Microsoft Security Day: Et trusselslandskab i konstant udvikling

Hvert eneste sekund sker der 579 cyberangreb globalt. Den 16. marts 2022 samledes danske og internationale eksperter derfor igen hos Microsoft Danmark for at debattere de vigtigste muligheder og trusler inden for cybersikkerhed for danske virksomheder i en verden, der forandrer sig hurtigere end nogensinde.

Den teknologiske udvikling spiller en afgørende rolle for cybersikkerhed i dag. Dels fordi nye teknologier giver organisationer andre muligheder for at opruste deres cybersikkerhed. Og dels fordi udviklingen af teknologier som AI, deep fake og machine learning giver hackere nye muligheder for at bryde ind i IT-systemer, de ikke tidligere har kunnet få adgang til. Vi ser dermed et trusselslandskab i konstant udvikling.

Mere end 700 personer så med online og fysisk, da Microsoft Danmark lagde hovedkvarter til Microsoft Security Day 2022. Moderator, Nynne Bjerre Christensen førte debatten omkring en bred vifte af temaer, der berørte alt fra de psykologiske aspekter ved cyberangreb, over den teknologiske udvikling til arbejdsmarkedsudvikling og de forretningsmæssige overvejelser, der har indflydelse på cybersikkerhed.

Dagens værter, Tanya Helene Christensen, BG lead Modern Work and Security i Microsoft Danmark, og Ole Kjeldsen, CISO i Microsoft Danmark, bød velkommen til vores hybride arrangement og gav efter en kort introduktion til programmet ordet videre til Vasu Jakkal, CVP, Security, Compliance, Identity & Privacy i Microsoft. Hun gav publikum en introduktion til nogle af de største tendenser, Microsoft ser inden for cybersikkerhed. Tendenser som bl.a. skyldes Covid-19-pandemien og stigningen i hjemmearbejde.

”Vi har alle oplevet, hvordan verden har udviklet sig utroligt meget de sidste to år som et resultat af pandemien. Hybridarbejde er blevet normen, og i dag arbejder folk både på virksomhedsnetværk og private netværk og skifter sømløst mellem arbejdsrelaterede og private aktiviteter online,” forklarede Vasu Jakkal. Hun understregede desuden, at de valg, ledere i dag skal træffe om cybersikkerhed, er sværere end nogensinde før. Og de bliver ikke lettere fremadrettet.

Vasu Jakkal forklarede, hvorfor det er vigtigt at sikre hele virksomhedens økosystem, hvis man vil være bedst muligt forberedt på et cyberangreb. Denne tilgang kaldes end-to-end og bygger på idéen om, at forretningsrisici kommer i mange former. Det er derfor ikke nok kun at være beskyttet mod én type af risici, alt imens man er sårbar overfor andre.

Vasu Jakkals indlæg til Micrsoft Security Day

Menneskelige fejl er også årsag til angreb

Michael Andersen, COO for Department of Forensic Psychology i EAGLE SHARK, overtog ordet med et oplæg om, hvordan psykologi spiller ind, når organisationer rammes af et cyberangreb.

”Alle phishing-mails bygger på psykologiske indsigter. Det har altid været på denne måde,” forklarer Michael Andersen. Han har et indgående kendskab til de reaktionsmønstre der gør, at vi bliver snydt af hackernes tricks. Og netop fordi hackere også bare er mennesker, er det Michael Andersen holdning, at virksomheder altid bør forhandle – og dermed indgå i dialog – med hackere, hvis de bliver angrebet.

”Vi bør altid forhandle for at få så meget som muligt viden om hackerne. Ved hjælp af psykologiske teorier, kan vi få hackerne til at fortælle os meget mere, end de egentlig er villige til. Vi skal huske på, at vi er mennesker, før vi er titler. Og det samme gælder for hackerne,” sluttede Michael Andersen.

Hele samfundet skal tage truslen seriøst

Det næste indslag var med tre medlemmer af det danske CSU-team fra Microsoft Danmark, herunder Jan Kaempe, Worldwide Cybersecurity Subject Matter Expert i Microsoft Danmark. Jan Kaempe startede med at slå fast, hvorfor alle aktører i samfundet må reagere på den stigende trussel fra cyberangreb, for at vi som samfund kan stå imod angrebene.

