IT- utviklingen går stadig raskere og samtidig blir skurkene stadig smartere. Alle privatpersoner og bedrifter er utsatt for risiko, men heldigvis er det ting man kan gjøre både for å beskytte seg og når skaden først har skjedd.
Tekst Gunn Iren Kleppe
– Alle systemer vi bruker for å utvikle kommersielle verdier blir også brukt av skurkene, sier Thomas Tømmernes, nasjonal leder for IT-sikkerhet i Atea.
En sikkerhetsutfordring med dagens IT-løsninger er at de primært utvikles med fokus på tilgjengelighet, tilgang og hastighet slik at det skal være enklere å jobbe hvor som helst, når som helst.
– Vi må begynne å lage løsninger hvor sikkerhet er en del av grunnmuren. Altfor ofte ser vi at man utvikler løsningen, for så å klatte på med litt sikkerhet til slutt for å tette de største hullene.
Markedet er i konstant forandring og IT-løsninger er designet på en helt annen måte enn tidligere. Nå er det meste oppe i skyen. Det kan føre til en del utfordringer og du må tenke gjennom hvordan og hvorfor du gjør ting. Det gjelder både privat og jobb.
Trusler over alt
Dårlige og gamle passord er kjente risikomomenter. Netthandeltilbud som virker for gode til å være sanne er sannsynligvis forsøk på svindel. Kriminelle lager falske nettsider for å lure til seg personopplysninger og finansiell informasjon som kan føre til stjålet identitet. Dette kan skape store problemer for den enkelte, samtidig som det er nesten umulig å oppklare.
På bedriftssiden er CXO-scam det vi ser mest av i dag. En Kristiansand-bedrift ble nylig svindlet for 900.000 kroner ved at noen utga seg for å være administrerende direktør og ba om utbetaling til en ny konto. Slikt skjer nå ukentlig i Norge.
IoT (Internet of Things) representerer også enorm risiko. Alt fra kjøleskap til kosedyr kobles i dag til nett, og alt som er på nett kan hackes—inkludert private webkameraer.
DDoS (Distributed Denial of Service)-angrep gjennomføres også i stadig større skala. Slike angrep er gjerne politisk motivert—iblant utgjør de krigshandlinger. Kriminelle skaffer seg tilgang til mange PCer som så styres mot en IP-adresse, slik at tjenester, applikasjoner og nettsider blir utilgjengelige for brukerne.
– Industrispionasje er vi redde for, både når det gjelder personopplysninger og bedriftshemmeligheter. I Norge er nok styringssystemene i kraftbransjen det vi er mest bekymret for å miste kontrollen over, sier Tømmernes.
Hvordan beskytte seg
Som et sikkerhetsverktøy blir det stadig mer AI. Det er kunstig intelligens som tenker selv og kan behandle big data. AI kan blant annet brukes innen IT-sikkerhet til å se hvor et dataangrep kom fra, trender i markedet eller endringer i trusselbildet.
– Målet er selvforsvarende nettverk som bedrer bedriftens sikkerhet basert på hvilken løsning man har og hva forventet angrep vil være, forklarer han.
For privatpersoner anbefaler Tømmernes å jevnlig skanne maskinen med et oppdatert antivirusprogram. Om din private PC blir hacket, er det ofte lite du selv kan gjøre og du bør kontakte en spesialist.
– Alle bedrifter må ha backup, det bør også private ha, understreker han.
Før eller siden må du regne med å bli utsatt for datakriminalitet. Lagrer du alt du har på PCen, mister du sannsynligvis innholdet. Ha derfor som månedlig rutine å kopiere alt og lagre det på en ekstern disk.
Når det gjelder å beskytte virksomheter finnes det mange gode sikkerhetsprodukter.
– Det er viktig at løsningene kan prate sammen. Mange punktløsninger fungerer dårlig.
Derfor er et SIEM-verktøy (Security Information Event Management) viktig. Systemet samler logger fra bedriftens nettverk, systemer og applikasjoner, og varsler ved ureglementerte hendelser. Atea leverer driftet SIEM-løsning som er designet for å være mest mulig fleksibel. Tanken bak er å kunne hjelpe både store og små firmaer.
Nye regler, nye utfordringer
EUs nye personvernforordninger (GDPR) pålegger alle private og offentlige virksomheter som behandler personopplysninger å sikre synlighet på datainnbrudd og rapportere innen 72 timer. De nye reglene gjelder Norge gjennom EØS og trer i kraft i mai 2018. Høye bøter skal sikre gjennomføring.
– Det er billigere å ta forholdsregler enn å brenne seg, påpeker Tømmernes.
De nye reglene skaper mange nye utfordringer for virksomheter. I USA har cyberforsikring vært stort lenge. I Norge ble det introdusert av forsikringsselskapet AIG for to år siden og er tilgjengelig i samarbeid med Atea. Cyberforsikringen inkluderer IT-tjenester med Ateas IRT (Incident Response Team), juridisk bistand og bistand med PR og kommunikasjon, noe som kan være avgjørende for virksomhetens videre drift ved angrep.
– Det beste tipset til foreninger og bransjeorganisasjoner er å investere i cyberforsikring som dekker alle medlemmene.
Incident Response Team
Et krav til bedrifter som leverer IT sikkerhet er et Incident Response Team (IRT). Et slikt team består av spesialister på IT-sikkerhet som tar seg av kritiske hendelser. Det koster mye for bedrifter å ha slike «spesialtropper» selv og det er en utfordring å være utrykningsklar 24/7. I påvente av de nye reglene har Atea bygget opp sitt eget IRT som allerede er i operativt drift.
– Det er stadig utrykninger til bedrifter i hele landet som ringer vår krisetelefon etter å ha blitt utsatt for datakriminalitet.
Teamet har 60 personer med spesialkunnskap på forskjellige områder.
– Det er vanskelig å forsvare seg. Våre spesialister har den rette kompetansen og erfaringen som skal til for å navigere riktig i slike situasjoner, slår Tømmernes fast.