Det är lätt att företag väntar med att implementera IT-säkerhet tills en fullständig säkerhetsstrategi finns på plats. Men sätt igång direkt med att säkra skyddsvärda system och IT-resurser, även om det saknas en strategi, menar Johan Nordström, Skandinavienchef på InterSystems.
IT-säkerhet är ett ständigt aktuellt ämne. Attackerna, hoten och sårbarheterna blir fler, värre, större och mer varierade. Säkerhetsexperter har helt enkelt inte med. I det läget lyfts grundläggande arbete med strategier och utbildning ofta fram som ett botemedel.
– Jag vill absolut inte ifrågasätta strategiarbete, det behövs, som en grund och i det pågående arbetet. Men ibland märker jag att det finns en övertro på vad en strategi kan ge. En säkerhetsstrategi i sig ger inget skydd, säger Johan Nordström, Skandinavienchef på InterSystems.
Det gör inte heller en säkerhetslösning menar han.
– Man måste kontinuerligt arbeta med att skydda de resurser som är skyddsvärda. Det låter kanske självklart, men ibland läggs så mycket kraft på att formulera strategier att det faktiska arbetet med att implementera säkerhetslösningar där de behövs bli lidande.
Vilka resurser bör man skydda och hur bör man skydda dem? Jag väntar på att en strategi är fäst på pränt kan man börja med att bygga skydd mot en eller två viktiga typer av attacker. Med viktiga menas ofta förekommande attacker med potential att orsaka stor skada för det egna företaget.
– Fortsätt med att bygga skydd mot attacker med annan karaktäristik, till exempel ”stora”, ”via partner”, ”riktade”, etcetera. Det viktiga är inte hur kategorierna definieras eller väljs ut, utan att du har en idé om vad som är värdefullt att bygga skydd mot.
Enligt Johan Nordström är poängen att kontinuerligt jobba med att bygga säkerhetslösningar som är faktiskt skyddade av systemet och IT-resurser som finns på företaget.
– Och här kommer den viktiga aktiviteten som ofta glöms bort: se till att återföra erfarenheter från arbetet med att skydda de olika resurserna till strategiarbetet. Det ger en bättre strategi, som stämmer överens med de verkliga behoven på ett bättre sätt.
Hur ska man då skydda de IT-resurser som valts ut? Enligt InterSystems måste man börja någonstans, även om det inte finns en heltäckande strategi som anger var. Vilket det aldrig kommer att finnas i en säkerhetsvärld som är stadd i ständig förändring. Johan Nordström har en lista med åtgärder som alla är relevanta:
• Människor: De anställda är alltid den svagaste punkten. Här behövs både säkerhetsprodukter och utbildning fortlöpande för att bekämpa social manipulation, nätfiske, skadliga länkar och dokument, falska mejl och andra lurendrejerier.
• Lösenord och flerfaktorsautentisering: Det är alltid en svag punkt som behöver åtgärdas.
• Patchhantering: Det är av allra yttersta vikt att fortlöpande uppdatera mjukvaror på ett effektivt sätt.
• Utvärdera partner, leverantörer, kunder och alla andra som man interagerar med, ur säkerhetssynpunkt. Attacken som sänkte Coop förra sommaren visar på vikten av det.
• Anställdas egna enheter: Tillgänglighet och hög säkerhet behöver gå hand i hand.
På längre sikt behövs arbete med arkitekturer och infrastruktur, och med strategier. Att skydda data bör vara ett av de centrala målen i det arbetet.
– Här finns två viktiga saker att tänka på. För det första, vilka data ska skyddas? För att avgöra den nödvändiga analysen av hur värdefulla data är. För det andra, välj lösningar för att hantera data med arkitekturer som är så robusta och säkra som möjligt i sig själva. Att bygga på säkerheten i form av ett lapptäcke av lösningar tenderar att orsaka fler säkerhetsproblem än det löser, avslutar Johan Nordström.
……………………
Denna artikel publicerades i Aktuell Säkerhet 17 maj 2022. Läs den i sin helhet här.
……………………
En version av denna artikel publicerades även i VDtidningen.se och visar på hur viktigt det är idag med just cybersäkerhet.