Frukostseminarium om informationssäkerhet
•
0 likes•1,294 views
Frukostseminarium om informationssäkerhet, 3 november 2015, Malmö Börshus, Malmö. Talare: Anna Nielanger och Stefan Arnslätt, Transcendent Group Väst
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to Frukostseminarium om informationssäkerhet
Similar to Frukostseminarium om informationssäkerhet (20)
More from Transcendent Group
More from Transcendent Group (18)
Frukostseminarium om informationssäkerhet
- 2. Hos Transcendent Group möter du erfarna konsulter inom governance, risk and compliance. Våra tjänster skapar trygghet och möjligheter för myndigheter, företag och andra organisationer inom en rad olika branscher. Transcendent Group har fyra år i rad utsetts till en av Sveriges bästa arbetsplatser. Om företaget ©TranscendentGroupSverigeAB2015
- 3. Om oss Cirka 70 medarbetare totalt • Stockholm: 45 • Oslo: 13 • Göteborg: 5 • Malmö: 4 ©TranscendentGroupSverigeAB2015
- 4. Vår kärnverksamhet • Risk • GRC systemstöd • Verksamhetsstyrning • Internrevision • IT-revision • Informationssäkerhet • Dataanalys • Compliance • Strategisk IT • ERP-tjänster • Privacy ©TranscendentGroupSverigeAB2015
- 5. Stefan Arnslätt Anna Nielanger Informationssäkerhet – aktuella hot och risker Personuppgiftslagen och ny dataskyddsförordning ©TranscendentGroupSverigeAB2015
- 6. Informationssäkerhet – aktuella hot och risker Stefan Arnslätt, Transcendent Group
- 7. Agenda • Bakgrund och koncept: – vad handlar informationssäkerhet om? – mål och syfte med informationssäkerhet • Traditionella IT-relaterade risker. • Aktuella hot och risker: – cyber crime – mobila enheter/mobil säkerhet – sociala medier • Hur kan verksamheter skydda sig? ©TranscendentGroupSverigeAB2015
- 9. Vad handlar informationssäkerhet om? • Informationssäkerhet handlar om att skydda en verksamhets informationstillgångar. • Information kan existera i många former, vilket innefattar: digital information, information i pappersform samt verbal information. • Information har ett värde och priset går därför att mäta i olika termer, exempelvis: i kostnader för att återskapa information, i missade leveranser, i förlorade kunder eller i form av skadestånd eller förlorat förtroende på marknaden. ©TranscendentGroupSverigeAB2015
- 10. Ett riskbaserat förhållningssätt: riskanalys och riskaptit Plan Do Check Act ©TranscendentGroupSverigeAB2015
- 11. Principerna för informationssäkerhet IS-triaden konfidentialitet riktighettillgänglighet • Konfidentialitet – att hålla känslig information skyddad från obehörig åtkomst. • Riktighet – att hålla information korrekt och fullständig. • Tillgänglighet – att hålla information tillgänglig och användbar vid behov/begäran från verksamheten. ©TranscendentGroupSverigeAB2015
- 13. Vanligaste riskområdena • ändringshantering • behörighetshantering • kontinuitetsplanering • bristande koppling mellan IT och affärsverksamheten • intrång ©TranscendentGroupSverigeAB2015
- 14. Aktuella hot och risker: cyber crime ©TranscendentGroupSverigeAB2015
- 15. Cyber crime ©TranscendentGroupSverigeAB2015 Typ av attack Syfte Phishing (social engineering) Att utge sig för att vara någon annan (exempelvis supporttjänsten på en bank) för att lura användare att dela med sig av känsliga uppgifter och information såsom kontonummer och liknande. Malware (sabotageprogram) Program/skadlig kod (till exempel en trojan) som via någon form av intrång installeras på en dator eller nätverk med syfte att störa och sabotera systemet eller samla in information. Identitetsstöld Att kapa personuppgifter / identiteter för att exempelvis handla varor och tjänster i någon annans namn.
