It-chefer: Vi har tabt kampen mod avancerede hackerangreb

Eller er dette en enorm falliterklæring?

60 procent mener, at de reelt ikke kan gøre noget for at forhindre hackerne i at komme ind i virksomhedens systemer.

Jeg kan slet ikke forstå at man kan komme med sådan en udmelding...

er dette en enorm falliterklæring?

Indtil spørgsmål og svar offentliggøres, vil jeg betragte det som en falliterklæring for undersøgelsen.

Sikkerhed og produktivitet er ofte noget der sker på bekostning af hinanden og en stor del af problemet er at ledelsen ofte nægter at prioritere sikkerhed hvis det koster i lavere produktivitet eller højere driftsomkostninger.

Og indtil vi ser et større firma gå konkurs med seriøse konsekvenser for den involverede bestyrelse over et sikkerhedslæk, så skrifter den trend ikke.

Problemet er at firmaerne gennerelt tror at sikkerhed er et lille produkt man tilkøber og ikke noget man bygger ind i alle arbejdsgange også hvis det koster i produktivitet.

De har ikke "tabt kampen", de overgav sig.

Hvis de skulle have været inde i kampen skulle de have valgt IT arkitektur udfra kriterier om angrebsresistens, kompartementalisering, least-privilege osv.

Det gjorde de ikke.

De valgte det mest flashy og/eller billigste og smurte derefter et tyndt lag fernis af virus-scanning og firewall ud over skramlet og kaldte det "extra security".

Problemet er at foretningen stritter imod Sikkerhed og produktivitet er ofte noget der sker på bekostning af hinanden og en stor del af problemet er at ledelsen ofte nægter at prioritere sikkerhed hvis det koster i lavere produktivitet eller højere driftsomkostninger.

Og indtil vi ser et større firma gå konkurs med seriøse konsekvenser for den involverede bestyrelse over et sikkerhedslæk, så skrifter den trend ikke.

Problemet er at firmaerne gennerelt tror at sikkerhed er et lille produkt man tilkøber og ikke noget man bygger ind i alle arbejdsgange også hvis det koster i produktivitet.

Det har vi vist allerede set for nyligt, med OW Bunker sagen. Ganske vist var det ikke en ekstern trussel, men en intern risiko, så vidt jeg kan forstå på mediernes dækning af sagen indtil videre; der blev foretaget økonomiske transaktioner med posteringer bogført udenfor selskabets anvendte økonomisystem, hvorfor enhver form for governance, separation of duties, automatisk eskalering af transaktionsgodkendelse ved overskridelse af fastsatte beløbsgrænser, figurering af transaktionerne på ledelsesrapporter osv. osv. nok ikke blev håndteret professionelt af systemets autorisationssetup. Det viser blot noget om risiciene ved at sidde og trade alene vha. telefon, email og et hjemmestrikket regneark, langt væk i et datterselskab på den anden side af jorden.