Óvissustig vegna átaka í Úkraínu – Tæknilegt óöryggi Ólafur R. Rafnsson skrifar 4. mars 2022 11:30 Til hvaða aðgerða er skynsamlegt að grípa til við aðstæður sem þessar? Þetta er spurning sem margir spyrja sig eflaust nú. Við sjáum verulega aukningu ár frá ári á alvarlegum öryggisbrestum sem verða vegna óprúttinna aðila sem herja bæði á einstaklinga sem fyrirtæki, yfirleitt til að hafa af þeim fé. Sviksemi af þessu tagi hefur alltaf fylgt mannkyninu því miður, eina breytingin nú er að það er töluvert auðveldara að ná til margra með þeirri tækni sem við búum yfir. Við erum rétt að sjá í land eftir heimsfaraldur vegna COVID-19, gögn hafa verið tekið í gíslingu, Tintersvindlari herjar á konur, samkiptablekkingar eru daglegt brauð og óvissustigi var lýst yfir vegna Log4j veikleika á síðasta ári og nú er stríð í okkar heimsálfu. Er óhætt að segja að nú sé staðan sú að Ísland ætti að vera á óvissustigi vegna stríðsins í Úkraínu? Ástandið gefur fullt tilefni til þess að vera á varðbergi, virkja neyðarskipulag og gefa út fyrirmæli um að innlendir aðilar ættu að virkja óvissustig. Gefnar hafa verið út góðar leiðbeiningar frá CERT-IS og Fjarskiptastofu um hvernig hægt sé að bæta varnir og draga úr hættunni á að verða fyrir öryggisbresti. Vinnuaðstaða Líta mætti á kerfi að þau séu húsið sem við búum í og vinnum og þar eru öryggiskerfi sem vakta óæskilega umferð. Ef vart verður um innbrot í aðstöðu grípa þjófavarnarkerfi inn í og öryggismyndavélar í sumum tilvikum sem taka upp efni. Ef upp kemur sú staða að brotist hefur verið inn er gott að geta farið í öryggismyndavélar og spólað til baka til að skoða hver hefur verið þar á ferðinni. Þegar tæknilegur öryggisbrestur verður er gríðarlega mikilvægt að hægt sé með auðveldu móti fletta upp í dagbókum kerfa sem sama hætti og lýst er hér að ofan með öryggismyndavélar. Það er töluvert flóknara að skoða tæknilegt fótspor en myndefni, ef það eru til upplýsingar um slíkt yfir höfuð þar sem kerfi safna allskonar dagbókum á mismunandi máta. Því miður er algengt dagbækur kerfa sýna einungis færslur í örfáa daga eða jafnvel klukkustundir. Slíkt eykur enn frekar á óvissuna þegar ekki er hægt að rekja aðgerðir nema að litlu leyti. Hvað gerum við þá, hringja í vin ekki satt. Hvað er hægt að gera ef öryggi er ógnað? Eitt af því sem algengt er við aðstæður þegar tæknilegur öryggisbrestur er staðfestur, er að loka fyrir erlenda netumferð, eða eins og ef um húsnæði væri að ræða loka/læsa öllum hurðum og gluggum. Það er því miður ráðstöfun sem verður sífellt marklausari því með aukinni notkun skýjalausna getur slíkt valdið því að stöðva virkni sem þarf að vera til staðar og eru þó nokkur dæmi um slíkt. Varnarkerfi þurfa að geta gripið til aðgerða og rauntímavöktun er mikilvæg. Ýmis fyrirtæki bjóða allskonar öryggislausnir og getur verið mjög flókið að velja viðeigandi varnir. Það er ekki nóg að vera með varnarkerfi því það þarf líka einhvern til að vakta þau. Þessi kerfi mætti líkja við öryggis- og myndavélaeftirlitskerfi fyrir húsnæði. Ef brotist er inn þá eru boð send á öryggisfyrirtæki eins og Öryggismiðstöðina eða Securitas sem grípa þá til aðgerða. Sama ætti að gilda um tæknilega öryggisbresti, því það er ekki síður mikilvægt að sú öryggislausn sem treyst er á sé vöktuð í rauntíma eða hægt að skoða upptökur á einfaldan máta. Slík vöktun kallast Security Operation Center eða SOC sem er sambærilegt því að öryggisfyrirtæki sé tiltækt ef brotist er inn. Með slíkri vöktun er hægt að grípa inn í rafrænt, ef grunur er um að brotist hafi verið inn í kerfi. Hvernig höldum við örygginu við? Góð leið til að draga úr óvissu um hvort varnir sem fyrir eru séu fullnægjandi er gott að gera reglulega hættumat á tæknilegu öryggi. Fara yfir öll kerfi sem við notum dags daglega og halda