Debatt-arkiv - Aktuell Säkerhet

Säkerhetsfrågan underprioriterad i företagens digitalisering

2019-11-11 | Kronika

Sverige halkar efter på många områden jämfört med andra länder i Europa när det gäller digitalisering. It-brotten mot företag ökar också konstateras i en nyligen publicerad rapport från MSB. En av orsakerna till detta är att företag fortfarande i alltför hög grad förlitar sig på lösenord som enda inloggning i sina system. I offentlig förvaltning är varianter på e-legitimation sedan länge det säkra sättet att logga in i verksamhetskritiska system. Privatpersoner har sedan länge kunnat använda BankID. Hos företag är det generellt lösenorden som regerar. Det är inte i närheten av tillräckligt skydd i en tid då angreppen ökar konstant och blivit allt mer sofistikerade

Nätfiske och annat lösenordsslarv är en av de vanligaste attackvägarna idag mot företag. Det blir samtidigt allt svårare att identifiera personerna som begår dessa brott, och var de befinner sig, vilket för med sig helt nya utmaningar.

En starkt bidragande orsak är just lösenordsanvändningen, som trots kända svagheter ändå är den vanligaste inloggningsmetoden på företag. Därför är tvåfaktorsautentisering en av de viktigaste och snabbaste säkerhetsinvesteringarna man kan göra som företag idag. Metoden innebär att det krävs minst två sätt att verifiera sig mot företagets system.

Den ökade digitaliseringen hos företag med satsningar på en ”digitalt först”-strategi i sin kontakt med omvärlden, innebär i hög grad att förtroendet för organisationerna hänger på hur bra de hanterar säkerhetsfrågorna. Förtroendekapitalet för ett varumärke kan gå från hundra till noll på mycket kort tid i samband en incident. Vissa branscher har här kommit längre, som bank- och finans, i att stärka sitt skydd. Generellt är medvetenheten högre inom känsliga branscher just för att man är väldigt medvetna om att man förvaltar ett förtroende, vilket är det som hela säkerhetsproblematiken kokar ner till.

Men informationssäkerhet är enligt vår erfarenhet i hög grad ett underinvesterat område, som borde prioriteras högre utifrån både det ökade antalet hot som betydelsen för varumärket. Parallellt vet vi också att företagen tyngs av ett ökat antal regulatoriska krav, såsom GDPR, NIS, Säkerhetsskyddslagen samt EU Cybersecurity Act. Regulatoriska krav har dock det goda med sig att det driver den här typen av frågor.

Det är också viktigt att komma ihåg att cyberattacker såsom överbelastningsattacker och nätfiske är globala hot. Enskilda organisationer kan inte längre ensamma skydda sig effektivt mot dessa. Skydd måste också införas på nationell och internationell nivå. För det är alltför tids- och resurskrävande, dyrt och osäkert när organisationer var och en försöker uppfinna hjulet och införa egna lösningar på gemensamma problem. Med andra ord – säkerhetsfrågorna borde inte vara ett enskilts företags konkurrensfaktor utan snarare en fråga fler tjänar på att samverka kring. Så sker redan i utsatta branscher som hälso-och sjukvård, bank och finans och i myndigheterna vilket visat sig framgångsrikt.

Vi måste helt enkelt samverka och koordinera aktiviteter tillsammans för att få bukt med problemen. Och en stor andel av problemen i samband med nätfiske skulle kunna lösas om tvåfaktorautentisering i någon form var standard för företag och organisationer. Då kan riskerna med kontokapning minskas väsentligt, som i sin tur innebär en väsentligt minskad risk att företagen ska förlora känsliga data vid ett intrång och därmed riskera att underminera sitt varumärke eller tappa värdefulla immateriella tillgångar.

Niklas Anderson, vd och grundare av SecMaker

Backup är livsviktigt för företag i dagens riskfyllda IT-säkerhetsklimat

2019-10-30 | Linda Kante

Idag bör företagens datasäkerhet engagera alla anställda, på alla nivåer och positioner. Detta påstående är sannare än någonsin när man idag ofta ser nyheter om stora företag som utsatts för ransomware-attacker, vilka har slagit ut dem i flera dagar eller till och med veckor. Under dessa dramatiska dagar kan företagen inte tjäna några pengar, alla anställda blockeras och det blir fråga om företagets överlevnad. Därför är det viktigt att IT-säkerheten idag bör vara en fråga som rör alla inom ett företag.

Teckna din prenumeration på Aktuell Säkerhet här

Nuförtiden investerar i princip alla företag i utrustning avsedd för att öka säkerheten i sina system, oavsett om det är nästa generations brandväggar, ny nätverksutrustning, eller skydds- och säkerhetsprogramvara. Trots alla dessa försiktighetsåtgärder och investeringar utsätts företag ändå för hot, eftersom de dagligen utgör måltavlor för kontinuerliga attacker. Även om företagens säkerhetssystem, som de under lång tid har investerat stora pengar i, är avgörande för att motverka cyberattacker, så finns ingen garanti för att de är 100 procent säkra.

Frågan är inte om en attack kommer att lyckas i slutändan, utan när den kommer att riktas mot just ditt företag. På lång sikt är sannolikheten stor att alla företag, oavsett storlek eller verksamhetssektor, drabbas av en cyberattack. Även om hundratals attacker misslyckas varje dag tack vare befintliga säkerhetssystem, blir cyberbrottslingarna alltmer sofistikerade och kommer förr eller senare att lyckas äventyra systemet.

