Program TechRisk 2020 online

1 dzień – 17 czerwca

WARSZTATY

15.00 - 18.00

Warsztaty online dla zainteresowanych uczestników

Warsztat I

Budowa strategii bezpieczeństwa dla chmury  – doświadczenia z implementacji

Migracja do chmury to wyzwanie technologiczne i organizacyjne. Dodatkowo, to również wyzwanie dla działu bezpieczeństwa, który ma zbudować wokół tego podejścia strategię bezpiecznego wykorzystania usług, ich kontroli ale też monitoringu. W przypadku chmury pojawia się klasyczny problem – swoboda vs. bezpieczeństwo. W czasie warsztatu pokażemy proces planowania aspektów bezpieczeństwa w chmurze, jak również przykłady technicznych implementacji na bazie Microsoft Azure.

#azure #security #cloud

Michał Furmankiewicz

Head of Consulting, Chmurowisko

Warsztat II

Crisis management (BCP)

Warsztat III

Przestań odbijać się od ściany! Jak efektywnie komunikować się z tzw. nietechnicznymi i Zarządem.

Monika Królak

Założycielka, KMKM

19.00 - 20.00

Techriskowy biforek jak najbardziej merytoryczny:

W trakcie prezentacja:

Cyberpsychoza czyli o społecznych lękach i odczuciach względem cyberzagrożeń i sztucznej inteligencji

Oraz dyskusja uczestników o tym, jak zmienia się świat za sprawą nowych technologii w kontekście społecznego odbioru innowacji i rosnącej skali złożoności rozwiązań technologicznych poza obszar percepcji ludzkiej.

dr Paweł Fortuna

Fortuna & Fortuna, Psycholog

2 dzień – 18 czerwca

SESJA PLENARNA 1

9.00 - 9.10

Powitanie uczestników

Przemysław Gamdzyk

Komitet Organizacyjny CSO Council, (Sekretarz Rady Programowej)

Łukasz Guździoł

Vice President (VP) - Chief Information Security Officer PL, Head of Frameworks - Global Governance & ISSA BoD Member, Credit Suisse/TRISW/ISSA Polska, (Przewodniczący Rady Programowej)

9.10 - 9.20

Wprowadzenie do scenariusza i koncepcji gry

Przedstawiciele Rady Programowej Techrisk 2020

9.20 - 9.30

Rekonesans i OSINT – czego możemy dowiedzieć się o Lamba Corp, jak dobrze poszukamy

Jakub Karmowski

, Urząd Komisji Nadzoru Finansowego

9.30 - 10.00

Sztuczna inteligencja w bezpieczeństwie – tak, ale ….

Adversarial Machine Learning (25’): a technique employed in the field of machine learning which attempts to fool models through malicious input.

This technique can be applied for a variety of reasons, the most common being to attack or cause a malfunction in standard machine learning models.

CyberSecurity from AI/ML Scientist Perspective (15’): overview of machine learning opportunities in Cyber Security. Practical case of Machine Learning for security improvement – spam classification comparison of standard NLPand Deep Learning https://www.kaggle.com/akarwan/standard-nlp-versus-neural-networks.

Przedstawiciel EY

SESJE RÓWNOLEGŁE

10.00 - 11.00

Sesje równoległe

Case Study – Zarządzanie Ryzykiem w grupie DHL*

Jak podchodzimy do Zarządzania ryzykiem. Doświadczenia z wdrożenia ISO27005.

#risk management #ISO27005

Riccardo Bianchi

Chief Information Security Officer, DHL Global Forwarding and Freight (the Forwarding Business Unit of the Deutsche Post DHL Group)

O ryzyku całkiem na poważnie – wzrost roli członków zespołów w identyfikacji ryzyk oraz konsekwencje materializacji się ryzyka technologicznego

Ryzyko technologiczne nabiera coraz większego znaczenia – szczególnie w czasach cyfryzacji usług, automatyzacji procesów, przenoszenia się do środowisk chmurowych, prowadzenia w sposób zwinny projektów, rozwoju AI, powszechnego dostępu do szybkich łącz internetowych. Ostatnie wydarzenia, takie jak chociażby uziemienie Boeinga 737 MAX – koszty póki co wynoszą 8 mld USD, awaria elektrowni w Fukushimie – straty ciężkie do oszacowania – wskazują na pilną potrzebę wzrostu roli zarządzania ryzykiem i szerszego podejścia w holistyczny sposób. W czasach coraz szybszej transformacji cyfrowej warto zdecydowanie bardziej brać pod uwagę głos szerszego grona interesariuszy, aby identyfikować zagrożenia w jeszcze uważniejszy sposób, tak aby móc zapobiegać materializacji się ryzyk – zanim będą one miały szansę się zmaterializować.

