Hackere hadde tilgang til ­kunde­epost hos revisjons­gigant i flere måneder

[Harald Brombach (digi.no)]

Selskapet hadde ikke aktivert to-faktor autentisering for admin-kontoen.

Hackere hadde tilgang til ­kunde­epost hos revisjons­gigant i flere måneder

[-Night-]

Err Azure har jo innebygget funksjoner for å varsle om dette, som er veldig lett og ta i bruk  og lit avhengig av lisenser aktivert som standard. 

 

https://docs.microsoft.com/en-us/azure/active-directory/active-directory-reporting-risk-events

 

Dette virker som direkte latskap og inkompetanse.  Man kan heller ikke see passord til brukere på Azure med adminkonto kun endre det.  

[JanJohan]

https://www2.deloitte.com/no/no/pages/risk/solutions/cyber-risk.html?icid=top_cyber-risk

 

Kompetanse er best brukt på andre?

[-Night-]

https://www2.deloitte.com/no/no/pages/risk/solutions/cyber-risk.html?icid=top_cyber-risk

 

Kompetanse er best brukt på andre?

Gjør som vi sier ikke som vi gjør!

[Håkon @ Cybehave.no]

Det alle datainnbruddene i august og september viser, er at sikkerhet ikke kan være en ettertanye. Gode basistiltak for sikring har vært mangelvare hvor folk absolutt skulle visst bedre, som Deloitte som markedsfører seg som verdens fremste kompetansehus på informasjonssikkerhet. Equifax-historien er minst like hårreisende, selv om det burde være åpenbart at en virksomhet som lever av personsensitive data må prioritere sikkerhet. Der i gården er både CSO og CEO nå forduftet.

 

Å bygge sikkerhetskultur betyr at man må la sikkerhet være en del av virksomhetens kjerneverdier - at man faktisk må bry seg. Dersom man fra toppen driver en svært compliance-orientert kultur gir dette raskt signaler om at den virkelige prioriteringen er å ha ryggen fri, ikke å håndtere reell risiko. Basistiltak kombinert med kunnskap og god ledelse burde være en prioritering i alle virksomheter. For å få til dette må vi bort fra den gnagende baktanken om at "sikkerhet er jo bare en ekstrakostnad" - selv for bedrifter med ISO 27001-sertifikat på veggen.

[-Night-]

Det alle datainnbruddene i august og september viser, er at sikkerhet ikke kan være en ettertanye. Gode basistiltak for sikring har vært mangelvare hvor folk absolutt skulle visst bedre, som Deloitte som markedsfører seg som verdens fremste kompetansehus på informasjonssikkerhet. Equifax-historien er minst like hårreisende, selv om det burde være åpenbart at en virksomhet som lever av personsensitive data må prioritere sikkerhet. Der i gården er både CSO og CEO nå forduftet.

 

Å bygge sikkerhetskultur betyr at man må la sikkerhet være en del av virksomhetens kjerneverdier - at man faktisk må bry seg. Dersom man fra toppen driver en svært compliance-orientert kultur gir dette raskt signaler om at den virkelige prioriteringen er å ha ryggen fri, ikke å håndtere reell risiko. Basistiltak kombinert med kunnskap og god ledelse burde være en prioritering i alle virksomheter. For å få til dette må vi bort fra den gnagende baktanken om at "sikkerhet er jo bare en ekstrakostnad" - selv for bedrifter med ISO 27001-sertifikat på veggen.

ISO2700x/ITIL/COBIT osv as alle falske trygheter og en hvilepute, 

 

Det som trengs er en helhetlig kultur og sikkerhet i dybden av alle systemene som også er brukervennlige nok til at de faktisk brukes og ikke omgås.