Risk Management er helt essentiel for cybersikkerheden

I mange år har cybersikkerhed i dansk erhvervsliv mest handlet om at bygge høje mure omkring netværket, som holdt de cyberkriminelle ude. I dag er trusselsbilledet så komplekst, at det i højere grad handler om at kunne holde kerneforretningen kørende,  selvom cyberkriminelle trænger igennem det ydre forsvar. Derfor er det vigtigt, at have helt styr på, hvilke systemer, man skal gøre alt for at beskytte – og de vurderinger bør i første omgang komme fra ledelsen. Vejen til et mere tidssvarende cyberforsvar varierer meget fra virksomhed til virksomhed. Den bedste strategi afhænger i høj grad af, hvor moden sikkerheden er. Det vil sige, hvilke sikkerhedslag der allerede er på plads, hvordan netværket og forretningen er bygget op, hvor store angrebsfladerne er og hvilke risici, man er villig til at løbe. 

Cybersikkerhed er mere end en it-teknisk opgave

De tider hvor sikkerhedsarbejdet blot kan betragtes som en teknisk opgave for it-afdelingen, er forbi. Cybersikkerhed vedrører hele forretningen. Derfor er det vigtigt, at både direktionen og bestyrelsen er direkte involveret, når cybersikkerhedsstrategien for virksomheden skal besluttes. 

”Hver dag taler jeg med virksomheder, myndigheder og offentlige organisationer om deres cybersikkerhed. Her støder jeg ofte på ledelser, som stadig har den opfattelse, at god sikkerhed frem for alt handler om at holde alle uønskede gæster ude af netværket – og at det er it-afdelingens opgave. Holdningen er, at hvis bare ydermurene omkring netværket bygges høje og tykke nok, så kan ingen trænge ind og forstyrre borgfreden. I dag er den opfattelse forældet. For i de senere år har trusselsbilledet ændret sig markant og cybersikkerheden er blevet uhyre vigtig for forretningens vækst og udviklingsmuligheder”, forklarer Ulrik Ledertoug, Director of Business Development hos Orange Cyberdefense Danmark.

Antallet af hackergrupper er eksploderet

Alene i 2021 steg antallet af aktive hackergrupper på verdensplan med 42%. Godt hjulpet på vej af ransomware og store løsesummer er de it-kriminelle blevet flere, dygtigere, mere kreative og langt mere ressourcestærke. Defor handler cybersikkerhed anno 2022 i høj grad om, at man tager højde for scenarier, hvor it-kriminelle ér trængt ind i netværket – og det kræver en god strategi.

”Som trusselsbilledet udvikler sig, giver det særdeles god mening at skifte fra blind tro på ydre forsvarsværker til strategisk risk management. Det er en naturlig opgave for ledelsen, som jo også har ansvar for præcise risikovurderinger på alle andre områder, men når det kommer til cybersikkerhed, støder vi stadigvæk på stor umodenhed i ledelsen mange steder”, siger Ulrik Ledertoug.

Alle kan blive ramt, uanset størrelse og branche

”Vores erfaring viser, at cybersikkerheden stadigvæk halter i mange organisationer og virksomheder. Det er et stort problem, for det gør dem ekstra sårbare. Hvis man tror, at det kun er store, internationale koncerner, der bliver angrebet af hackere og it-kriminelle, så tager man grueligt fejl. Det er simpelthen en udbredt misforståelse, at små og mellemstore virksomheder ikke har samme risiko for at blive ramt af cyberkriminalitet – det er nærmest omvendt”, fortæller Ulrik Ledertoug.

I 2021 efterforskede Orange Cyberdefense over 3.000 tilfælde af digital afpresning. Her viste det sig, at ca. 75% af de virksomheder, der blev ramt, havde under 1.000 medarbejdere. Det er ekstra tankevækkende her i Danmark, hvor vi har over 310.000 små og mellemstore virksomheder. Så sent som i september 2021 vurderede Erhvervsstyrelsen, at cirka 40% af dem har for lav cybersikkerhed. Det er næsten halvdelen af dansk erhvervsliv, der ikke er beskyttet godt nok.

