Lær litt mer: Cybersikkerhet

Janna: Velkommen til PwC Lær litt mer som handler om Cyber security.

For et par år siden ville jeg ha tenkt cyber-space og Star Wars med en gang. Men nå er det noe som er helt vanlig. Det blir flere og flere kriminelle via en dataskjerm, og 7 av 10 norske virksomheter har opplevd cyber-angrep, viser PwCs rapport Cybercrime survey.

Velkommen til deg, Håkon Bergsjø, leder for Nasjonal Sikkerhetsmyndighet, NSM. Og til deg, cyber-rådgiver i PwC, Jan Henrik Straumsheim!

• Janna: Hvordan står det til med datasikkerheten for norske virksomheter, Håkon?
• Håkon: Det er som du sier, det er nå mange som opplever innbrudd, men det som er det positive er at det er mulig å sikre seg. Vi ser jo veldig lite innbrudd via metoder som ikke er kjent. Så det er altså kjente metoder, så systematisk tilnærming til sikkerhet hjelper jo.
• Janna: Det er rundt 1 angrep i Norge hver uke som dere i Nasjonal sikkerhetsmyndighet får melding om. Er det sånn at du får melding når du pusser tennene om morgenen og må bare hive deg rundt og tørke bort tannkremen i en fei?
• Håkon: Ja, litt sånn. Vi hiver oss rundt, og hvis det er alvorlige angrep så har myndighetene kort beredskap for å kunne hjelpe til.
• Janna: Du fortalte at du er mest engstelig for utpressing. Ifølge PwCs cyber survey så har 4 av 10 måtte punge ut med over 7 millioner kroner. Hva er det som skjer?
• Håkon: Det er jo noe av det som gjør at jeg eventuelt sover dårlig om natten. Det er jo den nye krypteringsbølgen som er kommet. Det er altså kriminelle grupper som rett og slett bryter seg inn i datanettverket og krypterer flest mulig maskiner for så kreve løsepenger. Altså da ta seg betalt for å få nøkkelen tilbake.
• Jan Henrik: Jeg synes også dette fenomenet her er ganske fasinerende. Enn så lenge har det jo handlet om at disse kriminelle krypterer filene dine, eller setter systemene ute av spill, og ber om løsepenger for at de skal låse opp det opp igjen. Det jeg kanskje er enda mer bekymret for er jo når de begynner å vri om på taktikkene sine å si "Hvis ikke du betaler oss nå eksponerer vi informasjonen din". Kanskje uheldig kommunikasjon, marked- og strategiplaner, børssensitiv informasjon og den type ting. Og at vi kan få en slik dreining i utpressningstaktikk fremover, er noe jeg er bekymret for personlig.
• Janna: Sover du godt om natta da?
• Jan Henrik: Delvis.
• Håkon: Vi ser jo det at et av de første eksponeringhendelsene var når Sony fikk eksponert sitt materiale på nett, og det var jo ikke noe de ønsket seg for å si det sånn. Det er noe som kan skje fremover så man må vite hvilken verdi man har, og hva man enten ikke vil ha kryptert eller eksponert.
• Janna: Jeg er en typisk naiv nordmann. Om noen sier last ned her, så gjør jeg fort det. Men det gjør ikke du?
• Håkon: Nei, det er jo en av de skumle tingene. Heldigvis har maskiner blitt sikrere enn de var i gamledager. Ny programvare er sikrere enn gammel, så det er ikke bare sånn at man får en e-post også klikker man på en link også er man infisert eller altså har et innbrudd. Ofte så må man gjøre noe mer. Man må gjerne tvinge maskinen til å gjøre noe dumt. Så det hjelper jo bevisste brukere, som ikke bare sier "nei jeg bare laster ned denne programvaren". Selv om hele maskinen skriker "Nei, nei!". Det er jo en positiv trend da at det går an å sikre seg.
• Janna: Hva er det største angrepet i det siste? Kan du gi et eksempel på hvordan det skjer?
• Håkon: Vi håndterer mye innbrudd, altså ren spionasje. Der er det via e-post, som vi snakket litt om, og da må man gjerne lure brukerne. Enten om lurer brukeren til å installere noe som gjør at du blir eksponert. Eller om du lurer fra brukeren passordet. Det kan man gjøre ved å si at passordet ditt har gått ut. Da leverer man fra seg passordet, og da blir det vanskeligere for maskinen å sikre det. Men andre ting er også gamle maskiner som blir stående på nett, som man rett og slett kan bryte seg inn i. Har man glemt et gammelt prosjekt og sånne ting, da har man altså dette stående og man eksponerer seg. Det blir litt som å la bakdøren stå oppe.
• Janna: Du blir jo kontaktet av venner, Jan Henrik, når det er krise. Det f.eks. dukker opp Viagra-reklame som bare setter seg fast på datamaskinen så ringer dem til deg.
