UK govt gives money to SMEs for improving their cyber security

UK govt gives money to SMEs for improving their cyber security

Employers in denial about insider threat to data security

Study finds nearly half of UK employers trust workers not to steal company information

By John P. Mello, Jr.

April 17, 2013— CSO— Although insider threats to data security remain a serious problem, the word apparently hasn't made it up the corporate food chain in the UK.
Survey results released recently by the UK office of network security provider LogRhythm, headquartered in Boulder, Colo., found that nearly half (44 percent) the 1,000 employers polled said they trusted their employees not to access confidential documents or steal data from them.
More than a third of the sampling (37 percent) conceded that their workers might engage in those practices but would "like to think not."
Those employers may be a little naive about their workforces.
A study released earlier this year by Symantec and the Ponemon Institute of 3,500 workers worldwide revealed that half of them regularly emailed business documents to their personal accounts, a third confessed to moving work documents to unapproved file sharing apps and 40 percent stashed work files on their mobile devices.
"The big issue with that is that the majority of the people don't delete any of the data that they move," Robert Hamilton, director of product marketing at Symantec, told CSO. "It's a pretty significant problem."
He said employees need more education about data ownership. "It's not that people are bad and they're out to rip off their employers," Hamilton said. "They think they have an ownership stake in this information, and they're inclined to take it in the absence of somebody telling them not to."
The great trust that the employers place in their workers may explain why nearly a third of them surveyed by LogRhythm (31 percent) said they don't need to deploy any systems to stop employees from accessing confidential information or removing it from their companies.
[Also see: The three types of insider threat]
Another 16 percent of the firms surveyed confessed they didn't have data access security systems in place because they hadn't gotten around to it, and another 28 percent had them in place but said they weren't effective or not enforced.
Most organizations have access control systems in place, but those systems are becoming increasingly ineffective in protecting data, said LogRhythm founder and CTO Chris Petersen.
Five years ago, most of a company's data was going to be on a file server, locked down with permissions and rights management, he explained. "Today, you're looking at environments where your data is everywhere," he said in an interview. "It's mobile and those access control models have started to break down."
"An organization can have the tools to control access," Petersen said. "But they're useless because their data is out of control."
Protecting data from access by former employees didn't seem to be a priority of the firms either. A third of the respondents in the LogRhythm survey (33 percent) declared they didn't regularly change passwords to prevent ex-employees from accessing company websites or documents, and another 28 percent confessed they didn't adopt the practice, although they knew they should.
"Employees pose the greatest risk to a company's data," said Michael DuBose, who leads the cyber investigations practice at Kroll Advisory Solutions, and the former head of the cyber crimes division in the U.S. Department of Justice.
"There's been a lot of recent attention to Chinese hackers and state-sponsored cyber theft," said DuBose. "All of that is important. It's significant."
"But, I think it's important that companies not lose sight of the fact that, notwithstanding that threat, the vast majority of cases involving stolen trade secrets or proprietary data still originate with company insiders," he said.

Read more about data protection in CSOonline's Data Protection section.

Java krijgt morgen kritieke monsterpatch | Webwereld#source=newsletter

Java krijgt morgen kritieke monsterpatch | Webwereld#source=newsletter

15 april 2013

5 wijze lessen uit de ING DDoS-aanvallen

Gepubliceerd: Zaterdag 13 april 2013
Auteur: Jasper Bakker

 

DDoS'en is weer flink in de mode. De Nederlandse bank ING ligt flink en aanhoudend onder vuur, maar wel met pieken en dalen. Anderen krijgen ook DDoS-dreunen. 5 learnings die we hieruit kunnen halen.

