MedSikkerhed

Risikovurdering betaler sig

2012-01-19T12:34:15Z

Er du bevidst om den risiko, som din virksomhed løber, når den anvender sine it-systemer? Mange mindre og mellemstore virksomheder har aldrig fået analyseret den risiko, som de påfører sig selv ved deres anvendelse af it. Jeg er af den holdning, at det kan betale sig at kende risikoen. I denne artikel vil jeg forsøge at belyse, hvorfor pengene til risikovurdering er givet godt ud.

It-sikkerhed er en nødvendighed, der er kommet for at blive, hvis man ikke vil løbe ind i øretæver.

Men it-sikkerhedsforanstaltningerne skal doseres korrekt ellers kan de være uvirksomme og give en falsk trykhed – eller, hvis de overdoseres, så kan de hæmme arbejdet i virksomheden.

Det første træk vil være en vurdering af de risici, som virksomheden ved sin anvendelse af it pådrager sig.

Det kunne f.eks. være risikoen ved at have:

En offentlig hjemmeside med informationer omkring firmaet
Adgang for firmaets ansatte til nettet gennem en udbyder herunder hjemmesider, mail, chat mv.
Maskiner på lokalnettet, der kan tilgås direkte fra det offentlige netværk.
Samlinger af personfølsomme data.
Afhængighed af teknologi (Tegninger til CNC maskiner i fabrikationsvirksomhed, bogholderi og kundedata)
Vitale data på bærbare computere, smartphones eller USB lagermedier.

Jeg har nogle rædselseksempler, som jeg plejer at fortælle om:

1. For år tilbage var jeg ude og besøge en læge, og da vi talte backup, så fortalte han, at han selvfølgelig tog backup hver dag. Ved en nærmere undersøgelse, så viste det sig, at båndstationen var defekt, og der ikke havde været taget backup af alle journaler mv. i ½ år. Han havde aldrig kontrolleret, om båndstationen fungerede korrekt.

Eksemplet viser, at selvom truslen om at tabe data er erkendt, så har man ikke erkendt risikoen ved samtidige fejl dvs. nedbrud af en harddisk og en båndstation på samme tid. Det blev ikke kontrolleret om backuppen blev taget korrekt – og om den kunne læses. Båndene lå i øvrigt i boksen ved siden af serveren, og ville givetvis gå tabt i en brand.

2. En virksomhed havde en præsentationsside placeret på et webhotel udenfor deres egen it-installation. Da jeg havde kontrolleret hjemmesiden, så kunne jeg se, at systemerne bag hjemmesiden havde nogle huller. Programmerne var ikke blevet opdateret. At der skulle være en risiko ved det, blev af den it-ansvarlige slået hen som uvæsentligt og noget rent teoretisk, for: ”De var som en lille virksomhed ikke et mål” – lige indtil hackeren lagde deres side ned.

Jeg finder, det et godt eksempel på, hvor svært det kan være, at overbevise en virksomhed om, at de løber en risiko. Selvom risikoen er klarlagt, så ønsker de ikke at handle på den – og bliver ramt med 120 km/t.

3. I den anden grøft har jeg besøgt en virksomhed, hvis leder var meget bange for internettet. Derfor måtte alle ansatte dele én maskine, der var koblet på en ADSL forbindelse udenom virksomhedens interne netværk, når de skulle læse deres post eller søge på internettet.

Her har vi et grelt eksempel på, at overdrevne sikkerhedsforanstaltninger hæmmer den daglige it-anvendelse og trækker fleksibilitet ud af organisationen. De ansatte var dybt irriterede over beslutningen, og de følte, at de hver dag spildte arbejdstimer.

Hvad er det, jeg vil fortælle med det?

Hvis du ikke har analyseret risikoen ved din it-anvendelse så risikerer du at træffe nogle dårlige beslutninger.

Du risikerer, at de beslutninger du træffer, ikke giver nogen praktisk forbedring af sikkerheden - eller at dine beslutninger begrænser effektiviteten af din it-anvendelse - uden at give en tilsvarende beskyttelse.

For de fleste mindre og mellemstore virksomheder, så tager en risikovurdering fra nogle få timer til et par dage.

Vurderingen indledes som et interview, kombineret med en rundvisning i virksomheden. Virksomhedens fingeraftryk udarbejdes, så virksomheden har et indtryk af, hvordan en eventuel hacker vi se virksomheden.

Er virksomhedens it-anvendelse kompleks, så bliver der udarbejdet et tilbud på, hvad der skal til for at afdække risikoen.

Når risikoen er afdækket, så udarbejdes der en prioriteret handleplan for, hvad der bør gøres for at imødegå risikoen på den mest effektive og økonomisk forsvarlige måde.

Når risikoen er afdækket, hvad så?

