Derfor er it-sikkerhed på agendaen: Stærk video sætter scenen ved Dubex Summit & Update 2018

22. juni 2018 - Oplev stemningen ved Dubex Summit og Update 2018 og gense videoen, som satte scenen for konferencen og understregede vigtigheden af dagens agenda.

Forestil dig en dag på kontoret, hvor du møder ind til en briefing omkring et ransomware-angreb og tankerne om de mulige konsekvenser farer igennem dit hoved; alting går ned og virksomheden er hæmmet. I værste fald er omverdenen påvirket, fordi din organisation leverer kritiske services til offentligheden. Der skal skabes overblik og træffes en række hurtige beslutninger, så konsekvenserne ved angrebet reduceres og driften kan genetableres.

Dét scenarie blev deltagerne mødt med, da dette års Dubex Security & Risk Management Update blev skudt i gang med en lille video.

 

 

Selvom videoen for mange virker karikeret, er det ikke desto mindre virkeligheden for mange virksomheder.

”For et par år siden havde vi alle sammen grinet af den her video, men sådan er det ikke længere. De sidste par års sikkerhedshændelser har kun vist os toppen af isbjerget og vi er klar over, at vi er nødt til at forholde os til de digitale risici. Samtidig er der nu, mere end nogensinde, behov for at udveksle erfaringer med andre virksomheder og organisationer”, forklarede Gorm Mandsberg, Adm. Direktør hos Dubex i sin velkomst:

”Netop erfaringsudvekslingen er hovedformålet med den her konference. Vi tror på, at vi står bedre, hvis vi bliver klogere på udviklingen i muligheder og trusler og har mulighed for at høre, hvordan andre arbejder med det her.

Sikkerhed er kommet på agendaen

En af grundstenene i et godt forsvar er en forståelse for det trusselsbillede man står overfor. Derfor indledte Jacob Herbst, Dubex’ tekniske chef, og Keld Norman, konsulent i Dubex Incident Response-team, dagen med en præsentation af de it-kriminelles motiver og metoder, der understregede vigtigheden af et øget fokus på digital sikkerhed.

”At digitaliseringen fortsætter med at gøre sit indtog, er tydeligt når vi ser os omkring – både derhjemme og på vores arbejdspladser”, startede Jacob Herbst og fortsatte:

”Digitaliseringen giver os mange nye muligheder, men en forudsætning for at det bliver en succes er, at vi kan have tillid til de løsninger vi tager i brug. Hvis vi ikke har styr på sikkerheden, har vi ikke styr på teknologien og dermed heller ikke vores forretning.”

Netop det, at sikkerhed fylder mere og mere fra et forretningssynspunkt, understreges af at cyberangreb nu er blandt de største trusler i den årlige risk report fra World Economic Forum. Dette er hjulpet godt på vej af flere større angreb, bl.a. WannaCry, der ramte sundhedsvæsenet i England, den offentlige transport i Tyskland og bilfabrikker i Frankrig, samt (Not)Petya, der tilfældigt ramte flere større virksomheder som Mærsk og TNT. Omverdenen har således også fået øjnene op for alvoren og i Danmark har regeringen og FE også sat sikkerhed på den nationale agenda.

Hvad er det så vi er oppe imod?

Grundlæggende skal 3 ting være på plads for at vi oplever et angreb, forklarede Jacob Herbst:

”Der skal være et motiv, metode/evner og mulighed. Motiverne er i denne sammenhæng oftest økonomiske, politiske eller aktivistiske. Angriberne fordeler sig oftest på to kategorier: Statsaktører, der laver cyberspionage eller -krig, og kriminelle der vil tjene penge på nemme mål. Udfordringen er, at vi i stigende grad ser et samarbejde på tværs af de to grupper, så værktøjer, der før var forbeholdt statsaktører nu også bruges af ”almindelige” kriminelle. Derudover ser vi flere automatiserede angreb, ligesom kunstig intelligent bruges til at ”krydre” angrebene. Endelig er der mulighederne. For at kunne gennemføre et angreb skal der være en mulighed i form af en sårbarhed eller lignende.”

Netop sårbarhederne er der mange af.

Information der kan bruges til et angreb findes overalt

Keld Norman bruger hovedparten af både sin arbejdstid og sin fritid på at studere hackernes metoder. Ifølge ham er sandsynligheden for at blive hacket ret høj. Årsagen er, at der ligger ufatteligt mange informationer på internettet til fri afbenyttelse for hackerne:

”Hackerne gør brug af forskellige søgemaskiner online, der gør det muligt at scanne efter sårbarheder og åbne porte. Hackerne udnytter resultatet af de her scanninger til at finde en vej ind på serveren, hvor de så kan placere skadelige filer med harmløse navne eller fjerne indhold”, forklarede Keld Norman og gav eksempler på åbne FTP-servere med skriverettigheder, hvor man kan finde både lønsedler, psykologregninger, kørekortsinformationer og patientjournaler.

”I forbindelse med en tidligere søgning opdagede jeg, at der var potentiel adgang til 80 samfundskritiske infrastrukturservere i Skandinavien”, fortalte Keld Norman og fortsatte:

”Men der ligger også andre informationer. Man kan eksempelvis finde oplysninger om hvilket operativsystem eller browser, der bruges hos en virksomhed. Og derudover er der rigtig meget information i metadata fra eksempelvis billeder og filer, som kan bruges. Det kan være brugernavne, e-mailadresser, printernavne, programmer og så videre, der kan bruges til et angreb.”

Hvad kan man gøre?

Hos Dubex oplever vi, at der er kommet et øget ledelsesfokus og generelt en større forståelse for it-sikkerhed. Det betyder, at der mange steder er styr på de basale ting.

”Selvom det er positivt, at der er blevet bedre styr på de basale kontroller, så oplever vi stadig at der er huller i virksomheder og organisationers viden om hvad de egentlig kan komme ud for og det sikkerhedsniveau man har i dag”, forklarede Jacob Herbst og understregede, at fuldstændig sikkerhed aldrig bliver en realitet. Derfor er man nødt til at forholde sig til, hvad der er vigtigt for den enkelte organisation og opbygge de forsvarsværker, der giver mening i forhold til det.

”Det betyder, at man er nødt til at forholde sig til om man bliver udsat for angreb og i så fald om man har så meget styr på processerne, at man kan komme sig bagefter.”

 

Dubex Security & Risk Management Summit 2019

Gik du glip af Dubex Security & Risk Management Summit og Update i foråret? Så sæt kryds i kalenderen allerede nu. I marts 2019 afholder vi Dubex Security & Risk Management Summit - Øst & Vest. Find mere information her.