Norske bedrifter oppdager ikke at de blir angrepet

I snitt tar det 177 dager før europeiske bedrifter oppdager angrep på virksomheten sin, viser tall fra Fireeye, som har 15 års erfaring med sikkerhetsrisiko for IT-systemer.

- Angriperne gjør sitt beste for å holde seg skjult. Jo lengre tid de har på seg, jo verre er det. Da kan de kartlegge infrastrukturen og gjøre skaden de ønsker i fred og ro. Unntaket er løsepengevirus. Da er poenget å bli oppdaget, sier Kristian Kastet, som er IT-sikkerhetsansvarlig i Frende Forsikring.

Hvis målet er å stjele informasjon oppdager bedrifter ofte ikke angrepet før informasjonen blir brukt.

Attraktivt å angripe norske bedrifter
Norske bedrifter kan være særlige spionasjemål.

- Mange selskaper er naive når det kommer til datakriminalitet. Norge er verdensledende innen olje- og gass, havbruk, shipping og en rekke andre områder. Det gjør medarbeiderne i slike selskaper til attraktive mål både for selskaper og land som er på jakt etter informasjon. Problemet er at mange ikke tar dette på alvor. Mange er heller ikke klar over at de faktisk er attraktive mål, sier Kastet.

Kriminalitet på nettet er grenseløs og vanskelig å etterforske.

- De kriminelle kan sitte rett ved siden av deg eller på den andre siden av kloden, sier Kristian Kastet.

Etterforskning krever ofte internasjonalt politisamarbeid.

- I tillegg vokser ikke kompetansen på trær. Sikring av digitale spor fra teknisk utstyr er en spesialistjobb, sier sikkerhetseksperten.

Bedrifter vet ikke hva angrepene koster
Næringslivets sikkerhetsråd (NSR) sin Mørketallsundersøkelse fra 2018 kartlegger sikkerhetstilstanden hos mer enn 1500 norske virksomheter i privat og offentlig sektor.
Undersøkelsen viser at norske virksomheter har liten oversikt over hva datakriminalitet koster dem. NSR estimerer at kostnaden er 1,3 milliarder kroner blant norske virksomheter årlig. I tillegg kommer økonomiske tap på grunn av tapte kontrakter og omdømme.

- Er norske bedrifter generelt for naive?

- Å si at de er naive er kanskje sterkt, det er tross alt over 500.000 bedrifter i Norge med færre enn 20 ansatte. Det er umulig for disse å drive tungt med IT-sikkerhet uten å gå konkurs eller virkelig merke det på bunnlinja, sier Kastet.

Vrient å estimere kostnadene
Endel av kostnadene er vanskelige å tallfeste, for eksempel tapte kontrakter på grunn av omdømmetap eller at andre utnytter forretningshemmelighetene dine. I tillegg kommer kostnader du kanskje ikke tenker på, som operasjoner som gjøres manuelt når dataen er nede.

- Hva du gjør hvis støtte- og produksjonsverktøy faller bort er en forretningsrisiko som du bør tenke gjennom. Ofte blir det glemt eller ignorert. Dessverre, sier Kastet.

Samtlige av de spurte bedriftene sier i Mørketallsundersøkelsen at de ikke har tapt forretningshemmeligheter gjennom informasjonstyveri og spionasje.

- Det kan være, men husk at det kan ta lang tid før du merker konsekvensene av et angrep. Hvis ikke tyven kan utnytte informasjonen selv må de finne en kjøper, som så må utnytte den. I tillegg er det ikke enkelt å finne ut hvilken informasjon tyvene har stjålet hvis de bare har kopiert data. Skal du finne ut av det du trolig leie inn eksperthjelp, sier eksperten fra Frende Forsikring.

Oppdager angrep helt tilfeldig
De vanligste angrepene norske bedrifter sier at de er utsatt for er virus- og programvareinfeksjoner, sosial manipulering som phising og forsøk på datainnbrudd. Hele 40 prosent av virksomhetene oppdaget sikkerhetsbruddet ved en tilfeldighet.

- Det kan høres rart ut, men er det egentlig det? De fleste bedrifter er små og har ikke egne ansatte som jobber med informasjonssikkerhet. I tillegg kreves det mye kompetanse for å overvåke nettverk og IT-utstyr som kan oppdage digitale trusler, sier Frende sin sikkerhetsansvarlige.

Den menneskelige faktoren oppi det hele må heller ikke glemmes.
- Det skal ikke mer til enn en e-post med en falsk faktura. Da må bedriften ha gode rutiner for håndtering av regninger – teknologi alene løser ikke alt. Det er fort gjort å klikke på en lenke eller åpne et dokument i en e-post, sier Kristian Kastet.

Presser bedrifter for penger
Fireeye sin rapport fra 2018 viser en økning i utpressingssaker, spesielt med framveksten av kryptovaluta.

- De kriminelle følger trender i digitalisering og hva folk er opptatt av. De er ute etter nye kriminelle forretningsmodeller. Å bryte seg inn i IoT-dingser har vært en trend de siste årene. De er ofte billig i produksjon, noe sikkerheten lider under.

- Men om noen har brutt seg inn i nettverk eller på PCen og installert spion programvare er det plutselig mye vanskeligere å oppdage, sier sikkerhetseksperten til Frende.

Dette gjør du hvis bedriften din blir angrepet
Det er ingen enkel oppgave å nøste opp i konsekvensene av er angrep. Du kan resette maskinen som er angrepet til normal driftssituasjon og komme unna med det, men det er langt fra sikkert.

- Da vet du ikke om flere maskiner er angrepet eller om viruset har spredd seg. Du aner heller ikke hva som egentlig har skjedd, hvordan du kan forhindre nye angrep eller hvem som står bak. Her bør du hente inn eksperthjelp, enten innleid eller gjennom cyberforsikringen din, sier Kristian Kastet.

Hvordan kan du forebygge?
Som leder eller ansatt er det viktig at du skaffer deg oversikt over hvilken kritisk informasjon bedriften forvalter og hvilket skadepotensial det utgjør dersom om dette kommer i feil hender.

– Dersom du etter en gjennomgang innser at du besitter informasjon som det er kritisk om vil komme på avveie eller forsvinne, så bør du gjøre tiltak for å sikre denne informasjon. Det kan være alt fra å lagre den på egne, lukkede systemer, til en gjennomgang av retningslinjer og bruk av mobiltelefon i utlandet, sier Kastet.

Det kan også være lurt å ta kontakt med eksperter på området som kan hjelpe deg med å sikre dataene dine.

– Med relativt enkle grep kan du imidlertid komme et godt stykke på vei selv også. Følger du råd tre til seks under, så får du en 90-prosent-løsning som vil gjøre det betydelig mye vanskeligere for de kriminelle, sier Kastet.

TIPS for å beskytte firmaet mot datakriminalitet

1. Ikke tenk «det skjer ikke meg»
2. Den enkleste veien inn er via mennesker
3. Alltid ha oppdatert program- og maskinvare
4. Installer sikkerhetsoppdateringer så raskt som mulig
5. Ikke la de ansatte være administratorer på maskiner og utstyr
6. Blokker kjøring av ikke-autorisert programvare
7. Ha offline backup av alle verdifulle data
8. Bruk tofaktor-pålogging der du kan
9. Ha en god og oppdatert antivirusløsning
10. Vær kritisk til hva du kobler til maskinen

(Pressemelding fra Frende Forsikring/NTB Kommunikasjon)