Viewing entries tagged
it-säkerhet

8 myter inom IT-säkerhet

Comment

8 myter inom IT-säkerhet

I takt med att tekniken går framåt, IT-miljöer och hotbilder förändras så finns det också ett antal myter som hänger kvar. Här kommer 8 vanliga myter inom IT-säkerhet:

  1. Mitt företag är för litet för att bli föremål för hackers! 
    Svar: Fel, små och medelstora företag utgjorde mer än hälften av alla intrång förra året. 

  2. Starka lösenord räcker för att hålla data säker! 
    Svar: Fel, ett starkt lösenord är bra, men 2-faktorsautentisering och övervakning av data behövs för att uppnå flera lager av säkerhet. 

  3. Antivirusprogram är ett fullgott skydd för organisationen! 
    Svar: Fel, denna typ av mjukvara skyddar bara för vissa typer av angrepp. 

  4. Om ett trådlöst nätverk har lösenord så är det säkert! 
    Svar: Fel, alla typer av publika trådlösa nätverk kan utgöra en risk och hot även om det är lösenordskyddat. 

  5. Cyberhot är endast externa hot! 
    Svar: Fel, insiderhot är minst lika vanligt oavsett om det handlar om handhavandefel eller skadliga intentioner. 

  6. En årlig utbildning av användarna kring IT-säkerhet är tillräckligt! 
    Svar: Fel, det krävs regelbunden utbildning för att hjälpa användare identifiera verkliga attacker. Detta kan ex. vara phising simuleringar.

  7. Du vet direkt om du blivit hackad eller inte! 
    Svar: Många organisationer går månader och år utan att veta om det eftersom ex. malware är utformad för att smälta in i IT-miljön. 

  8. Cybersäkerhet är endast IT-avdelningens ansvar! 
    Svar: Fel, IT-säkerheten ligger på alla anställdas bord och det är varje användarens ansvar att agera utefter fastställda policys för att uppnå säkerhet. 

Comment

Dark Web

Comment

Dark Web

Ett ord som börjar florera allt mer när man diskuterar IT-säkerhet är Dark Web och dess innebörd. Många ställer sig frågande och är möjligtvis lite skeptiska till dess påverkan. 

  • Är det bara ett modeord? 

  • Behöver vi verkligen bry oss? 

  • Varför skulle någon använda det? 

Internet är uppdelat i tre olika kategorier, Surface, Deep och Dark Web. Detta utgör enkelt förklarat  allt du som användare kan nå på Internet. 

Surface web, clearnet eller på ren svenska det “synliga nätet” omfattas endast av några procent (ca 4%) av allt innehåll på nätet och detta är den del du kan enkelt kan surfa på genom en sökmotor eller direkt genom en web url. 

Därefter har vi Deep Web som man inte kan få tillgång till genom att bara klicka runt eller skriva in en web url. Detta kan exempelvis vara din online bank, betaltjänster eller webmail som är skyddat bakom inloggning. Dessa sidor är alltså inte indexerade av sökmotorer och är endast åtkomstbara efter ett lösenord eller annan autentisering av användaren. 

Till sist har vi Dark Web som i alla fall låter som en väldigt mörk plats. Det är en del av nätet som man inte kan få åtkomst till genom en vanlig webbläsare. Vanligtvis används webbläsaren Tor (The onion routing project”) som utvecklades av amerikanska regeringen för U.S Nacy i mitten på 90-talet men som numer fri för alla att använda. Syftet med detta är att kunna bibehålla sin anonymitet så ingen kan spåra eller följa vad du gör. 

Detta är självklart stora fördelar när det handlar om visselblåsning eller informationsutlämning till exempelvis journalister. Men innebär samtidigt problem när det används för illegala syften såsom försäljning av exempelvis droger, stulna kreditkortsuppgifter eller andra kriminella aktioner. 

Med detta i beaktning så pekar även trenden på att dataintrång blir alltmer sofistikerat genom användning av trovärdiga uppgifter i samband med phisingförsök eller andra “social engineering” aktioner gentemot enskilda användare. 

Statistiken visar att 4/5 dataintrång idag med stulna och/eller svaga lösenord som många gånger publicerats eller sålts på dark web. Där 76% använder samma lösenord för de flesta, om inte alla websidor/tjänster de använder för både privat och professionellt bruk. En risk som blir ännu mer påtaglig när alltfler SaaS-tjänster gör intåg och succé på företagsmarknaden. 

Så baserat på detta: Få inte panik, men JA ni behöver oroa er och agera då 85% av alla företag under 1000 anställda har någon gång blivit hackade utan att veta om det. 

Comment

Skydda det som skyddas kan

Comment

Skydda det som skyddas kan

I en kontext där cyberhoten ökar och samhällskritiska verksamheter är potentiella måltavlor är det dags att skydda det som skyddas kan. Kan man bredda tillämpning av undantag vid IT-upphandling?  

Å ena sidan kan man argumentera för att undantag ska tillämpas restriktivt, å andra sidan kan man argumentera för att det är en skyldighet att tillämpa undantag trots att definitionerna i lagtexten inte överensstämmer 100%. Kanske bör det inte ses som en paradox utan istället en möjlighet för verksamheten?  

I en alltmer föränderlig värld, där behov och hotbild ständigt förändras kanske tolkningar kring vad som är synnerliga skäl, rikets väsentliga säkerhetsintressen (LUFS), Sveriges väsentliga intressen (LOU) etc. behöver ändras snabbare än lagstiftarna hinner med? 

Kunskap men framförallt rädslan att tillämpa undantag och bli kritiserad för detta beslut kan ibland ta överhand och bli styrande. Vilket beslut tar vi om vi endast utgår från verksamhetsbehovet?  

Att skydda förmåga och kapacitet i kontexten offentlig upphandling, offentlighetsprincipen, entreprenörer, konsulter och underleverantörer är en utmaning. 

Det gäller att täppa till alla hål, medans angriparen bara behöver hitta ett. 

Som i allt säkerhetsskyddsarbete handlar det om att lägga ett omfattande pussel. Finns det pusselbitar som kan skyddas på ett bättre sätt genom en mer frikostig tillämpning av undantag? 

Om ja, till bekostnad på vad? 

Comment