Den senaste tidens hackerattacker har återigen lyft cybersäkerhet högre upp på agendan i ledningsrummen. Det blev märkbart under GlobalConnects cybersäkerhetsseminarium som under torsdagen, 15 februari, samlade nära 80 företrädare från olika branscher.
På plats fanns säkerhetsexperterna Daniel Aldstam och Johan Caripson från GlobalConnect samt Rob Rhind, Jarle Tiller Bjørntvedt och Andreas Gotthardsson från bolagets samarbetspartners Netsecurity och Fortinet. Budskapet var tydligt, svenska verksamheter behöver rusta sig bättre mot cyberattacker.
Den senaste tidens utveckling har ökat medvetenheten för de hot vi står inför vad gäller att skydda vår data och verksamheters drift. Datasäkerhet är inte längre en uppgift för IT-avdelningen utan involverar alla nivåer av ett bolag och kommer med ett extra ansvar för ledning och VD.
På GlobalConnects säkerhetsseminarium lyftes några av de viktigaste aspekterna och tekniska framstegen att ha koll på framöver.
– 2024 är året då många bolag behöver ta ytterligare steg framåt vad gäller cybersäkerhet. Ett svårare geopolitiskt läge, ny teknologi, hårdare reglering och ett ökat beroende av digitala system riskerar att bli en perfekt storm för verksamheter som inte står förberedda, säger Daniel Aldstam, koncernsäkerhetschef för GlobalConnect.
247 dagar kvar tills NIS2 blir svensk lag
Senast i oktober i år tas direktivet ”om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen” dvs NIS2 i bruk, något som kan ge stora konsekvenser för svenska verksamheter som nu måste göra ytterligare investeringar inom cybersäkerhet.
Om verksamheten inte lever upp till direktivet riskerar de böter på upp till tio miljoner euro eller högst 2 % av den totala globala årsomsättningen. Med ett alltmer uppkopplat samhälle och 4,3 miljarder digitala enheter i Europa blir direktiv likt detta allt viktigare. Enligt Andreas Gotthardsson är det dock många bolag som fortfarande stoppar huvudet i sanden.
– På samma sätt som att skjuta upp att börja träna eller göra läxor ser vi att många bolag dragit på förberedelserna inför NIS2, något som kan bli både stressigt och kostsamt. För den som ännu inte planerat för NIS2 implementeringen måste man på en gång undersöka hur man påverkas, öka medvetenheten i ledningen, budgetera för åtgärder och ta hjälp om man behöver, säger Andreas Gotthardsson, Director Systems Engineering på Fortinet.
Att förebygga och hantera incidenter
En del av NIS2 handlar om att man förebygger, upptäcker och svarar på incidenter. Men hur gör man det? Jarle Tiller Bjørntvedt från Netsecurity menar att vi måste se över sättet vi jobbar med cybersäkerhet, särskilt då både AI och kvantumteknologi står i farstun och öppnar upp för nya typer av intrång. Det handlar både om att stärka upp endpoints och identiteter såväl som nätverk och molnlösningar.
– Vid simuleringar där vi använder samma tekniker som kända hackergrupper kan vi se att olika system och leverantörer presterar väldigt olika i hur de upptäcker och skyddar dina endpoints vid attacker. Som bolag kan man idag inte bara vänta på nästa hackerattack, man måste hela tiden utvärdera sina svaga punkter och förbereda sig, säger Jarle Tiller Bjørntvedt, CTO för Netsecurity.
Ökat behov att skydda operativ teknik
Med allt tätare samverkan mellan traditionella IT-system och digitaliserade kontrollsystem inom industrin, så kallad operativ teknik (OT), skapas en allt större sårbarhet för attacker. Attacker mot dessa system kan ha stor påverkan då det träffar mot hjärtat av vårt samhälle såsom el och vattensystem samt kritisk industri. Enligt Rob Rhind, expert på säkerhet inom operativ teknik, finns inte samma tradition av säkerhetstänk inom OT som inom IT.
– Operativ teknik är i grunden designad i stängda omgivningar avgränsade från omvärlden. Idag, när dessa system kopplas ihop med våra IT-system står vi inför risker som vi inte hade för 20 år sedan. Som systemansvarig är det viktigt att man förstår dessa risker och kan förhålla sig till de olika prioriteringarna som krockar när man sammanför systemen med varandra, säger Rob Rhind, OT Cyber Security Technical Expert på Netsecurity.
Rhind understryker vikten av att utvärdera etablerade CSMS (Cyber Security Management Systems) inom OT i takt med att världen omkring oss förändras och säkerhetsriskerna ökar. Det är även viktigt att säkra ett annat tillvägagångssätt än vid vanliga IT-processer eftersom prioriteringarna mellan IT och OT skiljer sig åt, där traditionella IT-system prioriterar sekretess högst medan prioriteringarna inom OT istället primärt handlar om tillgänglighet.
Ringar på vattnet
Seminariet summerades i en paneldebatt där frågan om implementeringarna av NIS2 adresserades. Bland annat lyftes vilka som kommer att beröras av de förändrade arbetssätten.
– Vad många inte tänker på är att NIS2 direktivet i realiteten är ett sätt att tvinga fram ringar på vattnet över alla verksamheter. Om man inte är proaktiv finns en risk att man bygger upp ett skuldberg av eftersatta system och processer som kommer att göra det svårt för andra bolag att köpa produkter eller tjänster av ditt företag, menar Johan Caripson, NIS2-expert på GlobalConnect.
