Vi har været ramt af ransomware.
Nej, ikke DKCERT. Men DeIC (Danish e-Infrastructure Cooperation), som vi hører ind under.
En medarbejder kom til at klikke på en vedhæftet fil, og hans dokumenter blev krypteret. Andre data blev ikke berørt.
Vi løste det ved at indlæse backuppen. Dermed mistede medarbejderen kun en halv dags arbejde.
Når jeg nu fortæller om vores ransomwareangreb, skyldes det, at jeg gerne vil slå et slag for åbenhed.
Vi i informationssikkerhedsbranchen skal blive bedre til at dele oplysninger om de angreb, vi bliver udsat for.
Inspirationen til denne klumme kommer fra Tom Engly, der er sikkerhedschef i Tryg.
Han fortalte for nylig i Børsen om, hvordan forsikringsselskabet var blevet ramt af ransomware.
I artiklen opfordrede han til større åbenhed og samarbejde om informationssikkerhed.
Jeg er helt enig. Samarbejde er nødvendigt.
Kommunikation er en forudsætning for samarbejde. Og kommunikation kræver åbenhed.
Uheldig tradition
Vi har en uheldig tradition for lukkethed, når det gælder sikkerhedshændelser.
De fleste virksomheder eller organisationer vil nødig fortælle, at de er blevet ramt af virus eller et hackerangreb.
Men er det pinligt at blive ramt af ransomware?
Nej. Det kan ske for enhver organisation.
Årsagen kan være medarbejdere, der er lidt for hurtige, eller sårbarheder, der ikke er blevet fjernet med en softwareopdatering.
Jeg tror, der er mange angreb med ransomware i Danmark. Men jeg ved det ikke.
Det er der heller ingen andre, der ved.
Der mangler simpelthen statistikker over, hvor mange pc'er der bliver inficeret med ransomware.
Et vigtigt element i informationssikkerhed er risikovurdering. Risiko er defineret som kombinationen af en sårbarhed og en trussel ganget med sandsynligheden for, at den bliver udnyttet.
For at anslå risikoen skal man altså kende sandsynligheden. Men det gør vi ikke, når ingen fortæller om de angreb, de bliver ramt af.
Derfor holder vi tæt
Traditionen for lukkethed er naturligvis ikke opstået ud af ingenting. Der er gode argumenter for at holde kortene tæt til kroppen.
Et argument kan være, at man ikke vil tiltrække sig uønsket opmærksomhed. Hvis angriberne ved, at man en gang har været ramt, kan de opfatte en som et let mål og dermed sætte flere angreb ind.
Den bekymring er reel, når vi taler målrettede angreb som fx industrispionage.
Men langt det meste malware og ransomware er ikke målrettet. Bagmændene skyder med spredehagl i håbet om at ramme et eller andet.
Derfor er jeg ikke bange for, at vi bliver udsat for øgede mængder ransomware ved at fortælle om et enkelt angreb - der i øvrigt ikke gav bagmændene nogen gevinst.
Forordning ændrer reglerne
En anden årsag til lukkethed kan være frygten for virksomhedens renommé.
Tør kunderne handle med en virksomhed, der er blevet offer for et angreb?
Også her en relevant bekymring. Men i langt de fleste tilfælde har angreb med ransomware eller anden malware ingen konsekvenser for kunderne.
Deres personlige data, herunder oplysninger om betalingskort, bliver kun sjældent berørt.
Og bliver personlige data ramt, er der slet ingen mulighed for at undgå åbenhed: Så skal man indberette det til Datatilsynet og informere alle berørte kunder.
Det er konsekvensen af EU's persondataforordning, som træder i kraft om et par år.
Forordningen gør det muligt at straffe virksomheder med bøder, hvis de ikke overholder reglerne. Og de ramte personer kan søge erstatning.
Kender du til angreb?
Jeg håber, at persondataforordningen kan være med til at ændre kulturen, så vi bliver mere åbne om at dele vores sikkerhedshændelser.
Men det kræver, at vi kender til dem.
Åbenhed udadtil er kun mulig, hvis vi har den indadtil.
Har du styr på, hvor mange medarbejdere, der bliver ramt af ransomware?
Jeg har indtryk af, at angreb efterhånden er så udbredte, at it-afdelingerne er blevet hurtige til at rense pc'erne og indlæse backup.
Effektivitet er godt. Men bliver angrebene registreret?
Hvis I selv savner det overblik, vil jeg anbefale, at I gør noget ved det. Se fx på, om jeres system til servicedesken kan bruges til at føre statistik.
Endelig ville det være nyttigt, hvis der var en fælles instans, der opsamlede data om angreb.
I DKCERT har vi desværre ikke ressourcerne til at tilbyde at stå for det. Men hvis nogen kan finde midlerne, vil vi med glæde påtage os opgaven.
DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC (Danish e-Infrastructure Cooperation).
Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.
