Prezentacja podczas What-the-Hack

Tym razem będzie krótko...
Podczas What-the-Hack opowiadałem o wielowarstwowym modelu zarządzania bezpieczeństwem informacji wskazując jak można w nim wykryć takie elementy będące "najlepszymi praktykami" jak:
- trzy tryby pracy
- wiele warstw ochrony
- zabezpieczenia prewencyjne, detekcyjne i korekcyjne
- identyfikowanie ryzyka
- identyfikowanie możliwości doskonalenia
- identyfikowanie incydentów
- i jeszcze parę...

Czym skorupka za młodu...

Taki był tytuł prezentacji, którą pokazałem podczas niedawnego spotkania ISACA. W skrócie chodzi o to by z wiedzą na temat cyberbezpieczeństwa docierać jak najwcześniej do głównych zainteresowanych, czyli tych, którzy zaraz zaczną:

1) grzebać w systemach teleinformatycznych zaspokajając zdrową ciekawość

2) wykorzystywać te systemy do coraz bardziej istotnych zadań

Trzy makroprocesy zarządzania bezpieczeństwem informacji

W ramach ponad trzydziestu procesów jakie składają się na „Wielowarstwowy model zarządzania bezpieczeństwa informacji” można wyróżnić ich trzy podstawowe rodzaje - makroprocesy. Najłatwiej jest je przedstawić poprzez analogię do czasu pokoju, czasu rozwoju i czasu wojny. Zostały one wyróżnione na przedstawionym obok ogólnym schemacie modelu.

Model wielowarstwowego zarządzania bezpieczeństwem informacji

W rezultacie badań nad wielowarstwowym zarządzaniem bezpieczeństwa informacji w bankach wielonarodowych w Polsce, które prowadziłem na Wydziale Zarządzania Politechniki Warszawskiej pod opieką naukową prof ds hab. inż. Stanisława Tkaczyka powstał model systemu zarządzania. Prace zakończyły się przyznaniem mi w maju 2018 tytułu doktora w dziedzinie nauk ekonomicznych w dyscyplinie nauk o zarządzaniu.

Fajne dashdoardy dot. security

Nie raz zdarza się, że w miejscu, gdzie na poważnie zajmujemy się ochroną naruszeń pojawiają się goście. Trzeba im wtedy pokazać jak dzielnie bronimy Internetu i jak groźni są cyberprzestępcy. Mysi być ładnie, dynamicznie, no i raczej nie chcemy by osoby z zewnątrz zobaczyły nad jakimi rzeczywistymi casami siedzimy w tym momencie.

Trudne hasła, wycieki... no i zabezpieczenia

W sieci można znaleźć listę ponad dwóch miliardów logiów i haseł, które na przestrzeni lat wyciekły z kolejnych włamań. Brzmi to przede wszystkim jak ciekawostka dla freaków nieruszających się sprzed klawiatury, ale tak nie jest. Ma to de facto spore implikacje dla większości organizacji i powoduje, że coś z tym trzeba zrobić.

Dług technologiczny

Obserwując rozwój nowoczesnych technologii z perspektywy działań na rzecz zapewnienia bezpieczeństwa informacji nie można oprzeć się wrażeniu, że pogoń za funkcjonalnościami nie idzie w parze z jakością ich zaprojektowania, wykonania i eksploatacji. Nie ma tygodnia by nie pojawiały się doniesienia o kolejnych znacznych awariach czy wyciekach danych. Kilka lat temu wprowadzono już nawet do statystyk kategorię "megawycieków" by lepiej wyróżniać te przypadki, gdzie ujawniono powyżej 10 milionów nielegalnie przejętych zestawów danych. Pojawia się pytanie jak to możliwe, że systemy zabezpieczające potężne firmy - często międzynarodowych gigantów, można skompromitować w trywialny niekiedy sposób. Odpowiedzią na to jest zjawisko "długu technologicznego".

Jakość i dojrzałość usług SOC

Od kilku lat niesamowitą popularność zyskują usługi SOC.
Przez lata widać było pośród największych podmiotów szereg trendów w cyberbezpieczeństwie. Masowe kupowanie antywirusów w drugiej połowie lat dziewięćdziesiątych, masowe zakupy firewall ok 2000 i kilka lat później dołączanie do nich IDS/IPS. Potem masowo zaczęliśmy kupować biblioteki taśmowe i tworzyć centra zapasowe
Był róœnież "run" na webproxy i SIEM'y... Trochę chyba mniejsze zainteresowanie było systemami DLP, SSLi i zaawansowanymi antymalware, a ciągle na swoje 15 minut sławy czekają systemy EDR i MDM...
To co w tym momencie jest na topie, tym co każdy chce mieć, jest SOC.

