Primärt avser ITGI och ISACA med denna publicering att få in allmänhetens kommentarer för att säkerställa en fullständig slutlig version samt säkerställa dokumentkvalité. En kortare enkät finns tillgänglig till och med 31 juli 2011 på ISACA’s hemsida.

Kim Haverblad

Dela med andra:

Ett par månader senare är det bara erkänna att min Galaxy har kommit för att stanna och undan för undan har jag börjat lita mer och mer telefonen. Är den till exempel stabil nog, orkar inte en telefon som hänger sig lite då och då (vilket en tidigare HTC Windows CE verkade ha som primärfunktion att göra…) med resultatet att jag blir av med information på grund av att jag missat göra en ordentlig backup. Dock har inga av denna typ problem än så länge gjort sig synliga. Synkning och backup funktioner fungerar som det ska och utan problem – än så länge.

Dock väcks många nya frågor och funderingar kring säkerheten av smarta telefoner. Dels enkelheten i att koppla upp sig på okända nät samt tillgång till enorm mängd applikationer. Plus till Apple än så länge till de har en striktare process för publicering av appar via App Store. Klart önskvärt om Google implementerade en striktare process för detta på Android Market. Möjligheten till skjuta in oönskad kod på både IPhone samt Android känns något för enkelt när man väl sätter sig ner och tittar på säkerheten. Klart önskvärt till Android vore en enklare brandvägg som indikerar vilken typ av utgående och ingående trafik som pågår för enkel blockering…

Jakten efter nya funktioner fortsätter och gärna genom att utnyttja de befintliga nätenheter och annan hemelektronik som finns installerad. Men vilka risker medför detta – låt oss återkomma kring detta lite längre fram. Och slutligen kan det väl konstateras att det gick utmärkt att skriva ihop dessa raderna på Galaxy telefonen under en flygning hem från Frankfurt.

Kim Haverblad

Dela med andra:

Vad de flesta även har insett är att rekryteringsfirmor och eventuella arbetsgivare idag använder Google och andra verktyg för att samla in information kring kandidater och att olämpliga bilder på till exempel Facebook kan vara avgörande huruvida drömjobbet blir ditt eller inte. Med andra ord, internet är idag en guldgruva att leta efter information om enskilda individer och där sociala medier har en avgörande roll för själva informations insamling – och det publiceras framför allt av egen vilja.

Att internet har etablerats som en global informationsdatabas om privatpersoner och där det mesta går att söka reda på råder det inga tvivel kring. Please Rob Me är ett intressant experiment för att påvisa att man bör tänka både en eller två gånger kring vilken typ av information man gör tillgängligt via internet. För de som har behovet att tala om för sin omgivning att man är på semester eller är borta över helgen eller inte ovanligt på Twitter ”ute ett par timmar för att ta en fika” är nog med information för en inbrottstjuv och ofta används ord som Leave eller Left Home för att indikera detta. Just dessa ord är vad Please Rob Me letar efter för att påvisa vem och vart eventuella rånoffer bor; avsikten är knappast att inbjuda till detta; utan påvisa vilka möjligheter nätet ger idag.

Enskild information som normalt anses harmlös, blir extremt värdefullt när den kombineras med annan (harmlös) information. En del detaljer bör man helt enkelt inte posta ut på nätet; lika lite som vi sätter upp en skylt på ytterdörren att vi är på semester.

Kim Haverblad

Dela med andra:

Vad kritiken egentligen handlar om är att många företag faktisk är extremt dåliga på upphandling av tjänster och att man gladligen lämnar över ansvaret kring hantering av risk och säkerhet till leverantören utan att fundera över det egna ansvaret för att säkerställa en lyckats leverans och framför allt relation mellan båda parterna. Det finns självklart olika anledningar till att man väljer att köpa externa tjänster; dock för en del företag är den primära drivkraften att göra sig av med problem som man inte klarar av att hantera internt. Vad är det som säger att en extern part skall kunna lösa ett intern problem man själv inte mäktar med att lösa det själv? Knappast den bästa förutsättningen för en långsiktig lyckad outsourcingstrategi

Jag ser själv från min egen erfarenhet från både interna och öppna utbildningar kring servicenivåhantering, hur antalet deltagare oftast representerar antalet tolkningar av exakt samma avtalstexter. Det är med andra ord inte ovanligt att kund och leverantör har olika tolkningar av leveransparameters; precis som finns stora skillnader hur olika tjänsteleverantörer. Att sätta sig ner och säkerställa att man har en gemensam förståelse kring vad som menas med upptid, nertid, åtgärdstid, för att ge några exempel, kommer man långt med för att säkerställa en sund relation.

Summering är kundsidan måste helt enkelt bli bättre kravställare, men det vore inte fel om leverantörssidan tog på sig rollen att vara mer behjälplig för att etablera en gemensam förståelse kring de förväntningar kunden har och till vis del utbilda sina kunder.

Kim Haverblad

Dela med andra:

Tyvärr så visar regeringen än en gång att man inte tar IT på alvar; hade man gjort detta hade man skapat en myndighet för samordning av IT-relaterade frågor där informationssäkerhet blir en naturlig del. Sitic skulle därmed även få en betydlig högre status än vad de idag har inom PTS.