Når virksomhedens risikoprofil er afdækket, så skal de fundne risici grupperes i risici:

som du kan acceptere at leve med.
som du kan forsikre virksomheden mod
som du bør reducere eller imødegå, ved at du ændrer arbejdsgang, underviser ansatte - eller ved at du indfører tekniske eller logiske modforanstaltninger.

Generelt, så er reglen, at omkostningerne ved en modforanstaltning ikke må overstige tabet ved en sikkerhedshændelse. Undtagelsen er dog, hvis det etableringen er foreskrevet i love, certificeringskrav eller krav udefra (sektorkrav eller andre).

It-sikkerhed - ansvar...

2012-01-17T08:03:07Z

Mange mindre og mellemstore virksomheder har måske ikke en særligt kompleks it-installation, men de fleste af virksomhederne er alligevel dybt afhængige af, at deres it-systemer fungerer korrekt for at kunne få dagligdagen til at fungere.

På trods af, at det kan være fatalt for virksomheden, hvis dens evne til at betale regninger eller udstede fakturaer er væk i en periode, så kan det være svært at overbevise virksomhedernes ledelse om, at de bør investere i planlægning, der sikrer systemernes fortsatte tilgængelighed, integritet og fortrolighed.

”Hvis der ikke er foretaget en risiko analyse, så ved de ansvarlige ikke hvilken risiko, virksomheden løber, og det kan blive fatalt.”

Jeg talte med en bogholder (it-ansvarlig), der blev meget irriteret over at jeg forstyrrede hende med et spørgeskema omkring it-sikkerhed. Grunden til hendes irritation var, at de havde så mange problemer med deres it-installation, at hun ikke havde tid eller lyst til at tale med mig. Hun mente heller ikke, at der var behov for nogle planer. De kunne sagtens leve uden.

En virksomhed uden planer og politikker løber en risiko, som ingen i virksomheden har taget aktivt stilling til. De kan blot håbe på, at tingene går godt. Sådanne virksomheder er som oftest dybt afhængige af deres it-leverandører, og det er leverandøren, der sætter sikkerhedsniveauet.

De virksomheder, der har udarbejdet en it-sikkerhedspolitik, har som oftest fastlagt ansvars- og opgavefordelingen for it-sikkerhedsarbejdet. Bestyrelsen vil normalt have det overordnede ansvar. Opgaverne delegeres ud i organisationen til direktion, it, administration, ejendomsafdeling og andre i organisationen. Bestyrelsen anvender revisionen til at kontrollere, om de enkelte forretningsenheder overholder politikken og forvalter den på en hensigtsmæssig måde.

På trods af denne ansvarsfordeling og delegering af opgaverne, så møder jeg alligevel holdningen blandt nogle fagchefer (it-chef, bogholder, økonomichef etc.), at de ikke ønsker at anvende ressourcer på sikkerhed, når de skal introducere nye tiltag på deres it-system, men at de ønsker at overlade den delopgave til leverandøren.

Her mener jeg, at de bryder med et af nøgle-principperne i sikkerhed - nemlig, at virksomheden skal kende de risici, man løber ved dens anvendelse af it-systemerne. Hvis der ikke er foretaget en risiko analyse, så ved de ansvarlige ikke hvilken risiko, virksomheden løber.

Derfor er det umuligt for virksomheden at træffe forholdsregler, der imødegår risikoen; forholdsregler baseret på objektive vurderinger. Med andre ord, så famler de rundt i blinde, hvis de undlader analysen.

Et hvert nyt tiltag, der foretages på virksomhedens it-systemer bør i bund og grund gennemgå en risikoanalyse. Ansvaret for analysen har virksomheden selv, da de har ansvaret for sikkerheden. Leverandøren kan medvirke med data til analysen, men leverandøren bør ikke have ansvaret for den.

Det er min erfaring, at hvis virksomheden overlader arbejdet med risikoanalysen til leverandøren, så indsnævres analysen til at omfatte leverandørens produkt og dets umiddelbare snitflader. Det vil være svært for en leverandør at anlægge en holistisk tilgang til virksomhedens it-sikkerhed, da leverandøren næppe selv råder over sikkerhedsekspertise, der strækker sig udover deres egne produkter.

Leverandøren kan givetvis sikre sit produkt efter best practice, men han har som oftest ikke et overblik, der rækker ud over deres eget system.

Billedligt talt, så opstår der et antal sikkerhedsøer i virksomhedens sikkerhedshav, hver for sig er sikret så godt som muligt. Problemet er, at virksomheden ikke råder over et kort, der viser havet med øer, grunde og skær. Det giver virksomheden gode muligheder for at gå på grund.

Min anbefaling er

En virksomhed bør ikke lade en leverandør tage ansvaret for sikkerheden og undlade at stille krav til leverandøren. Ligeledes bør virksomheden sørge for at teste, at nye løsninger ikke undergraver det sikkerhedsniveau, som virksomheden ønsker at opretholde.

