”Cybersäkerhet ses fortfarande som ett nödvändigt ont”

En säkerhetsleverantör kan investera stora resurser i en produkt och marknadsföra den som ett starkt skydd. Men vad händer när ett oberoende test ger ett sämre resultat än väntat? För AV-Comparatives är svaret att samma kriterier måste gälla oavsett vem som testas.

Thomas Uhlemann

Thomas Uhlemann, PR & marketing director and cybersecurity evangelist på AV-Comparatives, har arbetat i branschen i närmare 20 år. Organisationen har byggt relationer med säkerhetsleverantörer under mer än två decennier, men långvariga samarbeten får inte bli ett skäl att kompromissa med bedömningarna.

– För att bevara vår integritet krävs också att våra kriterier och ramvillkor är tydliga och framför allt alltid följs, säger Thomas Uhlemann.

Testresultaten ska kunna granskas, förklaras och återskapas. Enligt Thomas Uhlemann är transparensen avgörande för att leverantörerna ska acceptera bedömningarna, även när de inte är nöjda.

Det händer att företag reagerar negativt. Men han beskriver hur leverantörerna i regel först undersöker om det finns tekniska problem eller förbättringar att göra.

– Jag skulle ljuga om jag sa att det aldrig har funnits en och annan leverantör som varit allt annat än nöjd med våra resultat. Det är alltså inte alltid bara frid och fröjd, men som regel har vi faktiskt fakta på vår sida, säger Thomas Uhlemann.

Automatisering kan inte ersätta erfarenhet

Säkerhetstester måste vara jämförbara. Det kräver hög automatiseringsgrad och tydliga metoder, men det innebär inte att testarna kan reduceras till operatörer av ett system. En stor del av kompetensen ligger i att förstå vad som händer under testet och upptäcka när något inte stämmer.

– Med åren utvecklar man en känsla för att direkt märka när något inte stämmer i testsystemet, säger Thomas Uhlemann.

Den förmågan bygger på att testarna själva utvecklar och förstår metoderna, från vad som mäts till var det kan finnas möjligheter för en produkt att gynnas framför andra. Särskilt viktigt blir det när testerna efterliknar angrepp mot känsliga nätverk.

– Där måste våra experter förstås vara kreativa och tänka utanför boxen. Det kan inget system, inte heller AI, göra åt oss, säger Thomas Uhlemann.

Han menar att utvecklingen av säkerhetstester kräver ständig vaksamhet. Angriparnas metoder är enligt honom inte nödvändigtvis nya, men hastigheten i utvecklingen av skadlig kod och exploateringar av sårbarheter har ökat. Därför måste testorganisationen följa både leverantörernas utveckling och angriparnas beteenden – och vara beredd att ändra sina egna metoder.

En liten organisation med högt i tak

AV-Comparatives består av 13 personer. Den begränsade storleken gör det möjligt att diskutera osäkerheter direkt, utan att frågor behöver passera genom flera organisatoriska led.

– Vi är ett kanske överraskande litet team på 13 personer. Men det hjälper oss att leva en kultur av öppenhet, där eventuella tvivel, oklarheter eller frågor kan diskuteras direkt, säger Thomas Uhlemann.

För en oberoende testorganisation är det en praktisk förutsättning för kvalitet. Om resultat ska kunna granskas behöver även antagandena bakom dem kunna ifrågasättas. Det gäller inte bara leverantörernas produkter, utan också de egna testmetoderna.

Men resultaten måste också nå fram till dem som ska fatta beslut om säkerhetsinvesteringar. AV-Comparatives arbetar därför med att göra sina omfattande rapporter mer tillgängliga, bland annat genom sammanfattningar riktade till beslutsfattare. Tekniska resultat behöver gå att förstå utan att deras innebörd förenklas bort.

Säkerhetsprodukter måste passa verkligheten

En produkt som fungerar väl i ett test är inte automatiskt rätt val för alla. En privat användare vill ofta att skyddet ska fatta de flesta besluten automatiskt. Ett säkerhetscenter behöver i stället kunna styra lösningen i detalj och snabbt se vilka larm som kräver åtgärd.

För många varningar kan bli ett problem i sig. När analytiker möts av en ständig ström av larm ökar risken för så kallad alert fatigue – att viktiga signaler drunknar i mängden.

– SOC-team och administratörer vill i stället för ”alert fatigue” få informationen redan prioriterad och sammanfattad i några få punkter, så att de kan reagera direkt och effektivt på eventuella incidenter, säger Thomas Uhlemann.

Därför redovisar AV-Comparatives faktorer som skyddskvalitet, falsklarm och påverkan på prestanda, men lämnar åt användarna att bedöma vad som passar deras behov. En säkerhetslösning måste fungera i den miljö där den används, inte bara prestera väl under kontrollerade förhållanden.

Kritiken riktas mot köparna

Den största utmaningen för cybersäkerhetsbranschen är enligt Thomas Uhlemann inte enbart teknisk. Efter nästan 20 år i branschen har han ofta hört cybersäkerhet beskrivas som ett ”nödvändigt ont” i it-planeringen.

– Tiden för ”antivirusprogrammet” är ju sedan länge förbi – dagens produkter gör så mycket mer än så, säger han.

Trots att säkerhetslösningarna utvecklats fortsätter många organisationer att behandla skyddet som något som kan bockas av när en produkt har köpts och installerats. Det är en inställning som enligt Thomas Uhlemann riskerar att göra säkerhetsarbetet statiskt i en miljö där hoten förändras.

– Även där ses cybersäkerhet ofta som ett projekt som avslutas när skyddslösningen tas i drift, i stället för som en process som måste levas, ständigt anpassas och framför allt regelbundet testas med krisövningar – precis som brandövningar, säger han.

Hans kritik riktas därmed inte bara mot hur leverantörer utvecklar och säljer sina produkter, utan också mot hur kunderna använder dem. Säkerhetsföretag kan förbättra tekniken och försöka öka kunskapen, men de kan inte ensamma förändra köparnas prioriteringar.

För Thomas Uhlemann är det just där problemet ligger: organisationer kan investera i säkerhetslösningar utan att vara beredda att regelbundet testa om skyddet fungerar när det verkligen gäller.