När en attack lyckas och säkerhetslösningar förbigås, kan IT-miljön i vissa fall påverkas på ett sätt som kan lamslå hela verksamheten. Resultatet blir då att inget av företagets system fungerar, inklusive affärsapplikationer, support, personalresurser, internkommunikation eller samarbetsverktyg. Detta kan leda till att produktionen avstannar i fabriker, att de anställda inte kommer åt de teknikverktyg som de annars använder dagligen, att kunderna inte faktureras eller att produkter inte kan designas eller säljas. I slutändan resulterar det i att företagets verksamhet fullständigt avstannar.

Även om företaget bara delvis avstannar, så har nedräkningen för dess överlevnad påbörjats. I denna extremsituation blir alternativen helt enkelt att antingen betala för dekrypteringsnyckeln, utan garanti för att cyberbrottslingarna kommer att hålla sitt ord, eller att återställa systemen och deras data. Det enda sättet att komma i fas igen är att ha en pålitlig kopia av dina data som inte har äventyrats, en integrerad säkerhetskopia. De mest sofistikerade attackerna, de som specifikt inriktas på ett företag eller en organisation, kommer ofta att i första hand att attackera säkerhetskopior, utan att skicka en varning innan de krypterar produktionsdata. Du måste därför se till att du har en lösning på plats som gör att du, kontinuerligt och tryggt, kan säkerhetskopiera dina system. Lösningen måste erbjuda möjligheten att regelbundet testa validiteten i säkerhetskopiorna, för att garantera att de kan användas närsomhelst i händelse av en attack. För maximalt skydd så möjliggör integrationen med antivirus- eller anti-malware-programvara att ett vilande virus i närheten eller en så kallad ”Day 0”-avvikelse kan upptäckas i själva säkerhetskopian. Det säkerställer att det återställda systemet inte kommer att återcirkulera den ”cryptolocker”-attack som det just har fallit offer för.

En av mest beprövade och tillförlitliga riktlinjerna för dataskydd, när det kommer till att effektivt begränsa effekterna av en attack, är att företag bör har minst tre kopior av sina data – primärdata och två säkerhetskopior – för att undvika att förlora data på grund av en misslyckad säkerhetskopiering och att de bör vara lagrade på två olika typer av media (band, disk, sekundär lagring eller moln), samt att det finns en kopia offsite (antingen på band eller i molnet) i händelse av lokala hot eller infektioner orsakade av ransomware i nätverket. På så sätt kan företag ständigt ha tillgängliga och användbara säkerhetskopior av sina data och system.

En annan nödvändighet i händelse av en incident är att återställa dessa data så snart som möjligt. Ju snabbare återläsningen sker, desto mer kan risken för ekonomisk förlust reduceras och företagets framtid garanteras. Ju längre tid restaureringen tar, desto större blir de ekonomiska och mänskliga skadorna, samt skadorna på kundernas bild av företaget och dess rykte.

Insatserna ligger därför inte bara på CIO:ernas bord, utan även på ledningens, aktieägarnas och kundernas. Behovet av företagsledarnas medvetenhet om detta är avgörande för att implementera lösningar som uppfyller dessa två absoluta behov. Företag har gått in i en era där de möts av exceptionella risker och att i detta oroväckande skede inte tänka om kring sin IT-säkerhet är som att spela rysk roulette, genom att bara köra på i samma fotspår och tänka ”so far, so good”.

Victor Engelbrecht Dohlmann, nordisk försäljningsdirektör, Veeam

Sakernas internet – etik måste gjutas in i programdesignen

2019-10-14 | Kronika

Det goda humöret till följd av digitaliseringen och den omvälvande förändringen av vårt samhället dämpas på grund av säkerhetsfrågor som måste få sin lösning. Inte minst gäller detta sakernas internet, IoT, sensorer registrerar data som behandlas i molnet och hjälper människor och maskiner.

IoT på arbetsplatsen i våra hem och i samhället förbättrar våra liv. Information i realtid ger möjlighet till snabba justeringar och ökad effektivitet. Nio av tio tillfrågade ledare i stora organisationer svarar i en undersökning tidigare i år genomförd av Wakefield Reseach att de betraktar insamlad data via IoT som en vital del av organisationens arbetsstyrka. Därför måste vi ta säkerhetsdiskussionen på fullaste allvar från första början. Sakernas internet är nämligen för bra för att tacka nej till.

Låt oss rikta uppmärksamheten mot de människor som stärks av ny kunskap. Vi skapar system som når ut hela vägen, och ger en direkt upplevelse för användaren och som kan startas och slutföras var som helst oavsett uppkoppling, med edge computing möjliggörs också beräkningar i IoT-enheten.

Betakta följande exempel där det är nödvändigt med uppkoppling till molnet samtidigt som avancerade beräkningar måste göras lokalt: Ett självkörande fordon försöker undvika en allvarlig kollision. Det krävs blixtsnabb behandlingen av data för att undvika olyckan. Det möjligtgörs av edge computing, alltså att IoT enheten kan göra beräkningarna ombord. Samtidigt behöver fordonet vara uppkopplat till molnet för annan sorts information som trafikläget och navigering.