skrá yfir þau og tryggja eins gott aðgangsöryggi og hægt er. Nota hugbúnað sem geymir fyrir okkur lykilorð eins og LastPass, Password1 o.s.frv. Sjá til þess að við eigum til öryggisafrit af mikilvægum gögnum í tæki sem er varið fyrir gagnagíslatökuvírusum. Fyrir fyrirtæki og stofnanir (skipulagsheildir) er ekki síður mikilvægt að útfæra og æfa viðbragð við mismunandi áhættusviðsmyndum til að tryggja viðeigandi viðbragð í neyð. Æfingar á viðbragði eru sífellt mikilvægari þáttur í daglegu lífi. Það þekkja margir brunaæfingar sem vinna á skrifstofu en við erum að fást við ósýnilegan tæknilegan bruna í kerfum og eru töluvert meiri líkur á slíkum bruna. Gott æft viðbragð er gulls ígildi þegar á reynir og nú er sérstaklega mikilvægt að verklag sé skýrt vegna ástandsins sem ríkir í Úkraínu, er þín skipulagsheild í viðbragðsstöðu eða er búið að lýsa yfir óvissuástandi og virkja neyðarskipulag hjá þér? Þetta eru spurningar sem margir velta fyrir sér nú og þurfa allir að vera sérstaklega á varðbergi, ekki bara skipulagsheildir heldur þú og ég líka. Skilin á milli heimilis og vinnu eru sífellt að vera óskýrari og hættur fleiri og alvarlegri. Pössum upp á stafrænt öryggi okkar og þeirra sem við erum í samskiptum við í leiðinni. Notum margþátta auðkenni alltaf ef það er valkostur, uppfærum öryggisviðbætur í tölvum og þeim tækjum þegar það býðst, látum vita ef grunur er um að við höfum verið blekkt því það geta allir lent í því, ég hef lent í því líka líka þó að ég starfi við þetta fag. Höfundur er ráðgjafi í áhættustjórnun og upplýsingaöryggi. Viltu birta grein á Vísi? Sendu okkur póst. Senda grein Innrás Rússa í Úkraínu Úkraína Öryggis- og varnarmál Mest lesið Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun Við fylgjum þér frá getnaði til grafar Benedikt S. Benediktsson Skoðun Ef þið bara hefðuð séð heiminn út frá mínum augum: Börn & ADHD Stefán Þorri Helgason Skoðun Konur á örorku Sigríður Ingibjörg Ingadóttir,Steinunn Bragadóttir Skoðun Börn í meðferð eiga rétt á fagfólki orð duga ekki lengur! Steindór Þórarinsson Skoðun Ekki sama hvaðan gott kemur Magnea Gná Jóhannsdóttir Skoðun Greindarskerðing eða ofurgáfur með gervigreind Björgmundur Örn Guðmundsson Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun 112. liðurinn í aðgerðaáætlun í menntamálum? Ingólfur Ásgeir Jóhannesson Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun Skoðun Skoðun Við fylgjum þér frá getnaði til grafar Benedikt S. Benediktsson skrifar Skoðun Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir skrifar Skoðun Ef þið bara hefðuð séð heiminn út frá mínum augum: Börn & ADHD Stefán Þorri Helgason skrifar Skoðun 112. liðurinn í aðgerðaáætlun í menntamálum? Ingólfur Ásgeir Jóhannesson skrifar Skoðun Konur á örorku Sigríður Ingibjörg Ingadóttir,Steinunn Bragadóttir skrifar Skoðun Drambið okkar Júlíus Valsson skrifar Skoðun Við vitum Guðrún Jónsdóttir skrifar Skoðun Ekki sama hvaðan gott kemur Magnea Gná Jóhannsdóttir skrifar Skoðun Börn í meðferð eiga rétt á fagfólki orð duga ekki lengur! Steindór Þórarinsson skrifar Skoðun Greindarskerðing eða ofurgáfur með gervigreind Björgmundur Örn Guðmundsson skrifar Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson skrifar Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson skrifar Skoðun Stöndum saman gegn fjölþáttaógnum Bryndís Haraldsdóttir skrifar Skoðun Hagræðing á kostnað fjölbreytni og gæðamenntunar Ida Marguerite Semey skrifar Skoðun Umbúðir en ekkert innihald í Hafnarfirði Einar Geir Þorsteinsson skrifar Skoðun Við viljum tala íslensku, en hvernig Ólafur Guðsteinn Kristjánsson skrifar Skoðun Mansalsmál á Íslandi Kristján Þórður Snæbjarnarson skrifar Skoðun Hættur heimsins virða engin landamæri Tótla I. Sæmundsdóttir skrifar Skoðun Tímamót í sjálfsvígsforvörnum