DDoS is makkelijk

In tegenstelling tot wat Hollywood-films meestal projecteren, heb je voor een succesvolle aanval helemaal niet de hulp nodig van meesterkrakers, geflipte Defensie-topprogrammeurs, overgelopen cyberspionnen, of andere evil genieën. Iedereen kan DDoS'en. Voor een serieuze aanval zijn wel serieuzere middelen nodig dan alleen een eigen computer, maar voor een vastberaden iemand is dat best te verwerven. Hetzij via hacken, hetzij via botnets inhuren, hetzij via oproepen aan anderen om mee te doen. Dat laatste kan met een tool als de LOIC (Low Orbit Ion Cannon) of met een opt-in botnet.
Kijk maar naar DDoS-aanvallen uit het verleden, de jongeren die vervolgens zijn gearresteerd in sommige van deze gevallen, en nieuwe DDoS-aanvallen die sindsdien hebben plaatsgevonden. Een gedistribueerde denial-of-service aanval uitvoeren is heus niet alleen weggelegd voor grote partijen die diep in de internetinfrastructuur zitten. Zoals de strijdende partijen in de enorme Stophaus-DDoS van laatst. Slimme hackers kunnen naast nederige pc'tjes ook servers ronselen voor hun aanvallen. Dankzij slechte beveiliging waar ook serieuze bedrijven en via hen weer anderen onder lijden. Een enkele 17-jarige kan de was doen.
Het losvaste hackercollectief Anonymous kondigde in 2011 al een DDoS-tool aan om sites te DDoS'en door misbruik te maken van serverfouten:

DDoS is moeilijk

De aanval is succesvol afgeslagen, wist ING dinsdagnacht te melden in een tweet. Bij 'succesvol' en 'afslaan' hoort dan wel 20 minuten uitval én een etmaal later opnieuw onderuit gaan. Dat is niet verwonderlijk, want ondanks de claims van diverse it-en securityleveranciers is het moeilijk om DDoS-aanvallen goed af te slaan. Zeker als het gaat om moderne aanvallen die naast massaal vooral sluw zijn.
Technisch is het mogelijk om een DDoS-aanval af te slaan: als je maar meer capaciteit hebt dan je aanvaller. In het ergste geval dus het hele internet+1. Tenminste, dat is afdoende als het gaat om 'slechts' een bandbreedte-aanval, waarbij dus vele computers het doelwit bestoken met aanvragen die dat slachtoffer niet allemaal aankan. Er is echter geen sprake van 'de' DDoS-aanvalsmethode.
"Iedere DDoS-aanval staat uniek op zichzelf", weet ING - uit eigen ervaring - te vertellen. En dat is niet zomaar pr-prietpraat of marketingnuance, het gaat om keihard technisch onderscheid. Naast de relatief simpele bandbreedte-aanvallen, bestaan er DNS-amplification attacks, SYN-flooding, en nog vele andere vormen. Tegen sommige types is het moeilijker om je te beschermen. Bovendien zijn al die methodes ook te gebruiken in combinatie en/of afwisseling in één enkele aanval. Hierbij is er dus eigenlijk sprake van een D-DDoS: een diverse distibuted denial-of-service.
De technologie schrijdt voort; niet alleen voor anti-DDoS-middelen maar ook juist voor DDoS-mogelijkheden. Zie bijvoorbeeld de grote kwetsbaarheid in veelgebruikte programmeertalen die eind 2011 is onthuld. Daarmee kon een enkele thuis-pc met een nederige DSL-verbinding grote websites geheel platleggen. Hoe? Door een speciaal pakketje te sturen dat dan misbruik maakte van een fout in de serversoftware waardoor de server zichzelf over zijn toeren jaagde. Overigens lijkt ING er in de loop van afgelopen week wel in geslaagd te zijn om nieuwe aanvalsgolven sneller af te slaan.
Succes, tweet ING:

