Ny undersøkelse: Norske bedrifter er mest sårbare for denne typen nettangrep

– Det er utrolig at vi ikke har kommet lenger, sier sikkerhetsekspert.

ENKELT MÅL: Sikkerhetseksperter mener det er altfor enkelt å hacke seg inn i norske bedrifter.

Kacper Pempel
Publisert:

– Hvorfor skal angriperne bruke ressurser på avanserte nettangrep når sikkerhetshullene er så åpne og enkle, spør Tore Terjesen, direktør for Security Labs i NTT Com Security i Norden.

– Det er utrolig at vi ikke har kommet lenger.

NTT Com Security, tidligere Secode, er et av Norges største og eldste IT-sikkerhetsselskaper, som har blitt kjøpt opp i et globalt selskap.

Mangler plan

Nå offentliggjør de årets konklusjon om digital sikkerhet. På tross av nyhetssaker og mer oppmerksomhet rundt cyberangrep, så har ikke bildet endret seg betydelig.

– Nei, det har ikke det på noen områder. Det et for eksempel fremdeles få som har et system for hvordan de skal håndtere et angrep, sier Terjesen, og viser til at undersøkelsen viser at 75 prosent mangler en slik plan, ifølge deres undersøkelse. En spørreundersøkelse selskapet gjorde i fjor viste at åtte av ti mangler en slik plan.

Den viser også at norske bedrifter er mest sårbare for den vanligste typen nettangrep, injeksjonsbaserte angrep.

Les også

Ekspert mener norske selskap ikke er gode nok til å tilrettelegge for varslere: – Det er for mange stygge historier

Tore Terjesen i NTT Com Security.

Dette er et angrep, der utviklerne for eksempel ikke har satt begrensninger på hva som kan skrives inn i et skjema på nett, og de som bryter seg inn legger inn koder, et dataprogram, som gir dem tilgang til for eksempel kundeinformasjon.

– Dette er ikke en ny type sikkerhetshull, denne typen angrep har ligget på toppen av statistikken i år etter år, likevel blir det ikke håndtert av utviklerne. Man kan lure på hvorfor, sier Terjesen.

Enkle mål

Han forteller at dette sikkerhetshullet gjør bedrifter til enkle mål.

– Det er ofte denne typen angrep som står bak de store nyhetssakene. I USA er selskaper pålagt å oppgi informasjon om angrep der kundeinformasjon har blitt stjålet, men slik er det ikke i Norge, så folk får ikke vite om det egentlige omfanget, sier Terjesen. '

Les også

Norske nettselskaper øver ikke på IT-angrep

Undersøkelsen viser også at 76 prosent av sikkerhetshullene de finner er over to år gamle, ni prosent er over ti år gamle.

– Dette betyr at det ikke er nødvendig med så veldig avanserte angrep for å få tilgang til informasjon. Jeg har jobbet med dette i 15 år, og det jeg sier nå, er ikke så veldig annerledes enn det jeg sa tidlig på 2000-tallet, sier Terjesen.

– Hvorfor tar ikke bedriftene til seg rådene?

– Det er vanskelig å si. Det har nok mye med kunnskap å gjøre. De som kjøper inn må bli flinkere til å stille krav til sikkerhet, og de må være god på det. De som utvikler må også ha bedre kunnskap, sier Terjesen.

– Mer og mer flagges ut, men det er viktig å også beholde en viss kompetanse i bedriften, sier Terjesen.

– Ikke avanserte

Seniorrådgiver Hans Marius Tessem ved Norsk senter for informasjonssikring.

Seniorrådgiver Hans Marius Tessem ved Norsk senter for informasjonssikring (NorSIS) sier at rapporten fra NTT Com Security viser samme sikkerhetsbilde som de ser.

– Angrepene er ikke nødvendigvis så avanserte og bruker ofte en menneskelig faktor for å komme seg inn. De kombinerer teknologi og manipulering. Det er den letteste måten, og det er den de bruker, sier Tessem til E24.

Han forteller at de også ser en nedgang i bruken av ondsinnet programvare, også kjent som «malware».

– Det er færre som holder på med dette for å ødelegge og gjøre hærverk, man vil ha verdier. Det er på en side en god nyhet, men det gjør også trusselen mer skjult, sier Tessem og legger til at det er vanskeligere å oppdage angrep.

Les også

Evry: Flere alvorlige data-angrep

NorSIS er enig med sikkerhetsselskapene, og anbefaler alle bedrifter å ha beredskapsplaner, trene på dem og organisere virksomheten slik at man opererer som om man er under angrep.

Han har heller ikke noe godt svar på hvorfor det er gamle sårbarheter som brukes mest.

– Kanskje det er mange som er sene med å gjennomføre oppdateringer, for med oppdateringer kan noen systemer bli bedre, og andre slutte å fungere, sier Tessem.

– Vi råder alle til å ha alle programmer oppdatert. Bedrifter må bare ta inn over seg det bildet som tegnes i denne rapporten, og sørge for å være forberedt, legger Tessem til.