- 20. Allt starkare externa krafter kräver ett större fokus på cybersäkerhet Er verksamhetRegulatoriska krav IT-beroende Ökade attackytor Avancerade hot Nya arbetssätt ©TranscendentGroupSverigeAB2015
- 21. Aktuella hot och risker: mobila enheter/mobil säkerhet ©TranscendentGroupSverigeAB2015
- 22. En enorm ökning • Under 2014 översteg antalet mobila enheter (7,4 miljarder) hela jordens befolkning*. • Cirka 500 miljoner mobila enheter tillkom under 2014*. • Användande av smartphones ökade med 45% under 2014*. • I och med det ökade användandet av smartphones kommer de utgöra 75% av all mobil datatraffik 2019*. ©TranscendentGroupSverigeAB2015 * CISCO Visual Networking Index
- 23. De vanligaste riskerna 1. Svagt lösenordsskydd – verksamheten har bristande kontroll över vilket lösenordsskydd som appliceras på anställdas mobila enheter (PIN-kod, touch ID). 2. Okrypterade (offentliga) trådlösa nätverk används för att läsa/skicka mail, ladda ner dokument etcetera. 3. Ökad exponering för skadlig kod (malware) via nedladdade appar. 4. Säkerhetsmjukvara (till exempel virusprogram) är ej installerad på den mobila enheten. 5. Avsaknad av policys och riktlinjer – ger låg säkerhetsmedvetenhet inom verksamheten. ©TranscendentGroupSverigeAB2015
- 24. Aktuella hot och risker: sociala medier ©TranscendentGroupSverigeAB2015
- 26. Sociala medier • ”Kartläggningsprocessen” för att utföra attacker underlättas till stor del av informationsspridningen via sociala medier: – Med en gång information läggs upp på sociala medier så upphör den att vara privat. • Enligt undersökningen lagringsbarometern från Proact som utförs på offentliga och privata bolag tror 84 procent av kommunerna och 78 procent av svenska börsbolag att industrispionage kommer att bli vanligare framöver. • Trots tron om ökat antal incidenter räds inte de svenska bolagen. Endast ett av fyra börsbolag (24 %) och kommuner (28 %) oroar sig för att bli utsatta för industrispionage. ©TranscendentGroupSverigeAB2015
- 27. Hur kan verksamheter skydda sig? ©TranscendentGroupSverigeAB2015
- 28. Hur kan verksamheter skydda sig? Etablera en basnivå för IT – och informationssäkerhet: • En verksamhetsgemensam basnivå med minimikrav för alla system. • Skarpare krav för system som innehåller känslig information. • Informationsklassning för att säkerställa rätt skyddsnivå • Roller och ansvar (systemägare, informationsägare). • Security awareness - Informera och träna personal löpande ©TranscendentGroupSverigeAB2015
- 30. Personuppgiftslagen och ny dataskyddsförordning Anna Nielanger, Transcendent Group
- 31. Personuppgifts- biträde Tillsyns- myndighet Personuppgifts- ansvarig Person- uppgift Behandling Tredje land Personuppgifts- ombud Integritet Registrerad Samtycke Känslig uppgift Ändamål med behandling Centrala begrepp ©TranscendentGroupSverigeAB2015
- 32. Historisk utveckling 1973 Datalagen (SE) 1995 Dataskyddsdirektivet (EU) 1998 Personuppgiftslagen (SE) 2007 Uppdaterad Personuppgiftslag (SE) 2012 Kommissionens förslag till dataskyddsförordning (EU) 2014 Parlamentets reviderade förslag till dataskyddsförordning (EU) ©TranscendentGroupSverigeAB2015
- 33. Personuppgiftslagens syfte • Syftar till att skydda människor mot att deras personliga integritet kränks när personuppgifter behandlas. • Reglerar hur personuppgifter får behandlas. • Behandling omfattar insamling, registrering, lagring, bearbetning, spridning, utplåning med mera. • För strukturerad personuppgiftsbehandling gäller betydligt fler regler än för ostrukturerad. • Särregler i annan lagstiftning tar över bestämmelserna i personuppgiftslagen, och det finns undantag med hänsyn till offentlighetsprincipen samt tryck- och yttrandefriheten. ©TranscendentGroupSverigeAB2015
- 34. Roller och ansvar i PuL • Den juridiska person eller myndighet som behandlar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad de ska användas till. • Ansvaret är straff- och skadeståndssanktionerat. Personuppgifts- ansvarig • Behandlar personuppgifter för den personuppgiftsansvariges räkning. • Finns alltid utanför den egna organisationen. • Kan vara en fysisk eller en juridisk person. • Ett skriftligt avtal måste upprättas. Personuppgifts- biträde • En person som ser till att personuppgifter behandlas korrekt och lagligt inom en verksamhet. • För förteckning över register och annan behandling av personuppgifter. • Hjälper registrerade att få felaktiga uppgifter rättade. Personuppgifts- ombud ©TranscendentGroupSverigeAB2015
