Month: Mai 2017

WannaCry Ransomware? Achselzucken!

1 Comment

Der Krypto-Trojaner WannaCry richtet weltweit Schaden an. IT-Sicherheit ist einmal mehr in den alten Medien angelangt. Und ich erwische mich selbst dabei, relativ wenig Interesse dafür zu zeigen: Einmal Tagesthemen gesehen, die Überschrift der FAZ gelesen und einen Heise-Newseintrag überflogen: Die amerikanischen Nachrichtendienste kauften die Zero-Day-Lücke, Microsoft bringt irgendwann einen Patch heraus, einen Monat später kommt die Ransomware und – oh Wunder oh Wunder: Es gibt Unternehmen und Krankenhäuser, die weder regelmäßig patchen (können), keine starke Netzwerksegmentierung haben und die Bedrohung Ransomware falsch eingeschätzt hatten.

Gähn..

Ich wurde von einem normalen Menschen – also außerhalb der IT – darauf angesprochen, was ich dazu sagen würde? Was soll ich dazu sagen. Nix neues. Früher gab es den „I love you“-Wurm, heute gibt es WannaCry. Weder ist die Entwicklung von WannaCry eine Ausnahmeleistung, noch sind Konzepte dagegen ein Hexenwerk. Ich glaube ehrlich gesagt nicht, dass jetzt der letzte CEO oder Behördenleiter plötzlich wach geworden ist und Informationssicherheit zur Chefsache macht.

WannaCry ist nicht der Anfang, aber auch lange noch nicht das Ende..

Die fünf Stufen von PCI DSS

Leave a Comment

Der Artikel ist nicht von mir, er ist aber lesenswert und ich kann die Erfahrungen bestätigen:

Had a meeting with a prospect recently that is bound and determined to avoid PCI compliance yet still will accept payment cards.

My response?  Good luck with that!

You would think after 15 years of PCI (and actually even longer) that people would understand that PCI compliance is a fact of life.  But I continue to find that PCI is no different than the five stages of grief.

Denial

This is where that prospect is now.  They cannot believe that there is no way to avoid PCI compliance.

For once and for all, if your organization accepts payment cards, you MUST comply with the PCI DSS.  Do not like that answer?  There is nothing as a QSA I can do to effect that fact.

However, for merchants there is a way out.  Do not accept payment cards for payment.  It is that simple.

That answer though immediately leads to the next stage.

…

Quelle: http://pciguru.wordpress.com/2017/04/28/the-five-stages-of-pci/

Vortrags-Evaluation „Aussagekraft von Penetration Tests“ – TISP Community Meeting 2016

2 Comments

inIch hielt letztes Jahr beim T.I.S.P. Community Meeting 2016 einen Vortrag über die „Aussagekraft von Penetration Tests“:

„Sind Ihre IT-Systeme sicher?“ ist eine typische Werbefloskel, um Penetrationstests zu vermarkten. Aber erhält man durch einen Penetrationstest wirklich eine Antwort auf diese Frage? Welche Aussagekraft haben Penetrationstests überhaupt? Dieser Vortrag soll darüber aufklären, welche Aussagekraft und Grenzen Penetrationstests besitzen und unter welchen Gesichtspunkten sie dennoch ein wichtiger Bestandteil einer Sicherheitsstrategie sein können.

Es war mein zweiter Vortrag bei einem TISP Community Meeting. Der erste war 2014 mit dem Thema „Die Schwächen des Sicherheitsstandards PCI DSS“. Damals erhielt ich ein paar Monate später ein Auswertung der Teilnehmerbewertungen. Die Bewertungsskala reicht von 1 bis 5. Die Bewertung des Vortrags von 2014:

Erwartete Informationen erhalten: 2,77 (Ø 2,48)
Vortrags Verfolgung: 2,07 (Ø 1,96)
Vortragstempo und Stofffülle: 2,07(Ø 2,08)
Unterhaltungswert: 2,25 (Ø 2,33)
Gesamt: 2,29 (Ø 2,22)

Mein Vortrag 2014 war okay, aber mehr auch nicht. Das Thema hat nicht optimal zur Zielgruppe gepasst und mein Vortragsstil war damals noch sehr „normal“ frontallastig. Im Ergebnis einfach nur Durchschnitt. Für mich nicht zufriedenstellend. Für 2015 hatte ich wieder ein Thema eingereicht, allerdings ohne Erfolg. Erst 2016 hat es wieder geklappt.

Nun kam für 2016 kein Ergebnis, somit hatte ich explizit angefragt und folgende Informationen bekommen:

Erwartete Informationen erhalten: 2,1
Vortrags Verfolgung: 1,4
Vortragstempo und Stofffülle: 1,8
Unterhaltungswert: 1,6
Gesamt: 1,7

Leider habe ich keine Durchschnittswerte. Nachdem sich die Qualität der Vorträge meiner Ansicht nach insgesamt nicht wesentlich verschlechtert oder verbessert hat, sollte es da keine großen Unterschiede zu 2014 geben. Die absoluten Bewertungszahlen für meinen Vortrag von 2016 habe ich noch bekommen:

Hat Ihnen der Vortrag die
erwartete Information geliefert?		 Sehr gut Okay Gar nicht
16 31 16 2 1
Wie leicht fiel es Ihnen,
dem Vortrag zu folgen?		 Sehr leicht Okay

Sehr anstrengend
46 17 4 0 0
Wie bewerten Sie das Vortragstempo
und die Stofffülle?		 Genau richtig Okay

Gehetzt & zu viel
30 20 16 0 0
Wie bewerten Sie den Unterhaltungswert
des Vortrags?		 Hat Spaß gemacht Okay

Hat gelangweilt
32 26 4 2 0

 

Deutlich besser: Besseres Thema, deutlich besserer Vortragsstil. Mal schauen ob ich die Gesamtnote 1,7 beim Community Meeting 2017 schlagen kann..

Vortrag „Audits – Kämpfen in der Grauzone“ beim T.I.S.P Community Meeting 2017

Leave a Comment

Zum dritten Mal halte ich einen Vortrag beim T.I.S.P. Community Meeting, dieses Mal 2017 wieder in Berlin:

„Audits – Kämpfen in der Grauzone“

Es gibt absolut eindeutige Anforderungen. Und es gibt oftmals eine Grauzone, voller Interpretations- und Auslegungsmöglichkeiten. Wie gewinnt man in der Grauzone? Links vortäuschen, rechts /*zensiert*/? Welche Strategie ist die richtige – brachiale Ehrlichkeit oder mauern und sich keinen Millimeter bewegen? Ist die oftmals vorherrschende Prüferangst eigentlich berechtigt? Lassen Sie uns die Antworten finden..

Mehr Informationen zum offiziellen Programm:
https://www.teletrust.de/fileadmin/docs/projekte/tisp/community/2017/TeleTrusT-T.I.S.P._CM_2017_Programm_V1.pdf