Klumme: Computerworlds it-afdeling er sådan set ganske dygtig til at kommunikere og varsle ændringer.
Derfor kom det også som en overraskelse, da Eders Underdanige i weekenden pludselig modtog en mail fra afdelingen, hvoraf det fremgik, at der var alvorlige sikkerheds-problemer med Computerworlds mail-system.
Det fremgik af den tilsendte advarselsmail, at det så ud til, at der havde været fremmede på besøg i min mail-boks, og at min mail af sikkerhedshensyn derfor var blevet spærret.
Den type beskeder modtager man jævnligt fra eksempelvis Twitter, der er kendt for notorisk ringe it-sikkerhed.
Så meget muligt. I advarselsmailen bad Computerworlds it-afdeling derfor om, at jeg inden for 24 timer efter modtagelsen klikkede på et link i mailen for på denne måde at bekræfte min identitet.
Skete det ikke inden for de 24 timer, ville min mailkonto blive suspenderet, fremgik det i en truende tone.
Hvilket jo på en måde er en fair nok, hvis nu virksomhedens data er truet og fremmede mennesker snuser rundt og måske endda ødelægger ting.
Her ser du mailen (artiklen fortsætter under billedet)
Selv om hele advarslen således på den måde virkede troværdig og plausibel, klikkede jeg selvfølgelig ikke på linket.
Mailen var på engelsk, og det er et sprog, som Computerworlds it-afdeling kun meget sjældent anvender til kommunikation.
Desuden ved jeg, at Computerworld ville have håndteret processen anderledes, hvis der vitterligt havde været banditter på besøg i min mailboks.
Således har vi styr på nogle af de mest basale sikkerheds-procedurer, som alle medarbejdere i alle virksomheder i dag bør have styr på.
Det fremgik da også tydeligt, at linket i den tilsendte advarselsmail ‘Click here to verify' førte til sitet termite.com.ph, som er registreret hos Google og andre steder som et kendt phishing-site.
Du kan se Googles advarsel her (artiklen fortsætter under billedet)
Alle er idioter
Den på overfladen velmente fupmail ankom i min mailboks nogenlunde samtidig med, at det blev afsløret, at medarbejdere i det danske Forsvar - altså forskellige former for militært personel - var gået direkte i en phishing-fælde, der måske ikke var helt magen til den, der forsøgte at phishe mig, men så i hvert fald var af samme natur.
Det kan du læs mere om her: Sikkerhedsekspert kritiserer Forsvarets it-sikkerhed: "Der er bedre sikkerhed på mange Gmail-konti"
I Forsvarets tilfælde skete den succesfulde phishing via en standard webmail-løsning - mil.dk - uden videre sikkerhedsforanstaltninger.
Det er lige den slags, som phisherne sigter efter. Her står kun brugerne mellem dem og gevinst.
Computerworld talte fornylig med en it-sikkerhedschef i et stort dansk selskab, der - uden for citat - fortalte, at hans udgangspunkt i alle it-sikkerhedsmæssige sammenhænge af praktiske årsager altid var, at alle brugere var idioter.
Han ville ikke citeres for dette, da han vurderede, at forskellige af de ellers dygtige og kompetente medarbejdere i koncernen, han arbejdede for, måske ville tage budskabet ilde op, og derfor holder vi hans navn hemmelig.
Hans budskab var imidlertid validt nok, og det er givet en indfaldsvinkel, som mange it-sikkerhedsansvarlige kan nikke genkendende til.
Man kan som it-sikkerhedsansvarlig ikke regne med, at de kan tænke sig om. Man kan ikke regne med, at de forstår selv de mest basale principper. Man kan ikke regne med, at de klikker løs på links, som den garvede it-mands straks kan afsløre som fup og svindel, sagde han.
Vi ved alle, at it-sikkerhed et område præget af stærkt stigende kompleksitet: Organisationernes drift, indtjening og konkurrenceevne bliver mere og mere afhængig af data og it, it-systemerne bliver mere og mere indbyrdes afhængige, mens brugernes adfærd bliver mere og mere fragmenteret og ud spredt ud på mange forskellige devices.
Samtidig bliver hacker-miljøerne mere og mere professionaliserede og kommercielt orienterede - især i Rusland, mens kineserne forsøger at følge med, selv om de (endnu) ikke er særligt gode til det.
Teknologisk fokus - men vi mangler det sidste
De fleste har i en vis udstrækning teknologisk fokus på området, hvor de tilgængelige it-sikkerhedsløsninger bliver mere og mere intelligente og dygtige til at aflure uregelmæssigheder uden at det går ud over brugervenligheden i organisationernes komplekse it-hverdag, hvor vi jo har brug for, at data, kommunikation og alt andet flyder hurtigt og nemt.
De seneste anbefalinger tæller anvendelse sandbox- og filtrerings-løsninger, opstramninger af administrator-rettigheder (overfor både it-folk og 'almindelige' medarbejdere), at holde alle systemer opdaterede til hver en tid, at 'gøre noget' ved Java og altid sørge for at have backup - i flere generationer (fordi ransomware-kode ofte kan gemme sig i systemerne i mange måneder, inden den aktiveres og dermed også kan ligge på seneste backup).
Samt at tage opgaven med at opdrage brugerne til at tænke sig om alvorligt. For det gør de ikke af sig selv.
Forsvarets seneste fadæse underbygger ret klart, at man måske med god grund bør regne brugerne over en kam som en form for idioter, når man sætter barren for it-sikkerhedsindsatsen i organisationen.
Det gør, at etableringen af såkaldt ‘awareness-kampagner' - altså uddannelse af alle brugere og medarbejdere - bør have højeste prioritet i alle organisationer, og det har åbnet for en helt ny disciplin på it-sikkerhedsområdet, der ellers i årevis har været præget af tung teknologi og it-systemer.
I dag handler det i langt højere grad om menneskelige kundskaber, som kan være noget mere uforudsigelige at arbejde med.
Du kan læse et sjovt eksempler på en awareness-kampagne her: "De små vers om informations-sikkerhed blev printet på A3-papir og hængt op rundt omkring på toiletterne i virksomheden"
Der skal kun et enkelt klik fra en enkelt medarbejder til, før fanden er løs i store dele af organisationen. Det kan give konkrete skader i systemerne, data kan blive stjålet og ødelagt, og det kan også give ridser i omdømmet.
Det er i min bog et åbent spørgsmål, hvad der er mest alvorligt på sigt.
Læs også:
It-sikkerhedsråd: Indfør skrappe krav og mærkningsordning for it-sikkerhed
Sikkerhedsfolk: Sådan vil ransomware-plagen udvikle sig (det bliver meget værre)