• Jan Henrik: Ja, det er jo ikke det jeg jobber med til daglig, men det skjer jo da ikke sant. Det kan jo være noe man har vært borte i selv at man blir liksom sånn "type casted" som en dataeksperten. Har faktisk eksempel, hvor venninen av kona ringer meg i helgen. Hun er skolelærer, og har vært uheldig og fått noe reklame. Ikke nødvendigvis et virus, men noe som har satt seg fast i bunnen av skjermen hennes. Noe type Viagra-reklam. Det passer seg veldig dårlig siden hun ønsker å bruke denne PC-en i forelesning for skolelevene sine mandag morgen. Da tok jeg meg den tiden på søndag morgen for å fjerne dette her, og som Håkon sa, gammelt utstyr er mindre sikkert. Så et poeng som jeg ønsker å spille videre på er de rådene som NSM kommer i form av at: Ja, åpenbart at e-post er den viktigste veien inn i form av angrepssektorer. Men også det, kanskje kjedelige og til dels vanskelig øvelsen, med å få "hygienen" på plass ved å gjøre sikkerhetsoppdateringer og holde IT-infrastrukturen din så oppdatert som mulig. Det vil redusere risikoen for vellykket innbrudd. Det er en vesentlig faktor.
• Janna: Ifølge cyber survey er 60 % av de som svarte mer bekymret for cybertrusselen enn de var i 2018. Det er en stor økning fra fjorårets undersøkelse hvor tallet var 44 %. Jan Henrik, du vil ikke skape frykt, men spre håp. Har du 2 gode råd?
• Jan Henrik: Det med å spre håp aller først da, så tenker jeg at man er mer bekymret for det nå. Det betyr jo at det settes på dagsorden. Ledelse og styre vil stille krav. De vil følge opp de som har ansvaret for å enten utvikle, drifte og videreutvikle systemene man har i virksomheten. Så det er i utgangspunktet en positiv ting tenker jeg. Når det gjelder to konkrete råd til virksomheter, vanskelig å være veldig konkret, men litt tilbake til de rådene NSM kommer med som vi i PwC stiller oss bak. Det er at hvis man sørger for å ha kontroll på "hygienen", altså installere sikkerhetsoppdateringer når de kommer og har kontroll på det. Så vil det redusere sannsynligheten for vellykket innbrudd i stor grad. Og det siste er det vi snakket om på frokostseminaret vi hadde her i dag. Det her om "passordhygiene", hvor privatpersoner så vel som virksomheter, har mye å hente føler vi på å velge ut gode passord og ikke minst ta i bruk teknologi som 2-faktor autentisering. Altså det at man får en ekstra kode i en app eller på SMS. Så dersom du skulle være uheldig og noen klarer å snappe opp passordet ditt eller finner det i en eller annen passord-dump på nettet, så reduserer du sannsynligheten til at de klarer å misbruke det på en eller annen måte.
• Janna: Får du ofte telefon fra ledere som er redde?
• Jan Henrik: Ja. Noe av utfordringen tror jeg er det her med frykt og usikkerhet. Vi er jo et enormt digitaliseringskappløp. Alle skal fram med nye teknologier, nye tjenester osv. Samtidig så øker trussellandskapet, eller den opplevde trusselstyrken.
• Janna: Hva mener du med det?
• Jan Henrik: Den frykten for det ukjente. Når man leser masse i avisene om hackere og virus, og det er vanskelig å holde tritt med den teknologiske utviklingen. Så det er jo mangelen på kunnskap som vi ofte møter hos kunden. Det vet ikke hva som egentlig er farlig for dem, hvor de skal prioritere innsatsen og hvor mye ressurser vi er nødt til å bruke. Det er tematikk som går igjen veldig ofte.
• Janna: Hva koster det?
• Jan Henrik: Ja, det varierer. Hvor lang er denne strikken?
• Janna: Det er er ikke som en pakke?
• Jan Henrik: Nei, det er det ikke. Det er ikke et problem man kan kjøpe seg ut av i utgangspunktet. Det handler om å sette sikkerhetsarbeidet i et system og jobbe med det kontinuerlig.
• Janna: Hva er en typisk NSM-spøk? På julebordet så lurer dere hverandre til å bruke minnepenner og laste ned vedlegg og slikt?
• Håkon: Det er nok dessverre et veldig kjedelig julebord sånn sett. Veldig tradisjonelt, men vi prøver jo da å bygge samhold og ha en god kultur. En åpen kultur sånn at man kan varsle. Det er noe av det viktigste en virksomhet kan gjøre, å ha eksponerte ledere som er til stede sånn at de skaper tillit og gjør at ansatte kan komme med kommentarer. De ser ofte hva som er sårbarheten i nettverket, og tar det på alvor.
• Janna: Mange tror fortsatt ikke det rammer dem. Kommer det som julenissen på kjærringa når de blir hacket?
• Håkon: Ja, dessverre. Vi var inne på hva man kan gjøre. Jeg tenker at de som lytter nå gjør jo noe av det aller viktigste, nemlig å sette seg inn i fagfeltet og rett og slett få kunnskap. Og man trenger ikke som bedriftsleder å skjønne dette her, men man kan stille spørsmål til IT-avdelingen sin. Man trenger ikke å huske NSMs fire topp-råd, men du kan spørre IT-avdelingen "Har du gjort NSMs topp-råd?". Det er kanskje det eneste du trenger å gjøre, og hvis svaret er nei så kanskje det er noen gode grunner til det, men da har du i hvert fall spurt.

