Centrum voor ICT Informatiebeveiliging Leuk én makkelijk

Transcriptie

1 Informatiebeveiliging Leuk én makkelijk drs. Arjan de Vries RE ICT-Architect

2 Over de Belastingdienst Beveiliging van gegevens Gegevens van de Belastingdienst: 7 miljoen belastingplichtige particulieren bedrijven en instellingen 7 miljoen motorvoertuigen Kritische processen Processen van de Belastingdienst: het heffen en innen van rijksbelastingen het uitoefenen van toezicht door de FIOD-ECD het controleren van in-, uit- en doorvoer van goederen door de Douane het controleren op afvalstoffen, gevaarlijke stoffen, wapens en verdovende middelen

3 Over het Centrum voor ICT Een moderne matrixorganisatie waar circa 3000 mensen werken Het Centrum voor ICT ondersteunt de Belastingdienst met: enkele honderden informatiesystemen de grootste relationele database van Europa werkplekken 2 mainframes en vele servers

4 Agenda Korte uitleg Invullen enquête Antwoorden enquête Wrap-up en vragen

5 Computer = Afhankelijkheid Hacker = Steeds jonger Tools = Freeware Vakgebied = Meer volwassen Informatie = Strategisch

6 Enquête Wat is de relatie met informatiebeveiliging bij de Belastingdienst? geen, en toch alles Wat zijn de juiste antwoorden? geen, en toch alles

7 Risicoanalyse afhankelijkheid kwetsbaarheid 1. Je woonhuis kan in brand vliegen of er kan worden ingebroken. Welke uitspraak past bij je? a=1, b=5, c=5, d=10 risico s maatregelen verzekering nee restrisico s acceptabel? ja stop Bron: De risicoanalyse voorbij Arjan de Vries

8 Risico s zoeken of mijden? Risico s nemen = Durf tonen? Gokje wagen = Kans op status? Risico s uitsluiten = Zekerheid? Bron: 2. Verpakt eten is enkele dagen over de datum. Wat doe je? a=5, b=3, c=1, d=10

9 Structuur en backup 3. Iemand is een bestand in de computer kwijt. Welke uitspraak past bij je? a=5, b=10, c=10, d=1

10 Soorten maatregelen voorkomen van verstoringen regressieve maatregelen Herhaling Bedreiging preventieve maatregelen verhelpen van verstoringen Herstel Incident correctieve maatregelen Schade detectieve maatregelen

11 De digitale voordeur 4. Een firewall is een beveiligingsmaatregel bij het koppelen met netwerken zoals bijvoorbeeld het Internet. Heb je een firewall? a=5, b=0, c=0, d=7

12 Hoeveel voordeuren heeft een computer? 0 t/m 1023 Bekende poorten (port 80 bijna altijd HTTP, enz) 1024 t/m Kunnen diensten herbergen t/m De dynamische poorten of private poorten On-line security scan op en

13 Druk werk door reclamedrukwerk De huidige wetgeving omtrent spam bestaat voor een groot deel uit de Telecommunicatiewet die op 19 mei 2004 van kracht is geworden. De wijziging van die wet komt voor uit een zestal Europese richtlijnen. Bron: Hoeveel procent van je is Spam? a=10, b=7, c=4, d=1

14 Waar komt SPAM vandaan? (18 mei 2004) Zaterdag, 28 februari Elke dag worden er vanuit Europa miljoenen spamberichten verstuurd. Nederland is op Europees niveau de grootste verspreider. Nederland neemt wereldwijd een vijfde plaats in. bron:

15 Waar komt SPAM vandaan? (10 juni 2004)

16 Waar komen virussen vandaan? (18 mei 2004)

17 Etherpiraten Wardriving Dumpster driving 6. Draadloos is in. Heb je je wel eens afgevraagd of bijvoorbeeld draadloos bellen wel veilig is? a=1, b=4, c=6, d=10

18 Screendump Netstumbler Centrum voor ICT MAC Adres locked? Zo heet het netwerk WEP Encryptie?

19 Help, ik ben gestolen! kennis Authentificatie bezit zijn 7. Hoeveel persoonsgebonden pasjes heb je op dit ogenblik bij je? a=10, b=7, c=4, d=1

