PREDAVATELJI NA KONFERENCI INFOSEK 2012

Predavanja v angleščini:

Claus Oliver Eckel, BWIN, Cognosec 

Electronic Payments - The everlasting controversy between risk and opportunity. From the first payment transaction to the latest payment trends. A review of the development of the industry and the criminal activities in this industry

Systemic Security Management - How to manage security with a holistic view on systems, processes, people and organizations. You cannot resolve your security exposures with organizational measures, technical tools, processes, or experts alone, only the combination of all four of them will lead you to success

Bharat Thakrar, British Telekom  

Making the Business Case for Security Investments
The new disruptive landscape – how the game has changed.
Making the case for security investments and connecting to business objectives.
Taking a strategic approach to security using Envisioning.

Using the New GLOBAL standard ISO22301 for effective BCM
Why introduce another new BCM standard? What’s so good about ISO22301?
The process of achieving Certification and difference from previous standards.
The key Challenges and how to overcome them and lessons learnt from those who have done it.

Crisis Management/Scenario Planning 
The value of scenario planning to enhance security planning for senior management
Enhance Business Continuity Plans with cyber threats
Running the audience through an actual scenario exercise

Marek Deml, Deloitte

Implementing security operating centre (SOC) in 'Follow-the-Sun' model
Aim of Marek Deml’s presentation is to share audience with experience how to get business sponsor, how to kick off such kind of project, how to implement it, how to manage it and get value from its operation. It includes all necessary actions needed concerning technologies, people and processes. Final target is to show value added to the business, and get confirmation from the business they see and experience this added value.

Security Watch – proactive management of threats and vulnerabilities
Objectives of the presentation are to share Marek Deml’s experience with running proactive security watch process which helps the company to:

- Ensure all security related alerts monitored and received by the Security team from any sources are handled in an established, documented, and consistent manner.
- Ensure each Alert sent from Security Watch is consistent with an established, easily recognizable format.
- Provide clear guidance to any personnel utilizing this alerting mechanism on behalf of the security team.
- Formalize, publish, and communicate the process in worldwide based organization.
- Ensure that released alerts by Security Watch are delivered to the audience in time and quality.
- Ensure that alerts are easily archived and accessible to the audience in online library.
- Providing guidance in implementing actions specified in alerts.
- Monitor that actions advised in alerts were implemented worldwide.

Krzysztof Pulkiewicz, BCMLogic

How to measure your business resiliency- define the KPI’s/KRI’s and scorecards to control your security and business continuity capabilities
Business Continuity Management is the process, not just a one-time project activity. In order to control the alignment between the BC plans and business as usual as well as synchronize the changes, it is required to setup the scorecard based measurement process. The set of KPI's and KRI's is aimed to visualize the maturity of BCM, risk vs. lost metrics and level of protection mechanisms against the business requirement. I will present the business resiliency scorecard framework with special focus on the methods of data gathering and integration with IT infrastructure landscape.

How to streamline the critical communication for effective security and continuity incident management
Communication with teams, decision makers, customers and business partners is the crucial element of effective incident response. Presentation will cover the major elements of building effective incident response and communication plan, including the ad-hoc impact analysis, communication with stakeholders and automated call tree procedures. I will present the overview and comparison of different incident handling and communication strategies as well as practical guidelines how to build, test and use it in organization. I will present in in real time how to use the automated notification tools- real life presentation.

Gloria Marcoccio, GLORY.IT

Cloud computing vs data protection & privacy regulations: the WP 29 sets the clock

Cloud Computing success strongly depends, among other factors, on the adoption of a structured  approach to fulfill the requirements from different  national data protection & privacy legislations.

In this context a primary input in driving the choice of adequate security measures is now given by the 5/2012 Opinion on Cloud Computing issued by the group of the European Data Protection
Authorities-WP29.

Although the Opinion is not a regulation however it represents the authoritative position of the Authorities able to influence the national legislations concerned and provides an overview of main
privacy issues of Cloud Computing as well as concrete guide for a systematic approach in addressing the risks associated, with indication of security measures and precautions at technical/organizational and  contractual level.

Dalibor Baškovč, Zavod e-Oblak

KC CLASS – Slovene national cloud research project - facts, objectives and current results
The goal of national project KC Class is a development of services and products in the area of cloud computing. With the development of competences in this area it is possible to increase the competitiveness of cooperating partners in the project as well as – with the help of access to the newest technologies and knowledge in this area – competitiveness of Slovene economy in general. The development of KC will be based on: international breakthrough of services and products, scientific excellence and long-term development in building of the consortium. The key component for achieving the objectives is an effective knowledge flow from research institutions to the companies and back. With this we enable transfer of knowledge gained in research to innovative services and products with a high added value. Through standardized activities the consortium will support open interfaces and protocols.

