Spänn fast säkerhetsbältet

2010 var ett händelserikt år med en rad uppmärksammade händelser inom IT-säkerhet. Året började med Operation Aurora, en cyberattack med sikte på några dussin Fortune 500-företag som kostade dem miljontals dollar. Sedan följde en av de allra största informationsläckorna någonsin då Wikileaks röjde tusentals hemligstämplade dokument från amerikanska staten. Året avslutades med Stuxnet, en av de mest sofistikerade cyberattackerna som någonsin genomförts, som lyckades med att stänga flera kärnkraftverk i Iran.    

Mer så än andra år visade 2010 hur viktigt det är med IT-säkerhet för företag. Förutom de kända cyberattacker och säkerhetsläckor som hamnar på löpsedlarna, så förekommer det tusentals attacker varje dag på webben – 69 attacker per sekund för att vara exakt. Och det är fortfarande bara toppen av isberget då de allra flesta attacker inte rapporteras eller helt enkelt går användaren obemärkt förbi.

Med detta i åtanke frågar ofta våra kunder oss vilken typ av hot som mest troligt kommer att drabba världsmarknaden 2011 och hur vi kan förutse dem. Vi har ingen kristallkula som kan säga exakt vad nästa stora säkerhetshot blir. Jag vill dock ändå ta en titt på IT-säkerhetsläget och sammanfatta några av de mest framträdande trenderna vi observerat och som kommer att fortsätta forma säkerhetslandskapet. Här nedanför listas de tio största säkerhetsutmaningarna inom IT-säkerhet som företag står inför idag.

Trend #1: Virtualisering – rusningen fortsätter

Virtualisering har funnits ganska länge och har tagit plats som en vardagsteknik med många användningsområden för organisationer utöver konsolidering och kostnadsbesparingar. Föga förvånande fortsätter utökningen av virtualiseringstjänster under 2011. Enligt en studie av Morgan Stanley kommer CIO:s att fortsätta virtualisera sina produktionsservrar under 2011, med en ökning från 42 procent år 2010 till 55 procent år 2011. En annan studie från Information Week visar att 28 procent av alla företag redan har installerat egna privata moln och att 30 procent planerar att göra det i framtiden. 

Den populära trenden med virtualisering innebär också en rad säkerhetsproblem. Att de som jobbar med säkerhet saknar specialistkunskap inom virtuella nätverk tillsammans med höga kostnader för de nya lösningarna för informationssäkerhet är de två främsta hindren som pekas ut av de IT-ansvariga. Det finns även en rad andra problem. Hur företag säkerställer att lagar och regler efterföljs, avsaknaden av bästa praxis för servervirtualisering och det faktum att det inte går att importera existerande säkerhetsverktyg från den fysiska till den virtuella världen, ses som en utmaning som håller tillbaka övergången till virtualiserade miljöer.

Trend #2: Cloud Computing

Många företag i alla storlekar räknar med ett behov av att skapa ett internt eller privat IT-styrt moln under 2011. Samtidigt utvecklas molntjänsterna avsevärt då fler och fler applikationer kommer att erbjudas i molnet under de kommande åren.

Precis som med virtualisering innebär även cloud computing stora säkerhetsutmaningar och alla företag bör ta riskerna på allvar och inte kasta sig in i trenden för snabbt. Enligt Morgan Stanleys CIO Cloud-undersökning, verkar datasäkerheten och bristen på kontroll vara företagens största oro när det gäller cloud computing – följt av dataportabilitet (hur data kan återanvändas mellan olika interna applikationer), vem som äger den, hur regler och lagar efterföljs av anställda samt tillförligheten i molnet.

När allt kommer omkring så handlar säkerhet om kontroll och företag bör vara försiktiga med att lämna ifrån sig kontrollen över affärskritiska applikationer. De som använder molntjänster är inte alltid medvetna om vilka de delar sin omgivning med och det kan skapa sårbarhet.

Trend #3: IT Consumerization & Mobilitet

Många teknologier som först slog igenom på konsumentmarknaden har hittat in i företagsmiljön. Den trenden kallas ”IT Consumerization” på engelska. Konsumentprodukter som smartphones (exempelvis iPhone, Blackberry och Androidtelefoner) eller tjänster som chattfunktioner, sociala nätverk och IP-telefoni (Facebook, Gmail, Twitter, YouSendIt, MSN Messenger och Skype) har fått en helt ny funktion på arbetsplatsen.

