Hvis man stiller en række virksomhedsledere spørgsmålet ”Synes du, det er i orden at sanktionere en medarbejder, der klikker på et usikkert link og udsætter din virksomhed for en sikkerhedsrisiko?”, vil meningerne givet være delte. Men spørgsmålet er særdeles relevant, og i virkeligheden kunne man lige så godt have spurgt: ”Synes du, det er i orden at straffe eller fyre en medarbejder, der glemmer at låse dørene og lukke vinduerne til virksomheden?” Her ville svaret givet være mere entydigt, men resultatet er i virkeligheden fuldstændig det samme - nemlig at tankeløshed giver fri adgang for kriminelle.
Samtidig skal man tænke på, at hvis tyveknægten tømmer pengeskabet eller stjæler varelageret, er der tale om et overskueligt mellemværende med forsikringsselskabet.
Men hvis den it-kriminelle tager virksomhedens data som gidsel eller sælger kundekartoteket til højestbydende konkurrent, kan det betyde undergang og konkurs. Blot fordi en medarbejder måske har klikket på et link i en e-mail med et tilbud, der ikke blot lød for godt til at være sandt, man rent faktisk også var det. Tænk samtidig på, at ondsindede e-mails er kilden til to tredjedele af alle sikkerhedsbrister i de danske virksomheder.
Security by Design
De fleste virksomhedsledere og ikke mindst sikkerhedsrådgivere er imidlertid enige om, at straf ikke er vejen frem. Det er til gengæld uddannelse af medarbejderne, så risikoen for at falde for fristelsen til at klikke på de lokkende link mindskes, og virksomheden bliver i stand til at agere hurtigt, hvis det alligevel skulle ske. Det samme mener Technical Solutions Architect, Cyber Security, Mikael Grotrian, fra Cisco, der siger, at it-sikkerhed skal være en del af virksomhedens DNA. Det er nemlig blevet et konkurrenceparameter helt på linje med pris og produktkvalitet, når virksomhedens sælgere skal overbevise den potentielle kunde om et samarbejde.
”Det stiller naturligvis også krav til os som leverandør, idet it-sikkerhed ikke længere blot er noget, man klistrer på efterfølgende. I dag handler det om at kunne tilbyde Security by Design. Altså sikkerhed, der er integreret i virksomhedens it-infrastruktur,” siger Mikael Grotrian. Han føjer dog til, at det samtidig gælder om at løfte barren for brugernes årvågenhed, for selv den mest skarpsindige teknologi kan komme til kort over for en ubesindig medarbejder. Derfor handler det også om at gøre it-sikkerhed enkel og tilgængelig - ikke kun i forhold til brugerinterfacet, men også funktionsmæssigt.
Sikkerhed på tværs
”Den menneskelige faktor skal tages alvorligt, og det samme skal det faktum, at mange især mindre og mellemstore virksomheder ikke selv råder over de fornødne ressourcer inden for Security Intelligence. Derfor skal vi som leverandør kunne tilbyde løsninger, der er nemme at integrere med eksempelvis en virksomheds Office 365-platform,” siger Mikael Grotrian. Det er blandt andet tilfældet med Advanced Malware Protection, der er en sikkerhedsløsning, som beskytter virksomheden helt ud til alle endpoints på tværs af såvel on-premise som cloudinfrastruktur og ikke mindst på tværs af alle typer af enheder.
Advanced Malware Protection spænder over hele Ciscos portefølje og taler blandt andet sammen med Talos Security Intelligence, der giver adgang til ressourcerne i en af verdens største databaser, når det gælder sikkerhedstrusler. På den led kommer Ciscos store viden og erfaring altid virksomhederne til gode. Både når det gælder overblikket over aktuelle trusler samt, hvordan de håndteres og elimineres mest effektivt. Ifølge Mikael Grotrian handler effektiv it-sikkerhed dog også om, at en række basale ting skal være på plads i virksomheden. Især i forhold til de mere administrative sikkerhedsprocesser, hvilket blandt andet vil sige ansvarsfordeling i forhold til data og løbende afstemning af, at sikkerhedsniveauet så at sige er i sync med trusselsniveauet.
E-mail sikkerhedsløsninger
Spammails med links til f.eks. ransomware og CEO-fraud ligger stadig højt på de it-kriminelles hitliste, men gennem en række Best Practice rutiner er det muligt at sortere mange af den slags mails fra, allerede inden de når ud til medarbejderne. Det kan blandt andet ske med Cisco Email Security for Office 365 og DMARC Security Email Protocol, der gør det muligt at definere sikkerhed allerede på DNS-niveau. Desuden kan virksomheden vælge at definere politikker for, om mails må vises med eller uden links, lige som der kan lægges restriktioner på eksekvering af eventuelle vedhæftede filer.