Ingibjörg Isaksen skrifar Skoðun Yfirgangur, yfirlæti og endastöð Strætó Axel Hall skrifar Skoðun Hugsum fíknivanda upp á nýtt - Ný nálgun í meðhöndlun fíknivanda og áhættuhegðunar Svala Jóhannesdóttir,Lilja Sif Þorsteinsdóttir skrifar Skoðun Háskólinn á Bifröst – Öflugur og sjálfstæður fjarnámsskóli Sólveig Hallsteinsdóttir skrifar Skoðun Það eru fleiri fiskar í sjónum og fleiri sjónarmið í hafstjórn Guðbjörg Ásta Ólafsdóttir skrifar Skoðun Skapandi menntun skilar raunverulegum árangri Bryngeir Valdimarsson skrifar Skoðun Sex ára sáttmáli Davíð Þorláksson skrifar Skoðun Af hverju kynjafræði? Og hvaða greinar hafa fengið svipaðar mótbárur í gegnum tíðina? Guðrún Elísa Friðbjargardóttir Sævarsdóttir skrifar Skoðun Stjórnendur sem mega ekki stjórna Stefán Vagn Stefánsson skrifar Skoðun Stokkhólmseinkenni sem við ættum að forðast Aðalsteinn Júlíus Magnússon skrifar Skoðun Eflum iðnlöggjöfina og stöðvum brotin Hilmar Harðarson skrifar Skoðun Pjattkratar taka til Þorsteinn Sæmundsson skrifar Sjá meira
Til hvaða aðgerða er skynsamlegt að grípa til við aðstæður sem þessar? Þetta er spurning sem margir spyrja sig eflaust nú. Við sjáum verulega aukningu ár frá ári á alvarlegum öryggisbrestum sem verða vegna óprúttinna aðila sem herja bæði á einstaklinga sem fyrirtæki, yfirleitt til að hafa af þeim fé. Sviksemi af þessu tagi hefur alltaf fylgt mannkyninu því miður, eina breytingin nú er að það er töluvert auðveldara að ná til margra með þeirri tækni sem við búum yfir. Við erum rétt að sjá í land eftir heimsfaraldur vegna COVID-19, gögn hafa verið tekið í gíslingu, Tintersvindlari herjar á konur, samkiptablekkingar eru daglegt brauð og óvissustigi var lýst yfir vegna Log4j veikleika á síðasta ári og nú er stríð í okkar heimsálfu. Er óhætt að segja að nú sé staðan sú að Ísland ætti að vera á óvissustigi vegna stríðsins í Úkraínu? Ástandið gefur fullt tilefni til þess að vera á varðbergi, virkja neyðarskipulag og gefa út fyrirmæli um að innlendir aðilar ættu að virkja óvissustig. Gefnar hafa verið út góðar leiðbeiningar frá CERT-IS og Fjarskiptastofu um hvernig hægt sé að bæta varnir og draga úr hættunni á að verða fyrir öryggisbresti. Vinnuaðstaða Líta mætti á kerfi að þau séu húsið sem við búum í og vinnum og þar eru öryggiskerfi sem vakta óæskilega umferð. Ef vart verður um innbrot í aðstöðu grípa þjófavarnarkerfi inn í og öryggismyndavélar í sumum tilvikum sem taka upp efni. Ef upp kemur sú staða að brotist hefur verið inn er gott að geta farið í öryggismyndavélar og spólað til baka til að skoða hver hefur verið þar á ferðinni. Þegar tæknilegur öryggisbrestur verður er gríðarlega mikilvægt að hægt sé með auðveldu móti fletta upp í dagbókum kerfa sem sama hætti og lýst er hér að ofan með öryggismyndavélar. Það er töluvert flóknara að skoða tæknilegt fótspor en myndefni, ef það eru til upplýsingar um slíkt yfir höfuð þar sem kerfi safna allskonar dagbókum á mismunandi máta. Því miður er algengt dagbækur kerfa sýna einungis færslur í örfáa daga eða jafnvel klukkustundir. Slíkt eykur enn frekar á óvissuna þegar ekki er hægt að rekja aðgerðir nema að litlu leyti. Hvað gerum við þá, hringja í vin ekki satt. Hvað er hægt að gera ef öryggi er ógnað? Eitt af því sem algengt er við aðstæður þegar tæknilegur öryggisbrestur er staðfestur, er að loka fyrir erlenda netumferð, eða eins og ef um húsnæði væri að ræða loka/læsa öllum hurðum og gluggum. Það er því miður ráðstöfun sem verður sífellt marklausari því með aukinni notkun skýjalausna getur slíkt valdið því að stöðva virkni sem þarf að vera til staðar og eru þó nokkur dæmi um slíkt. Varnarkerfi þurfa að geta gripið til aðgerða og rauntímavöktun er mikilvæg. Ýmis fyrirtæki bjóða allskonar öryggislausnir og getur verið mjög flókið að velja viðeigandi