Die Rolle von IT-Sicherheit bei der Digitalisierung

Transkript

1 Die Rolle von IT-Sicherheit bei der Digitalisierung Rüdiger Weyrauch Director & Functional Lead Europe North Oracle Security Solutions Oracle Deutschland B.V. & Co KG Follow me on

2 Safe Harbor Statement The following is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle s products remains at the sole discretion of Oracle. 3 Digitalisierungsbeispiele 4

3 Digitalisierung? Share Economy Teilen von Ressourcen (Auto, Zimmer, Garten) Aufbrechen alter Geschäftsmodelle und Strukturen Multi- Channel Sales (Gleiche) Ansprache von Kunden über alle Vertriebskanäle Individualiserte Angebote Big Data IoT Industrie 4.0 Home Automation Connected Car / Airplane / Vessel 5 Der Wandel der IT Sicherheit in Zeiten von Digitalisierung Die Burgmauer allein reicht nicht mehr! Schutz von Endpunkten und Netzwerken Firmeneigene Geräte Klare Perimeter Antivirus, Firewall, IDS... Information Technology Security Information Technology Security Schutz von Daten Systeme außerhalb der eigenen Kontrolle (BYOD, Cloud,...) Welcher Perimeter? Datenintegrität 6

4 ... Newsticker... Gezielter Angriff auf ein Stahlwerk in Deutschland. Methode Mittels Spear-Phishing und ausgefeiltem Social Engineering erlangten Angreifer initialen Zugriff auf das Büronetz des Stahlwerks. Von dort aus arbeiteten sie sich sukzessive bis in die Produktionsnetze vor. Schadenswirkung Es häuften sich Ausfälle einzelner Steuerungskomponenten oder ganzer Anlagen. Die Ausfälle führten dazu, dass ein Hochofen nicht geregelt heruntergefahren werden konnte und sich in einem undefinierten Zustand befand. Die Folge waren massive Beschädigungen der Anlage. Quelle: Bericht zur Lage der IT-Sicherheit in Deutschland 2014, BSI Quelle: c t 01/2003 / Ritsch-Renn Es wurde ein neues Gerät gefunden: Airbus A310 Soll die Autokonfiguration gestartet werden? 18. Mai 2015, 16:52 Uhr Flugsicherheit Hacker soll Kontrolle über Passagierflugzeug übernommen haben 7 Weitere Angriffswege Hacking US traffic control systems (and UK, Australia, France, etc.), Vortrag auf der DefCon 22, 2014 Hacking Medical Devices for Fun and Insulin: Breaking the Human SCADA System, Blackhat Conference

5 Viel Fokus auf Vertraulichkeit... zuviel? Vertraulichkeit Verschlüsselung von Daten und Protokollen Absicherung von Big Data Systemen Zugangs- und Zugriffskontrolle Integrität Verfügbarkeit Zugangs- und Zugriffs- und Eingabekontrolle Trennungsgebot Gesicherte Übertragungswege Schutz vor (zufälligem) Verlust oder Zerstörung von Daten Zugangs- und Zugriffskontrolle Mehr Fokus! 9 Spezifisches für Digital / IoT Sicherheit (Noch mehr) Awareness Wie patcht man Sensoren/Devices? Starke Verschlüsselung Absicherung der mobilen Apps und mobilen Geräte Starke Authentisierung Feingranulare und kontextbezogene Autorisierung Einbinden der Geräte in Monitoring und Risk Management Mehr als bisher ist wichtig: Security first! IoT Angriffe können direkt Menschenleben gefährden! 10

6 "Eigentlich kann keiner sagen, dass er nicht gewarnt ist Holger Junker, Referatsleiter des BSI auf dem BSI Kongress Schützen wir also die richtigen Werte Nutzer Sicherheit in die Nutzerschnittstelle für Mitarbeiter, Externe Dienstleister, etc. einbauen Daten Angriffe aufwändig und schwer machen, für die Kronjuwelen zuerst Geräte Absicherung aller Geräte, inklusive sensitiver Daten und Nutzerzugänge 12

