@-yet GmbH Wolfgang Straßer Geschäftsführer Dipl.-Kfm.

Präsentation zum Thema: "@-yet GmbH Wolfgang Straßer Geschäftsführer Dipl.-Kfm."—  Präsentation transkript:

1 @-yet GmbH Wolfgang Straßer Geschäftsführer Dipl.-Kfm.
Cyber Crime – Das ist dieWirklichkeit auch das Handwerk ist betroffen

2 Firmenportrait Juni 2002 gegründet Sitz: Leichlingen/Rheinland
IT-Strategie- und Technologieberatung kein HW- oder SW-Vertrieb Beratungsschwerpunkte IT-Risikomanagement IT-Outsourcing Zielgruppe: Mittelständische bis große Organisationen

3 IT Risikomanagement Bewusster Umgang mit den Risiken, die sich für Unternehmen und Organisationen durch den Einsatz von IT ergeben können

4 IT Risikomanagement Betrachtung der IT aus dem Blickwinkel
Risiken für das Geschäft durch unzureichende: Verfügbarkeit Business Continuity Sicherheit Business Security Regelwerke Business Compliance

5 IT Risikomanagement Zentrale Fragestellungen:
welche gesetzlichen Auflagen gibt es? welche vertraglichen Vereinbarungen? welche Geschäftsprozesse welche Fertigungsprozesse welche Daten sind für den Unternehmenserfolg besonders wichtig und wie groß ist die Abhängigkeit dieser Prozesse von der IT und den begleitenden Prozessen?

6 Compliance Datenschutz
@-yet Bausteine IT Risikomanagement Business und IT Security Business Continuity Compliance Datenschutz Incidence Response IT-Forensik

7 IT und Risikomanagement
Aufgaben von IT Risikomanagement: Schutz vor Verlust von Know-how Ihr spezielles Firmen Know-how Wertschöpfung Die Firma kann nicht mehr arbeiten wg. IT Ausfall Schutz vor Risiken, die sich vertraglich z.B. Kunden-/Lieferantenauflagen etc. gesetzlich z.B. Datenschutzgesetz aus der IT ergeben können.

8 IT und Risikomanagement
Elemente von IT-Risikomanagement Business Continuity Business Security Business Compliance – Datenschutz IT-Forensik/incidence response Wenn was passiert ist…

9 Zentraler Baustein von IT-Risikomanagement:
Business Security

10 Warum Business Security?
Auf Servern, Endgeräten und in Netzen liegen Kundeninformationen Private Informationen – Datenschutz Kunden Informationen - Datenschutz Ratings Auskünfte Gesellschafterinformationen M&A Informationen usw. Zugang zu Bankverbindungen! Produktentwicklungen – Know-how etc.

11 Warum Business Security?
Gesetzliche Vorgaben Datenschutz Impressum verbotene Werbung etc.

12 Warum Business Security?
die Risiken nehmen zu die Bedrohungslage ist wirklich ernst es kann jeden treffen Oft gehört: Wer interessiert sich für uns? Antwort: der ganze Planet! Bei uns ist noch nie was passiert! Antwort: das wissen Sie gar nicht! 100% Sicherheit gibt es nicht! Antwort: stimmt, aber 10-20% sind aber definitiv zu wenig!

13 Wer greift an? Staaten Wettbewerber organisierte Kriminalität/Mafia
befürchtet: Terroristen sonstige

14 Motive der Angreifer vor allem wirtschaftliche – Geld!!! Rache
Wirtschaftsspionage/Konkurrenzausspähung Erpressung: Bsp. Locky Geld: Bsp. CEO Fraud Rache der ex-Mitarbeiter oder unzufriedene Kunde „Spaß am Hacken“ „beleidigt“ sein und vieles Unvorstellbares mehr

15 Was wird abgegriffen? Unternehmens Know-how Einkaufsinformationen
Produktneuentwicklungen Einkaufsinformationen M&A Informationen Kontendaten Kundendaten – Datenschutz!! Unternehmensstrategie etc.

16 Wie wird angegriffen?

17 Wie wird angegriffen? Hackingangriff von außen
Informationsbeschaffung von innen Ausnutzen physischer und organisatorischer Schwachstellen - Social Engineering Datenträgerklau Smartphones, Pads, Notebooks etc. immer mehr über Websites und –shops Portale Cloud APPS und Mobiles

18 Beispiel: Password-Cracking
Systematisches Ausprobieren von Passwörtern mit Offline- Wörterbuch bzw. Brute Force Kopie der verschlüsselten Passwortdatei bzw. Ergebnis von Sniffing Verschlüsseln gebräuchlicher Worte und Vergleich mit den Einträgen in der Passwortdatei (z.B. mit dem frei erhältlichen Programm Crack) 14 Stellen unter 1 min Sicher erst ab 18 Stellen

19 Mobile Endgeräte als Angriffsfläche

20 Mobile Kommunikation Unternehmer, Geschäftsführer, Vertriebler, Ingenieure, Techniker sind oft in Hotels Restaurants/Cafes Flughafen Lounges Bahnhöfen und Zügen Kongresszentren etc. Ohne mobile Endgeräte geht nichts mehr

21 Was ist alles möglich?

22 Exkurs APPs

23 Sicherheit von Apps Viele Apps übermitteln vertrauliche Daten
eindeutige Gerätekennungen Aufenthaltsort gespeicherte Kontakte -Passwörter Kaum Möglichkeiten Apps zu überwachen was wird übermittelt? worauf wird zugegriffen? was passiert sonst noch?

