Cyberangreb16. august
Læren fra det store Mærsk-hackerangreb: Disse 27 punkter skal du have styr på
Illustration: Maersk.
Sidste år var Mærsk under belejring af NotPetya-ransomware-angrebet i ni dage, hvilket kostede det danske erhvervsflagskib op mod to milliarder kroner. Her er it-direktørens tjekliste for it-beredskabet, inden du selv skal afværge et ransomware-angreb.
Reportage8. november 2018 kl. 05:12
Ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.
Da verdens hidtil største ransomware-angeb på en tirsdag i juni sidste år tromlede mod 2.000 selskaber overalt på kloden, blev det indledningen på ni særdeles sejlivede dage for Mærsk Olie og Gas.
Mærsk var blandt de ramte virksomheder af den potente efterfølger til Petya-ransomwaren – NotPetya – som spredte sig med lynets hast fra kompromitterede it-installationer i Ukraine ud til computere på blandt andet Esplanaden i København.
Udadtil gik blandt andet Mærsk-hjemmesiden, bookingsystemerne og container-terminaler i sort, mens der indadtil blev kæmpet heftigt for at genvinde kontrollen over de inficerede maskiner. Tilsammen kostede NotPetya-angrebet Mærsk op mod to milliarder kroner.
Tom Christensen har opstillet følgende 27 punkter, som du skal have styr på før og under et angreb: Før et angreb Under et angreb Kilde: Tom Christensen, CIO hos Total og tidligere CIO hos Mærsk Olie og Gas27 tjekpunkter for it-ansvarlige
Flere ramt på it-beredskabet
Beregninger fra den amerikanske statsadministration har anslået, at skaderne efter NotPetya på globalt plan er løbet op i over 60 milliarder kroner som følge af produktionsstop og tabte ordrer.
Artiklen fortsætter efter annoncen
Selvom flere af de ramte selskaber her godt et år efter stadig slikker sårene efter angrebene, er der ifølge Mærsks daværende CIO, Tom Christensen, flere værdifulde erfaringer at tage med sig, inden der igen kommer et lignende angreb – og det kommer, pointerer han.
»Intet i vores it-beredskabsplan tog højde for den situation, som vi havnede i sidste år. Jeg har talt med folk fra 20 andre ramte virksomheder, og ingen af dem havde det korrekte beredskab,« fortæller Tom Christensen om sine oplevelser med NotPetya på en cybersikkerhedskonference på Christiansborg, arrangeret af Check Point.
Han er i dag CIO hos den franske olie-gigant Total og har på Christiansborg-sikkerhedskonferencen medbragt en række slides, hvor han kort ridser op, hvad en virksomhed skal og bør have styr på før og under et angreb (se faktabokse til højre).
Husk nu dræberknappen
Tom Christensen fremhæver først og fremmest, at en virksomhed ikke alene kan belave sig på at have det nyeste og dyreste sikkerhedssoftware.
Artiklen fortsætter efter annoncen
Derimod fortæller han, at selskaber skal have etableret en ’kill-switch’, så man øjeblikkeligt kan lukke ned for og isolere sine inficerede computere.
I tilfældet med NotPetya spredte ransomwaren sig som en steppebrand fra computer til computer grundet anvendelsen af to hacker exploits, EternalBlue og Mimikatsz, der angreb sårbarheder på Windows-maskiner og spredte sig over netværket.
»Hvis I har outsourcet jeres it-setup, så skal I have en klar aftale med jeres leverandør om en kill-switch,« lyder rådet fra Tom Christensen.
En overskuelig beredskabsplan
Dernæst er der naturligvis selve it-beredskabsplanen, som er den it-ansvarliges bibel, når angrebet raser, kaos ulmer lige under overfladen, og det kræver et koldt hoved at nedkæmpe hackerne.
Tom Christensen har efter NotPetya-angrebene haft rig lejlighed til at revurdere, hvad en effektiv it-kriseplan skal indeholde – og den bør maksimalt være på 40 sider, så den er overskuelig.
»Det er jo ikke rocket science, at man hele tiden skal teste, teste, teste og teste sin beredskabsplan. Den, der træner og har en struktur på sit it-beredskab, vinder. For man skal huske på, at det er en krig,« siger Tom Christensen, som selv har 17 års erfaring fra Forsvaret.
»Du skal også huske at have en udprintet version af beredskabsplanen lige ved hånden, for det er ikke sikkert, at du kan komme til planen på din computer under et angreb,« siger Tom Christensen.
Klare roller er alfa og omega
Udover beredskabsplanen skal der ifølge Mærsks tidligere CIO fokuseres på governance, rollefordeling og ansvar frem for på mulige scenarier, som alligevel aldrig kommer til at udspille sig i praksis.
»Vores scenarier virkede ikke, men det gjorde vores governance-modeller til gengæld,« forklarer Tom Christensen.
Han fremhæver, at han trods kun 20 timers søvn på ni dage fik rollefordelingen til at spille under angrebet, så ingen var i tvivl om, hvem der havde ansvar for hvilke områder.
»I min optik ejer CIO’en sådan en krise og kan uddelegere sit ansvar til blandt andet netværkschefen undervejs. Der skal være en struktur med klare roller, så der er nogen, der ejer krisen,« lyder det fra Tom Christensen.
Humor hjælper i krisetider
Undervejs i et angreb hjælper det ifølge it-direktøren også med en god portion humor, som han har taget med sig ind på Christiansborg.
»Hele angrebet på ni dage var nok det dyreste teambuilding-kursus, jeg nogensinde har været på. Men det føltes også godt, at vi stod sammen,« siger Tom Christensen.
Han fortæller, at undervejs i angrebet blev der joket godt og grundigt og eksempelvis afholdt fødselsdag for en medarbejder klokken et om natten for at holde humøret oppe.
