Virksomhedernes medarbejdere slukker for sikkerheden på nettet

Af Henrik Malmgreen, Alt om Data

Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.

Den hybride arbejdsplads er kommet for at blive. Det budskab hører vi fra alle sider, både fra analytikere og leverandører af såvel hardware som software og services. Der er ingen tvivl om, at coronakrisen for alvor har været med til at booste en tendens, vi så småt så konturerne af, allerede inden verden lukkede ned. Der er nemlig mange fordele ved den hybride arbejdsplads eller ”modern work­space”, som nogle foretrækker at kalde det.

Men der er også en væsentlig udfordring, som det er afgørende at have fokus på: sikkerheden. Hvordan sikrer man kommunikationen mellem medarbejdere og virksomhed, når medarbejderne ikke længere sidder sammen inde bag den beskyttende firewall? Udfordringen er markant i en verden, hvor virksomhederne i forvejen har kæmpet en brav kamp for at få medarbejderne til at efterleve selv de mest indlysende sikkerhedsprocedurer.

VPN sløver hastigheden

Den kamp er kun blevet sværere. I hvert fald, hvis man skal tro netværksselskabet Cisco, der netop har offentliggjort en rapport, som fortæller, at ikke mindre end 54 procent af danskerne går uden om arbejdsgiverens sikkerhedssystemer – ganske enkelt for at få arbejdsdagens processer til at glide mere enkelt. Ifølge Kenneth Schwartz, der er Cyber Security Lead hos Cisco Danmark med ansvar for sikkerhedsforretningen, skyldes det primært dårlig infrastruktur.

”Jeg er sikker på, at en væsentlig faktor er manglende hastighed, som eksempelvis kan skyldes, at man skal kommunikere med virksomheden gennem en vpn-forbindelse via egen internetforbindelse fra hjemmet. Det kan i mange sammenhænge have indflydelse på afviklingshastigheden i de applikationer, man arbejder med, og så kan det være fristende at gå uden om vpn-forbindelsen, hvis det er muligt,” forklarer Kenneth Schwartz.

Her kan du undgå adgangskoder

Adgangskoder er et af de svage led i virksomhedernes sikkerhed.

Et stigende antal ransomware-angreb har skabt behov for bedre cybersikkerhedsløsninger, og derfor har cybersikkerhedsfirmaet Beyond Identity etableret et strategisk partnerskab med Ignition Technology, som skal distribuere Beyond Identitys løsninger til it-forhandlere og sikkerhedsudbydere.

Behovet for løsninger uden brug af adgangskoder skyldes det seneste års eksplosive stigning i antallet af ransomware-angreb. Adgangskoder er det svage led ved ransomware-angreb og andre databrud, og stjålne legitimationsoplysninger udgør kernen i 85 procent af alle cyberangreb. Beyond Identity løser dette problem ved helt at eliminere adgangskoder som godkendelsesmetode.

Brugernes identitet bindes kryptografisk til deres enheder ved hjælp af såkaldt asymmetrisk kryptografi, som er den samme dokumenterede, sikre og skalerbare teknologi, der anvendes til at beskytte transaktioner på tværs af internettet. Beyond Identity udvider tillidskæden, som er etableret med TLS (nutidens SSL), til slutbrugere og deres enheder. Dermed gøres adgangskoder forældede og unødvendige.

Sikkerhed er et fælles ansvar

Han tøver imidlertid ikke med at sige, at det er endog særdeles farligt i en tid, hvor trusselsniveauet aldrig har været højere, at vi på den måde sænker paraderne. I samme moment siger han dog også, at skylden ikke kun kan lægges på medarbejderne, for it-sikkerhed er alles ansvar og ikke kun it-afdelingens ansvar. Dermed mener han også, at arbejdsgiverne har et særligt ansvar.

”De skal sikre, at sikkerhedsrutiner følges, og at medarbejderne gøres opmærksomhed på de sikkerhedsløsninger, der er i organisationen. Arbejdsgiverne skal gøre det let for medarbejdere at arbejde på en sikker måde. Derfor er det nødvendigt med en komplet it-sikkerhedsstrategi, der tager højde for den hybride arbejdsplads med arbejde både hjemmefra og på kontoret,” siger han.