#ryzykotechnologiczne, #identyfikacjaryzyka, #materializacjaryzyka, #rolazespołuwszacowaniuryzyka, #konsekwencjematerializacjiryzyka

Piotr Rybicki

Ekspert ds. zarządzania ryzykiem i zgodnością (Departament Bezpieczeństwa CSIOZ), Centrum Systemów informacyjnych Ochrony Zdrowia

New risks in remote workplace world*

The new workplace and the advent of the ‘permanent’ remote worker leading to significant expansion of threats and cyber risk. Such risk can span from physical eg physical security challenges of remote work environments, through to securing the home network which has now become part of the corporate network. Many other risk issues abound.

Leonard N. Kleinman

Chief Cyber Security Advisor, RSA International (APJ & EMEA)

Cyfrowa transformacja to proces trwający lata … tymczasem COVID-19 sprawił, ze stało się to w jedną noc w każdym biznesie

COVID-19: czarny łabędź czy standardowy scenariusz zarządzania ciągłością? Idziemy na wojnę: jak COVID-19 dotknęła NN w Japonii? Przykłady: transformacja cyfrowa – automatyzacja IT. Przykłady: transformacja cyfrowa – cyfryzacja kluczowych procesów biznesowych (jak być paperless).Podsumowanie i wskazówki

#koronawirus #koronatransformacja #automatyzacjaIT #paperless #cyfrowybiznes #transformacjacyfrowa #covid19 #nnlifejapan

Bartłomiej Kułach

Head of Technology, NN Life Insurance Japan

11.00 - 11.15

Przerwa kawowa

11.15 - 11.30

II etap gry - Włamanie w celu zatrucia danych – (kontekst bezpieczeństwa chmury i odpowiedzialności w kontekście danych)

Przedstawiciele Rady Programowej konferencji

11.30 - 12.00

Dyskusja z salą, głosowanie, komentarze, loża ekspertów

Jak możemy się zabezpieczać, żeby takie ataki się nie udawały? Jakie inne zagrożenia mogą się tutaj pojawić? Jakie ryzyka stwarza transformacja cyfrowa i powszechność stosowania dużych zbiorów danych (data lakes)?

DYSKUSJE ROUNDTABLES

12.10 - 13.10

Dyskusje roundtables

I. Odpowiedzialność w kontekście incydentów bezpieczeństwa i zobowiązań kontraktowych

Jak dalece możemy negocjować warunki kontraktu i zapisy dotyczące przetwarzania danych osobowych.

#privacy #dataprotection #security #in #GDPR #liabilityforsecuritybreach #negotiateyourDPA #privacylawyer

Sylwia Zielińska

Data Protection Officer, International & Legal Affairs, Shiji Group

II. Chmura publiczna w świetle nowego komunikatu KNF

Dyskusja na temat konsekwencji wprowadzenia nowego komunikatu chmurowego, interpretacja nowych zapisów i próba zastanowienia się, jak zmiany wpływają lub wpłyną na organizacje, szczególnie te finansowe. Chciałbym porozmawiać o szansach, jakie otwiera komunikat, w obszarze wdrożenia rozwiązań chmurowych w instytucjach finansowych, a także zebrać opinie i przemyślenia uczestników spotkania na podstawie ich doświadczeń lub przewidywań.

Michał Brandt

Ekspert ds. Bezpieczeństwa, Raiffeisen Bank International AG

III. Budowa kultury bezpieczeństwa w organizacji

Kamil Wojciulewicz

Chief Information Security Officer, Objectivity

IV. Audyt w czasach CoVid19 – skuteczny audyt w warunkach pracy zdalnej

Sytuacja w jakiej znalazły się organizacje po wprowadzeniu ograniczeń w pracy biurowej i przejściu w znacznej części na pracę z domu spowodowała utrudnienia w wykonywaniu prac audytu w trybie on-line z wykorzystaniem narzędzi do pracy zdalnej. Chciałbym z uczestnikami sesji przeprowadzić konstruktywna dyskusję o metodach i technikach audytowych, które trzeba było przystosować do pracy zdalnej, tak by audyt przeprowadzony zdalnie nie stał się audytem ‘zza biurka’. Zagadnienia szczegółowe: narzędzia, techniki, metody komunikacji, spotkania, wiarygodność dowodów, bezpieczny dostęp do danych i środowisk, komunikacja wyników i jak jeszcze ponad to zapewnić wysoką jakość produktu końcowego.