24 Cloud

25 Typische Cloudlösungen
Dropbox iCloud Google Amazon EC2 Skydrive Strato Hidrive und viele mehr!

26 Cloud Sicherheit in der Cloud – geht das?
im Prinzip und von den Möglichkeiten her: ja!!! aber… … die Wirklichkeit sieht leider katastrophal aus!

27 Online Banking Mobile Payment

28 Online Banking HBCI kann derzeit als einziges sicheres Verfahren gelten Bei allen anderen Verfahren liegen Schadensfälle vor

29 Online Banking Welche Verfahren gibt es? Wie sicher sind diese
PIN/TAN klassisch Internet TAN´s per Liste unsicher PIN/iTAN Indiziertes Verfahren TAN´s per Liste, aber durchnummeriert PIN/mTAN Mobiles TAN-Verfahren, TAN´s via SMS nach Zahlungsauftrag

30 Online Banking Welche Verfahren gibt es? Wie sicher sind diese?
Plus Online Auftragserfassung Bank schickt TAN an Kunde Eingabe mittels Kartenleser und Karte Relativ sicher optic Auftragserfassung wie TAN mittels Codegenerator, Lesegerät und Karte ziemlich sicher HBCI Ohne TAN, mit Lesegerät und Karte Generiert die Schlüssel selber und kommuniziert über verschlüsselte Wege sehr sicher

31 Mobile Payment Endgeräte sind grundsätzlich unsicher
Nutzung freier WLAN´s ist grundsätzlich problematisch Sie wissen nie so ganz genau, wer der „Besitzer“ ist Payment APPS mehrere geprüft keine war wirklich gut manche haarsträubend schlecht

32 Mobile Payment Sicherheit mit Biometrie? NFC?
Sie haben 10 Finger und 2 Augen und das wars NFC? Taschendiebstahl selbst für Gichtkranke einfach

33 Live

34 Was tun?

35 Ganzheitliche Betrachtung Business Security
Physische Sicherheit Gebäude- und Zugangsschutz Geräteschutz Informations-Sicherheit State-of-the-Art Security Produkte & Technologien Organisatorische Sicherheit Security Policies, Prozesse, System- und Gerätemanagemnt Mitarbeiter+Management Awareness 35

36 Vorgehensweise Bestimmen Sie Ihren Schutzbedarf
Welche Daten sind für ein Unternehmen wie wichtig? Datenklassifikation, ISMS Wer darf auf welche Daten zugreifen und wer entscheidet das? Welche Prozesse sind wie wichtig? Business Impact Analyse Ab wann verliert ein Unternehmen Geld, wenn Prozesse stehenbleiben? Welche gesetzlichen Mindestauflagen müssen erfüllt sein. z.B. Datenschutz/BDSG

37 Vorgehensweise Statusfeststellung: wo stehen Sie?
Status organisatorische Sicherheit Policies Awareness @-yet tools: Social Engineering/Phishing Policy Check Status physische Sicherheit Gebäudeschutz @-yet tool: Social Engineering Status IT-Sicherheit @-yet tools Onsite- und Offsite-Pentests Infrastruktur- und Continuitycheck

38 Was wollten wir Ihnen vermitteln
Security zu vernachlässigen ist fahrlässig kann existentiell werden vor der Implementierung von Schutzmechanismen und –maßnahmen kommt erst die Definition der Sicherheitsziele die Technik ist komplex, aber beherrschbar aber ohne Organisation und bewusstes Umgehen mit der IT ist sie wertlos

39 Erste Schritte WLAN Hotspots, deren Betreiber man nicht kennt, meiden
Lange, möglichst 18-stellige, komplexe PW nutzen sicheres Onlinebanking nutzen HBCI und Tan Generator Alle Festplatten sollten verschlüsselt sein Alle Sicherheitspatche der Hersteller umgehend installieren Firewall immer auf dem neuesten Stand halten Virenscanner und Spamfilter immer aktuell halten Vorsicht vor Webseiten und Apps, die man nicht kennt und nicht unbedingt braucht Clouds möglichst nur verschlüsselt nutzen Wichtig: nur wenn Sie den Schlüssel selber haben, ist Verschlüsselung zu trauen – wie beim eigenen Haus möglichst täglich Backup … und ganz einfach Vorsicht walten lassen

40 Vielen Dank für Ihre Aufmerksamkeit!
Ihre Fragen bitte … Vielen Dank für Ihre Aufmerksamkeit! Wolfgang Straßer