EUs rapporteringskrav om hendelser

10-10-2016

Internett-kriminalitet er i voldsom vekst, men man vet lite om den faktiske størrelsen. Årsaken er enkel: bedrifter tjener ingenting på å offentliggjøre inntrengning i deres datasystemer. Dette er nå i ferd med å endre seg. EU forbereder et krav om at bedrifter skal rapportere hendelser, noe som er vanlig i USA allerede. Dette øker presset om at selskaper må forbedre sikkerheten til IT-systemene sine.

«Tanken om at Internett-kriminalitet bare handler om underslag via stjålet kredittkortinformasjon er for enkel,» sier Fredrik Svantes, leder for Basefarms Security Incident Response Team (SIRT). Økningen av informasjon om online-datasystemer som er tilgjengelige for kriminelle, resulterer i lønnsom handel av personlig informasjon. «I noen land er det mulig å ordne et banklån med stjålne regnskapstall, mens den faktiske eieren ikke er klar over noe som helst,» sier Svantes. «Offeret kan da bli besøkt av Namsmannen som gjør krav på gjelden. En ukomfortabel posisjon for offeret, som må få seg selv frikjent.»


«Internett har aldri blitt truet slik som nå. Flere og flere kriminelle organisasjoner ser et marked her. Likevel er bedriftenes oppmerksomhet på sikkerhet ikke særlig høy."

Fredrik Svantes, leder av Basefarms Security Incident Response Team (SIRT)


 

Økt forståelse av internett-kriminalitet

For å øke forståelsen om Internett-kriminalitet, og selskapenes følelse av hastverk med å iverksette tiltak, forbereder EU-kommisjonen et krav om å rapportere «betydelige hendelser». Dette er, for å bruke kommisjonens ord, «hendelser som har betydelig påvirkning på sikkerheten til kjernetjenester tilbudt av markedsoperatører og offentlig administrasjon.» Markeds-operatører inkluderer banker, e-handelorganisasjoner, pleieinstitusjoner og transport- og energiselskaper. Nasjonal administrasjon bør avgjøre hvorvidt slike hendelser skal offentliggjøres. Forskriftene blir inkludert i det kommende EU-direktivet for nettverks- og informasjonssikkerhet (NIS), som del av EUs generelle Digitale Agenda.

Offentliggjort informasjon om disse farene, som for eksempel rapportene om Breachlevel, er «toppen av isfjellet», sier Svantes. «En nettbutikk har ingen interesse i det hele tatt av å offentliggjøre at en hacker har stjålet data fra systemet, fordi kundene vil forsvinne.» De fleste bedrifter holder derfor munn når noe går galt. En gruppe selskaper som arbeider med sikkerheten til IT-systemer samlet seg i 1990 i organisasjonen FIRST – The Forum for Incident Response and Security Teams. Apple, NASA og Interpol er eksempler på medlemmer, samt alle de store bankene i Nederland. «Betydningen til en slik organisasjon ligger i deling av informasjon,» sier Fredrik Svantes. «Kriminelle ser hele tiden etter nye måter å bryte seg inn i systemer på. For å varsles om nye trusler i tide og kunne reagere på forhånd, er det avgjørende at bedrifter deler informasjon.»

btn-top

Basefarm og FIRST

«Gjennom FIRST mottar vi informasjon vi ellers ikke ville fått. Vi ser hvilken type angrep som utføres, og hvordan kollegaer reagerer på dem. På denne måten unngår vi å bli utsatt for det selv.» Selvsagt er informasjonen som deles blant FIRST-medlemmene svært sensitiv, så absolutt gjensidig konfidensialitet er et must. «Dette er grunnen til at selskaper bare kan bli medlem om de er invitert, og det er en streng opptaksprosedyre,» forklarer Svantes.

Men medlemskap i en organisasjon som FIRST garanterer ikke på langt nær sikkerheten. Informasjonskanalen er viktig, men ikke den eneste kanalen Svantes og hans team beskytter IT-systemer gjennom.


«Det viktigste er å samle informasjon gjennom så mange kanaler som mulig og være kontinuerlig på vakt. Grunnlaget for velorganisert sikkerhet er oppmerksomhet og initiativ.»
Fredrik Svantes, leder av Basefarms Security Incident Response Team (SIRT)


Les mer om vårt medlemskap i FIRST her.

btn-top

Ta kontakt med vårt sikkerhetsteam!

btn-top