twitter: @cyberfinland ¤ kyberturvallisuus itseasiassa on ? (jatk.) kyberturvallisuus suojaa...
TRANSCRIPT
Twitter: @CyberFinland www.cyberfinland.fi
- muotisana vai digitaalisen reaalimaailman ilmiö ?
Twitter: @CyberFinland www.cyberfinland.fi
”Digitalisaatio” hyötykäyttöön
Twitter: @CyberFinland www.cyberfinland.fi
Kyberturvallisuus on Digitalisaation
perusta
Mitä kyberturvallisuus itseasiassa on ?
Eräs tieteellinen määritelmä –von Solms & van Niekerk
Twitter: @CyberFinland www.cyberfinland.fi
Lähde: From information security to cyber security”, 26.11.2012, Rossouw von Solms, Johan van Niekerk
Mitä kyberturvallisuus itseasiassa on ? (jatk.)
Twitter: @CyberFinland www.cyberfinland.fi
Mitä kyberturvallisuus itseasiassa on ? (jatk.)
Kyberturvallisuus suojaa yrityksen tai toimijan
Omaa assettia
Hallinnassa tai saatavilla olevaa assettia
Twitter: @CyberFinland www.cyberfinland.fi
Mitä kyberturvallisuus itseasiassa on ? (jatk.)
Kyberturvallisuus toteutuu
Tietojärjestelmissä
Prosesseissa ja menetelmissä
Viestinnässä ja kommunikaatiossa
Vaihe 1
Menetelmä a
Menetelmä b
Vaihe 2
Menetelmä cVaihe 3
Menetelmä d
Menetelmä e
Menetelmä f
Twitter: @CyberFinland www.cyberfinland.fi
Kyberturvallisuus ja operatiivinen / liiketoimintaRiskien hallinta ja operatiivinen jatkuvuus
Kyberturvallisuus on riskien hallinnan prosessi
… ja vaatii jatkuvaa johtamista ja mittaamista
TUNNISTATURVATTAVAT
ASSETIT
TUNNISTA ASETTEIHIN
KOHDISTUVAT UHAT
VALITSE TÄRKEIMMÄT UHAT JOITA VASTAAN
TULEE SUOJAUTUA
TUNNISTA JA TOTEUTA UHKIA VASTAAN
TARVITTAVAT VASTATOIMET
REAGOI TOTEUTUNEISIIN
UHKIIN
RISKIENHALLINTA
KYBERTURVALLISUUDEN JOHTAMINEN
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland www.cyberfinland.fi
Riskienhallinnassa auttaa…
Kyberturvallisuus ja operatiivinen / liiketoiminta (jatk.)Kyberturvallisuus mahdollisuutena
LuotettavuusLaatu
Hallinnoitavuus
Ennustettavuus
Lisäarvo(Differointi)
Twitter: @CyberFinland www.cyberfinland.fi
… osana digitalisaatiota –Digitalisaatio osana kyberturvallisuutta
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland
Twitter: @CyberFinland www.cyberfinland.fi
Case study – SHODAN-hakukone
• Kehittänyt John Matherly (2009 alk.)
• Skannaa internettiin kytkettyjä laitteita ja selvittää mitä ne on
• Serverit, reitittimet, webbikamerat, IP-puhelimet, älytelevisiot, jääkaapit
• Voimalaitokset, tuulivoimalat, tehtaiden ohjausjärjestelmät
• Vuonna 2013 tietokannassa oli noin miljoona laitetta Suomesta
• Hakee tietoa IP-osoitteista NMAP-skriptien avulla (portti + protokolla)
• Aalto-yliopiston (2013) tutkimuksen mukaan Suomessa n. 3000 avointa automaatiolaitetta internetissä, arvio todellisuudesta: n. 10 000
Twitter: @CyberFinland www.cyberfinland.fi
Case Study: Targetin tietomurto 2013
Twitter: @CyberFinland www.cyberfinland.fi
HVAC-yritys
1. HVAC-yrityksellälaskutusyhteys
Targetintoimipisteeseen
2. HVAC-yritykselläyhteys Targetintietoverkkoon
HVAC esimerkki Shodanissa
• Haku Shodan-kantaan avainsanoilla “HVAC” ja alueena “US” antaa mm. seuraavan tuloksen
Twitter: @CyberFinland www.cyberfinland.fi
• Valitsemalla ko. osoitteen saa lisätietoa ko. portista ja käytetystä protokollasta
Twitter: @CyberFinland www.cyberfinland.fi
HVAC esimerkki Shodanissa
Rajapinnat kertovat erityisesti ohjelmistojen ja ajureidenversiotietoja, joita voidaan käyttää hyödyksi haavoittuvuuksienlöytämiseksi- esim. OpenSSH:n vanhat versiot vs. tammikuussa 2016 kyberturvallisuuskeskuksen ilmoittamat haavoittuvuudet(https://www.viestintavirasto.fi/kyberturvallisuus/haavoittuvuudet/2016/haavoittuvuus-2016-011.html )
• Google haku avainsanoilla ‘Trane hvac tracer sc’ antaa mielenkiintoisen listan“suositelluista hauista”
Twitter: @CyberFinland www.cyberfinland.fi
HVAC esimerkki Shodanissa
• Valitsemalla hakusanat ‘sc manual’ antavat tuloksena pdf-tiedoston, joka on Tracer-järjestelmän ohjekirja.