För att hantera säkerhetsfrågor behöver vi integrera värderingar som empati och socialt ansvar i själva systemen för att öka säkerheten. Där finns det mycket mer att göra. IoT är ett kraftfullt verktyg och det finns inget utrymme att förstärka fördomar genom den data som den förmedlar eller möjliggöra obehörig användning av data.

Både producenter av IoT-enheter och användare måste överväga vilken påverkan omvandlingen innebär. Vi behöver utveckla riktlinjer för att agera ansvarsfullt inom design, innovation och teknik inom områden som riskhantering, produktutveckling och marknadsföring för att möta utmaningen att öka säkerheten på ett mer genomgripande sätt.

Verksamheter behöver starta program för etik med syfte att hjälpa medarbetarna att reflektera över säkerheten och att utbilda dem i sina nya roller. Det gäller inte minst när digitaliseingen stäcker sig utanför den etablerade IT-världens ramar med ovana användare i helt nya situationer. Det är till exempel ingen dålig idé att inrätta en etikgranskare som arbetar tillsammans med designers och programvaruingenjörer för att testa och validera algoritmer och datakällor för partiskhet.

Medarbetare och användare måste utrustas med de verktyg de behöver för att göra säkra och etiska val. Att investera i säker IoT är också att trygga den fortsatta kraftiga tillväxten i den omvälvande digitala förändring som vi nu upplever i vår egen tid.

Antonio Marsico, vd, Avanade Sverige

Skjutningen mot väktare – ett samhällshot mot Sverige

2019-10-09 | Linda Kante

”Väktare överfallna – en skjuten” löd rubriken under måndagskvällen [red. anm.]. Något som direkt väcker både oro och spekulationer. Var? Hur allvarligt är det och vad gör vi nu? Till och med polisen bekräftade att det rörde sig om att väktaren var allvarligt skadad och att förundersökning om försök till mord inletts.

Det är obehagliga sekunder och minuter som hinner passera innan jag får en överblick av rapporteringen. För mig handlade det inte om vilket bolag som var drabbade här, nej det här är något jag oroat mig för och varnat för länge, och nu var det ett faktum. Den yrkeskår jag representerar, som ska hjälpa till att skydda Sverige, hade attackerats.

Att väktare som ska bevaka ett fastighetshus beskjuts är fullständigt oacceptabelt och visar på att respekttröskeln för våra yrkesutövande som i tjänst endast gör sitt jobb, har sänkts ytterligare. I det här fallet rörde det sig om två väktare som skulle säkra ett bostadshus i Rinkeby, och blev skjutna på kuppen. Jag kan inte se denna händelse som något annat än ytterligare ett tecken på det allvarliga samhällshot Sverige som nation står inför och hur vi känns allt mer handfallna att ta kontroll över situationen.

För lite, för sent
Jag vill tro gott om alla tills motsatsen bevisas men den våldseskalering vi läser om i tidningen idag är en ökad problematik som fått härja fritt allt för länge. Något som kommer ur de subsamhällen som växer fram och där människor utan framtidstro ritat upp nya spelregler.

Men även om dessa eskalerade hot och våldsspiraler blir allt mer vanliga är det dags att sätta ned foten. Något som inte görs genom att tiga still eller tillsätta ytterligare utredningar. Förloppen kan upplevas som plötsliga och samhällets reaktion konkretiseras ofta ner i människors upplevda känslor kring otryggheten och där politikerna dementerar och kämpar med att säkerställa en känsla av normalitet och att de har koll på läget. Men är det verkligen sanningen, har politikerna koll på läget? Jag skulle vilja säga att för lite, för sent beskriver följderna av deras agerande, eller kanske det är dags att kalla det för vad det är – ett icke-agerande – och till följd har vi nu ytterligare en vinkel att föra till protokollet, nu är det inte bara poliser som blir beskjutna, medborgare som dör då de vistas på fel plats, nu får även väktarkåren smaka på kula.

Jag har länge försökt peka på att väktarkåren bör omfattas av ett ”förstärkt blåljusskydd”. Något som kanske inte hade stoppat gårdagens händelse men det kommer vi aldrig få veta. Vad vi däremot vet med säkerhet är att fastighetsbolag tvingas köpa säkerhetsåtgärder av privata bolag, och den våldseskalering som polisen inte bemästrar nu drabbat ytterligare en yrkeskår. För den samhällsinsats och arbete som väktarkåren utför och ansvarar för, är minst sagt samhällskritisk. Vi har inte längre råd att leka med människoliv genom att bagatellisera de hot dessa människor får utstå i takt med att uppdragen blir allt mer utsatta. Att Sverige har drabbats av ett ökande och allt grövre kriminellt våld är redan på politikeragendan, men att det nedskrivs till att hanteras som ett lokalt ordnings- och säkerhetsproblem kan vi inte acceptera.

Skjutningen [red. anm.] är djupt oroande och fullständigt oacceptabel. Det här är allvarliga händelser som handlar lika mycket om här och nu men också en indikation på var vi är på väg. Att det här ska ha gått att undvika råder ingen tvivel om, men nu krävs en krishantering där motåtgärderna är inriktade på den hoteskalation vi ännu inte upplevt men som kommer att komma om vi inte ser sanningen i vitögat. För varje kula som viner i vårt samhälle så skjuts Sverige i sank. Vem står på tur här näst?

