Cybersikkerhet må tas på større alvor
Hvert år publiserer Telenors sikkerhetseksperter en egen rapport om norsk sikkerhetsstatus. I 2019 heter rapporten «Det skjer noe». En rekke tiltak er iverksatt for å sikre at vi utvikler oss i riktig retning, men hackerne blir også stadig mer utspekulerte. Som eier av landets største kommunikasjonsinfrastruktur får vi god innsikt i hvordan de opererer og hva de ønsker å oppnå.
I årets rapport ser vi grunn til å mane til risikovurdering og ansvarlig bruk av elektronisk kommunikasjon. Og vi oppfordrer til et større kollektivt ansvar i norske bedrifter for å identifisere hva som må sikres av bedriftens data og verdier. Det gjelder helt opp til øverste ledelse, som trenger å forstå hvor viktig det er å stille de riktige spørsmålene og allokere ressurser for å hindre angrep.
Men min bedrift er jo ikke viktig …
Cyberangrep kan nemlig skje i alle virksomheter og de som rammer mest skaper førstesideoppslag i media. Det kan føles uvirkelig for mange, og «noe som ikke gjelder oss», skriver våre sikkerhetseksperter i årets rapport.
'Man vurderer verdien av egen virksomhetsinformasjon som lav, og dermed også sannsynligheten for et angrep som liten. Et slikt resonnement mener vi må utfordres. Et skritt på veien er å øke forståelsen av hva en hacker faktisk vil med angrepet sitt' - Digital sikkerhet 2019
Kommer inn i bedriften via de ansatte
Vi har alle fått spam-eposter med dårlig språk og historier om skjulte formuer. Men har du besvart en telefonsamtale fra et norsk nummer, der du stusser på innholdet og hensikten med oppringingen, kan du ha blitt utsatt for såkalt «spoofing» eller nummerforfalskning.
Formålet er det samme, å få fatt i personlige opplysninger om deg, eller få tilgang til PC-en din for å installere ondsinnet programvare.
– I dag kan hackere sette en hel virksomhet ut av spill ved å infiltrere enheter koblet til bedriftens nettverk, forteller Security Ambassador i Telenor, Jan Petter Torgersrud.
– Det finnes heldigvis forholdsregler og tiltak du som IKT-ansvarlig kan gjøre i din bedrift, som bidrar til å beskytte mot cyberangrep. Eller minske skadene om de først har skjedd, forsikrer han.
Du er ikke nødvendigvis målet
Det egentlige målet for angrepet kan være noen helt andre enn dine ansatte, eller motivert av at sårbarheter finnes og kan utnyttes. Dette har for eksempel vært tilfelle med en del løsepengevirus-kampanjer vi har sett de siste par årene.
– Skadelig programvare blir installert via ansatt-PC, som er koblet opp på virksomhetens servere. Herfra kan angriperne kjøre utpressingsvirus på alle firmaets maskiner og servere samtidig, forklarer Torgersrud.
De fleste angrep som lykkes skjer fortsatt på denne måten, og det er her din virksomhet bør prioritere innsatsen. Det betyr å sikre at viktige IKT-systemer skjermes mot direkte tilkoblinger fra eksempelvis ansattes PCer. Et annet effektivt tiltak er å innføre tre-lags sikkerhet.
Sikkerhet i flere lag og kontinuerlig overvåking
Stadig flere funksjoner og tjenester vi bruker gjennom en arbeidsdag lokaliseres på nettet. Da er det lett å forstå at angriperne kan ønske å sende deg til feil sted.
Med sikkerhet i flere lag fra Telenor får kundene en bedre sikkerhet enn noen gang.
Sikre endepunkter beskytter alle enheter som de ansatte bruker mot blant annet virus og skadelig programvare.
Sikker e-post setter meldinger med spam, malware eller mistenkelige lenker i karantene.
Sikker nettsurfing (Secure DNS) er som et førstelinjeforsvar det hindrer de ansatte i å havne på farlige websider eller bli offer for phishing
Verdien av egen virksomhet baseres på feil grunnlag
Listen over sikkerhetstiltak varierer fra virksomhet til virksomhet, og er avhengig av hvilke verdier din bedrift ønsker å beskytte. Utfordringen vi derimot ser er at mange ikke er klar over verdien av egne tjenester, verdikjeder og systemer. Risiko baseres dermed på feilaktig informasjon eller antagelser om egen virksomhet, advarer Torgersrud.
– Vi mener det er viktig å innse at det ikke bare er IKT-ansvarlig i en bedrift som må ha fokus på disse verdiene bedriften besitter, men også både styre og ledelse.
– Det må tas et større kollektivt ansvar i bedriften for å identifisere hva som må sikres av bedriftens data og verdier, og det må gjøres en risikovurdering av hva som vil skje hvis data går tapt eller kommer på avveie. Dette gjelder uansett størrelse på bedriften, avslutter han.
Meld deg på vårt nyhetsbrev og hold deg oppdatert på vårt sikkerhetsarbeid
Svindlere bruker flere metoder for å nå sine mål. Og det hjelper lite med tekniske sikkerhetsløsninger om menneskene bak systemene blir forledet til å overstyre teknologien. Ofte brukes metodene sammen med for eksempel ransomware eller kompromittering av e-post kontoer.
Her er en kort oversikt over relativt enkle metoder, som kan få alvorlige konsekvenser for både virksomheter og privatpersoner.
Baiting
En slags Trojansk hest som bruker fysisk media og offerets nysgjerrighet. Angriperen etterlater seg en minnepinne eller annet lagringsmedium som inneholder malware på et sted hvor folk finner det.
Elicitation
Å få tak i viktig informasjon på en indirekte måte, uten å spørre direkte om det.
Pretexting
En metode for sosial manipulering der offeret blir lurt ved hjelp av en falsk unnskyldning eller historie. Brukes for å hente ut informasjon eller for å få offeret til å utføre en handling.
Tailgaiting
En person følger etter en annen person inn i en bygning eller område han ikke skal ha adgang til.
Malwaretising
Annonser på en nettside som forsøker å installere malware/skadevare på en mobil eller PC. Dette kan gjøres både ved å utnytte svakheter i mobilen/PCen eller ved å forsøke å lure brukeren til å installere malwaren manuelt.