MASTERCLASS MOBILE DEVICE SECURITY CLOUD COMPUTING, SMARTPHONES, EN SECURITY

MASTERCLASS MOBILE DEVICE SECURITY CLOUD COMPUTING, SMARTPHONES, EN SECURITY Hans Breukhoven BlinkLane Consulting 18 September 2012

2 Wie ben ik? Partner bij BlinkLane Consulting Interim IT-manager & adviseur Ervaring met Innovatie van businessmodellen IT Management (Demand/Supply) Sourcing icm Cloud Computing

3 Onderwerpen De voor- en nadelen van overstappen op de cloud; de exacte implicaties van deze technologie Risico s van overstappen op de Cloud Ontwikkeling rondom het (zakelijke) gebruik van cloud diensten op smartphones en tablets De uitdaging die cloud diensten, mobiele apparaten en bring-yourown-device vormen voor uw IT organisatie Mobiel, cloud en de inzet van open source technologie

4 Cloud en Smartphones zijn onderdeel van een groter geheel van trends Vijf onderliggende trends Gen Y Smartphones Cloud Computing Sourcing Security Maar worden in de praktijk vaak gescheiden van elkaar of gedeeltelijk opgepakt

5 Generatie Y

6 Gen Y snapt het probleem prima, maar onderschat de impact op organisaties

7 Hoe bereik je Gen Y op het gebied van Security? 52% deelnemers vindt dat beveiliging van devices niet hun verantwoordelijkheid is (wel die van IT en leveranciers) 80-90% geeft aan dat ze regelmatig IT-policies gerelateerd aan security niet volgen Uit die groep voert 35% aan dat ze vinden dat ze niets verkeerd doen Hoe ga je als organisatie hier mee om?

8 Smartphone/Cloud Trends we are going Voor zakelijk smartphone gebruik zijn er drie grote trends: - Van BYO mobile naar CYO - Platform-wars woeden voort - Security op data (Jericho) Dus: - Multi-platform is een gegeven - Webapps fast! versus Native apps - Liever CloudApps dan een AppStore

9 Belangrijkste eigenschappen cloud computing Exploitatie voor één organisatie Cluster van organisaties Private Public Comm unity Hybrid Klant gebruikt applicatie Klant neemt alleen ICTinfra af SAAS PAAS IAAS Klant neemt ICTinfra + platform af Gemakkelijk schaalbaar (flexibel) Betalen voor gebruik ICT resources worden gedeeld Toegankelijk via standaard technologie, internet Leverancier gaat efficient met capaciteit om Self Service Markt of industrie-gericht Combinaties van

10 Public/Hybrid cloud is het einddoel voor veel organisaties ICT-Office : 40% NL ICT-dienstverlening verloopt via CC in 2015 Bron : Gartner / Forrester, 2012

11 Dus : wat houdt ons tegen? Vijf onderliggende trends Gen Y Smartphones Cloud Computing Sourcing Security

12 Reden 1: Verlies van informatie & ongewenste toegang

13 What is the name of your favourite pet? Smartphone Pushmail Dropbox Cloud!

14 Mobile Device-based Cloud-diensten hebben hier ook last van

15 Reden 2 : Public Cloud is vaak niet het beste instapmodel Kostenvoordeel (prijs en flexibliteit) Risicobeheersing Bron : ENIS, 2009

16 Reden 3 : Mobile Devices zijn hier de root of all evil (in de perceptie)

17 Samenvatting Het is geen vraag meer OF, de vraag is WANNEER HNW/Smartphones wordt gedreven door Innovatie Sourcing / Cloud wordt gedreven door flexibiliteit en kosten Hoe zorg je dat Security (Risk) hier niet alleen de handrem wordt?

18 Vier concrete oplossingen 1. Gefaseerde migratie naar de cloud 2. Security as a Service 3. Risk assessment van cloud providers 4. Cloud Service Brokers als mitigerende maatregel En dat alles met een Agile-driven aanpak

19 Oplossing 1 : Gefaseerde migratie naar de cloud 1. Virtualisatie eigen omgeving 2. Private cloud overdragen aan andere partij 3. Private cloud wordt onderdeel van managed cloud 4. Managed cloud wisselt capaciteit uit met omgeving DataCentre Private Cloud (zelf) Private Cloud (lev) Community Cloud Hybrid/Public Cloud

20 Oplossing 2 : Security as a Service

21 Oplossing 3: Risk Assessment op Cloud Providers

22 Top 3 Risico s bij Cloud Providers 1. Loss Of Governance 2. Compliance Challenges 3. Risk from changes of jurisdictions Bron : Enisa, 2009

23 De maatregel hangt af van het type cloudservice dat je afneemt

24 Frameworks voor cloud risk assesment Consensus Assessments Initiative Questionnaire v1.1 Control Group CGID CID Consensus Assessment Questions Compliance Audit&Planning CO.01 CO.01.1 Do&you&produce&audit&assertions&using&a&structured,&industry&accepted&format&(ex.& CloudAudit/A6&URI&Ontology,&CloudTrust,&SCAP/CYBEX,&GRC&XML,&ISACA's&Cloud& Computing&Management&Audit/Assurance&Program,&etc.)? Independent&Audits CO.02&&&&&&&&&&& CO.02.1 CO.02.2 CO.02.3 CO.02.4 CO.02.5 CO.02.6 CO.02.7 Do&you&allow&tenants&to&view&your&SAS70&Type&II/SSAE&16&SOC2/ISAE3402&or&similar&third& party&audit&reports? Do&you&conduct&network&penetration&tests&of&your&cloud&service&infrastructure&regularly&as& prescribed&by&industry&best&practices&and&guidance?& Do&you&conduct&regular&application&penetration&tests&of&your&cloud&&infrastructure&&as& prescribed&by&industry&best&practices&and&guidance?& Do&you&conduct&internal&audits&regularly&as&prescribed&by&industry&best&practices&and& guidance?& Do&you&conduct&external&audits&regularly&as&prescribed&by&industry&best&practices&and& guidance?&& Are&the&results&of&the&network&penetration&tests&available&to&tenants&at&their&request?&& Are&the&results&of&internal&and&external&audits&available&to&tenants&at&their&request? Third&Party&Audits CO.03 CO.03.1 Do&you&permit&tenants&to&perform&independent&vulnerability&assessments? CO.03.2 Do&you&have&external&third.party&conduct&vulnerability&scans&and&periodic&penetration&tests& on&your&applications&and&networks? Maar je moet het wel specifiek voor CC maken! Cloud Security Alliance, Cloud Control Matrix, 2012

25 Scope risk assessment bij SaaS

26 Scope risk assessment bij PaaS

27 Scope risk assessment bij IaaS

28 Oplossing 4 : Onderken een Cloud Service Broker in de sourcing-strategie

29 Basispropositie

30 CSB volgens Gartner Gartner, Juli 2012

31 De Cloud Services Broker Forrester, Juli 2012

32 Tot slot: Gebruik een Agile aanpak 3 dingen waarvan we zouden willen dat ze waar waren: Wij en onze klanten weten van te voren wat we willen Wij weten hoe we het moeten realiseren Niets zal gedurende het proces veranderen 3 dingen waarmee we moeten leven: Wij en onze klanten ontdekken wat we willen Wij moeten leren hoe we kunnen realiseren Veel zal gedurende het proces veranderen

33 Vragen / Discussie Hans Breukhoven Partner +31 6 51428991 Hans.breukhoven@blinklane.com BlinkLane Consulting SPACES Zuidas Barbara Strozzilaan 201 1083 HN Amsterdam +31 20 4080860