Idag går mina tankar till det drabbade säkerhetsbolaget och de inblandade väktarna. Till er andra, var rädda om er där ute!

Joachim Källsholm
vd, Securitas Sverige AB

Driftcentraler för samhällskritiska funktioner måste prioriteras

2019-09-19 | Kronika

Avskaffa sparkraven och modernisera de driftcentraler som betjänar samhällskritiska funktioner. Där andra branscher exempelvis finansbranschen, tagit smart teknik till sig, har driftcentralerna för samhällskritiska funktioner kommit på efterkälken på grund av sparkrav.

I Sverige finns 290 kommuner. I kommunernas åtagande ligger ansvaret över samhällskritiska funktioner, till exempel distribution av vatten, värme och el till kommunens invånare. Kommunerna är skyldiga att försäkra sig om att distributionen av dessa kritiska funktioner fungerar. Samtidigt ställs väldigt höga sparkrav på kommunerna att välja den billigaste lösningen, vid inköp av utrustning till de driftcentraler som betjänar samhällskritiska funktioner. Detta rimmar illa.

Inom kommuner bygger man idag driftcentraler på gammal teknik, eftersom man ser inköpskostnaden som den viktigaste parametern. Istället för att tekniken samarbetar, krävs separat utrustning för varje enskild funktion. Den äldre tekniken är inte kompatibel med andra funktioner, exempelvis inbrottslarm, passersystem och brandlarm, utan varje del kräver egen separat hårdvara. Följden har blivit ett berg av utrustning på operatörernas skrivbord och i lokalen.

Idag tvingas operatören arbeta med sju olika tangentbord samtidigt, staplade på varandra, lika många möss samt separat hårdvara och övervakningsskärmar för varje system. Skrivborden har vuxit i längd till att bli fem meter långa. Ibland kräver arbetet även förflyttning mellan olika arbetsstationer.

Tekniken har öppnat nya möjligheter att bygga effektiva driftcentraler med hjälp av smart teknik, där systemen integreras och samarbetar. Inom finansvärlden används smarta kontrollbord, multifunktionella tangentbord och integrerade skärmar, när det gäller till exempel aktie- och valutahandel. Här är högsta effektivitet en självklarhet och i valet av utrustning finns inga begränsningar eller sparkrav.

Med det finns föregångare till exempel Göteborgs Kommun, där Göteborg Energi genom att använda smart teknik med multifunktionella tangentbord och integrerad hårdvara, nu hanterar samtliga enheter från ett och samma tangentbord. Här har tekniken även gett dem nya fördelar, såsom att brandlarmet sänds ut på samtliga skärmar vid larm utöver sirenljud.

Driftcentraler som betjänar samhällskritiska funktioner måste bygga på smart teknik och undantas från kommunernas sparkrav. Det fungerar inte att fortsätta bygga på gammal teknik, då digitaliseringen dessutom innebär att dessa driftcentraler får ytterligare enheter att övervaka. Här handlar det om människor och kritiska funktioner, ytterst om människoliv.

Mikael Bergqvist, Sverigechef TM-Group

”Dags att spräcka säkerhetsbubblan som de unga vuxit upp i”

2019-09-04 | Kronika

När den nya och ständigt uppkopplade generationen börjar dyka upp i arbetslivet behöver säkerhetsarbetet förändras i grunden. Det menar Fredrik Möller, Nordenchef på Proofpoint.

Teckna din prenumeration på Aktuell Säkerhet här

Arbetsmarknaden har under en längre tid funderat kring hur man ska anpassa sig efter det stora antal millennials, folk födda på tidigt 80-tal till mitten av 90-talet, som nu börjar ta plats. Medier framställer ofta denna generation som en nästintill annan art jämfört med de andra. Googlar du ”millennials” beskrivs de som både snåla och ohälsosamma för att nämna några, mindre charmiga, karaktärsdrag.

Ett vanligt begrepp i sammanhanget är” digitala infödingar”, då millennials vuxit upp omgivna av teknik. De förväntas vara konstant uppkopplade; långt fler än 90 procent konsumerar och använder sociala meder dagligen, enligt den senaste utgåvan av rapporten ”Svenskarna och Internet”.

Med anledning av detta kommer företag och hela branscher behöva omstruktureras för att hålla en hög produktivitetsnivå när den nya generationen gör entré. En anledning till att omstrukturering brukar anses nödvändigt är för att millennials, rent generellt, förmodas vara mer kunniga inom tech än sina föräldrar. Men frågan är om det inte i vissa fall är en förutfattad mening.

En ny rapport visar nämligen tecken på att det motsatta är fallet och att millennials faktiskt är relativt dåliga när det kommer till datasäkerhet jämfört med äldre generationer. Studien visar att deras föräldrar är 11 procent troligare att upptäcka en form av virus eller scam, och bara 50 procent i åldrarna 18–29 kunde definiera ordet ”phishing”. Ett vanligt antagande är att det oftast är äldre som går på bedrägerier, men det har i själva verket visat sig vara personer i 20-årsåldern som är de vanligast förekommande offren.

Den internationella organisationen Get Safe Online har pekat ut några faktorer till varför det ligger till på detta sätt. Att den unga generationen oftare är online ökar självklart risken för att stöta på bedrägerier, men deras övertro på sig själva resulterar många gånger i antagandet att ”jag kan inte råka ut för bedrägerier, det drabbar bara äldre”.