 

Predavanja v slovenščini:

Nataša Pirc Musar, informacijska pooblaščenka

Kam odhaja naša zasebnost - v oblak, morda še kam?
Moderne informacijske tehnologije vse boj vplivajo na našo zasebnost. ÄŒe smo še pred leti bili popolnoma sproščeni ob nakupih razno raznih strojev, danes marsikdo že pomisli na svoje osebne podatke - kaj vse naprava zbira o meni, komu podatke pošilja, kdo te podatke gleda in za kaj jih uporablja. Pri mnogih preprosto nimamo nobene izbire, ali napravo imamo ali pa smo brez. Mobilni telefoni so že ena takšnih naprav, kjer brez obdelave t.i. prometnih podatkov ne gre. Kakšne pasti skriva za zasebnost računalništvo v oblaku, kaj na "trg" osebnih podatkov prinašajo "smart grid" tehnologije (tehnologije pametnih omrežij), kaj internet stvari ("internet of things"), ko bodo stroji sami javljali centralam, kaj jih moti (recimo hladilnik bo trgovini javil, da je zmanjkalo mleka), kakšne posledice bodo prinesle tehnologije prepoznave obrazov na internetu ("face recognition"), ali nas bodo kmalu lahko radovedni sosedi nadzirali z malimi brezpilotnimi letali (droni) .... Boli me glava! Upravičeno? Se pogovorimo na konferenci. Komaj čakam.

Marjeta Pučko, Vzajemna d.v.z.

Desetletje sistema informacijske varnosti - kako naprej?
Vsebina predavanja bo na temo vodenja informacijske varnosti, predvsem kako se kot vodja informacijske varnosti v praksi soočiti z različnimi aktualnimi izzivi:
- na področju tehnologije -  virtualno okolje, varnost v oblaku, mobilne naprave in BYOD, uporaba možnosti napredne omrežne in varnostne opreme,
- na področju standardizacije - katere standarde še implementirati, certifikacija da ali ne,
- na področju vodenja in organizacije  - kje so dejansko vzvodi učinkovitega delovanja informacijske varnosti, kam se premika težišče odgovornosti za izvedbo,
- na področju financ - koliko nas stane informacijska varnost, kako ohranjati učinkovit sistem pri stalnih zahtevah za nižanje stroškov.

Nina Jeznik, Dravske elektrarne Maribor

Integracija standarda 22301 v obstoječi SUVI in druge obstoječe sisteme vodenja
Vsak dan se organizacije srečujejo z motnjami, ki lahko ogrozijo njeno preživetje. »Nam se to ne bo zgodilo«, so odzivi organizacij, ki še niso pripravljene na načrt »nič nas ne more presenetiti«, kakor v Dravskih elektrarnah Maribor d.o.o. pogovorno pravimo standardu 22301. Z njegovo implementacijo se vedno bolj zavedamo ozkih grl pri upravljanju neprekinjenega poslovanja in vidika pomembnosti varovanja informacij. Upravljanje standardov mora biti celovito, zato nam integracija standarda 22301 v obstoječi SUVI, ter upravljanje celotnega nabora standarda drugih obstoječih sistemov vodenja, omogoča varno in zanesljivo proizvodnjo električne energije iz obnovljivih virov.

Darjo Gregorič, HIT d.d.

Varna uporaba mobilnih naprav v poslovne namene (nevarnosti+trendi) 
Mobilne naprave se vse bolj uveljavljajo kot pripomoček, ki ga uporabniki uporabljajo za osebne in službene potrebe. To je naprava na kateri se združuje privatni in poslovni svet in na kateri se prepletajo poslovni in privatni podatki. Kako ta dva svetova ločiti?. Kako omejiti odtekanje poslovnih podatkov in zasebnost osebnih podatkov. Kako je z uporabo privatnih naprav za poslovno uporabo? Nekaj možnih odgovorov in napotkov pa tudi izkušenj iz prakse bo prikazanih na predavanju.

Vanja Gleščič, Palsit d.o.o.

