Sikkerhet for nordmenn flest
For oss som ikke tar i eller jobber med digital sikkerhet hver dag er ofte kunnskapen begrenset. Siden det eneste vi kanskje opplever eller hører om er passordlekkasjer eller hacking av Facebook-profiler i vår nære krets, har vi kanskje en noe passiv tilnærming til tematikken. Kjenner du deg igjen i det?
Dette er en av mange grunner til at vi vil snakke enda mer om sikkerhet fremover. Fordi for oss bør budskapet som Digital Sikkerhetsmåned byr på gjelde hele året. Slik at vi nordmenn er bedre rustet i møte med det som skjer i den digitale verden. Men først skal vi bli litt bedre kjent med eksperten vår!
Hvorfor kommer det angrep?
For å få noen flere svar på hvorfor noen velger å gjennomføre digitale angrep har vi spurt en av våre sikkerhetseksperter, nemlig Freddy Andreassen. Han startet hos oss i juni i år, og har jobbet med digital sikkerhet i over 15 år. Daglig rådgir han våre kunder i hvordan ruste seg opp mot digitale angrep, og bistår også hvis bedrifter opplever angrep. Vi er så stolte over å ha ham med på laget vårt.
Hva er tanken din rundt digitale angrep, Freddy? Hva ligger bak, tror du?
-Det vi ser er at økonomi og økonomisk gevinst oftest er motivet. Enten det er banktrojanere, å stjele brukernavn og passord gjennom phishing, ulike angrep som tjenestenekt eller krypteringer for å kreve løsepenger.
Siste eksempelet på et angrep hvor det ble krevd løsepenger er Østre Toten kommune som mistet alt over natten i februar i år. Freddy nevner også at det er mye sårbarheter i programvare om dagen. Hans inntrykk er at det kommer en «bombe» omtrent ukentlig på dette feltet. Derfor er det viktig å velge leverandører med høy troverdighet.
Hvordan bør vi ruste oss mot dette da?
-For det første vil jeg si at veldig, veldig ofte kan et angrep stoppes, så det er sjelden for den gjennomsnittlige bedrift at det er umulig å beskytte seg. Ved å oppdatere systemer, avverge phishing-angrep, sikre identiteter, og beskytte mot skadelig kode, så stopper vi veldig mange av disse angrepene. Normalt, så må en hel hendelsesrekke til for at et forsøk skal bli til et vellykket angrep og dermed har man mulighet til å stoppe angrepet i hvert steg.
Dette bør du og bedriften din gjøre
For det første bør bedrifter ta en runde på seg selv. Hvor sitter verdiene deres? Hvilke verdier er det? Hvor sårbar er bransjen dere opererer i? Alle disse spørsmålene er det viktig at en bedrift stiller seg selv, deler Freddy.
-Det er de samme spørsmålene vi finner svarene på når vi skal ta en helhetsvurdering av bedrifter som ønsker rådgivning fra oss. Ofte oppdager vi ting de ikke har tenkt på selv. Noe som ikke er så rart, for vi jobber jo med dette hver eneste dag, sier han med et smil.
Freddy nevner flere grep du og bedriften din bør gjøre. Det aller viktigste er å involvere alle ansatte i arbeidet når en sikkerhetsprosess først er i gang. For når det kommer til stykket kan alle ansatte gjøre en forskjell, ifølge Andreassen. Han forteller at hvis ansatte har fått opplæring i å oppdage shady e-post eller mistenkelig aktivitet kan det ofte bidra til å unngå at et angrep eskalererer og dermed kan kalles vellykket.
I tillegg anbefaler han å bruke det som finnes innebygd i løsningene du kjøper, som for eksempel i Microsoft-tjenestene. Slike tjenester tilbyr nå funksjoner som tofaktorautentisering, antivirus, brannmur og lignende.
– Her gjelder det å sikre at alle ansatte får god opplæring i hvordan benytte seg av hele tjenesten og at de aktivt bruker sikkerhetsfunksjonene i sin arbeidshverdag. Da har du allerede gjort en viktig jobb!
Freddy sine sjekklister
Vi spurte Freddy om han ville sette sammen en liten liste til oss med sine sikkerhetsråd og eksperttips. Hvor mye kan du sjekke av på listene selv?
Slik sikrer du deg som privatperson:
- Last ned en Authenticator-app til mobilen og bruk tofaktor der du kan, sosiale medier, e-post o.l.
- Ha et bevisst forhold til hvordan du lager passord og hvor ofte du skifter passord. Lær mer om det her: Passordhygiene
- Ha i bakhodet at det som legges ut på internett veldig ofte blir der.
- E-post er veien det meste spres, så vær skeptisk til ukjente avsendere. Spør en ekspert heller en gang for ofte, enn motsatt.
- Ha en form for sikkerhetsprogramvare på PC-en, som privatperson får man ofte tilgang til dette for eksempel gjennom internettleverandør eller i nettbank.
Slik sikrer du deg som bedrift:
- Bruk tofaktorautentisering for å beskytte brukerkontoer, spesielt de administrative rettigheter.
- Hold oversikt, det du ikke vet om kan du ikke gjøre noe med.
- Beskytt systemene mot skadelig kode, ha sikkerhetsprogramvare på klienter og servere.
- Oppdater systemer regelmessig, alvorlige sårbarheter er det som nevnt veldig mye av om dagen.
- Sett opp systemene etter produsentens anbefalinger, med en tanke også på sikkerhet i tillegg til å få det til å virke.
- E-post er ofte utgangspunktet for angrep, ha filtrering på trafikken og lær opp de ansatte i å oppdage falske e-poster.
- Legg en plan for hva du gjør om noe skjer.
Vil du ha eksperter med på laget? Vi kan bistå.
Kunne du ikke sjekke av hele listen? Vi vet at det sitter mange ansatte der ute med flere hatter på i arbeidshverdagen. Ofte kan IT-hatten bli litt for liten eller kun være i beredskap når E-posten er nede. Det er dessverre som regel ingen hurtigfiks for å oppnå helhetlig og god sikkerhet, ofte er bildet komplekst og det krever tid og ressurser for å holde seg oppdatert og være i forkant. Vi har folk som jobber med dette på heltid, i tillegg til å samarbeide med ledende aktører i IT-sikkerhetsbransjen.
Vi kan bistå med veiledning, i alt fra å gjøre en verdivurdering av informasjon, risikovurdering hvor vi ser på hvilke trusler som finnes for din bedrift, til å levere utstyr eller råd for å beskytte de aller fleste delene av infrastrukturen i datasentre og i sky.
