Sicherere Mitarbeiter! - Cyber Security Awareness mit LUCY Swiss eHealth Forum 06. März 2020
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Sicherere Mitarbeiter!
Cyber Security Awareness mit LUCY
Swiss eHealth Forum
06. März 2020
Manuel Krucker, manuel.krucker@terreactive.ch
Samuel Flükiger, samuel.fluekiger@mobi.ch
1
Die Referenten
Manuel Kruckner Samuel Flükiger
tbd tbd
2
terreAktive auf einen Blick
• Diese Folie mit einem terreAktive Onepager überklatschen, analog
der Mobiliar Folie weiter unten.
Confidential 3
Cyber Crime &
Cyber Security…
Swiss eHealth Forum 2020 4
Wussten Sie dass...
...’Healthcare’ Ziele auf Platz 4 der Rangliste der Cyberkriminellen liegen?
Swiss eHealth Forum 2020 5
…und wussten Sie dass…
…91% der erfolgreichen Angriffe beim Mitarbeiter beginnen?
auf eine technische den Benutzer mit einem der erfolgreichen
Schwachstelle zielen Social Engineering Trick Cyberattacken mit einer
reinzulegen versuchen Phishing Mail begannen
Swiss eHealth Forum 2020 6
…und wussten Sie dass…
...74% der Securityvorfälle
für die Lösung Technik UND den
Menschen benötigen?
cisco.com/go/acr2018 7
Stellen Sie sich vor…
…dass Sie systematisch angegriffen werden
cisco.com/go/acr2018 8
Und stellen Sie sich vor…
…dass Ihre Mitarbeiter dafür nicht vorbereitet wurden!
cisco.com/go/acr2018 9
Deswegen: LUCY schafft
Abhilfe…
Security Awareness Software zur Immunisierung der Mitarbeiter!
cisco.com/go/acr2018 10Wie wird das gemacht?
TESTS DER MITARBEITER
Angriffssimulationen, USBs, Smishing
INFRASTRUKTUR TESTS
Malware Simulation: Wie gut ist die Infra-
struktur des Einzelnen gesichert?
MITARBEITER SCHULUNGEN
Integriertes LMS mit hunderten von
Modulen: Kurse, Spiele, Videos, Quiz
MESSEN, VERFOLGEN, THREAT ANALYTICS
Lernfortschritte, Benutzer Maturität und
Bedrohungsanalyse des Email-Risikos
MITARBEITER ENGAGEMENT
Meldesystem, Mail Phish Button, etc. Kriminalität
Confidential
im 21. Jahrhundert 11Awarenessbei
Awareness beider
der Mobiliar
Mobiliar
Samuel Flükiger, IT-SicherheitsbeauftragterDie Mobiliar auf einen Blick
• Erste private Versicherungsgesellschaft der Schweiz
• Genossenschaftlich verankert
• 2 Mio. Kundinnen und Kunden
• Jährliches Prämienvolumen: CHF 3.8 Mia.
• Schweizer Marktführerin in Haushalt-, Betriebs- und Risikolebensversicherung
• 1/3 aller Haushalte und jedes 4. Unternehmen sind bei der Mobiliar versichert
• 9 von 10 Schadenfällen werden direkt vor Ort erledigt
• 79 Generalagenturen an 160 Standorten in der ganzen Schweiz
• Rund 5400 Mitarbeitende und über 300 Ausbildungsplätze
Awareness Strategie 27.02.2020 13Cyber
Zwei Sichten für die Mobiliar
INTERN EXTERN
Schutz der Geschäftsprozesse, Daten und IT-Systeme vor Kunden sichern Cyber-Risiken bei der Mobiliar ab.
Cyber-Angriffen.
Die Mobiliar schützt ihre Geschäftsprozesse und Die Mobiliar hilft ihren Kunden die Cyber-Risiken zu
Unternehmenswerte mit Cyber Security. bewältigen.
Awareness Strategie 27.02.2020 14Mitarbeiter steht im Mittelpunkt
Sowohl bei Cyber-Angriffen als auch bei Sensibilisierung
• Mitarbeitende sind das einfachste und effizienteste
Eintrittstor bei einem Cyber-Angriff.
• Mittels Phishing-Simulation können Mitarbeitende auf
entsprechende Gefahren realitätsnah mit dem gewissen
"Wau"-Effekt sensibilisiert werden.
• Jedoch darf eine Awareness-Konzept nicht alleine auf
Phishing-Simulationen und Web-basierten Trainings
beruhen.
• Eine Einbettung in ein Übergreifendes Konzept ist
erforderlich.