Cash fallback
Het is altijd verstandig om niet alleen voor back-up te zorgen, maar ook voor uitwijk. Een mogelijkheid om op terug te vallen als er iets misgaat, bijvoorbeeld door een DDoS-aanval. De wijsheid van zo'n fallback geldt niet alleen voor DDoS-slachtoffers, waarbij zo'n aanval overigens ook hun uitwijk op de korrel kan nemen. Dat het slim is om een alternatief klaar te hebben staan - of bij de hand te hebben - geldt ook voor klanten van DDoS-doelwitten, zoals bijvoorbeed banken.
Gewone burgers moeten misschien maar meer contanten op zak hebben. Niet al te veel, zeker niet zoveel als vroeger, maar wel genoeg cash om even een storing of een verkeerde saldoweergave succesvol te kunnen doorstaan. Want als internetbankieren en pinnen even verstoord is, dan kun je niet betalen of met je pinpas afrekenen. Idem dito als de bank dénkt dat je een te laag saldo hebt, overigens door een eigen fout en niet een DDoS-aanval. Klein bedrag? Pinnen mag. Maar nu even niet. De computer zegt nee, en dat bepaalt de betalingsrealiteit.

Internetstemmen, nee dank u

Internet is ondanks de kernoorlogbestendige oorsprong dus toch niet zo betrouwbaar als veel mensen denken. Correctie: het internet zelf overleeft het allemaal wel, maar sommige diensten die daarover worden aangeboden, zijn zeker niet kogelbestendig. Zeker niet als dankzij slimme aanvalstechnieken elke kogel in een schot DDoS-hagel een bom wordt. Dat maakt mensen boos over internetbankieren en leidt tot kritische vragen.
Datzelfde gebeurde eerder al bij telecomstoringen. In beide gevallen is uitwijk technisch misschien wel mogelijk, maar hoe dan ook moeilijk en kostbaar. In beide gevallen gaat om concurrerende partijen die elkaars diensten niet zomaar willen, kunnen en mógen overnemen. Nu is een succesvolle DDoS-aanval op internetbankieren achtereenvolgens vervelend, voor velen zorgwekkend, en voor sommigen letterlijk kostbaar. Uiteindelijk gaat het 'slechts' om geld.
Projecteer de recente reeks DDoS-aanvallen eens op internetstemmen. Het via internet, op een beveiligde manier, uitbrengen van stemmen tijdens verkiezingen. Dat is een moderne vorm van stemmen die samen met de omstreden en eerder al (af)gekraakte stemcomputers weer opdoemt. Een dagje DDoS'en volstaat dan om de democratie van Nederland te ondermijnen. Of kan de Nederlandse overheid wel wat ING niet goed lukt? Zoals de banken verplicht zijn te waarschuwen: resultaten uit het verleden geven geen garantie voor de toekomst.

Wees internetwijs

Zoals altijd bij grote gebeurtenissen die breed in de aandacht staan, springen sluwe cybercriminelen in op de DDoS-aanval(len) op ING. Vele Nederlanders hebben al mails gekregen 'van hun bank' of ze even willen inloggen om de betere beveiliging van hun bankaccount te activeren. 'Hun bank' kan dan ING zelf zijn, of één van de andere banken waarover klanten toch nerveus kunnen zijn.
Helaas is het anno 2013 nog steeds zo dat sommige mensen hier intrappen. Gedreven door angst, onzekerheid en vooral onwetendheid. Misschien dat het nu toch eens doordringt dat dergelijke mailtjes per definitie gewantrouwd moeten worden? Dat ze in het geval van banken en andere aan financiën gekoppelde online-inlogs volledig genegeerd en gelijk gewist moeten worden?
Want er zijn toch echt genoeg tekenen die op bedrog wijzen. Nog los van het feit dat banken "nooit vragen in e-mails naar persoonlijke bankgegevens en inlogcodes". Nooit, nooit, nooit. "Hetzelfde geldt voor de telefoon. Banken vragen nooit via de telefoon naar beveiligingscodes". Nooit, nooit, nooit dus. Toch vallen veel mensen voor dergelijke fraude, hoewel er net wel een spectaculaire afname is geconstateerd. Moet online-onwetendheid aangepakt worden met meer educatieve campagnes? Of met iets als een internetrijbewijs? Of met eigen risico's?
Ook Brenno 'mister Lektober' de Winter moet mensen er op wijzen:

De rubriek De Vijf haakt op eigen wijze aan op actuele ontwikkelingen in de webwereld, waarbij een pittige stellingname niet is uitgesloten. De onderwerpen variëren sterk, het cijfer 5 is de enige constante.