Novi standard ISO 22301 za upravljanje neprekinjenega poslovanja
Novi ISO 22301, standard za upravljanje neprekinjenega poslovanja (UNP), opredeljuje vodstvu mnogo pomembnejšo vlogo pri UNP kot prejšnji standard BS 25999. Zaradi tega je morda implementacija UNP zahtevnejša, vsekakor pa učinkovitejša. Novi standard prinaša še nekatere druge spremembe, vendar osnova UNP ostaja enaka, prehod s starega standarda pa ne preveč zapleten ali zamuden.

Jani Ravas, Športna loterija d.d. in Vanja Gleščič, Palsit d.o.o.

Uvedba sistema upravljanja neprekinjenega poslovanja na Športni loteriji d.d. po standardu ISO 22301
V letu 2012 je Športna loterija uvedla sistem upravljanja neprekinjenega poslovanja po novem standardu ISO 22301. Predavanje bo predstavilo razloge uvajanja UNP, ključne korake vpeljave, praktične primere usklajevanja s standardom, odziv zaposlenih  ter nekatere rešitve, ki smo jih izvedli v sklopu uvajanja sistema UNP.

Boris Krajnc, Smart Com d.o.o

Varno, zanesljivo in pregledno upravljanje informacijske infrastrukture

SmartSNO - sistem za sledenje in nadzor omrežij 
Nepooblaščen dostop do različne informacije infrastrukture oz. naprav ter nenadzorovano in neusklajeno spreminjanje njihovih parametrov in nastavitev, lahko bistveno vplivajo na poslabšanje učinkovitosti delovanja različnih sistemov in procesov, s tem pa tudi na povečanje stroškov poslovanja podjetja. Predstavili bomo sistem SmartSNO, ki poleg sledenja in zagotavljanja učinkovitosti delovanja infrastrukture IT , v prvi vrsti zagotavlja visok nivo varnosti nadzorovanih naprav ter prispeva k nemotenemu zagotavljanju uporabnikovih storitev. Osvetlili bomo temeljne značilnosti nadzornega sistema, ki omogoča pravočasno zaznavanje in s tem odpravo napak. Hkrati pa zagotavlja shranjevanje varnostnih kopij nastavitev, sledljivost vseh opravljenih posegov skozi takšen sistem na infrastrukturi in skrbnike opozarja na morebitne spremembe parametrov infrastrukture.

Uroš Žust, Deloitte revizija d.o.o. in Maja Hmelak, Računsko sodišče RS

Tveganja uporabe zasebnih naprav na delovnem mestu

Z vidika uporabnikov, so tehnološki razvoj v zadnjih treh letih najbolj zaznamovale številne nove naprave zlasti širjenje pametnih mobilnih telefonov ter tablic. Številni so jih do te mere vključili v svoj vsakdan, da jih želijo uporabljati tudi na delovnem mestu. To je sicer smiselno z vidika produktivnosti - nove naprave omogočajo delo kadarkoli in skoraj kjerkoli.
 

Izziv pa je vse te naprave, zlasti pa še zasebne naprave zaposlenih, vključiti v enotno shemo informacijske varnosti. Za revizorje informacijskih sistemov ter notranje revizorje predstavlja to področje eno izmed največjih groženj informacijski varnosti. Povzemamo ključne značilnosti trenda uporabe lastnih naprav na delovnem mestu, tveganja, ki so z njim povezana ter ključne ukrepe za njihovo zmanjšanje. Zaradi mobilnosti, ki jo pogosto zahteva narava dela v sodobnih časih so namreč zaposleni pogosto zelo odvisni od uporabe pametnih mobilnih naprav, hkrati pa razkritje zaupnih podatkov predstavlja veliko tveganje tako za njih, kot tudi za njihove stranke.

Janko Šavnik, HYPO ALPE-ADRIA-BANK d.d.

Zakonit forenzični odziv pri preiskavi notranjih prevar
Pohlep, v zadnjem času pa tudi izrazite finančne težave, so razlog, da vedno več ljudi prestopi črto poštenja in s prevaro poskušajo priti do dodatnih denarnih sredstev. Ob ugotovljeni notranji prevari mora organizacija izvesti več nujnih ukrepov oziroma pravilno odreagirati, da bo preiskava prevare zakonita in uspešna. Pričakovanja vodstva in lastnikov so velika, standardi za dokazovanje pa so vedno višji. Dokazovanje tovrstnih prevar je specifično, saj je potrebno poznati procese v organizaciji, razumeti finančno ozadje, prav tako pa je potrebno tudi identificirati, zavarovati in analizirati digitalne dokaze, kar je običajno zelo zahtevno tako zaradi zagotavljanja zakonitosti postopkov, kot tudi zaradi vedno večjih količin podatkov in podobno. Na predavanju bo predstavljen okvir postopkov, ki jih je potrebno izvesti za zakonito interno preiskavo z ali brez pomoči državnih organov.

