Håndverkerfirma ble angrepet av kryptovirus. Måtte betale eller legge ned

Cato Evensen, norgessjef i Palo Alto Networks, forteller i denne del to av vårt nyttårsintervju, at en kamerat av ham, som driver et håndverkerfirma, ringte ham for en tid tilbake for å få råd etter at firmaet var blitt rammet av kryptovirus. Siden nettverket i bedriften ikke var segmentert, var absolutt alt blitt kryptert, inkludert den skybaserte backupen.

– Håndverkere er gjerne ikke så flinke til å sende ut regninger. Regningen kommer ofte et par-tre uker etter at de har vært hos deg. Dette firmaet hadde mye større fordringer ut mot kundene enn de hadde inn, så de var på minus. Dersom de ikke hadde fått løst situasjonen, måtte de legge ned virksomheten.

– Hvor mange slike hendelser tror du ikke skjer i Norge hver eneste uke? Ingen liker å si offentlig at de valgte å betale ut en sum for å få tak i dataene, og så sikre seg. Men på denne måten stimulerer du også de kriminelle. Men hvilket alternativ har de? Det er lett å sitte med pekefingeren og si at de ikke skal betale løsepengene, men det må veies mot konsekvensen, som kan være å sette ti mann på gaten like før jul. Det er ikke lett, sier Evensen.

Han peker på at det er enormt med bedrifter i Norge med færre enn 50 ansatte. Hvor mange av disse har en egen sikkerhetsansvarlig?

Må overlates til andre

– Jeg tror at tjenester fra de store aktørene kommer til å bli veldig viktig for SMB-markedet. For de mindre virksomhetene kan ikke lenger håndtere IT, slik som IT har blitt i dag. Det har blitt veldig teknisk, sårbarhetene er mange, og du har organiserte kriminelle som vil angripe dem hver eneste dag, sier Evensen.

Han mener at modellen må bli slik at SMB-bedriftene kan bestille tjenester som e-post, lagring og sikkerhet til sin ansatte, og så kunne justere dette enkelt etter hvert som bedriften utvikler seg.

– Jeg kan ikke forstå annet. Vi kan ikke ha en eller annen kompis som sørger for IT-infrastrukturen. Om bare en brøkdel av det koster å gå ned, hadde blitt brukt på sikkerhet, hadde de vært mye bedre til å motstå, og ikke minst gjenopprette, systemene sine, sier Evensen.

– I tillegg kan du da bevise overfor myndighetene at du har gjort det du kan for å sikre dataene dine.

Mer automatisering og ensretting

For de større virksomhetene, som både har en CISO (Chief Information Security Officer) og kanskje flere tusen ansatte, tror Evensen at automasjon er tingen.

– Og så må vi få vekk en styggedom som ligger der, nemlig at du anses som én av de gode når du sitter på kontoret og får tilgang til alt, men straks du sitter på en kafé og jobber, så blir du grundig sjekket, sier han.

– Hvorfor gjør vi ikke det samme når du sitter på kontoret? Vi kan ikke implisitt stole på noen lenger. Det er ingenting som tilsier at laptopen din ikke kan bli infisert uten at du vet det, mens du har brukt den et annet sted enn på kontoret, fortsetter Evensen.

Dermed er han igjen inne på zero trust-tilnærmingen, som ble omtalt i første del av intervjuet.

– Det verste av alt er at det blir billigere, for det blir færre systemer å håndtere, og det blir enklere for den sikkerhetsansvarlige, som må sjekke brukerne for de samme tingene, uansett hvor de sitter. Da er det også bare ett system som må oppdateres dersom noen skal gis eller fratas tilgang, sier Evensen.

Evensen mener at vi nå har et paradigmeskifte i måten vi arbeider på.

– I disse covid-tider må jo infrastrukturen legges til rette for at mange jobber hjemmefra. Hvorfor skal man da beholde den gamle som har gått ut på dato? Gjør vi det riktig, kan det faktisk bli en oppgradering i sikkerheten og enklere å håndtere. Dette kan også bidra til å snu den nevnte, negative angrepstrenden på et tidligere tidspunkt, mener han.

Må lære opp flere

Mangelen på folk med kompetansen innen IT-sikkerhet er et stort problem, både globalt og i Norge.

– Det er mange kompetente mennesker i det norske markedet, men det er ikke nok av dem. Så lenge det er manko for IT-sikkerhetsfolk, er det veldig vanskelig å finne folk til å gjennomføre en skikkelig etablering av en sikker infrastruktur.

– Fordi sikkerhetskompetansen er så etterspurt, så blir det en runddans av sikkerhetskonsulenter. Det eneste som skjer, er at lønningene går opp. Så hver gang de kommer tilbake til deg, tjener de to ganger så mye som forrige gang. Det har du ikke råd til, sier Evensen.

Selv valgte han i fjor å ansette flere som ikke har sikkerhetsbakgrunn, men med solid IT-bakgrunn.

– Vi tok dem inn fordi de var rette persontyper, og fordi jeg tror de fleste mennesker har muligheten til å lære seg ting. Sitter de på skolebenken til et halvt til et helt års tid, vil de ha tatt veldig mye til seg dersom vi spisser dem veldig inn mot for eksempel sikkerhet, mener Evensen, som mener at man i dag ikke kan kreve at alle er fullt utdannet innen IT-sikkerhet og har ti års erfaring, avslutter han.