Stort galleri:Tag med til kåringen af Årets CIO 2021 - og se hvordan Morten Holm Christiansen blev udnævnt

Artikel top billede

Sony på slagtebænken: Her er læren af det katastrofale hackerangreb

ComputerViews: Sony slikker de blødende sår efter et af årets værste hackerangreb. Men vi skal ikke udelukkende have ondt af Sony, for selskabet har begået fejl - og dem kan vi andre lære af.

ComputerViews: Havde hackerangrebet mod Sony Pictures Entertainment den 24. november været manuskriptet til en Hollywood-film, ville Oscar-statuetten være halvt hjemme allerede nu.

For Sonys affære med hackerne indeholder al den dramatik og action, der skal til for at skræmme publikum fra første scene.

Så sæt dig godt til rette i kontorstolen, kære it-ansvarlige, for her kommer hovedingredienserne til en ny helaftensfilm:

"Sony på slagtebænken."

Akt for akt: Sådan ramte hackerne Sony
- Hackergruppen Guardian of Peace, der muligvis er fra Nordkorea, slår til mod det amerikanske Sony Pictures Entertainment med udspekuleret og effektiv malware.

- Et kranie toner frem på selskabets computere, malwaren sletter data på maskiner, Sony tvinges til at kappe forbindelsen til netværket.

- Hackerne når at stjæle 100 terabyte fortrolige data: Film, adgangskoder, emails og økonomiske oplysninger og lønsedler er en del af rovet. Sonys film offentliggøres på piratsider, hvorfra de nu downloades i ét væk.

- Hackerne truer Sony med at offentliggøre de stjålne data, og der sendes beskeder direkte til Sony-medarbejdere, hvor de og deres familier trues. Hackerne fortæller samtidig, at de slet ikke er færdige med at angribe Sony.

"At fjerne Sony Pictures fra planeten er et meget lille stykke arbejde for vores gruppe, der er en verdensomspændende organisation. Og det, vi har gjort indtil nu, er kun en lille del af vores videre plan."

- FBI går ind i sagen, fordi den har forbindelse til Nordkorea, og fordi man frygter, at andre amerikanske virksomheder kan blive ramt af malwaren.

- Det vurderes, at angrebet i første omgang vil koste Sony 600 millioner kroner.

- I et desperat modsvar lancerer Sony selv et denial of service-angreb på piratsiderne. Selskabets advokater truer samtidig med sagsanlæg mod nyhedsmedier, der offentliggør de stjålne informationer fra selskabet.

- Det afsløres, at Sony allerede i sommers blev advaret om sårbarheder af PricewaterhouseCoopers. Konkret fik selskabet besked om, at mindst 100 enheder på virksomhedens netværk ikke blev monitoreret af selskabets sikkerhedssystemer.

Agent 007 møder sin overmand

Med oplysninger som disse (og det skal for en god orden skyld siges, at Sony ikke har be- eller afkræftet de mange historier) er der lagt op til en hacker-skandale, hvor det sidste kapitel slet ikke er skrevet endnu.

Så sent som i denne weekend er det kommet frem, at man nu frygter, at en tidlig version af manuskriptet til den næste James Bond-film, Spectre, vil blive lækket til offentligheden efter Sony-angrebet.

Sådan en trussel kan selv agent 007 ikke stille meget op imod.

Sony Pictures Entertainment, der er en amerikansk afdeling af den japanske elektronik-gigant, havde i det seneste årsregnskab en omsætning på 48 milliarder kroner, så det er ikke en lille dreng med spaghettiarme, der har fået buksevand på internettet.

Men det er det, der er sket: Sony er blevet klædt af til skindet. Og at der er slet ikke udsigt til, at selskabet kan få varmen igen endnu.

Man kan indvende, at en anslået udgift på 600 millioner kroner er til at leve med for et selskabe af denne kaliber. Men selvom Sony nok skal overleve i økonomisk forstand, er situation ganske alvorlig for selskabet.

For det er langt fra første gang, at Sony bliver ramt af et hackerangreb. Med det tyvegods, hackerne slap afsted med i denne omgang, bliver det heller ikke sidste gang, at de slår til mod selskabet.

Det kan vi lære af angrebet mod Sony

For alle os andre står tre ting tilbage efter angrebet mod Sony:

1) Sløser man med sikkerheden, slår hackerne stensikkert til.

Sony-koncernens it-infrastruktur fremstår mere og mere som et slaraffenland for it-kriminelle. I 2011 fik hackerne eksempelvis adgang til 77 millioner brugerkonti fra Playstation-netværket, og det er blot et af en række angreb mod selskabet. 

Sony har altså et problem. Både fordi infrastrukturen tilsyneladende ikke er beskyttet godt nok, men også fordi det naturligvis rygtes blandt de kriminelle, at Sony er et godt sted at slå til.

