4 Huskeregler til at Håndtere Sikkerhedsbrud

Over de sidste år er mængden af IT-angreb steget, hvilket betyder, at vi bliver nødt til at have en plan for hvordan vi håndterer sikkerhedsbrud. Derfor vil vi i denne blogpost gennemgå, hvordan i skal forholde jer til begrebet sikkerhedsbrud og hvordan i som organisation kan forberede jeres medarbejdere på sådanne brud. 



Hvad er et sikkerhedsbrud egentlig? 


Et sikkerhedsbrud er helt kort en hændelse, hvor der er vished om eller reel risiko for, at systemer eller data er blevet kompromitteret. Det er altså et brud, så snart vi ved, at nogen uvedkommende har haft adgang til vigtige data eller systemer. Et sikkerhedsbrud er altså ikke kun de store skandaler vi kender fra medierne, men også situationer hvor der f.eks. er forsvundet en mappe med vigtige papirer eller en e-mail, der er blevet sendt til den forkerte modtager. Ofte rapporteres disse mindre sikkerhedsbrud ikke, hvilket kan skabe en sårbarhed i jeres virksomhed.  Dette er bekymrende, da antallet af IT-angreb er stigende, hvilket ses på grafen herunder.


 

4 Vigtige Huskeregler 


Det er selvfølgelig altid målet helt at undgå sikkerhedsbrud, men når uheldet er ude, er det vigtigt at have etableret en proces til at håndtere sådanne brud. Til at håndtere sådanne sikkerhedsbrud sikkert har vi lavet disse fire huskeregler:  



  1. Et sikkerhedsbrud er en hændelse, hvor der er vished om eller reel risiko for, at systemer eller data er blevet kompromitteret.  

  2. Hvis sikkerhedsbruddet involverer persondata, stiller persondataforordningen krav om, at organisationen skal følge bestemte regler.  

  3. Du skal altid indberette et sikkerhedsbrud. Så kan hændelsen stoppes og sikkerheden forbedres.  

  4. Det er vigtigt, at du ved, hvem du skal rapportere et sikkerhedsbrud til. Det kan være en DPO (Data Protection Officer), den IT-ansvarlige eller lignende.  


Hvorfor rapporteres disse brud ikke? 


I nogle situationer rapporteres sådanne brud ikke af den simple grund, at medarbejderen ikke ved, at det de står overfor, kvalificerer sig som et sikkerhedsbrud. Sådanne situationer, hvor det er viden der er mangelvaren, kan løses igennem undervisning. Her er awareness-træning et åbenlyst bud.  



I andre situationer rapporteres et brud ikke af den simple grund, at medarbejderen er bange for de konsekvenser, det kan have. Disse situationer er sværere at undgå, da de kræver, at organisationen skaber en kultur, hvor ærlighed i sådanne situationer vægtes tungere end fejlen i sig selv.  



Til sidst ses også situationer, hvor en organisation administrativt vælger ikke at rapportere for ikke at undgå den dårlige omtale, som sådan et brud fører med sig. Udover at man her risikerer endnu dårligere omtale, hvis det opdages, at man har forsøgt at feje et brud under måtten, er der med den nye persondatalov også mulighed for store bøder.  



Konsekvenser ved et sikkerhedsbrud 


Som vi lige har pointeret, dækker begrebet sikkerhedsbrud bredt og derfor er det også naturligt at et sikkerhedsbrud kan have mange forskellige konsekvenser. Et sikkerhedsbrud kan f.eks. godt være helt uden konsekvenser i situationer, hvor uvedkommende har haft adgang til data, men ikke har udnyttet det. Dette har dog ændret sig efter GDPR, hvilket vi kommer ind på senere. I sådanne situationer er det dog stadig vigtigt at rapportere bruddet, da sikkerheden derved kan forbedres, og fremtidige sikkerhedsbrud kan undgås. I mindre heldige situationer kan konsekvenser være alt fra dårligt omdømme til store finansielle tab. Når uheldet er ude og vi oplever et sikkerhedsbrud kan ordentlig håndtering hjælpe os med at minimere disse konsekvenser.  



GDPR og Sikkerhedsbrud 


Med den nye persondataforordning, GDPR, følger der også nye krav til hvordan sikkerhedsbrud håndteres. Hvis persondata er blevet kompromitteret i et sikkerhedsbrud, har man som organisation 72 timer til at rapportere det. Hvis rapporteringen sker senere end dette, skal man som organisation kunne argumentere for hvorfor dette er sket. Udover dette skal der vurderes, hvorvidt de kompromitterede data skaber en risiko for persondataens ejere. Hvis dette er sagen, skal disse underrettes så hurtigt som muligt. Et eksempel på dette er hvis jeres brugeres passwords eller kontooplysninger er blevet kompromitteret. Her skal denne datas ejere have denne information så hurtigt som muligt, så de kan sikre sig selv. Hvis man ikke når at rapportere et sikkerhedsbrud indenfor 72 timer og ikke kan argumentere tilfredsstillende for hvorfor dette ikke skete, kan man ende med at få en bøde på op til 2% af organisationens årlige globale omsætning. At have en plan for hvordan man håndterer sikkerhedsbrud er altså vigtigere end 

nogensinde før. 



