De fleste nyter nok en velfortjent sommerferie, men det skader ikke å tenke noen uker framover! Ta løpefart på høsten med faglig påfyll i august!
Sikre satellittbaserte tjenester for luftfart
I dag kommuniserer pilot og flygeleder for det meste muntlig. Men flyene har også muligheten til å bruke en datalink for å utveksle instruksjoner og informasjon via tekst.
“Accountability” i nettskyen – tilbakeblikk og fremtid
Alle nordmenns gode venn Winston Churchill sa en gang “… this is not the end. It is not even the beginning of the end. But it is, perhaps, the end of the beginning.” I samme situasjonen befinner vi oss når det gjelder accountability i nettskyen. Prosjektet A4Cloud – Accountability for Cloud and other Future Internet Services, som vi har omtalt her på bloggen tidligere, er avsluttet, men stadig gjenstår det arbeid i både industri og forskning før vi kan påberope oss accountability i enhver nettsky.
Protection Poker: Spill deg til bedre programvaresikkerhet!
Prof. Laurie Williams og hennes gruppe ved North Carolina State University har utviklet en enkel, rask og engasjerende måte å vurdere risiko på spesielt for smidige utviklingsteam: Protection Poker! I dette innlegget vil vi fortelle hvordan man kan starte å spille Protection Poker, samt noe om bakgrunnen for spillet og hvilke erfaringer som ble gjort da Laurie og hennes team testet spillet i Red Hat IT.
Risikovurdering eller sjekkliste – hva er best?
Samme hvor gjerne vi måtte ønske oss sikre systemer, så er det i praksis umulig å forhindre alle sikkerhetsfeil. Man har begrenset med tid, penger og ekspertise, og man trenger systemer som er enkle å bruke og vedlikeholde. Spørsmålet man da trenger svar på er hvor mye sikkerhet man skal ha, og hvor man skal satse de sikkerhetsressursene man har.
Det finnes generelt to hovedtilnærminger til å bestemme hvilket nivå man skal legge seg på angående sikkerhet, og hvilke tiltak man skal prioritere:
- en risiko-basert tilnærming
- overholdelse av regler og god praksis (compliance)
Disse er ikke i direkte motsetning. Som eksempel så vil man gjerne ta hensyn til regler og god praksis i vurdering av risiko, og god praksis innebærer gjerne at man har oversikt over risiko. Men hvilken av disse hovedtilnærmingene man vektlegger sterkest påvirker hvordan man jobber med sikkerhet, og de har begge sine fordeler og ulemper. Kort sagt så vil en risiko-basert tilnærming være bedre for å oppnå kostnadseffektiv sikkerhet, men det krever mer kompetanse enn om man går for sjekkliste-versjonen av sikkerhet. Vi vil nå forklare dette nærmere.
Noen ferske eksempler på SMiShing
Begrepet phishing har blitt like dagligdags her i Norge som rømmegraut og busserull. En litt mindre kjent avart er SMiShing, som i praksis er SMS-meldinger som prøver å lure deg på samme måte som phishing. Avsenderen vil typisk utgi seg for å være en bedrift du er kjent med, og meldingen inneholder en eller annen lenke du skal trykke på. I dagens blogg har vi samlet et par aktuelle smishe-angrep som mange har mottatt den siste tiden.
Næringslivsfrokost: Må vi være forsikret mot hacking?
Forsikringsbransjen har ihvertfall begynt å mene dette! Vi inviterer til en oppdatering på det hotteste produktet fra forsikringsbransjen for tiden, cyberforsikring. Vi får besøk fra University of Cambridge, og vil sammen dele analyser av hva som kan være viktig ved vurdering av slike produkter, og om dette kan passe for alle virksomheter på linje med f.eks. eiendoms- eller ansvarsforsikring. Sammen med Næringsforeningen i Trøndelag inviterer vi til frokost og faglig påfyll om cyberforsikring, torsdag 28. april kl. 08.00 i Trondheim (NB! Obligatorisk påmelding).
Er du en InfoSec Rockstar?
Har du en knakende god idé for en informasjonssikkerhetsløsning? Da kan du være med og konkurrere om tusenvis av Euro i Security Rockstars!
Nytt sikkerhetstoppmøte i Trondheim 6. april
DnD, ISF og ISACA gjentar suksessen med felles nettverksmøte i Trondheim 6. april. Det blir foredrag fra Uninett, NTNU og Signicat, og det rundes av med lett servering og nettverksbygging.
Sikkerhet og sårbarhet 2016
Nok en gang arrangeres Sikkerhet og sårbarhet i Trondheim i mai – en viktig møteplass for oss som har informasjonssikkerhet på agendaen i hverdagen. 10.-11. mai på Clarion Hotel & Congress – programmet er klart – meld deg på nå.