”De danske myndigheder vurderer truslen fra cyberkriminalitet som ’meget høj’. Dette er det højest mulige trusselniveau. Det er derfor vigtigt, at alle medlemmer af vores samfund tager truslen seriøst, så vi kan opretholde et stabilt og velfungerende land,” forklarede Jan Kaempe på vegne af de eksperter, som tager telefonen, når man ringer, hvis man er blevet udsat for et cyberangreb.

Jan Kaempe fra Microsoft Danmarks CSU-team

Hvor sikre er de danske virksomheder i virkeligheden?

Det næste punkt i programmet var en paneldebat, der inkluderede fire eksperter med forskellige perspektiver på cybersikkerhed. Panelet bestod af Thomas Lund-Sørensen, Partner i Macro Advisory Partners og tidligere chef for Center for Cybersikkerhed, Ole Kjeldsen, CISO i Microsoft Danmark, Michael Andersen, COO for Department of Forensic Psychology i EAGLE SHARK og Alice Leth Sørensen, Managing director i VENZO Cyber Security.

I debatten var fokus bl.a. på den kulturændring, der er behov for i de små og mellemstore virksomheder for at gøre dem så robuste som overhovedet muligt i forhold til cyberangreb.

”Den eneste ting, jeg mener, at vi fortsat mangler er faktisk en kulturændring. Vi bør prøve at forstå, at cybersikkerhed ikke bare er noget, man køber. Det er noget, man lever, noget man gør gennem sine handlinger. Du kan have alle de smarteste teknologiske løsninger, men hvis du ikke får ledelsen indover og tager hånd om de allervigtigste aspekter, så har du helt åbenlyst stadig nogle store problemer. Det er den del, man bør være mest bekymret for,” fastslog Thomas Lund-Sørensen. Og således var tonen slået an for resten af debatten.

Flere af de øvrige paneldeltagere var enige i, at ledelsen bør involveres mere i de beslutninger, der træffes om cybersikkerhed. Alice Leth Sørensen fortalte om de hyppigste årsager til, at virksomheder er særligt opmærksomme på cybersikkerhed.

”Vi oplever særligt to scenarier, når vi møder kunder, der har været udsat for et angreb: Nogen er meget ivrige efter at lukke hullerne i systemet, og villige til at investere mange penge i deres cybersikkerhed. Vi møder dog også et stigende antal virksomheder, der går meget op i cybersikkerhed, fordi de ønsker at dokumentere, hvor sikre, de er. God cybersikkerhed er dermed blevet en ’license to operate’,” sagde Alice Leth Sørensen.

Ingen går fri, når hackerne er på spil

En anden vigtig pointe i paneldebatten var, at alle virksomheder bør forholde sig til den værst tænkelige situation. Virksomheder kan nemlig ende i store problemer, hvis de ikke har en plan for, hvordan de vil reagere, hvis de bliver ramt af et cyberangreb.

“En af de vigtigste ting, vi anbefaler vores kunder, er at øve et cyberangreb for at blive bekendt med procedurerne,” sagde Alice Leth Sørensen. Dette er nødvendigt, fordi alle brancher og alle typer af organisationer bliver ramt.

”Overalt i det danske samfund er der ved at ske en langsom erkendelse af, at der er ingen vej udenom at forholde sig til cybersikkerhed. Hvis man er digitaliseret, kan man blive angrebet. Det er ikke afgørende, hvilken type data man har. Hvis man ikke mener, at ens data er interessant for hackere, så må man tro om. Alle data kan have en værdi for hackere, alene af den grund, at den har værdi for virksomheden,” forklarede Ole Kjeldsen.

Paneldebatten

Cybersikkerhed i et forretningsperspektiv

Fra at tale om cybersikkerhed på et overordnet plan var næste punkt i dagsordenen en konkret case. Chr. Hansen præsenterede, hvordan virksomheden de seneste par år har arbejdet med cybersikkerhed ud fra en data-dreven tilgang. På scenen var Jens Rasmussen, VP for Global IT (CIO) i Chr. Hansen og Kasper Lindgaard, Senior Cyber Security Manager for Global IT i Chr. Hansen.

