Gode råd om IT-sikkerhed

De to sikkerhedseksperter Bjarne Rasmussen fra Computer Associates og Jesper Lundorf fra Birck & Krogsboe har samlet en liste med 10 nytårsforsætter for danske IT-chefer. Bjarne Rasmussen er nordisk teknisk direktør og ansvarlig for sikkerhedsområdet hos Computer Associates. Jesper Lundorf har 18 års erfaring fra politiet og arbejder nu som IT-sikkerhedschef hos Birck & Krogsboe.

Her kommer listen med nytårsforsætter for virksomhedens IT-sikkerhedschef.

1. Mennesker er den største sikkerhedsrisiko i enhver sikkerhedskæde. Jeg vil derfor bruge ressourcerne på at bearbejde adfærd, holdninger og informationer.

2. Medarbejdere og brugere handler sjældent i ond vilje, når sikkerheden kompromitteres - det skyldes ofte manglende indsigt. Jeg vil derfor prioritere en tidssvarende og faglig uddannelse omkring IT-sikkerhed.

3. Selv om man ikke teknisk forstår, hvad der sker, så forsvinder et uheld, en skade eller et hackerangreb ikke, blot fordi man lukker øjnene. Jeg vil derfor søge professionel hjælp, når jeg er i tvivl. Det er ingen skam ikke at vide alt - men det er en skam ikke at spørge.

4. Jeg vil tænke på IT-sikkerheden som på færdselsloven. Det er nogle regler, jeg bør kende, og sidst men ikke mindst er der nogle regler, jeg bør følge. Der er jo en konsekvens ved ikke at overholde færdselsloven - og den kender vi alle. Vi kender bare ikke altid konsekvensen af ikke at overholde reglerne for IT-sikkerhed.

5. Gråzonen for IT-sikkerhed er stor og forvirrende. Jeg vil derfor søge uvildig sikkerhedsrådgivning hos udbydere, der ikke (altid) er farvet af egne produkter.

6. Jeg vil sikre, at vores IT-beredskab ikke kun implementeres, men også forstås.

7. Jeg vil sikre, at et antivirusprogram, en personlig firewall og et Intrusion Detection System er det absolutte minimum for internetbrugere. Sikkerhedssele, ABS-bremser og airbags forhindrer jo ikke ulykken i at ske, men reducerer sandsynligheden for alvorlige kvæstelser. Det samme gælder for virus, fejl og hackere - skulle skaden ske, så rejser vi os hurtigere igen.

8. Jeg vil opdatere min egen viden løbende inden for sikkerhedsområdet. Jeg vil abonnere på de relevante nyhedsgrupper.

9. Jeg vil klassificere og værdisætte de faktiske værdier af computer og netværk, så vi kender værdien, og derved også tabet ved et eventuelt uheld. Kender man risikoen, og ganger sandsynligheden med konsekvensen, så har man det estimerede tab. Så er det blot at sikre, at de præventive foranstaltninger står mål med det tab, man ønsker at sikre sig mod.

10. Der findes som udgangspunkt ingen dumme spørgsmål, kun dumme svar. Hvis jeg har mystiske hændelser eller reelt indbrud på computeren, så vil jeg undlade selv at løse problemet. Mange brugbare spor forsvinder, når man selv afsøger computer og netværk. Man tager jo heller ikke fat i den ølflaske, som indbrudstyvene har rørt ved og drukket af. Kontakt derfor hellere politiet - de er til for os og ikke omvendt.