Möller Insights - vecka 20

Möller Insights publiceras varje vecka och är ett sammandrag av intressanta och tänkvärda händelser i säkerhetsbranschen. Bakom dessa insights står Fredrik Möller som är vd på McAfee i Norden och Baltikum och dessa nyheter är ett axplock ur hans twitterflöde @MollerFredrik.

Veckans sammandrag handlar om den fortsatta debatten kring identitetsstölder och bristande säkerhet hos Socialnämnden.

Uppmärksamheten kring identitetsstölder och bedrägeri fortsätter
Jag skrev förra veckan om det extrema problemet med identitetsstölder som finns i Sverige. I bloggen skrev jag även om att medier måste ha ett starkare fokus på det här mer eller mindre undanskuffade brottet som påverkar en mängd människor och omsätter stora summor pengar. Min vilja är att en ökad medial närvaro ska leda till att allmänheten blir mer uppmärksammade på dessa brott samt att politiker ska förstå att det är ett allvarligt problem.

Jag gläds över - eller gläds är kanske fel ord - men jag kan se att det jag önskade också har skett. Medierna har mer eller mindre exploderat med information om den här typen av brott och tips hur man skyddar sig, samt uppmärksammat nuvarande och tidigare bedrägerimetoder.

Aftonbladet belyste en bedrägerimetod som flitigt används på köp- och säljsajter där individer uppmanas att betala in en summa till ett bankkonto. När transaktionen har ägt rum återfås ingen produkt och bankkontot är inte bundet till någon individ.

Även politiker har börjat vakna till och justitieminister Beatrice Ask kallade mängden identitetsstölder för en kränkning. Hon har också visat sig öppen för att förnya lagar för att på ett effektivare sätt stoppa denna typ av kriminalitet. Nästa steg är att även se en förändring och hoppas att ministern också är beredd att gå från ord till handling.

Vi på McAfee gör vad vi kan för att hjälpa till och i veckan lanserade vi LiveSafe, en ny tjänst som säkrar samtliga uppkopplade datorer, mobiler och surfplattor i ett hushåll. När det gäller extra känslig information kan man låsa det med sitt eget ansikte och röst för att säkra att rätt person låser upp materialet. Det är lättare att stjäla personnummer men att sno ansikte och röst också är mer ett fall för Hollywood – så tills någon replikerar tekniken i actionklassikern Face/Off är vi ganska säkra.

”Tänkte inte på det…”
Ibland känns det lite som att jag och mina kollegor i säkerhetsbranschen predikar om säkerhet för döva öron. Att privatpersoner inte alltid har det bästa skyddet är oroväckande nog, det ser vi i det växande hotet från identitetsstölder och ddos-attacker. Något mer oroväckande är att även företag, i privat och offentlig sektor, mer eller mindre väljer att bortse från IT-säkerhet. Jag har i en mängd av mina tidigare blogginlägg belyst dessa problem och även gett mina rekommendationer för hur man på ett effektivare sätt ska planera sina framtida tekniska investeringar.

Anledningen till min något uppgivna ton är att Datainspektionen i veckan var färdig med sin granskning av Socialnämnden och personalens användning av surfplattor i tjänsten. Utifrån granskningen visade det sig att ingen analys av säkerhetsbrister hade utförts. Detta trots att känsliga personuppgifter hanteras på dessa enheter.

Tro mig, att även om jag må låta uppgiven men jag har inte gett upp. Detta kan ses som mer vatten på min kvarn och jag hoppas att i framtiden fler tänker innan man handlar – och upphandlar. Min ståndpunkt är att vid nya IT-inköp bör alltid en säkerhetsanalys genomföras, och i den befintliga IT-budget ska det finnas allokerad budget för just säkerhetsinköp.

Det är, i min mening, rent av respektlöst att inte göra detta. I mångt och mycket så är det min information de lagrar och inte säkrar, information som jag inte kan ansvara för själv. Då måste det finnas tydliga direktiv och krav för hur min information ska skyddas, oavsett om den är lagrad hos offentliga eller privata aktörer.

Det har varit många diskussioner om till exempel IT i vården och hur journaler skyddas, eller snarare inte skyddas. Men jag tror inte att det är värre ställt där än någon annanstans - anledningen till att just offentlig sektor i hög grad lyfts fram i dessa sammanhang är för att de granskas. Det är sannolikt lika vanligt att privata aktörer som butiker och liknande har bristfällig säkerhet och att information via dem finner sin väg i orätta händer.

Läs Datainspektionens rapport samt rekommendationer här: http://www.datainspektionen.se/press/nyheter/2013/socialnamnder-har-inte-bedomt-riskerna-med-surfplattor/

Ju förr det etableras tydliga krav för hur information lagras och hur den skyddas när informationen inte berör verksamheten utan utomstående individer, desto bättre.

Fredrik Möller är vd på McAfee i Norden och Baltikum. För mer nyheter, följ Fredrik på twitter:@MollerFredrik