Cyberbezpieczeństwo w polskich bankach

Adam opublikował dzisiaj informację o potężnych włamaniach do szeregu działających w Polsce banków.Również dzisiaj (zbieżność ZUPEŁNIE przypadkowa) złożyłem na Wydziale Zarządzania Politechniki Warszawskiej swoją rozprawę doktorską pt. "Zarządzanie Bezpieczeństwem Informacji w bankach wielonarodowych w Polsce".

Dzień dobry po przerwie

Witam po dość długiej przerwie. Przez ostatnie 3 lata tak bardzo poświęciłem się wspaniałej przygodzie jaką była współpraca z IMMUSEC, że nie miałem już czasu na regularne aktualizowanie niniejszego bloga.

W miedzy czasie oczywiście trochę pisałem i występowałem w różnych miejscach.

By mieć wszystko niejako pod ręką zrobię małą listę niektórych z najciekawszych z aktywności.

• 13 listopada 2013 w Kazimierzu Wielkim na konferencji Maturity 2013 opublikowałem oraz prezentowałem artykuł pt. Nowoczesne podejście do funkcji audytu
• W wrześniu i październiku 2014 poprowadziłem szkolenia dla IIA Polska dotyczące Rekomendacji D
• Przez cały ten okres kontynuowałem pracami w zakresie sponsorowanego przez IMMUSEC tłumaczenia newsletter CRYPTO-GRAM wydawanego przez Bruce’a Schneier’a
• W 2013 i 2014 r. uczestniczyłem w grupie powołanej przez ISACA Katowice mającej na celu przetłumaczenie na język polski dokumentu COBIT 5.0. Tłumaczenie niestety nie ukazało się wciąż w druku, niemniej z tego co ostatnio usłyszałem ma to się stać najpóźniej na wiosnę 2016
• 27 stycznia 2014 r. w Pulsie Biznesu ukazał się mój króciutki artykuł pt. Ile norm, tyle korzyści
• 16 marca 2015 na konferencji SEMAFOR przedstawiłem wykład pt. (nie)ład informatyczny w praktyce
• 23 kwietnia 2015 na konferencji  „Zarządzanie ryzykiem IT i bezpieczeństwo informacji”  uczestniczyłem w panelu dyskusyjnym oraz przedstawiłem prezentację pt. Zarządzanie ryzykiem wewnątrz organizacji i budowa kultury bezpieczeństwa
• W czerwcu 2015 w pracy Wiedza i doświadczenie a współczesne koncepcje i narzędzia zarządzania organizacją, praca zbiorowa Toruński J., Chrząścik M. [red], Siedlce 2015, ukazał się mój artykuł pt. Podejmowanie decyzji dotyczących zarządzania bezpieczeństwem informacji w bankach wielonarodowych
• 16 czerwca na łamach Gazety Finansowej ukazał się mój krótki artykuł pt.Cyber security – bezpieczeństwo polskich banków
• 18 czerwca 2015 r. w Warszawie podczas śniadania BION zorganizowane przez firmy C&F oraz IMMUSEC  przedstawiłem prezentację pt. Proces zarządzania ryzykiem w organizacji
• 18 czerwca 2015 r. jako jedna z osób przedkładających uwagi do propozycji dokumentu zostałem zaproszony do uczestnictwa w debacie na temat Dobrych Praktyk Spółek Notowanych na GPW. Mimo, że przedstawione przeze mnie propozycje dotyczące zarządzania ryzykiem IT oraz informowania klientów o wycieku ich danych osobowych wywołały dość burzliwą debatę, ostatecznie nie zostały umieszczone w finalnej wersji dokumentu, niemniej ziarno zostało zasiane. Uwzględniono natomiast uwagi zgłaszane razem z IIA Polska oraz Agnieszka Modras dotyczące bardziej sztywnych zasad utrudniających swobodne rezygnowanie przez spółki giełdowe z wyodrębniania jednostek odpowiedzialnych za realizację funkcji kontrolnych. Ostateczny kształt rekomendacji znajduje się tutaj 
• 20 i 21 listopada na konferencji Quality&Risk przedstawiłem 2 referaty zamieszczone w publikacjach towarzyszących konferencji: Znaczenie ryzyk teleinformatycznych w działalności międzynarodowych banków (przygotowany z prof. zw. dr hab. inż. Stanisławem Tkaczykiem) oraz Analiza ryzyka jako podstawowa metoda zmniejszania niepewności (przygotowany z dr inż. J. Sytą)
•  25 listopada 2015 na XI Konferencji PolCAAT’2015 uczestniczyłem w panelu dyskusyjnym oraz przedstawiłem prezentację pt. Idealny system bezpieczeństwa – w poszukiwaniu jednorożca