Igor Bernik, Fakulteta za varnostne vede

Ogroženost uporabnikov mobilnih naprav v kibernetskem prostoru
Z vsepogostejšo rabo mobilnih naprav za (stalen) dostop do različnih storitev kibernetskega prostora se pojavlja obilo možnosti kibernetskim kriminalcem za zlorabo posameznih elementov komunikacijskega sistema. Tehnični vidiki so najpogosteje dobro urejeni, uporabniki pa se niso prilagodili hitremu razvoju in se ne zavedajo virov ogrožanja, zato se pred njimi ne zaščitijo. Mobilne naprave sicer omogočajo različne zaščitne mehanizme, ki bi jih obranili pred pojavom kibernetske kriminalitete, žal jih večina uporabnikov ne uporablja, zato naprave omogočajo odprt dostop do uporabnikovih podatkov za možne zlorabe.

Stanka Klakočer,  Agencija za kmetijske trge in razvoj podeželja

Varovanje informacij: Model klasifikacije informacij v državnem organu 
Klasificiranje informacijskih sredstev in informacij po njihovi občutljivosti (kritičnosti) je nujno potreben proces v vsaki organizaciji, tudi v državni organih. Slednje je zlasti pomembno, ko je potrebno določiti ustrezne kontrolne mehanizme za njihovo zaščito. V državnih organih se informacijska sredstva in informacije največkrat klasificirajo z zakonodajnega vidika, kot npr. javno dostopne, interne, zaupne, tajne, strogo tajne ipd. Obstajajo pa tudi državni organi, ki s takšnimi podatki (razen osebnih podatkov) ne operirajo, so pa za njihovo delovanje zelo pomembni drugi vidiki za določanje njihove občutljivosti, kot nr. poslovna vrednost informacijskih sredstev, pravočasna razpoložljivost informacijskih sredstev in informacij, točnost informacij ter možnost njihove pravilne in pravočasne obdelave zaradi točno določenih rokov izplačil sredstev itd. Slednje velja tudi za Agencijo RS za kmetijske trge in razvoj podeželja kot eno od evropskih plačilnih agencij, katere osnovna dejavnost je izplačevanje finančnih sredstev iz naslova Skupne kmetijske politike EU slovenskim upravičencem.  Na tem predavanju bo na kratko predstavljen eden od možnih modelov klasifikacije informacijskih sredstev in informacij, kakršnega smo osnovali v naši plačilni agenciji.

Matej Kovačič in Jaka Hudoklin  

Varnost GSM telefonije
Na predavanju bodo predstavljeni rezultati varnostne analize slovenskih GSM omrežij in ukrepi, s katerimi so operaterji največje pomanjkljivosti odpravili. Varnostna analiza je namreč pokazala, da je bilo v GSM omrežjih mogoče nepooblaščeno prestrezati SMS sporočila in celo prevzeti mobilno identiteto uporabnika. S sodelovanjem operaterjev pa smo dosegli, da so slovenska GSM omrežja danes bolj varna, kljub temu pa vse ranljivosti še niso odpravljene.

Boštjan Berčič, IEPRI

Pravna vprašanja računalništva v oblaku
Oblačno računalništvo (cloud computing) postavlja vrsto pravnih vprašanj v zvezi z obdelavo in varnostjo podatkov: čigava odgovornost so podatki shranjeni v oblaku, ali obstajajo pogodbe o procesiranju osebnih podatkov med ponudniki oblačnih storitev in ponudniki infrastrukture na kateri storitve tečejo, v katerih državah se obdelujejo podatki, ali obstajajo privoljenja in zavedanje na strani posameznikov kje in za kakšne namene se obdelujejo njihovi podatki, kako je z varnostjo podatkov na večuporabniških (multi-tenant) aplikacijah. Predavanje bo poskusilo osvetliti nekatera temeljna pravna vprašanja oblačnega računa.

Boris Oblak, Abakus plus d.o.o.