Marek Długosz

Senior Audit Manager, IT - Departament Audytu Wewnętrznego, ING Bank

V. Zarządzanie ryzykiem, bezpieczeństwem i utrzymaniem ciągłości operacyjnej firmy w czasach pandemii covid-19

Grzegorz Długajczyk

Head of Technology Risk Team, ING Bank

VI. Deepfake. Następny fałszywy poziom znanego oszustwa czyli scamu (Deepfake = Deep Learning + Fake).

Tomasz Bujała

CISO, Grupa Ubezpieczeniowa Europa

13.10 - 13.30

Wspólne podsumowanie wniosków z dyskusji

13.30 - 14.00

Przerwa na lunch

14.00 - 14.20

III etap gry - Jak w cyber przeprowadzić atak na ludzi w LambaCorp, a w szczególności ekspertów od bezpieczeństwa – czyli znaczenie socjotechniki i poluzowania rygorów bezpieczeństwa na skutek konieczności radzenia sobie firm z Covid-19

Przedstawiciele Rady Programowej konferencji

14.20 - 14.50

Dyskusja z salą, głosowanie, komentarze, loża ekspertów

Jak mitygować ryzyka, jak posprzątać po tym, co się stało, gdy ciągłość działania stała się ważniejsza od pryncypiów bezpieczeństwa

SESJE RÓWNOLEGŁE

14.50 - 15.10

Sesje równoległe

Atak i obrona w środowisku hybrydowym na przykładzie AZURE

Dane to chmura, ale też nowe zagrożenia i ryzyka. Przetwarzamy je już wszędzie czy w Office 365, czy Azure czy u innych dostawców. Czy ataki na Azure Active Directory, czy nowe wektory omijania MFA to mit, czy nowe i jeszcze nie znane nam obszary? Celem prezentacji jest podzieleniem się doświadczeniem i przedstawienie najlepszych praktyk w obszarze Cloud Security.

#AZURE, #AZURE Active Directory, #MFA, #hacking

Adam Jakóbaszek

Członek Zarządu, Stowarzyszenie ISACA Warsawa

O budowaniu sieci współpracy*

Johan Rambi

Privacy & Cyber Security Advisor, RambiCo

Fałszywe maile – Od zdrapek do milionów, od romansów do bankructwa

Problem ataków polegających na podszywaniu się pod instytucje czy ludzi rośnie z roku na rok. Obecnie miesięczne straty z tytułu tego typu oszustw to ponad 300 mln dolarów. Podczas prezentacji opowiem o typach ataków typu BEC i ich powiązaniach z innymi (na pierwszy rzut oka nie powiązanymi) atakami. Podczas prelekcji opowiem także o metodach stosowanych przez przestępców i skutkach ataków (tych mniejszych i tych większych), , oraz o atakach typu “Romance Scam”, coraz częściej spotykanych na portalach społecznościowych i o ich powiązaniach z atakami typu BEC.

#BEC #RomanceScam

Adam Lange

VP, Cyber Threat Hunting, Standard Chartered Bank

15.10 - 15.30

IV Etap gry - Zadania na drugi dzień konferencji

Uczestnicy otrzymają możliwość hakowania przygotowanego przez organizatorów konferencji systemu, tak by pochwalić się wynikami następnego dnia …

Przedstawiciele Rady Programowej konferencji

SPECJALNA SESJA WIECZORNA

19.00 - 20.00

Higiena bezpiecznika – jak radzić sobie z ponadnormatywnymi obciążeniami psychicznymi i stresem w pracy osób odpowiedzialnych za obszar cyberbezpieczeństwa

Można usiąść przed monitorem z piwem … Ba, nawet się to zaleca …

Małgorzata Czernecka

Prezes Zarządu, Human Power

3 dzień – 19 czerwca

9.00 - 9.10

Powitanie uczestników

Przemysław Gamdzyk

Komitet Organizacyjny CSO Council, (Sekretarz Rady Programowej)