Basel Committee Reports To G20 Finance Ministers And Central Bank Governors On Basel III Implementation

April 12, 2013

http://www.iss-mag.com/regulations-and-compliance/basel-committee-reports-to-g20-finance-minister

The Basel Committee on Banking Supervision has today published its Report to G20 Finance Ministers
and Central Bank Governors on monitoring implementation of Basel III regulatory reform. The report
will be considered at the meeting of G20 ministers and governors in Washington DC on 18-19 April.

Full, timely and consistent implementation of Basel III remains fundamental to building a resilient financial
system, maintaining public confidence in regulatory ratios and providing a level playing field for
internationally active banks. In this report, substantial progress can be observed with respect to (i) the adoption
of the Basel rules by Basel Committee member jurisdictions, (ii) the strengthening of the capital base by
internationally active banks and (iii) the finalisation of remaining post-crisis reforms that form part of the Basel
regulatory framework.

Stefan Ingves, Chairman of the Committee and Governor of Sveriges Riksbank, said: "Since the Basel
Committee’s report to the G20 Finance Ministers and Central Bank Governors in October 2012, there has
been significant progress in many areas. Many Committee members now have final Basel III rules in place and
the progress made by banks in strengthening their capital base is encouraging. Nevertheless, there is more
to do. In particular, those jurisdictions that have not yet issued final versions of their domestic Basel III
regulations need to do so as soon as possible, and bring themselves into line with the internationally agreed
implementation timetable."

Data breaches rocketed 40 percent in 2012

by Shaun Nichols           

09 Apr 2013

http://www.v3.co.uk/v3-uk/news/2260014/ibm-finds-breaches-up-40-percent

http://www.v3.co.uk/v3-uk/news/2260359/microsoft-pegged-for-twofactor-authentication-switch

http://www.v3.co.uk/v3-uk/news/2260359/microsoft-pegged-for-twofactor-authentication-switch

U.S. Chamber Details Long Wish List of Dodd-Frank Changes

http://www.complianceweek.com/us-chamber-details-long-wish-list-of-dodd-frank-changes/article/288109/

Joe Mont

April 09, 2013

Consolidating regulatory agencies, ditching the Volcker Rule, repealing “conflict minerals” disclosure mandates, and scrapping plans for mandatory audit firm rotation are among the many regulatory changes the U.S. Chamber of Commerce's Center for Capital Markets Competitiveness hopes to achieve through a new campaign to rethink and revise the Dodd-Frank Act and other financial regulations.

This week, Compliance Week detailed legislative efforts underway to “tweak” the Dodd-Frank Act, and whether these changes would ultimately either improve or chip away at its reforms. Among the efforts cited was the Center's “Fix, Add, Replace (FAR) Agenda,” an effort to rethink and re-engineer key measures of the legislation. The details of that initiative have now emerged as a long list of changes the Center says are necessary to help businesses “faced with uncertain and conflicting rules of the road, as well as skyrocketing compliance costs.”
The following is an overview of the proposals, as described by the Center:
Consumer Financial Protection Bureau

• Replace the single director leadership structure at the Consumer Financial Protection Bureau with a bipartisan commission “to ensure continuity and a balanced approach to policymaking.”
• Bringing the CFPB's budget within the formal, congressional appropriations process.

Derivatives

• Enact legislation to exempt non-financial end-users from “onerous, costly, and unnecessary” margin requirements.
• Ensure that purely internal, inter-affiliate derivatives transactions are exempt from clearing, margin, and other requirements more appropriately applied to market-facing swaps.
• Clarify that non-financial companies that use centralized treasury units to hedge risk will be eligible for the end-user clearing exception.

Coordination of Regulators

• Support efforts to increase the transparency of Financial Stability Oversight Council when it acts in a regulatory capacity.
• Safeguard the confidentiality of proprietary and consumer information gathered from data requests and examinations across all regulators.
• Prohibit final systemically important financial institution (SIFI) designations for non-bank financial companies until all systemic risk rules are finalized.
• Reform FSOC so that the views of the agencies, and not the chairmen of agencies sitting as individuals, are represented.

