Hvad er TIBER EU/DK?

TIBER-EU/DK er et rammeværktøj, der leverer en kontrolleret, skræddersyet, og efterretningsstyret ”red team test” af finansielle virksomheders kritiske live-produktionssystemer. Efterretningsstyrede ”red teams” efterligner taktikker, teknikker og procedurer (TTP’er) fra virkelige trusselsaktører (Hacker), der på grundlag af trusselinformation opfattes som en reel risiko mod virksomheden. Et efterretningsledet ”red teamt” involverer anvendelse af en række teknikker til at simulere et angreb på en virksomheds kritiske funktioner (CF’er) og underliggende systemer (dvs. dets mennesker, processer og teknologier). Det hjælper en virksomhed med at vurdere dens kapacitet og modenhed til beskyttelse, detekter og respons.

Kort fortalt så forsøger man at hacke virksomhedens ”live” produktionssystem på en kontrolleret måde

I Danmark er det National banken som har ansvaret for TIBER DK. Hele frameworket kan findes på deres hjemmeside http://www.nationalbanken.dk/da/finansielstabilitet/fsor/Sider/TIBER-DK.aspx

TIBER og ISO 27001

Når man som finansiel virksomhed overvejr at få fortaget en ”TIBER test” skal man sikre sin egen sikkerhedsmodenhed dvs at man har et informationssikkerhedsstyringssystem (ISMS) framwork på plads (ISO 27001) såvel som den eller de leverandører som skal udføre testen, da disse kan komme i kontakt med følsom produktionsinformation.

 TIBER beskriver et af kravene til leverandører af ”Red Teams”:

Egnede og modne udbydere skal have et robust informationssikkerhedsstyringssystem (ISMS) med en skræddersyet sikkerhedskontrolramme og passende certificering, baseret på anerkendte internationale standarder. Eksempler på sådanne certificeringer er inkluderet i bilag 1. ISMS skal definere en klar styringsstruktur og processer, som effektivt er etableret, implementeret, betjent, kontinuerligt overvåget, testet, gennemgået, vedligeholdt og forbedret. Leverandøren bør have en eller flere af følgende certificering.                                                                                 

Certification Standards	Qualification
ISO	ISO/IEC 27001, ISO/IEC 29147, ISO 30111
NIST	NIST 800-115 for Information Security
FedRAMP	FedRAMP-Compliant data centres
FIPS	FIPS 140-2-Compliant encryption for data protection

Ønsker Du at hører mere om hvordan Leave a Mark kan være behjælpelig med at få indført ISO27001 forud for en TIBER test er du meget velkommen til at kontakt os.

.