You N ou Never K Nrf rf Note oteo Tnol r Know Tnol now Unuiy - PowerPoint PPT Presentation

You N ou Never K Nrf rf Note oteo Tnol r Know Tnol now Unuiy Until Y ntil You F uiy Wou ou Find Out! ou Viy ind Out! iyd Euk Euk! ! Tim ¡Sanden ¡ VP ¡of ¡Informa0on ¡Technology, ¡CIO ¡ Cass ¡County ¡Electric ¡Coopera0ve ¡ Fargo ¡ND ¡

If you haven’t heard…

InfoSec Awareness Being ¡ Informa(on ¡Security ¡Aware ¡ means ¡we ¡understand ¡there ¡are ¡ people ¡ac0vely ¡trying ¡to ¡steal ¡our ¡data. ¡

Today - we understand that’s true.

Consequences of Insecurity • Data ¡breaches ¡ • Iden0ty ¡theF ¡ • Credit ¡card ¡theF ¡ • Intellectual ¡property ¡theF ¡ • Damaged ¡reputa0on ¡

Costs of Insecurity • Inves0ga0ons ¡and ¡forensics ¡ • Determining ¡who ¡are ¡the ¡vic0ms ¡ • Communica0ons ¡and ¡public ¡rela0ons ¡ • Audit ¡and ¡consul0ng ¡services ¡ • Breach ¡no0fica0ons/disclosures ¡ • Mailings ¡ • Call ¡center ¡procedures, ¡specialized ¡training ¡ • Iden0ty ¡protec0on ¡services ¡ • Legal ¡services ¡ • Nega0ve ¡publicity, ¡lost ¡trust, ¡confidence, ¡business ¡ • Law ¡suits ¡ • Time ¡

The People Paradox • People ¡are ¡the ¡biggest ¡threat ¡ to ¡informa0on ¡security. ¡ ¡ “ALL compromises were a direct result of human ¡ failure. Not one compromise attributed to hardware, OS, or application failure.” ¡ ~ Calvin Weeks ¡ “ Amateurs hack systems, ¡ professionals hack people .” ¡ ~ Bruce Schneier ¡ People ¡are ¡the ¡best ¡defense ¡ to ¡defeat ¡cyber ¡criminals. ¡

What’s the problem?

“Professionals hack people.” • Social ¡Engineering ¡ – ¡psychological ¡manipula0on ¡of ¡people ¡into ¡performing ¡ ac0ons ¡or ¡divulging ¡confiden0al ¡informa0on. ¡ • Phishing ¡– ¡a ¡form ¡of ¡social ¡engineering ¡that ¡presents ¡some ¡bait, ¡such ¡as ¡a ¡ luring ¡email, ¡to ¡tempt ¡users ¡into ¡clicking ¡on ¡malicious ¡links ¡or ¡aOachments ¡ Phishing ¡has ¡become ¡the ¡weapon ¡of ¡choice ¡to ¡lure ¡vic0ms. ¡ • Malware ¡ – ¡usually ¡loaded ¡on ¡vic0m ¡computers/devices ¡by ¡clicking ¡links ¡or ¡ aOachments ¡in ¡email, ¡or ¡by ¡browsing ¡to ¡compromised ¡web ¡sites ¡and ¡ becoming ¡infected ¡by ¡a ¡“drive-­‑by ¡download”. ¡ ¡ ¡ How ¡cyber ¡criminals ¡gain ¡access ¡or ¡control. ¡

Good News / Bad News • Bad ¡News ¡ • Bad ¡people ¡exist. ¡ ¡Good ¡people ¡are ¡targets. ¡ ¡ • Good ¡News ¡ • The ¡human ¡spirit ¡is ¡designed ¡to ¡learn ¡and ¡adapt ¡in ¡order ¡to ¡survive. ¡ ¡ Technology ¡can’t ¡do ¡that. ¡