Wszystkich aktywności raczej nie uda mi się odtworzyć, niemniej cały czas obracam się wokuł zagadnień dotyczących ryzyk IT i wciąż widzę, jak dużo jeszcze pracy trzeba poświęcić by zagadnienie to było nadzorowane adekwatnie na skali zagrożeń.

Teraz wracam do bloga i zapraszam ponownie chętnych do poznania moich przemyśleń na temat zarządzania cyberbezpieczeństwem.

XV Międzynarodowa Konferencja Naukowa INTEGRATION 2012

W dniach 23-25 listopada w Kazimierzu nad Wisłą odbędzie się XV Międzynarodowa Konferencja Naukowa INTEGRATION 2012
W drugim dniu będę miał przyjemność przedstawić wykład pt. "Zintegrowane zarządzanie jakością i bezpieczeństwem – kluczowymi wyznacznikami nowoczesnego przedsiębiorstwa", w którym postaram się scharakteryzować wybrane technologie i style zarządzania występujące w nowoczesnych przedsiębiorstwach. Pokrótce scharakteryzuję też ryzyka związane z tymi zjawiskami.
Serdecznie zapraszam na konferencję, jak i na wykład. Pełen program znajduje się tutaj
.

Zbliża się kolejne szkolenie CISA

Pozwolę sobie przypomnieć, że szybkimi krokami zbliża się nasze kolejne szkolenie przygotowujące do egzaminów CISA!!!
Wiosenne szkolenie było nawet bardziej skuteczne niż się spodziewaliśmy - egzamin zdało 100% naszych kursantów. Trudno będzie powtórzyć ten doskonały wynik, niemniej spróbujemy :-)

Zainteresowanych zapraszam na stronę szkolenia CISA.
.

Cyberprzestępczość nigdy nie była tak łatwa

TrendMicro opublikował ostatnio niezły film dotyczący bezpieczeństwa smartfonów. Nie ma tam może nic nowego, ale jest ładnie nagrany, ładnie zmontowany, kręcony w Warszawie oraz...chyba trafiający do świadomości osób spoza branży. Nie jest to też, co warto podkreślić, nachalna reklamówka producenta niezłych antywirusów. Pokażcie to swoim szefom.., i to nie szefom IT - oni już to wiedzą, lecz szefom działów biznesowych. .

Stypendia dotyczące bezpieczeństwa chmur

CSA oferuje e Europie w 3 letnie stypendia dla doktorantów zajmujących się tematyką bezpieczeństwa chmur

Do 14 lipca trzeba dostarczyć:

- 2-3 stronicowy opis głównych założeń / tez pracy

- szczegółowe CV

- xero i tłumaczenie dyplomu

- 2 listy referencyjne

Osoby zainteresowane będące (lub zamierzające formalnie stać się przed 1 listopada tego ) doktorantem uczelni wyższej zapraszamy do kontaktu.

Wymaganiem stypendium jest między innymi to, że te osoby aktywnie włączą się w prace międzynarodowego zespołu ekspertów CSA i będą służyć swoją pracą i doświadczeniem. Innymi słowy CSA nie tylko oferuje stypendium, ale umożliwi równocześnie zastosowanie projektu w praktyce!

