Verizon kommer snart med sin årlige "Data Breach Investigations Report", der giver et billede af den verdensomspændende cyberkriminalitet. Det sker ved at studere flere forskellige slags sikkerhedsbrud og ved at analysere data fra et større antal globale sikkerheds-organisationer.
ComON har talt med sikkerhedsekspert Ernie Hayden fra Verizons RISK-team, der står bag rapporten. Hans fokusområde er sikkerhed i kritisk infrastruktur - altså industrianlæg, forsynings-selskaber og andet, som holder samfundet i gang.
Stuxnet var den første internet-orm, som for alvor viste at industrianlæg kan være sårbare overfor angreb, og konsekvenserne kan være dramatiske, hvis hackere kan få adgang til systemer, der styrer vand, varme og elforsyning.
Det kan i værste fald lamme et helt land - og derfor falder denne type angreb da også typisk ind under kategorien "cyberkrig".
Script-kiddies og cyberkriminelle
Ernie Hayden fortæller, at man skal skelne mellem fire forskellige typer angribere, der har meget forskellige motiver.
"Du har de typiske script kiddies. Et godt eksempel er den 12-årige dreng fra Polen, der fik afsporet en sporvogn. Så har du insideren, som måske er en utilfreds medarbejder med tanker om hævn. Der er også de mere klassiske cyberkriminelle, der hacker med et økonomisk motiv. Den sidste kategori er så nationalstater med ubegrænsede ressourcer," forklarer Ernie Hayden.
Han fortæller, at man ikke har beviser for konkrete angreb mod kritisk infrastruktur i vestlige lande, men det betyder ikke, at truslen skal undervurderes. Det er ikke "kun et Hollywood-scenarie," som han udtrykker det.
En rapport fra Energistyrelsen viste da også sidste år, at truslen mod kritisk dansk infrastruktur er helt konkret. Her bliver sikkerhedsudfordringen beskrevet som enorm.
En risikovurdering fra Forsvarets Efterretningstjeneste bekræfter, at cyberkrig er den største trussel mod landets sikkerhed. Der er større risiko for, at hackere slukker for vand, varme og el, end at kampvogne ruller ind over grænsen.
Spreder sig som ringe i vandet
To danske organisationer har da også bidraget til Verizons rapport om databrud. Det er den Nationale IT-efterforskningsenhed under Rigspolitiet og Center for Cybersikkerhed under Forsvarsministeriet.
Men er det overhovedet realistisk, at et lille land som Danmark kan komme under angreb? Ernie Hayden peger på, at alting er forbundet i dag. Det kan sagtens tænkes, at nogen vil angribe Danmark for at skade EU eller USA.
"Et af eksemplerne vi har kigget på er, at du kan stoppe trafikken på Øresundsbroen og dermed ramme handlen til EU. En anden mulighed er et cyberangreb mod Københavns Lufthavn, som har forbindelser til hele verden. Det spreder sig hurtigt som ringe i vandet, så Danmark er absolut vigtig i et globalt perspektiv," siger han.
Mangler et universelt sprog
Rapporten om databrud udkommer til foråret og beskæftiger sig blandt andet med distribuerede denial of service-angreb, indbrud i netværk, misbrug af insider-viden samt angreb mod energi-sektoren og vitale områder af infrastrukturen.
Verizon har udviklet sit eget framework, der bruger til rapportering af brud på it-sikkerheden. Det skal sørge for et fælles sprog og en struktureret proces, så organisationerne kan klassificere alle sikkerheds-hændelser objektivt.
"Det er helt afgørende at kunne tale samme sprog. I øjeblikket er der ikke et universelt sprog, der beskriver brud på it-sikkerhed, eller en accepteret industri-standard, når det gælder udviklingen af nye risiko-målinger," siger Wade Baker, der er hovedforfatter på rapporten. Den udkommer for sjette gang i år.
