Artikel top billede

Warning! Vi lukker din mail nu - hvis ikke du klikker her

Klumme: En advarsel dukkede op i min mailboks i weekenden fra Computerworlds it-afdeling: Vi har opdaget ubudne gæster i din mailboks, og vi bliver nødt til at lukke din konto, hvis ikke du bekræfter din identitet. Klikkede jeg mon på den?

Klumme: Computerworlds it-afdeling er sådan set ganske dygtig til at kommunikere og varsle ændringer.

Derfor kom det også som en overraskelse, da Eders Underdanige i weekenden pludselig modtog en mail fra afdelingen, hvoraf det fremgik, at der var alvorlige sikkerheds-problemer med Computerworlds mail-system.

Det fremgik af den tilsendte advarselsmail, at det så ud til, at der havde været fremmede på besøg i min mail-boks, og at min mail af sikkerhedshensyn derfor var blevet spærret.

Den type beskeder modtager man jævnligt fra eksempelvis Twitter, der er kendt for notorisk ringe it-sikkerhed.

Så meget muligt. I advarselsmailen bad Computerworlds it-afdeling derfor om, at jeg inden for 24 timer efter modtagelsen klikkede på et link i mailen for på denne måde at bekræfte min identitet.

Skete det ikke inden for de 24 timer, ville min mailkonto blive suspenderet, fremgik det i en truende tone.

Hvilket jo på en måde er en fair nok, hvis nu virksomhedens data er truet og fremmede mennesker snuser rundt og måske endda ødelægger ting.

Her ser du mailen (artiklen fortsætter under billedet)

Selv om hele advarslen således på den måde virkede troværdig og plausibel, klikkede jeg selvfølgelig ikke på linket.

Mailen var på engelsk, og det er et sprog, som Computerworlds it-afdeling kun meget sjældent anvender til kommunikation.

Desuden ved jeg, at Computerworld ville have håndteret processen anderledes, hvis der vitterligt havde været banditter på besøg i min mailboks.

Således har vi styr på nogle af de mest basale sikkerheds-procedurer, som alle medarbejdere i alle virksomheder i dag bør have styr på.

Det fremgik da også tydeligt, at linket i den tilsendte advarselsmail ‘Click here to verify' førte til sitet termite.com.ph, som er registreret hos Google og andre steder som et kendt phishing-site.

Du kan se Googles advarsel her (artiklen fortsætter under billedet)

Alle er idioter

Den på overfladen velmente fupmail ankom i min mailboks nogenlunde samtidig med, at det blev afsløret, at medarbejdere i det danske Forsvar - altså forskellige former for militært personel - var gået direkte i en phishing-fælde, der måske ikke var helt magen til den, der forsøgte at phishe mig, men så i hvert fald var af samme natur.

Det kan du læs mere om her: Sikkerhedsekspert kritiserer Forsvarets it-sikkerhed: "Der er bedre sikkerhed på mange Gmail-konti"

I Forsvarets tilfælde skete den succesfulde phishing via en standard webmail-løsning - mil.dk - uden videre sikkerhedsforanstaltninger.

Det er lige den slags, som phisherne sigter efter. Her står kun brugerne mellem dem og gevinst.

Computerworld talte fornylig med en it-sikkerhedschef i et stort dansk selskab, der - uden for citat - fortalte, at hans udgangspunkt i alle it-sikkerhedsmæssige sammenhænge af praktiske årsager altid var, at alle brugere var idioter.

Han ville ikke citeres for dette, da han vurderede, at forskellige af de ellers dygtige og kompetente medarbejdere i koncernen, han arbejdede for, måske ville tage budskabet ilde op, og derfor holder vi hans navn hemmelig.

Hans budskab var imidlertid validt nok, og det er givet en indfaldsvinkel, som mange it-sikkerhedsansvarlige kan nikke genkendende til.

Man kan som it-sikkerhedsansvarlig ikke regne med, at de kan tænke sig om. Man kan ikke regne med, at de forstår selv de mest basale principper. Man kan ikke regne med, at de klikker løs på links, som den garvede it-mands straks kan afsløre som fup og svindel, sagde han.

