Upload
sislink
View
40
Download
1
Tags:
Embed Size (px)
Citation preview
>> 0 >> 1 >> 2 >> 3 >> 4 >>
My Name is Moens,Alf Moens
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Granted to Alf MoensLicense to Kill
any network connection that is abused, is using extensive bandwidth, has been hacked or
otherwise compromised, is multiple times used to distribute copyright protected material, is used for
spamming, as long as it doesnot belong to any vital piece of the information infrastructure, according to the management or the owner, or is registered on
the name of a bobo of the institute.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Security Manager TU Delft,
Voorzitter SURFibo,
Programmamanager IB SURF
Alf Moens MISM
>> 0 >> 1 >> 2 >> 3 >> 4 >>
DISCLAIMER
De navolgende beelden en verhalen zijn gebaseerd op echte
praktijkgebeurtenissen.
Iedere overeenkomst met bestaande personen, situaties en instellingen is
volledig opzettelijk.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Whodunnit?
Of wel,
Hoe voorkom ik dat we in de krant komen?
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Whodunnit?
• Wat is de rol van architectuur?• Wat is de rol van standaarden?• Wat is de rol van identity management?•• Bij het voorkomen van informatielekken.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Wat kan er mis gaan?
• Drie recente praktijkvoorbeelden• Analyse van wat er mis ging en waarom• Handreiking om schade te voorkomen of
te beperken.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
1
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Studieresultaten in Google
April 2009Ergens in Nederland
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 1: OR vergadering met CvB
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 2: Aankondiging en Escalatie
• Voorzitter College → Directeur ICT• Directeur ICT → Manager ICT Operations• Manager ICT Operations
– Functioneel beheerders– Technisch beheerders– Security manager– Ingetrokken verloven, maximale stand-by
• CRISIS DUS!
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 3: Het bericht
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 4: De Feiten
• Studieresultaten:– Excel sheet op website van een vakgroep– Met namen, nummers en resultaten– Niet een keer maar meerdere Excels– Namen plus nummers mag niet samen
• Kostprijsberekening TU Delft Personeel– Interne brief op openbare website
• Binnen 1 uur probleemanalyse naar CvB
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 5: De Afronding
• Verzoek naar vakgroep om sheets aan te passen
• Verzoek naar M&C om interne brief te verwijderen
• Terugkoppeling naar melder (en enige discussie)
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 6: Analyse
• Wat ging hier mis?• Vakgroep heeft eigen website, buiten
corporate site om, maar alles open.• Vakgroep wil veel info naar studenten
geven• Het zijn de eigen cijfers (vakgroep &
student)
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Scene 7: Oplossing
• By design: sites met studieresultaten afschermen (architectuur, standaarden, IM)
• Voorlichting• Beter gemeenschappelijke faciliteiten
bieden:– Gebruikerswens ≠ geboden functionaliteit
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Intermezzo
Architectuur
>> 0 >> 1 >> 2 >> 3 >> 4 >>
2
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Gegevens op Straat
Februari 2009Ergens in Nederland
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Dit voorbeeld is IVM de vertrouwelijkheid van de casus
uit de oorspronkelijke presentatie verwijderd. Belangstellende kunnen zich wenden tot de
auteur.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Oeps?
Niet Over Nagedacht.Oplossing is Simpel.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
3
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Gegevens op Straat
Mei 2009Ergens anders in Nederland
>> 0 >> 1 >> 2 >> 3 >> 4 >>
>> 0 >> 1 >> 2 >> 3 >> 4 >>
>> 0 >> 1 >> 2 >> 3 >> 4 >>
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Een Opgeblazen Badeendje?
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Een Opgeblazen Badeendje?
Het is uit de hand gelopen.- vroeg signaal- geen reactie- happige pers- (Internet Rules)
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Hoe Helpen Architectuur
Standaarden enIdentity Management?
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Architectuur
• Er is te voren over nagedacht• Er is Samenhang• Er zijn Keuzes gemaakt voor
– Oplossingen– Methodes en– Technieken
• Er is Samenhang
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Standaarden
• Eenduidige manier van– Werken– Verwerken– Presenteren
• Er zijn afspraken gemaakt
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Identity Management
• Gebruikers zijn bekend• Toegang tot informatie is gereguleerd• Identiteiten en rechten zijn eenduidig
vastgelegd
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Arc
hite
ctuu
r
Sta
ndaa
rden
Overige
Iden
tity
Man
agem
ent
(On)bevoegden, per ongeluk
Onbevoegden, Opzettelijk (hackers)
Foutje, Sorry, Niet over Nagedacht
Opgeblazen Badeendje
Eigenwijze Gebruiker
Voorlichting, Procedures
Preventie
Voorlichting, Procedures
Alertheid
Strafregels?
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Conclusie
• Architectuur, Standaarden en Identity Management dragen in belangrijke mate bij aan het beperken van negatieve pers
• Maar lossen niet alles op• “Traditionele” Beveiliging en Voorlichting
blijven noodzakelijk, maar worden steeds meer een vangnet.
>> 0 >> 1 >> 2 >> 3 >> 4 >>
Studielink zo Lek als een MandjeKamervragen!Alle studenteninformatie in Studielink blijkt voor iedereen toegankelijk te zijn. Met enkele simpele muisklikken komen de lijsten met namen, studievoorkeuzen, cijferlijsten en banknummers te voorschijn. Door nog een paar keer door te klikken kunnen ook originele diploma's gedownload worden.
De directeur van Studielink, Wouter de Haan, was niet bereikbaar voor commentaar, wegens een Studielink congres in Noordwijk.
Het lek in Studielink heeft er altijd ingezeten en is waarschijnlijk al lange tijd misbruikt in het criminele circuit voor identiteitsdiefstal bij argeloze eerstejaars.
De LSVB heeft aangekondigd vanmiddag nog vragen te stellen in de Tweede Kamer. Minsiter Plasterk (foto) is teruggeroepen van een internatioonale feestbijeenkomst van ministers van Onderwijs. De Nationale coordinator terrorisme bestrijding ziet vooralsnog geen aanleiding het dreigingsniveau te verhogen.