Informationssäkerhet – dags att agera mot risker och hot

Informationssäkerhet är ett hett ämne. Trojaner, virus, kapade datorer och cyberskurkar är några av de spektakulära begreppen – kopplade till hot som riskerar att slå hårt mot både företag och myndigheter. Men frågan är större än bara de mest omskrivna hoten. – Komplexiteten i frågan ökar hela tiden. Alla behöver titta på vilka informationstillgångar de har som är skyddsvärda, säger Anne-Marie Eklund Löwinder, säkerhetschef på IIS, Internetstiftelsen i Sverige

Informationssäkerhet är ett centralt ämne för IIS. Organisationen, som är oberoende och allmännyttig, arbetar för en positiv utveckling av internet i Sverige. Konkret betyder det att IIS bland annat ansvarar för internets svenska toppdomän .se, och registrering av domännamn.

Anne-Marie Eklund Löwinder som är säkerhetschef får mycket frågor om it-hot när hon har kontakt med andra företag och myndigheter. Frågorna kan till exempel handla om trojaner, ett datorprogram som utger sig för att vara till nytta, men som gör något annat när det lurat en användare att installera eller köra det. Andra ämnen kan vara nätfiske och spam, där så kallade zombiedatorer, kapade datorer som ingår i ett nätverk utnyttjas för attackerna. Eller så handlar det generellt om cyberskurkar, alltså kriminella som sysslar med it-relaterad brottslighet. 

Men detta är egentligen bara en liten del av problematiken när det gäller informationssäkerhet. Alla organisationer behöver hantera ämnet, konstaterar Anne-Marie Eklund Löwinder. Några frågor är grundläggande.
– Vilka tillgånger behöver skyddas?  Hur ser utvecklingen ut när det gäller risker, finns det nya hot? Är informationen utspridd, till exempel hos externa partners? säger hon. 

Komplexiteten i frågan har ökat bland annat eftersom många använder sig av outsourcing av verksamheter. Många använder också molntjänster, alltså it-tjänster som tillhandahålls över internet.

Hur ska man då agera för att skydda informationen, samtidigt som den ska vara nåbar för alla som behöver nå den?
Det finns inget svar som passar för alla, enligt Anne-Marie Eklund Löwinder.

– Alla har sin egen miljö och sina egna krav. Men många skulle behöva lägga mer tid på att kartlägga vilka skyddsvärda tillgångar man har, säger hon.

En annan en viktig ingrediens är tydlighet om var ansvaret för informationssäkerheten finns.
– Ytterst är det ledningens ansvar, men med delegering går det att tydliggöra vilka som har ett uttalat ansvar i organisationen.

Anne-Marie Eklund Löwinder betonar att hotbilden har blivit större under senare år. Det blir allt mer skadlig kod i omlopp, till exempel i appar eller på webbsidor.

Många av hoten är numera plattformsoberoende, och kan alltså orsaka skador oavsett om användaren öppnar ett e-postmeddelande i sin mobiltelefon eller på en dator. Dessutom ökar trenden att lagring och hantering av information sker externt. Ibland är det säkrare att använda molntjänster istället för att ha en egen driftsmiljö, anser Anne-Marie Eklund Löwinder. Men det finns inga generella svar och problemen är här för att stanna.

– Det går inte att ducka för problemet längre. Under lång tid har många försökt låtsas som att det inte kostar pengar att arbeta med informationssäkerhet. Men det måste avsättas både pengar och resurser, samtidigt som man naturligtvis ska göra en avvägning av rimlighet och affärsnytta, säger hon.

Att ha en process för arbetet, med tydliga rutiner, är nödvändigt. 
– Det handlar naturligtvis också om att arbeta med systematiskt förbättringsarbete precis som i andra sammanhang, säger hon.

Anne-Marie Eklund Löwinder tipsar

• Avsätt resurser och tid för arbetet med informationssäkerhet. Hotbilden har förändrats under senare år. Mycket information lagras och hanteras externt och det finns mycket skadlig kod i omlopp.

• Kartlägg vad som är skyddsvärt. Vilka tillgångar har ni i form av digital och annan information som är avgörande för verksamhetens existens?

• Gör en riskanalys och fundera över vad som är det värsta som kan hända.

• Gör en avvägning mellan affärsnytta och risk. Det finns en rimlighetsgräns för hur mycket man kan skydda sig.

• Se till att komma igång – börja någonstans där det verkar överkomligt att komma igång och arbeta sedan vidare utifrån det.

• Börja till exempel med att se över behörigheterna i it-systemen. Ofta går det att nå stora effekter bara genom att utveckla systemet för kontroll av åtkomst och rättigheter för olika användare.

• Utbilda användarna. Se till att påminna även om enkla saker som att inte klicka på länkar i okända mejl, inte öppna bifogade filer från okända användare eller ladda ner okända appar.

• Var noga med att gå igenom villkoren om ni skaffar en molntjänst. Vilken backup erbjuder leverantören? Hur ser servicenivån ut? Hur gör ni om ni vill byta leverantör?

Läs mer om SIS kommitté för informationssäkerhet här.

Text: Susanne Rydell