I øvrigt vil det være lærerigt for de fleste ledere, at tage sig tiden til at læse om ’God it-skik’. Denne publikation kan findes på www.isaca.dk.

(Denne artikel er sakset fra fra min blog på inHouse Security's)

It-katastrofeplaner?

2012-01-17T07:51:00Z

Rigtig mange mindre og mellemstore (SMB) virksomheder er dybt afhængige af deres it-systemer. De færreste virksomheder i SMB-segmentet har derimod systematisk gennemgået konsekvensen af, hvad der sker, hvis it-systemerne i en periode ikke kan anvendes, eller hvis it-systemerne bliver angrebet af hackere.

Hvis it-systemerne ikke fungerer, så er stor risiko for, at virksomheden taber overblikket over økonomien, regningerne kan ikke betales og kunderne ikke faktureres. I sidste ende kan det betyde noget for virksomhedens evne til at overleve krisen.

Virksomhedens image kan også tage skade af angreb på it-systemerne – f.eks. på hjemmesiden.

Eksempler:

Virksomheden tager daglig backup af sine data fra én maskine til en anden. En krise kunne udløses ved at:

Begge maskiner bliver stjålet under et indbrud, eller får en virus, der ødelægger dataene, eller ødelægges ved en brand/vandskade/lynnedslag etc

Virksomhedens hjemmeside overtages af en hacker, som anvender den til at sprede virus til de personer, der besøger siden.
Virksomhedens mailserver bliver overtaget af en hacker, der anvender virksomhedens mail adresser til at sprede SPAM og virus.
En nøglemedarbejder, der alene har passwords til økonomisystemet, dræbes i et trafikuheld.

Omfang af planlægning

Behøver virksomheder gennemgå en meget dyr og detaljeret planlægning? Svaret er kort og godt nej!

Virksomhederne bør sætte sig ned og definere de scenarier, der kan true deres it-systemer og dermed virksomhedens eksistens.

Scenarierne skal renskrives og, der skal udarbejdes en kort handleplan for de enkelte scenarier. Handleplanen kan bestå af huskelister, inventarlister, en oversigt over forsikringer samt kontakt og telefonlister, men de behøver ikke være lange og detaljerede.

Alt i alt vil det tage en erfaren konsulent et par arbejdsdage at afdække behovet og skrive en plan for de fleste SMB virksomheder. Sammen med planen vil der givetvis være nogle procedure, virksomheden skal indføre f.eks. anderledes håndtering af backup, passwords osv.

Hvad bør planen dække?

Þ En liste over kritiske hardware og software elementer,

Þ Definition af, hvor længe de enkelte elementer kan være nede, før det truer virksomhedens eksistens.

Þ Backup procedurer,

Þ Forhold ved angreb mod hjemmeside, infrastruktur eller andet,

Þ Håndtering af ikke elektroniske data,

Þ Hvad gør virksomheden ved brand eller en omfattende skade,

Þ Hvilken kritisk hardware og software råder virksomheden over?

Þ Virksomhedens definition af nøglepersoner og forhold mod koncentration af viden.

Þ En liste over nøglepersoner, håndværkere og samarbejdspartnere (forsikring, it-leverandører mv.).

Afprøvning

Planen bør afprøves mindst én gang årligt som en beredskabsøvelse, og den bør i den forbindelse ajourføres.

Sikkerhed

It sikkerhed har til formål at sikre it-systemernes og datas tilgængelighed, integritet og fortrolighed. Udarbejdelse af katastrofeplaner, som teknisk kaldes BCP (Business Continuity Planning), er en væsentlig del af it-sikkerheden.

BCP erstatter ikke den daglige sikkerhed i driften som antivirus systemer, firewalls, brand- og tyverialarmer og andre beskyttelsesforanstaltninger, men BCP er virksomhedens plan for, hvad de gør, hvis alle disse daglige tiltag fejler.

Anden udbredelse

Denne form for planlægning bør i øvrigt ikke begrænses til it-systemerne. For eksempel bør produktionsvirksomheder have plan for, hvad de gør, hvis produktionsapparatet eller dele deraf beskadiges.

Hvorfor planer?

Den berømte general Clausewitz siger: ”Ingen plan overlever den første kontakt med fjenden”. Hvad har det så at gøre med it-sikkerhedsplanlægning?

Hvis du definerer fjenden som et it-nedbrud eller som en hacker, så betyder en god plan, at du har noget at improvisere ud fra, selv om det ikke var helt det scenarie, du i første omgang planlagde foranstaltninger imod.

Du skal med andre ord ikke genopfinde den dybe tallerken på et tidspunkt, hvor du i forvejen har hænderne fulde. Dermed kommer du og din virksomhed hurtigere over krisen.

Derfor giver det mening for SMB-virksomheder at gennemføre en fornuftig planlægning også for it-katastrofer.

Forkortelser:

SMB = Small and Medium sized Businesses = Små og mellemstore virksomheder.