Cybersäkerhet 2022 del 2 - En nödvändig granskning .

Precis när vi kom ut ur Covid-pandemin, eller hoppades att så var fallet - så brakade en väpnad konflikt loss i vårt närområde. Om vi inte var det innan så är vi i en sådan tid nu där man funderar runt sårbarhet, säkerhet och hållbarhet. Som medborgare i en digital värld så är vi beroende av en fungerande IT-miljö, såväl på jobbet som privat. 
 

I en serie av bloggar så kommer vår säkerhetsarkitekt – Sebastian Ströbeck att dela med sig av sin expertis: Hur kan man skydda sig, var börjar man och vilka områden är viktiga att prioritera. Häng med på resan!
 

En nödvändig granskning

I ett tidigare blogginlägg delade vår säkerhetsexpert Sebastian med sig av fem nödvändiga steg som svenska organisationer bör ta nu, för att lösa de mest akuta behoven för att stå emot den ökade hotbilden med riktade eller indirekta cyberattacker

Motståndskraft byggs bäst i fredstid, när hoten sedan blir verklighet är man förberedd och har förmåga att stå emot och återställa. Har man inte gjort det blir ofta katastrofen ett faktum.

Att metodiskt och långsamt över tid bygga upp ett varumärke och förtroende är vist och rimligt. Men när hotet på ett par minuter kan rasera det, så kanske det också är klokt att se över hur data och tjänster skyddas och drift hanteras. Det kräver en mycket mer agilt och prompt lösning än varumärkesbyggande eller traditionell IT-drift som kan vara i 36-månaders cykler.

En utmaning i många organisationer är att man fortsätter arbeta och organisera sig i stuprör som det finns en tradition av att göra.  Vissa säkerhetsförbättrande åtgärder görs kanske inom varje område men ingen koordinerar och tar helhetsgrepp i verkligheten. När man förstår anatomin i hur en cyberattack går till förstår man att motståndarna inte bryr sig om hur organisationerna är organiserade, utan tar sig in där företag är minst skyddade.  Gamla system, distanskontor eller system som saknar ägare blir språngbrädan vidare till känsliga personuppgifter, börspåverkande finansiell information och produktionssystem. Därmed är katastrofen ett faktum.

Riskera inte din goodwill

Vanligtvis har man en formell säkerhetsansvarig till exempel Chief Information Security Officer (CISO). Den personen tar fram riktlinjer för verksamheten att följa, säkerställer att de följer lagar, regler och moderna ramverk från till exempel NIST och CIS. Ofta tar man in någon som gör riktade eller generella penetrationstester. En genomsnittlig organisation i Sverige är ett företag som en gång om året gör en extern revision med frågor som ska besvaras av olika avdelningar och bifogar underlag för att visa hur nuläget ser ut i organisationen. Det visar dock inte hur säkert det är i verkligheten eller om organisationen kan upptäcka hot och förhindra att 20 års godwill rinner ut i sanden. Inte heller om de har säkrat medborgarnas och de anställdas tillgång till tjänster och data. I ett sådant företag får säkerheten en plats för att ledning och myndigheter ska vara nöjda.

Ett penetrationstest testar nuläget från en viss plats, tid och scope. Den testar inte design, konfiguration, organisation eller processer. Möjligtvis delar av det. Därefter kan nya sårbarheter ske eller en attack initieras genom en användare med för höga eller för många behörigheter.

Holistisk granskning

Efter att man åtgärdat de fem nödvändiga stegen bör man i stället holistiskt granska nuläget inom hela IT, både på marken och i molnet. När man gör det behöver man kontrollera:

1. Om det finns en design
2. Om konfiguration följer den i verkligheten
3. Om organisationen förstår deras roll i den
4. Om processerna fångar upp beställningar som går emot den

För att vara säker över tid behöver man kartlägga vad man har att säkra och hur nuläget verkligen ser ut.

Vi kan jämföra med en villa. Skulle man tekniskt granska villan initialt så kan vem som helst ta sig in genom att bryta upp en dörr, såga upp en vägg, krossa ett fönster och därefter stjäla det du inte vill förlora. Om man i stället skulle införa larm, sensorer för rörelse och glaskross och säkra dörrarna så kanske inte ens allt behöver vara säkrat. Tillsammans samarbetar dessa metoder till säkerheten. Det blir mycket svårare att hitta sårbarheterna och ta sig in utan att bli upptäckt och stoppad.

Granska hela IT

Granska, designa, åtgärda och sedan tekniskt testa med till exempel penetrationstest, borde vara en betydligt bättre och säkrare approach.

Det är ofta en stor utmaning för organisationer att göra en sådan granskning själva då avdelningarna har olika budgetar och chefer med delat ansvar. Det innebär oftast att ingen har eller kan ta ansvar för det, samt göra en åtgärdsplan och leda förändringsarbetet.

En lösning kan vara att anlita säkerhetsspecialister med god organisatorisk erfarenhet och bred teknisk kompetens för att granska hela IT-avdelningen inte bara på papper.

I den tredje och sista delen i denna bloggserie kommer vi titta på hur en snabb väg till en modern och säker drift kan se ut.

På Enfo har vi lång erfarenhet av säkerhet i allt från infrastruktur, identitet till processer, organisation och policies.

För att möta denna organisatoriska utmaning och den ökade hotbilden har Enfo en säkerhetsgranskningstjänst som kartlägger nuläget och arbetar fram en omfattande åtgärdsplan. Behöver ni hjälp med att leda förändringsarbetet hjälper gärna ett team av specialister er att säkra era tjänster och data för att skydda tillgänglighet och mot den ökade hotbilden. 

Sebastian Ströbeck
Principle Security Advisor & Architect 
sebastian.strobeck@enfogroup.com
LinkedIn

Vår säkerhetsarkitekt Sebastian Ströbeck har skrivit en bloggserie i tre delar gällande cybersäkerhet. Ta del av hans topp 5 aktiviteter att göra nu!