Welcome to the jungle, czyli jak zabezpieczyć komórkę

Przy okazji niedawnej rozmowy z przyjaciółmi o tym jak zabezpieczyć nowy telefon (tak, tak - są jeszcze ludzie na tym świecie, którym dobrze było bez smartfonów), przygotowałem tę listę. Może komuś się przyda.

W zależności od systemu operacyjnego trzeba będzie dłużej lub krócej szukać niektórych z opcji, ale można to potraktować jaką taką podstawową checklistę.

Aha - oczywiście pasuje to też do tabletów.

Mityczne cyberincydenty

"Panie - u nas to incydentów nie ma" - tak wygląda znaczna część z moich spotkań. Choć takie bycie "zieloną wyspą" na czerwonym morzu cyberincydentów może wydawać się czymś pozytywnym, moje wnioski są zgoła inne. Po prostu zdecydowana większość podmiotów w Polsce nie ma pojęcia co też dzieje się w ich sieciach. A incydent zauważy nie wcześniej niż gdy jakiś ransomware zaszyfruje im całą infrastrukturę (oczywiście z kopiami bezpieczeństwa).

Zarówno RODO jak i KSC na szczęście zaczęły coś zmieniać w tym zakresie. Mamy na przykład coraz bardziej interesujące dane statystyczne.

Po co komu bezpiecznik?

Potrzeba posiadania w zespole osób odpowiedzialnych za bezpieczeństwo jest coraz bardziej powszechna. RODO, KSC, wymagania sektorowe oraz oczywiście największe incydenty przebijają się do głównych mediów i tym samym zaczynają (powoli) gościć w świadomości „biznesu”. Pojawiają się niekiedy jednak spore uproszczenia w zakresie tego czym powinny się takie osoby zajmować, po co w organizacji tak naprawdę jst bezpiecznik. Albo inaczej mówiąc – gdzie może wnieść największą wartość.

Długi dzień bez cyberbezpieczeństwa

Thales przygotował bardzo przyjemny (ok, może trochę apokaliptyczny) film pokazujący dlaczego cyberbezpieczeństwo jest ważne.

Na co dzień tego nie widać, ale jego brak "trochę" może się dać wszystkim we znaki

Czego można by oczekiwać od CSIRT Sektorowego

Niedawno w trakcie jednej z dyskusji zastanawiałem się czym mogłyby zajmować się sektorowe CSIRT, gdy (jeżeli) w końcu zaczną prężnie działać. Nie chodziło o działania wprost wymagane przez KSC, ale o działania, które po prostu przyniosą wartość dla danego sektora. Pomyślałem, że może to się komuś przyda. Krótka burza mózgów przyniosła następujące pomysły:

Szybciej, taniej, lepiej

22 czerwca w Kielcach, przy okazji targów GameON odbędzie się konferencja SafetyOn.

Opowiem na niej o tym co "bezpiecznicy" mogą zrobić, w zakresie komunikacji z Zarządami, by zyskać większy pogłos. Mimo wieloletniego budowania świadomości oraz odpowiednich przepisów prawa, dla najwyższego kierownictwa cyberbezpieczeństwo jest jedynie interesującym zagadnieniem przy okazji wyjątkowych wydarzeń. Na co dzień tak bardzo koncentrują się na rozwoju biznesu, że ochrona zasobów schodzi na znacznie dalszy plan. W sumie trudno ich za to ganić, a nawet należy pochwalić.

Mamy KSC - Co robić? Jak żyć?

Pod tym tytułem odbędzie się 18 czerwca moje wystąpienie w Akademii Marynarki Wojennej podczas konferencji Przestępczość Teleinformatyczna XXI.2
W trakcie prezentacji podzielę się swoimi doświadczeniami i przemyśleniami w zakresie tego jak Operatorzy Usług Kluczowych podchodzą do kwestii zgodności z wymaganiami Ustawy oraz - przede wszystkim - zaproponuję na czym warto by się skoncentrowali w pierwszej kolejności.

IBM Security Summit

10 czerwca w Warszawie miał miejsce pierwszy w Europie Wschodniej IBM Security Summit.

Jako, że IBM Security zaprosił mnie do uczestnictwa w tym wydarzeniu pomyślałem, że odwdzięczę się krótkim opisem tego co najciekawszego wyniosłem ze spotkania.