”Det er vigtigt, at man som medarbejder følger regler og bruger de rigtige systemer. Det er de fleste også klar over i dag. Alligevel siger flere nu, at de ser bort fra sikkerhedssystemerne for at få hverdagen til at køre lidt nemmere. Det er bekymrende og en meget negativ udvikling på trods af et voksende fokus på it-sikkerhed de seneste år,” siger Kenneth Schwartz, Cisco.

Udfordringen kan løses

Kenneth Schwartz anbefaler dermed en holis-t­isk tilgang til udfordringen og opfordrer virksomhederne til at erkende, at det ikke længere er en verden, hvor medarbejderne enten arbejder på kontoret eller derhjemme, men en verden, hvor den fysiske lokation ikke længere er væsentlig for arbejdets udførelse. Vi kan arbejde alle steder fra, og vi arbejder i en åben verden, hvor vi endegyldigt er rykket uden for de beskyttende mure.

Den gode nyhed er imidlertid, at vi står over for en udfor­d­ring, vi sagtens kan løse. Men det gælder om at overbevise virksomhederne om nødvendigheden af en sikkerhedspolitik, der ser ganske meget anderledes ud end tidligere. Hos Cisco er sikkerhedsforretningen i vækst, og både her samt hos alle andre store netværksleverandører – for eksempel VMware og Microsoft – er sikkerhed kommet mere i fokus.

Mere end blot produkter

I dag er sikkerhed ikke noget, man hægter bag på en installation. I dag er sikkerhed integreret i alle produkter og løsninger, men Kenneth Schwartz påpeger, at en god sikkerhedsarkitektur handler om mere end blot produkter. Det handler også om et generelt godt og effektivt sikkerhedssetup ude i virksomhederne. En udfordring, man hos Cisco gør meget ud af at tale igennem sammen med kunderne.

”Det er vigtigt for alle virksomheder og især måske de mindre samt mellemstore, der ikke selv har ressourcerne til at løse opgaven,” uddyber Kenneth Schwartz.

Derfor ser man også flere og flere virksomheder, der outsourcer sikkerhedsrutinerne for i stedet at koncentrere sig om deres kerneforretning. Det at gennemskue, om og eventuelt hvornår virksomheden er blevet kompromitteret, er nemlig ikke blevet nemmere, forklarer han.

Der er masser af skrækeksempler på, at der kan gå måneder, inden en sikkerhedsbrist opdages, og når det kan tage så lang tid inden for firewallen, siger det sig selv, at opgaven er blevet endnu mere uoverskuelig i en tid, hvor flere og flere data, applikationer og processer forlader matriklen for i stedet at blive lagt op i skyen. Kenneth Schwartz påpeger et par konkrete indsatspunkter.

”Det gælder om at sikre en bedre infrastruktur og betragte medarbejderne som en ”constant roaming client”, der skal beskyttes bedst muligt. Sikkerhedsrutinerne skal flyttes op i skyen, og sikkerhedsrutinerne skal kunne følge med i den teknologiske udvikling, altså hvordan vi samarbejder og kommunikerer,” siger Kenneth Schwartz, som fastslår, at det handler om omtanke og grundighed.

Truslen sidder foran skærmen

”Der er stadig et stykke vej, før vi kan sige, at medarbejderne arbejder på en sikker måde. Det slår denne undersøgelse helt fast. I Danmark er vi imidlertid gode til at træne medarbejderne, så nu har arbejdsgiverne en opgave i at sikre, at deres systemer er brugervenlige, så de er nemme at implementere og overholde i hverdagen. Værktøjerne findes derude,” påpeger Kenneth Schwartz.

Den største cybertrussel er medarbejderne selv. Derfor er viden om cybersikkerhed vigtig for hele organisationen. Både for at identificere mulige trusler, men også for at forhindre fremtidige angreb. For eksempel bruger de fleste af os som private borgere multifaktor-autentificering, når vi logger ind på netbanken. Hvorfor springer vi så det skridt over, når vi er på arbejde, spørger Kenneth Schwartz?