Att integrera alla dessa privata apparater och applikationer i företagen innebär stora säkerhetsutmaningar. Det är extra viktigt att företag försäkrar sig om att all känslig företagsinformation är skyddad på alla mobila enheter samtidigt som de anställda måste kunna få tillgång till företagets nätverk när och var som helst.

Bärbara datorer är redan en del av vardagen för de flesta organisationer och företags mobila enheter har vuxit exponentiellt de senaste åren och passerat 100 procents marknadspenetration på flera marknader. Samtidigt brottas de IT-ansvariga med att ha koll på alla enheter som de anställda ansluter till företagets nätverk. Det är därför angeläget att företag gör en översyn för att säkra alla sina distansarbetare då vi mycket väl kan förvänta oss en markant ökning av säkerhetsincidenter relaterade till mobila enheter under 2011.

Trend #4: Mer sofistikerade hot

Varje år blir hoten på Internet mer och mer sofistikerade. Från enkla virus och maskar utformas numera attackerna allt mer varierat och komplext med hjälp av flera olika hackertekniker samtidigt. Många attacker på nätet sprids numera dessutom av automatiserade ”robotar” som kan scanna av nätet efter möjliga sårbarheter, vilket gör att alla kan bli ett tänkbart offer.

Resultatet har blivit att vanliga företag har fått det mycket svårare att upptäcka hot. För att ta ett exempel: Trojanen Zeus som stal bankinformation genom key logging var en av de mest svårupptäckta formerna av skadlig kod riktade mot finanssektorn under 2010 och identifierades endast i 23 procent av fallen. Zeus rankades därför som den största finansiella trojanen och stod för 44 procent av samtliga infektioner av skadlig kod. I en annan kategori finns Stuxnetviruset som användes mot kraftverk i Iran och som anses vara ett av de mest sofistikerade datorhoten som någonsin skapats, då det utnyttjade fyra olika sårbarheter på en och samma gång.

Dagens Internetattacker påverkar inte bara individer utan riktas i allt större utsträckning mot organisationer. Attackerna kommer oftast från cyberkriminella spridda över världen i organiserade nätverk som är ute efter snabb och svårspårad informationsstöld för ekonomisk vinning. Under 2010 kostade cyberbrott företag över två miljarder dollar. Vi kan bara anta att denna siffra kommer att stiga under 2011 och det ställer ännu högre krav på företag att vara proaktiva och se över sin nätverkssäkerhet och sitt intrångsskydd (IPS).  

Trend #5: IT-konsolidering och mer komplex säkerhet

Att hantera säkerhetsfrågornas komplexitet är ett växande orosmoment som ofta påpekas av företag i alla storlekar. Enligt undersökningen InformationWeek 2010 Survey of security decision makers, är komplexiteten den största utmaningen som företag står inför just nu när det gäller informations- och nätverkssäkerhet.

Det är inte så konstigt. Säkerhetsmiljön idag har blivit mer komplex än någonsin då företag hela tiden får kämpa med att förbättra säkerhetsnivån för att hålla jämn takt med de senaste säkerhetshoten. När fler lager läggs på säkerhetsinfrastrukturen och flera olika lösningar utvecklas för att ge ett specifikt skydd, slutar det ofta med att företagen måste hantera en mängd olika system, leverantörer och plattformar. Det gör det inte bara svårt att administrera, det är inte heller särskilt effektivt och dessutom kan det vara väldigt dyrt. Administratörerna måste hantera flera olika teknologier och produkter som IPS, brandvägg, VPN, antivirus, spamskydd, NAC, DLP och URL-filter, för att nämna några. Det räcker inte med att företag och organisationer kan hantera lösningen på nätverksnivå utan de måste även hantera den anpassat för smartphones, laptops och andra bärbara arbetsverktyg.