The Human Spirit (why people rock!) • Apollo ¡13 ¡ • “Houston, ¡we’ve ¡had ¡a ¡problem.” ¡ • “Failure ¡is ¡not ¡an ¡op0on.” ¡ • “Successful ¡failure” ¡ • “NASA’s ¡finest ¡hour” ¡ Q: ¡ What ¡are ¡the ¡people ¡in ¡Mission ¡Control ¡really ¡like? ¡ ¡Weren't ¡ there ¡0mes ¡when ¡everybody, ¡or ¡at ¡least ¡a ¡few ¡people, ¡just ¡panicked? ¡ A: ¡ " No, ¡when ¡bad ¡things ¡happened, ¡we ¡just ¡calmly ¡laid ¡out ¡all ¡the ¡ op7ons, ¡and ¡failure ¡was ¡not ¡one ¡of ¡them. ¡We ¡never ¡panicked, ¡and ¡we ¡ never ¡gave ¡up ¡on ¡finding ¡a ¡solu7on.“ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡~ ¡ Apollo ¡13 ¡Flight ¡Controller ¡Jerry ¡Bos0ck ¡

Awareness Training Approaches • The ¡Do-­‑Nothing: ¡ ¡ The ¡organiza0on ¡conducts ¡no ¡security ¡awareness ¡training ¡and ¡relies ¡on ¡automated ¡systems ¡to ¡ protect ¡against ¡phishing ¡and ¡malware. ¡ • The ¡Breakroom: ¡ ¡ Employees ¡are ¡gathered ¡during ¡lunches ¡or ¡mee0ngs ¡and ¡are ¡told ¡what ¡to ¡look ¡out ¡for ¡in ¡emails, ¡ web ¡surfing, ¡etc. ¡ • The ¡Monthly ¡Security ¡Video: ¡ ¡ Employees ¡are ¡shown ¡short ¡videos ¡that ¡explain ¡how ¡to ¡keep ¡the ¡organiza0on ¡safe ¡and ¡secure. ¡ • The ¡Phishing ¡Test: ¡ ¡ Certain ¡employees ¡are ¡pre-­‑selected ¡and ¡sent ¡simulated ¡phishing ¡aOacks, ¡IT ¡determines ¡whether ¡ they ¡fell ¡prey ¡to ¡the ¡aOack, ¡and ¡those ¡employees ¡get ¡remedial ¡training. ¡ • The ¡Human ¡Firewall: ¡ ¡ Everyone ¡in ¡the ¡organiza0on ¡is ¡tested, ¡the ¡percentage ¡of ¡employees ¡who ¡are ¡prone ¡to ¡phishing ¡ aOacks ¡is ¡determined, ¡and ¡then ¡everyone ¡is ¡trained ¡on ¡major ¡aOack ¡vectors. ¡Simulated ¡phishing ¡ aOacks ¡are ¡sent ¡to ¡all ¡employees ¡on ¡a ¡regular ¡basis. ¡

Security Controls Phy hysical ical Tec echnical hnical Adminis dministrativ ive Prevent entiv ive X Det etect ectiv ive Cor orrect ectiv ive

It Was A Simpler Time… • 1985, ¡IBM ¡S/36, ¡3 ¡PCs ¡(5 ¡¼” ¡floppy ¡drives) ¡ • No ¡hard ¡drives, ¡network, ¡word ¡processing, ¡ email, ¡cell ¡phones, ¡tex0ng, ¡laptops, ¡iPads, ¡ Internet, ¡web ¡sites, ¡ ¡ Wi-­‑Fi, ¡cloud, ¡online ¡banking, ¡Amazon, ¡Google, ¡ or ¡Internet ¡of ¡Things. ¡ • No ¡an0-­‑virus, ¡routers, ¡firewalls, ¡IPS, ¡web ¡ content ¡filters, ¡email ¡spam ¡filters, ¡DLP, ¡mul0-­‑ factor ¡authen0ca0on. ¡ • Employees ¡focused ¡on ¡being ¡good ¡at ¡their ¡job. ¡ • Technology ¡changed ¡that. ¡

