Cybersikkerhet: Seks råd til ledere som vil unngå cyberangrep
06/07/23
– Folk har blitt mye flinkere til å oppdage phishing (nettfiske), men svindlerne finner stadig smartere måter å lure bedrifter på, sier PwCs cyberekspert, Eldar Lorentzen Lillevik, som har vokst opp på seilbåt og blir glad når han kan være med og forebygge cyberangrep hos virksomheter.
– Cybersikkerhet må inn i kulturen.
Det sier Eldar som fikk sin første aha-opplevelse i 2008-2009, da dataviruset “Conficker-ormen” spredte seg superkjapt og gjorde at politiet måtte skru ned mye av datanettet sitt. Eldar leder rådgivningsmiljøet innen cybersikkerhet i PwC og har seks tips til virksomheter for å unngå cyberangrep og digital utpressing.
– Det er slutt på Øystein Sunde-syndromet “Vi har folk til slikt”.
Sparebanken Hedmark var de første i Europa som lanserte nettbank i 1996. Norge var tidlig ute på grunn av Lillehammer-OL da telekomdekningen i Gudbrandsdalen var den beste i verden.
– De kriminelle følger den teknologiske utviklingen og nettbank-trojanerne tok av på midten av 2000-tallet, sier lederen som har ansvaret for 55 rådgivere innen cybersikkerhet i PwC.
Jobbet med spionasje
Eldar jobbet da i Forsvaret. Senere ledet han sikkerhesteksperter i Nasjonal Sikkerhetsmyndighet (NSM), NorCERT, DNB, og siden 2016 i PwC. – Jeg har fått gå i dybden på hele spekteret fra hacktivisme og hærverk via nettbanktrojanere og løsepengevirus til statssponset spionasje, sier han.
– Vi må ut og sloss litt tilbake
Eldar forteller om Kripos som burde ha vært i historiebøkene for det de gjorde for 10 år siden.
– En nettbanktrojaner begynte å spre seg i Norge. Da er det en av sikkerhetsfolkene våre som knekker krypteringen til trojaneren som snakker med vertsmaskinen. Altså, vi kunne se hvilke kommandoer som gikk fra de kriminelle til de norske brukerne. Vi fant også at vi kunne avinstallere viruset, forteller Eldar engasjert.
– Da Kripos trykket “avinstallere”, avverget de trolig omfattende digital kriminalitet. Det høres enkelt ut, men her skal enkeltpersoner i Kripos ha ære for å gå opp ukjent terreng. Vi må ut og sloss litt og være aggressive tilbake. Det er jo en risiko å gå inn i andres datasystemer. Men viruset ble stoppet, sier cyberlederen.
Eldar forteller om Kripos som klarte å få cyberkriminelle dømt i høyesterett, i samarbeid med finansnæringen.
– De kriminelle ble dømt etter hvor mye de potensielt forsøkte å stjele, og ikke hvor mye penger de faktisk stjal.
– Det Øystein Sunde synger om, at vi har folk til slikt, fungerer ikke lenger. Ledelsen må ha et forhold til cyberrisiko, og vite hvordan ta riktige beslutninger. Det er som et mannskap på båt. Alle må jobbe sammen, sier Eldar med sitt cybermannskap. Det jobber 55 cyberrådgivere i PwC.
Seks råd fra Eldar til ledere som vil sove godt om natta:
Ha et lagvis forsvar med god orkestrering
– Flysikkerheten på 60-tallet ble ikke bedre bare fordi det kom bedre fly. De trente pilotene bedre, var mer opptatt av meteorologi og fikk bedre holdninger blant mekanikerne. Sikkerhetskultur ble en del av måten de jobbet på. Det å si ifra, oppdage avvik og lære av feil har gjort at vi har overraskende få alvorlige ulykker i lufta i dag. God orkesterering er stikkordet. Også for sikkerhetsarbeid i virksomheter, forteller Eldar og viser til at brukere trenger trening for å oppdage sikkerhetshull, nettverket må sikres og ledere må se viktigheten av å prioritere sikkerhet.