Zapraszam do kontaktu z CSA Polska

Rola mediów w kształtowaniu świadomości

Tytuł może brzmi poważnie, na pewno mniej poważna była wiadomość, która sprowokowała mnie do napisania tego posta.

Na głównej stronie interii w chwili pisania tego tekstu znajdowala się wiadomość Uwaga na wirus czający się w bankomatach! Widząc taki tytuł bez wahania otwieram zawartość i patrzę, która sieć tym razem padła ofiarą...oszczędności lub własnej "głupoty" i zaraziła bankomaty złośliwym kodem...Otwieram stronę, patrzę i widzę oryginalny tytuł wiadomości "Euro na Ukrainie - uważaj na swoją kartę".

Zaraz, zaraz - o co chodzi...Toż to zwykłe ostrzeżenie przed skimmingiem. A gdzie ten wirus? /mam pewno podejrzenia, ale tak bezczelny to jednak nie będę by to napisać/

Tym samym wracamy do tytułowego zagadnienia. Media swoją powszechnością mogą dotrzeć do większości obywateli. Potrafią tworzyć opinie (z czego skwapliwie korzystają), czasami bywają wykorzystywane do szczytnych celów (jak budowanie świadomości odnośnie nowoczesnych zagrożeń). Nie wolno jednak szukając taniej sensacji robić ludziom wody z mózgu. Nie wiem co spowodowało takie nazywanie wiadomości - skrajna ignorancja czy też właśnie szukanie taniej sensacji. Ale w sumie nie wiem co gorsze.
I jak tu oczekiwać tego, że ktoś się czegoś z mediów nauczy?
.

Physical security awareness cartoon

Przypadkiem trafiłem na animowaną historyjkę dotyczącą tego jak wykorzystując inżynierię społeczną i korzystając z faktu słabej świadomości pracowników w zakresie zasad bezpieczeństwa fizycznego ukraść cenne dane (i fanty) oraz zrobić sporo zamieszania. warto sobie obejrzeć, a może i wykorzystać gdzieś w organizacji...
.

PCI DSS song

Standard PCI DSS to 12 wymagań:
1.  Zainstaluj i skonfiguruj zapory ogniowe tak aby chronić dane posiadaczy kart
2.  Nie używaj domyślnych, dostarczanych przez dostawców danych w postaci haseł i innych parametrów bezpieczeństwa
3.  Chroń przechowywane dane użytkowników kart
4.  Szyfruj dane posiadaczy kart przesyłane otwartymi, publicznymi łączami
5.  Używaj i regularnie aktualizuj oprogramowanie antywirusowe
6.  Twórz i utrzymuj bezpieczne systemy i aplikacje

7.  Ogranicz dostęp do danych posiadaczy kart zgodnie z zasadą wiedzy koniecznej
8.  Przypisz unikalne identyfikatory wszystkim osobom mającym dostęp do komputerów
9.  Ogranicz fizyczny dostęp do danych posiadaczy kart
10.  Wyszukuj i monitoruj wszystkie próby dostępu do zasobów sieciowych oraz informacji o posiadaczach kart
11.  Regularnie testuj systemy i procesy bezpieczeństwa
12.  Utrzymuj politykę wymagającą spełnianie zasad bezpieczeństwa informacji przez cały personel

By ułatwić i uprzyjemnić ich rozpowszechniania PCI Council zamówiło skoczną piosenkę...



Polecam na poprawę samopoczucia w oczekiwaniu na wiosnę

Darmowe, webcastowe szkolenie CISSP

Ostatnio dostałem zaproszenia na ciekawy i darmowych webcastów. Może przyda się to osobom wybierającym się na egzaminy?

Shon Harris przedstawiająca kurs z 1 domeny CISSP: Information Security and Risk Management.

Course Description:
This free course module of Domain 1 of our CISSP Certification Training will give the student in-depth knowledge on such topics as: security definitions, vulnerabilities, regulations, risk management, data collection, security enforcement issues, and many more critical concepts. Test drive Career Academy's CISSP training today.
.

