Digitale Risiken und Schadenszenarien. Die deutsche Perspektive

Größe: px

Ab Seite anzeigen:

Download "Digitale Risiken und Schadenszenarien. Die deutsche Perspektive"

Edith Böhm
vor 8 Jahren
Abrufe

1 Digitale Risiken und Schadenszenarien Die deutsche Perspektive Robin Kroha Director Corporate Security Management HiSolutions AG

2 Vertrauliche Informationen können in Minuten zu einer Krise führen und das Vertrauen von Kunden zerstören hh mm 2012, HiSolutions AG Digital Risks for Lloyd's 2

3 And now for something completely different: Das BDSG und seine öffentliche Wirkung seit , HiSolutions AG Data Risks Consulting 3

4 Die Lage ist grundsätzlich ernst. Die Zahl der Schwachstellen nimmt ab. Angriffe auf Webanwendungen haben sich verdoppelt. Ca. 24% aller Schwachstellen in kommerziellen Anwendungen haben eine Schwere von 8-10 von 10. Ca. 86% der Webanwendungen sind mit Einschleusungen angreifbar. Bausätze für Angriffe über das Web bleiben beliebt. 2012, HiSolutions AG Data Risks Consulting 4

24% aller Schwachstellen in kommerziellen Anwendungen haben eine Schwere von 8-10 von 10. Ca.

5 Der Paradigmenwechsel wurde vor Jahren verkündet. Er ist jetzt da. 2012, HiSolutions AG Digital Risks for Lloyd's 5

6 Die Auswirkungen des Paradigmenwechsels für Sie? Angriffsziel: Kreditkartendaten Angriffsvektor: Bürocomputer mit Finanzinformationen in einem Hotel Angriffswerkzeug: Trojanisches Pferd mit Fernbedienung Beute: Kreditkartennummern und -gültigkeiten Angriffskosten: US$ 280 für den Code Verteidigung: Keine derzeit findet kein Antivirus die Schadanwendung 2012, HiSolutions AG Data Risks Consulting 6

Angriffswerkzeug: Trojanisches Pferd mit Fernbedienung Beute: Kreditkartennummern und -gültigkeiten

7 Es stehen eine Vielzahl an Infiltrationsmethoden für gezielte Angriffe zur Verfügung. Directory Traversal 0,4% Physischer Zugriff 1,1% Autorisierungsfehler 2,3% Remote File Inclusion 2,7% Admin Interference 4,2% Unsicheres X.25 Interface 0,4% Böswillige Insider 0,4% SQL Injektion 6,9% Unbekannt 19,9% Infiltrationsmethoden Remote Access Application 61,7% Quelle: TrustWave 2012 Global Security Report 2012, HiSolutions AG Digital Risks for Lloyd's 7

8 Datenverlust hat nachhaltige Auswirkungen auf die Unternehmen. Session-Hijacking 2% Link Spam 3% Account-Übernahme 4% Fehlinformation 7% Finanzieller Schaden 7% Informationsleck 34% Auswirkung Malware-Einsatz 9% Entstellung 10% Nutzungsausfall 24% Quelle: Web Hacking incident Database. The Web Application Security Consortium (webappsec.org) 2012, HiSolutions AG Digital Risks for Lloyd's 8

Informationsleck 34% Auswirkung Malware-Einsatz 9% Entstellung 10% Nutzungsausfall 24% Quelle:

9 Ein typischer Krisenfall beginnt mit einem gezielten Angriff und zieht öffentliche Aufmerksamkeit auf sich. 2012, HiSolutions AG Digital Risks for Lloyd's 9

10 Ein typischer Krisenfall beginnt mit einem gezielten Angriff und zieht öffentliche Aufmerksamkeit auf sich. Angriff Problem: Erkennung und Erstreaktion Lösung: IT-Forensik Nutzen: Schnellere Reaktion Bessere Beweismittel Schnellere Rückkehr in den Normalbetrieb Erpressung Problem: Koordinierung der Aktivitäten mit den Behörden zum Schutz der Unternehmenswerte Lösung: IT-Krisenmanagementorganisation Nutzen: Rechtsverstöße vermeiden Missbrauch minimieren Professionelles Wissen nutzen 2012, HiSolutions AG Digital Risks for Lloyd's 10

in den Normalbetrieb Erpressung Problem: Koordinierung der Aktivitäten mit den Behörden zum Schutz der Unternehmenswerte Lösung:

11 Ein typischer Krisenfall beginnt mit einem gezielten Angriff und zieht öffentliche Aufmerksamkeit auf sich. Medien Problem: Interne Quellen Web 2.0 Lösung: Keine - außer Investitionen in Mitarbeiter, eine starke Marke und die Wahrnehmung als guter Arbeitgeber. Ansatz: Bewusstsein für das Thema schaffen und Mitarbeiter aktiv in relevante Prozesse einbinden kostet wenig und schafft großen Nutzen. Öffentlichkeit Problem: Analyse der Interesseneigner Krisenkommunikation Lösung: Integriertes Management von Sicherheitsrisiken Nutzen: Integriertes SRM schützt die gesamte Wertschöpfungskette Risikominimierende Maßnahmen erhöhen die Widerstandsfähigkeit des Gesamtunternehmens 2012, HiSolutions AG Digital Risks for Lloyd's 11

Ansatz: Bewusstsein für das Thema schaffen und Mitarbeiter aktiv in relevante Prozesse einbinden kostet wenig und schafft großen Nutzen.

