– Selv om OBOS er en stor organisasjon, kan vi ikke ha et eget sikkerhetsapparat som jobber 24/7

På Hammersborg Torg i Oslo ligger hovedkontoret til en av Norges største boligutbyggere, OBOS. Opp noen trapper og inn en dør finner vi deres interne Sikkerhetsoperasjonssenter (OBOS SOS).

Andreas Faye-Lund har lang erfaring fra IT-bransjen før han startet i OBOS i 2022. Nå er han SOC-ansvarlig for konsernet med nesten 2000 ansatte. Sammen med en kollega har han det operative ansvaret for sikkerhetsovervåking, sårbarhetsmonitorering og hendelseshåndtering i konsernet, og er dermed også ansvarlig for MDR-samarbeidet OBOS inngikk med Defendable i 2023.

Den gangen valgte OBOS å gå ut i markedet for å finne den beste leverandøren til å sikre miljøene sine mot angrep.

– Vi hadde en grundig prosess hvor vi inviterte inn alle som var en del av kvalitetsordningen NSM har for hendelseshåndtering og noen andre. Kombinasjonen av pris og kompetanse gjorde at vi landet på at Defendable leverte den beste pakken for oss, sier Faye-Lund.

Avtalen innebærer at Defendables sikkerhetsanalytikere overvåker IT-miljøene til OBOS fra deres to sikkerhetsoperasjonssentre natt og dag 365 dager i året.

– Med Defendable på laget får vi både sikkerhetsovervåking døgnet rundt og et miljø med eksperter som vi kan lene oss på. Sikkerhet er et veldig stort fagfelt, og vi har ikke sjans til å ha verken døgnkontinuerlig drift eller eksperter på alle områder, sier han.

Samtidig påpeker Faye-Lund at de kriminelle kjenner godt til norske arbeidstider.

– Det er ikke uvanlig at vi ser større forsøk på brute force-angrep som starter fredag ettermiddag og varer gjennom helgen, nettopp fordi de kriminelle da vet at de får mest mulig tid til å prøve seg, sier han.

– Du kan ikke sette ut ansvaret

En del av avtalen OBOS og Defendable har inngått, innebærer at sikkerhetsanalytiker Michael Mobæk Thoresen er på plass hos boligselskapet en dag i uka.

– Han jobber ikke nødvendigvis fulltid med våre ting når han er her, men det er veldig nyttig å ha såpass kort vei til Defendable. Det gjør det mye lettere å ta opp småting og løse utfordringer uten å måtte sette opp et dedikert møte hver gang. Og siden han sitter her og jobber uten å være en dedikert ressurs, er det også mulig å få til denne løsningen økonomisk, sier Faye-Lund.

For Michaels del er det også veldig nyttig å komme nærmere kunden han har det operative ansvaret for internt i Defendable.

– Det gjør at jeg vet veldig mye om hvordan OBOS fungerer og hva som er viktig for dem, og det bidrar igjen til at det er mye enklere for meg og resten av teamet å ta de riktige avgjørelsene raskt når det trengs, sier han.

Faye-Lund mener denne måten å jobbe på, med interne ressurser som eier ansvaret og leverandører som støtter, er noe mange kunne hatt nytte av. Da får du ifølge ham fordelene av begge deler uten de voldsomme kostnadene som kommer med å bygge et fullt sikkerhetsmiljø internt.

– Men det er veldig viktig å huske at det er oppgaver du setter ut, ikke ansvaret. Ansvaret for sikkerheten må du alltid ha selv, sier han.

En troverdig partner

Etter såpass mange år i IT-bransjen, har Faye-Lund sett hvordan landskapet har endret seg – og hvor viktig det er å ha en partner som kan være med på den reisen.

– Det er veldig få der ute som har kunnskap nok til å vite akkurat hva de trenger og si «vi skal ha dette, og det er også behovet vårt om tre år» uten å bomme. Derfor liker vi modellen vi har sammen med Defendable, hvor det i større grad er et partnerskap enn et tradisjonelt kunde- og leverandørforhold, sier han.

Han trekker også frem fordelen ved å splitte opp leveransen av IT-drift og sikkerhet – fordi du da får reell uavhengighet i sikkerhetsarbeidet.
Når du har to forskjellige leverandører på drift og sikkerhet, er det ingen sjanse for at noen fikser noe i det skjulte, og det som blir anbefalt av teknologi handler bare om å løfte sikkerheten.

– Med en partner som kun leverer sikkerhetstjenester slipper vi «salgsjaget» mange andre leverandører driver med. Defendable er mer opptatt av at helheten i sikkerhetsleveransen skal være best mulig, avslutter han.