Ny blogger: Virksomhederne underprioriterer it-sikkerhed

I dag begynder en ny blog om it-sikkerhed her på Version2.

Manden bag er Tom Van de Wiele, som er Principal Cyber Security Consultant hos F-Secure og har omkring 20 års erfaring med informationssikkerhed. Hans speciale er red team-operationer og penetrationstest for i finans- og gamingverdenen samt serviceindustrien.

I sit første blogindlæg skriver han om virksomhedslederes forhold til it-sikkerhed ... som ifølge ham halter noget:

»Organisationer og virksomheder glemmer normalt, at det at finde ud af kravene til, hvad de har brug for, er en del af de samlede omkostninger, og det fejes normalt ind under gulvtæppet eller overlades til en person, der er ansvarlig for at se på, hvad alle andre bruger.

Når man spørger ind til, hvordan disse organisationer reducerer risikoen for brud på sikkerheden, hvordan de overvåger systemer og hvordan de sørger for, at der er en tilgang til sikkerhed i flere lag, er svaret som regel en lyd et sted mellem en dæmpet hoste og en akavet pause, der ender med en lidt forvirret knytnæve i bordet og en besked om, at sikkerhed er "af største betydning".

I virkeligheden bruges it- og udviklings-framework, og deres sikkerhedserklæringer samt anbefalinger på hjemmesiden kopieres til formelle requirement-dokumenter hos virksomhederne.

Når man spørger ind til, hvordan visse angrebsscenarier ville blive opdaget og reageret på, er svaret normalt kort:

»Vi bliver ikke ramt af den slags angreb, fordi vores software-framework tager sig af det. Ikke at vi har testet det eller har set på, hvordan disse angreb ville se ud, så vi kan genkende dem senere.«

Du kan læse hele blogindlægget og diskutere it-sikkerhed med Tom her.