nba - cyber in the internal audit - postpack · cyber in the internal audit nba, amsterdam...

Cyber in the internal audit

NBA, Amsterdam12-10-2017

DRAFT

DRAFT - FOR DISCUSSION PURPOSES ONLY

2© 2017 KPMG Advisory N.V., ingeschreven bij het handelsregister in Nederland onder nummer 33263682, is lid van het KPMG-netwerk van zelfstandige ondernemingen die verbonden zijn aan KPMG International Cooperative (‘KPMG International’), een Zwitserse entiteit. Alle rechten voorbehouden. De naam KPMG en het logo zijn geregistreerde merken van KPMG International.

IntroductieMichiel van Veen MSc RE Senior Manager, KPMG Cyber

MobileTel

+31 (0) 65 207 8818+31 (0) 20 656 4046

[email protected]

Lars Jacobs MScManager, KPMG Cyber

MobileTel

+31 (0) 61 589 0326+31 (0) 206 564 319

[email protected]

DRAFT


mailto:[email protected]

http://cyber.kpmg.com/

Cyber Crime Example:SWIFT hack Bangladesh

DRAFT



http://www.reuters.com/article/us-usa-cyber-swift-exclusive-idUSKBN1412NTDRAFT


http://www.reuters.com/article/us-usa-cyber-swift-exclusive-idUSKBN1412NT


A small update on Cyber Security trends 2017

THE PERFECT STORM

DRAFT



Cyber incidenten in het nieuws

DRAFT


Cyber & IAD

DRAFT



Hackers vs. IT auditRequestor

Authorizer

Grantor

Tool/System

Auditor

Request access

Verify user identity

Approve?

Write to system of record

Grant/revoke access

End

Initiate auditRights match

system?Report End

Notification to end user

Follow-up?

HACKERACQUIRE

ADMINISTRATIVE ACCESS RIGHTS

EXPLOIT VULNERABILITY End

DRAFT



Hackers do not follow the processHACKERS: Do not follow your procedures

HACKERS: Bypass your implemented measures

HACKERS: Break your segregation of duties

HACKERS: Steal your data (C)

HACKERS: Steal your money (I)

HACKERS: Put you out of business (A)

for fun and profit

CYBER CRIME = BIG BUSINESS

Threats change from internal to external

DRAFT


Positie bepaling

DRAFT



Wat kan de IAD bereiken?

Incident management Cyber weerbaar

Cyber onbewust Cyber bewustzijn

DRAFT



Wat kan de IAD bereiken? 1st LoD: Business & IT• Primair verantwoordelijk

voor risicobeheersing

2nd LoD: ORM / IRM• Monitoring en

rapportage van risico’s, vraagbaak voor 1st LOD

3rd LoD: Audit• Beoordelen effectiviteit

risicobeheersing / controlemaatregelen

Uitvoeren van Cyber Risk assessment

Onafhankelijke beoordeling van de effectiviteit van het cyber risk management programma

Escalatie naar audit committee wanneer cyber risico’s onvoldoende beheerst zijn

Controle / regie rol in beheersing van cyber risico

123 DRAFT


Cyber Maturity

DRAFT



Wat kan de IAD bereiken?

START

03 04

01

AB

02

Cyber Risk AssessmentCyber Maturity Assessment,

definiëren en testen van controls

Gap Analysis,Huidige stand vsambitie

Reporting and improving

MonitoringDRAFT



Holistisch: Cyber Maturity niveau

DRAFT



Single view of risk

DRAFT



Andere modellen

NIST: https://www.nist.gov/cyberframework

ISF: https://www.securityforum.org/tool/the-isf-standardrmation-security/

AICPA (Cyber risk management assurance): https://www.aicpa.org/Press/PressReleases/2017/Pages/AICPA-Unveils-Cybersecurity-Risk-Management-Reporting-Framework.aspx

