Det er ikke et tegn på dårlig sikkerhedskultur i Forsvaret, når medarbejderne kommunikerer internt på en usikker web-mail, der kan hackes med et godt gammeldags phishing-angreb.
I hvert fald ikke, hvis man spørger Center for Cybersikkerhed, CFCS.
Efterretningstjenesten har blankt afvist at stille op til interview om det omfattende hackerangreb på det danske forsvar, men i et skriftligt svar giver CFCS udtryk for, at man ikke ser den store grund til selvransagelse.
"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig," skriver CFCS til Computerworld.
FE modsiger sig selv
Udmeldingen om det grundige arbejde med at udvikle sikkerheden i Forsvaret skal dog tages med et gran salt, hvis man skal tro Center for Cybersikkerheds egen rapport om angrebet.
Her står det sort på hvidt, at sikkerheden ikke er fulgt med med udviklingen af cybertruslerne mod danske myndigheder.
"Selvom trusselsbilledet løbende har ændret sig, har der ikke været iværksat nye sikkerhedsforanstaltninger for at imødegå disse ændringer. Én konsekvens af det er, at konti, der burde have været spærret eller underlagt tvungen passwords-skifte, stod åbne for aktøren efter loginoplysningerne blev franarret," hedder det i rapporten.
Ingen sikkerhedsforanstaltninger på forsvarets mail
Den hackede mail-tjeneste, mil.dk, bruges til såkaldt "ikke-klassificeret" information.
Men ifølge Center for Cybersikkerhed udgør angrebet alligevel en trussel mod Danmark, da de kompromitterede oplysninger kan bruges til at afpresse og/eller hverve medarbejdere hos Forsvaret.
Læs også: Sikkerhedsekspert kritiserer Forsvarets it-sikkerhed: "Der er bedre sikkerhed på mange Gmail-konti"
Det har fået flere sikkerhedseksperter til at kritisere, at brugerne af forsvarets mail-tjeneste ikke er blevet henstillet til at bruge helt basale sikkerhedsforanstaltninger som to-faktor-genkendelse.
I rapporten påpeger Center for Cybersikkerhed også manglende to-faktor som et problem, men direkte adspurgt om man oplyser de ansatte i Forsvaret tilstrækkeligt om basal it-sikkerhed, vender efterretningstjenesten igen rundt på en tallerken.
"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation," hedder det i et skriftligt svar, som Computerworld har fået, efter at Forsvaret først skulle bruge et døgns tid på at undersøge, hvem der havde kompetencer til at sige noget meningsfuldt om sikkerheden på mil.dk.
Ifølge Center for Cybersikkerhed har Forsvaret iværksat en række tiltag for at sikre mil.dk og resten af forsvaret mod lignende hackerangreb i fremtiden, men CFCS afviser at uddybe, hvad disse tiltag går ud på.
For gennemsigtighedens skyld bringer vi nedenfor alle Center for Cybersikkerheds svar på Computerworlds spørgsmål:
Hvad siger det succesfulde phishing-angreb mod Forsvaret om sikkerhedsniveauet i Forsvaret?
"Der er generelt en god sikkerhedskultur i Forsvarsministeriet og dets myndigheder, og der bliver løbende arbejdet med at tilpasse cybersikkerheden i forhold til trusselsbilledet, som konstant forandrer sig."
Vurderer Forsvaret, at en webmail uden to-faktor-godkendelse er en tilstrækkeligt sikker kommunikationsplatform for de ansatte i Forsvaret?
"Webmail-løsningen til mil.dk anvendes til kommunikation af ikke-klassifceret kommunikation. Analyser af gennemførte cyberangreb mod danske myndigheder gennem de seneste år viser, at gældende vurderinger af krav til sikkerhedsmæssige tiltag skal revurderes jævnligt med udgangspunkt i aktuelle trusselsvurderinger."
Gør forsvaret nok for at uddanne sine ansatte i it-trusler og sikker brug af email i embeds medfør?
"Forsvaret har omfattende uddannelse af sit personel i sikker kommunikation både i forbindelse med klassificeret kommunikation og i forbindelse med ikke-klassificeret kommunikation."
Giver hackerangrebet Forsvaret anledning til at revidere den eksisterende sikkerhed omkring intern kommunikation i Forsvaret?
"Der arbejdes løbende med at holde den eksisterende sikkerhed i Forsvaret ajour, når det gælder styring af informations- og cybersikkerhed, herunder holde personellet ajour mht. opmærksomhed over for angreb."
Hvis ja, hvilke konkrete tiltag vil forsvaret gennemføre for at forhindre lignende succesfulde angreb i fremtiden?
"Forsvaret har allerede iværksat en række sikkerhedsmæssige tiltag af forskellig karakter, som skal medvirke til at forebygge fremtidige angreb. Forsvaret har endvidere iværksat sikkerhedsmæssige tiltag for at kunne håndtere angreb mere effektivt i fremtiden. Af operative og sikkerhedsmæssige hensyn kan konkrete sikkerhedsmæssige tiltag ikke beskrives."
Læs også: Hackerangreb mod Forsvaret: Her er tre ting, vi ved om angrebet - og alle de ubesvarede spørgsmål