7 Oracle Security für Anwendungen und Daten Unternehmen Cloud Mobile IDENTITY & ACESS MANAGEMENT DATABASE Identity Governance Mobile Security Configuration & Key Management Key Activity Management Monitoring Privileged User Ctrl. Directory Services Access Management Encryption Redaction & Masking Database Firewall 13 Oracles IT-Sicherheitslösungen unterstützen Kunden aller Branchen und Größen bei der Umsetzung von Digitalisierungs- und IoT-Projekten... sind robust, skalierbar und gelten bei Analysten (mit) als Marktführer in ihrem Segment... basieren auf einer einheitlichen Plattform und bedienen offene Standards: integriert und integrierbar Folgen Sie uns und erfahren Sie mehr über unsere Lösungen: OracleIDM OracleIDM OracleSecurity 14

8 15

9 Weitere Informationen Bedrohungslage und Gegenmaßnahmen Bedrohungen 76% Zugriff mit gestohlenen Accountdaten* Gegenmaßnahmen Sofortige Sperrmöglichkeiten Kontextbasierte Autorisierung Mißbrauchserkennung 80% Angriff von Web und Applikationsservern* Zentralisiertes Regelmodell und Durchsetzung Regelmässige Berechtigungsüberprüfungen 94% 50% Gestohlene Daten von Servern* Ausnutzung fehlerhafter Konfigurationen* * Quelle: Verizon 2014 Data Breach Report Verschlüsselung Zwangsberechtigungsmodell (Admin/Fachbereich) Vergleich Recommended Patches Vergleich gegen Best Practice Konfigurationsvergleich der Umgebungen 18

10 Oracle s Security Konzept: multi-layer Security in jeder Schicht zwischen den Schichten zwischen Systemen ORACLE End-to-End Security Übersicht Governance, Risk & Compliance Access & Certification Review, Anomaly Detection, User Provisioning, Entitlements Management Mobile Security, Privileged Users Directory Services, Identity Governance Entitlements Management, Access Management Encryption, Masking, Redaction, Key Management Privileged User Control, Big Data Security, Secure Config Solaris Trusted Extensions, LDAP Host Access Control Secure Live Migration Cryptographic Acceleration Application Data Integrity Secure backup, Disk Encryption ILM Security 20

11 ORACLE End-to-End Security Benutzerlebenszyklus (Anlage, Änderung..) Kontrolle kritischer Berechtigungen Gleiches Zugriffserlebnis durch alle Kanäle Integration von Kunden, Partnern, Zulieferern Nutzung von Smartphones und Tablets Integration von Cloudangeboten Regularien umsetzen, z.b. BDSG, BSI Grundschutz Verschlüsselung sensibler Daten Zugriffstrennung per Applikation und Adminstratoren Systemübergreifende Provisionierung Kanalübergreifende Durchsetzung der Rechte über Gateways Anwendungsübergreifende Funktionstrennung Mit Single Sign On Technologien Self Services: Berechtigungen, Passwörter Auditüberwachung, Rezertifizierung Verschlüsselung Berechtigungsmodelle für Administratoren 21 Oracle Identity Management Mobile Security Mobile Application Management Mobile Device Management Mobile Access Management API Security Identity Governance Access Request Access Governance Automated Provisioning Privileged Account Management Access Management Authentication Authorization Audit Federation Mobile Authenticator Directory Services Enterprise Directory Cloud/Mobile App Directory Virtual Directory

12 Oracle Database Maximum Security Architecture Advanced Security Data Redaction Database Vault Privilege Analysis Benutzer Applikationen Alerts Reports Policies Database Firewall Events Audit Vault Data Masking Advanced Security TDE Database Vault Privileged User Controls Audit Data & Event Logs OS & Databases Storage Directories Custom 23 Cyber Intelligence mit Big Data Port Mirror Security Analyst Protected Network 1. Copy of all data packets 2. Log Files Big Data and Relational Data Stores Predictive Attack Recognition, Session and File Analytics

13 Coming soon: Oracle IoT Cloud 25