Selv hvis man forsøger at bygge rigtig solide mure op omkring virksomhedens digitale aktiver og gennemgår alle processer og godkendelsesprocedurer med en tættekam, er der ingen garantier. Det gælderr for så vidt alle virksomheder. 

Men garantier er der slet ikke noget, der hedder, hvis man er et kendt brand som Sony. Derfor er det ekstremt farligt at sløse med sikkerheden.

2) Dit vigtigste våben: Katastrofeplanen.
Det var Sony selv, der kort efter angrebet valgte at lukke ned for firmaets netværk. Men det skete for sent.

Og da medarbejderne blev truet af hackerne, FBI blev involveret, og film lå på piratsiderne, var det hele tiden som om, at Sony var på bagkant med udviklingen.

Nu ser vi så Sony i en stribe desperate forsøg på at minimere skaderne - fra denial of service-angreb til advokat-breve. Men det er at dryp-tisse på verdens største brand.

En grundig og opdateret katastrofeplan havde ikke hindret angrebet mod Sony. Men den kunne have minimeret skaderne, og uanset hvad havde det fået Sony til at fremstå som en virksomhed, der - efter omstændighederne - var i kontrol med situationen.

Lige nu er det det modsatte, der er tilfældet. 

3) Man skal lære af sine sårbarheder - og tage fat hvor det gør ondt.

Ingen af os ved, hvad der foregår internt hos Sony Pictures i disse dage, men man må håbe, at nogen taler klart og tydeligt og med så store bogstaver, at ingen kan være i tvivl om, at der skal ske ændringer.

Kampen mod hackerne er et spil, hvor der nødvendigvis er en vinder og en taber: Sony har (igen) tabt. Det bør have konsekvenser.

Det indebærer en øget sikkerhedsindsats og måske også fyringer, som vi eksempelvis så det, da den amerikanske butikskæde Target blev ramt af et stort angreb - her fik både CIO'en og CEO'en efterfølgende sparket.

Patienten Sony er syg, og den rette sikkerheds-medicin kender kun selskabet selv. At der skal ske noget, kan der dog ikke herske tvivl om. Man skal lære af sine sårbarheder, så man ikke bliver et tagselvbord for de it-kriminelle.

Mens vi venter på det næste angreb

Sony Pictures Entertainment har selv betegnet angrebet som "uden fortilfælde" og "en forbrydelse uden sidestykke," og selskabet mener, at det er udført af "en organiseret gruppe."

Selskabet er med andre ord klar over, at det her er ganske alvorligt. Derfor kræver det et seriøst modsvar fra
Sony.

Det kan kun gå for langsomt, for det eneste, der er helt sikkert her tre uger efter det katastrofale angreb, er, at hackere lige nu planlægger det næste store angreb mod selskabet. 

To be continued.

Læs også:

Først smadrede hackerne Sony - men nu går Sony i modangreb

Nu rammer regningen Sony: Gigantisk hackerangreb bliver en dyr omgang

Mystikken breder sig efter Sony-hack: Nu trues medarbejderne

Giga-hack mod Sony griber om sig: Sletter alle data hos ofrene

Giga-hack mod Sony: Ny storfilm allerede piratkopieret 500.000 gange

Hackere afpresser Sony med afsløring af tophemmelig viden



Premium
Kæmpe it-problemer i det danske skattevæsen: Har kun kortlagt it-beredskabet for syv ud af 230 it-systemer
Statsrevisorerne skyder en sønderlæmmende kritik af Skatteministeriets it-beredskab af sted. It-beredskabet for kritiske forretningsprocesser "er utilfredsstillende og utilstrækkeligt," lyder det. I værste fald kan det ende med, at staten ikke kan opkræve skatter og afgifter, udbetale løn, SU, sociale ydelser og pension.
CIO
“Der har simpelthen været for få gråhårede medarbejdere involveret i den her udviklingsproces. Folk der ved, hvad der skal til”
"Vi havde ansat nogle unge mennesker i sandaler og med langt skæg for at bryde med det traditionelle it-setup. De her vakse unge mennesker fik også ret hurtigt bygget en supersmart applikation til virksomheden. Men den brager ned, da vi ruller den ud, og den fylder cirka 1,5 procent af alle transaktioner."
Job & Karriere
35-årig kvinde gik amok på hjemmekontoret efter fyring: ”De fjernede ikke min adgang, så jeg slettede p-drevet lol”
En 35-årig kvinde står anklaget for at have slettet 21,3 gigabyte data fra fællesdrevet efter, at hun blev fyret. Nu risikerer hun op til 10 års fængsel.
White paper
Så stor er risikoen i virkeligheden for ransomware
Traditionel risk management undervurderer reelt risikoen for ransomware med op til 30%, men nye metoder kan give den fornødne indsigt.