It Was A Simpler Time… • Like ¡any ¡tool ¡– ¡technology ¡can ¡be ¡both ¡ good ¡and ¡evil. ¡ • “Technology ¡empowers ¡organiza0ons ¡to ¡do ¡ more, ¡faster ¡and ¡more ¡efficiently. ¡ ¡It ¡also ¡ enables ¡criminals ¡to ¡do ¡the ¡same ¡thing.” ¡

It Was A Simpler Time… • Some ¡other ¡things ¡we ¡didn’t ¡have ¡ • Widespread ¡iden0ty ¡theF ¡ • Widespread ¡credit ¡card ¡fraud ¡ • Massive ¡data ¡breaches ¡ • Online ¡predators ¡ • For ¡good ¡or ¡for ¡evil, ¡technology ¡is ¡now ¡ intertwined ¡with ¡all ¡our ¡lives. ¡ • Addi0on ¡to ¡all ¡our ¡job ¡descrip0ons ¡ ¡ • “Cyber ¡security ¡is ¡our ¡shared ¡responsibility” ¡ ¡

Why Are We All Responsible?

Growing Threat…

FBI Director James Comey • March ¡26, ¡2014 ¡ • “We ¡face ¡cyber ¡threats ¡from ¡state-­‑sponsored ¡hackers, ¡ ¡ hackers ¡for ¡hire, ¡organized ¡cyber ¡syndicates, ¡and ¡terrorists. ¡ ¡ They ¡seek ¡our ¡state ¡secrets, ¡our ¡trade ¡secrets, ¡our ¡technology, ¡and ¡ our ¡ideas—things ¡of ¡incredible ¡value ¡to ¡all ¡of ¡us. ¡They ¡may ¡seek ¡to ¡ strike ¡our ¡cri0cal ¡infrastructure ¡and ¡our ¡economy. ¡The ¡threat ¡is ¡so ¡ dire ¡that ¡cyber ¡security ¡has ¡topped ¡the ¡Director ¡of ¡Na0onal ¡ Intelligence ¡list ¡of ¡global ¡threats ¡for ¡the ¡second ¡consecu0ve ¡year. ¡We ¡ want ¡to ¡predict ¡and ¡prevent ¡aOacks ¡rather ¡than ¡reac0ng ¡aFer ¡the ¡ fact.” ¡

Director of National Intelligence James Clapper • February ¡26, ¡2015 ¡ • U.S. ¡intelligence ¡agencies ¡once ¡again ¡listed ¡cyber ¡aOacks ¡as ¡the ¡top ¡ danger ¡to ¡U.S. ¡na0onal ¡security, ¡ahead ¡of ¡terrorism. ¡ • Saboteurs, ¡spies ¡and ¡thieves ¡are ¡expanding ¡their ¡computer ¡aOacks ¡ against ¡a ¡vulnerable ¡American ¡internet ¡infrastructure, ¡chipping ¡away ¡ at ¡U.S. ¡wealth ¡and ¡security ¡over ¡0me. ¡ • Cyber ¡threats ¡to ¡U.S. ¡na0onal ¡and ¡economic ¡security ¡are ¡increasing ¡in ¡ frequency, ¡scale, ¡sophis0ca0on, ¡and ¡severity ¡of ¡impact. ¡

Director of National Intelligence James Clapper • February ¡26, ¡2015 ¡ • Top ¡4 ¡na0on-­‑state ¡cyber ¡threats ¡ • Russia, ¡China, ¡Iran ¡and ¡North ¡Korea ¡ ¡ • Tradi0onally, ¡China ¡had ¡been ¡first ¡on ¡that ¡list, ¡but ¡Russia ¡was ¡listed ¡ first ¡this ¡year ¡for ¡the ¡first ¡0me. ¡ • Hackers ¡linked ¡to ¡China ¡have ¡been ¡probing ¡the ¡U.S. ¡electrical ¡grid ¡in ¡ an ¡effort ¡to ¡lay ¡the ¡groundwork ¡for ¡aOack. ¡