Vi ved alle, at it-sikkerhed et område præget af stærkt stigende kompleksitet: Organisationernes drift, indtjening og konkurrenceevne bliver mere og mere afhængig af data og it, it-systemerne bliver mere og mere indbyrdes afhængige, mens brugernes adfærd bliver mere og mere fragmenteret og ud spredt ud på mange forskellige devices.

Samtidig bliver hacker-miljøerne mere og mere professionaliserede og kommercielt orienterede - især i Rusland, mens kineserne forsøger at følge med, selv om de (endnu) ikke er særligt gode til det.

Teknologisk fokus - men vi mangler det sidste

De fleste har i en vis udstrækning teknologisk fokus på området, hvor de tilgængelige it-sikkerhedsløsninger bliver mere og mere intelligente og dygtige til at aflure uregelmæssigheder uden at det går ud over brugervenligheden i organisationernes komplekse it-hverdag, hvor vi jo har brug for, at data, kommunikation og alt andet flyder hurtigt og nemt.

De seneste anbefalinger tæller anvendelse sandbox- og filtrerings-løsninger, opstramninger af administrator-rettigheder (overfor både it-folk og 'almindelige' medarbejdere), at holde alle systemer opdaterede til hver en tid, at 'gøre noget' ved Java og altid sørge for at have backup - i flere generationer (fordi ransomware-kode ofte kan gemme sig i systemerne i mange måneder, inden den aktiveres og dermed også kan ligge på seneste backup).

Samt at tage opgaven med at opdrage brugerne til at tænke sig om alvorligt. For det gør de ikke af sig selv.

Forsvarets seneste fadæse underbygger ret klart, at man måske med god grund bør regne brugerne over en kam som en form for idioter, når man sætter barren for it-sikkerhedsindsatsen i organisationen.

Det gør, at etableringen af såkaldt ‘awareness-kampagner' - altså uddannelse af alle brugere og medarbejdere - bør have højeste prioritet i alle organisationer, og det har åbnet for en helt ny disciplin på it-sikkerhedsområdet, der ellers i årevis har været præget af tung teknologi og it-systemer.

I dag handler det i langt højere grad om menneskelige kundskaber, som kan være noget mere uforudsigelige at arbejde med.

Du kan læse et sjovt eksempler på en awareness-kampagne her: "De små vers om informations-sikkerhed blev printet på A3-papir og hængt op rundt omkring på toiletterne i virksomheden"

Der skal kun et enkelt klik fra en enkelt medarbejder til, før fanden er løs i store dele af organisationen. Det kan give konkrete skader i systemerne, data kan blive stjålet og ødelagt, og det kan også give ridser i omdømmet.

Det er i min bog et åbent spørgsmål, hvad der er mest alvorligt på sigt.

Læs også:

Hvad laver en 'head of information security incident management operations' egentlig? Vi har spurgt Nordeas nye 'HISIMO'

It-sikkerhedsråd: Indfør skrappe krav og mærkningsordning for it-sikkerhed

Sikkerhedsfolk: Sådan vil ransomware-plagen udvikle sig (det bliver meget værre)

Hackere har fundet dansk guldgrube: Har suget 180 millioner kroner ud af danske virksomheder på seks måneder med simpelt kneb




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ed A/S
Salg af hard- og software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

23. april 2024 | Læs mere


AI Business Excellence Day – sådan folder du mulighederne ud

Mange danske virksomheder har eksperimenteret med AI-projekter af begrænset omfang, men kun de færreste har for alvor udforsket mulighederne i storskala. Det gør vi her! Du vil blandt andet få mulighed for at se eksempler på, hvordan AI kan anvendes som accelerator i storskala og skubber til grænserne for, hvordan det er muligt at integrere teknologien, så potentialet for alvor foldes ud.

24. april 2024 | Læs mere


Unbreakable - sådan sikrer du dig vedvarende og uafbrudt adgang til dine data

Vi dykker ned i værdien af en stabil og pålidelig storage-platform og hvilke muligheder der findes, for at sikre den højeste grad af redundans og tilgængelighed. Områder som date-beskyttelse og cyber-sikkerhed vil også blive berørt.

25. april 2024 | Læs mere