🔐 Det er før dataangrepet du bør finne frem sikkerhetspolicyen – ikke etterpå.

Dataangrepet mot Lørenskog kommune viser hvorfor informasjonssikkerhet handler om langt mer enn brannmurer, antivirus og tekniske sikkerhetsløsninger.

Deloitte har nå gjennomført en uavhengig gjennomgang av hendelsen. En av de viktigste lærdommene er at Lørenskog faktisk hadde rutiner, sikkerhetsarbeid og mekanismer for å håndtere risiko.

Problemet var at dette ikke alltid fungerte godt nok i praksis.

Deloitte beskriver blant annet hvordan sikkerhetsvarsler ble generert og eskalert flere ganger før hendelsen til slutt ble håndtert som et alvorlig dataangrep. Angriperne fikk dermed tid til å bevege seg videre i miljøet, skaffe seg større rettigheter, kartlegge informasjon og forberede dataeksfiltrering.

Fra den første kompromitteringen 7. april til effektive begrensningstiltak ble satt inn 9. mai gikk det 32 dager. Deloitte peker på at bedre operativ oppfølging av sikkerhetsvarsler kunne redusert tidsvinduet angriperne fikk til å utvikle angrepet.

Det er en viktig forskjell på å ha en rutine og å ha en rutine som faktisk fungerer når alarmen går.

Hvem skal varsles?

Hvem tar beslutningen om å koble fra et system?

Når skal en hendelse eskaleres?

Hvem har myndighet til å ta avgjørelsen?

Hvordan skal ansatte kommunisere dersom e-post og Teams er nede?

Hvordan sikrer man at backup faktisk kan brukes?

Og hvordan håndterer man personvern, informasjon til ansatte og innbyggere og kontakt med myndighetene?

Dette bør være avklart før man står midt i et dataangrep.

Deloitte peker nettopp på behovet for tydeligere eierskap, ansvar, eskalering, dokumentasjon og oppfølging av risiko. Rapporten understreker også at cybersikkerhet ikke bare er et teknisk spørsmål, men et samspill mellom styring, mennesker, prosesser og teknologi.

Og dette gjelder ikke bare Lørenskog.

Et tilsvarende angrep kan ramme en annen kommune, en bedrift, en organisasjon eller en virksomhet i morgen.

Man kan ikke alltid forhindre at noen forsøker å angripe deg.

Men man kan være langt bedre forberedt på hva man skal gjøre når det skjer.

Det er der gode policyer, rutiner og beredskapsplaner kommer inn.

I Nerdefabrikken hjelper vi virksomheter med å få sikkerhetsarbeidet ned fra skrivebordet og ut i praksis – blant annet gjennom policyer, rutiner, sikkerhetsgjennomgang og rådgivning innen cybersikkerhet.

For den viktigste tiden å lage planen på, er ikke når angrepet allerede har startet.

Det er før. 🔐