Som om det inte var nog, nätverkstrafiken i sig har också blivit oerhört komplex. Fler och fler applikationer körs över nätverket, en del för personligt bruk och en del i arbetet. Dessutom levereras applikationerna idag från såväl interna kanaler, som molnbaserade applikationer och från externa leverantörer. Sist men inte minst, hur regler och lagar efterföljs av anställda är ännu ett element som bidrar ytterligare till komplexiteten i dagens säkerhetslösningar som gör administratörernas tillvaro ännu svårare.

Trend #6: Datasäkerhet & Dataläckage

Den mängd elektronisk data som finns lagrat hos företag är väldigt omfattande – allt från kunddatabaser, kreditkortsinformation och affärsplaner till finansiell information och företags e-post. Att säkra all denna känsliga information är ett måste för företag som inte vill att affärshemligheterna ska läcka utanför organisationen.

Enligt en undersökning av Ponemon från 2010, så har genomsnittskostnaden för dataläckage fortsatt att öka varje år och låg 2009 på astronomiska 6,75 miljoner dollar. Något som är intressant att notera är att av alla företag som råkade ut för dataläckage, så levde stor majoritet inte upp till kraven för PCI DSS.

De största källorna till informationsförlust inom organisationer är USB-stickor och laptops, företagets e-post, publik webbmail, WiFi-nätverk, CD- och DVD-skivor. Så mycket som ungefär vart femte mejl som lämnar ett företags nätverk innehåller information som utgör en juridisk, finansiell eller avtalsenlig risk. Som tur är finns det säkerhetsåtgärder som medie- och hårdvarukryptering eller DLP-lösningar som kan hjälpa företag att minimera riskerna. Årets händelser kring Wikileaks borde vara en påminnelse för alla om behovet av en holistisk syn på datasäkerhet och ett skydd med flera lager, för att undvika att blixten slår ner.

Trend #7: Web 2.0 & Sociala medier

Web2.0 har blivit ett integrerat affärsverktyg som funnit en ny legitimitet på arbetsplatsen. En normalanvändare spenderar en fjärdedel av sin arbetsdag med att surfa på webben, dela med sig av material, ladda ned filer, chatta, blogga eller titta på videos online. Facebook, som är störst inom sociala medier, har blivit den tredje populäraste applikationsplattformen i världen och står för ungefär 7 procent av all affärsnätverkstrafik varje dag.

Företag bör vara föreberedda på de ökade riskerna förenade med ett utökat användande av sociala nätverk och Web 2.0-applikationer. Enligt the Economist tillåter 45 procent av de 100 mest populära webbsidorna användargenererat innehåll och 60 procent är infekterade med skadlig kod. Även många applikationer har sårbarheter som saknar patchar från leverantörerna. Under 2011 blir det därför extra viktigt för företag att förstärka sina säkerhetspolicies för anställda. En hög nivå av så kallad application control gör det möjligt för organisationer att bättre kontrollera att företagets policies efterlevs, vilket ger en effektivare säkerhet utan behovet av förbud för anställda.

Eftersom traditionella verktyg som IP-baserade brandväggar och URL-filtrering har nått sin gräns i Web 2.0-miljön behöver organisationer en ny form av säkerhetskontroll för att differentiera alla de tusentals olika applikationer som finns på Internet. Företagen bör ha en bättre överblick på applikationerna för att kunna skilja på alla olika applikationer som delar samma protokoll och portar i brandväggen, så de kan övervaka och hantera användandet av applikationer och plattformer.

Trend #8: Styrning, Risk & Regelefterlevnad: företagens flaskhals 

Alla organisationer jobbar idag hårt för att följa lagar och regler. Företag tampas inte bara med en massa branschregler utan även med en mängd olika sorts lagar, EU-direktiv och nationella lagar för dataintrång och informationssäkerhet. Offentliga organisationer måste exempelvis anpassa sig till SOX (Sarbanes-Oxley Act). Hälsovårdsorganisationer måste förhålla sig till HIPAA (Health Insurance Portability and Accountability Act) och HITECH (Health Information Technology for Economic and Clinical Health), liksom PCI DSS (PCI Data Security Standard). Finansiella institutioner måste följa GLBA (Gramm-Leach-Bliley Act) och BASEL II. För att endast nämna de allra vanligaste regelverken.

