Johans önskelista för 2022: Det måste bli svårare att hacka företag

Publicerad 2021-12-17 | Författare Johan Nilsson

Året går mot sitt slut. Ytterligare ett år präglat av pandemi med hemarbete och allmän påverkan på vår vardag, dock ett år med mer ljus i tunneln än tidigare. Och så var det ju det här med cybersäkerheten. Hur går det med den egentligen? Här kan ni läsa vad jag önskar mig.

Året som gått

Vi har under året fortsatt att se ökningar av incidenter där företag och organisationer blir utsatta för angrepp som leder till både stora och små problem. Vi minns såklart Coop som i somras fick stänga delar av sin verksamhet efter ett ransomware-angrepp i sin supply chain. Nordic Choice blev också drabbade här om veckan av ransomware som kraftigt påverkade IT-systemen och verksamheten. Nu senast upptäcktes en mycket allvarlig sårbarhet i Apache Log4j, där vi egentligen inte sett de stora effekterna ännu, men att det kommer att påverka många, många organisationer där ute är givet. Jag skrapar på ytan av redan medialt kända händelser, men det är långt många fler händelser därute som aldrig ser dagens ljus, men som ändå ställer till mycket oreda.

Varför blev det så här? Det är uppenbart. Det är alldeles för enkelt att hacka företag och organisationer idag. Incidenter blir konsekvensen och det kostar massor av tid och pengar. Men varför är det alldeles för enkelt att hacka företag och organisationer idag?

Vår verklighet

När vi träffar våra kunder därute så är det nästan uteslutande samma utmaningar som de ställs inför. Det är inte att de har gjort fel teknikval som inte gav tillräckligt skydd, det är heller inte för att de inte bryr sig om cybersäkerhet, för där är vi oftast överens – cybersäkerhet är en utmaning. Det är en utmaning idag och det kommer vara en utmaning imorgon.

Den röda tråden som genomsyrar i princip alla våra dialoger med företagen där ute är avsaknaden av en övergripande förståelse för sin verksamhets sammanlagda hotbild. Man jobbar i silos. Det går alldeles för snabbt in i dialoger om olika tekniska detaljer såsom ”vi behöver multifaktorsautentisering”, ”vi behöver nog bättre verktyg för hotupptäckt”, ”vi måste börja pentesta vår miljö”, m.m. Allt detta kan ju såklart vara helt rätt sak att göra, men du måste förstå varför du gör just den investeringen. Och det gör du inte om du inte har kontroll på den sammanlagda hotbilden och risken som just din verksamhet har. Och då uppstår luckor i cybersäkerhetsarbetet som gör det just lätt att hacka ett företag eller en organisation.

Min önskan för 2022

Sätt på er hackerglasögonen och titta på er verksamhet på precis det sätt som angriparen gör. Vad ser ni? Vad har verksamheten exponerat mot internet som skulle kunna nyttjas för ett angrepp? För det är precis så här angriparen arbetar.

För att lyckas med ett angrepp krävs tre faktorer. 1) En åtkomst 2) En sårbarhet 3) En exploit som kan utnyttja sårbarheten. Saknas en av dessa tre faktorer så är det praktiskt taget omöjligt att angripa din verksamhet. Finns det ingen åtkomst så spelar det ingen roll om det finns en sårbarhet. Finns det ingen sårbarhet så spelar åtkomsten ingen roll. Finns det ingen exploit så spelar det ingen roll om det är sårbart eller om det finns åtkomst.

Så, sätt på er hackerglasögonen. Leta efter åtkomster och sårbarheter. Lägg pusslet och skapa troliga angreppsscenarion för just er verksamhet. Då ser ni er totala risk. Starta säkerhetsarbetet så långt ut på linan som möjligt, närmast angriparen. Kan ni täppa till redan där så blir det svårare för angriparen att lyckas. Jobba sedan inåt. Och övervaka. Det blir inte vattentätt. Världen rör sig fort och krav på digitalisering kommer att ständigt utöka er miljö och potentiellt dra med sig nya sårbarheter. Så övervaka och utvärdera kontinuerligt. Min önskan är att det måste blir svårare att hacka företag.

God Jul och Gott Nytt År. Stay safe.

Eder Johan

För dig som ändå gillar teknik, vad har vi under året sett som utmärker brister i en it-miljö?

• Spretiga autentiseringsmetoder. Ena systemet har en säker metod, det andra inte. Båda är ansluta till företagsnätet.
• Hög riskbenägenhet hos användare. Användare klickar på länkar och ger ifrån sig lösenord eller annan känslig information i alldeles för stor grad.
• Bristfällig övervakning. Upprampningen inför en attack sker oftast i veckor eller rent utav månader, innan själva smällen. Det går att upptäcka och stävja om man övervakar. Men det görs inte i tillräcklig utsträckning.
• Extern exponering som möjliggör social engineering. Om användare klickar på länkar och ger ifrån sig känslig information eller agerar felaktigt, kan det bero på att angriparen är väldigt trovärdig när den försöker lura användaren. Trovärdighetsingredienserna kan exempelvis komma från verksamhetens hemsida och LinkedIn.
• Tjänster exponerade mot internet som inte borde vara det. Pandemipaniken när alla över en natt skulle jobba hemma har pressat ut tjänster (exempelvis remote desktop och VPN) på internet som egentligen inte borde vara där, i alla fall om inte om de inte är säkra.
• Bristande livscykelhantering av IT-miljön. Tjänster kör på gamla versioner med kända sårbarheter. Då krävs det inte mycket kunskap för att kunna nyttja detta. Google kommer man långt på.
• Innovationslösningar med kraftiga säkerhetsbrister. Under tryck av digitaliserings- och innovationskrav uppstår lösningar som har stora säkerhetsbrister. Lösningarna är geniala, men de har tagits fram tagits fram i en skyddad verkstad utan säkerhetstänk. Resultatet är öppna sår där tiden är enda faktorn för när infektionen uppstår.