En sikker kultur

En tendensartikel om sikkerhed, backup og restore med interview af Commvault.

Danoffice IT blev i 2023 Danmark’s første og eneste Commvault Elite Partner.

15. februar 2024

Security
Cloud & Data Platform
Commvault
Artikel

At arbejde med it-sikkerhed er som at bestige et bjerg, hvor toppen hele tiden flytter sig. Og når angrebet sætter ind, kan det føles som et Sisyfos-arbejde, når man bliver slået tilbage til udgangspunktet – eller endnu længere bagud. Men heldigvis bliver vi klogere og bedre på trods af, at udviklingen lige nu raser afsted og tager helt nye former end for blot få år siden.

Paradokset er, at nogle af de helt klassiske, basale og ofte oversete discipliner stadig er nøglen til at stå stærkt. Vi har taget en snak med Commvault om sikkerhed af i dag. Om kedelige, men kritiske elementer i din sikkerhed – og om den gode kultur. Det får du:

Forskellen på før og i dag: Tjek om I hænger fast i rutiner, som ikke længere er gode nok
Kend de kriminelles metoder og værktøjer - sådan foregår angreb i dag
Indsigt i konsekvensen af, at selv små kriminelle aktører nu også bruger AI
Inspiration til ansvarsfordelingen mellem forretning, topledelse, it-afdeling og CISO
Løsningen leveres som en service - hvem har ansvaret?
Hvad gør du, når admin kompromitteres?

Kontakt os

Som at se maling tørre

Per Larsen, Senior Sales Engineer i Commvault, har med sin mangeårige erfaring en sund portion overskud og indsigt, når han taler om it-sikkerhed. ”Der er en del, som siger, at backup er lige så spændende som at se maling tørre. Men det er dét, vi laver! Backup og re-store. Felter, som har været på noget af en rejse i it-udviklingen.

For få år siden var den primære grund til at etablere en backup frygten for, at medarbejdere slettede filer – tilsigtet eller ej. Dén tid er ovre. Nu handler alt om cyber security, og her er backup og restore stadig relevant – og mere end nogensinde”, slår han fast.

Beredskabets rygrad

Jesper A. Frederiksen, Head of Security i Danoffice IT, ser som Per, at de grundlæggende sikkerhedsdiscipliner ikke er det hotteste. ”Backup og restore har noget kultur imod sig. Det er ikke særligt sexet. Udfordringen er dog, at som teknologisk komponent er backup og restore hele rygraden i dit samlede beredskab. Din restore er det allersidste håndtag, du kan hive i, for at komme tilbage til udgangspunktet efter et angreb”.

Dermed slutter Jesper sig til devisen om ikke at gå på kompromis. ”Hvis vores tekniske komponenter ikke er af en given kvalitet, er vi dårligt stillet. Hvis din restore ikke spiller 100%, så er din backup ikke meget værd”.

Mærsk åbnede vores øjne

Som virksomheder skal vi forholde os til, at vi bliver ramt. ”Det kom for alvor på tavlen med Mærsk-angrebet i 2017. Herefter steg trenden, især efter at Demant blev angrebet i 2019. Siden da har ingen set sig tilbage”, fortæller Per. ”Devisen var lidt: Vi vidste godt, at der var noget, der hed ransomware – men vi laver jo bare høreapparater? Den tilgang havde langt de fleste. I dag ved vi, at ingen industrier, sektorer eller brancher går fri. For de cyber-kriminelle er ligeglade: Data er penge”.

Igennem årene har vi i Danoffice IT været vidne til omfangsrige og brutale angreb, og vi er nu yderst bevidste om trusselsbilledet, hvor uvelkomne aktører kommer ind bag vores mure og tilegner sig rettigheder til vores systemer. Et kendt scenarie er, at de stjæler en it-medarbejders rettigheder og får adgang til produktion og forretning.

Ifølge Per kræver det forandring på flere planer: ”Selvom der forankrer sig en bevidsthed om potentielle farer, sidder vi ofte fast i tilgange, der hører fortiden til. Men vi er nødt til at forholde os til data ud fra et cyber crime-perspektiv. Facit er dermed, at vi skal have en dialog om, hvorvidt systemerne er gode. Gode nok i forhold til performance? Gode nok i forhold til sikkerhed?"

Data er penge

"I dag ved vi, at ingen industrier, sektorer eller brancher går fri. For de cyber-kriminelle er ligeglade: Data er penge"

The Era of the CISO

”Forretningen har taget têten på at håndtere sikkerhed. Og vi oplever også topledelser tage absolut ansvar”, slår Per fast. ”Man har i dag en forventning om, at alt skal være tilgængeligt altid. Og de forventninger peger altid mod it-afdelingen - også selvom det er forretningen selv, der har dikteret retningen. Vi ser stadig mange eksempler på, at it og forretning ikke er alignet”.

Et missing link i denne ligning er måske CISO’en, fortæller Per. ”At ramsomware er farligt, er nu almen viden. Men det er CISO’en, som bærer bevidstheden helt op på bestyrelsesniveau. CISO’en forholder sig hele tiden til trusselsbilleder, og herefter vurderer forretningen sammen med it-afdelingen, hvad der skal til for at modstå truslen. Cyber crime er 100% kommet på direktionsgangen”.