Dessa regler finns för att skydda kunder, anställda, partners och investerare från bedrägeri och identitetsstöld. För många IT-avdelningar blir det dock en stor arbetsbelastning och tär på säkerhetsbudgeten. Som exempel tenderar företag verksamma i länder med lagar för redovisningsskyldighet vid dataintrång att ha högre säkerhetskostnader än länder utan dessa lagar.

Enligt Information Weeks undersökning från 2010 är strävan att följa myndighets- och branschregler faktorerna som driver hanteringen av säkerhet idag. I takt med att företag ökar sin virtualisering av IT-miljön och sina datacenter kommer säkerhetskomplexiteten att fortsätta öka.

Trend #9: Kostnadsreducering

Trots att ekonomin håller på att återhämta sig är företag fortfarande pressade att sänka sina drift- och infrastrukturkostnader. IT-budgeterna är fortsatt begränsade och för IT-ansvariga betyder det ofta i praktiken att man tvingas göra mer för mindre.

Att optimera säkerheten efter resurserna och få ut det mesta av befintliga säkerhetssystem kommer att vara avgörande för företag under 2011. I ett försök att maximera ROI kan man förvänta sig att de flesta företag kommer att vara mer benägna att fokusera på teknik som uppfyller minimikraven snarare än på teknik som vore bra att ha och som skulle kunna utvecklas i takt med att företaget växer och nya hot uppstår. Med tanke på företags fortsatta finansiella press kan vi anta att fokus fortfarande kommer att ligga på kostnadsbesparande teknik som virtualisering och cloud computing.

Trend #10: Grön IT

Sist men inte minst, grön IT är fortfarande en topp tio-trend som vi kommer att se mer av under 2011. Med stigande energipriser och en ökad konsumentmedvetenhet om hoten mot miljön måste företag och organisationer börja gå över till grön och hållbar IT på allvar. Samtidigt så är trenden med grön IT ett bra sätt för smarta IT-ansvariga att kombinera företagets ekologiska ambitioner med den finansiella verkligheten.

Slutsats

Att hålla kolla på alla dessa olika trender och uppfylla alla olika krav är en stor utmaning för företag. Checklistan för IT-ansvariga under 2011 kan synas lång med, a) möta IT-kraven för styrning, risker och regelefterlevnad; b) Förhindra förlust av känslig affärsdata; c) Säkra och hantera Web 2.0-applikationer; d) Säkra alla mobila arbetsverktyg; e) skydda sig mot attacker och nya typer av hot; f) säkra virtualiserade miljöer och molnet; g) reducera IT-kostnaderna. 

De företag som försöker klara av alla dessa säkerhetsutmaningar behöver ett nytt sätt att angripa problemen. Istället för att använda en uppsjö av olika säkerhetsprodukter och angripa varje problem ett och ett behöver de bygga en flexibel och påbyggnadsbar infrastruktur som tillhandahåller säkerhet för alla de olika områdena och som kan växa i takt med företagets ökade och förändrande säkerhetsbehov.

För mer information: www.checkpoint.com

Juliette Sultan, head of global marketing på Check Point

Om författaren:

Juliette Sultan som är head of global marketing på Check Point, leder företagets marknadsinsatser och ansvarar för företagets e-handelsdivision. Hon är ansvarig för att förmedla Check Points vision, produktlösningar och teknologiska innovationer och affärsnytta till kunder, partners, media, analytiker över hela världen. Juliette Sultan har stor teknisk expertis med över 18 års erfarenhet från Silicon Valley. 

Innan hon kom till Check Point 2008 var hon manager of information discovery and delivery och vice president för den globala marknadsföringen hos Business Objects. Under hennes tid där var hon ansvarig för planering, marknadsföring och marknadsstrategi för företagets viktigaste produkter. Före sin tid på Business Objects var hon vice president för produkt- och kanalmarknadsföring hos Computer Associates.

Juliette Sultan var en nyckelfigur på Oracle under tillväxtåren 1997-2003 med en strategisk roll som product strategy and senior director of product management och senior director of product management.

Juliette Sultan har också en MBA från Harvard Business School och examen från Ecole Supérieure de Commerce de Paris (E.S.C.P.) i Paris.