”Da vi udviklede vores sikkerhedsstrategi, ville vi være sikre på, at vi udelukkende havde løsninger, der understøttede hinanden. Alle de produkter, vi inkluderede i vores nye sikkerhedsarkitektur måtte ikke længere blot stå alene. De skulle skabe værdi for alle de andre dele af vores løsning,” forklarede Kasper Lindgaard.

I oplægget fortalte Jens Rasmussen og Kasper Lindgaard også om, hvordan Chr. Hansens prioritering af data-dreven sikkerhed har haft betydning for virksomhedens rekruttering af medarbejdere. Og netop rekruttering af cybersikkerhedsmedarbejdere er en generelt stigende udfordring. Chr. Hansen har – på grund af sin nye sikkerhedsstrategi – udnyttet muligheden for også at ansætte personer med alternative, faglige baggrunde, såsom dataanalytikere og programmører. Virksomheden har nemlig vurderet, at ansatte med disse typer baggrunde også kan bidrage til implementeringen af data-dreven sikkerhed.

I oplægget fortalte Jens Rasmussen og Kasper Lindgaard også om, hvordan Chr. Hansens prioritering af data-dreven sikkerhed har haft betydning for virksomhedens rekruttering af medarbejdere. Og netop rekruttering af cybersikkerhedsmedarbejdere er en generelt stigende udfordring. Chr. Hansen har – på grund af sin nye sikkerhedsstrategi – udnyttet muligheden for også at ansætte personer med alternative, faglige baggrunde, såsom dataanalytikere og programmører. Virksomheden har nemlig vurderet, at ansatte med disse typer baggrunde også kan bidrage til implementeringen af data-dreven sikkerhed.

Kasper Lindgaard og Jens Rasmussen fra Chr. Hansen

En anden årsag til at virksomheder bør tænke cybersikkerhed ind i ledelsesbeslutninger, er de konkurrencemæssige muligheder der findes på området. Til at give et europæisk perspektiv på netop dette, var Morten Løkkegaard med live fra Bruxelles. Morten Løkkegaard er medlem af Europa-Parlamentet for Venstre og Chefforhandler for NIS2-direktivet for cybersikkerhed på vegne af Indre Markeds-udvalget.

Morten Løkkegaard startede ud med at understrege behovet for at vi står sammen i fællesskaber som EU og NATO, fordi vi – på tværs af landegrænser – kæmper mod de samme fjender i cyberspace. Fra at tale om cybersikkerhed på nationalt niveau dykkede Morten Løkkegaard derefter ned i, hvad den enkelte virksomhed kan få ud af at arbejde målrettet med at styrke sin cybersikkerhed. Kort sagt kan investeringer i cybersikkerhed på sigt blive en konkurrencefordel.

“Der er behov for at erhvervslivet tager hånd om udfordringerne og indser de konkurrencemæssige fordele, som man kan opnå ved at have en stærk cybersikkerhed. Det er ikke kun en fordel for virksomheden selv, men også for hele forsyningskæden,” fastslog Morten Løkkegaard.

Morten Løkkegaard

Efter det sidste oplæg opsummerede Tanya Helene Christensen nogle af dagens højdepunkter. I de afsluttende bemærkninger kom Tanya Helene Christensen bl.a. ind på, hvordan teknologier og strategier, som kunne virke som en overreaktion for blot et par år siden, i dag er den virkelighed, vi står overfor.

“Når jeg lytter til alle diskussionerne i dag, bliver det tydeligt for mig, at vi alle er en del af et forsvar. Da vi i sin tid introducerede konceptet og filosofien bag Zero Trust i Microsoft, virkede det lidt fjernt. Idéen var at opbygge et forsvar, der kunne reducere skaden, fordi vi forventede, at der ville ske brud på sikkerheden. Virkeligheden er, at vi nu står i netop den situation, hvor antallet af angreb er stigende, og angrebene kun bliver mere og mere raffinerede,” sluttede Tanya Helene Christensen.

Recap af Microsoft Security Day 2022