Da verden gik hjem for at arbejde, fulgte hackerne med

Covid-19 er på mange måder historisk. Aldrig før har så mange mennesker på samme tid forladt deres arbejdsplads af sundhedshensyn og etableret sig på hjemmekontoret. Fra Hong Kong til New York. Fra Sydney til Oslo. Fra andre enheder, på andre netværk og gennem nye samarbejdsformer fortsatte arbejdsdagen under forandrede vilkår. Men det tog ikke lang tid for hackerne at udnytte denne nye, sårbare situation. Det viser den nyligt offentliggjorte Microsoft Digital Defense Report.

Udviklingen efterlader arbejdsgiverne med noget af et dilemma. De skal opveje fordelene ved at give medarbejderne adgang til data og informationer, der traditionelt kræver VPN- eller on-premise-adgang, mod risikoen for, at selvsamme medarbejdere utilsigtet kommer til at installere ransomware eller anden malware på deres egne computere. Malware, der kan overføres til hele forretningen. Løsningen på dilemmaet er en holistisk tilgang til sikkerhed – en filosofi, som flere og flere virksomheder allerede er begyndt at applicere, kendt under navnet Zero Trust.

Inden vi dykker ned i Zero Trust som filosofi (for Zero Trust er ikke et produkt – men en måde at anskue cybersikkerhed på), så lad mig lige dvæle ved et par nedslag i Microsofts Digital Defense Report, der netop og for første gang har et helt afsnit dedikeret til sikkerhedsaspekterne ved en hybrid arbejdsstyrke.

Flere og flere arbejdspladser tillader – i takt med at covid-19-krisen mange steder aftager i styrke – at medarbejderne vender tilbage til kontorerne. Men eftersom virksomheder og medarbejdere over hele verden har erfaret, at den fleksible arbejdsplads er kommet for at blive, vender vi ikke tilbage i samme antal, som vi var før. Det viser data fra Microsofts egne kontorer verden over. Noget har rykket sig. Arbejdsplads, arbejdstid og arbejdssted er blevet flydende begreber. Det stiller store krav til sikkerheden, fordi sårbarhedsfladen simpelthen er større, når vi ikke alle er placeret inden for samme firewall.

Sikkerhed som hygiejnefaktor

Tal fra rapporten viser, at e-mailen fortsat er den største risikofaktor – phishing er ansvarlig for mere end 70% af alle brud på IT-sikkerheden. Samtidig bruger færre end 20% af dem, der anvender Microsofts produkter og services, stærke godkendelsesfunktioner som f.eks. multifaktorgodkendelse.

Den gode nyhed er, at 99% af de angreb, vi ser i dag, kan undgås, hvis organisationer begynder at anvende multifaktorgodkendelse og sikkerhedssoftware og samtidig holder systemerne opdateret – altså helt basal sikkerhedshygiejne. Desuden viser rapporten, at der i løbet af de sidste 18 måneder med øget hjemmearbejde er sket en stigning på 220% i anvendelsen af stærke godkendelsesfunktioner. Så vi er på vej, selvom vi ikke er i mål.

Sandheden er, at kombinationen af flere, mere avancerede cyberangreb og en af de største disruptions set på arbejdsmarkedet – nemlig overgangen til den hybride arbejdsplads – udgør en stor sikkerhedsrisiko. Men for virksomheder og organisationer over hele verden er det samtidig en mulighed for at hæve niveauet, tage de rette forholdsregler og uddanne medarbejderne i at udvise agtpågivenhed. Og her kommer Zero Trust ind i billedet.

Stol på ingen eller intet

Zero Trust er risikominimering. En effektiv Zero Trust-strategi er designet til at reducere risici på tværs af hele den digitale portefølje. I praksis betyder det, at enhver transaktion mellem systemer skal valideres, før den kan gennemføres. Filosofien bygger på tre principper:

1. Verify explicitly: Zero Trust indebærer, at organisationer IKKE har indbygget og automatisk tillid, men at der skal ske eksplicit bekræftelse af sikkerhedsstatus på tværs af alle tilgængelige datapunkter – herunder identitet, lokation, platform og enhed, services, workloads osv. Med en arbejdsstyrke, der i stigende grad arbejder fleksibelt og hybridt, er dette aspekt særligt vigtigt.
2. Least privilege: Begræns brugeradgang, så alle har præcis den adgang, de har behov for – på det tidspunkt, de har behov for det – men ikke mere. Og vær opmærksom på, om der sker brud på normale mønstre: Giver det mening for denne enhed at efterspørge denne type adgang, via dette netværk, fra denne enhed, på dette tidspunkt og fra denne placering? Bliver de normale mønstre brudt, og indikerer det et brud?
3. Assume breach: Antag, at der sker et brud. Ingen organisationer er for små til at blive angrebet, men skaderne kan begrænses betragteligt. Sammenlign enhver hændelse med forventede scenarier, identificér uregelmæssigheder, og hejs det røde flag ved indikationer på et angreb. Brug værktøjer som analytics og machine learning til at skabe overblik og analysere brugeradfærd.

Ændringerne i den måde, vi arbejder på, har på bagkant af covid-19 drevet flere organisationer til at adoptere en Zero Trust-tilgang. Rapporten viser, at 31% af private virksomheder allerede har deres Zero Trust-strategi på plads, 50% er i gang, mens 15% overvejer at gå i gang. Det er gode nyheder, at så mange virksomheder allerede er langt med at udarbejde en effektiv cybersikkerhedsstrategi. Men hvis man tilhører de 15%, bør man sætte tempoet op. For i løbet af det seneste år er cyberkriminalitet gået fra at være en spirende, men hurtigt voksende industri til et modent kriminelt foretagende. I dag kan enhver tilgå et efterhånden vidtrækkende onlinemarked og købe et samlet kit med de værktøjer, der er nødvendige for at udføre cyberangreb. Ifølge Microsofts observationer, der også fremgår af rapporten, kan disse kits købes for, hvad der svarer til så lidt som 425 danske kroner. Der er altså behov for grundigt at vurdere, om ens virksomhed kan modstå og afværge alvorlige sikkerhedsbrud – og hvad det kræver.

Læs hele Microsofts Digital Defense Report her.

Læs mere om den hybride arbejdsplads i Microsofts Work Trend Index her.