De digitale tyveknægte!
De sidste 2-3 år har jeg ofte talt om Cyper Sikkerhed i mine netværksgrupper og om vores selskaber har styr på den mest hastigt stigende kriminalitetsform i verden.
I ”gamle dage” var det bankrøverier der var modellen for at skaffe sig lidt større beløb – men i dag er kriminaliteten på Internettet en af de mest profitable former for at skaffe sig hurtige penge. Døren til mange virksomheder står piv åben.
Vi ved fra Mærsk 27. juni 2017 – fra maj 2017 Engelske Hospitaler og i her i marts 2019 ramte det Norsk Hydro. Alle store virksomheder som heldigvis har delt deres oplevelser med omverdenen til frygt og advarsel for andre. Mærsk gav os alle 1,9 milliarder gode grunde til hvorfor vi nok skulle kikke ind over dette emne. Jeg har selv hørt historien fra Mærsk´s top ansvarlige for angrebet og ikke mindst at rydde op efter angrebet som lagde Mærsk ned i 4-6 uger på verdensplan. Forestil dig at møde op i din virksomhed en morgen og alle dine computere blot var sorte og ikke kunne starte op. Hvad ville du gøre? – Hvad gjorde Mærsk?
En opdatering på det danske trusselsbillede med Cyper Security og hackerangreb er netop blev givet af Thomas Lund-Sørensen som står i spidsen for den nationale sikkerhed i Danmark i et tæt samarbejde med forsvaret og politiets efterretningstjenester i Center for Cyper Sikkerhed. Selve opdateringen blev frigivet ultimo marts på hjemmesiden https://fe-ddis.dk/cfcs/Situationsbilleder/Pages/cybertruslen.aspx og vil være et besøg værd for ALLE virksomheder.
Hvorfor så det? Mest fordi at de kriminelle nu for alvor har kastet sig over mindre om lidt mere anonyme virksomheder og lykkes med at drille, lukke og få løsepenge i et omfang som gør at vi alle SKAL drøfte vores IT sikkerhed i selskabet. Det er altid nemt at få det på dagsordenen NÅR det ER sket. Men så er det for sent. Det er nu vi skal forebygge og stille de rigtige spørgsmål.
Opdateringen blev givet til en række bestyrelsesmedlemmer og formænd i danske virksomheder og det var skræmmende hvor mange virksomheder der slet ikke har taget dette punkt alvorligt. Flere eksperter deltog i en tematisk dagsorden så problemstillingen blev analyseret fra flere sider af ret kompetente folk. CBS kunne sammen med Deloitte og IBM supplere med hvor ringe vi er i danske bestyrelser til at have emnet på dagsordenen minimum en gang om året ifm. Med risikovurderingen af selskabet. Det bør være en del af årshjulet.
Ofte ligger ansvaret for IT sikkerhed hos den IT ansvarlige og ikke engang selskabets CEO bekymrer sig om problemet og slet ikke bestyrelsen. Bestyrelsen er ofte koblet af når det drejer sig IT sikkerhed og It i al almindelighed og ansvaret ligger som regel hos den It ansvarlige – men der bliver ikke spurgt ind til vores systemer og sikkerheden omkring.
Mange virksomheder vil nok sige at vi har ikke noget af interesse for de digitale tyveknægte – men der tager vi fejl!!! – Vi har opskrifter, patentrettigheder, designs, strateg- og vækstplaner og anden interesse for også vores konkurrenter og så er god gammeldags spionage igen blevet penge værd.
Hvordan skal topledelsen og bestyrelsen forholde sig til Cyber Sikkerhed ?
Man kunne starte med at læse vedhæftede rapport fra Deloitte som viser hvor lidt styr der er på tingene også i danske virksomheder og kikke lidt på Efterretningstjenestens anbefalinger https://fe-ddis.dk/cfcs/publikationer/Documents/Cyberforsvar%20der%20virker%20-%202017_110117.pdf
Dernæst stille sig selv og sin IT ansvarlige ret simple spørgsmål:
Hvordan virker vores back-up systemer?
Hvor ofte tager vi back Up?
Hvor opbevares den?
Hvornår har vi sidst opdateret versioner af vores software? (kører vi med versioner som udbyderen ikke længere understøtter)
Hvordan ser vores IT mæssige adgangveje ud? (hvilke ”porte” står åbne – når du forlader din bil er du sikker på du låser døren – hvad når du forlader virksomheden?)
Hvornår er der sidst skiftet Password på centrale systemer?
Hvordan er vores persondata (GDPR) sikret – det er blevet en ny handelsvare i EU at kompromittere disse data og sælge oplysninger videre.
Hvor står vores servere – helt banalt hvem har adgang til dem. Rengøringen, håndværkere eller andre eksterne som på et sekund kan stjæle vores data eller lukke os ned.
Hvor ligger vores data fysisk? – ofte i skyen eller hos en anden 3. parts udbyder – hvordan er aftalerne mellem os?
Hvem ringer man til HVIS det først går galt?
Har vi en beredskabsplan? (det havde Mærsk rent faktisk – men planerne lå online/digitalt som de så ikke havde adgang til – alt var kaos – nu har de også en ”printet version”)
Vores mobiltelefoner og tablets i øvrigt har ofte centrale data (kritiske data) liggende og er en af de letteste adgange for andre – hvordan er vores mobile sikkerhed?
Har vi en Cyper Forsikring? (et produkt som lystigt er sat på markedet og kan være dyrt. Nogen virksomheder kan IKKE forsikres fordi selskaberne ikke vil tage risikoen fordi vi ikke er IT modne og Cyper Crime parate. Check evt. med HDI forsikring.)
Hvordan ser vores bestyrelsesansvarsforsikring ud også i denne forbindelse?
Hvem deler vi data med? – kunder, leverandører og andre – hvordan er vi sikret her i dataflowet mellem parterne? Har vi stillet krav og bliver vi selv afkrævet krav om vores IT sikkerhed fra modparten?
Hvornår er vi sidst forsøgt hacket? I kan simpelt checke enhver e-mail adresse her: https://haveibeenpwned.com/
Husk der er tre slags penge:
- De gode penge vi investerer i at have styr på disse ting før det går galt
- Panik pengene –den dyre del når det først har ramt os og virksomheder er lukket ned helt eller delvist – vi er villige til at betale hvad som helst inkl. konsulenter og eksperter til at hjælpe os – tegnebogen er ”åben”
- Oprydningspengene – det at genskabe og sikre sig om igen – de kedelige penge som desværre er nødvendige. (Mærsk rydder stadig op 2 år efter)
Danmark er et af verdens mest digitale samfund – det er vi stolte af og det er rigtig godt. Men lige så digitale vi er lige så sårbare er vi hvis ikke vi tager disse trusler alvorligt. Jeg nævner det ikke for at skræmme nogen – men alene fordi vi som medarbejdere, ledelse og bestyrelse har et ansvar for at der i virksomheden er styr på disse ting. Det tror vi ofte der er – styr på det og tager os til takke med det – men har vi nogen sinde stillet disse spørgsmål? Vi skal ikke løse vores IT sikkerhed i bestyrelsen – men det er HIGH RISK og vi kan ikke overhøre myndighedernes advarsler om at det også kan ramme og rammer små selskaber som slet ikke regner med det.
Skulle vi sætte det i årshjulet og på dagsordenen i din virksomhed – bedre at forebygge end at helbrede!
H.B.
- april 2019