Utrata danych kosztuje. Jak powstrzymać efekt domina? (case study)

Wielkość: px

Rozpocząć pokaz od strony:

Download "Utrata danych kosztuje. Jak powstrzymać efekt domina? (case study)"

Liliana Malinowska
8 lat temu
Przeglądów:

1 Utrata danych kosztuje. Jak powstrzymać efekt domina? (case study)

2 2012 Data Breach Investigations Report Christopher Novak Managing Principal, Investigative Response

done to prevent it. Confidential and proprietary materials for authorized Verizon personnel and outside agencies only.

3 Data Breach Investigations Report (DBIR) Series An ongoing study into the world of cybercrime that analyzes forensic evidence to uncover how sensitive data is stolen from organizations, who s doing it, why they re doing it, and, of course, what might be done to prevent it. Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

Use, disclosure or distribution of this material is not

4 DBIR Contributors Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

5 Threat Agents Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

6 Threat Agents: External Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

7 Threat Actions Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

8 Attack Targeting Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

9 Timespan of Events Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

10 Breach Discovery Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

11 Recommendations : Larger Organizations Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.

12 Analiza Przypadków Paweł Odor Główny Specjalista

13 Polityki bezpieczeństwa > Często nie są wystarczająco skuteczne, lub ich nie ma > 60% incydentów zostało wykrytych poza działami IT > 35% zostało wykrytych przez Klientów/kontrahentów > 53% firm nie testuje planów bezpieczeństwa częściej niż raz na dwa lata > Polityki bezpieczeństwa /ochrony danych - nie da się skalkulować ROI 13

14 Omega Engineering case study

15 Omega Engineering > Podwykonawca zleceń rządowych, dostawca rozwiązań dla US Navy i NASA w ciągu jednego dnia traci dane z serwerów produkcyjnych, baz danych i jest bez kopii bezpieczeństwa > Ryzyko bankructwa i strat finansowych przekraczających 10 mln USD > Dochodzenie prowadzone przy współpracy US Secret Service i Kroll Ontrack > Odtworzenie danych oraz oprogramowania niszczącego dane przygotowanego przez Thomasa Lloyda 15

16 Jeden z trzech największych banków w Polsce case study

17 Jeden z trzech największych banków w Polsce > Bank organizuje kampanię pozyskującą stażystów > Wynajęta agencja marketingowa organizuje kampanię i zbiera CV osób chętnych do udziału w projekcie > Wszystkie dane są zapisywane do publicznie dostępnego folderu i zostają zaindeksowane przez Google > Kilka tysięcy CV jest dostępnych dla każdego, po wpisaniu imienia i nazwiska osób, pokazują się w wynikach wyszukiwania > Zainteresowani aplikujący oraz dział bezpieczeństwa banku dowiadują się o incydencie z artykułu w Gazecie Wyborczej > Dane są dostępne przez kilka następnych dni (nie wliczając w to pobranych i rozpowszechnionych kopii) 17

18 Konsekwencje incydentów Adam Gmurczyk Underwriting Manager

19 Omega Engineering > Jakie koszty mogły zostać poniesione: > Koszty specjalistów ds. informatyki śledczej > Koszty specjalistów ds. odzyskiwania danych > Koszty odtworzenia środowiska produkcyjnego > Opóźnienia w produkcji; utrata kontraktów i przychodów > Łączny szacowany koszt incydentu dla firmy wyniósł około 10 milionów USD. 19

20 Bank > Jakie koszty mogły zostać poniesione: > Koszty specjalistów ds. informatyki śledczej (kilkadziesiąt tys. zł) > Koszty obsługi przez firmy public relations (kilkadziesiąt tys. zł) > Koszty kancelarii prawnej wszczęte postępowanie przez GIODO (kilkadziesiąt tys. zł) > Koszty kancelarii prawnej postępowanie przeciwko osobom odpowiedzialnym za naruszenie procedur (kilkadziesiąt tys. zł) > Zadośćuczynienia zasądzone przez sąd (10 tys. zł dla osoby) > W czarnym scenariuszu koszt incydentu dla firmy mógłby wynieść około 20 milionów zł. 20

21 Co to jest CyberEdge i przed czym chroni?

22 CyberEdge Ubezpieczenie pokrywające konsekwencje finansowe wycieku danych osobowych, danych handlowych kontrahentów, naruszenia bezpieczeństwa danych oraz utraty zysku w przypadku awarii systemu informatycznego; m.in.: >Koszty specjalistów ds. informatyki śledczej >Koszty odzyskiwania danych >Koszty firm PR i zarządzania kryzysowego >Koszty obsługi prawnej w postępowaniach administracyjnych >Koszty obrony i odszkodowania w postępowaniach cywilnych >Utrata zysku 22

23 Kiedy ubezpieczenie zadziałało? > Ujawnienie danych osobowych studentów koszty powiadomienia osób, których dane wyciekły: około 200 tys. zł > Ujawnienie danych osobowych studentów koszty obsługi prawnej w postępowaniu administracyjnym: około 800 tys. zł > Kradzież serwera i zewnętrznego dysku twardego zawierającego dane osobowe klientów firmy koszty obsługi prawnej, koszty firm public relations i zarządzania kryzysowego, koszty firm zajmujących się informatyką śledczą, koszty powiadomienia osób, których dane zostały utracone: około 9 mln zł > Awarii systemu informatycznego utrata zysku: około 3 mln zł 23

24 Zapraszamy do zadawania pytań 24

25 Chartis jest jednym z liderów na światowych rynkach ubezpieczeniowych. Ponad 90 lat doświadczenia, kompleksowa oferta, doskonały serwis oraz stabilna sytuacja finansowa dają poczucie bezpieczeństwa ponad 70 milionom klientów w 160 krajach. Chartis to nazwa handlowa wszystkich spółek prowadzących działalność w zakresie ubezpieczeń majątkowych i osobowych w ramach grupy Chartis Inc. Szczegółowa informacja jest dostępna na stronie: Produkty Chartis Inc. dostępne są we wszystkich oddziałach i spółkach zależnych firmy. Różnice w zakresie oferowanej ochrony oraz w tekście warunków ubezpieczeniowych mogą wynikać z regulacji prawnych obowiązujących w poszczególnych krajach. Niniejsze opracowanie ma charakter czysto informacyjny i nie dostarcza wyczerpujących informacji na temat ubezpieczenia, nie stanowi również części polisy, która określa zakres ubezpieczenia, ani nie stanowi oferty. W przypadku zawarcia umowy ubezpieczenia obowiązywać będą Ogólne Warunki Ubezpieczenia, Warunki Szczególne oraz ustalenia poczynione w drodze indywidualnych negocjacji. Niniejsze opracowanie nie jest również poradą prawną i nie mogą być z niego wyciągane żadne konsekwencje prawne. W celu otrzymania dodatkowych informacji lub zawarcia umowy ubezpieczenia prosimy kontaktować się z Chartis Europe S.A. Oddział w Polsce lub z Państwa brokerem ubezpieczeniowym. 25

Podobne dokumenty

CyberEdge Kompleksowa ochrona przed skutkami zagrożeń cybernetycznych.

Financial Lines CyberEdge Kompleksowa ochrona przed skutkami zagrożeń cybernetycznych. 1 Czym jest ryzyko cybernetyczne? Cybernetyczne ryzyko jest nieodłącznym elementem świata informacji oraz systemów