MOBILE-IT SECURE BY DEVELOPMENT IN ALLE ASPECTEN

Transcriptie

1 MOBILE-IT SECURE BY DEVELOPMENT IN ALLE ASPECTEN AD KINT ERIK HEIL

2 WAS HET VROEGER BETER? 1981: DE PC 1995: INTERNET 2009: WINDOWS 7

3 2007: DE MIND-SHIFT 2010 TITLE PRESENTATION April 30, 2017

4 2012: THE NEXUS TITLE PRESENTATION April 30, 2017

5 2016: DIGITAL TRANSFORMATION TITLE PRESENTATION April 30, 2017

6 NIEUWE TECHNIEK > NIEUWE PROBLEMEN TITLE PRESENTATION April 30, 2017

7 MOBILE: ANDERE KIJK OP VEILIGHEID Geen zekerheid over device status BYOD Privé gebruik: apps en data onbekende gebruikers Shadow IT Informatie kan eenvoudig gaan zwerven Platform beheer ligt bij leverancier / gebruiker ios, Android en Windows Phone wel anders dan Windows Desktop

8 IOS SECURITY FROM THE GROUD UP Secure Boot Containerized apps Standaard data-encryptie op basis van hardware en pin Standaard pincode policy met full-wipe Met vingerprint naar 6 cijfers Updates gedurende meerdere jaren Geen externe poorten CodeSigning Curated AppStore Uitgebreide set MDM security policies Supervised Mode Verplicht TLS 1.2 protocol Duidelijke richtlijnen richting ontwikkelaard (SSD) TITLE PRESENTATION April 30, 2017

9 MOBILE DEVICES: DE ROL VAN MDM Besturen van de management API van het device Apple, Android, Windows: ieder zijn eigen smaak De Management API bepaald de mogelijkheden In het kort: complicancy afdwingen voor zakelijke gebruik Gebruikers instellingen afdwingen Pincode Device encryptie Zakelijke applicaties publiceren / installeren Iedereen dezelfde eventueel betaalde applicaties Exchange Active Sync policy Automatische acties uitvoeren Jailbreak detectie check op OS-versie Correctieve acties: Lock / unlock, Wipe, selective wipe Locate Handmatig beheer over devices (reporting) TITLE PRESENTATION April 30, 2017

10 MOBILE DEVICES: SECURE CONTAINERS Third parties: XenMobile, Good, MobileIron, Airwatch Cross-platform (ios / Android) Google: Android for Work Samsung: Knox Workspace / Knox Enabled Apps Momenteel best in class Apple: Managed Open In integraal over standaard apps ios 10.3 > 11: nieuw multi-key file-system TITLE PRESENTATION April 30, 2017

11 TUSSENSTAND MOBILITY: Secure by Design OS Afdwingen van security policies ( MDM ) Toepassing van scheiding tussen zakelijk en privé ( MAM ) Back-end met device compliancy check ( CASB ) Secure Software Design Betrokken gebruikers TITLE PRESENTATION April 30, 2017

12 TRANSFORMATIE: ALTIJD LASTIG

13 De kracht van samenwerken in de CIP communities! Samen werken aan Informatieveiligheid en privacybescherming (Overheid en Marktpartijen) TITLE PRESENTATION April 30, 2017

14 Aanleiding en doelen Aanleiding voor de overheid Toenemende afhankelijkheid van het internet, mobile devices,ed. Toenemende (organisatiegraad van) cyber crime De overheid organiseert zich en CIP faciliteert dit door: Bundeling kennis/krachten: door het bouwen aan een IB-community in de overheid Aanbieden/toegankelijk maken van kennis en practices Werken aan gezamenlijke afspraken en normatiek

15 Besturing en werkwijze Besturing Bestuurlijk Overleg Compacte Uitvoering Jaarplancyclus Werkwijze/principes Voor allen, door allen Gesloten beurs Zuivere netwerkorganisatie met structuur Sterke persoonlijke communicatie

16 Samenstelling van het CIP-Netwerk

17 Overheidsparticipanten en -relaties

18 Kennispartners

19 De PDC in Context Bevorderen SAMEN DOEN Weerbaarheid > Practitioners Communities voor: SSD, BIR, Awareness, Veilige Inkoop > Diverse werkgroepen > Workshops: SSD, Grip op Privacy > Privacy Vraagbaak CIP-activiteiten en producten Herstelvermogen > Snelle onderllinge bereikbaarheid in CIP-netwerk via cip.peio. > Verbinding met NCSC. > Moderatie Crisisoefening Product Aanbod Basiswerkvormen Kennisdeling > SSD-producten, KSL, div. handreikingen > BIR-OP en Thema-uitwerkingen > Grip op Privacy + Priv.Normenkader > PIA-paper en practices > Grip op Veilige Inkoop > e-learningmodules, > CIP-Casts, etc > 5 Domeingroepen, > Kennissessies, > Conferenties > Cip.pleio.nl > Serious game: Crisis Rijksdienst > Serious game: Crisis Gemeente > Subcommunity Cyber Security Platform (Sinds Opzet Rijks-ISAC slapend) > Opgezet: Rijks-ISAC

20 Bundeling van kennis en kunde IB & Privacy Samenwerken is een deel van je eigen autonomie opgeven in de hoop er meer voor terug te krijgen SSD practitioner community Beveiligingsrichtlijnen, Testraamwerk, kennissessie SSD(keten)testen, NCSC richtlijnen BIR practitioner community Best practices Privacy practitioner community dialoog met AP, Privacy Baseline, Privacy by Design en Privacy Maturity model Inkoop IB & Privacy community recent adoptie van RWS model Werkgroep GRC ervaring implementatie GRC, tooling GRC Werkgroep SSD-IOT Verkennen, bewustwording, maatregelen Werkgroep AVG-Privacy AVG compliant maken van privacy producten Werkgroep keten-verwerkers samenwerking BDO overeenkomst (Privacy) De vernetwerkte wereld is te complex om dit stand-alone te betrachten. Samenwerking is een must!!

21 Bundeling van kennis en kunde IB & Privacy De Secure Software Development (SSD) Centric casus CIP community ontwikkelt SSD beveiligingsrichtlijnen met markt- en overheidsorganisaties. SSD gaat over het WAT, de interne/externe leverancier bepaalt het hoe. SSD is enabler voor dialoog opdrachtgever en opdrachtnemer. Na selectie neemt Centric het besluit om SSD bij alle Europese vestigingen te implementeren. Centric deelt implementatie aanpak en ervaringen in de SSD practitioner bijeenkomst. Centric heeft 10 aanvullende SSD normen vanuit hun view produktleverancier. 10 aanvullende normen worden bediscussieerd in de community(markt en overheid) om deze op te nemen bij SSD beveiligingseisen. Resultaat van de discussie/dialoog is input voor een nieuwe release van SSD beveiligingseisen. Plan-Do-Check-Act cycle! Win voor Centric is aantoonbaar nivo van beveiliging van Win voor CIP community is verrijking en kennisdeling over software met input van overheid- en marktorganisaties de SSD beveiligingseisen(ontwikkeling en implementatie). Vertrouwen bouwen = betrouwbaar gedrag + transparantie + oprechte interesse in belangen + gelijke informatie + zelfbewustzijn

22 Websites

23 Vragen?? Contact: 4/30/2017