübertragung im eigenen Netz der n zwischen den Geschäftsstellen, der Hauptstelle und dem Rechenzentrum Port Security Seite 12

13 Schutz vor Datenverlust Verschlüsselte mobile Endgeräte Dritte Firewalls/Virenschutz Strenge Vorgaben für den Einsatz von Hardund Software (Validierung, Freigabeprozesse) Deaktivierung von Funktionen in Hard- und Software um Gefahren im Vorhinein auszuschließen (z.b. Flash-Player, DVD- Laufwerke, USB-Ports) Seite 13

14 Schutz vor Datenverlust Kunde Sensibilisierung der Kunden z.b. über aktuelle Sicherheitshinweise auf unserer Hompage Seite 14

15 Schutz vor Datenverlust Anti-Skimmingmodule im SB-Bereich Kunde Bauliche Maßnahmen im Geschäftsstellenbereich (z.b. Sichtschutz für PIN-Eingaben am SB-Gerät, vor unbefugtem Zugriff geschützte Einwurfkästen für Überweisungen) - Überweisungen sicher abgeben/einwerfen Nutzung sicherer Legitimationsverfahren im Online Banking (Chip-Tan, Push-Tan, HBCI) Nutzung aktueller Updates und Patche Vorsicht bei der Aufforderung, sensible Daten einzugeben z.b. auf vermeintlichen n Internetseiten Seite 15

16 Schutz vor Datenverlust aber: Kunde kein direkter Einfluss auf das Kundenverhalten, hier ist der Kunde gefordert Der Kunde muss durch Sensibilität und Aufmerksamkeit selbst dazu beitragen, dass seine Daten sicher bleiben Seite 16

17 Institutionalisierung Sollrollenkonzept Dokumentationen SPARKASSE SAARBRÜCKEN Informations -sicherheitsbeauftragter Business Continuity Management Drehbuch für Notfallübungen Umsetzung von FI- Regeln Schreibtischübungen Planspiele Praxistests Anbindung an S-CERT Informations -sicherheitsausschuss Sicherer IT-Betrieb Seite 17

18 Institutionalisierung Ziel Seite 18

19 Fazit IT-Sicherheit in Kreditinsituten ist Seite 19

20 Fazit Sensibilität und Anforderungen steigen 100 % Sicherheit nicht möglich Kunden erwarten moderne, mobile und schnelle Vertriebs-, Informations- und Transaktionskanäle mobile banking hohe Verfügbarkeit Reflektion Kundenseite Datentechnik als Bonitätsrisiko Seite 20

21 Vielen Dank für Ihre Aufmerksamkeit Kontakt: Seite 21