20 Ik hoef niets van je te weten, alleen je pincode nog Jammie! :// inter-actief. actief.nl 8. Welke uitspraak pas bij je met betrekking tot Cookies tijdens het internetten? a=5, b=2, c=0, d=10

21 Is elektronisch geld echt geld? te beveiligingen objecten Mensen Procedures Applicaties Gegevensinfrastructuur Technische Infrastructuur Basisinfrastructuur beveiligingsbeheer Voorbeelden Gebruikersbeheer Sleutelbeheer Logbeheer Versiebeheer Rechtenbeheer Configuratiebeheer Netwerkbeheer Beheer van gebouwen te beveiligingen aspecten Beschikbaarheid Integriteit Vertrouwelijkheid 9. Wat is je mening over elektronisch bankieren? a=10, b=3, c=5, d=8

22 Up-to-late (1) 10. Wat is je mening over het downloaden en installeren van updates van het besturingssysteem van je computer? a=0, b=2, c=10, d=5

23 Up-to-late het dilemma Automatiseringsgids Week 20: In Nederland werd onder andere de drukkerij van PCM Uitgevers getroffen. Waarom was zo n vitaal systeem niet tijdig gepatcht? Koningsveld (PCM): "Het probleem met patches is dat ze niet zelden neveneffecten hebben" Automatisering Gids Week 20: Tussen de bekendmaking van een kwetsbare plek in Windows en het opduiken van de internetworm Sasser zaten slechts twee weken. Tijd release van de software ontdekking lek melding aan leverancier publiekelijk bekend patch beschikbaar worm of virus

24 SIPS, ABS en WBP Is Side Impact Protection System en AntiBlokkeringsSysteem een aankoopoverweging? 11. In de Wet Bescherming Persoonsgegevens zijn regels opgenomen ter bescherming van de privacy. Welke uitspraak spreekt je het meest aan? a=1, b=10, c=4, d=7

25 Opt-in, Doelbinding en Inzagerecht Bij opt-in moet je expliciet aangeven dat je iets wilt ontvangen. Bij opt-out moet je aangeven dat je iets NIET wilt. Opt-out is dus meestal goed verstopt in de kleine lettertjes.

26 Noodzaak-Nuttig-Nutteloos Waargenomen nut Externe variabelen Houding t.o.v. gebruik Werkelijk gebruik Waargenomen gemak Technical Acceptance Model 12. Maak je wel eens een verkeersovertreding (te hard rijden; door rood licht)? a=5, b=1, c=6, d=12 (incl. bonus)

27 Score Punten 0 20 Soort persoon onbezonnen Tip Geen tip - de praktijk leert het je wel roekeloos avonturier voorzichtig dubbelchecker geheelonthouder De tegenvallers die je af en toe hebt neem je voor lief. Maar meestal gaat het toch wel goed. Je kunt geluk een handje helpen door bewuster met risico s om te gaan. Je neemt beheerst af en toe kleine risico s. Je weet dat je de hoofdprijs in de loterij niet gaat winnen, maar toch... Je dekt risico s bewust af, maar niet voor elke prijs. Door te vertrouwen op je intuïtie, kan je snel de juiste keuzes maken. Je neemt het zekere voor het onzekere. Het afdekken van risico s is niet altijd de goedkoopste oplossing, maar het geeft je rust of juist een kick. Dit neigt naar een fobie of uit de hand gelopen hobby. Je maakt het jezelf onnodig moeilijk en mist de leuke dingen in het leven.

28 Wrap-up: De prijs van beveiliging Beveiligingskosten 0% Beveiligingsniveau 100%

29 Wrap-up: Acceptabel restrisico afhankelijkheid kwetsbaarheid risico s maatregelen verzekering nee restrisico s acceptabel? ja stop

30 Wrap up: Acceptabele risico s voor een acceptabele prijs Calamiteit Vervelend Peanuts Schade Acceptabel Onacceptabel Te weinig Verlies klantengegevens Rekencentrum uitgebrand. Goed Te veel Stelen van potloden e.d. Beveiligingshypes. Kosten van maatregelen Bron: M. Spruit TU Delft

31 Vragen of Risicoafweging