Beskyt kerneforretningen frem for alt

Beskyttelse af forretningskritiske data og kritisk infrastruktur er vigtigere end nogensinde. Og jo flere virksomheder der lader skarp risikovurdering styre de tekniske beslutninger, jo bedre vil Danmark og dansk erhvervsliv stå rustet i den eskalerende kamp mod it-kriminalitet og cyberkrig.

”Vi oplever i øjeblikket et paradigmeskifte i den måde, vi skal tænke cybersikkerhed på, hvor det er helt afgørende, at ledelsen foretager en forretningsmæssig vurdering af, hvilke risici man er villig til at løbe. Dvs. hvad man kan leve med, at it-kriminelle får adgang til, hvad de under ingen omstændigheder må komme i nærheden af og hvilke systemer og data der er afgørende for, om forretningen kan køre videre under angreb”, siger Ulrik Ledertoug og han fortsætter:

”Som trusselsbilledet ser ud i dag, er det ikke muligt at sikre sig 100 procent mod hacker- og cyberangreb, men vi anbefaler, at man særligt prioriterer disse fem sikkerhedsområder højt – så lukker man mange døre for de it-kriminelle”, siger Ulrik Ledertoug.

1) Få styr på, hvad I har i netværket

Skab jer et overblik over hvilke systemer, der kører i netværket – og hvilke sårbarheder de har. Og sørg for at få overblik over alle assets – dvs. al hardware og software i netværket. Det er uhyre vigtigt, for man kan ikke beskytte, hvad man ikke ved, man har. Sørg for at alt er patchet og opdateret. 

2) Beskyt kritiske systemer og IP-adresser

Tjek grundigt, at backups af Domain-controllere og kritiske assets er tilgængelige og fuldt beskyttet mod uautoriseret adgang. Backup-processer og -procedurer bør testes på kontinuerlig basis. Sikkerhedskopier bør altid opbevares, så de er fuldstændig beskyttet mod uautoriseret adgang.

3) Lad etiske hackere angribe jeres netværk

Sørg for, at der bliver foretaget penetrationstest af etiske hackere flere gange om året. Det hjælper med at verificere sikkerhedssetuppet og sikrer at eventuelle fejlkonfigurationer opdages i tide. Hvis I kun vurderer jeres cybersikkerhed indefra, kan selv alvorlige sårbarheder være svære at få øje på. 

4) Indfør Zero Trust

Flade netværk med lav sikkerhed er opskriften på problemer, derfor skal man være yderst opmærksom på, hvem der gives adgang til hvad. Giv ingen adgang til noget, de ikke har behov for. Det mindsker risikoen for at kunne tilgå følsomme data og kritiske systemer i tilfælde af identitetstyveri.

5) Segmentér jeres netværk

Inddel netværket i “brandsikre rum”. Det skaber langt bedre muligheder for at overvåge og kontrollere al trafik i netværket. Med segmentering kan man sætte mikroperimetre omkring følsomme data og systemer, som effektivt holder dem uden for hackernes rækkevidde, og dermed skaber langt mindre angrebsflader..

Vælg en bred sikkerhedspartner

Da det langt fra er alle virksomheder og organisationer, der råder over de nødvendige ressourcer internt, er det en god idé at indlede et samarbejde med en sikkerhedsrådgiver. På den måde får man adgang til den nødvendige indsigt og viden. 

“Når vi indleder et samarbejde med en virksomhed, myndighed eller offentlig organisation, er det en kæmpe fordel for begge parter, hvis vi får mulighed for at lave Security Assessment og penetrationstest. På den baggrund kan vi analysere det eksisterende cyberforsvar, og det giver os de bedste forudsætninger for at komme med præcise anbefalinger til indsatsområder og forbedringer. Herudover hjælper vi naturligvis også med at levere, implementere, drifte, administrere og overvåge en lang række forskellige sikkerhedsløsninger og Managed Security Services på stort set alle områder inden for cybersecurity”, fortæller Ulrik Ledertoug.