Risikobasert sikkerhetstesting

Sikkerhetstesting tar for seg artefaktene enheter og komponenter snarere enn systemet som helhet. Det er en blanding av en “hvit-hatt” og en “svart-hatt” tilnærming, og kan gjøres fra utsiden og inn, eller fra innsiden og ut. Sikkerhetstesting drives av misbrukseksempler (misuse cases/abuse cases), og omfatter to strategier: Testing av sikkerhetsfunksjonalitet, og risikobasert testing basert på angrepsmønster.

Opp som en løve, ned som … et flygende teppe?

Det er ikke noen hemmelighet at det tross gode intensjoner ikke ble helt klaff med planleggingen av vårens vakreste eventyr. Vi hadde alt på plass, men det er vanskelig å arrangere konferanse hvis “ingen” kommer. MEN vi gir oss ikke med det! Vi har flyttet arrangementet til høsten, og 20. september braker det løs med Sikkerhet & Sårbarhet på Pirsenteret i Trondheim!

Er det kjedelig med sikkerhet?

På oppdrag fra NVE har vi skrevet en rapport med anbefalinger til krav som norske nettselskaper med fordel kan stille til sine leverandører.

NVE ønsket en rapport som kunne identifisere god praksis for krav relatert til IKT-sikkerhet i anbudsdokumenter på anskaffelse av IT og OT, og hvordan dette skal kunne følges opp i drift. Hovedmålet var å identifisere krav som små og mellomstore nettselskap kan stille til sine leverandører.

Også medisinteknisk utstyr trenger innebygget sikkerhet!

Medisinteknisk utstyr er i økende grad en del av (tingenes) internett, og nye regulatoriske krav fra EU (MDR) og USA (FDA) er nå eksplisitte på at sikkerhet (og ikke bare trygghet) må bygges inn fra starten. I EU har veiledningen MDCG 2019-16 vært tilgjengelig i 3 år, men det er ting som tyder på at den har forbedringspotensial – den er kanskje for generisk, og for lite konkret for spesielt små produsenter. Mange har uttrykt et ønske om enklere, steg-for-steg veiledning for å senke terskelen til dette markedet i Europa og USA.

Ny dato: Erfaringsdeling via Dataforeningen og venner

Det blir nytt nettverksmøte i Dataforeningen hos Sparebank 1 SMN i Søndre Gate 8. februar! Dette arrangeres som et fellesmøte sammen med ISF Norge, ISACA og CSA Norge, og er gratis hvis du er medlem av en av foreningene (tips: Det er gratis å melde seg inn i CSA Norge). Forvent inspirerende foredrag fra Håkon Olsen i DNV, Inge Kampenes i Advansia og vår egen Maria Bartnes, med påfølgende engasjert debatt der panelet i tillegg til foredragsholderne styrkes med Pål Christian Waag (Fremtind Forsikring) og Marianne Hove Solberg (HEMIT)! Oppmøte fra 15:30!

ConCERT – et sektorvist responsmiljø for bygg-, anleggs- og eiendomsbransjen?

I fjor høst foretok vi en utredning på vegne av Oslo Construction City Cluster AS, anført av OBOS, Statsbygg, AF-gruppen og Betonmast, for å se om det var grunnlag for å opprette et sektorvist responsmiljø (SRM) for Bygg-, Anleggs- og Eiendomsbransjen. Vi inviterte 24 bransjeaktører til videointervjuer på ca. en time, hvorav vi klarte å få til intervjuer med 7. Dessuten hadde vi tilsvarende intervjuer med 3 eksisterende SRMer, samt med en større leverandør av IT-tjenester.

OWASP Top 10 2021

OWASP Top 10 har siden 2003 representert de viktigste/vanligste sårbarhetene eller angrepstypene mot internettbasert programvare. Listen har vært oppdatert med ujevne mellomrom, men i det siste stort sett hvert fjerde år. Listen er viktig ikke bare fordi den forteller oss hvilke angrepstyper som er vanligst for tiden, men også fordi den representerer angrep som utgjør utgangspunktet for mer eller mindre uerfarne angripere – dette er det de kommer til å prøve først, så sørg for at du ikke er sårbar for det! OWASP Top 10 tar utgangspunkt i Mitres Common Weakness Enumeration (CWE).