Af Henrik Malmgreen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Nu kan man – sagt sådan lidt populært – ikke blot spille computer. Nu kan man nemlig også spille sikkerhed. I hvert fald hvis det står til Kaspersky Lab, der har udviklet et spil til virksomheder, som enten ikke har styr på sikkerheden eller gerne vil lære mere om sikkerhed. Spillet har så at sige været i drift i nogle år, men mest i udlandet.
På dansk grund blev det præsentereret ved sikkerhedsmessen Infosecurity i Øksnehallen i maj måned. Her demonstrerede Head of Enterprise for Norden og Benelux Thomas Damsgaard det for udvalgte kunder samt ikke mindst Alt om DATA, der virkelig fik sat de sikkerhedsmæssige kompetencer på en prøve.
”Vi snakker så meget om awareness-træning for medarbejderne, for det er dem, der får på puklen, når de ved en fejl eller en dumhed giver hackerne adgang til virksomhedens data. Men hvad med awareness-træning for ledelsen? Det er mindst lige så vigtigt. I sidste ende er det jo ledelsen, der skal dedikere de nødvendige ressourcer til såvel træning som de værktøjer, der skal investeres i for at holde hackerne ude af virksomhedens infrastruktur. Problemet er bare, at det kan være mere end almindelig svært at få bevilget disse ressourcer”, siger Thomas Damsgaard og sætter tal på udtalelsen.
Bevisets usikre stilling
Således siger hver tredje CISO i en undersøgelse foretaget af Kaspersky Lab blandt 250 CISO’er, at de ikke kan få bevilget de nødvendige budgetter, fordi de ikke kan give garantier mod sikkerhedsbrud eller påvise Return of Investment. Problemet er blot, at når det gælder sikkerhed, kan ingen garantere noget, og derfor kan CISO’en heller ikke garantere, at investeringen kan ses med et positivt resultat på bundlinjen.
Til gengæld er det helt sikkert, at rammes virksomheden af et massivt nedbrud grundet dårlig sikkerhed, ja så kan det stensikkert ses på bundlinjen med negativt fortegn.
I undersøgelsen siger 9 ud af 10 CISO’er endvidere, at de mener, sikkerhedsnedbrud er uundgåelige, så problemstillingen er den helt klassiske. Hvad kom først – hønen eller ægget. Imidlertid dokumenterer undersøgelsen, at awareness-træning ikke kun bør være et medarbejderanliggende, når det ser ud til at både ledelse og medarbejdere har brug for det.
Derfor har Kaspersky Lab udviklet spillet, der skal åbne op for en ordentlig og brugbar dialog mellem ledelse og it-sikkerhed. Ledelsen skal med andre ord opnå tilstrækkelig forståelse til at kunne træffe beslutninger på virksomhedens vegne.
[su_box title="Brug den sunde fornuft" box_color="#9c100d" titel_color="#ffffff" radius="1" class="verdict-box"]
Ifølge David Jacoby kan det blive dødsensfarligt for en virksomhed at stole blindt på sikkerhedssoftwaren. Ledelse og medarbejdere skal også bruge deres sunde fornuft samt ikke mindst være proaktive.Ifølge Kaspersky Lab siger 59 pct. af virksomhederne, at det er uforsigtig adfærd fra medarbejdernes side, der har ført til sikkerhedsbrud. Derfor er det tydeligt, at awareness-træning er vigtig både for medarbejderne og ledelsen for at opnå den nødvendige dialog om, hvorledes man bedst muligt beskytter virksomheden og dens værdifulde data.
Ifølge David Jacoby, der er sikkerhedsresearcher hos Kaspersky Lab er det imidlertid ikke nok at stole blindt på de sikkerhedsløsninger, man kan købe hos både Kaspersky Lab og deres kolleger. Det er ganske enkelt falsk sikkerhed.
”Virksomheden og dens medarbejdere skal bruge den sunde fornuft. Sikkerhedsbranchen har givet været god til at love guld og grønne skove, men for det første kan ingen sikkerhedsløsning garantere mod sikkerhedsbrister, og for det andet kan virksomhederne og deres ledelse opnå høj grad af proaktivitet ved at udarbejde threat intelligence-rapporter til at fjerne eksempelvis malware. Det kan ske ved at udnytte de digitale fodspor, hackerne efterlader, så man bedre kan beskytte sig mod fremtidige angreb. Desuden er det muligt at sætte forsvarsværn op uden nødvendigvis at have et af de store it-sikkerhedssystemer installeret”, siger David Jacoby.
[/su_box]
Holder hjernen skarp
Spillet er udviklet i en række branchespecifikke variationer, da risikoscenarierne naturligvis varierer fra branche til branche og ifølge de foreløbige erfaringer tyder meget på, at det betyder, at virksomhedens ledelse virkelig får forståelse for den adfærd, der er nødvendig. Samtidig viser erfaringer, at traditionel undervisning ikke dur.
En af Kaspersky Labs kunder, Donau Chemie Group, startede med dette, men det gav ingen ændring i adfærden. Da man til gengæld indførte online interaktiv træning og simuleringer, betød det, at antallet af klik på simulerede phishingangreb faldt til under 2 procent.
Virksomhedsspillet fra Kaspersky Lab er et helt nyt indlæringsunivers, der kan spilles både fysisk ansigt til ansigt og online mellem flere grupper af medarbejdere. Det afvikles over en række runder, hvor deltagerne stilles over for en række meget konkrete problemstillinger samt udfordringer og helt konkret kan se de økonomiske konsekvenser af deres beslutninger.
Efter at have spillet et par runder af sikkerhedsspillet, kan Alt om DATAs udsendte sikkerhedsreporter melde, at man virkelig skal holde tungen lige i munden og ikke mindst samarbejde for ikke at komme til at bringe virksomheden i uføre. Spillet sætter virkelig nogle tanker i gang.