Twitter: @CyberFinland www.cyberfinland.fi
HVAC esimerkki Shodanissa
• Manuaalista löytyy mielenkiintoista tietoa “will not launch Tracer SC if the Web browser security level is set too high”!
• “The Tracer SC Interface requires the Adobe Flash Player, Java Runtime Environment and browser with JavaScript enabled”.
Twitter: @CyberFinland www.cyberfinland.fi
MIKSI EI ?!
… kaikki turvallisia ratkaisuja,eikö ?!
HVAC esimerkki Shodanissa
Twitter: @CyberFinland www.cyberfinland.fi
HVAC esimerkki Shodanissa
Tietoa on todella helppo saadalaillisin keinoin verkosta
MIKSI TÄMÄ SAIRAALAN ILMASTOINTILAITE NÄKYY JULKISEEN INTERNETIIN ?
ONKO LAITE KYTKETTY OMAAN KIINTEISTÖAUTOMAATIOVERKKOON, VAI ONKO LAITE SAIRAALAN OPERATIIVISESSA VERKOSSA ?
SHODAN: älä tee näin …VAAN TEE NÄIN
• Esim. Estetään kaikki ylimääräinen liikenne palvelimelle palomuurisäännöillä
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland www.cyberfinland.fi
Twitter: @CyberFinland www.cyberfinland.fi
Kyberturvallisuus ja regulaatio
Twitter: @CyberFinland www.cyberfinland.fi
Suomen kyberturvallisuusstrategia
EU:n kyberturvallisuusstrategia
Network & Information Security (NIS) -direktiivi
TietoyhteiskuntakaariHenkilötietolaki / Tietosuoja-asetus
Kyberturvallisuus on arjen pieniä tekoja
• Tietoturvan perusasiat kuntoon: työntekijäkohtaiset tunnukset, vahvat salasanat, koneen lukitseminen, softapäivitykset!
• Varmuuskopiot: ”Mitä käy, jos läppäri katoaa tai kovalevy hajoaa?”
• Tietoturvapolitiikka & työntekijöiden kouluttaminen
• Kriittisten järjestelmien/yhteyksien varmentaminen tai varajärjestelmät/prosessit: ”Mitä käy, jos netti on alhaalla tai palvelu ei muuten vain toimi?”
• "What is your password?” https://www.youtube.com/watch?v=opRMrEfAIiI
Twitter: @CyberFinland www.cyberfinland.fi
… ja digitalisaatio –Mitä tulikaan sanottua ?
Twitter: @CyberFinland www.cyberfinland.fi
Digitalisaatio tulee, olemmeko turvassa ?
Kyberturvallisuus on arjen turvallisuutta, koskee jokaista ihmistä joka toimii ja vaikuttaa tietoverkossa
Kyberturvallisuus, hyvin tehtynä, lisää oman toiminnan luotettavuutta ja ennustettavuutta, ja parantaa asiakkaan saamaa laatua, palvelutasoa, turvallisuuskokemusta
Kyberturvallisuus on myös taloudellinen tekijä silloin, kun otat sen huomioon omassa toiminnassasi ja varsinkin kun pystyt osoittamaan että toimit kyberturvallisesti
Twitter: @CyberFinland www.cyberfinland.fi
“ON VÄLTTÄMÄTÖNTÄ OTTAA HUOMIOON”
“PARANTAA RATKAISUJA JA PALVELUJA”
“EI TARVI OLLA VÄLTTÄMÄTÖN ‘PAHA’, VAAN VOI OLLA MYÖS MAHDOLLISUUS”
Kysymyksiä ?
Kiitos !
Twitter: @CyberFinland www.cyberfinland.fi