Łukasz Guździoł

Vice President (VP) - Chief Information Security Officer PL, Head of Frameworks - Global Governance & ISSA BoD Member, Credit Suisse/TRISW/ISSA Polska, (Przewodniczący Rady Programowej)

9.10 - 9.30

V etap gry - omówienie zadań i propozycji uczestników. Mapowanie schematu ataku na działania grup

Przedstawiciele Rady Programowej konferencji

9.30 - 9.50

Dyskusja z salą, głosowanie, komentarze, loża ekspertów

SESJA PLENARNA

9.55 - 10.15

Demo realnego scenariusza ataku w sieci telekomunikacyjnej

Rafał Jaczyński

Regional Cyber Security Officer CEE & Nordics, Huawei Technologies

Yair Kler

Head of Telecom Solution Security (EMEA), Huawei Technologies

SESJE RÓWNOLEGŁE

10.30 - 11.30

Sesje równoległe

Bezpieczeństwo aplikacji oczami programisty. Wnioski z 50 warsztatów

Przeprowadziłem ponad 50 warsztatów dla programistów. Nie uczę jak pisać “bezpiecznie” w danym języku, raczej pokazuję gdzie często pojawiają się problemy, jak je zauważyć i jak sobie z nimi radzić. Zebrałem wiele historii o problemach związanych z bezpieczeństwem, z jakimi borykają się programiści. W trakcie prezentacji odpowiem na poniższe pytania: Jakie są mity odnośnie bezpieczeństwa aplikacji? Jak skutecznie rozmawiać z programistami o bezpieczeństwie aplikacji? Jak niszczyć bariery i budować mosty pomiędzy działem dewelopmentu a działem bezpieczeństwa? Jak sprawić aby programiści byli świadomi problemów z obszaru bezpieczeństwa aplikacji? Bazując na realnych przykładach z różnych firm, od banków do firm SaaS, podzielę się tym, jak poprawić bezpieczeństwo aplikacji.

#sdlc #securityawareness

Mateusz Olejarka

Starszy specjalista ds. bezpieczeństwa IT, SecuRing

Cyber crisis management*

Several myths around crisis management. Some best practices – three take aways that everyone should apply in their own organisation.

#cybercrisis #bestpractices #crisis #cyberattack #cybercrisismyths

Jelle Groenendaal

Researcher & Independent Consultant Risk & Crisis Management, Uniwersytet w Hadze

 Cloud Risks Management*

Damir Savanovic

Research Fellow, Cloud Security Association

11.30 - 11.45

Przerwa na kawę

SESJA PLENARNA

12.00 - 12.30

VI etap gry czyli „Wielki finał” - Konsekwencje ataku. Retrospektywa i wnioski na przyszłość. Sformułowanie 10 zasad bezpieczeństwa.

Przedstawiciele Rady Programowej konferencji

12.40 - 13.30

Panel dyskusyjny: Wyzwania związane z tworzeniem i utrzymaniem zespołów SOC

Koszty i ludzie. Kluczowe i najnowsze a czasem niedoceniane usługi. SOC w czasach pracy zdalnej.  Podstawowe narzędzia zespołów SOC (SIEM, EDR, SOAR itp.). Narzędzia które staną się ważne niebawem – automatyzacja, orkiestracja, sztuczna inteligencja w praktyce czyli czym jest next-generation SOC..

Udział wezmą: Sabina Rzeźwicka i Maciej Szot (Eurofins), Maciej Orliński (BNP Paribas), Tomasz Wilczyński (Shiji Poland), Maciej Kosz (Vattenfall), Marcin Kopacz (Tauron).

Sabina Rzeźwicka

Eurofins GSC Poland, Associate Consultant Information Security

Maciej Kosz

IT Security Officer, Vattenfall

Maciej Szot

Eurofins, Associate Director Information Security

Maciej Orliński

Security Operations Center Manager, BNP Paribas Bank Polska

Tomasz Wilczyński

Shiji Group, Head of Security and Network Operations Center

13.30 - 14.00

Przerwa

14.00 - 14.45

Losowanie nagród i zakończenie konferencji

Szukamy odpowiedzi na to, czego się dowiedziałem/nauczyłem na konferencji, co z tego może być dla mnie przydatne w pracy, czego nauczyła mnie obserwacja gry, itd.

14.45 - 15.00

Losowanie nagród i zakończenie konferencji