Seriøs razzia fra it-sikkerhedsmyndighed: Sniger sig ind i bygning og gemmer sig på wc

Den norske sikkerhedsmyndighed, Nasjonal sikkerhetsmyndighets (NSM) årlige risiko- og trusselsvurdering advarer om stadigt øget risiko for at blive ramt af digitale sikkerhedstruende angreb.

Rapporten, som blev publiceret tirsdag, fortæller om gentagne forsøg på at hacke virksomheder, som forvalter kritiske samfundsfunktioner.

»Vores vurdering er, at sådan aktivitet kan få alvorlige og til dels uoverskuelige konsekvenser for stats- og samfundssikkerheden. NSM har i løbet af det seneste år koordineret håndtering af større og mere alvorlige digitale hændelser end i tidligere år. I lyset af disse hændelser fremstår norske virksomheder som meget lidt modstandsdygtige over for denne type netværksoperationer.«

»Det er en øgning, som er meget bekymrende. Mørketalsundersøgelsen viser, at få vælger at anmelde sådanne angreb, og det betyder, at dette er en form for kriminalitet, hvor risikoen for at blive pågrebet er lav. Vi opfordrer alle til at anmelde, så politiet får information til at danne sig et helhedsbillede, så de kan allokere nødvendige ressourcer til efterforskning«, siger Christine Korme, direktør for digitalisering og fornyelse i Abelia, som er en norsk paraplyorganisation for viden- og teknologivirksomheder.

Gemte sig på toilettet

I NSM’s tests af norske offentlige virksomheder er der det seneste år blevet afdækket alvorlige sårbarheder.

Ved hjælp af en e-mail med simuleret malware og et link, som bad om indlogningsdetaljer, fik testene for eksempel ni ud af ti ansatte i en offentlig virksomhed til at klikke på linket og fem af ti til at aktivere malwaren. Tre ud af ti oplyste deres indlogningsinformation.

Også fysiske sårbarheder hos virksomhederne kan give adgang videre ind i netværket.

NSM’s indtrængningstestere er også kommet ind på offentlige virksomheders datasystemer gennem blandt andet åbne bagdøre brugt af kantinemedarbejdere, fysiske tilkoblingsmuligheder i usikrede møderum – og i et enkelt tilfælde adgang til hele netværket via en IoT-enhed, som drev kølesystemet i køkkenet.

»NSM fik fysisk tilgang til lokalerne i en offentlig virksomhed ved diskret at snige sig ind gennem en dør, som på grund af træghed i dørpumpen stod åben forholdsvist længe, efter at en person med legitimt ærinde var gået ind. Testpersonalet gemte sig på virksomhedens toilet, indtil alle ansatte var gået hjem for dagen, hvorefter det stod dem frit for at koble fordækte digitale enheder til virksomhedens netværk.«

»Bevidstheden om datakriminalitet i norske virksomheder er for lav, og det gælder særligt i ledergrupper og styrerum. Det er vigtigt at huske, at mange angreb kan forhindres med relativt enkle greb,« mener Korme.

»Vi må hæve kompetencerne«

Rapporten peger også på mangel på tilstrækkelige kompetencer i mange virksomheder, og problematikken med at it-tjenester dermed bliver outsourcet, ofte til andre lande.

»Norske virksomheder må i mange tilfælde se udenlands for at få fat i nøglekompetencer, hvilket kan give sikkerhedsmæssige udfordringer. Kompetenceunderskuddet udgør i stigende grad en sårbarhed.«

Abelia-direktøren er enig i, at kompetenceniveauet i Norge skal øges.

»Det er for få, som har it-sikkerhed som specialområde i Norge, både hos virksomheder og myndigheder. Der er en stor efterspørgsel på denne kompetence. Vi må uddanne flere, hæve kompetencerne hos dem, som allerede er ansat, og vi må hæve kompetencen i befolkningen, så alle kan være med til at beskytte fællesskabet. Abelia foreslår 5.000 nye it-studiepladser de næste fem år, hvoraf nogle bør være øremærket it-sikkerhed,« fortæller hun.

Du kan læse hele rapporten fra NSM her (pdf).

Denne artikel er fra digi.no.