Medarbejdernes viden og opmærksomhed er afgørende for jeres IT- sikkerhed. CyberPilot tilbyder awareness-træning, som træner medarbejderne i IT-sikkerhed og god databehandling. Igennem implementering af awareness-træning opnår man et højere sikkerhedsniveau og et godt grundlag til at sikre overholdelse af persondataforordningen.     

Data i “skyen”

 Flere og flere organisationer benytter sig af Cloud-tjenester til at opbevare og behandle deres data.  Dette er sket på grund af Cloud-tjenesters mange fordele, men det skaber også nye trusler inden for IT-sikkerhed. I denne blogpost vil der blive gennemgået, hvad man indenfor IT-sikkerhed skal være opmærksom på, når man benytter sig af en Cloud-tjeneste.



Helt kort kan en Cloud-tjeneste beskrives som en IT-service, der lader dig gemme data på servere, som en udbyder stiller til rådighed. Du kan herefter tilgå disse servere fra alle dine godkendte enheder, som hvis din data altid hang i en ”sky” over dig. Denne tanke om at din data er i en ”sky” kan dog let skabe en falsk følelse af sikkerhed i forhold til din datas sikkerhed, så det er vigtigt at huske, at dine data i virkeligheden bare er gemt på en computer i et datacenter.


Der er primært tre grunde til at bruge en Cloud-tjeneste:


  • Det gør det let for jeres medarbejdere at tilgå deres filer og samarbejde om fælles filer

  • Det gør det muligt for jer, som organisation, at styre hvordan jeres filer og data kan behandles og tilgås

  • Der bliver automatisk lavet backup af filerne, i tilfælde af at filerne kompromitteres lokalt


Med disse grunde kan man godt forstå at mange benytter Cloud-tjenester, men der er også udfordringer, som f.eks.:


  • I situationer uden internet er jeres data utilgængelig, med mindre den er blevet synkroniseret med jeres enheder

  • Uopmærksomme medarbejdere som tilgår filerne fra forskellige enheder kan kompromittere jeres data

  • Eftersom at alt jeres data er i én kurv, er et sikkerhedsbrud en endnu større trussel end ellers


Modsat hvad mange tror, er det faktisk i langt de fleste situationer brugerens og ikke udbyderens ansvar at holde sin data sikker, når de benytter en Cloud-tjeneste. Dette skyldes at sikkerhedsbrud kun i få situationer skyldes en sårbarhed i Cloud-tjenesten system, men oftest skyldes forkert håndtering fra administrator eller brugerens side.

Konsekvenserne af forkert brug af Cloud-tjenester kan være mange, som f.eks. tab af data eller usikker håndtering af persondata, som går i strid med persondataloven. Generelt er Cloud-tjenester udfordrende i forhold til at overholde persondatalovens krav om sikker håndtering af personoplysninger, da mange forskellige brugere håndterer disse personfølsomme data og derved kan håndtere dem usikkert. Hvis du er i tvivl om, hvordan du skal håndtere persondata, skal du spørge den IT-ansvarlige i din organisation.



Disse sikkerhedsbrud og brud på persondataloven kan undgås, så længe man er opmærksom på hvordan man benytter Cloud-tjenester og har sikre retningslinjer for brugen fra organisationens side. Her er tre gode tips til at bruge skyen sikkert:

  • Benyt aldrig din private Cloud-tjeneste til arbejdsrelaterede data

  • Tilgå aldrig din arbejdsrelaterede Cloud-tjeneste fra et usikkert netværk

  • Benyt kun den Cloud-tjeneste, som dit arbejde anbefaler

Cloud-tjenester kan være et godt arbejdsværktøj, så længe man bruger det med omtanke og forstår dets udfordringer og begrænsninger. Her er endnu et klart eksempel på, at medarbejdernes kunnen er lige så stor en del af IT-sikkerhed som det tekniske aspekt.  


Medarbejdernes viden og opmærksomhed er afgørende for jeres IT-sikkerhed. CyberPilot tilbyder awareness-træning, som træner medarbejderne i IT-sikkerhed og sikker databehandling. Igennem implementering af awareness-træning opnår man et højere sikkerhedsniveau og et godt grundlag til at sikre overholdelse af persondataforordningen.