Aktuelle Bedrohungen und Herausforderungen Marc Henauer Melde-und Analysestelle Informationssicherung MELANI anlässlich des Belsoft Best Practice - Next Generation Firewalls

1. Informatiksteuerungsorgan Bund ISB
Nachrichtendienst des Bundes NDB
Melde- und Analysestelle Informationssicherung MELANI
Aktuelle Bedrohungen
und Herausforderungen
Marc Henauer
Belsoft, 28. Mai 2013

2. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Agenda
1. Die aktuelle Bedrohungslage
2. Der Paradigmawechsel
3. Schlussfolgerungen

3. Informatiksteuerungsorgan Bund ISB
Nachrichtendienst des Bundes NDB
Melde- und Analysestelle Informationssicherung MELANI
Die aktuelle Bedrohungslage

4. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Risiken und Bedrohung
• Zunahme der Bedeutung der Informationstechnologie für
Geschäftsprozesse und Finanztransaktionen
• Zunahme der Teilnehmer an diesen Prozessen, zunehmende Vernetzung
• Zugang zu immer mehr wertvoller Information wird möglich
• Zunahme der Möglichkeiten für Betrug, Spionage, Erpressung, Sabotage
• Auftreten neuer Akteure (z.B. Organisierte Kriminalität, Staaten)
• Anpassung der Motive und Methoden bestehender Akteure: kommerzieller
Gewinn, Know-how Transfer, politische Motive

5. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
KriminellerOpfer
Internet
Auch ein
Krimineller
Angriffe Heute

6. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Einmal infiziert ist alles möglich
• Der Angreifer hat alle Möglichkeiten des eigentlichen Benutzers.
• Zugriffe auf die gleichen Daten und Files, egal ob lokal oder
auf Netzwerken.
• Er besitzt dabei auch die gleichen E-Mail-Kontakte,
Benutzernamen, Passwörter und Kreditkartennummern.
• Und noch vieles mehr...

7. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Infrastruktur
Die Mechanismen des Marktes

8. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Arbeitsteilligkeit und freier Markt

9. Informatiksteuerungsorgan Bund ISB
Nachrichtendienst des Bundes NDB
Melde- und Analysestelle Informationssicherung MELANI
Von der IT-Sicherheit zur
Informationssicherheit

10. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
V B S R
1 0.1 1 0.1
1 0.9 1 0.9
1
1
Vom Umgang mit Cyber-Risiken Heute

11. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Was alleine nicht (mehr) genügt
Antivirensoftware
Updates für Betriebssysteme
und Applikationen
Off-Line-Netzwerke

12. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Vom Sicherheits- zum Riskmanagement
Wenn keine 100% Sicherheit existiert, müssen Risiken
minimiert und die Sicherheit optimiert werden.
Dabei spielen mehrere Faktoren eine Rolle:
• Kosten für zusätzliche IT-Lösungen
• Kosten für zusätzliche physische und personelle
Lösungen
• Kosten der Effizienzeinbussen, welche jede zusätzliche,
einschränkende Sicherungsmassnahme mit sich bringt
26. Mai 2010 / TalkExpo Baden

13. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Physische Risiken
Personelle Risiken
Cyber Risiken
Cyber Risiken im Gesamtkontext
Geschäfts-
leitung
Nimmt das
Gesamtrisiko für
einen
bestimmten
Prozess zur
Kenntnis
Entscheidet über
die
Implementierung
von
Sicherheitsmass-
nahmen
Personell
Physisch
Sicherheitsmassnahmen
(IT-)Technisch
Organisatorisch
(IT-)Technisch
Cyber Risiken = Risiken die sich durch
den Einsatz von IT zur Unterstützung
eines bestimmten Prozesses ergeben

14. Informatiksteuerungsorgan Bund ISB
Nachrichtendienst des Bundes NDB
Melde- und Analysestelle Informationssicherung MELANI
Schlussfolgerungen

15. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Im Fokus stehen Daten = Personell,
Physisch, IT und Organisatorisch
• Wer hat Zugriff auf was? Und wie werden diese Mitarbeiter genau
ausgewählt, überprüft und allenfalls überwacht?
• Existieren Klassifizierungen? Wo sind unterschiedlich klassifizierte Daten
gespeichert? Und wer hat die Verantwortung dafür? (Cloud-Services)
• Welche Kanäle werden gebraucht, um welche Daten zu senden oder um sie
verfügbar zu machen?
• Welche Daten werden öffentlich oder intern publiziert? (Facebook: Social
Engineering)
Das Schutzbedürfnis der Information diktiert das entsprechende
Schutzniveau. Dieses soll unter Einbezug und Austarierung aller
Risikofaktoren erreicht werden.

16. ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
ISB / NDB
Melde- und Analysestelle Informationssicherung MELANI
Grundsätzliches
• Prinzipiell gilt: Wenn ein Markt oder Wille existiert, wird Information gestohlen.
Aber nicht alles was verletzlich ist wird auch angegriffen.
• Informationssicherheit ist nicht gleich IT-Sicherheit. Nur ein integraler,
Risikomanagement basierter Prozess kann zu einem besseren
Informationsschutz führen.
• Risikomanagement ist Aufgabe der Geschäftsleitung. Der Staat unterstützt dies,
in dem er seine Informationen im Cyber-Bereich zentralisiert und bedarfsgerecht
zur Verfügung stellt . Compliance und Auflagen nur dort wo branchenspezifisch
identifiziert (Kernpunkt NCS).

17. Fragen?