Dén betragtning genkender Jesper, som påpeger, at balance er nøglen til at lykkes. ”Sikkerhedsarbejdet består af tre gensidigt afhængige parametre: Kultur, styring/proces og teknologi. Pendulet svinger hele tiden i arbejdet med sikkerhed. Lige nu har pendulet taget et ordentligt ryk over mod ledelse og styring. Og fordi, vi som oftest ikke har ret meget simultankapacitet, rammes vi alle lidt af, at NIS2, ledelse og governance løber med opmærksomheden. Derfor er det ofte de helt grundlæggende ting, der trænger til opmærksomhed, når vi laver vores afdækninger. Der er nødt til at være balance i dét fokus. Det er også grundlaget i vores arbejde med sikkerhed i Danoffice IT. Vi skal have en sund sikkerhedskultur”.

Ansvaret er dit – også i skyen

”For få år siden sagde folk, rolig nu, vi er jo ikke Danske Bank, med henvisning til angrebet på banken. Men i dag er vi alle Danske Bank, og bevidstheden har ændret sig. De krav, vi blev mødt med fra de store selskaber, er nu de samme krav, vi oplever fra de små. Disciplinen er den samme; investeringsniveauet er forskellen”.

Så hvornår er godt nok rent faktisk godt nok, når vi snakker sikkerhed? ”Før i tiden var standardsvaret, hvad koster det? Og vi ser da også stadig SLA-krav ud fra en best effort-tilgang, men det er sjældent godt nok. Præcist derfor tager forretningen nu têten og får sikret deres applikationer bedst muligt, for ellers kan de ikke tjene penge”, siger Per.

”I dag skal du jævnligt tjekke, om backup'en lever op til kravene”, siger Per og fortsætter: ”Tidligere vidste vi, hvor data lå. Når vi anvender aaS-løsninger, ved vi ikke altid præcist, hvor vores data er, og mange tror fejlagtigt, at det er aaS-udbyderne, som har ansvaret for jeres data. Men nej, det er stadig jeres eget ansvar.

Derfor er Commvault's platform, som den er: Vi håndterer sikkerhed, uanset hvor data er - on-premises, i cloud'en eller hybridt. Og uanset hvilken ny applikation forretningen presser ned over virksomheden, behøver I ikke at skifte system. Vi kan håndtere alle applikationer i vores platform”, fortæller Per.

En kopi af alt

”Hvis din admin kompromitteres via stjålne credentials, er du meget, meget ringe stillet, hvis ikke du har et system, der kan opfange det. Din backup berører ALLE dine data, derfor har vi på Commvault-platformen altid en kopi af alt. Og vi kan hele tiden se, om der foregår noget unormalt”.
- Per Larsen, Senior Sales Engineer, Commvault

Den onde admin er stadig ond

Hackernes angreb skifter hele tiden karakter og er over tid gået fra at være af primært destruktiv karakter til - ifølge Per Larsen - at være mere raffinerede. Nu går man nemlig direkte efter backup’en. ”Vi er med årene hos Commvault derfor også gået fra at være ren data protection til også at have et skarpt fokus på backup. Men tingene hænger sammen: Protection handler også om at se, om nogen sniger sig ind bag murene for senere at skade jeres backup. Og her snakker vi om the evil admin", forklarer Per.

”Hvis din admin bliver kompromitteret via stjålne credentials, er du meget, meget ringe stillet, hvis ikke du har et system, der kan opfange det”. The evil admin er derfor en tendens, som burde være taget mere alvorligt noget før. ”Der er et særligt risikoperspektiv på denne tendens. Din backup berører ALLE dine data, og i vores system har vi derfor altid en kopi af alt. Og vi kan hele tiden se, om der foregår noget unormalt. Selv de mindste små bevægelser bag murene, kan vi se”.

”Beredskabsplanen har fået en renæssance, og her kan Danoffice IT være en central, rådgivende part. For vi skal dele vores erfaringer i stedet for at opfinde den samme tallerken hver gang – det er der slet ikke tid til, når angrebet sætter ind. Proaktivitet er nøglen, for man kan ikke opgradere sin brandforsikring, når huset er brændt” - Per Larsen, Commvault.

AI skaber et helt nyt perspektiv

Sikkerhed er et felt, der altid er i bevægelse, slår Jesper A. Frederiksen fast. ”Husk, at arbejdet med sikkerhed er cyklisk. Hver gang, vi synes, vi er i hus med en proces, er vi nødt til at forberede os på det næste, der kommer. Vi ser måske en eller anden super-AI, som angriber på en helt ny måde”, lyder det.

”Mange sikkerhedsfirmaer har arbejdet med AI i årevis og har brugt meget udviklings-power på at skabe AI’er til forsvar. Men dén teknologi er nu også tilgængelig for angriberne. Dén power, som før var forbeholdt store selskaber, anvendes nu hos selv de helt små, kriminelle aktører. Det skaber et helt nyt perspektiv for os alle. Vores ”tid” som beskyttere – os, som skal stå på mål for vores kunders sikkerhed – dén er blevet væsentligt kortere. Desto mere grund til at have alt på plads – også den grundlæggende teknologi”, slutter Jesper A. Frederiksen, Head of Security i Danoffice IT.