I kölvattnet av Miljödataincidenten
Efter cyberattacken mot Miljödata rapporteras det att 1,5 miljoner svenskars personuppgifter har stulits och publicerats på Darknet. Personerna är verksamma i många olika verksamheter, allt ifrån kommuner och lärosäten till svenska storföretag och t.o.m. bolag kopplade till flyg- och försvarsindustrin.
Ovissheten är stor och det vi alla frågar oss är dels hur kraven såg ut på Miljödata, en systemleverantör av en IT-tjänst som hanterar denna stora mängd av känslig information, och vad vi alla kan lära oss av det inträffade?
Då det finns massvis av nyhetsrapportering för den som vill veta mer om vad som hänt, hänvisar vi till dessa och fokuserar på cyber- och informationssäkerhetsperspektivet.
Intressanta frågeställningar
Arbetsgivarnas hantering av personuppgifter
Det finns flera exempel på hur hanteringen av personuppgifter verkar ha skett slentrianmässigt och utan tydliga riktlinjer. Det gäller bland annat hantering av skyddade personuppgifter men också hur länge information har lagrats. Ett anmärkningsvärt exempel är att personuppgifter om samtliga medarbetare som arbetat i en offentlig verksamhet under de senaste 17 åren har läckt. Totalt rör det sig om över 150 000 personer, där majoriteten enligt uppgift inte längre jobbar kvar.
Det finns all anledning att ifrågasätta om detta är en rimlig hantering, oavsett om man menar att regler och lagar för informationshanteringen följts.
Kraven på systemleverantören
Hade dessa hundratals stora kunder en tydlig kravspecifikation på systemleverantören? Eller förlitade de sig på att det har väl leverantören koll på?
Finns väl ingen anledning till spekulation utan fokus bör i stället vara på den intressanta och nyttiga övning man bör göra, nämligen fundera på vilka krav som man bör ställa på sina leverantörer.
Få minns att det var en attack på Coops leverantör som lamslog hela verksamheten.
Ökad hotbild mot leveranskedjor
Hur hanterar ni i er verksamhet de ökande riskerna med attacker mot er leveranskedja? Det handlar alltså inte bara, som i fallet med Miljödata, om personuppgifter eller känslig information. Även om det är illa nog så handlar det i stor utsträckning om tillgång till sina affärskritiska system för att säkerställa sin affärskontinuitet.
Alla kommer ihåg cyberattacken mot Coop men få minns att det var en attack på Coops leverantör som lamslog hela verksamheten.
MSB uppmärksammade hoten mot de digitala leveranskedjorna för flera år sedan och skrev då i en rapport att: De senaste åren har de digitala leveranskedjorna växt i betydelse för såväl enskilda människor som för organisationer och samhället i stort. Utvecklingen sker i takt med den globala digitaliseringen och varken kan eller bör undvikas. På det hela taget, är fördelarna med utvecklingen stora, men den är inte riskfri.
Efter ett antal uppmärksammade incidenter i eller genom digitala leveranskedjor de senaste åren har säkerhetsfrågorna aktualiserats. Det är tydligt att vi behöver stärka hela ekosystemet…
Så summerat handlar det både om att skydda sin information och säkerställa tillgång till sina affärskritiska system. När man använder t.e.x SaaS-tjänster från tredje part eller delar information med leverantörer och underleverantörer så innebär det en ökad risk. Denna ökade risk måste säkert accepteras i digitaliseringens och effektiviseringens namn men riskerna måste uppenbarligen också hanteras.
Det är tydligt att vi behöver stärka hela ekosystemet
Affärskritiska funderingar runt leveranskedjeattacker
Det är uppenbart för alla att cybersäkerheten måste öka i takt med att hotbilden ökar. Leveranskedjeattacker ökar och det är en strategisk fråga att, på en rimlig nivå, säkerställa en systematiserad kontroll av informationsflödet och även förstå sina sårbarheter och beredskap när en leveranskedjeattack sker.
Det finns många områden att arbeta med men ett stort steg på vägen är följande rekommendationer.
Data och information – policys, ansvar och krav
- Noga angivit ägandeskap och ansvar för företagets olika data och information samt en kartläggning av vem som har tillgång till den, både internt och externt.
- Säkerställa att man varken samlar in eller delar mer information än nödvändigt
- Tydliga krav och uppföljning av de externa partners som hanterar företagets information
System från tredje part – tekniska krav och skydd
- Kräv multifaktorsautentisering som standard. Stulna lösenord ska inte räcka för att kunna bryta sig in.
- Kryptering av all data och kommunikation. Om någon lyckas stjäla information ska den vara oläslig.
- Tydlig segmentering av system och data så att en angripare inte får tillgång till all information på ett ställe.
Allt börjar med att känna till sina svagheter
Företagsledningen måste leda cybersäkerhetsarbetet och ett första steg är att analysera verksamhetens risker och sårbarheter. En nulägesanalys är starten på allt cybersäkerhetsarbete där vi på Addera hjälper er att identifiera era brister och säkerhetsrisker. Vi tar fram en Cybersäkerhetsrapport för er verksamhet och stöttar er med rådgivning, rekommendationer samt med en prioriterad handlingsplan för att öka cybersäkerheten och till exempel, ställa tydligare krav på era leverantörer.
Så låt oss hjälpa er att ta ett stort steg på vägen mot ökad motståndskraft!
