FE skriver:” Staters og kriminelles cyberangreb er fortsat blandt de mest alvorlige trusler mod Danmark. Truslen fra cyberkriminalitet og Cyberspionage er både rettet mod danske virksomheder og myndigheder, og de udsættes løbende for cyberangreb.”
Ny metode tages i brug af de kriminelle
Det jeg specielt hæfter mig ved i rapportens afsnit om Cybertruslen i Danmark, er at de grupper der har fortjeneste af et cyberangreb mod virksomheder i Danmark, i stigende grad bruger at infiltrere de underleverandører som en given virksomhed de handler med. Bagmændene går derefter ind og infiltrerer det kommunikations flow der er mellem virksomheden og underleverandører som metode til at få plantet bagdøre for senere at kunne plante Cryptolocker eller udføre egentlig spionage.
Ved at bryde ind i kommunikationen mellem virksomheden og en underleverandør – eller sende f.eks. mails fra underleverandørens domæne – som der allerede er tillid til, er meget effektivt da paraderne og opmærksomheden naturligt er sænket hos virksomheden der er målet, når der kommunikeres fra en underleverandør der er tillid til.
Kommuniker – træn – og lad være med at skabe panik
Jeg bliver derfor igen nødt til igen at hente mit gamle mantra frem. Hvis man vil sikre sig bedst muligt mod Cybertrusler så er vejen frem en gennemarbejdet sikkerhedspolitik, tilstedeværende vurdering af IT sikkerhedsniveauet, samt lige dele kommunikations og ”top of mind thinking” overfor medarbejderne, når det handler om at sikre at virksomheden ikke bliver kompromitteret.
Informer ofte – sørg for at udsende kontrollerede interne simulerede cyberangreb 2-4 gange om året, så alle i virksomheden forholder sig til udfordringen. Til sidst sørg for ikke at skabe panik – det er ikke målet for det kan lamme en virksomheds virkelyst, men vi har som IT Ansvarlige med tidens tilstedeværelse af hjemmearbejde et øget ansvar for at sikre at den enkelte er ligeså oplyst som hvis alle var samlet samme sted – truslen er den samme!
Se FEs rapport her: https://fe-ddis.dk/da/produkter/Risikovurdering/risikovurdering/risikovurdering2020/