Hvor godt beskyttet er vores kontorer og mødelokaler?

Klumme: Der foretages i disse år et gearskifte på cyber- og informationssikkerhedsområdet. Der er dog risiko for blinde vinkler. Vi skal være bedre rustet til truslen fra spionage.

Denne klumme er et debatindlæg og er alene udtryk for skribentens synspunkter.

Myndigheder og virksomheder sætter i disse år øget fokus på sikkerhed. Det er en naturlig konsekvens af trusselsniveauet og talrige kompromitteringssager.

Forsvarets Efterretningstjeneste offentliggjorde i slutningen af november sin risikovurdering for 2019, som blandt andet fortæller, at truslen fra cyberspionage er ”meget høj”.

Ifølge efterretningstjenesten forsøger aktører ”aktivt, systematisk og kontinuerligt at spionere mod danske mål”. Truslen synes samtidig at ramme bredere end det, som vi hidtil har set.

Spionage kan medføre tab af intellektuel ejendom eller politisk og strategisk viden. Dette kan påvirke alt fra Danmarks sikkerhed til virksomheders konkurrencedygtighed.

Det er mindst lige så vigtigt, at beskytte det fysiske rum, som det er at sikre vores it-systemer. Kontorer, mødelokaler og printerrum kan være sårbare i forhold til placering af overvågnings- og aflytningsudstyr.

Risiko for blinde vinkler
Overvågnings- og aflytningsudstyr kan have mange former. Det kan være alt fra bittesmå kameraer til mikrofoner placeret i almindelige kontorredskaber.

Eksempelvis gaver kan, hvis organisationen er interessant nok, være et muligt sted at gemme udstyret. Også steder såsom skærmers bagsider og i kabelbakker, hvor udstyret kan modtage strøm, er oplagte for en angriber at udnytte.

Overvågnings- og aflytningsudstyret er billigt, nemt at anskaffe og let at skjule, og i mange tilfælde er det muligt at placere udstyret i kontorer, mødelokaler og printerum på grund af mangelfulde adgangskontroller.

Alligevel er det vores indtryk, at ”bug sweeping” står i skyggen af andre sikkerhedsmæssige indsatser.

Der er eksempelvis langt større fokus på områder såsom beskyttelse mod phishing, DDoS, DNS hijacking og privilege escalation. Det er alle meget væsentlige områder.

Det er dog sundt at spørge sig selv, om man med status quo læser trusselsbilledet rigtigt og tilstrækkeligt adresserer alle relevante sikkerhedsmæssige risici.

Inddrag det fysiske rum i risikovurdering og udfør screening
Beskyttelse mod spionage kan komme i flere former. Klassiske anti-spyware værktøjer er vigtige foranstaltninger, men kan ikke altid stå alene.

Overvågnings- og aflytningsudstyr vil i nogle tilfælde være plantet således, at den eneste måde at opdage udstyret er visuelt at gennemsøge lokalet og sweepe for bestemte frekvenser.

Ved sweeping er det vigtigt at undgå sammenblanding med legitimt udstyr. For at undgå falske positiver slukkes der derfor normalt for alt legitimt udstyr, men ikke for strømmen for at holde skjult udstyr tændt under sweep.

Det kan være en besværlig og vanskelig proces at gennemføre et sweep.

Det kræver erfaring og de rette redskaber, hvis man skal undersøge et lokale ordentligt. Typisk vil man søge efter frekvenser, der kan transmittere data, video eller stemmekommunikation. Det drejer sig blandet andet om frekvensområder benyttet til WiFi, Bluetooth, LTE, 3G og DECT, men også andre mulige frekvensområder samt infrarød fra kamera.

Alt efter hvordan den logiske netværkssikkerhed ser ud, kan udstyret også være placeret på netværket, og det kan i nogle tilfælde være vanskeligt at opdage udstyret.

Eksempelvis er det ikke atypisk, at nogle interne systemer hviler på netværkssikkerheden som værn, og derfor ikke beskyttet med relevante adgangskontroller og kryptering. En angriber vil i sådan en situation potentielt kunne opfange og manipulere data.

Højt avancerede sweeping redskaber kan være meget dyre og vil i mange tilfælde nok være overilet at investere i. Man kan dog komme et vist stykke blot gennem visuel inspektion og ved investering i billigere redskaber, som fanger store dele af frekvensspektrummet.

Det er vores budskab, at organisationer som minimum bør forholde sig til truslen fra spionage i deres risikovurderinger.

Spørg jer selv om I er interessante for fremmede stater, kriminelle hackere eller konkurrenter.

Spørg dernæst om I har områder i jeres bygning, som er særligt sårbare, og hvor gæster eller andre eksterne befinder sig, når de er i bygningen. Og endelig: Tag et kritisk blik på jeres netværk og generelle perimeterbeskyttelse.

Viser det sig på baggrund af risikovurderingen, at sweeping er relevant, bør det ikke være en enkeltstående opgave. Det bør være en opgave, som man kontinuerligt bør vende tilbage til.

Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.

Har du en god historie eller har du specialviden, som du synes trænger til at blive delt?

Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.






Premium
Mystikken breder sig om pludselig fyring af Waoo-topchef efter alvorlige beskyldninger: Selskabet er fuldkomment tavst
Mystikken breder sig om årsagen til, at Waoo med øjeblikkelig virkning har fyret topchef Jørgen Stensgaard. Spørgsmålene hober sig op, men der er total tavshed hos Waoo og selskabets bestyrelse, der ikke vil stille op til interview. Her er hvad, vi ved.
Computerworld
TDC ruller gratis fiber ud til 5.100 danske husstande - se adresserne her
TDC går i gang med at udruller fiber til tusindvis af danske husstande i Odens, Nordsjælland og Storkøbenhavn. Se hvor TDC’s gravemaskiner kommer forbi med tilbud om gratis fiber-opkobling.
CIO
Podcast: Hos Viking Life-Saving Equipment er it gået fra at være backend til at være noget, som kunderne spørger aktivt efter
Podcast, The Digital Edge: Viking leverer en stadig større del af deres produkt som en tjeneste. Som en del af tjenesten tager Viking ansvar for sikkerheden ved at levere, dokumentere og vedligeholde det nødvendige sikkerhedsudstyr. Hør hvordan Henrik Balslev senior digital director hos Viking har løftet den opgave.
Job & Karriere
Regner din ferie væk? Brug tiden på at søge en af disse otte stillinger, der er ledige netop nu
Det sjasker ned over hele Danmark. Du kan bruge de våde sommerdage på at søge et af disse otte job, der er ledige lige nu.
White paper
Sådan grundlægger du en datacenterstrategi
Covid-19 understregede behovet for at kunne administrere datacentret på afstand – og for at lade virksomhedens øvrige medarbejdere løse endnu flere opgaver hjemmefra. Det har givet en lang række erfaringer, som kan komme din organisation til gavn på jeres videre digitale rejse. Herunder om, hvordan man optimerer forbindelsen mellem applikationer og data – og om, hvordan man målrettet placerer specifikke workloads, hvor det giver den største forretningsmæssige værdi. Det kan du læse meget mere om i denne hvidbog.