DRAFT


https://www.nist.gov/cyberframework

https://www.securityforum.org/tool/the-isf-standardrmation-security/

https://www.aicpa.org/Press/PressReleases/2017/Pages/AICPA-Unveils-Cybersecurity-Risk-Management-Reporting-Framework.aspx

Modern Cyber

DRAFT



Cyber 2.0

PREVENT DETECT RESPOND IMPROVE

Avoid the incidentMonitoring as it

happens React swiftlyLearn and strengthen

OLD FOCUS

MODERN FOCUS

PREPARE

Prepare for the incident

DRAFT



Valkuilen

Zelf expert willen worden

Cyber enkel bij IT afdeling neerleggen

Risico’s negeren of onderschatten vanwege technische complexiteit

100% zekerheid willen

DRAFT



Readiness - PrepareIn het groeiproces voor organisaties om adequaat te kunnen reageren op cyber incidenten geloven wij in de mix tussen mens en techniek. Hierbij helpen wij organisaties middels training en technische oplossingen om ten tijde van een cyber incidenten efficiënt van crisis modus naar “business as usual” te komen.

In dit proces zijn onder meer de volgende vragen van belang:

- Wat zijn mijn kroonjuwelen?

- Welke bedrijfsrisico’s loop ik bij verlies of diefstal?

- Wie heeft er belang bij deze data?

- Welke modus operandi bestaan er om deze data te verliezen?

DRAFT



Readiness - PrepareOp het moment dat de alarmbellen bij een cyber incident afgaan verandert alles. Om de impact van een cyber incident op de teamdynamiek te ervaren nemen wij klantteams mee in de cyber simulatie game. Hierin kunnen klantteams oefenen zodat zij ten tijde van een echt cyber incident optimaal kunnen reageren.

DRAFT



DetectOm een cyber incident te kunnen detecteren helpen wij organisaties bij het opzetten van monitoring- en detectiesystemen. Dit omvat o.a. het opzetten en testen van de spreekwoordelijke rookmelders.

DRAFT



Response & Post-BreachOp het moment dat de alarmbellen afgaan voor een cyber incident is het zaak om spoedig een eerste diagnose te stellen en passende response activiteiten te definiëren. Hierbij helpen wij organisaties door de handen in één te slaan met het team van de verzekerde. Om zo optimaal van crisis naar “business as usual” te komen.

Waarbij de onderstaande vragen centraal staan:

- Wat ging er fout?

- Hoe stop ik de breach?

- Wat ben ik mogelijk kwijt?

- Hoe voorkom ik het in de toekomst?DRAFT


What can you do today?

DRAFT



Belangrijke thema’s

• Relatie tussen bedrijfsrisico’s en cyberrisico’s

Relevantie van cyberrisico’s

• Relevant voor sector en bedrijfsrisico’s

Ambitiebepaling

• Waar staat de organisatie nu?

Volwassenheidsbepaling

• Wat komt er op je af: GDPR

Impactbepaling wet en regelgeving

• Cyber in the Boardroom & dashboarding: hoe neemt het bestuur haar verantwoordelijkheid?

Rapporteren over cyber risico’s

• Welke afspraken zijn er met ketenpartners?

Derde partijen en ketenpartners

DRAFT



Acties

— Control testing— Implementatie vs

ambitie— Cyber risk vs Business

risk— Risk management — Awareness

— Purple teaming— Monitoring capabillity— Staff

— Purple teaming— Staff— Escalatie processen— Readiness assessment— Impact materialiteit

incident

Prevent Detect Respond

DRAFT


Thank youMichiel van VeenCyberSenior Manager, AmstelveenKPMG NederlandTel: + 31 (0)20 656 4046Mob: +31 0(6) 52 07 88 18 [email protected]

Lars JacobsCyberManager, AmstelveenKPMG NederlandTel: +31 (0)20 656 4319Mob: +31 (0)6 15 89 03 [email protected]


nba - cyber in the internal audit - postpack · cyber in the internal audit nba, amsterdam...

Documents