Både krigen i Ukraina og den forestående juleferien – uken der alle senker «guarden» – gjør det viktigere enn noen gang å ta it-sikkerhet på alvor. Som eksperter på cyberrisiko ønsker vi derfor å dele tre forebyggende tips med alle virksomheter i Norge. Ikke minst fordi sporene av hva droner og «forskningsskip» gjør på andre følsomme felt, er skremmende.
En hel verden lot seg sjokkere i høst, da gassrørene Nord Stream 1 og 2 gikk i luften i Østersjøen. Eksplosjonene er en klar indikasjon på at Russlands krig mot Ukraina pågår også utenfor slagmarken. Men på cyberfronten har det vært stille.
Ja, nesten mistenkelig stille.
Samtidig viser den siste risikorapporten fra Nasjonal sikkerhetsmyndighet at antallet cyberoperasjoner øker under høytider. For da har mange oppmerksomheten helt andre steder.
På toppen av dette byr den ferske Mørketallsundersøkelsen fra Næringslivets sikkerhetsråd på urovekkende funn: Fire av ti norske virksomheter som vet at de har hatt en it-hendelse, oppdaget innbruddet ved en tilfeldighet.
Noen oppdaget til og med angrepene på bakgrunn av oppslag i mediene – og altså ikke gjennom egne systemer.
Derfor går det ikke an å utelukke at hackerangrep allerede pågår, enten det er Russland, andre statsmakter eller «vanlige» hackere som står bak. Og har det ikke alt skjedd, er det fullt tenkelig at den fiendtlige aktiviteten «skrus på» mens folk flest koser seg med julematen.
I denne situasjonen anbefaler vi ledere og ansatte i norske virksomheter å ty til disse forebyggende tiltakene:
- Skaff deg oversikt over hva du har av data, verdier og systemer.
Hva er det viktigste som må fungere? Om du ikke vet hva som må beskyttes, klarer du ikke å beskytte det.
Hva har du av dokumentasjon, policy og prosedyrer? Hvilke avtaler har du med leverandørene dine? Hvilken hjelp får du hvis det skjer noe? Som leder må du ikke være ekspert hverken på it eller cybersikkerhet. Men du må ha oversikt, samt vite hva du ikke vet. For hvordan skal du ellers spørre om hjelp?
Det er som med økonomi. Du kan være toppleder uten å være økonom, men følger vel likevel med på regnskapet? Eller sjekker du kontoen kun en gang i året for å sjekke om det er underskudd? Gjør du det sånn med it-sikkerhet også?
Om du får vondt i magen når du leser dette, vet du hvor du kan starte i morgen.
- Bygg en kultur der sikkerhet sitter i ryggmargen hos alle. En kultur med takhøyde nok til at alle tør å vise sine feil. En kultur for å stille spørsmål og be om råd. En kultur der kunden hjelper leverandøren til å tenke sikkerhet – og omvendt.
- La ikke sikkerhetsarbeid bli skippertak – det funker ikke. Jobb med sikkerhet litt gjennom hele året.
Du har sikkert regnskap på agendaen en gang i måneden. Sett også sikkerhet på agendaen en gang i måneden, både i ledelsen og i styret. Følg opp med en årlig beredskapsøvelse hvor dere snakker dere gjennom en cybersikkerhetshendelse.
Hva er det verste som kan skje? Det er vi sikkerhetseksperter ganske gode til å spørre om. Men nå trenger vi ikke det lenger. De nesten utenkelige scenarioene har alt skjedd. Vi står midt oppi dem nå.
Droner flyr over sentrale bygg og anlegg i Norge. Russiske «forskningsskip» har kartlagt hele norskekysten, hvor vi har rørledninger og mye spennende undervannsteknologi.
PST sier at ansatte i olje- og gassektoren, Forsvaret og teknologibransjen nå er særlig utsatt for fremmed etterretning.
Én time før Russland krysset grensen til Ukraina, ble satellittnettverket KA-SAT rammet av et cyberangrep. Motivet var trolig å svekke Ukrainas militære kommunikasjonsevne. Men resultatet ble også at meteorologer på Svalbard og Bjørnøya mistet internett, telefon, radio og tv i to uker.
I det samme angrepet ble nær 6000 tyske vindturbiner påvirket fordi de ikke lenger kunne nås digitalt.
Cyberoperasjoner omfatter en rekke ulike typer angrep. Noen av dem tar det vesentlig lengre tid å oppdage enn andre. Derfor er det viktig å huske at fravær av bevis ikke er bevis på fravær. Det at du ikke har oppdaget et angrep, betyr ikke at det ikke har skjedd – eller at det ikke skjer akkurat nå.
Midt oppe i alt dette så gir Mørketallsundersøkelsen vi var innom, noe trøst også. Bedrifter som jobber litt systematisk med sikkerhet gjennom året, oppdager selv angrep ved hjelp av rutiner og systemer i langt større grad enn hva andre virksomheter gjør.
Sjansen for å bli overrasket avtar altså hvis du ikke har hodet i sanden.(Vilkår)Copyright Dagens Næringsliv AS og/eller våre leverandører. Vi vil gjerne at du deler våre saker ved bruk av lenke, som leder direkte til våre sider. Kopiering eller annen form for bruk av hele eller deler av innholdet, kan kun skje etter skriftlig tillatelse eller som tillatt ved lov. For ytterligere vilkår se her.