varnir. Það er ekki nóg að vera með varnarkerfi því það þarf líka einhvern til að vakta þau. Þessi kerfi mætti líkja við öryggis- og myndavélaeftirlitskerfi fyrir húsnæði. Ef brotist er inn þá eru boð send á öryggisfyrirtæki eins og Öryggismiðstöðina eða Securitas sem grípa þá til aðgerða. Sama ætti að gilda um tæknilega öryggisbresti, því það er ekki síður mikilvægt að sú öryggislausn sem treyst er á sé vöktuð í rauntíma eða hægt að skoða upptökur á einfaldan máta. Slík vöktun kallast Security Operation Center eða SOC sem er sambærilegt því að öryggisfyrirtæki sé tiltækt ef brotist er inn. Með slíkri vöktun er hægt að grípa inn í rafrænt, ef grunur er um að brotist hafi verið inn í kerfi. Hvernig höldum við örygginu við? Góð leið til að draga úr óvissu um hvort varnir sem fyrir eru séu fullnægjandi er gott að gera reglulega hættumat á tæknilegu öryggi. Fara yfir öll kerfi sem við notum dags daglega og halda skrá yfir þau og tryggja eins gott aðgangsöryggi og hægt er. Nota hugbúnað sem geymir fyrir okkur lykilorð eins og LastPass, Password1 o.s.frv. Sjá til þess að við eigum til öryggisafrit af mikilvægum gögnum í tæki sem er varið fyrir gagnagíslatökuvírusum. Fyrir fyrirtæki og stofnanir (skipulagsheildir) er ekki síður mikilvægt að útfæra og æfa viðbragð við mismunandi áhættusviðsmyndum til að tryggja viðeigandi viðbragð í neyð. Æfingar á viðbragði eru sífellt mikilvægari þáttur í daglegu lífi. Það þekkja margir brunaæfingar sem vinna á skrifstofu en við erum að fást við ósýnilegan tæknilegan bruna í kerfum og eru töluvert meiri líkur á slíkum bruna. Gott æft viðbragð er gulls ígildi þegar á reynir og nú er sérstaklega mikilvægt að verklag sé skýrt vegna ástandsins sem ríkir í Úkraínu, er þín skipulagsheild í viðbragðsstöðu eða er búið að lýsa yfir óvissuástandi og virkja neyðarskipulag hjá þér? Þetta eru spurningar sem margir velta fyrir sér nú og þurfa allir að vera sérstaklega á varðbergi, ekki bara skipulagsheildir heldur þú og ég líka. Skilin á milli heimilis og vinnu eru sífellt að vera óskýrari og hættur fleiri og alvarlegri. Pössum upp á stafrænt öryggi okkar og þeirra sem við erum í samskiptum við í leiðinni. Notum margþátta auðkenni alltaf ef það er valkostur, uppfærum öryggisviðbætur í tölvum og þeim tækjum þegar það býðst, látum vita ef grunur er um að við höfum verið blekkt því það geta allir lent í því, ég hef lent í því líka líka þó að ég starfi við þetta fag. Höfundur er ráðgjafi í áhættustjórnun og upplýsingaöryggi.
Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun
Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun
Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun
Skoðun Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir skrifar
Skoðun Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson skrifar
Skoðun Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson skrifar
Skoðun Hugsum fíknivanda upp á nýtt - Ný nálgun í meðhöndlun fíknivanda og áhættuhegðunar Svala Jóhannesdóttir,Lilja Sif Þorsteinsdóttir skrifar
Skoðun Háskólinn á Bifröst – Öflugur og sjálfstæður fjarnámsskóli Sólveig Hallsteinsdóttir skrifar
Skoðun Það eru fleiri fiskar í sjónum og fleiri sjónarmið í hafstjórn Guðbjörg Ásta Ólafsdóttir skrifar
Skoðun Af hverju kynjafræði? Og hvaða greinar hafa fengið svipaðar mótbárur í gegnum tíðina? Guðrún Elísa Friðbjargardóttir Sævarsdóttir skrifar
Mega einhverf hverfa? Ármann Pálsson,Björg Torfadóttir,Sigrún Ósk,Sigurjón Már,Halldóra Hafsteins,Guðlaug Svala Kristjánsdóttir,Mamiko Dís Ragnarsdóttir Skoðun
Að hafa hemil á nýjum ófjármögnuðum útgjöldum er lykillinn að sjálfbærum rekstri sveitarfélaga Jón Ingi Hákonarson Skoðun
Homo sapiens að öðrum toga: Af hverju ætti ég eiginlega að mæta á PIFF-kvikmyndhátíðina? Ólafur Guðsteinn Kristjánsson Skoðun