Står vinduet åpent, hjelper det ikke å låse døren  

Nesten ukentlig leser vi om nye hackerangrep i Norge. Påtroppende Norwegian-sjef Jacob Schram sin LinkedIn og epost forrige uke, Dagbladet i oktober, Hydro i mars (som påførte selskapet et økonomisk tap på mellom 300 og 350 millioner kroner), for ikke å glemme printerne på Stortinget som ble satt ut av drift for mistanke om hacking. Fellesnevneren for de aller fleste hackerangrep er penetrering gjennom det svakeste ledd. Det betyr at endepunkter som datamaskiner, printere og mobiltelefoner er blitt den nye frontlinjen mot angrep fra uønsket hold. Noe hackerne vet at IT-avdelingene altfor ofte overser.

Historien er full av høye murer og festninger bygd for å beskytte nasjoner og ressurser mot trusler. Likevel blir vi hele tiden minnet på om hvor ineffektive de er. De største krigsheltene rettet seg sjeldent mot styrkene av forsvaret, de utnyttet svakhetene. Det er grekerne og den trojanske hest et godt eksempel på.

Digital informasjon

I dag er de mest dyrebare og verdifulle ressursene sensitiv digital informasjon. Selv om land og selskaper bygger robust sikkerhet rundt dataen sin, tar det bare én ondsinnet lenke åpnet på en mobil eller PC, eller noen få linjer med malware skjult i en tilsynelatende vanlig utskrift på skriveren, for å bryte portene og blottlegge en hel organisasjon. Cyberkriminelle prøver ikke å finne veien over den store muren, de angriper hver eneste murstein (les: endepunkt) og finner den svakeste steinen der de kan komme inn uoppdaget. Dette gjør cyberkriminelle millioner av ganger, hver eneste dag.

Til tross for disse kjente sårbarhetene og ukentlige rapporteringer fra norske medier om hackerangrep, er det påfallende at bare 28 prosent av profesjonelle it-folk mener at endepunktsikkerhet er en viktig del av organisasjonens cybersikkerhetsstrategi. Det viser en ny undersøkelse analysebyrået IDC har gjennomført på vegne av HP. Forskningen fokuserer på sikkerhetstiltakene og -synspunktene til it-ledere i 14 bransjer i fem land i EU og Nord-Amerika. Det er klart at mange it-avdelinger mangler tilstrekkelig bevissthet og beredskap knyttet til hackerangrep.

Funnene fra undersøkelsen viser også at nesten halvparten av de som jobber i it-bransjen lar være å inkludere skrivere i sin endepunktssikkerhetsstrategi. I tillegg svarer 6 av 10 sikkerhetssjefer at printere har lav eller ingen sikkerhetsrisiko. Dette er skremmende, da en printer kan infiltreres like lett som en PC. De har en harddisk, kablet eller trådløs tilgang til it-infrastrukturen i bedriften, samt tilgang til noe av den viktigste og mest sensitive informasjonen selskapet har. At mange bedrifter av den grunn er sårbare er en massiv underdrivelse. Det viser også PwCs cybercrime-undersøkelse som ble publisert forrige uke. Her svarer nesten halvparten av de 71 spurte norske bedriftene at de har tapt penger som følge av cyberangrep.

Bevisst beskyttelse

Det er med andre ord viktig å jobbe bevisst for å beskytte seg mot angrep. Her kommer blant annet innkjøpsavdelingen inn. Altfor mange selskap prioriterer kostnad og ytelse fremfor sikkerhet når de skal gå til innkjøp av PC og printere. Kostnad og ytelse er selvsagt viktig, men det bør aldri gå på bekostning av sikkerhet. Kort fortalt, jo flere endepunkter et selskap har, desto flere mulige sikkerhetshull har organisasjonen. Derfor er det viktig å prioritere sikkerhet i alle ledd.

Dagens IT-folk og innkjøpsansvarlige bør med andre ord behandle enhver kjøpsbeslutning som en sikkerhetsavgjørelse. Et forsvar er aldri sterkere enn sitt svakeste ledd.