A GDPR Kaspersky szemüvegen át

Átírás

1 A GDPR Kaspersky szemüvegen át Zombori Csaba kereskedelmi tanácsadó, 2F 2000 Kft. Dévényi Viktor rendszermérnök, 2F 2000 Kft.

2 Okozott kár A cyberfenyegetések evolúciója Professzionális cyberbűnözés? Cyberbűnözés APTs Zero-days Wipers Kellemetlenségek Vírusok Férgek Spyware Phishing Botnets

3 Átlátjuk a globális IT és üzleti trendeket és a fenyegetéseket amiket magukban hordoznak! Internet of Things Online vásárlások növekvő száma Kritikus infrastruktúrák IT függősége Kritikus infrastruktúrák elleni célzott támadások Mobil kártevők Cyber-szabotázs Privacy & data protection challenge Okosautók Személyes adatok Az internet fragmentációja Mesterséges intelligencia APT végrehajtásának csökkenő költsége Phishing támadások a pénzügyi szektorban Jogi megfelelés ATM-eket támadó kártevők IoT botnetek Mobilitás Célzott támadások Az adat mint fizetőeszköz PoS terminálok elleni támadások Felhő technológia Kockázatelemzés Az APTk kereskedelmi termékké válása Tömeges adatszivárgások Cyber-zsoldosok Zsarolóvírusok 3 Okosautó hackelés

4 AZ ADATSZIVÁRGÁSOK PÉNZÜGYI HATÁSA SMB Lost Business Additional Internal Staff Wages Compensation Improving Software & Infrastructure New Staff $13K $12K $11K $10K $8K $8K $10K $8K $7K Átlagos veszteség: $87.8k Nagyvállalatok Compensation Damage to Credit Rating/Insurance Lost Business Improving Software & Infrastructure New Staff $134K $130K $111K $107K $104K $99K $132K $97K $78K Átlagos veszteség: $992k IT Security Risks Report 2017 Kaspersky Lab Base: 1,229 SMBs/ 919 Enterprises Suffering At Least One Data Breach

5 SZEMÉLYES ADATOK: TÖBBET ÉRNEK, MINT GONDOLNÁNK A SZEMÉLYES ADATOK MINDENHOL MEGTALÁLHATÓAK A SZEMÉLYES ADATOK FIZETŐESZKÖZZÉ VÁLTAK A CYBERBŰNÖZŐK SZÁMÁRA, ELTULAJDONÍTJÁK AZOKAT ÉS KERESKEDNEK VELÜK A SZEMÉLYES ADATOK ROSSZ KEZEKBE KERÜLÉSE KOMOLYAN BEFOLYÁSOLHATJA AZ ÉRINTETT SZEMÉLY ÉLETÉT A HELYZET RENDEZÉSE MEGKÍVÁNTA A TÖRVÉNYI SZABÁLYOZÁST

6 Data Dollar Store

7 A GDPR egy törvény A GDPR kezdődátuma május 25. Szabályozza a személyes adatok kezelésének kérdéseit, illetőleg azok biztonságát a többi alapvető emberi jog közé sorolja be. A világ összes, az EU polgáraival bármilyen kapcsolatban álló szervezetre hatással lesz. Adatszivárgás bejelentési kötelezettség Mi a szervezetek teendője: Érzékeny adatok lokalizálása és osztályozása Adattárak létrehozása és az adatkezelési folyamatok dokumentálása Adatszivárgások megelőzése Adatszivárgási incidensek bejelentése Az adatok áramlásának kontrollja A GDPR hatálya alatt minden olyan adatszivárgási incidens bejelentése kötelező lesz, amely egyének jogait vagy szabadságát fenyegeti. Az eseményt az észleléstől számított 72 órán belül be kell jelenteni. Büntetés A GDPR hatálya alatt egy incidens esetén a szervezetek éves forgalmuk 4%-át, vagy 20 millió büntetést kaphatnak.

8 A SZÁMOK MAGUKÉRT BESZÉLNEK Biztonsági hiányosság miatt vásárló adata szivárgott ki Az ICO (Information Commissioner s Office) font büntetés szabott ki az 1998-as Data Protection Act alapján A GDPR alatt az összeg 59 millió font is lehet Eladta a vásárlói adatait, font büntetés A GDPR alatt ez 4 millió font is lehet Source: The Register, Last year's ICO fines would be 79 times higher under GDPR

9 A legnépszerűbb IT félelmek Data protection Security issues of cloud infrastructure adoption and business process outsourcing Business continuity Cost of securing increasingly complex technology environments Ensuring compliance of staff with security policies and regulatory requirements Relationships with partners/customers Security issues of mobile devices and BYOD trends A legaggasztóbb IT biztonsághoz kapcsolódó problémák 43% 42% 39% 38% 35% 33% 69% Az adott kategória 3 legnagyobb kihívása Data loss/exposure due to targeted attacks 39% Electronic leakage of data from internal systems 32% Physical loss of devices or media containing data 28% Incidents affecting suppliers that we share data with 17% Incidents affecting third party cloud services we use 17% Incidents affecting IT infrastructure hosted by a third party 18% Viruses & malware 19% Loss of access to internal services 16% Loss of access to customer-facing services 15% Identifying / remedying vulnerabilities in IT systems we use 19% Managing security across different computing platforms 16% Incidents involving non-computing, connected devices 13% Inappropriate IT resource use by employees 20% Time and cost of enforcing security compliance among employees 18% Fines for not maintaining compliance with security regulations 11% N/A Managing security of users' own devices in the workplace 16% Inappropriate sharing of data via mobile devices 16% Physical loss of mobile devices exposing the organization to risk 15% Base: 5,274 All Respondents N/A

