Artikel top billede

Forsvaret efter årelang blotlæggelse for russerne: Vi har generelt en god it-sikkerhedskultur

En intern mail-tjeneste hos Forsvaret har i både 2015 og 2016 været kompromitteret af russiske hackere. Alligevel mener Forsvarets Efterretningstjeneste ikke, at der er problemer med sikkerheden. Men vil ikke stille op til interview om problemet.

Det er ikke et tegn på dårlig sikkerhedskultur i Forsvaret, når medarbejderne kommunikerer internt på en usikker web-mail, der kan hackes med et godt gammeldags phishing-angreb.

I hvert fald ikke, hvis man spørger Center for Cybersikkerhed, CFCS.

Efterretningstjenesten har blankt afvist at stille op til interview om det omfattende hackerangreb på det danske forsvar, men i et skriftligt svar giver CFCS udtryk for, at man ikke ser den store grund til selvransagelse.

"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig," skriver CFCS til Computerworld.

FE modsiger sig selv

Udmeldingen om det grundige arbejde med at udvikle sikkerheden i Forsvaret skal dog tages med et gran salt, hvis man skal tro Center for Cybersikkerheds egen rapport om angrebet.

Her står det sort på hvidt, at sikkerheden ikke er fulgt med med udviklingen af cybertruslerne mod danske myndigheder.

"Selvom trusselsbilledet løbende har ændret sig, har der ikke været iværksat nye sikkerhedsforanstaltninger for at imødegå disse ændringer. Én konsekvens af det er, at konti, der burde have været spærret eller underlagt tvungen passwords-skifte, stod åbne for aktøren efter loginoplysningerne blev franarret," hedder det i rapporten.

Ingen sikkerhedsforanstaltninger på forsvarets mail

Den hackede mail-tjeneste, mil.dk, bruges til såkaldt "ikke-klassificeret" information.

Men ifølge Center for Cybersikkerhed udgør angrebet alligevel en trussel mod Danmark, da de kompromitterede oplysninger kan bruges til at afpresse og/eller hverve medarbejdere hos Forsvaret.

Læs også: Sikkerhedsekspert kritiserer Forsvarets it-sikkerhed: "Der er bedre sikkerhed på mange Gmail-konti"

Det har fået flere sikkerhedseksperter til at kritisere, at brugerne af forsvarets mail-tjeneste ikke er blevet henstillet til at bruge helt basale sikkerhedsforanstaltninger som to-faktor-genkendelse.

I rapporten påpeger Center for Cybersikkerhed også manglende to-faktor som et problem, men direkte adspurgt om man oplyser de ansatte i Forsvaret tilstrækkeligt om basal it-sikkerhed, vender efterretningstjenesten igen rundt på en tallerken.

"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation," hedder det i et skriftligt svar, som Computerworld har fået, efter at Forsvaret først skulle bruge et døgns tid på at undersøge, hvem der havde kompetencer til at sige noget meningsfuldt om sikkerheden på mil.dk.

Ifølge Center for Cybersikkerhed har Forsvaret iværksat en række tiltag for at sikre mil.dk og resten af forsvaret mod lignende hackerangreb i fremtiden, men CFCS afviser at uddybe, hvad disse tiltag går ud på.

For gennemsigtighedens skyld bringer vi nedenfor alle Center for Cybersikkerheds svar på Computerworlds spørgsmål:

Hvad siger det succesfulde phishing-angreb mod Forsvaret om sikkerhedsniveauet i Forsvaret?

"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig."

Vurderer Forsvaret, at en webmail uden to-faktor-godkendelse er en tilstrækkeligt sikker kommunikationsplatform for de ansatte i Forsvaret?

"Webmail-løsningen til mil.dk anvendes til kommunikation af ikke-klassifceret kommunikation. Analyser af gennemførte cyberangreb mod danske myndigheder gennem de seneste år viser, at gældende vurderinger af krav til sikkerhedsmæssige tiltag skal revurderes jævnligt med udgangspunkt i aktuelle trusselsvurderinger."

Gør forsvaret nok for at uddanne sine ansatte i it-trusler og sikker brug af email i embeds medfør?

"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation."

Giver hackerangrebet Forsvaret anledning til at revidere den eksisterende sikkerhed omkring intern kommunikation i Forsvaret?

"Der arbejdes løbende med at holde den eksisterende sikkerhed i Forsvaret ajour, når det gælder styring af informations- og cybersikkerhed, herunder holde personellet ajour mht. opmærksomhed over for angreb."

Hvis ja, hvilke konkrete tiltag vil forsvaret gennemføre for at forhindre lignende succesfulde angreb i fremtiden?

"Forsvaret har allerede iværksat en række sikkerhedsmæssige tiltag af forskellig karakter, som skal medvirke til at forebygge fremtidige angreb. Forsvaret har endvidere iværksat sikkerhedsmæssige tiltag for at kunne håndtere angreb mere effektivt i fremtiden. Af operative og sikkerhedsmæssige hensyn kan konkrete sikkerhedsmæssige tiltag ikke beskrives."
 


Læs også: Hackerangreb mod Forsvaret: Her er tre ting, vi ved om angrebet - og alle de ubesvarede spørgsmål




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Targit A/S
Udvikling og salg af software til business intelligence.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2021

En moderne digital vindervirksomhed bringer nye teknologier i spil, skaber digital innovation, udnytter data som styringsværktøj og ser verden som én stor markedsplads. Men succes kræver, at du ved, hvor den dyre teknologi kan gøre den største forskel i forretningen. Den kræver, at du ved i hvilken retning den øgede politiske regulering af teknologi og data bevæger sig hen. Og den succes kræver, at du kan udnytte teknologien til at automatisere og skalere til gavn for bundlinjen og budgettet.

26. oktober 2021 | Læs mere


CIO Trends 2021: Sådan ser teknologiradaren ud hos Danmarks bedste CIOs

Teknologien i virksomheder spiller i den grad en større og større rolle, hvor vi er nødt til at stille endnu større krav til, hvordan vi udnytter den, og hvilke muligheder den giver. Spørgsmålet er dog, hvordan man formår at lede en virksomhed, der konstant skal forholde sig til teknologiens forandringer.

16. november 2021 | Læs mere


How to Sikkerhed: Awareness, email fraud og phishing

Man kan aldrig vide sig sikker, for uanset hvor godt man sikrer sig mod hackerangreb og anden svindel, vil hacker næsten altid være et skridt foran. De går efter organisationernes svageste led i håbet om at kunne snyde sig til data, penge eller andet værdifuldt. Få derfor konkrete bud på, hvordan du kan gribe opgaven an og understøtte et effektivt awareness-niveau i din organisation med enkel, men velfungerende, teknologi.

17. november 2021 | Læs mere