Unga lever också kvar i tanken att phishing-emails är uppbyggda som förut. Idag ser phishing annorlunda ut och attackerna är allt oftare speciellt utformade efter den som attackeras, vilket gör millennials mycket mindre misstänksamma mot just denna attack.

För att anpassa företag efter denna generation krävs därför en typ av upplärning som ändrar inställningen till cyberhot och spräcker den säkerhetsbubbla som de vuxit upp i. Samtidigt som den nya generationens ständigt uppkopplade yrkesarbetare förväntar sig att ha tillgång till sina arbetsverktyg dygnet runt, är det viktigt att inte ta gamla sanningar om deras säkerhetsmedvetande för givna. Det gäller att utmana, testa och träna dem att se bortom de mest uppenbara riskerna.

På varje modern arbetsplats finns en blandning av yngre och äldre, med sin egen mix av kompetenser, svagheter, kunskaper och förutfattade meningar. Att då bygga ett kollektivt säkerhetsmedvetande kring ett ”one size fits all”-tänk riskerar att slå fel och leda till dyra kostnader – det har många verksamheter bittert fått erfara de senaste åren.

Istället behöver varje individ sättas i fokus, det som vi i säkerhetsbranchen kallar ”people-centric security”. Först då kan vi få till ett effektivt och generationsöverskridande säkerhetsarbete.

Fredrik Möller,
IT-säkerhetsexpert, regionchef för Proofpoint i Norden och Baltikum

Internets geografiska position – en avgörande roll för framtiden

2019-08-15 | Kronika

I en tid där Internet, enligt min mening, mer och mer centraliseras blir den geografiska positionen allt mer väsentlig. Men vilka är utmaningarna och möjligheterna? Och på vilket sätt spelar säkerhet och medvetande för roll i sammanhanget?

Internet är en fysisk plats. Inte bara för att det finns serverhallar, utan internet har även en fysisk ”adress” hos dig som individ – i din ficka oftast. Internet är idag en naturlig del i varje digital enhet och den är konstant uppkopplad. Förr var den något få hade tillgång till och då endast på jobbet. Internet of Things skapar ett behov för uppkoppling. Våra beteende i cyberrymden blir väldigt snabbt normativa i verkligheten och ofta är just dessa beteende allt annat än säkra. Mestadels för att vårt beteende i hög grad det går att jämföra med ett beroende. Man jagar nästa fix snarare och tänker inte på om det är säkert eller inte. Dessutom pressas beroendet till nya gränser varje sekund och minut. Internet blir möjliggöraren till våra behov. Vår digitala identitet blir ergo en riskfaktor. Och i cyberrymden råder inte demokrati på långa vägar, det är anarki som gäller där. Själva cyberrymden håller dock enligt min mening på att centraliseras i syfte att göra internet mer säkert och fortfarande bibehålla friheten – cyberdemokratin. Men, det kommer alltid finnas en mörk vrå på nätet -ett Darknet och även om det är större än det kända nätet finns det tecken på att även detta nät centraliseras, brottsligheten har organiserat sig och fortsätter att göra det. I mina ögon är det ett bevis på det pågående cyberkriget. Soldaterna är vi användare och generalerna är de krafter som genom lag och andra medel försöker reglera ”trafiken” där. Det yttersta beviset på min tes är enligt mig cyberpsykologins grundtes – det är individer det handlar om.

Individer av idag är digitala entiteter som alla är uppkopplade dygnet runt. Den mobila individen utgör alltså en risk men också en bricka i cyberkriget. Den kan potentiellt utgöra en risk för samhället i förhållande till subjektets säkerhetsmedvetande. Och därför är samhällets främsta cybervapen inte en mjukvara utan lagar följt av medvetenhet på bred front. En medvetenhet och samsyn som tilltalar soldaterna, inte generalerna.

Jag är övertygad om att cyber- och digital säkerhet är inne i en fas av centralisering. Detta främst då ansvariga mer och mer förstår vikten av cyber och digitala frågor och försöker lagstadga den – cyberharmoni. Centraliseringen består i att man försöker reglera subjektens interaktion i denna dimension, här kan vi nämna GDPR som en sådan lag. När nu dessutom säkerhetsexperter släppts in i ”finrummet”, ledningsrummen, som rådgivare till ansvariga måste vi vara oerhört tydliga, pedagogiska och korrekta med vad vi kan bidra med till denna cyberharmoni. Kommunicerar vi fel eller bristfälligt kommer resultatet lida av detta. För det är utifrån vårt budskap omvärlden nu skapas. Jag helt övertygad. Om vi nu kommunicerar rätt så kommer också lagar, åtgärder och insatser i cyberrymden vara anpassade till en säker digitalisering. Då kommer också massan kunna relatera till båda lagar, förhållningssätt och även på sikt förstå syftet med säkerhetsbeteende i denna femte dimension.

Hur spelar övriga individer en viktig roll i detta? Säkerhet idag är inte en mjukvara. Den är helt klart en del av den. Men säkerhet idag är en fråga om individer i första hand sen teknik. Allas våra beteende, attityder och värderingar kan utgöra en risk för en säker digitalisering. En säker digitalisering måste innebära utbildning tidigt i skolorna kring cyberbeteende och säkerhet. Den måste genomsyra vår vardag så ett säkerhetsbeteende blir normen. Och denna utbildning måste vara en process och inte ett projekt. Så länge detta inte sker kommer också de onda krafterna – brottsliga hackare – utnyttja denna risk. För de vet vad generalerna nu vaknar upp till, individerna är Akilleshälen och inte hård- eller mjukvaran.