10 GDPR: TÉNYEK és TÉVHITEK 10

11 Ránk is vonatkozik ez? Na, még egy ostoba szabályozás, aminek meg kell felelnünk JÓ VÉDELMI RENDSZEREINK VANNAK! MI BIZTONSÁGBAN VAGYUNK! Mi nem tárolunk személyes adatokat, nincs mitől aggódnunk! Ez annyira összetett, hogy nem fogom tudni elmagyarázni a vezetőségnek, hogy jóváhagyják a terveket és a költségeket

12 Egy vállalat GDPR-hez kapcsolódó feladatai Saját feladataink ismerete DPO kinevezése Kollégák képzése A szervezeten belüli adatok megértése Incidenskezelési keretrendszer kialakítása és tesztelése GAP analízis elvégzése Jóváhagyások ellenőrzése Kockázatelemzés

13

14 HOGYAN TUD SEGÍTENI A KASPERSKY

15 Adatok: Mi? Hol? Mikor? Ki? Csatlakoztatott tárhely Mobil munkaállomás Okostelefon/Tablet Felhő infrastruktúra User1 User2 Szabályozott adattárolás Munkaállomás Hordozható tároló Fájlszerver Átjárók

16 ADATVÉDELMI KERETRENSZER Érzékeny Adatok Védelme ADATTÁROLÁS ADATFELDERÍTÉSI ESZKÖZÖK Hozzáférési jogok és Biztonsági házirendek Emberek és folyamatok Használatra kész, alap megfelelőségi szótárak Egyéni szótárak TÁROLÁS ÉS SZABÁLYOZÁS Az adatok tárolásának és jogosultak körének meghatározása A már tárolt adatok típusának és helyének felderítése MEGHATÁROZÁS ÉS FELDERÍTÉS

17 ADATVÉDELMI KERETRENSZER REAGÁLÁS ÉS JELENTÉS Incidensek észlelése és jelentés készítése EDR DLP-alapú funkciók CASB SZABÁLYSÉRTÉS ÉSZLELÉS / MEGELŐZÉS Érzékeny Adatok Védelme ADATTÁROLÁS ADATFELDERÍTÉSI ESZKÖZÖK Hozzáférési jogok és Biztonsági házirendek Emberek és folyamatok Használatra kész, alap megfelelőségi szótárak Egyéni szótárak TÁROLÁS ÉS SZABÁLYOZÁS Az adatok tárolásának és jogosultak körének meghatározása A már tárolt adatok típusának és helyének felderítése MEGHATÁROZÁS ÉS FELDERÍTÉS

18 ADATVÉDELMI KERETRENSZER REAGÁLÁS ÉS JELENTÉS Incidensek észlelése és jelentés készítése Kockázatok enyhítése és a támadási felület csökkentése MEGELŐZÉS EDR DLP-alapú funkciók CASB Titkosítás Biztonsági felügyelet SZABÁLYSÉRTÉS ÉSZLELÉS / MEGELŐZÉS ADATTÁROLÁS Érzékeny Adatok Védelme FENYEGETÉSEK ELLENI VÉDELEM ADATFELDERÍTÉSI ESZKÖZÖK Hozzáférési jogok és Biztonsági házirendek Emberek és folyamatok Használatra kész, alap megfelelőségi szótárak Egyéni szótárak TÁROLÁS ÉS SZABÁLYOZÁS Az adatok tárolásának és jogosultak körének meghatározása A már tárolt adatok típusának és helyének felderítése MEGHATÁROZÁS ÉS FELDERÍTÉS

19 Adatszabályozás Szabálysértés észlelés és megelőzés Adatfelderítés Végponti észlelés és reagálás (EDR) Titkosítás Hozzáférési jogok Cloud DLP A felhőben: Cloud Security CASB Adatfelderítés Szabálysértés észlelés Postafiók szintű Adatfelderítés Levelezés és átjáró oldali DLP Levelezés / kommunikációs csatorna titkosítás Web felügyelet Biztonsági felügyelet Fájltitkosítás Hozzáférési jogok Belső Infrastruktúra: Végpontvédelem + Platform Meglévő Új Az átjárókon: Levelezés és webes átjárók

20 Végponti észlelés és reagálás (EDR) <<Szürke zóna>> Ismeretlen / új fenyegetések Fejlett észlelés Proaktív fenyegetés keresés Megelőzés << Káros>> Rosszindulatú << Ártalmatlan>> Megbízható és jogszerű

21 Biztonsági felügyelet: csökkentsük az adatszivárgás esélyét Alkamazás felügyelet Web felügyelet Eszköz felügyelet Nem kívánt vagy káros alkalmazások blokkolása Csak a megbízható alkalmazások futtatásának engedélyezése (whitelisting) Nem kívánt weboldalak, adattípusok vagy kategóriák blokkolása Csak a megbízható weboldalak elérésének engedélyezése (whitelisting) Nem kívánt eszközök blokkolása (pl. USB tárolók vagy hálózati adapterek és egyéb perifériák) Csak a megbízható eszközök csatlakozásának engedélyezése

22 Fájl titkosítás: bizalmas adatok védelme a statikus és mobil eszközökön Teljes lemeztitkosítás és fájl- és könyvtárszintű titkosítás Eltávolítható meghajtók titkosítása Hordozható mód AES256 titkosítás (FIPS 140.2) BitLocker támogatás Titkosítás központi menedzsmentje

23 Az incidensek elkerülésének kulcsa a fenyegetések elleni védelem Emberi szakértelem Gépi tanulás Fenyegetés felderítés / Big Data

24 Kaspersky a bizalomról

25 KÖSZÖNJÜK A FIGYELMET!