Volcker Rule

• Repeal the Volcker Rule and replace it with higher capital requirements for financial services firms that engage in proprietary trading.

Whistleblower Programs

• Amend the Securities and Exchange Commission's and Securities and Commodity Futures Trading Commission's whistleblower programs to make any “wrongdoer convicted of a crime” ineligible for an award.
• Amend these whistleblower programs to provide “consistency with Sarbanes-Oxley required compliance programs” by requiring internal reporting of the alleged misconduct, either before or simultaneously reporting the information to the various commissions.

Modernizing the SEC

• Appoint a deputy chairman to develop and implement “a transformational reform plan to break down silos, develop priorities for agency action, and instill managerial accountability and discipline.” Funding and resources should be linked to “timely and clear progress” in achieving the plan.
• Reform hiring practices to acquire the talent needed to regulate complex markets and products.

Coordination of Regulators

• Consolidating the SEC and CFTC.
• Create a post-implementation requirement for a new regulation to undergo a cost-benefit analysis two years after promulgation to assess the real-world costs and allow for a correction of unintended consequences.
• Extend the requirements for cost-benefit analysis to all independent agencies.
• Regularly review and update existing regulations and, if necessary, sunset obsolete ones.

Global Coordination

• End efforts to apply domestic regulations extra-territorially and create mechanisms to ensure effective coordination among international regulators to resolve cross-border issues.

Corporate Governance

• Hold proxy advisory firms to standards that move the industry towards a “more accountable, transparent, and evidence-based policy-making process while eliminating core conflicts of interest.”
• Support corporate governance and executive compensation provisions and disclosures “that promote long-term shareholder value and allow for reasonable risk-taking” while replacing others, such as pay-ratio disclosures, that “do little for shareholders.”

Financial Reporting

• Require the Public Company Accounting Oversight Board and Financial Accounting Standards Board to follow transparency requirements of the Administrative Procedures Act and Federal Advisory Committee Act in developing standards and conduct cost-benefit analysis of proposed standards.
• Create a financial reporting forum made up of regulators, standard-setters, investors, and businesses to proactively identify problems within the financial reporting system and suggest solutions.
• Abandoning plans by U.S. and foreign regulators for mandatory audit firm rotation. The Center says such plans “would reduce audit quality, diminish the role of audit committees, increase the incidence of undetected fraud, and raise costs.”

Veel meer slachtoffers identiteitsfraude dan gedacht

04-04-2013
Het aantal slachtoffers van identiteitsfraude ligt veel hoger dan tot nu toe werd aangenomen. In de onlangs gelanceerde overheidscampagne ‘Laat u niet kopiëren’, werd nog uitgegaan van oude cijfers: tussen 2007 en 2011 was 5,6 procent van de Nederlanders slachtoffer van deze fraudevorm.

Nieuwe cijfers
Uit nieuw onderzoek, dat eind deze maand wordt gepresenteerd, blijkt dat er alleen al vorig jaar tussen de 670.000 en 870.000 mensen hiermee te maken hadden. Gezamenlijk leden zij een schade van tussen de 393 en 508 miljoen euro, zo heeft minister Plasterk van Binnenlandse Zaken aan de Tweede Kamer geschreven.
Een en ander betekent dat het aantal slachtoffers van identiteitsfraude tussen 2007 en 2012 ruim 13 procent is; tweemaal zoveel als tot nu toe werd verondersteld.
Om identiteitsfraude tegen te gaan wil Plasterk onder meer de deskundigheid bij medewerkers van gemeenten vergroten via opleiding en training. Ook moet het makkelijker worden gestolen of verloren identiteitsbewijzen te blokkeren.
Zie ook:
Gemeente gebruikt scanners tegen identiteitsfraude