12 Vielen Unternehmen fehlen grundlegende Organisationsstrukturen, Dokumentation und Technik 2012, HiSolutions AG Data Risks Consulting 12

13 Vielen Unternehmen fehlen grundlegende Organisationsstrukturen, Dokumentation und Technik Angriff Informationen durch forensische Analysen qualifizieren Sicherheitslücke(n) schließen Geschäftsbetrieb wiederherstellen Medien Interne Ermittlungen unterstützen Stakeholder informieren Basis-FAQ nutzen Erpressung Krisenstab organisieren Krise managen Medien beobachten und Reaktion vorbereiten Juristische Einschätzung der Situation unterstützen Öffentlichkeit Medien intensiv bearbeiten Hotline einrichten Juristische und ethische Folgen 2012, HiSolutions AG Digital Risks for Lloyd's 13

Basis-FAQ nutzen Erpressung Krisenstab organisieren Krise managen Medien beobachten und Reaktion vorbereiten Juristische Einschätzung der

14 Si vis pacem Vorbereitung ist der beste Schutz 2012, HiSolutions AG Digital Risks for Lloyd's 14

15 Prävention: Krisenmanagement jenseits von Entführung Information Krisenstabsübungen Security- Krisenplan Problem: Krisen Krisenreaktion werden in ist den dann ersten effektiv, Minuten wenn entschieden die Teams eingespielt sind Lösung: HiSolutions erstellt entwirft, einen moderiert InfoSec- und Krisenplan wertet Krisenstabsübungen aus Nutzen: Unternehmen Das HiSolutions können KSÜ-Rahmenwerk schneller und ist planvoll standardkonform reagieren und die Schäden erlaubt sinken; der hochqualitative, Plan kann auch komplexe Grundlage Übungen für einen allgemeinen auch für schmale Krisenplan Budgets sein Information Security- Krisenplan Problem: Krisen werden in den ersten Minuten entschieden Lösung: HiSolutions erstellt einen InfoSec- Krisenplan Nutzen: Unternehmen können schneller und planvoll reagieren die Schäden sinken; der Plan kann auch Grundlage für einen allgemeinen Krisenplan sein 2012, HiSolutions AG Digital Risks for Lloyd's 15

KSÜ-Rahmenwerk schneller und ist planvoll standardkonform reagieren und die Schäden erlaubt sinken; der hochqualitative, Plan kann auch komplexe Grundlage Übungen für einen allgemeinen auch für

16 Prävention: Management setzt Technik voraus Penetrationstests Problem: Schwachstellen in Internet- und Web- Auftritten werden zum Einfallstor für Angreifer Lösung: HiSolutions untersuchen die IT des Unternehmens auf mögliche Angriffspunkte Nutzen: Ein ausführlicher Prüfbericht listet alle Befunde auf und gibt Handlungsanleitungen für die Beseitigung der Probleme Schulung Erstreaktion Problem: Ungeschulte IT-Administratoren zerstören Spuren und Beweismittel, Aufklärung und Eindämmung werden schwierig bis unmöglich Lösung: Aus- oder Weiterbildung der IT- Administratoren in IT-forensischer Erstreaktion Nutzen: Das Unternehmen wird schon handlungsfähig bevor ggf. Forensik- Experte eintrifft 2012, HiSolutions AG Digital Risks for Lloyd's 16

Probleme Schulung Erstreaktion Problem: Ungeschulte IT-Administratoren zerstören Spuren und Beweismittel, Aufklärung und Eindämmung werden schwierig bis unmöglich Lösung: Aus- oder

17 Wir danken für Ihre Aufmerksamkeit. 2012, HiSolutions AG Data Risks Consulting 17

18 HiSolutions ist ein geheimschutzbetreuter, zertifzierter Sicherheitsdienstleister mit über 15 Jahren operativer Erfahrung. 2012, HiSolutions AG Hiscox Haftpflichttage 18

19 HiSolutions AG Bouchéstraße 12 D Berlin Fon: Fax: Kontakt Robin Kroha Corporate Security Management/Krisenmanagement Director Frank Rustemeyer System Security/Forensik Director 2012, HiSolutions AG Corporate Security Management 19

com Kontakt Robin Kroha Corporate Security Management/Krisenmanagement Director

Ähnliche Dokumente

SICHERHEITSANALYSE & PENTEST SCHWÄCHEN ERKENNEN HEISST STÄRKE GEWINNEN.

SICHERHEITSANALYSE & PENTEST SCHWÄCHEN ERKENNEN HEISST STÄRKE GEWINNEN. willkommen in sicherheit. 02...03 UNSER GEZIELTER ANGRIFF, IHRE BESTE VERTEIDIGUNG. Hackerangriffe sind eine wachsende Bedrohung