Kdo vse je videl podatke Marije Novak?
Zakon o varstvu osebnih podatkov (ZVOP-1-UPB1) v 30. členu predpisuje, da ima posameznik pravico od upravljalca osebnih podatkov zahtevati seznam uporabnikov, katerim so bili posredovani osebni podatki, kateri, kdaj in za kakšen namen.
Kako lahko to zagotovimo? Je "select * from delavci" dejansko razkril vse podatke o delavcih? Lahko software za vodenje revizijskih sledi res zagotovi vse potrebne informacije?
Na predstavitvi bomo odgovorili na ta in še nekatera druga vprašanje. Opisali bomo, na kakšen način lahko pravilno in v celoti zadostimo zakonu o varstvu usebnih podatkov.

Danica Šaponja, Ministrstvo za pravosodje in javno upravo

 "NIO portal kot orodje za obvladovanje dokumentov informacijske varnosti"

NIO portal bo predstavljen skozi postopek objavljanja in sprejemanja dokumentov, organizacijsko shemo urednikov in portal kot spletno orodje za upravljanje. Veliko število informacijskih sistemov, kateremu smo priča v okolju državne in javne uprave, zahteva kontinuirano skrb za primerno povezovanje, integriranje ali drugačno usklajevanje. S povečevanjem števila informacijskih sistemov se povečuje kompleksnost dejavnikov informacijskega okolja, kar neposredno vpliva tudi na oblikovanje interoperabilnostnih vsebin na področju informacijske varnosti. V okviru izvedenih študij interoperabilnosti, je nastal portal nacionalnega interoperabilnostnega okvirja (NIO), katerega namen je na enem mestu zbirati in pregledno objavljati izdelke, povezane z interoperabilnostjo v javni upravi. Portal NIO je bil 85% sofinanciran iz sredstev Evropskega  ocialnega sklada, operacija Interoperabilnost in e-izmenjava podatkov.

Vzpostavljanje interoperabilnosti predstavlja dinamičen proces, je način delovanja in upravljanja, ki vodi tudi k spremembam utečenih ravnanj v okviru informatizacije procesov v javnem sektorju. Težave in izzivi, ki jih pri tem v največji meri zaznamo na organizacijski ravni, vse pogosteje priznavamo, da so z vidika čezmejne interoperabilnosti, predvsem na semantični ravni. Pri povezovanju sistemov je zelo pomembno kako je zastavljena organizacija dela in izvajanje skrbništva NIO. Portal NIO predstavlja za javno upravo osnovno orodje za prijavljanje, spreminjanje in uporabo dokumentov, ki jih morajo skrbniki informacijskih sistemov pripravljati v skladu z nacionalnimi zahtevami interoperabilnosti.

Marko Potokar

 Kaj mora tajnica vedeti o varovanju OP

Potreba po varstvu zasebnosti se je pojavila zaradi prisluškovanj in podobnih vdorov v zasebnost posameznikov. Ker je večino novodobnih kršitev zasebnosti omogočil šele razvoj nove tehnologije, je razumljivo, da se je pravico do varstva osebnih podatkov začelo uveljavljati precej pozno (gre za kršitve, kot so prisluškovanje telefonskim pogovorom, uporaba mikrofonov in drugih elektronskih naprav, zbiranje, shranjevanje in iskanje informacij z videokamerami, računalniki in podobno). Pred iznajdbo različnih naprav je bil posameznik lahko skorajda prepričan, da mu v zasebnih prostorih nihče ne prisluškuje. Tudi vdor v zasebnost večje skupine ljudi je bil pred uporabo računalniških baz veliko težavnejši, saj so bile informacije o posameznikih pogosto raztresene in težko dostopne. Zakon o varovanju osebnih podatkov je potreben zato, da bi dosegli ravnotežje med pravico do zasebnosti in legitimnimi razlogi za uporabo osebnih podatkov. Nujno je bilo namreč treba razviti zakonodajo, ki bo posameznikom nudila varstvo in jim zagotavljala ustrezne pravice, hkrati pa omogočala uporabo osebnih podatkov tistim subjektom, ki so upravičeni do zbiranja in obdelovanja le-teh.

Socialni inženiring (tajnice in ostali)

"Na predavanju bo predstavljen pojav socialnega inženiringa kot ene izmed najbolj podcenjevanih, hkrati pa najnevarnejših metod zlorabe človekovega zaupanja. Okvirno bodo predstavljeni mehanizmi, ki botrujejo temu pojavu in vzroki zaradi katerih so ljudje glede njega tako ranljivi. Opisane bodo metode socialnih inženirjev in načini obrambe proti njim ter nevarnosti, ki prežijo na preveč zaupljive uporabnike spleta in njegovih storitev."