Selvom det nu er tre dage siden, Version2 kunne dokumentere at Nationalbanken blev kompromitteret af det internationale Solarwinds-hack, er Nationalbanken fortsat tavs som graven.
Det eneste, Nationalbanken har meldt ud efter Version2’s artikler er en kort nyhed på bankens eget website, hvor banken afviser alt og skriver, alt er foregået efter best practice.
Det på trods af at Version2 kan dokumentere flere hændelser og omstændigheder i forløbet som tyder på, det ikke er tilfældet.
Version2 har de sidste dage fortalt, at der i Nationalbankens forløb under Solarwinds-angrebet både har vist sig en mystisk ZIP-mappe, en ukendt Solarwinds-IP og uforventet netværkstrafik fra Solarwinds-installationer. Derudover var den ramte Solarwinds-installation koblet direkte på internettet indtil midten af januar.
»Der påhviler de virksomheder og organisationer, der driver vores kritiske infrastruktur, et vist ansvar. De bør være transparente omkring sikkerhedsbrud, og helt eller delvist succesfulde angreb,« siger Carsten Schürmann, der er it-sikkerhedsprofessor på IT-Universitetet.
Han bakkes op af John Foley, der som tidligere medlem af den nationale operative stab (NOST) ligeledes er skuffet over den lukkede tilgang til it-sikkerhed, Nationalbanken praktiserer.
»Det er jo noget beskæmmende og betænkeligt, at man ikke ønsker at være med i et interview, hvor der med rette kan stilles spørgsmålstegn om Nationalbankens håndtering af SolarWinds angrebene,« siger John Foley.
V2’s spørgsmål fortjener svar
Carsten Schürmann hæfter sig også ved Version2’s dokumentation, som han mener kræver svar fra Nationalbanken, hvis vi skal stole på, sagen er blevet håndteret ansvarligt.
»Jeg er ikke overrasket over at I ikke får svar på jeres gode spørgsmål, der er gennemtænkte og peger mod information, der skal ud,« lyder det fra professoren der finder det ‘interessant, at de ikke siger noget,’ selvom han ikke finder det overraskende.
Samtidig fremhæver John Foley, at man ikke behøver afsløre hemmeligheder, men sagtens i mere generelle og overordnede vendinger kan fortælle, hvad der er foregået:
»De hjælper og bidrager således ikke til at højne viden og indsigt om angrebene, hvilket anses for uheldigt, alt den stund at vi sandsynligvis ikke har set det sidste til konsekvenserne af angrebene.«
Dårlig kultur om åbenhed
Både han og Carsten Schürmann mener, Danmark helt generelt halter bagud, hvad angår gennemsigtighed og bred oplysning om it-sikkerhed.
»I mange andre lande, og især i USA, har man været meget mere åbne og fortalt om hvilke organisationer, virksomheder og myndigheder, der har været ramt og påvirket. Men i Danmark er man påfaldende tavs og meget tilbageholdende med overhovedet at dele den viden, man ligger inde med,« siger John Foley.
Det afspejles også i virksomhedernes manglende responsible disclosure-politikker, mener Carsten Schürmann:
»Danmark har ingen reel kulturel tradition for responsible disclosure, og næsten ingen selskaber tilbyder responsible disclosure-politikker. Det betyder, at white hat hackere ikke er godt beskyttet, og det gør generelt set, at it-systemer i Danmark ikke er så sikre, som de kunne være,« siger Carsten Schürmann.
Viden deles i siloer i stedet
Forskellige dele af den danske, kritiske infrastruktur har fora, de deler oplysninger om angreb i. Version2 har eksempelvis tidligere interviewet med energibranchens EnergiCERT om netop Solarwinds.
Men én ting er at dele viden om angreb med den del af infrastrukturen, man selv er en del af, en anden er at dele den mere offentligt, mener John Foley:
»Det kan tænkes at man på de indre linjer og med Center for Cybersikkerhed er mere villig til at fortælle og dele viden, men desværre kommer det ikke befolkningen og samfundet direkte til gode, da man ikke gerne oplyser om, hvad der reelt er sket, eller hvilke angreb der har været,« lyder det skuffet fra sikkerhedskonsulenten, der slutter:
»Alt sammen måske i et ønske om at fremstå i et bedre lys end sagen berettiger til.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
