Press "Enter" to skip to content

Kategori: IT-Sikkerhed

Kursus: Cloud og Jura

Kammeradvokaten afholder 28/11/2019 kursus under titlen “Cloud computing i et juridisk perspektiv” – noget jeg vil anbefale til både leverandører og kunder. Kurset henvender sig til ansatte, der beskæftiger sig med anskaffelse af IT-løsninger såsom beslutningstagere, jurister og konsulenter i både offentlige og private virksomheder.

Kurset giver indsigt i det juridiske perspektiv for cloud, herunder hvilke opmærksomhedspunkter, der er vigtige at have i mente. Du vil gå fra kurset med konkrete anbefalinger og metoder, herunder værktøjer til vurdering af risiko og fastlæggelse af de juridiske krav, når du anvender cloud-løsninger.

Du får konkrete anbefalinger fra Kammeradvokaten samtidigt med Datatilsynet deltager med deres syn på sagen, hvilket vil give et bedre fundament for forståelse af de juridiske krav og muligheder.

Comments closed

10 skridt til bedre IT sikkerhed

Denne oversigt blev frigivet fra National Technical Authority for Information Assurance (CESG), der er det statslige argentur i UK der rådgiver stat og statslige ageture om håndtering af informationer og informations-sikkerhed. De fleste burde allerede være rutineret i hvilken produkter der kan løse de enkelte opgaver, men kontakt mig gerne hvis i har behov for konkret rådgivning med udgangspunkt i de systemer i allerede har i dag.

  1. d
Comments closed

IT Risikovurdering skaber værdi

Når kunder skal dokumentere over for kunder eller myndigheder, at den indførte informations-sikkerhed omkring de leverede ydelser er fyldestgørende og betryggende og i overensstemmelse med kundekontrakten eller gældende lovgivning, anbefaler jeg man gør det gennem en erklæring om informations-sikkerhed fra et revisions-selskab – BDO er et godt sted at starte.

I den forbindelse kommer en IT Risikovurdering i spil, da det er rammeværket for at sikre man har været hele vejen rundt om sin IT-infrastruktur fra et forretnings-perspektiv. Personligt anvender jeg tit det AWS stiller gratis til rådighed. Samtidigt kan kunder med fordel anvende konsulenter som undertegnet i processen, for at omsætte juridiske krav til brugbare interne systemer og procedure.

Eksempel:

  • Kan man nøjes med gratis/open-source produkter for at reducere omkostninger
  • De produkter der stadig er under licens, er det den optimale licenstype i forhold til det der benyttes
  • Er jeres systemer så sikre som i tror
  • Bliver jeres systemer opdateret regelmæssigt
  • Har i overblik over jeres IT-assets
Comments closed

DNS over HTTPS (DoH) sikkerhedsproblem

Standard DNS trafik er ukrypteret og ofte anvendt sårbarhede ved udnyttelse af en man-in-the-middle sårbarhed. For at bekæmpe dette, gik de store browser-udviklere i gang med at finde på løsninger på denne sikkerheds udfordring. Mozilla var først på markedet med DNS-over-HTTPS (DoH) som de meget snart vil have enablet default, når deres browser installeres.

Hvis jeg kort skal forklare hvad DNS-over-HTTPS (DoH) er; så afvikles DNS foresprøgselen over HTTPS, der derved sikre det er TLS kryptering’s protokollen. Det betyder at det kun er browser sessionen der ved hvilket domæne der requestes.

Problem:

  • Hvis du kører split-brain DNS internt, vil den resolve til den offentlige IP, da det kun er eksterne DNS server der resolver.
  • Har du blokeret for sites som FaceBook/Netflix/Dropbox via. DNS, så virker det ikke længere, da de spørger eksternt.
  • Logger du trafik i din firewall/router kræver det reverse-dns opslag for at se hvor trafikken router til.

Anbefaling:
Indtil videre vil min anbefaling til erhverv være at formulere en strategi for sikker DNS (Cisco Umbrella er et godt produkt) og efterfølgende disable muligheden for at brugerne selv enabler DNS over HTTPS (DoH).

Sådan ser i om DNS over HTTPS (DoH) er enablet på klienten.

Google Chrome:
Dette er tilføjet start-genvejen:

--enable-features="dns-over-https<DoHTrial" --force-fieldtrials="DoHTrial/Group1" --force-fieldtrial-params="DoHTrial.Group1:server/https%3A%2F%2F1.1.1.1%2Fdns-query/method/POST

Google Chrome DoH

Mozilla Firefox
Under: Tools -> Preferences -> General -> Network Settings -> Tryk Settings
firefox doh

Comments closed

Omtalt i pressen

Den 25-26 juni var jeg på vegne af KeyCore i Boston for at deltage i AWS re:Inforce 2019, der er den årlige AWS messe med fokus på sikkerhed og compliance. På turen var blev det til et interview med Dan Mygind for Version2.dk, der har valgt at citere mine svar i denne artikel omkring nogle generelle holdninger til AWS og sikkerhed.

Konklussion fra AWS re:Inforce 2019
Personligt ser jeg forsat ingen tekniske årsager til kunder ikke kan overholde alle sikkerheds og GDPR compliance krav ved at benytte AWS – kontakt mig gerne hvis man er uenig.

Det var en fornøjelse at deltage ved Bertram Dorn præsentationen, hvor kunder kunne danne sig et overblik over de tre ansvarsområder; AWS Manages, Shared and Customer Managed.

Der findes en lang række produkter der hjælper med at dokumentere og tracke, hvis man ønsker at minimere komplexitet og tidsforbrug. Men grundlæggende drejer det sin om at man som kunde skal forstå sit ansvar for at benytte/udvikle/tilpasse sin infrastruktur korrekt. Fredag kan jeg findes tilbage i KeyCore HQ igen.Husk: “Security is job zero” – også selv om du ikke benytter AWS 😉

Comments closed