Skap kompetanse til å styre risiko
En av Norges mest omtalte og anerkjente styreledere sa en gang: “Hvis cyberrisiko uteblir fra virksomhetens risiko, eller jeg ikke forstår hva det betyr for selskapet, så gjør jeg ikke jobben min som styremedlem”. – Det Øystein Sunde synger om, at vi har folk til slikt, fungerer ikke lenger. Ledelsen må ha et forhold til cyberrisiko. De må ta riktige beslutninger basert på riktig risikoverktøy (GRC-teknologi), sier Eldar. Han forteller om ledergrupper som våkner gjennom en stor hendelse. Og at de beste har god endringsenergi til å jobbe systematisk både i forkant, under og etter en cyberhendelse.
Skap en god sikkerhetskultur
– Bevisste folk er et viktig forsvar. Daglig er det angrep mot enkeltpersoner i bedrifter, forteller Eldar som har hjulpet mange virksomheter med å bygge kultur for å ta vare på sikkerheten. God sikkerhetskultur starter fra toppen men er forankret i styrkene på grasrota. – Det handler om å skape et psykososialt miljø som er trygt nok til at man kan melde fra om utfordringer og at organisasjonen har kapasitet til å lære av det. De ansatte må læres opp og de må få insentiver til å bidra i et lagvis forsvar. Til slutt handler det om å planlegge og trene på at ting kan gå galt, sier Eldar. Det er et godt utgangspunkt for improvisasjon og selvtillit i håndtering av uønskede situasjoner.
Skru til maskina godt (endepunktsikkerhet)
Eldar råder bedrifter til å ha god endepunktsikkerhet: At datamaskiner og mobile enheter er trygge og beskyttet mens de brukes av ansatte er viktig. Enten de er hjemme, på reise eller på jobb.
Trygge applikasjoner
Sørg for at systemene har god applikasjonssikkerhet. Ha en god utviklingsprosess med god testing, automatisering og sikkerhetsgjennomgang. Regelmessig oppdatere applikasjoners rammeverk og infrastrukturen rundt applikasjonene. Regelmessig testing for sårbarheter og utbedre disse kontinuerlig. Her er ni steg du bør ta for å ha god nok skysikkerhet.
Robustifiser deg selv!
– Sørg for at du er responsiv og evner å raskt oppdage når noe er feil så du raskt kan sprette tilbake til normaltilstand. Det å ha en trent beredskapsorganisasjon, gode rutiner for kriseledelse og testede rutiner for gjenoppretting og forretningskontinuitet er veldig viktig. Som vi sier på sjøen: En skipper som ikke har gått på grunn, er bare en som ikke har gått på grunn ennå. Det gjelder på land også. Ha struktur og planverk som tar ned det psykologiske stresset, råder Eldar som bodde på en treskøyte da han vokste opp.
Gjør Norge tryggere ved etisk hacking, kompetanseheving og arkitektursikkerhet
– Det er alltid spennende å rykke ut for å håndtere sikkerhetshendelser, men det mest meningsfulle er når vi jobber forebyggende.
– Gjennom sikkerhetsgjennomganger, etisk hacking, upskilling av styre og ledelse (for eksempel gjennom en sikkerhetsdag), arkitekturgjennomganger og andre dypdykk kan vi sette diagnose og iverksette “behandling” før skaden har skjedd, forteller Eldar.
Han er opptatt av å få det offentlige og private til å jobbe bedre med sikkerhet og gjøre det han kan for et trygt Norge. – Det gjør at jobben min føles meningsfull, forteller cyberlederen.
Kriseledelse krever forberedelse før et angrep
Eldar har hjulpet mange bedrifter som har blitt hacket.
– Folk blir ofte enormt maktesløse. De får ikke tilgang til systemene sine, eller de blir frastjålet hemmelig informasjon. De kan bli sinna over at det kunne skje. Og forbauset over hvor viktig IT er. "Ålreit, vi hørte kanskje ikke helt etter da IT-sjefen sa ifra om vår lave grunnsikring" forteller flere ledere, sier Eldar.
– Kriseledelse handler om å være forberedt, og om å tilføre struktur i en kaotisk situasjon forteller Eldar som sier det er stor forskjell på virksomhetene. Noen har planer og har et mentalt overskudd når de blir angrepet. – Andre må vi hjelpe ut av kaos og stress, forteller cyberlederen.
Les mer om våre cybersikkerhetstjenester
Kontakt oss
