Cyberangreb17. august
To ministerier blæser på Rigsrevisionens it-anbefalinger mod ransomware
Illustration: master1305/Bigstock.
Sundhedsdatastyrelsen og Udenrigsministeriet vil ikke forhindre medarbejderne i at bruge private e-mailløsninger på arbejdspladsen. Heller ikke selv om det indgår i værnet mod ransomware og er anbefalet af Rigsrevisionen.
Reportage7. juni 2018 kl. 10:15
Ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.
Flere ministerier blæser på de tiltag, som Rigsrevisionen i februar anbefalede en række statslige institutioner for at mindske deres risiko for at blive ramt af ransomwareangreb.
De to seneste globale ransomwareangreb i maj (WannaCry) og juni (NotPetya/Petya) 2017 ramte både offentlige institutioner og private virksomheder. Angrebet i maj 2017 ramte over 200.000 computere i flere end 150 lande, herunder Danmark og Storbritannien, og er ifølge EU’s politienhed, Europol, uden fortilfælde. Det skal bemærkes, at der fortsat er en diskussion om, hvilken malware der var i brug i forbindelse med de to angreb, og hvad hackernes formål med angrebene var. Region Syddanmark har i to tilfælde i foråret 2017 været ramt af ransomware-varianten Locky, der har låst for enkelte brugeres adgang til systemet/afdelingsdrev. I disse tilfælde er der sket en lukning af brugerkonti/berørte drev og dernæst geninstallation fra backup, oplyser Region Syd. Det britiske sundhedsvæsen blev hårdt ramt af WannaCry, og ifølge den britiske rigsrevision måtte sundhedsvæsenet aflyse operationer af eller konsultationer med ca. 19.000 patienter. Den britiske rigsrevision pointerede, at angrebet ikke var avanceret, og at det kunne have været undgået ved hjælp af almindelige tiltag, der beskytter mod ransomware. Også i USA har flere angreb haft direkte konsekvenser for patientbehandlingen på hospitaler. NotPetya/Petya ramte bl.a. den danske virksomhed A.P. Møller – Mærsk. Dele af virksomheden var uden adgang til sit it-netværk i flere døgn, hvilket betød, at virksomheden var nødt til at stoppe driften i flere havneterminaler. Angrebet viste, hvordan ransomware kan sprede sig som en orm i dele af eller i hele it-netværket og dermed forårsage store skader. Derudover viste det, at ransomwareangreb, som spreder sig, i nogle tilfælde også rammer systemer, der sandsynligvis ikke var hackerens tiltænkte mål. Kilde: Rigsrevisionen og Region SyddanmarkEKSEMPLER PÅ RANSOMWAREANGREB
Locky
WannaCry
NotPetya/Petya
Det er den opsigtsvækkkende konklusion i et ny notat fra Rigsrevisionen, som følger op på en beretning fra februar om beskyttelsen mod ransomware i fire statslige organisationer.
I februar-rapporten skortede det - som omtalt på Version2 - ikke på eksempler på manglende it-sikkerhed i undersøgelsen af de fire organisationer, nemlig Sundhedsdatastyrelsen, Udenrigsministeriet, Banedanmark og Beredskabsstyrelsen:
Artiklen fortsætter efter annoncen
Manglende sikkerhedsopdateringer, ingen whitelistening af programmer, ingen risikovurdering og manglende test af gendannelse af data var eksempler på, hvor værnet mod ransomware haltede.
Konklusionen fra Statsrevisorerne i vinter på baggrund af beretningen fra Rigsrevisionen var klar: De fire ministerier var alle for dårlige til at beskytte sig mod ransomwareangreb.
Vil ikke følge alle anbefalinger
I opfølgningen, som netop er udkommet, konstaterer Rigsrevisionen, at alle ministerier har implementeret eller planlægger at iværksætte en række tiltag, der skal rette op på de svagheder, som Rigsrevisionen påpegede, og dermed beskytte institutionerne mod ransomwareangreb.
Set over en bred kam er der f.eks. arbejdet på eller indført færre lokaladministratorrettigheder, tofaktor-login eller MDM-løsninger og offline-backup og test heraf, samt procedurer for hvordan data og systemer kan genetableres.
Artiklen fortsætter efter annoncen
Men - og det er et vigtigt men - Rigsrevisionen må også konstatere, at ingen af ministerierne redegør for deres håndtering af alle de mangler, nemlig 20 beskyttelsestiltag, som Rigsrevisionen påpegede.
Dels er der punkter, hvor der mangler en beskrivelse af de anbefalede indsatser, og dels er nogle er redegørelserne uklare.
Men der er også to ministre, som ligefrem oplyser, at de ikke vil følge samtlige 20 anbefalinger fra Rigsrevisionen.
»2 ministre [oplyser], at de ikke planlægger at implementere ét af tiltagene, og det er uklart, hvilke kompenserende tiltag institutionerne eventuelt har iværksat, eller om risikoen fremgår af institutionernes risikoanalyse,« lyder det i rapporten fra Rigsrevisionen.
Sundhedsdatastyrelsen vil således ikke implementere tiltag, der forhindrer adgangen til private e-mailløsninger fra pc-arbejdspladsen.
Og Udenrigsministeriet er ude i noget af det samme, for her vil man ikke forhindre medarbejdernes brug af private e-mailløsninger, da ministeriet vurderer, at »det vil være en uhensigtsmæssig tung byrde i forhold til medarbejdernes arbejdsrytme og fleksibilitet«, som det lyder.
I stedet har Udenrigsministeriet oplyst, at man forhindrer, at skadelige filer mv. kan downloades og afvikles.
I Forsvarsministeriet og i Transport-, Bygnings- og Boligministeriet har man 'bare' udladt at fortælle, om man vil forhindre private e-mailløsninger.
Vil ikke forklare manglende tiltag
I en del andre tilfælde mangler der også en beskrivelse af indsatsen. Dvs. det er uklart, om det skyldes, at de anbefalede tiltag fra Rigsrevisionen er arkiveret lodret - eller om man bare ikke har fået gennemført tiltaget endnu.
Det gælder Udenrigsministeriet, der ikke oplyser, hvordan man vil følge op på awareness-kampagner, og transportministeren, der ikke forklarer, hvordan Banedanmark vil sikre, at kun godkendte programmer afvikles (whitelisting-løsning) - det gælder i øvrigt også for Beredskabsstyrelsen - eller hvilke tiltag Banedanmark har sat i værk for at sikre, at tredjepartsprodukter opdateres.
Rigsrevisionen understreger ellers igen, at »implementeringen af tiltagene sikrer en grundlæggende beskyttelse mod ransomwareangreb«.
Rigsrevisionen vil fortsat følge udviklingen og orientere Statsrevisorerne om institutionernes implementering af tiltag, de steder hvor Rigsrevisionen påpegede mangler.