Sårbarhetsrapporten: høringsuttalelse fra SINTEF
SINTEF har utarbeidet en høringsuttalelse til NOU 2015:13 Digital sårbarhet – sikkert samfunn. Vi anbefaler at det framskaffes mer kompetanse innenfor IKT-sikkerhet, både som eget område samt integrert med spesifikke sektorer. Ikke minst må IKT-sikkerhet på tvers av sektorer styrkes. Dessuten må IKT-sikkerhet inkluderes i alle IKT-utdanninger og ikke bare være et frittstående utdanningsløp.
ISO 27001: Styringssystem for informasjonssikkerhet
ISO 27001 har etterhvert blitt en kjent standard i sikkerhetsmiljøet og stadig flere virksomheter følger denne og søker sertifisering. I dette innlegget gir vi en kort introduksjon til hva denne standarden er, og hva som er viktige fordeler ved å følge den.
Security Culture Conference 2016
14-15 juni braker det løs med en ny utgave av “sommerens vakreste eventyr”. I år har CSA Nordic Summit slått seg sammen med Security Culture Conference i et heidundrande to-for-en-tilbud med bøttevis av kjente navn på talerlisten.
Vi kommer til å bidra på flere plan, bl.a. med siste nytt fra OJ!, SINTEFs eget internprogram for sikkerhetskultur.
Sikkerhet i det medisinske IoT
Vår avhengighet av systemer som styres av programvare øker raskere enn vår evne til å sikre systemene. Når alle våre ”dingser” kobles på nett øker angrepsflaten og våre verdier blir sårbare for hacking. Dette utgjør ikke bare en trussel mot informasjonssikkerhet og personvern, også menneskers liv og helse trues når dingser som kan påvirke fysiske systemer i økende grad kobles opp mot Internett.
Dette er en veldig aktuell problemstilling for helsesektoren, hvor livskritiske systemer og systemer som inneholder sensitiv pasientinfo i økende grad kobles opp mot Internett. Den siste uken har det vært flere nyhetsoppslag om sykehus som har blitt hardt rammet av løsepengevirus og måttet betale kriminelle for å få tilgang til sine kritiske systemer for håndtering av pasientinformasjon.
Er du cyber-forsikret? Vi ønsker å snakke med deg!
Vi forsker nemlig på cyberforsikring, og søker kontakt med virksomheter som har kjøpt cyberforsikring. I tillegg er vi veldig interessert i en liten prat med dere som vurderer eller har vurdert å kjøpe slik forsikring. Basert på utviklingen i andre land tror vi tematikken vil komme på agendaen hos mange bedrifter de kommende årene, og vi søker å bidra til at enda flere kan oppnå riktig sikkerhet for sin virksomhet – hvor cyberforsikring kanskje er ett tiltak.
BSIMM på norsk
Som de fleste lesere av bloggen har fått med seg, har jeg i løpet av et års tid langsomt oversatt aktivitetsbeskrivelsene fra BSIMM til norsk. For å feire at jobben er fullført, har vi funnet ut at vi skal samle alle beskrivelsene i ett dokument som kanskje er mer hendig enn 12 frittstående bloggposter.
Vi dytter på forskningsfronten for hendelseshåndtering i skyen
I april arrangerer vi en “Special Session” om hendelseshåndtering i skyen på CLOSER-konferansen i Roma. Frist for å sende inn bidrag er 10. februar, så det er bare å sette seg ned å skrive!
Om å la andre ta seg av hendelseshåndteringen
Denne uken har jeg vært i Vancouver for å delta på CloudCom-konferansen, og har presentert en artikkel basert på masteroppgaven til Alfredo Reyes (som jeg veiledet i vår).
Det har skjedd en stor utvikling i tjenesteproduksjon i senere år, fra overveiende bruk av lokal datakraft, via tradisjonell tjenesteutsetting, til dagens økende bruk av nettskyen.
Cyberforsikring – hva vet vi fra forskningen?
Det å kjøpe cyberforsikring er et mulig tiltak for å håndtere risiko i en virksomhet. Det kan imidlertid være krevende å vurdere cyberforsikring opp mot andre tiltak: Når bør man velge å forsikre, og når bør man heller gå for andre strategier? Vi har laget en rapport som oppsummerer forskningen på cyberforsikring som en risikohåndteringsstrategi.
Mr Robot: en studie i social manipulation
Om du inte har hört om den amerikanske TV serien Mr Robot så rekommenderar jag att du tar en titt på denna! Till skillnad från tidigare TV serier och filmer som försökt skildra hacking (och som oftast får oss som…