Skygigantene har ikke ryggen din når data går tåpt

Norge er Microsoft-land. I alt fra små enkeltpersonsforetak til store enterprise-bedrifter er Office-pakken et avgjørende verktøy i hverdagen. Derfor er det heller ikke overraskende at mange bedrifter – store som små – i økende grad velger å bruke Microsoft Office 365, Exchange Online, Sharepoint Online eller OneDrive for Business som en sentral del av driften.

Skyløsninger – uansett tilbyder – byr på en fleksibel, enkel og skalerbar plattform, som kommer norske bedrifter til gode: Dine data er tilgjengelige fra alle maskiner, det er lett å håndtere adgangskontroll og dataene er sikret i skyen.

… eller … er de det?

Hos skytilbyderne betaler du kun for oppetid: At du for eksempel alltid kan få tilgang til Office 365, når som helst og hvor som helst. De seneste tallene peker mot en oppetid på over 99 prosent, og selv om det skjer avbrudd så er de sjeldne og heldigvis gjerne korte.

Men ansvaret for dine data er ene og alene ditt.

Hvis det skjer et større avbrudd hos Microsoft, en medarbeider i din bedrift sletter kritiske data, eller du blir rammet av et ransomware-angrep som påvirker dine oppbevarte data i skyen, så er det lite hjelp å hente hos tilbyderne.

Det kommer overraskende på mange, for det er bare logisk at de som oppbevarer dataene også passer på dem.

Ingen å ringe til Ved årets Gartner Symposium fortalte Maersks CISO, Andy Powell, hvordan man fikk server-parken opp og gå igjen etter det voldsomme Not Petya-angrepet i 2016. Her fortalte han hvordan han var i direkte kontakt med Microsofts COO for å løse problemet, som ikke bare rammet Maersk, men også verdenssamfunnet.

Maersk fortjener ros for den eminente håndteringen av Not Petya-angrepet, både når det gjelder gjenoppretting og deres kommunikasjon til aksjonærer og resten av omverdenen. Likevel er det langt ifra alle som har en direkte linje til Microsofts toppfolk for å få løst et angrep, og det har da også fått Andy Powell til å uttrykke mistillit til skytjenestenes sikkerhet.

Ifølge en undersøkelse fra IDA, opplever to av tre bedrifter å bli utsatt for cyber-angrep – og hvert åttende forsøk lykkes. Det er skremmende lesning når vi samtidig vet at it-kriminelle i økende grad fokuserer på nettopp skyløsninger.

Du har en viss beskyttelse: Alt som slettes i Office 365 ender i den velkjente «papirkurven», men kun i 30 dager. Deretter forsvinner filene for alltid, noe som i forbindelse med en feilsletting eller GDPR kan vise seg å være katastrofalt. Keepit har kommunale kunder hvor skolelærere har mistet flere års forberedelsesmateriale ved en feil, nettopp på grunn av denne begrensningen.

Microsoft lover oppetid, ikke god nattesøvn Bare for å kort gå tilbake til tittelen på denne teksten, så er skyløsninger langt på vei en glimrende oppfinnelse, og vi bruker også vår andel av forskjellige skyløsninger.

Problemet oppstår når man – forståelig nok – blindt stoler på at dataene er sikre i diverse skyer.

Det er de ikke.

Samtidig er jo ikke skyløsninger noe annet enn programvare på en server. Derfor kan de også inneholde feil og sårbarheter som – når de finnes – kan utnyttes av it-kriminelle, eller føre til nedetid hos skytilbyderen og dermed også nedetid for din bedrift.

Derfor bør du gjennomgå dine kontrakter med diverse skytilbydere og sjekke hvordan du er sikret. Se også på eksisterende sikkerhetskopieringsløsninger for å se om det finnes mulighet for å benytte den eksisterende avtalen til å bygge opp en regelmessig sikkerhetskopiløsning for skydata. Andy Powells råd er å alltid ha en off-site sikkerhetskopi, og ideelt sett også ha tre kopier (den såkalte 3-2-1 strategien) med to lokale sikkerhetskopier og en off-site.

Det finnes et hav av forskjellige måter å foreta den typen sikkerhetskopiering på, men reelt sett er det kun én hovedregel: selv den dårligste sikkerhetskopiløsningen er bedre enn ingen sikkerhetskopiløsning.