Terug naar overzichtCategorie: Algemeen, Fraudeverhalen

Apparel Company Files Landmark Lawsuit Against Visa in PCI Dispute

Apparel Company Files Landmark Lawsuit Against Visa in PCI Dispute

5 Myths of Two-Factor Authentication

By Jim Fenton, OneID

04.01.13

Edit

Image: CJ Schmit/Flickr

A series of recent password hacks at well-known brands, including LinkedIn, Twitter, and Evernote, has cast a harsh light on the problems of passwords, and how vulnerable we are as a result. Two-factor authentication is being held up as the solution to this problem, and companies are racing to deploy it.
The trouble is that two-factor authentication is fraught with difficulties. As is often the case, certain assumptions are being made or benefits are implied that can mislead companies trying to secure their environments, and consumers believing their security is ironclad.
There has been a lot of hype about two-factor authentication, and as a result several misconceptions about it exist. Here are five common myths associated with two-factor authentication:
No. 1: If you have suffered a breach, turning on two-factor authentication for your users is a good quick fix.
Reality: Most sites can’t simply “turn on” two-factor authentication (often shortened to 2FA). Deployment of 2FA requires issuing tokens or embedding cryptographic keys in other devices. That requires user participation. If you suddenly start requiring 2FA for access to your site, many of your existing users won’t have the necessary means to log in, and will either clog your support queue or give up and go elsewhere. But if you don’t require 2FA, and offer it only as an option, most users won’t bother to enroll in it regardless of the security benefits.
No. 2: Two-factor authentication is not susceptible to common threats.
Reality: While two-factor authentication does improve security, it’s not perfect, and it attracts attackers because mainly high-value applications use it. Most two-factor authentication technologies don’t securely notify the user what they’re being asked to approve. Therefore, it’s too easy for an inattentive user to approve an attacker’s transaction without knowing it. Also of note is that third-party authentication tokens can depend on the security of the issuer or manufacturer. And that cannot be known until there’s a breach, such as the March 2011 breach of RSA SecurID tokens. Telecom-based technologies, such as text messaging (SMS), have specific dependencies on the security of the mobile provider, which is chosen by the user. A service using SMS can be vulnerable to any number of telecom providers’ practices regarding reassignment of phone numbers or security of messages. Malware on users’ phones that intercepts SMS messages and sends them to an attacker is also becoming more common.
No. 3: Two-factor authentication is synonymous with ‘incorporation of a second device’ and cannot be accomplished effectively on a single device.
Reality: As users move to smarter personal devices, it has become more practical to load keying information into those devices in a manner that is tamper-resistant enough to provide a high degree of security. For example, a properly-designed smartphone application can manage keying information and prompt the user for something they know. It would then use cryptographic techniques to prove that the user was in possession of the cryptographic key and knew the memorized factor without the need for those secrets to ever leave the user’s device.
No. 4: Most 2-factor solutions are similar with only minor differences in approach.
Reality: While early two-factor solutions largely relied on hardware “tokens” that produced one-time passwords, the past few years have brought considerable innovation to 2FA. Many solutions involving SMS messages or other telephonic means are available. Others provide 2FA using either a mobile application containing a cryptographic secret or through keying information stored in the user’s browser. The degree of reliance on third-party services (either authentication service providers or telecom companies) is also a factor to consider, since breaches in these services have in the past resulted in authentication failure.
No. 5: Two-factor authentication is an annoying compliance requirement with little material benefit to the business.
Reality: Some businesses do treat two-factor authentication as only a compliance requirement, rather than as an opportunity to reduce fraud. Some even use technologies that barely qualify as two-factor solutions, such as browser fingerprinting in an effort to meet compliance requirements while minimizing user impact. A far superior approach is to use a flexible authentication mechanism that requires 2FA for higher risk transactions, while giving users the convenience of single-factor authentication for common, lower risk operations. This balances the convenience of users with the benefits of fraud reduction.
Two-factor authentication does improve security, but it’s not the solution in all cases. Adopting the wrong 2FA solution can burden users with little security benefit. Understanding your users and the security threats you face is the key to a successful two-factor authentication deployment.
Jim Fenton is CSO at OneID and is responsible for security design of the OneID identity system as well as oversight of the company’s corporate information security.