Janna: Jeg tok en tur på gata i Barcode og hørte med folk hva de var redde for med cyber-angrep. Han som jobba i Nokas var redd nytt digitalt Nokas-ran.

• Person 1: Det er jo Nokas-ran nummer 2 (haha). Nå som han Toska, hjernen bak ranet, nettopp har kommet ut.
• Person 2: Vi hadde en e-mail som ble hacket en gang, men det fikk vi ryddet opp i. Vi mistet en backup og det var noe som ble kryptert så vi ikke kunne få tak i det igjen, men heldigvis hadde vi en ekstern server så det gikk bra.
• Person 3: Vi sitter jo på mye kundeopplysninger, så det må være at kundeopplysninger blir stjålet også blir kundene våre rett og slett misbrukt.
• Person 4: Når man har lært hvordan man oppdager det så går man ikke på det med en gang.
• Janna: Har du gått 5 på?
• Peron 4: Nei.

• Janna: Nei, kan hun vite det helt sikkert Håkon, om hun har gått 5 på?
• Håkon: De fleste private vil jo merke dette her. Altså statlige virksomheter kan jo bli utsatt for spionasje og da er hele meningen at du ikke skal merke det. Man kan føle seg relativt trygg som privatperson hvis man ikke har sett noe.
• Janna: Hun andre hadde fått kryptert filene i jobb-systemet, men de hadde ekstern backup. Er ikke det en god løsning, Jan Henrik?
• Jan Henrik: Ja, altså sikkerhetskopiering er "grunnhygienen" man bør ha på plass. Men det vi ofte ser er at virksomheter som tar seg bry til å ta disse sikkerhetskopiene kanskje nødvendigvis ikke er så flinke til å teste hvordan de funker og hvordan gjenopprette det. For et par år siden så hjalp vi et mediekonsern som utgjør en ganske stor avis her i Norge. Som ble utsatt for den her typen, kall det sabotasjeangrep, på en fredag. Så måtte vi jobbe med det i helgen for å prioritere gjenoppretting av sikkerhetskopiene deres. Det hadde de aldri øvd på før og det var et race mot klokken for å se hva de må prioritere først. Dette var da teiper med backup som måtte spoles tilbake igjen, og regne ut hvor lang tid det ville ta med de forskjellige diskene. Og rekker man da å få ut trykksakene til trykkeriene i tide nok så de kan lage aviser til mandagsmorgen et par dager senere. Det gikk akkurat, men det var bare flaks. For de hadde aldri testet denne gjenopprettingsfunksjonen.
• Janna: Ansattes ubevisste handlinger er største trusselen. Hvordan kan vi løse det?
• Håkon: En god sikkerhetskultur, som jeg har vært inne på og er veldig viktig er at man må gjøre de ansatte oppmerksomme på selskapets verdier og hva ledelsen mener er trusselen mot selskapene. Ansatte vil jo ofte gjøre det de får beskjed om og være påpasselig. Det er flere og flere virksomheter nå som tester, altså Phishing-tester. De sender deg falske e-poster for å rett og slett skape bevissthet rundt dette, og det ser vi hjelper.
• Janna: I følge PST er Olje og gass og Shipping utsatt. Hva er grunnen til det?
• Håkon: Ja, det er det samme som for andre virksomheter som er utsatt for spionasje. Dette er sektorer som er interessante for andre land også.
