Undersökning avslöjar: svenska företag står svaga inför ökade attacker på molninfrastrukturer

Trend Micro släpper idag resultatet av en undersökning om hur väl skyddade svenska företag är mot cyberattacker i molnet, samt hur kunniga svenska IT-avdelningar är inom molnsäkerhet. Resultatet avslöjar bland annat att mindre än var tredje svenskt företag är tillräckligt skyddat i molnet, och över hälften av företagen är oroliga över de anställdas okunskap inom cybersäkerhet.

Molnmigration, där data flyttas från lagring i ett eget datacenter till att lagras och hanteras i molnet, är en av de största omställningarna som svenska företag genomgår just nu. Trend Micro har tillsammans med YouGov genomfört en undersökning bland svenska IT-beslutsfattare som visar att nästan vartannat svenskt företag (48 procent) antingen har påbörjat, är klara med eller ska inom ett år påbörja en flytt till molnet.

De möjligheter och positiva effekter som molnplattformar innebär har lockat många företag, men trots att en molnmiljö kan skyddas på ett omfattande sätt glömmer många företag ofta säkerheten på vägen. Såväl förflyttningen av kritisk data, som den hotbild som finns mot molnmiljöer utgör risker som företagen nu måste hantera. Därför har Trend Micro tagit en närmre titt på svenska företags kunskap om och förberedelse inför det säkerhetsläge som molnmigration innebär.

– Molnmigration är i sig något gott som innebär att företag har alla möjligheter i världen att skydda sin data ordentligt, säger Johnny Krogsboll, Nordic Technical Director på Trend Micro. Men denna undersökning visar dessvärre att just skyddet är något som många svenska företag förbisett i sin hast att migrera data.

Svenska företag saknar såväl kunskap som verktyg för att skydda sina molnmiljöer
Att denna stora molnflytt kommer innebära säkerhetsproblem är många svenska företag medvetna om. Nästan hälften (48 procent) av företagen i undersökningen anser att övergången från legacysystem till molnet är en säkerhetsrisk. Dock är det nästan lika många, hela 41 procent, som inte vet om molnmigration utgör en säkerhetsrisk eller inte.

Okunskapen kring vilken effekt molnmigration har på cybersäkerheten är stor, och det är tydligt att företagen också är osäkra på huruvida de har ett tillräckligt skydd. Undersökningen avslöjar att svenska företag i hög grad fortfarande inte förstår vad en molnflytt innebär för deras cybersäkerhet och vad som krävs för att skydda sig. Endast 29 procent har tillgång till teknik för att snabbt spåra och upptäcka säkerhetshot i sina molnmiljöer – resterande respondenter har inte denna typ av skydd, eller vet inte ens om de har det eller inte.

Att förlita sig på molnleverantörens inbyggda skydd är ett farligt spel
Var femte svenskt företag anser att det är applikationsägarnas ansvar att följa upp på sårbarheter på molnplattformen – vilket är fel. Att tro att applikationsägarna håller verksamheten i molnet säker är en farlig typ av okunskap då sårbarheter i molnet lätt utnyttjas av cyberkriminella.

– Det första steget till säkra molnmiljöer är att arbeta utifrån premissen det är ett delat ansvar - vilket det är, förklarar Johnny Krogsboll. Trots att molnleverantörer erbjuder inbyggd säkerhet är det kunderna själva som ansvarar för att säkra sin egen data, så att förlita sig på leverantörernas skydd räcker inte, då det oftast inte skyddar mot cyberbrottslingars allt mer avancerade metoder att ta sig in i företagens molnmiljöer.

DevOps-trenden ett bete för cyberbrottslingar
Ett annat problem som undersökningen pekar ut, är att svenska företag har dålig kunskap om hur säkerheten bör hanteras vid arbete på öppna plattformar, framför allt DevOps. Hela 47 procent av de svenska företagen i undersökningen vet inte om DevOps utgör en risk eller inte, vilket indikerar att kunskapsnivån om DevOps hos svenska IT-beslutsfattare fortfarande är låg.

– DevOps är just nu en av de hetaste trenderna på svenska företags IT-avdelningar, och det är lätt att förstå varför, säger Johnny Krogsboll. Mycket tyder dock på att det är för få som förstår och hanterar riskerna. Ju mer ett företag ökar sina molnbaserade aktiviteter, desto oftare försöker cyberbrottslingar utnyttja eventuella felaktiga konfigurationer som ofta uppstår i samband med en utvecklad DevOps-kultur.

Dålig cyberhygien bland anställda
Ett omfattande problem är även de anställdas cyberhygien. Undersökningen visar att 43 procent av respondenterna inte litar på att företagets anställda kan avgöra vad som är ett osäkert användande av företagets uppkopplade enheter, sett ur ett cybersäkerhetsperspektiv. Och svenska IT-avdelningar är oroliga. Mer än vartannat företag (52 procent) anser att de anställda behöver utbildas mer i cyberskydd och säkert surfande för att minska riskbeteendet.

Nedan är ett antal tips på hur du bäst säkrar din molnmiljö:

• Kontrollera lägsta behörighet: Detta begränsar dataåtkomsten till endast dem som verkligen behöver det.
• Förstå modellen för delat ansvar: Trots att molnleverantörer erbjuder inbyggd säkerhet är det kunderna själva som ansvarar för att säkra sin egen data.
• Upptäck potentiellt felaktigt konfigurerade och exponerade IT-system: Med hjälp av verktyg som Trend Micros Cloud One – Conformity, kan du enkelt identifiera felaktiga konfigurationer i dina molnmiljöer.
• Integrera säkerheten i DevOps-kulturen: Se till att bygga in säkerheten i DevOps-processen från första början.

Samlad statistik från undersökningen

• 48% säger att de har genomfört, är mitt uppe i eller inom ett år ska påbörja en molnmigrering
• 48% anser att det finns en cybersäkerhetsrisk i samband med övergången från legacysystem till nya molnplattformar, 11% anser att det inte finns det, och 41% att de inte vet om det finns en säkerhetsrisk eller inte.
• 29% säger att deras företag har tillgång till teknik för att snabbt spåra och upptäcka säkerhetshot på sin molnplattform - exempelvis AWS, Azure, Google Cloud och andra molnstjänstleverantörer, 38% säger att de inte har det och 33% att de inte vet om de har det eller inte.
• 20% säger att hanteringen av sårbarheter på deras molnplattform är applikationsägarnas ansvar att följa upp själva
• 25% anser att en allt mer förekommande DevOps-kultur är en risk ur ett cybersäkerhetsperspektiv
• 43% anser inte att de anställda på företaget de jobbar för vet vad man bör och inte bör göra (vid användning av internet på samtliga typer av enheter) för att hålla företaget tryggt ur ett cybersäkerhetsperspektiv, 36% anser att de anställda vet det och 11% att de inte vet huruvida de anställdavet vad man bör eller inte bör göra för att hålla företaget tryggt ur ett cybersäkerhetsperspektiv.
• 52% anser att deras företag behöver utbilda sina anställda mer inom cybersäkerhet, så att de bättre kan hantera de cybersäkerhetshot som kommer av en allt mer komplex molnmiljö. 26% anser att de inte behöver göra det och 22% att de inte vet huruvida de behöver utbilda sina anställda mer inom cybersäkerhet eller inte.

Om undersökningen
Undersökningen är genomförd av opinions- och marknadsundersökningsföretaget YouGov. Under perioden 18-25 maj 2020 har sammanlagt 511 intervjuer via internet genomförts med män och kvinnor i Sverige som är beslutsfattare inom IT.