It-sikkerhedschef i Saxo Bank: Manglen på it-sikkerhedsfolk truer ikke dansk cybersikkerhed

Plus4. januar kl. 03:557
Martin Clausen
Illustration: Saxo Bank PR.
Mangel på it-sikkerhedsfolk bør ikke være en hæmsko for arbejdet med cybersikkerhed, der i mange tilfælde kan og skal udføres af driftsfolk, mener Martin Clausen, it-sikkerhedschef i Saxo Bank.

Han har hørt det før. At manglen på it-sikkerhedsfolk truer den danske cybersikkerhed. Og hver gang må han konstatere, at han grundlæggende er uenig, og at han mangler nuancer i debatten.

Martin Clausen, Chief Security Architect, Security & Financial Crime Prevention i Saxo Bank, har de seneste 20 år arbejdet med cybersikkerhed i nogle af landets største virksomheder.

close
Gratis adgang i 30 dage
Tegn et gratis prøveabonnement og få adgang til alt PLUS-indhold på Version2 og Ingeniøren, helt uden binding eller betalingsoplysninger.

Alternativt kan du købe et abonnement.
remove_circle
remove_circle
Har du allerede et PLUS-abonnement eller klip?
Tak !
Vi har sendt en kvitteringsmail til .
Du bliver viderestillet til artiklen om få sekunder.
Dit medlemskab giver adgang
Som medlem af IDA har du gratis adgang til PLUS-indhold, som en del af dit medlemskab. Fortsæt med MitIDA for at aktivere din adgang til indholdet.
Oplever du problemer med login, så skriv til os på websupport@ing.dk
Abonnementsfordele
vpn_key
Fuld adgang til Version2 og Ingeniøren
Fuld digital adgang til PLUS-indhold på Version2 og Ingeniøren, tilgængeligt på din computer, tablet og mobil.
drafts
Kuraterede nyhedsbreve
Det seneste nye fra branchen, leveret til din indbakke.
Adgang til andre medier
Hver måned får du 6 klip, som kan bruges til permanent at låse op for indhold på vores andre medier.
thumb_up
Adgang til debatten
Deltag i debatten med andre kloge læsere.
7 kommentarer.  Hop til debatten
Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
5
5. januar kl. 09:09

Martins input er forfriskende, stærkt tiltrængt og helt rigtigt. Det nytter ikke at have en masse betragtende sikkerhedsfolk, hvis der så samtidig ikke er hænder til at få patch'et, konsolideret og ryddet op.

4
4. januar kl. 14:55

Jeg slutter mig helt til koret som bakker op om Martins udmelding. svært er det altså ikke at få patchet sine systemer, udskifte forældet software, disable makroer i Office, installere en password manager og piske folk til at bruge den, slå 2-faktor godkendelse til når man skal på Office eller ind i sin Azure administrator-konsol, og teste sin backup jævnligt.

Og hvis du stadig kører Exchange on-premise, så se at få det flyttet ud i skyen så hurtigt som muligt.

3
4. januar kl. 14:08

100% enig med Martin her. Man skal selvfølgelig også have bygget overvågning der fanger hvis man får overholdt sine procedurer for opdatering - og procedurer for f.ex. at gennemgå firewall åbninger mm. ifht. principle of least priviledge.. og det kan faktisk også overvåges.. Jeg plejer at bygge en liste af "ting hver server skal kunne snakke med".. Det har jeg gjort i mange år i Puppet, og nu i k8s (hvor det laves vha. networkpolicy) og så er overvågningen rimelig nem.. Lad den checke den services der skal kunne nås er tilgængelige (så får i en alarm, hvis noget ikke kan nås, og et par ting der skal fejle - så får i en alarm hvis de firewall blokering pludselig mangler).

Jeg plejer at udvide min pakke overvågning, med at smide 100 tcp pakker afsted - og kun lave syn og syn-ack (så når pakken ikke frem til applikationen og skaber load der) - og så kan jeg lave pakketabs check - det har fanget mange netværksproblemer i tide, at jeg så hvis vi begyndte at tabe pakker mellem bestemte punkter.

Jeg exporterer helst disse ting som metric'er - så er det super nemt at lave grafer og alarmer ud fra metric'erne - som også er nutidens standard metode.

alt ovenstående er standard driftsting, enhver fornuftig driftsperson vil kunne lave og ledelsen selvfølgelig SKAL kræve og sikre at der er tid til at lave.

2
4. januar kl. 11:28

Saxo Bank er kinesisk ejet (Geely 51%). Det er ikke sikkert det spiller ind, men man skal måske lige huske det.

7
6. januar kl. 08:55

Jeg har svært ved at se relevansen af denne kommentar, kan du uddybe hvad du mener mere præcist?

1
4. januar kl. 09:51

Det må jeg sige, jeg er langt hen af vejen enig med Martin, dog har jeg et forbehold.

Man kan godt fortælle et menneske at du skal gøre sådan og sådan, men tendensen til at springe over hvor gærdet er lavest er bare højere når forståelsen ikke er der.

Det kræver ofte 10-20 års erfaring at forstå it-sikkerhed, man skal som professionel have set konsekvensen af at have sprunget over hvor gærdet er lavest.

6
5. januar kl. 19:34

at springe over hvor gærdet er lavest er bare højere når forståelsen ikke er der.

Det er sjældent der er forståelsen hos den der skal gøre det der er det største problem. Det er langt oftere i det overliggende lag forståelsen mangler. Dem der står med det i hverdagen ved godt hvor skoen trykker men ofte får de ikke lov til at bruge tid på det. Det koster jo.