Säkerhet kräver ett kontinuerligt arbete på flera nivåer

Gärna en strategi, men först lite skydd. Det är lätt hänt att skjuta upp att implementera IT-säkerhet, i väntan på att en förhoppningsvis allomfattande säkerhetsstrategi ska bli klar. Det lämnar ofta ett företag öppet för attacker. Det är av yttersta vikt att sätta i gång direkt med att säkra skyddsvärda system och IT-resurser, även om det saknas en strategi. Det menar Johan Nordström, Skandinavienchef på InterSystems.

IT-säkerhet är ett ständigt aktuellt ämne. Attackerna, hoten och sårbarheterna blir fler, värre, större och mer varierade. Säkerhetsexperter hinner helt enkelt inte med. I det läget lyfts grundläggande arbete med strategier och utbildning ofta fram som ett botemedel.

– Jag vill absolut inte ifrågasätta strategiarbete, det behövs, som en grund och i det pågående arbetet. Men ibland märker jag att det finns en övertro på vad en strategi kan ge. En säkerhetsstrategi i sig ger inget skydd, säger Johan Nordström, Skandinavienchef på InterSystems.

Det gör inte heller en säkerhetslösning menar han.

– Man måste kontinuerligt arbeta med att skydda de resurser som är skyddsvärda. Det låter kanske självklart, men ibland läggs så mycket kraft på att formulera strategier att det faktiska arbetet med att implementera säkerhetslösningar där de behövs blir lidande.

Vilka resurser bör man skydda och hur bör man skydda dem? I väntan på att en strategi är fäst på pränt kan man börja med att bygga skydd mot en eller två viktiga typer av attacker. Med viktiga menas ofta förekommande attacker med potential att orsaka stor skada för det egna företaget.

– Fortsätt med att bygga skydd mot attacker med annan karakteristik, till exempel ”stora”, ”via partner”, ”riktade”, etcetera. Det viktiga är inte hur kategorierna definieras eller väljs ut, utan att du har en idé om vad som är värdefullt att bygga skydd mot.

Enligt Johan Nordström är poängen att kontinuerligt jobba med att bygga säkerhetslösningar som faktiskt skyddar de system och IT-resurser som finns på företaget.

– Och här kommer den viktiga aktivitet som ofta glöms bort: se till att återföra erfarenheter från arbetet med att skydda de olika resurserna till strategiarbetet. Det ger en bättre strategi, som stämmer överens med de verkliga behoven på ett bättre sätt.

Hur ska man då skydda de IT-resurser som väljs ut? Enligt Intersystems måste man börja någonstans, även om det inte finns en heltäckande strategi som anger var. Vilket det aldrig kommer att finnas i en säkerhetsvärld som är stadd i ständig förändring. Johan Nordström har en lista med åtgärder som alla är relevanta:

• Människor: De anställda är alltid den svagaste punkten. Här behövs både säkerhetsprodukter och utbildning fortlöpande för att bekämpa social manipulation, nätfiske, skadliga länkar och dokument, falska mejl och andra lurendrejerier.
• Lösenord och flerfaktorsautentisering: Det är alltid en svag punkt som behöver åtgärdas.
• Patchhantering: Det är av allra yttersta viktiga att fortlöpande uppdatera mjukvaror på ett effektivt sätt.
• Utvärdera partner, leverantörer, kunder och alla andra som man interagerar med, ur säkerhetssynpunkt. Attacken som sänkte Coop i somras visar på vikten av det.
• Anställdas egna enheter: Tillgänglighet och hög säkerhet behöver gå hand i hand.

På längre sikt behövs arbete med arkitekturer och infrastruktur, och med strategier. Att skydda data bör vara ett av de centrala målen i det arbetet.

– Här finns två viktiga saker att tänka på. För det första, vilka data ska skyddas? För att avgöra det behövs analyser av hur värdefulla data är. För det andra, välj lösningar för att hantera data med arkitekturer som är så robusta och säkra som möjligt i sig själva. Att bygga på säkerhet i form av ett lapptäcke av lösningar tenderar att orsaka fler säkerhetsproblem än det löser, avslutar Johan Nordström.