- 35. Huvuddragen i personuppgiftslagen baseras på ett EU- direktiv bygger på samtycke och information till de registrerade, tydligt syfte krävs uppgifter som behandlas skall vara aktuella och riktiga endast nödvändiga och adekvata personuppgifter får behandlas rutiner för rättning, uppdatering och radering av uppgifter krävs stränga regler för känsliga uppgifter begränsade möjligheter att föra över personuppgifter utanför EU/EES bestämmelser om information som ska lämnas till den registrerade tekniska och organisatoriska åtgärder för att skydda personuppgifter ©TranscendentGroupSverigeAB2015
- 36. Håll reda på era behandlingar vilka personuppgifter registreras? syftet med registreringen information till de registrerade samtycke hur länge bevaras uppgifterna? ©TranscendentGroupSverigeAB2015
- 37. Håll reda på hur personuppgifterna hanteras upprätta register- förteckning lämnas uppgifterna ut? behörighet till uppgifterna säkerhets- åtgärder för att skydda uppgifterna biträdesavtal med IT- leverantörer ©TranscendentGroupSverigeAB2015
- 38. Utmaningar i personuppgiftslagen: • låg allmänkunskap • vårdslöst förhållningssätt • bristande översikt av behandlingar • PuO:s kompetens och plats i organisationen • gallringsrutiner • avtal med tjänsteleverantörer • bristande säkerhet. ©TranscendentGroupSverigeAB2015
- 40. Bakgrund till ny dataskyddsförordning Trialogförhandlingar mellan kommissionen, rådet och europaparlamentet pågår. Förhoppningar finns om att en färdig text är klar mot slutet av 2015. Lades fram redan 2012, och syftar till att stärka skyddet för datalagrade personuppgifter. Både EU-kommissionen och rådet har sagt sitt. Blir en förordning, och därmed en lag i EU:s alla medlemsstater. ©TranscendentGroupSverigeAB2015
- 41. Utökad omfattning och harmoniserad tillämpning • Blir en förordning. • Omfattar all behandling, även ostrukturerad. • Utvidgad territoriell tillämpning. • Strängare krav kring överföring till tredje land. • Utökning av vad som avses med känsliga uppgifter: uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller livsåskådning, sexuell läggning, könsidentitet, medlemskap och verksamhet i fackförening samt behandling av genetiska eller biometriska uppgifter, uppgifter om hälsa och sexualliv, administrativa sanktioner, domar, brott eller misstänkta brott, fällande domar i brottmål samt därmed sammanhängande säkerhetsåtgärder. ©TranscendentGroupSverigeAB2015
- 42. Utökade rättigheter för registrerade • Registrerade personer skall i vissa fall ges rätt att begära att information om sig själv raderas. • Den registrerade har rätt att när som helst göra invändningar mot behandling av personuppgifter. • Skärpta krav avseende profilering. ©TranscendentGroupSverigeAB2015
- 43. Mer utförlig information till registrerade ©TranscendentGroupSverigeAB2015
- 44. Ökade krav på styrning • Skyldighet att anta en integritetsskyddspolicy och vidta åtgärder för att kontrollera efterlevnaden. • Utökade krav på regelbundet uppdaterad dokumentation om all behandling som utförs. ©TranscendentGroupSverigeAB2015
- 45. Mer specifika säkerhetskrav • Krav på riskanalys och konsekvensbedömning avseende uppgiftsskydd. • Mer specifika krav avseende säkerhetsstrategi för behandlingen. • Krav på anmälan av dataintrång till Tillsynsmyndigheten och information till registrerade. ©TranscendentGroupSverigeAB2015
- 46. Uppgiftsskyddsombudet • Uppgiftsskyddsombudet skall ges en oberoende ställning och inte ha övriga arbetsuppgifter som leder till en intressekonflikt. • Uppgiftsskyddsområdet utses på minst 2 alternativt 4 år. • Krav på uppgiftsskyddsombudets arbetsuppgifter. ©TranscendentGroupSverigeAB2015 Skyldighet att utse uppgiftsskydds- ombud/person- uppgiftsombud Myndigheter Juridisk person som behandlar fler än 5000 registrerade under en sammanhängande period på 12 månader. De som har behandling som kräver regelbunden och systematisk övervakning av de registrerade, som sin kärnverksamhet.
- 47. Strängare sanktioner Strängare sanktioner vid överträdelser eller brott mot den nya förordningen innebär: • Straffavgift på upp till 1 MEUR alternativt 2% av företagets årliga globala omsättning. • Sanktioner kan utdömas även mot biträden (leverantörer). ©TranscendentGroupSverigeAB2015