Jak rozpoznać klamczucha

W wersji obrazkowej...
Oczywiście jest tu sporo uproszczeń, ale osoby znające temat z innej strony mogą sobie łatwo poprzypominać teorię...

How To Spot A Liar by Forensic Psychology

Wprowadzenie do bezpieczeństwa informacji - wykłady na PW

W ubiegłym tygodniu zostałem poproszony o "gościnny występ" na Politechnice Warszawskiej.
Przyszłym kadrom zarządczym i inżynierskim opowiadałem o praktycznych aspektach zarządzania bezpieczeństwem informacji.

Obiecałem również zamieszczenie w sieci materiałów z wykładów (w trochę okrojonej formie). Tym samym spełniam obietnicę daną studentom.
Miłej lektury i zachęcam do kontaktu w przypadku ewentualnych wątpliwości...

Zbliża się kolejny kurs CISA

Ponieważ od czerwca zmienia się zakres egzaminów zapraszamy na tygodniowy kurs przygotowujący do egzaminów CISA.
Przyszli certyfikowani audytorzy systemów informatycznych będą mogli poznać zakres nowych 5 modułów, dowiedzą się jak otrzymać oraz jak utrzymać certyfikat w kolejnych latach.

Pięć nowych zakresów tematycznych egzaminu to:
Moduł 1. Proces audytu systemów informatycznych
Moduł 2. Rola CISA w Nadzorze IT
Moduł 3. Rola CISA w zarządzaniu cyklem życia systemów i infrastruktury
Moduł 4. Rola CISA w dostarczaniu oraz wspieraniu usług IT
Moduł 5. Rola CISA w zabezpieczaniu zasobów informacyjnych

START czyli ustalanie priorytetów ratowania ofiar wypadków

Paweł Krawczyk w jednym z ostatnich felietonów w CW wspomniał o metodzie START opracowanej na potrzeby ustalania priorytetów podczas potężnych wypadków.
Tak się właśnie zastanawiam, że przy minimalnych przeróbkach, biorąc pod uwagę czasy RTO można by to zastosować również w przypadku katastrof dotyczących infrastruktury IT.

Może kiedyś siądę dłużej nad tym zagadnieniem i coś stworzę...chyba, że już któryś z czytelników ma własne przemyślenia na ten temat, którymi będzie się chciał podzielić?

Otwarcie przewodu doktorskiego

We wtorek 8 grudnia Rada Wydziału Zarządzania Politechniki Warszawskiej pozytywnie zaaprobowała mój wniosek o otwarcie przewodu doktorskiego pod tytułem "Zarządzanie bezpieczeństwem informacji w bankach wielonarodowych w Polsce". Promotorem rozprawy doktorskiej jest prof. zw. dr hab. inż. Stanisław Tkaczyk.

Teza robocza rozprawy brzmi "Wielowarstwowy system stale doskonalonych wzajemnie powiązanych technicznych i organizacyjnych zabezpieczeń ma istotny wpływ na zwiększenie stanu bezpieczeństwa informacji w wielonarodowych bankach."

Reklama Studiów Podyplomowych "Zarządzanie jakością i bezpieczeństwem Informacji w środowisku IT"

Wydział Zarządzania Politechniki Warszawskiej zaprasza na kolejną - 9 edycję Studiów Podyplomowych "Zarządzanie jakością i bezpieczeństwem Informacji w środowisku IT".

Zakres tematyczny obejmuje:
Zarządzanie jakością w IT w zgodnie normami ISO 9001:2008, ISO 90003:2004, ISO15288, ISO 15504, ISO 12207, ISO 9126, ISO 20000, ISO 25000, ISO 38500 i standardami ISEB, TQM, CMM, COBIT oraz metody i techniki stosowane w zarządzaniu projektowaniem, wdrażaniem i eksploatacją systemów informatycznych, a także zarządzanie projektami informatycznymi

Zarządzanie bezpieczeństwem informacji zgodnie z normami ISO/IEC 27001:2005, ISO/IEC 27002:2005,ISO/IEC:27004:2010, ISO/IEC:27005:2008, ISO/IEC 27006:2007, ISO/IEC 15408:2008 oraz ciągłością działania firmy (BS 25599), prawne aspekty bezpieczeństwa informacji, TISM, Kryptografia dla managerów, audyty bezpieczeństwa i systemów informatycznych, ochrona fizyczna.