Det är allas vårt ansvar, och framför allt experternas. Vi måste bli lika bra på att kommunicera vad säkerhet är som vi kan förklara infrastruktur rent tekniskt. Vi experter har ett ansvar att samverka så att budskapet blir tydligt, klart och objektivt. Då kommer också bra och relevanta lagar, realistiska cyberförsvarsinsatser och digitaliseringssatsningar bli säkra.

Robert Willborg, Junglemap

Så skyddar du ditt varumärke mot sociala medier-bluffar

2019-07-30 | Linda Kante

Idag använder över tre miljarder människor sociala medier, och antalet ökar hela tiden. Som en naturlig följd av det har många företag dedikerade team för att hantera sociala medier och digitala kanaler. Men det gäller också att ha en fungerande strategi utifall att något händer, menar Fredrik Möller, Nordenchef på säkerhetsföretaget Proofpoint.

Teckna din prenumeration på Aktuell Säkerhet här

Under de senaste åren har många oroat sig över att desinformation på sociala media riskerar att inte bara skada företag och dess varumärken – utan också samhället i stort. Ett någorlunda färskt exempel på det är det amerikanska presidentvalet 2016 – som drogs med anklagelser om att ryska hackare infiltrerat det elektroniska röstningssystemet i över tjugo stater. Dessutom satte hackare upp tusentals falska konton på Twitter och Facebook och publicerade negativa poster om Hillary Clinton.

Dessutom har vi sett flera exempel på individer som sprider desinformation. I fjol stängde Facebook av ett antal konton kopplade till högt uppsatta företagsledare – som i olika grader försökt påverka utgången av ett amerikanskt val.

Men digitala kanaler sträcker sig långt utanför desinformationskampanjer på sociala medier, och för företag gäller det att hålla koll på hela delen av den digitala närvaron. För att ta ett exempel har vi Methbot-skandalen, där bedragare satte en mindre armé av robotar att titta på upp emot 300 miljoner annonser per dag. Sammanlagt drabbades 6 000 domäner – och bedragarna drog in fem miljoner dollar per dag.

Belyser en oerhört viktig punkt
När fler och fler människor interagerar med varumärken via sociala medier och digitala kanaler är det viktigare än någonsin att företag är medvetna om vilka risker som finns med den digitala närvaron, och hur det kan påverka verksamhet.

Nätkriminella följer nämligen trender, och försöker hela tiden utnyttja brister i säkerheten. Det behöver inte bara innebära rena dataintrång – man riktar i allt större utsträckning in sig på att infiltrera digitala kanaler och påverka enskilda individer på olika sätt. Sådana angrepp går ut över företagets förtroende, och drabbar i slutändan varumärket.

Trepunktsstrategi behövs
Därför måste företag ha en fungerande strategi för hur man bemöter allt från rena hot till rykten som uppstår på sociala medier – oavsett var någonstans det uppstår och i vilken form.

Och för att vara förberedd behövs en trepunktsstrategi.

För det första behöver du övervaka samtliga digitala kanaler dygnet runt, för det andra behöver du garantera att informationen du hanterar är säker – och för det tredje behöver du ha verktyg till hands för att skydda verksamheten om något skulle inträffa.

I slutändan är ditt varumärke beroende av hur väl du lyckas med den digitala närvaron. Att vänta till dess att skadan redan är skedd är aldrig någon bra idé.

Fredrik Möller, Nordenchef på Proofpoint

Naiviteten är stor när det handlar om säkerheten i IoT-nätverk

2019-07-22 | Kronika

De flesta företag har rätt bra koll på säkerheten vid det här laget och vet hur man ska undvika de flesta faror på nätet. Men idag är ju inte bara traditionell IT uppkopplat i nätverk, utan i allt högre utsträckning vanliga ting som uppvärmningssystem, kopiatorer, ventilationssystem, brandlarm med mera. Här har säkerhetsmedvetandet inte hängt med.

Enligt säkerhetsföretaget McAfee har IoT-skadlig kod ökat med över 200 procent under år 2018 och World Economic forum rankar cyberattacker som den största faran för mänskligheten, efter naturkatastrofer och extremväder, i rapporten Global risk report 2019.

Skrämmande, och märkligt att frågan inte kommer upp på bordet mer. Jag antar att det handlar om detta:

Säkerhet ingår inte i designprocessen. De typiska IoT-användarna är early adopters som söker nyhet eller nytta, inte säkerhet i första hand. Därför behöver tillverkarna inte fokusera på säkerhet, utan enbart på att tillfredsställa köparnas intresse för det nya och det ”coola”. (Det gäller självklart inte alla industriella lösningar, men det finns ett mönster.)

Bra säkerhet är dyrare. Industrin vill tjäna pengar på massköp och konsumenterna är priskänsliga. Därför ser vi idag ofta ett stort utbud av billiga produkter från lågprisländer, där man har tummat mycket på säkerheten. Det är till exempel vanligt att tillverkaren använder samma standard-login på alla sina enheter.

