Rapport: Bedrifter har blitt mer sårbare for hacker­angrep

[NTB - digi]

Rapport: Bedrifter har blitt mer sårbare for hacker­angrep

[nightowl]

Jeg har jobbet som IKT-ansvarlig både i det offentlige og hos private selskaper. På begge steder var det alltid ansatte som trosset passordpolicyen og brukte dritdårlige passord. Noen av disse er "kun" uaktsomme, men det finnes også de som handler med forsett; de velger seg et elendig passord med vilje, som en slags stille protest.

Samme holdning kan man også spore når det gjelder e-post: De fleste som ikke følger rutinene og er forsiktige er "kun" uaktsomme, men noen gir også totalt blaffen og trykker på alle lugubre lenker de blir tilsendt. Alltid.

Problemet virker å være verre til eldre den ansatte er. Innerst inne er det mange av de som hater datamaskiner, e-post og Internett. De har null tålmodighet når det gjelder data. Og vurdert utifra hvordan de reagerer når man prøver å lære de opp, så foregår det noen ganger et stille raserianfall på innsiden.

[Pop]

Sliter med å forstå at læringskurven i en del organisasjoner kan være så flat at man går på akkurat samme scam-kampanje som naboen gjorde en måned tidligere. Eller andre man kan lese om hvis man har et ørlite fokus på å oppgradere kunnskapen sin, f.eks hos Norsis eller kommersielle aktører innen itsikkerhet. 
Har brukere fått for stor tiltro til teknologien i egen infrastruktur? "Vi har helt ny brannmur, ingenting kan gå galt!" Glemmer man helt sisteskansene, sluttbruker? Vellykkede angrep nå er ikke grunnet feil i whitelist/blacklist, brannmuroppsett, manglende zerotrust-implementasjon osv. Det er den brukeren som ble tilfeldig eller målrettet tilsendt noe, som tok det for god fisk at avsender var den som stod i avsender-feltet. 
Ja, 30 minutter brukt på kompetanseheving innen informasjonssikkerhet er 30 min mindre brukt til det bedriften lever av, men kostnaden kan ikke sammenlignes med at bedriften blir svindlet for millioner. Hvorfor er dette så vanskelig å få inn i kulturen?

[nightowl]

Pop skrev (8 minutter siden):

*snip*

Jeg tror heller det skorter på gode holdninger .... Ikke kunnskap.

På min forrige arbeidsplass ble alle ansatte tatt igjennom Opplæringspakken Nasjonal Sikkerhetsmåned fra NorSIS. Gadd noen av de ansatte å bytte ut dårlige passord etterpå? Nei. Begynte de å undersøke opplagt suspekte e-poster før de klikket på lenker? Nei. Sluttet de å ta med seg arbeidsbærbar hjem til privat bruk, hvor de surfer på gud-vet-hva? Nei. Begynte de å ta varsler om nødvendige Windows-oppdateringer seriøst? Nei. Osv. osv.

Noen gir bare f*en og vil først begynne å bry seg om det vanker seriøse personlige konsekvenser. De vil kun forandre seg om de føler det henger ei øks over hodet .... (metafor).

[Selvstendigsaas]

Det er lett å skylde på brukere, men har man brukere som har en annen kompetanse enn it, så finnes det veldig mange muligheter for å stenge ned betraktelig på hva de har lov til. 

1. Regler som forbyr dårlige passord.

2. Exchange regler som fjerner vedlegg. 

3. Proxy for å definere bare pregodkjente sider. 

4. Begrenset tilgang på lokal maskin. 

5. MFA på alt som skjer "utenfra" 

Det er ofte litt for enkelt å bare skylde på "ubrukelige brukere" - hvis dette er et problem, så er det vi som it folk som ikke gjør en bra nok jobb. Vi må sette opp systemene for hvordan ting faktisk er og ikke for hvordan det helt idelt skulle være. 

[nightowl]

Selvstendigsaas skrev (5 timer siden):

1. Regler som forbyr dårlige passord.

Ja, du kan kreve en viss lengde på passordet, tall, små og store bokstaver. Men en vrang bruker vil da bruke noe sånt som "Februar2022" også er man like langt. Du kan også tvinge brukeren til å bytte passord etter en bestemt tid. Neste passord blir da f.eks. "Mai2022". 🙂

Vedkommende bruker gjerne også samme passord overalt. I tillegg skrives passordet på en lapp som ligger mindre enn 50 cm fra tastaturet. Jeg har også observert at ansatte kan bruke samme (dårlige) passord på hver sin brukerkonto ..

Selvstendigsaas skrev (6 timer siden):

2. Exchange regler som fjerner vedlegg.

De fleste som bruker e-post er avhengig av å kunne motta vedlegg ..

Selvstendigsaas skrev (6 timer siden):

3. Proxy for å definere bare pregodkjente sider.

Helt håpløst å whiteliste alle mulige domenenavn en bruker kan ha behov for å besøke.

Selvstendigsaas skrev (6 timer siden):

4. Begrenset tilgang på lokal maskin.

Begrenset tilgang er bedre enn full administratortilgang, men uønskede programmer kan fortsatt kjøre.

Selvstendigsaas skrev (6 timer siden):

5. MFA på alt som skjer "utenfra"

Enig.

Selvstendigsaas skrev (6 timer siden):

Det er ofte litt for enkelt å bare skylde på "ubrukelige brukere" - hvis dette er et problem, så er det vi som it folk som ikke gjør en bra nok jobb. Vi må sette opp systemene for hvordan ting faktisk er og ikke for hvordan det helt idelt skulle være. 

Problemet er ikke ubrukelige brukere (de kan man jo lære opp), men trassige brukere ..