Utrata danych kosztuje. Jak powstrzymać efekt domina? (case study)
2012 Data Breach Investigations Report Christopher Novak Managing Principal, Investigative Response
Data Breach Investigations Report (DBIR) Series An ongoing study into the world of cybercrime that analyzes forensic evidence to uncover how sensitive data is stolen from organizations, who s doing it, why they re doing it, and, of course, what might be done to prevent it. Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
DBIR Contributors Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Threat Agents Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Threat Agents: External Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Threat Actions Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Attack Targeting Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Timespan of Events Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Breach Discovery Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Recommendations : Larger Organizations Confidential and proprietary materials for authorized Verizon personnel and outside agencies only. Use, disclosure or distribution of this material is not permitted to any unauthorized persons or third parties except by written agreement.
Analiza Przypadków Paweł Odor Główny Specjalista
Polityki bezpieczeństwa > Często nie są wystarczająco skuteczne, lub ich nie ma > 60% incydentów zostało wykrytych poza działami IT > 35% zostało wykrytych przez Klientów/kontrahentów > 53% firm nie testuje planów bezpieczeństwa częściej niż raz na dwa lata > Polityki bezpieczeństwa /ochrony danych - nie da się skalkulować ROI 13
Omega Engineering case study
Omega Engineering > Podwykonawca zleceń rządowych, dostawca rozwiązań dla US Navy i NASA w ciągu jednego dnia traci dane z serwerów produkcyjnych, baz danych i jest bez kopii bezpieczeństwa > Ryzyko bankructwa i strat finansowych przekraczających 10 mln USD > Dochodzenie prowadzone przy współpracy US Secret Service i Kroll Ontrack > Odtworzenie danych oraz oprogramowania niszczącego dane przygotowanego przez Thomasa Lloyda 15
Jeden z trzech największych banków w Polsce case study
Jeden z trzech największych banków w Polsce > Bank organizuje kampanię pozyskującą stażystów > Wynajęta agencja marketingowa organizuje kampanię i zbiera CV osób chętnych do udziału w projekcie > Wszystkie dane są zapisywane do publicznie dostępnego folderu i zostają zaindeksowane przez Google > Kilka tysięcy CV jest dostępnych dla każdego, po wpisaniu imienia i nazwiska osób, pokazują się w wynikach wyszukiwania > Zainteresowani aplikujący oraz dział bezpieczeństwa banku dowiadują się o incydencie z artykułu w Gazecie Wyborczej > Dane są dostępne przez kilka następnych dni (nie wliczając w to pobranych i rozpowszechnionych kopii) 17
Konsekwencje incydentów Adam Gmurczyk Underwriting Manager
Omega Engineering > Jakie koszty mogły zostać poniesione: > Koszty specjalistów ds. informatyki śledczej > Koszty specjalistów ds. odzyskiwania danych > Koszty odtworzenia środowiska produkcyjnego > Opóźnienia w produkcji; utrata kontraktów i przychodów > Łączny szacowany koszt incydentu dla firmy wyniósł około 10 milionów USD. 19
Bank > Jakie koszty mogły zostać poniesione: > Koszty specjalistów ds. informatyki śledczej (kilkadziesiąt tys. zł) > Koszty obsługi przez firmy public relations (kilkadziesiąt tys. zł) > Koszty kancelarii prawnej wszczęte postępowanie przez GIODO (kilkadziesiąt tys. zł) > Koszty kancelarii prawnej postępowanie przeciwko osobom odpowiedzialnym za naruszenie procedur (kilkadziesiąt tys. zł) > Zadośćuczynienia zasądzone przez sąd (10 tys. zł dla osoby) > W czarnym scenariuszu koszt incydentu dla firmy mógłby wynieść około 20 milionów zł. 20
Co to jest CyberEdge i przed czym chroni?
CyberEdge Ubezpieczenie pokrywające konsekwencje finansowe wycieku danych osobowych, danych handlowych kontrahentów, naruszenia bezpieczeństwa danych oraz utraty zysku w przypadku awarii systemu informatycznego; m.in.: >Koszty specjalistów ds. informatyki śledczej >Koszty odzyskiwania danych >Koszty firm PR i zarządzania kryzysowego >Koszty obsługi prawnej w postępowaniach administracyjnych >Koszty obrony i odszkodowania w postępowaniach cywilnych >Utrata zysku 22
Kiedy ubezpieczenie zadziałało? > Ujawnienie danych osobowych 2.000 studentów koszty powiadomienia osób, których dane wyciekły: około 200 tys. zł > Ujawnienie danych osobowych 42.000 studentów koszty obsługi prawnej w postępowaniu administracyjnym: około 800 tys. zł > Kradzież serwera e-mail i zewnętrznego dysku twardego zawierającego dane osobowe klientów firmy koszty obsługi prawnej, koszty firm public relations i zarządzania kryzysowego, koszty firm zajmujących się informatyką śledczą, koszty powiadomienia osób, których dane zostały utracone: około 9 mln zł > Awarii systemu informatycznego utrata zysku: około 3 mln zł 23
Zapraszamy do zadawania pytań 24
Chartis jest jednym z liderów na światowych rynkach ubezpieczeniowych. Ponad 90 lat doświadczenia, kompleksowa oferta, doskonały serwis oraz stabilna sytuacja finansowa dają poczucie bezpieczeństwa ponad 70 milionom klientów w 160 krajach. Chartis to nazwa handlowa wszystkich spółek prowadzących działalność w zakresie ubezpieczeń majątkowych i osobowych w ramach grupy Chartis Inc. Szczegółowa informacja jest dostępna na stronie: www.chartisinsurance.com. Produkty Chartis Inc. dostępne są we wszystkich oddziałach i spółkach zależnych firmy. Różnice w zakresie oferowanej ochrony oraz w tekście warunków ubezpieczeniowych mogą wynikać z regulacji prawnych obowiązujących w poszczególnych krajach. Niniejsze opracowanie ma charakter czysto informacyjny i nie dostarcza wyczerpujących informacji na temat ubezpieczenia, nie stanowi również części polisy, która określa zakres ubezpieczenia, ani nie stanowi oferty. W przypadku zawarcia umowy ubezpieczenia obowiązywać będą Ogólne Warunki Ubezpieczenia, Warunki Szczególne oraz ustalenia poczynione w drodze indywidualnych negocjacji. Niniejsze opracowanie nie jest również poradą prawną i nie mogą być z niego wyciągane żadne konsekwencje prawne. W celu otrzymania dodatkowych informacji lub zawarcia umowy ubezpieczenia prosimy kontaktować się z Chartis Europe S.A. Oddział w Polsce lub z Państwa brokerem ubezpieczeniowym. 25