Artikel top billede

Forsvaret efter årelang blotlæggelse for russerne: Vi har generelt en god it-sikkerhedskultur

En intern mail-tjeneste hos Forsvaret har i både 2015 og 2016 været kompromitteret af russiske hackere. Alligevel mener Forsvarets Efterretningstjeneste ikke, at der er problemer med sikkerheden. Men vil ikke stille op til interview om problemet.

Det er ikke et tegn på dårlig sikkerhedskultur i Forsvaret, når medarbejderne kommunikerer internt på en usikker web-mail, der kan hackes med et godt gammeldags phishing-angreb.

I hvert fald ikke, hvis man spørger Center for Cybersikkerhed, CFCS.

Efterretningstjenesten har blankt afvist at stille op til interview om det omfattende hackerangreb på det danske forsvar, men i et skriftligt svar giver CFCS udtryk for, at man ikke ser den store grund til selvransagelse.

"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig," skriver CFCS til Computerworld.

FE modsiger sig selv

Udmeldingen om det grundige arbejde med at udvikle sikkerheden i Forsvaret skal dog tages med et gran salt, hvis man skal tro Center for Cybersikkerheds egen rapport om angrebet.

Her står det sort på hvidt, at sikkerheden ikke er fulgt med med udviklingen af cybertruslerne mod danske myndigheder.

"Selvom trusselsbilledet løbende har ændret sig, har der ikke været iværksat nye sikkerhedsforanstaltninger for at imødegå disse ændringer. Én konsekvens af det er, at konti, der burde have været spærret eller underlagt tvungen passwords-skifte, stod åbne for aktøren efter loginoplysningerne blev franarret," hedder det i rapporten.

Ingen sikkerhedsforanstaltninger på forsvarets mail

Den hackede mail-tjeneste, mil.dk, bruges til såkaldt "ikke-klassificeret" information.

Men ifølge Center for Cybersikkerhed udgør angrebet alligevel en trussel mod Danmark, da de kompromitterede oplysninger kan bruges til at afpresse og/eller hverve medarbejdere hos Forsvaret.

Læs også: Sikkerhedsekspert kritiserer Forsvarets it-sikkerhed: "Der er bedre sikkerhed på mange Gmail-konti"

Det har fået flere sikkerhedseksperter til at kritisere, at brugerne af forsvarets mail-tjeneste ikke er blevet henstillet til at bruge helt basale sikkerhedsforanstaltninger som to-faktor-genkendelse.

I rapporten påpeger Center for Cybersikkerhed også manglende to-faktor som et problem, men direkte adspurgt om man oplyser de ansatte i Forsvaret tilstrækkeligt om basal it-sikkerhed, vender efterretningstjenesten igen rundt på en tallerken.

"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation," hedder det i et skriftligt svar, som Computerworld har fået, efter at Forsvaret først skulle bruge et døgns tid på at undersøge, hvem der havde kompetencer til at sige noget meningsfuldt om sikkerheden på mil.dk.

Ifølge Center for Cybersikkerhed har Forsvaret iværksat en række tiltag for at sikre mil.dk og resten af forsvaret mod lignende hackerangreb i fremtiden, men CFCS afviser at uddybe, hvad disse tiltag går ud på.

For gennemsigtighedens skyld bringer vi nedenfor alle Center for Cybersikkerheds svar på Computerworlds spørgsmål:

Hvad siger det succesfulde phishing-angreb mod Forsvaret om sikkerhedsniveauet i Forsvaret?

"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig."

Vurderer Forsvaret, at en webmail uden to-faktor-godkendelse er en tilstrækkeligt sikker kommunikationsplatform for de ansatte i Forsvaret?

"Webmail-løsningen til mil.dk anvendes til kommunikation af ikke-klassifceret kommunikation. Analyser af gennemførte cyberangreb mod danske myndigheder gennem de seneste år viser, at gældende vurderinger af krav til sikkerhedsmæssige tiltag skal revurderes jævnligt med udgangspunkt i aktuelle trusselsvurderinger."

Gør forsvaret nok for at uddanne sine ansatte i it-trusler og sikker brug af email i embeds medfør?

"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation."

Giver hackerangrebet Forsvaret anledning til at revidere den eksisterende sikkerhed omkring intern kommunikation i Forsvaret?

"Der arbejdes løbende med at holde den eksisterende sikkerhed i Forsvaret ajour, når det gælder styring af informations- og cybersikkerhed, herunder holde personellet ajour mht. opmærksomhed over for angreb."

Hvis ja, hvilke konkrete tiltag vil forsvaret gennemføre for at forhindre lignende succesfulde angreb i fremtiden?

"Forsvaret har allerede iværksat en række sikkerhedsmæssige tiltag af forskellig karakter, som skal medvirke til at forebygge fremtidige angreb. Forsvaret har endvidere iværksat sikkerhedsmæssige tiltag for at kunne håndtere angreb mere effektivt i fremtiden. Af operative og sikkerhedsmæssige hensyn kan konkrete sikkerhedsmæssige tiltag ikke beskrives."
 


Læs også: Hackerangreb mod Forsvaret: Her er tre ting, vi ved om angrebet - og alle de ubesvarede spørgsmål




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Also A/S
Salg af serviceydelser inden for logistik, finansiering, fragt og levering, helhedsløsninger, digitale tjenester og individuelle it-løsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Produktion 2.0: Drift og sikkerhed når der går IT i OT

Moderne produkter skal have mere end strøm for at fungere – og deres navlestreng skal ikke klippes når de forlader fabrikshallen. På denne konference kan du derfor lære mere om hvordan du får etableret det sikre setup når der går IT i OT.

23. februar 2023 | Læs mere


MS Power Platform

Bliv inspireret til, hvordan du kan gribe mulighederne via Microsofts Power Platform og Power Apps gennem oplæg om og demonstrationer af, hvordan danske virksomheder anvender mulighederne. Eksempelvis ved at visualisere og dele data med Power BI, tilpasse, digitalisere workflows med Power Apps samt automatisere workflows mellem services med Power Automate.

28. februar 2023 | Læs mere


Customer Experience - sådan får du glade og loyale kunder

En dyb og relevant indsigt i dine kunders behov, ageren og navigeren er med til at skabe den bedste kundeoplevelse. Det kræver mange data, og det er afgørende at virksomhederne har det rette setup og viden om dataindsamling og dataanalyse. Deltag på dette semirnår og bliv klogere på de store aktuelle muligheder som data, software og ny innovation skaber inden for customer experience.

01. marts 2023 | Læs mere