Säkerhetsbranschen slänger sig med ”buzz-words” som ska försäkra alla att vi vet vad vi pratar om. Vi träffas i forum, på mässor och event för att i olika grad skrämma upp varandra och potentiella kunder att cyberdomedagen är nära, och att vi sitter på lösningen. Lösningen på vaddå egentligen?
Teckna din prenumeration på Aktuell Säkerhet här
För ett bra tag sedan lyssnade jag på en föreläsare som pratade om det moderna säkerhetsarbetet kring cybersäkerhet. En sak som dröjt sig kvar likt en öronmask är att hen sade att ”det är dags att riva de digitala brandväggarna”. Nu tror jag inte på att ta bort brandväggar per se. Men uttalandet var en metafor, det var visionärt, det var något nytt.
Digital infrastruktur idag blir mer och mer segmenterad. Vissa verksamheter är dessutom på väg tillbaka till silo liknande strukturer. Min bestämda uppfattning är att detta i sig är en enorm risk långt värre än alternativen. Risken ligger i att man mycket sällan angriper själva strukturen utifrån. Vår digitala borg med skinande brandväggar, dess sårbarheten ligger i att dessa borgar sällan är skapta för människan utan för verksamheten. Men människan är verksamheten. Rent konkret så menar jag att vi låser in oss i enorma digitala fästningar, bakom säkerhetstekniska lösningar så till den grad att vi missar Akilleshälen som med överväldigande majoritet är grunden till det mesta som händer innanför murarna – människan. individen bli attackvektorn som kan göra en skadlig länk till ett inferno. Den mänskliga brandväggen ses aldrig eller sällan över. Individen blir akterseglad trots att den är den första frontlinjen i detta cyberkrig.
Så vad menade då föreläsaren jag inledningsvis nämnde? Jag väljer att tolka hens uttalande som visionärt i den meningen att verkligt proaktivt säkerhetsarbete á la 2020 måste inrikta sig till att börja göra annorlunda kring förmedlingen hur vi skall jobba med säkerhet. För att lämna den digitala medeltiden bakom oss så måste samtliga börja prata i termer kring hur vi gör de sociala plattformarna, länkarna, apparna, lösenorden allt som finns i vår digitala vardag till en säker vardag. Jobbet utgör i medel åtta timmar av vår tid, fritiden överstiger med 16 timmar. Detta trots att vi sover som bäst åtta av dem, många är uppkopplade även då. Vi måste fokusera på att riva det gamla tänket och de gamla strategierna som är baserade ofta på domedagskonsulter vilka är piskade att sälja timmar och produkter snarare än fylla verksamheters verkliga behov. Sällan eller aldrig funkar exkludering, segmentering eller utanförskap i den digitala era vi lever i. Förstå mig rätt, segmentering är behovsställt i vissa fall. Men sällan är de baserade på en objektiv och korrekt nulägesanalys eller konsekvensanalys. Segmentering är i många fall ett resultat av att någon beslutsfattare tror detta är lösningen på ett hot, att segmentering gör det lättare att göra rätt. Är det inte bättre att utföra en rotanalys och sen ändra det som möjliggjort felet? Och forskning visar ju just på att den omedvetne anställda är det enskilt största hotet, att människan i sig är det enskilt största hotet på internet. Så varför låter sig verksamheter övertygas av domedagskonsulter att segmentering, brandväggar och säkerhetstekniska lösningar är lösningen på den utmaningen?
Om vi alla skall umgås på den digitala slätten, om vi alla skall komma överens kring grundläggande förhållningssätt så måste vi förstå värdet av att leka ihop – what´s in it for me? För om generationerna som kommer, om de anställda du redan har inte förstår värdet av en sund säkerhetskultur kommer deras personliga behov gå före verksamhetens. Och då verksamheten är en del av verkligheten snarare än att den definierar den så kommer individens behov alltid vara i det främsta rummet om det digitala sociala livet har större pay off än verksamhetens. Verksamheten måste börja odla sina informationstillgångar – medarbetaren– på rätt sätt. Begränsar du, hindrar eller låser in kommer dina snabbt bli motarbetare. Du måste, likt en förälder, lära dem och stötta dem processuellt över tiden för att de skall bli medvetna, utvecklas och bli bättre. Ett barn mår inte bra av att styras av allt för många onödiga och tvingande regler.
Det är en farlig värld där ute, direkt skadlig. Den blir än mer skadlig om vi försöker avskärma oss ifrån den, hoten verkar bli fler och fler per sekund. Men du kommer skada dig förr eller senare, klicka på länkar eller att ditt lösenord bli läckt. Men tillfällena kommer bli färre med en medveten medarbetare, en som vet vad den skall göra nu och hur den skall bidra till ett progressivt säkerhetsarbete genom att förstå värdet av det. Om inte så kommer IoT inte stå för Internet of Things utan Internet of Threats.
Robert Willborg, Junglemap