Przede wszystkim spotkanie dotyczyło nowej wizji podejścia do zabezpieczeń. 

W niedalekiej przyszłości powinniśmy przygotować się na konieczność sprostania zagrożeniom płynącym z takich nowych technologii jak:

1) Artificial Intelligence

2) 5G

3) IoT

4) Automation

5) Blockchain

3 wnioski (i 4 najskuteczniejsze zabezpieczenia) wynikające z analizy „mega-ataków”

2017 rok (czyli rok w którym zaczęła się przerwa w prowadzeniu bloga) był pełen istotnych wydarzeń dotyczących cyberbezpieczeństwa. A przynajmniej dwa z nich powinny moim zdaniem przejść do historii. Epidemia WannaCry oraz Non-Petya.

Jeden i drugi atak miał szereg wspólnych cech i to na tym oraz wynikających z tego wnioskach chcę się skoncentrować. Dlaczego podnoszę ten temat w 2019 roku? Bo opadł już kurz, wydarzenia te przeszły do historii i coraz więcej osób o tym zapomina. Już niedługo pewnie pojawią się piewcy twierdzący, że ataki te „trącą myszką”, inni będą pisać wspomnienia o tym jak też bohatersko walczyli z tymi epidemiami i je pokonali. A moim zdaniem jeden i drugi atak obnażył szereg fundamentalnych zaniedbań w wielu organizacjach, które mogą się powtórzyć. A bardzo bym chciał byśmy tym razem byli na to lepiej przygotowani.

Wielowarstwowe zarządzanie bezpieczeństwem informacji

W okresie „ciszy na blogu” odniosłem bardzo duży sukces osobisty. Udało mi się mianowicie obronić na Wydziale Zarządzania Politechniki Warszawskiej rozprawę doktorską pt. Zarządzanie bezpieczeństwem informacji w bankach wielonarodowych w Polsce.

Jednym z owoców rozprawy był model wielowarstwowego zarządzania bezpieczeństwem informacji w bankach wielonarodowych. W jednym modelu zarządzania udało mi się przedstawić szereg powszechnie uznanych najlepszych praktyk bezpieczeństwa. Podstaw tak oczywistych, że aż wydawałoby się niekiedy niemożliwych do uporządkowania.

Dzień dobry po przerwie

Od ponad 2 lat na tym blogu nie działo się nic... 

Było to związane z zadaniem, którego się podjąłem, jakim było stworzenie najlepszego zespołu SOC z Polsce i rozwinięcie usług cyberbezpieczeństwa w Exatel.

W trakcie ostatnich 26 miesięcy firma została przejęta przez Skarb Państwa i została włączona pod nadzór Ministerstwa Obrony Narodowej potwierdzając jej kluczową pozycję jako podmiotu stojącego na straży bezpiecznej łączności niezbędnej najbardziej wymagającym podmiotom. W międzyczasie powstał Departament Cyberbezpieczeństwa oferujący usługi wdrażania zaawansowanych usług cyberbezpieczeństwa, testów, doradztwa zarówno w zakresie technicznych jak i proceduralnych wyzwań bezpieczeństwa no i przede wszystkim działającego w trybie 24x7 zespołu SOC.

Udało mi się zatrudnić kilkudziesięciu super fachowców, zdobyliśmy kompetencje, wdrożyliśmy i zamieniliśmy w „cyberusługi” całą kolekcję naprawdę fajnych „zabawek”, wdrożyliśmy nasze usługi dla szeregu bardzo interesujących podmiotów, a na dodatek, tam gdzie zobaczyliśmy takie potrzeby, przygotowaliśmy własne rozwiązania. Jak choćby operatorskiej klasy system antyDDoS „TAMA”, który przygotowaliśmy wraz z Politechniką Warszawską w ramach grantu NCBiR.Wypromowaliśmy też świetną konferencję - Exatel Security Days, która co roku ma więcej chętnych niż wolnych miejsc...

Stworzenie i przewodzenie tak wspaniałemu zespołowi było na tyle angażujące, że na tego blog’a po prostu nie starczyło mi czasu. 

Z końcem kwietnia przekazałem stery Departamentu Cyberbezpieczeństwa w nowe ręce i niezmiennie kibicuje wszystkiemu co dla cybersuwerenności RP dzieje się w Exatel. A niektórymi z moich doświadczeń czy przemyśleń będę ponownie się dzielić tutaj oraz na różnych konferencjach i spotkaniach branżowych.