Dela med andra:

Tills Lenovo själv trycker ut en egen uppdatering – finns en uppdaterad version av ThinkVantage Password Manager v2.0 tillgänglig härifrån.

Dela med andra:

Presentationen från ovan ISACA aktivitet finns att ladda när här; ISACA Malmö Seminarium - Regelverk, Standarder och Riktlinjer; samt en kortare introduktion om ISACA finns här; ISACA Malmö - Uppstartsmöte.

Kim Haverblad

Dela med andra:

Polisen har denna gång valt att agera snabbt genom att gå ut och varna direkt via media till skillnad från tidigare incident med Toys R Us, Malmö, där det tog bortåt 10 dagar innan media skrev om detta. Om detta berodde på att tidningarna själva nosat upp incidenten eller om Polisen valde att gå ut med information är oklart.

Då som nu kvarstår problemet med att man som konsument själv måste agera och kontakta sin bank för att spärra kortet. Här bör svensk lagstiftning ändras så att det drabbade företaget eller kortutgivare har skyldighet att agera genom att kontakta och informera kunder om incidenter när kortinformation har kommit i felaktiga händer. Här kan vi titta på två lagar som instiftades 2003 i Kalifornien, California civil codes 1798.29 och 1798.82, där företag och myndigheter har en skyldighet att informera de drabbade vid dataintrång där personlig information har hamnat i felaktiga händer. Detta saknas idag i Svensk lagstiftning.

Då kortinformation är personlig data bör detta även likställas med identitetsstöld något som idag inte speglas i svensk lagstiftningen. Detta skulle troligen även resultera i högre straffskala.

Även butikerna bör se över sina rutiner som att till exempel låsa in kortterminalerna över natten samt dagliga kontroller av terminalerna. Detta hade troligen förhindrat incidenten hos Plantagen då terminalerna troligen vid ett tidigare inbrott nyårsafton har manipulerats och utan att något övrigt stals. Inbrotten skrevs av som skadegörelse utan att någon reflektion gjordes över att inbrotten i sig eventuellt var en avledande manöver för att manipulera terminalerna. Liknande omständigheter skrevs det om i början av 2008 kring ett bedrägeriförsök i mångmiljonklassen mot ett av Swedbanks bankkontor i Uppsala. Även här rapporterades det om inbrott utan att något saknades; brottet skrevs av som misslyckat inbrott. I Swedbanks fall upptäcktes utrustning för att fjärrstyra en dator i ett försök att utföra transaktioner av större belopp. I båda fallen får man utgå ifrån att det har funnits bristande rutiner kring uppföljningen av inbrotten.

I samband med att media skrev om skimmingutrustningen som upptäckts vid Toys R Us i Malmö gick ett pressat bolag ut med en press release där man informerade om att man ändrat sina rutiner för hantering av terminalerna direkt efter att den tidigare skimmingutrustningen upptäcktes tio dagar tidigare. Likväl kunde vi veckan efter läsa i tidningarna att identisk skimming utrustning hittas hos Toys R Us vid Kungens Kurva.

Kim Haverblad

Dela med andra:

Jag kommer tillsammans med Erik Ravinder ge tips och förslag på hur man kan strukturera det interna säkerhetsarbetet och underlätta vid IT-revisioner. Aktiviteten kommer att genomföras på plats hos SET Revision i Malmö.

För den som är intresserad av att delta går det bra att kontakta mig för anmälan.

Kim Haverblad

Dela med andra:

”Detta är det värsta virus som aviserats av CNN. Det har varit indelade efter Microsoft som den mest destruktiva viruset någonsin!!”

Tyvärr så blir det inte bättre av att någon från svenska Polisen i all hast och av misstag skickar ut varningen och sätter sitt namn på nämnda bluff varning för att denna vandringssägen skall köra vidare ett varv till.

Vad bör man då göra när man får denna typ av varningsmeddelande? För det första och vad ni än gör; skicka det inte vidare. Ta istället kontakt med säkerhetsansvarig inom den egna organisation och låt dessa hantera informationen. Vidare så kan även denna typ av informationsspridning resultera i att spamfilter blockerar avsändarens e-post eller domän för vidare kommunikation. Ännu en anledning att vara försiktig med att skicka vidare denna typ av e-post.

Att denna typ av information i senaste omgången kommer från svenska polisen är tyvärr olyckligt, och resulterar endast i att skrämma upp folk. Vill man själv verifiera informationen så är det bara att söka via Google för att snabbt inse att det är en e-post bluff som har rullat på sedan i augusti i Sverige. I den senaste e-post jag fått fanns även telefonnummer som kan användas för att verifiera om de är äkta eller ej; inte ovanligt förekommer falska nummer eller nummer till någon som är helt ovetande om nämnda varning. Det är inte ovanligt att när denna typ av bluff varningar figurerar finns ofta flera olika varianter och däribland även varianter där det bifogas dokument eller små program för att verifiera huruvida ens dator är smittad eller på annat sätt erbjuda hjälp att hantera detta okända och farliga virus – jag behöver väl knappast säga att man ens skall fundera på att klicka och öppna dessa bilagor…

Kim Haverblad

Dela med andra: