Klumme: Der skal oprustes på cybersikkerheden i 2024

Klumme: Der skal oprustes på cybersikkerheden i 2024

I 2023 har mange virksomheder brugt ressourcer på at afsøge markedet for nye sikkerhedsløsninger. Men hvad skal den danske sikkerhedsbranche forberede sig på at få travlt med i år? Her følger fem bud.

Uanset om vi snakker hybridkrig, hjemmearbejdspladser, ransomware, cloud-migrering eller NIS2, trækker det hele i samme retning: Danske virksomheder har stort behov for bedre beskyttelse mod digital kriminalitet og krigsførelse. Som leverandør til en lang række af landets største virksomheder er vi tæt inde på livet af deres største sikkerhedsudfordringer, og hvordan de planlægger at løse dem. Her kommer mine bud på fem områder, hvor vi forventer at få særlig travlt med at levere løsninger i 2024.

1. Afløser til VPN

Under corona-pandemien opstod der akut behov for etablering af hjemmearbejdspladser, og i farten måtte mange virksomheder indgå store kompromisser vedrørende sikkerheden for at holde forretningen ovenvande. 

Selvom pandemien er overstået, har den fundamentalt ændret vores arbejdsmønster, og hjemmearbejdspladser er kommet for at blive. Nu, da presset er aftaget, kigger mange af vores kunder ind i at gøre tusindvis af hjemmearbejdspladser mere sikre og nemme at vedligeholde. Traditionel VPN-arkitektur er ingen af delene – tværtimod. 

I stedet kigger mange på SASE-løsninger (Secure Access Service Edge, red.), der kan administreres centralt og levere konstant høj sikkerhed, uanset hvordan og hvorfra brugerne tilgår deres data og applikationer. Om det er fra hjemmearbejdspladsen, en lufthavn eller et hotelværelse er ligegyldigt. Det er præcis den form for stærk, fleksibel og skalérbar netværkssikkerhed, mange danske virksomheder har brug for nu. 

2. Vulnerability management

“Sørg for at få patchet alting til tiden.” En gammel traver som fremhæves igen og igen – også af min egen virksomhed. Men det ér lettere sagt end gjort. Både fordi der hele tiden frigives enormt mange patches, og fordi der kan være stor forskel på, hvor vigtige de er. 

Desuden bliver der ofte skannet for sårbarheder med flere forskellige systemer, som ikke er koordineret med hinanden. Tilsammen genererer de et hav af rapporter, som deres systemejere hverken har overblik over eller ressourcer til at handle på.

Derfor oplever vi stigende interesse for konsoliderede vulnerability management-løsninger, hvor al sårbarhedsskanning og patching styres i én central portal. Kun få danske virksomheder er kommet langt med deres vulnerability management, men her forventer vi at se stor udvikling i 2024.

3. Mikrosegmentering

I over ti år har Gartner anbefalet at opdele netværk i adskilte segmenter eller “brandsikre rum”, som effektivt forhindrer indtrængende hackere i at få adgang til hele netværket. Nogle danske virksomheder har forsøgt at mikrosegmentere ved hjælp af interne firewalls, men det blev hurtigt meget kompliceret og nærmest umuligt at administrere. Firewalls er ganske enkelt ikke beregnet til at mikrosegmentere med.

Anvender man derimod softwarebaseret mikrosegmentering ophæves den besværlige kobling mellem infrastruktur og sikkerhed. I stedet for at skulle administrere et hav af IP-adresser, tildeles data, applikationer, server og brugere i stedet forretningsmæssige roller og rettigheder. Hvem der kan få adgang til hvad, afhænger således ikke af fysisk placering, men af hvilken rolle, de spiller i forretningen.

Fordelene ved softwarebaseret mikrosegmentering er enorme. Især fordi man frit kan ændre på sin infrastruktur, uden at det udløser en masse ekstraarbejde i forhold til sikkerheden. Vi forventer, at 2024 bliver året, hvor mange flere danske virksomheder tager deres første vigtige skridt mod mikrosegmenterede netværk. 

4. NIS2 – governance, risk & compliance

Selvom EU-parlamentets NIS2-direktiv endnu ikke er blevet omsat til dansk lovgivning, er der ingen tvivl om, at det vil få stor betydning for de cirka 1500 danske virksomheder, der beskæftiger sig med kritisk infrastruktur. Allerede til oktober 2024 skal deres cybersikkerhed fungere langt mere effektivt, end det har været tilfældet indtil nu. 

I vores afdeling for governance, risk & compliance mærker vi en klar stigning i interessen for security maturity assessments, som typisk er det første skridt mod NIS2-compliance. Efterhånden som 2024 skrider frem, vil behov for planlægning, implementering og drift også tage fart. Ligesom vi så det med GDPR, vil der blive rift om dygtige sikkerhedsrådgivere i månederne op til den stramme deadline.

5. AI – ja, men ...

Ingen supertrend-liste uden AI. Allerede nu kan de store sprogmodeller skrive perfekte phishing-mails og skadelig kode på kommando. Men som forsvarsværktøj rejser AI problemstillinger, som ingen har overblik over endnu. Vi forventer, at meget af 2024 vil gå med at overveje sikkerhedsrisici og konsekvenser af at integrere AI-værktøjer i virksomhedens drift. F.eks. kan anvendelse af nogle løsninger medføre, at brugerne får direkte adgang til alle data i hele virksomheden. 

Det er også vanskeligt at revidere arbejdsprocesser, som involverer AI – især offentligt tilgængelige chatbots. Både fordi de er uhyre komplekse, og fordi de hele tiden bliver trænet med ukendte data. Derfor kan de fra gang til gang levere forskellige resultater, uden at nogen kan redegøre for hvorfor. Hvem har ansvaret for kode skrevet af offentlige chatbots? Og hvad sker der med de data, vi sender til dem ? De er reelt set ude af kontrol.

Til gengæld er der ingen tvivl om, at fremkomsten af AI har givet alle danske virksomheder endnu større grund til at tænke cybersikkerhed ind i deres generelle forretningsstrategi – det er blevet et anliggende for topledelsen. Udbredelsen af AI vil øge digitaliseringen af vores virksomheder markant, og derfor bør cybersikkerhed ikke længere betragtes som noget ”de ordner i IT-afdelingen”.

Alt i alt tror jeg, at 2024 bliver et skelsættende sikkerhedsår, hvor mange virksomheder for første gang bryder med gammeldags sikkerhedstænkning og begynder at høste frugterne af nye og mere tidssvarende løsninger.