Hoten som kan sänka företag

Ett USB-minne med skadlig kod. En länk i ett mejl som smittar ner hela nätverket. När företag blir utsatta för attacker kan resultatet bli förödande.

Informationssäkerhet är en överlevnadsfråga för ett företag, menar Betrice Fossmo, nyanställd inom Atea i Umeå med ansvar för frågor som rör just säkerhet. I 15 år har hon jobbat med informationssäkerhet, senast som säkerhetschef på Statens fastighetsverk. Första oktober började hon på Atea i Umeå med ansvar för informationssäkerhetsfrågor. Men även om hon är placerad i Umeå kommer hon att jobba med Ateas kunder över hela landet.

Det stora bankhaveriet i förra veckan då BankID låg nere under en timme är ett exempel på störningar i datasystem som inte får hända. Beatrice Fossmo menar att planering för att undvika avbrott och hålla kontinuiteten uppe är en del av det informationssäkerhetsarbete som verksamheter måste göra.

Planering för att undvika avbrott

– Kontinuitetsplaneringen innebär att vi hittar metoder för att, trots störningar och avbrott, kunna fortsätta verksamheten enligt bestämda minimikrav. Samt att vi har rutiner för att snabbt kunna återgå till normal verksamhet efter avbrott, förklarar Beatrice Fossmo.

Men för Beatrice Fossmo handlar informationssäkerhet inte bara om teknik. Hon har själv en bakgrund inom pedagogik och psykologi, och när hon sätter sig med ett företag för att bena ut frågor om informationssäkerhet pekar hon inte minst på medarbetarnas beteende, på behovet av utbildning och rätt förhållningssätt.

För risken är stor att information sprids när medarbetare brister i säkerhetstänk.

USB-minnen och skadlig kod

– Det kan vara ett USB-minne som plockas upp av någon medarbetare och visar sig innehålla skadlig kod som placerar sig i nätverket och skickar ut information till någon mottagare, säger Beatrice Fossmo.

– Eller att någon får ett mejl som ser ut att komma från chefen med en uppmaning att titta på ett dokument. Då medarbetaren klickar på länken så finns där en skadlig kod som sedan gör jobbet på insidan av nätverket.

Riskanalys och lösningar

När Beatrice Fossmo kommer till ett företag hjälper hon framför allt till med en riskanalys över området. Lösningen kan finnas på flera plan. Det handlar självfallet om tekniska skydd. Men också om hur medarbetarna hanterar säkerheten.

Det handlar om att sätta bra lösenord. Inte släppa in vem som helst i lokalerna. Att få medarbetarna att förstå vikten av att inte prata om vad som helst på bussen eller restaurangen, för du kan aldrig veta vem som sitter bredvid dig på bussen, menar Beatrice Fossmo.

– Det här är vanligt, det är ingen James Bond-historia, understryker hon.

– Jag vet att det förekommer mot företag, politiska organisationer och myndigheter. Förr var man tvungen att ta sig in genom dörren, hitta ett dokument, fota av det. Men idag behöver du inte det. Idag ligger allt i datorn. Eller i mobilen, fortsätter Beatrice Fossmo.

Arbetet med informationssäkerhet har många perspektiv. Det handlar om människors beteende men också om hot som påverkar informationens tillgänglighet, som när BankID går ner, och riktighetsaspekten, att informationen alltid är korrekt. Spårbarhet är också en viktig aspekt på informationen, det måste i efterhand vara möjligt att se vem som har gjort vad i informationssystemen, något som är viktigt när bedrägeribrott ska klaras upp.

Också en fråga för det lilla företaget

Informationssäkerhet är ett område som både det stora företaget och det lilla startup-bolaget behöver tänka på. För det lilla företaget, för ett startup, kan det vara minst lika kritiskt att tappa information som för det stora.

– Skyddet måste naturligtvis vara anpassat till företagets storlek och resurser. Men alla måste göra en riskanalys och sätta ett väl avvägt skydd, säger Beatrice Fossmo.

För Beatrice Fossmo är frågor som dessa mycket intressanta och hon ser att utmaningarna bara blir större och större i takt med att tekniken går framåt samtidigt som medarbetarna vill vara mobila. Något som gör att riskerna också blir större.

– Tyvärr är det så att informationssäkerhetsfrågor ofta vaknar först när det har hänt något inom företaget. Jag önskar att företag ska vara lite mer proaktiva och bygga upp skyddet tidigt. Och att alla ska inse att det handlar om ledningsfrågor, inte enbart en fråga för it-avdelningen.

Råd för säkerhet

Vilka råd ger då Beatrice Fossmo till företag som vill säkra sin information? Här är fyra grundstenar att luta sig mot.

Hitta det som är värt att skydda.

Gör riskanalyser.

Utbilda medarbetarna.

Utvärdera och följ upp säkerheten.

Text: Mikael Hansson. Foto: Mikael Hansson/iStockphoto/stefanocar75