• Janna: Fredag 12. mai 2017 skjedde det noe dere ikke glemmer. Hvordan startet dagen din da, Håkon?
• Håkon: Da var det jo en av de store kampanjene som kom. Det var da den Wannacry-kampanjen kom. Det startet som en relativt fin dag, men i det jeg skulle gå hjem på fredag ettermiddag så braket det løs. Da får vi altså meldinger inn til operasjonssenteret at store virksomheter i andre land i Europa er fullstendig kryptert. Og da gikk sykehusene i England ned, noen av de. Da så vi de første tilfellene begynte å komme i Norge. Vi har en form for kontroll, men likevel en guffen følelse å se at dette nærmer seg og at det faktisk da begynner å treffe Norge.
• Janna: Hva gjorde dere da?
• Håkon: Det viktigste for oss da er å ha et oversiktsbilde. Vi klarer å montere situasjonen, få med de andre myndighetene så de kan begynne å begrense, og samtidig gå ut med råd. Vi var også ute i media et par timer senere for å rådgi.
• Janna: Husker du Wannacry, Jan Henrik?
• Jan Henrik: Ja, veldig godt! Noenlunde likt som NSM satte PwC sitt Cyber secure internasjonale stab for å begynne å kartlegge omfanget i hvert enkelt PwC-medlemsland. Og når vi er tilstede i 158 land, med en relativt brei kundeportefølje, så får vi ganske kjapt et overblikk over hvor det her treffer. Om det er en felles nevner eller hva det er som stikker seg ut. I parallell med dette her satte vi sammen et ganske bredt tverfaglig team for skaffe informasjon om hvilke sårbarheter er det potensielt som er blitt utnyttet, hvordan ser skadevernet ut og hvilke råd kan vi gi til kundene våre så raskt som mulig. Så det ble en lang helg er vel kanskje oppsummeringen.

• Janna: Jeg hørte i kantina at cyber ikke er så farlig for de små virksomhetene, hackeren går etter de store?
• Jan-Henrik: Helt uenig! Hvis man ser på små virksomheter så har de ofte dårligere robusthet, de har mindre spillerom med tanke på kapital og finansiering. Og hvis du er så uheldig og blir utsatt for et direktørsvindelforsøk som lykkes for eksempel, at de tømmer kontoen din eller hva det skulle være for noe. Så er oddsen for at du går under som en liten virksomhet i Norge sannsynligvis en del større om du er et mer moden konsern.
• Håkon: Det må jeg bare si meg enig i. Mange kriminelle velger jo ikke mål, de bare sveiper det som er sårbart. Ofte er det mindre virksomheter som har dårligere sikring, og det ser vi i mørketallsundersøkelsen også. De store virksomhetene har mer sikkerhetssystemer. Rett og slett bedre kontroll. Så det er vel så stor sjanse for de små til å bli utsatt da som du sier, da treffer de enda hardere.
• Janna: Så summa summarum: Cyber angrep skjer ukentlig i Norge og mørketallene er store. Men det er mulig å sikre seg. Og to gode tips er å ha kontroll på sikkerhetsoppdateringene og gjør noe med passordene dine, 2-faktor autentisering. Tusen takk for at du ville være med i PwC Lær litt mer, Håkon Bergsjø, leder i Nasjonal Sikkerhetsmyndighet. Og Jan Henrik Straumsheim, cyber-rådgiver i PwC!