Nej, jeg taler ikke om at løbe et maraton men om at træne det, som er uundgåeligt, så du ved, hvordan du skal handle, når det sker.
Alle nye bilister er uddannet i førstehjælp som en obligatorisk del af det at tage kørekort. Det er de, fordi den dag man står i en biluheld ude på motorvejen, er det for sent at lære det. Det er det samme med cybersikkerhed!
Hackere er dovne
Hackere er dovne, og de følger ofte princippet om “least resistance”, hvilket betyder, at hvis jeres ”hoveddør” til huset er låst, vil de hellere finde et ”åbent kældervindue” end at bruge tid og energi på at bryde låsen op.
For din virksomhed betyder det, at ALT hvad, der er koblet direkte eller indirekte på internettet, er en mulig angrebsvinkel for de ondsindede hackere.
Det kommer jo nok ikke som nogen overraskelse, at dette også gælder jeres samarbejdspartnere, som har adgang til ens netværk. Spørg bare Mærsk, Vestas, Coop og andre om det.
Det er af samme årsag, at du allerede har fokus på cybersikkerhed og, ligesom andre, oplever et stigende budget til blandet andet ny teknologi, træning og eksterne eksperter til at hjælpe jer.
Truslen er stigende, og de ondsindede hackere bliver mere og mere kreative og for at gøre det endnu værre, er opdeling af forskellige trusselsaktører efter kapacitet og motivation (statsaktører, cyberkriminelle, aktivister og amatøren), efterhånden et udtryk for en noget forældet tankegang.
CIA’s Vault 8, Frankrigs Babar malware og Wannacry er blot nogle få af de navne, der ligger bag hackerværktøjer, som statslige efterretningstjenester har udviklet og mistet – og som nu ligger tilgængelige på internettet og i dag genbruges af cyberkriminelle.
Det betyder, at selv ret uerfarne cyberkriminelle efterhånden har fået “cyber nukleare våben” i hænderne.
Stil dig selv disse spørgsmål
Din CISO vil kunne give dig en alenlang liste over nødvendige tiltag, teknologier og forsikringer, der skal imødegå den stigende trussel.
- Men hvornår har din CISO sidst øvet dig i at håndtere et hackerangreb, så du er knivskarp på, hvad du vil gøre, og hvad, der er vigtigt at kommunikere til hvem og i hvilke rækkefølge?
- Hvornår har I øvet, om de krav, dine forretningsområder stiller til IT i forhold til oppetid eller beskyttelse af intellektuel viden, er mere end et fint dokument, men rent faktisk holder i virkeligheden?
- Sidder viden i hovederne på enkeltpersoner, eller har I dokumenteret det på en smart måde, så I også har adgang til viden, når jeres computersystemer er låst af ransomware?
- Har I nogen sinde øvet det, mens I er under pres?
“Train as you fight”
“Train as you fight” er et ældgammelt militærudtryk, der dækker over princippet omkring overindlæring, så man kan kæmpe og vinde i selv de mest ekstreme situationer. Kan du forestille dig soldater, der aldrig træner at gå i krig? Kan du forestille dig en CEO, som aldrig træner at modstå et hackerangreb?
Begreberne hedder CRISIS MANAGEMENT SIMULATION og BUSINESS CONTINUITY MANAGEMENT, og dine folk kan forklare dig alle de tekniske detaljer bag det. Men vigtigst af alt; tag lige en snak med din CISO og hør hvornår I rent faktisk skal øve det.