Ingen bryr sig. Att prata om säkerhetshänsyn skulle sakta ned en växande marknad och därför tar man inte upp frågan. Alla gillar nämligen en marknad som går bra. Det gäller både för konsumenter och producenter.

Vi måste dock inse att säkerheten aldrig blir hundra procent i ett IoT-nätverk. Traditionella skyddsåtgärder som till exempel brandväggar fungerar bara i begränsad utsträckning eftersom de uppkopplade sakerna ofta används utanför sina egna slutna system. Det finns dock sätt att minimera riskerna på:

-Sortera skyddsåtgärderna efter betydelse. Det är bättre att koncentrera sig på att skydda den viktigaste informationen, alltså de data som lagras på enheten och används av applikationer, än att skydda hela IoT-enheten. För att säkra dessa data behöver du exempelvis inte säkerhetskopiera hela IoT-enheten, utan det räcker att ha den på separat område eller en container. Många företag tittar först på molnet för att säkra data från IoT-enheter. Men så fort en mobil IoT-enhet innehåller känslig data blir den ett intressant mål för en hackare.

-Spara känslig data på ett betrott ställe. Eftersom IoT-enheter ofta är mobila, eller installeras över ett stort geografiskt område, är det väldigt svårt att undvika att de kommunicerar med skadliga program. Men om enhetens ID lagras på ett säkert ställe kan man definiera vem som får kommunicera med enheten. Det kan göras genom att kräva korrekt ID för all kommunikation och se till att alla ID-er har säkra inloggningsuppgifter (till exempel en PIN-kod).

-Leta efter ovanlig trafik: Ett övervakningsverktyg, oavsett hur avancerat, kan inte direkt avgöra om en IoT-enhet har blivit en inkörsport för skadlig kod, men det kan upptäcka när datatrafiken på en port ändras och till exempel blir ovanligt stor. Man kan också använda mönsterigenkänning för att se om ovanlig trafik pågår i nätverket, till exempel om två enheter plötsligt kommunicerar med varandra som aldrig gjort det tidigare. En varning kan då skickas till systemadministratören som snabbt kan identifiera skadan.

Utvecklingen av IoT går snabbt. Många har insett att det finns stora pengar i branschen. Önskvärt vore förstås om tillverkarna tog ett större ansvar för säkerheten i sina produkter. Men även om det skulle ske, kommer det ändå alltid att finnas risker med IoT, eftersom cyberbrottslingar kommer att hitta nya sätt att hacka oansett typer av nätverk – det är så att säga inbyggt i konceptet. Därför måste medvetenheten om riskerna med uppkopplade ting bli betydligt bättre än idag. En ökning av IoT-skadlig kod med 200 procent inte acceptabelt och borde generera betydligt större rubriker än vi hittills sett.

Atle Hadland, regionchef, Norden, Paessler

What will drive cyber security: hacking, crime, warfare and/or terrorism?

2019-07-01 | Kronika

A panel discussion on cyber terrorism opened up a wide range of vital security issues

At first it seems a logical question: understand the enemy and you will understand the threat. If the threat is cyberwar, then military and armaments organizations are an obvious target. If it is cybercrime, then financial institutions should be concerned. If it is hacktivism, then any company with considered malicious by a significant portion of the public should be alert for attacks by campaigners.

Joel Stradling, Research Director, Global Data

But on second thoughts, the scene becomes far more confused. An attack on the national electricity grid could severely compromise military suppliers. One that caused traffic chaos could make it harder for an enemy to mobilise ground forces. Financial companies are already heavily guarded, so it is far easier for criminals to make money by blackmailing hospitals with stolen data. Hacking has always been an irritant, if not a major problem, because the motives can be so arbitrary – maybe an institution was hacked for no other reason than that it claimed to be unhackable?

In the case of hacktivism against a broad target like the present government, then any attack that disrupts the economy or draws attention to the cause could be an effective weapon when followed by a public announcement. Terrorism is similarly almost impossible to predict because the aim is to do absolutely anything that might invoke public terror – and that makes it highly threatening.

Joel Stradling, Research Director for the analyst company GlobalData, chairing a recent NetEvents session, mentioned a call for half a million heart pacemakers in the US to be recalled because of vulnerability to cyberterrorism. That is a very good example, because any family or group with a heart patient that might drop dead will feel threatened, and that fear generates panic that could spread far and wide.

It also raises another key point about cyberterrorism: that the threat can be more effective than the actual attack. Terrorists know that a failed bomb attack can be just as effective as a successful one, because the public starts thinking about all the deaths that might have happened. Terrorist groups have far broader agendas than before, going beyond physically harming civilians.

Roark Pollock, Ziften Technologies; Ray Ottey, Verizon Enterprise Solutions; Andrzej Kawalec, Optiv, Joe Baguley, VMware

Ray Ottey, Fellow Cybersecurity Practitioner at Verizon, responding to Joel Stradling, described two distinct areas: cyberwar is really just another weapon in the evolution of war, while cyberterrorism has a different motive: “It’s a subset of the wider threat, but it’s just coming with a different motive. There’s no different toolset, and it’s not in some cases different people either. So, it can be the same person during the day being a hacker, or having a normal day job, and by evening a gun to hire”. Attacks may have different political or criminal aims, but the symptoms are the same.