Kierownikiem Studium jest dr inż. Bolesław Szomański.
Informacje o studium są dostępne pod numerem telefonu 22 234-86-94
Załączam oficjalną ulotkę studium

CYBER TERROR 2010

Wczoraj miały miejsce pierwsze ogólnoeuropejskie ćwiczenia na wypadek ataku cyberterrorystycznego "CYBER EUROPE 2010". Uczestniczyło w nich 120 osób z 70 europejskich organizacji. Jak zapowiadała ENISA:

W ramach dzisiejszego ćwiczenia „Cyber Europe 2010” eksperci z całej Europy przetestują reakcje na pozorowany atak hakerów na ważne usługi internetowe. Scenariusz ćwiczenia zakłada, że łączność internetowa między krajami europejskimi jest stopniowo tracona lub znacznie ograniczona i, w najgorszym przypadku, wszystkie główne połączenia między krajami w Europie zostaną utracone.

Podczas symulacji obywatele, przedsiębiorstwa i instytucje publiczne będą mieli trudność z dostępem do ważnych usług internetowych (jak np. administracja elektroniczna), o ile przesył danych z zaatakowanych połączeń nie zostanie przekierowany.

Ćwiczenie będzie oparte na scenariuszu, zgodnie z którym w ciągu dnia kolejne kraje będą miały coraz większe problemy z dostępem do internetu. Wszystkie uczestniczące państwa członkowskie będą musiały współpracować, aby zapewnić wspólną reakcję na fikcyjny kryzys.

Celem ćwiczenia z dziedziny bezpieczeństwa cybernetycznego jest poprawa zrozumienia przez państwa członkowskie sposobu, w jaki odpiera się ataki cybernetyczne, oraz sprawdzenie połączeń i procedur komunikacyjnych w razie prawdziwego ataku cybernetycznego na dużą skalę. Podczas symulacji zostaną przetestowane: adekwatność punktów kontaktowych w krajach uczestniczących, kanały komunikacyjne, rodzaj wymiany danych tymi kanałami oraz pojmowanie przez państwa członkowskie roli i mandatu równoważnych organów w innych państwach członkowskich.

Jest to niesamowicie pożyteczna inicjatywa. Ataki cyberterrorystyczne, mimo, ze wciąż rzadkie, jednak miały już miejsce, udowadniając swoją niszczycielską moc. O tym jak realne są zagrożenia świadczy fakt, że dzień wcześniej poinformowano, że miał miejsce udany atak na OECD.

Europa musi się nauczyć ze sobą współpracować, szczególnie, że wciąż nie wszystkie Państwa posiadają własne jednostki CERT potrafiące przeciwdziałać takim zagrożeniom.
(źródło: www.cyberterror.pl)

bezpiecznedziecko.info

Będę niedługo ruszać z kolejnym projektem (pomysłem) - bezpiecznedziecko.info

Z założenia ma to być miejsce gromadzące informacje pomagające zdrowo i bezpiecznie (acz z podkreśleniem zasad ZDROWEGO ROZSĄDKU) wychować dzieci. Chcesz pomóc? Masz pomysł jak to rozwinąć? Napisz do mnie

Inżynieria społeczna - przeciwdziałanie

Na youtube znalazłem opublikowane przez AT&T filmy szkoleniowe dotyczące ochrony przed inżynierią społeczną. Polecam, każda duża firma powinna coś takiego posiadać.

Kurs CISA

Rzadko reklamuję oferowane usługi, ale ponieważ jest to coś, co nie ma miejsca regularnie chciałbym zaprosić na organizowany przez IMMUSEC w dniach 25 - 29 października 2010 r. kurs przygotowawczy do egzaminów CISA.