Awareness Strategie 27.02.2020 15Phishing-Simulation bei der Mobiliar
Einsatz Lucy Security
Ziel
• Regelmässige Sensibilisierung der Mitarbeitenden (2 – 3
Phishing Kampagnen pro Jahr und Mitarbeitende)
• Mitarbeitende können einfach und schnell verdächtige E-
Mails melden.
Umsetzung
• Seit November 2020 wird pro Monat für einen bestimmen
Mitarbeiterkreis mindestens eine Kampagne durch-
geführt.
• Mitarbeitende können verdächte E-Mails über einen
Alarm-Knopf, welcher im E-Mail Client integriert ist
melden.
• Meldungen werden direkt ans interne Cyber Defence
Center (CDC) zur Analyse geschickt, teile der Analyse
werden heute schon automatisiert (wird weiter
ausgebaut).
Awareness Strategie 27.02.2020 16Phishing-Simulation bei der Mobiliar
Herausforderungen
Die Simulation soll keine Beübung der Sicherheits-
organisation sein
→ Ein Jahr von der Idee bis zur ersten Simulation
→ Wie integrieren wir Provider, Behörden, etc. in den
Prozess?
Information aller relevanter Stakeholder vor Durchführung einer Kampagne
→ Wie kann verhindert werden, dass Service Desk und
CDC durch entsprechende Simulationen überflutet
werden?
Vereinfachung des Meldeprozess von verdächtigen E-Mails mittels Alarm-
Knopf, automatische Triage von gemeldeten E-Mails, direkte und schnelle
Rückmeldung an Mitarbeitende
Awareness Strategie 27.02.2020 17Alarm-Knopf
Awareness Strategie 27.02.2020 18"Alles in allem kann ich aber sagen, dass dies
eine sehr gelungene Massnahme war und für
reichlich Gespräche beim Kaffee gesorgt hat."
"Wenige Sekunden nachher am Helpdesk gemeldet
und Password geändert aber ist schon zu spät. Nicht
nett das nach 10 intensiven Stunden zu machen aber
vollends korrekt – Hacker achten auch nicht darauf ob
man am Tagesende kaputt ist und nicht mehr
aufpasst. Mea culpa."
Ja, dieses Mal habt Ihr mich tatsächlich erwischt!
Zefix! Übel für mich, der ich sonst jedes eigenartige
Mail mit Lucy melde…
Gut, dass Ihr solche Tests macht! DANKE.
Awareness Strategie 27.02.2020 19Phishing-Simulation bei der Mobiliar
Erkenntnisse und Zahlen
• ~1200 Mitarbeiter bereits mit einer ersten Kampagne
sensibilisiert.
• (Miss-)Erfolgsrate hängt stark
− Komplexität der Kampagne
− Zeitpunkt (7:30 vs. 10:00)
− Grösse der Zielgruppe
− Sensibilisierungsgrad
− Wiederholungsfrequenz (max. 2 Monats-Effekt)
ab.
• 0% ist nicht realistisch.
• Viel wichtiger ist jedoch die Melderate. Hier streben wir
bis Ende 2020 >30% an.
• "Beübung" der Organisation hat durch eine durch-
gängige Planung und Integration in die Prozesse einen
sehr geringen Impact auf den Betrieb.
• Meldung verdächtiger E-Mails durch Alarm-Knopf:
− Reduktion Service Desk Anrufe um Faktor 10
− Verdreifachung der Meldungen
Awareness Strategie 27.02.2020 20Resultate von
Phishing Simulationen
Train & Phish Kampagne November 2019 – Mittleres und Top Mgmt
cisco.com/go/acr2018 21
Resultate ‘Swisspower Market Day Security Awareness Training 2019’Trainingsresultate (1)
…2 Wochen Trainingslaufzeit: ¼ absolviert das eLearning:
22
Resultate ‘Swisspower Market Day Security Awareness Training 2019’Trainingsresultate (2)
Nirgends hat es 100% richtige Antworten | ‘Ebay’ & ‘Dangerous Types’
23Resultate des Phishings
Trotz des Trainings eine Penetrationsrate von 41.3%...
…üben, üben, üben!
24Jeder braucht Security
Awareness!
Und wir liefern es!Demo
Powerful
Wizards
Campaign
Dashboard
l 26Danke! Besuchen Sie uns am Stand, wir
m achen gerne eine Demo
terreActive AG LUCY Security AG
Adresse Chamerstrasse 44, CH-6300 Zug
CH-5000 Aarau Switzerland, +41 44 557 19 37
www.lucysecurity.com
27Sie können auch lesen