The Internet of Things (IoT) adds a major terrorism threat because it brings what was seen as information war down to physical manifestation – like a compromised pacemaker causing a friend to drop dead. A loss of data is one thing, but if it compromises an entire electricity network or water supply, then you have terror potential. Another factor is that it suddenly extends what has become a pretty well secured IT network by added a mass of far less secure endpoints previously air-gapped from the Internet. As Roark Pollock, Chief Marketing Officer, Ziften Technologies put it: “You’re trying to protect a network that’s very different than your IT infrastructure. From a security standpoint it’s 20 years behind traditional IT. We’ve integrated those devices into our traditional IT networks, so they become a big part of what you’re trying to protect now, as opposed to just trying to protect the underlying data”.

Optiv’s European Director of Strategy and Technology, Andrzej Kawalec, explained: “IoT is going to completely explode it, and it forces us to think about devices again – which is something we’ve forgot about for a while. We need to start doing that again… To create physical safety implications on a network, you used to have to have quite specific deep domain capability… the integrated industrial cybercriminal global network allows you to do anything, whether it’s malware as a service, ransomware as a service, being attacked by swarms of kettles” – a reference to the story that the UK company Hargreaves Lansdown was attacked by a botnet of smart kettles last year.

Another factor that blurs the boundaries is the way that cybercrime and drug cartels provide funding for terrorism. IT can also be misused for recruitment and propaganda – as it was recently in New Zealand to amplify the impact of an isolated terrorist incident. Kawalec pointed out that cybercrime had overtaken the global illegal drugs trade: “National crime agency in the UK moved drugs off their top three focus areas, and put online fraud and cybercrime on. I think there’s a lot in there to be unpacked, but I think it’s actually about digital world influencing cyberterrorism, rather than cyberterrorism influencing the digital world”.

Kawalec concluded: “If there’s anything, it’s going to make us focus on the safety component of cybersecurity, rather than the confidentiality, the integrity, the financial impact. It’s the human implication of hacking into an autonomous car via the DAB radio to turn the brakes off. Who thought that was going to be a thing, but it is.” Roark Pollock agreed that the IT fundamentals had not changed as much as the motives for attack. And with IIoT the user is no longer only an office working with years of PC experience: “As we talk about industrial terrorism we’re bringing in a whole new user group. Now you’re talking about a user in some industrial facility, managing the safety and reliability of its devices. That person is not used to talking about cybersecurity”.

For Joe Baguley, VMware’s VP and CTO for EMEA: “The biggest problem is IT meeting OT. I’m seeing fundamental failings in basic principles of security when we get to IT and OT”. He gave the example of ubiquitous security cameras: “I found cheap USB ones of which there is no patching model and no way to update them. It’s just people missing basic fundamental steps in deploying IoT systems. That will set us up for massive failure in the future”.

Ray Ottey pointed out that security for the new users Pollock mentioned was about physical, not cyber, security: “So that MRI scanning machine, or that nuclear control system, whatever it was, the security around that was all entirely physical – you can’t get into it, can’t touch it – security badges etc” He outlined a scenario where the industrial control manager is approached by a the new network manager and says: “So you want to try and connect your IT systems to my control system? But you are the guys that gave me that XP laptop riddled with viruses that never really worked, and you’re now telling me you want to try and connect to my OT system? Get stuffed!”

Adding a more positive note, Roark said: “It’s taken us 20 odd years to get to today’s security perspective. At least we now have mature frameworks we can start to apply to those industrial control networks, whether the NIST framework, or any other framework”. Hopefully we can implement these existing frameworks a lot quicker than it had taken to develop them.

Joe Baguley returned to the prevention theme and the principles of cyber hygeine that are so blindingly obvious to people in the security industry, but not to others: “Things like least privilege, micro segmentation, and encryption. Encryption 10 years ago was a horrible thing, because it was hard. Now it’s really easy and it’s not a burden on processors, so let’s just do it everywhere. Multifactor authentication: Tesla owners are crying out for multifactor authentication on their cars – even Tesla aren’t applying it now – and patching. People are deploying stuff and not thinking about the ongoing lifecycle management”.

Questions from the floor brought the discussion back to the specific issue of cyber terrorism, when the panel was trying more to focus on general prevention. Joe Baguley referred to the Spectre processor issues: “How long had certain nation states known that those vulnerabilities were there, and kept it to themselves, before the wider world found out? You know, it’s those kind of things were actually more worrying… We’re looking again at how do you build a layer on top of that, that almost abstracts you from that threat?”

Andrzej Kawalec said the whole issue is even more blurred when several cybercriminal gangs share malware using an existing vulnerability hijacked through another service to some industrial ecosystem. Hence the need to focus on the continuous hunting and analysis of threat: “You need to go back to what you can control best.” Baguley agreed that there can be too much trying to anticipate what the next big threat is going to be, rather than just going back to base and how the system is built and made rock solid.

For Ray Ottey part of the problem is that people often do not even know they are under attack: “A process running a bit longer every day, because it’s doing something else. A machine occasionally pinging some other machine, which isn’t necessarily out of the ordinary… and many organisations don’t know what their normal is”.

Roark Pollock had the final word in what was a great debate session. He suggested a gaming approach to security training: “These companies need to create some sort of cyber range, where they can play red team, blue team, and train their people, of how to respond when something does occur. Because it’s too late once it happens”.

Lionel Snell, Editor, NetEvents

Advertisement