Vigtigt: Disse fire sikkerheds-tiltag skal du få på plads i år

Klumme: Med en opgave per kvartal kan du øge sikkerheden i din virksomhed i løbet af året. Vi begynder med at dræbe alle gamle IE-versioner. Se her, hvad du bør gøre.

Annonce:
Annonce:
Den første måned af 2016 er næsten gået, og hvordan står det til med sikkerheden?

Hvis du har det ligesom mig, går tiden meget hurtigt.

Måske var januar en måned, hvor du ikke fik gjort noget ekstra ved sikkerheden.

Jeg har i denne måneds klumme samlet fire konkrete tiltag, der kan være med til at øge sikkerheden. Nogle er nye, andre har jeg tidligere slået på tromme for.

Der er fire forslag, et til hvert kvartal.

Dræb de gamle IE-versioner
Opgave nummer et er at få udryddet de forældede udgaver af Internet Explorer.

Det har altid været en god ide, men siden 12. januar er opgaven vokset i omfang.

I dag understøtter Microsoft nemlig kun Internet Explorer 11.

Ok, der er nogle undtagelser med Vista og Windows Server, men glem dem: Det er på tide at komme af med de gamle versioner.

Årsagen er, at sikkerhedshuller i de ældre versioner fremover ikke vil blive lukket.

Og Internet Explorer har traditionelt været plaget af mange sårbarheder.

Der går sjældent en måned, uden at der er sikkerhedsrettelser til programmet.

Hvilken løsning I vil vælge, er op til jer selv.

I kan fortsætte med Microsoft og gå til Internet Explorer 11 eller Edge. Eller I kan vælge Chrome, Firefox, Opera, eller en anden løsning.

Umiddelbart lyder det enkelt.

Men jeg er godt klar over, at der rundt om i landet garanteret stadig kører web-applikationer, der er skrevet til Internet Explorer 6.

Måske virker de under en nyere browser, måske ikke.

Derfor skal projektet med at udfase de historiske versioner også omfatte en testfase og planer for, hvordan I vil håndtere de webtjenester, der kræver dem.

Annonce:

Luk for åbne UDP-tjenester
Som opgave nummer to foreslår jeg, at I identificerer de UDP-tjenester (User Datagram Protocol) på jeres netværk, der er åbne for opkald ude fra internettet.

Jeg tænker især på tjenester som DNS (Domain Name System) og NTP (Network Time Protocol).

Problemet med dem er, at de i nogle tilfælde misbruges til DDoS-angreb (Distributed Denial of Service).

Det sker ved, at angribere sender forespørgsler med forfalskede afsenderadresser til serverne på jeres net.

Når jeres servere svarer, går svaret til den forfalskede adresse, der tilhører offeret for angrebet.

Det bliver et problem, når tusindvis af servere sender svar til en server på forespørgsler, den aldrig har afsendt.

Oven i købet kan angribere udnytte nogle UDP-tjenester til at forstærke angrebet. Det sker, når en kort forespørgsel udløser et langt svar, som sendes til offeret.

Første fase af denne opgave er at afklare, hvilke tjenester angribere overhovedet kan nå ude fra nettet.

Annonce:

Derefter skal I undersøge, i hvor høj grad I kan spærre for dem. Skal alle have adgang? Skal nogen?

Mængden af DDoS-angreb er stigende. Ved at lukke for åbne UDP-tjenester kan I undgå at blive udnyttet til et angreb.

Kortlæg datastrømme for persondata
I år bliver EU's persondataforordning vedtaget. Derefter har vi to år til at forberede os til at efterleve den.

Hvis I behandler persondata, bliver I sandsynligvis underlagt de nye regler. Og hvem gør ikke det?

En konsekvens er, at I skal kunne dokumentere, hvordan data om personer bevæger sig rundt i jeres organisation.

Den kortlægning kan I lige så godt gå i gang med nu.

Sæt jer ind i, hvilke konsekvenser forordningen vil få for jer.

Vi skriver i øvrigt om emnet i årets DKCERT Trendrapport, som vi udsender senere på foråret.

Sidder du i en statslig institution, skal I overholde kravene i ISO 27001.

Hvis det ikke er helt på plads endnu, er det oplagt at koordinere den opgave med arbejdet med persondataforordningen.

Drop Flash Player
Sikkerhedsforskere har gennem årene fundet over 700 sårbarheder i Adobe Flash Player. De er ofte alvorlige.

Tidligere var Flash Player nødvendig, når man ville se animationer, video eller andet multimedia-indhold på en webside.

Men med HTML 5 kan Flash undværes.

Annonce:

Derfor er det på tide at undersøge, om I kan undvære Flash.

Som minimum kan I begrænse udbredelsen, så programmet kun ligger på de pc'er, der ikke kan undvære det.

Der er naturligvis mange flere opgaver, der kan øge jeres sikkerhed. Prioriter dem, der giver mest mening for jeres virksomhed.

For sjov kan I jo udskrive denne klumme og hænge den på en opslagstavle.

Tag et kig på den igen ved juletid og se, hvor langt I nåede med opgaverne.

God arbejdslyst.


DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet.

I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC, DTU.

Henrik Larsen opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


IT-JOB

Se flere it-job hos

 
Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
ED-Data A/S
Salg af hard- og software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere

Whilborgs Konferencecenter - 2750 Ballerup



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere

Comwell Hotel Aarhus - 8000 Aarhus



Skygge-it

Mange it-afdelinger kæmper for at håndtere det kontrol-tab, der følger med, når medarbejdere og afdelinger begynder at anskaffe egne it-løsninger, som ikke nødvendigvis er koordineret eller godkendt af it-afdelingen. På dette How To seminar får du overblik over værktøjer og metoder til at håndtere skygge-it, så du genvinder kontrollen og minimerer it-sikkerheds-risikoen. Læs mere

Wihlborgs Konferencecenter - 2750 Ballerup







Computerworld
Overblik: It-bestikkelsessag i ny drejning - Atea spiller central rolle
Overblik: Med anholdelse og sigtelse af yderligere 27 it-ansatte har den store it-bestikkelsessag med Region Sjælland og Atea i centrum taget en ny drejning. Igen spiller Atea en hovedrolle. Få overblikket over den nye udvikling her.
CIO
Datacon skal møde Flügger i retten: "Der har været masser af problemer, men det er ikke på grund af systemet. Det skyldes Flügger"
Ifølge direktør i Datacon, Jan Misser, er det malerkæden Flüggers egen skyld, at et stort ERP-projekt er kørt af sporet og nu ender i en retssag.
Channelworld
Tidligere topchef for HP Danmark færdig som CEO efter kun et år på posten - forlader Tia midt i juridisk slagsmål
Midt i et uafklaret juridisk slagsmål mellem kapitalfonden EQT og de tidligere ejere af softwarehuset TIA Technology, har selskabet skiftet ud på direktørposten.
White paper
Mobility - her er de aktuelle udfordringer
Hvad med sikkerheden? Mobility-bølgen fejer igennem danske virksomheder, og der er masser af muligheder og faldgruber. Sikkerheden halter, men det kan der gøres noget ved. Produceret af Computerworld.dk i oktober 2014.