Vi uppdaterar BYOD till BYOS – bring your own software! Idag använder anställda Dropbox för dokumentdelning, tar automatiskt backup på företagsmailen i Iphonen via Icloud samt installerar egna appar (potentiella säkerhetshål) på jobbmobilen. Hur ska vi förhålla oss till detta? Vad behöver vi göra? Jättebra fråga som jag ska försöka bena lite i, i samband med Sig securitys årsstämma den 24:e april. Kanske ses vi där?
En sak hände mig för någon vecka sedan. Jag skulle installera content management systemen Joomla och WordPress på mitt webbhotell via autoinstalleraren Installatron, problemet var att jag hela tiden fick ett felmededelande gällande databaserna. Jag har installerat en del Joomla och WordPress manuellt i mina dagar, men nu hade jag bestämt mig för att jag ville köra den enklaste vägen. Efter lite mailväxling med supporten, som inte löste problemet, så ber jag dem att trycka på knappen från sitt håll, eftersom det verkar vara möjligt för dem, men inte mig och sedan skicka mig inloggningsuppgifter. Så skedde, men den vänliga personen skrev att jag själv får sätta lösenord. Hur menar personen då, tänkte jag, det måste man ju sätta under installationsprocessen? Sedan kom verkligheten ikapp mig och jag fick ägna mig åt någon form av brandkårsutryckning, som tog över mitt fokus. Några dagar senare hade jag möjlighet att återuppta webbprojektet och min första tanke var ”om jag surfar in just nu så är det väl en vanlig standard wordpress installation , jag får väl gå in och styra upp den lite”. Mennär jag surfade in och såg hur första sidan såg ut så var det ingen underdrift att säga att jag satte kaffet i fel strupe. När man surfade in på domänen i fråga (som är en aktiv domän som används) så möttes besökaren av en pausad installationsprocess och uppmaningen ”Mata in vilket admin lösenord du vill ha för domänen”. Helt bisart! Och detta hade alltså varit online i flera dagar, och skulle kunna varit ännu längre om jag inte haft tid att åteuppta uprojektet just då. Så, vad hände? Jag satte ett lösenord , men mailade hotellet och talade om att jag fått en smärre chock av hanteringen. Jag fick ett mycket bra bemötande av samma supportagent som bad om ursäkt och det gladde mig (eftersom man inte kan räkna med det idag). MEN, knäckfrågan är , hur får man in ett säkerhetstänkande för ny personal, eller gammal med för den delen? Jag tror att personen som hjälpte mig kände sig väldigt serviceminded som lät mig själv välja lösenord, tills jag hörde av mig och gnällde över att jag inte gillade hanteringen. Är säkerhetsmedvetandet någonting inlärt eller en paranoid gen? Vad betyder egentligen säkerhet? Finns det någon bransch där säkerhet inte är en av de fem-tio viktigaste delarna i en verksamhet? Är säkerhet oviktigt om man jobbar i affär? Med lokalvård? Med försäljning? På cafe? Hur många av ägarna till sådana företag lägger tid på att identifiera risker och minska sannorlikheten att det inträffar med hjälp av utbildning. Nu sticker jag ut hakan lite till. Hur vanligt är det inom IT-branschen? Administrativ personal inom IT branschen? Ekonomi, HR, Lokalvård… Vilka åtgärder kan du ta för att öka säkerheten redan idag?
Bilar blir smartare och smartare, men liksom med våra smarta mobiler, så tar det tid innan säkerheten kommer in i bilden. Dags att skaffa brandvägg till din nya smartbil kanske? Behövs det verkligen? Jag blev tipsad av en kille på Internetdagana (Kiitos Kari/Codenomicon) om några som framgångsrikt, på distans, påverkat både motor och broms funktionalitet (ingående information). Jag fick också kännedom om killen som tog sig in i flygplansystemets hjärta via infotainmentsystemet.. alltså, via underhållningssystemet(!) där man väljer vilken videofilm man ska se under flyget. Tydligen var det en switch där några portar hanterade infotainmentsytemet och några andra flygmiljön. Mellan dessa fanns ett trust som möjligjorde det hela. Förvisso en felkonfning, men hur vanligt är inte det? Kan det finnas andra plan med samma problem? Högst sannolikt. Här kan man verkligen snacka om att itsäkerheten påverkar den fysika säkerheten IRL, på samma sätt som exemeplvis strömförsörjningen till livsuppeållande maskiner på ett sjukhus.. Kanske läge att höja vårt säkerhetsfokus ett snäpp till gällande våra fordon. Bättre att bygga säkert från början än patcha i efterhand. Förutom mer destruktiva hyss som att krascha bilar och plan erbjuder ju också stryrningsmöjligheter en del lukrativa affärskoncept. Varför inte öppna en restaurang och stryra dit alla bilar till exempel. Så länge bilen har en människa som sitter i den finns det förhoppningvis någon som kan larma om riktningen ändras. Men förarlösa bilar är idag en realitet. Google har exempelvis en bil som bränt av runt 8700 mil på gatorna i Karlifornien och flera amerikanska delstater lagstiftar nu om trafikregler för självstyrande bilar. Jag är grymt nöjd med att flygkedjan Norweigian erbjuder gratis trådlöst till alla resenärer i deras nyare flygplansmodeller, men nästa gång personen brevid dig spelar flygsim på sin bärbara, kanske du ska kolla en extragång att han inte dricker alkohol, för det kan vara han som är pilot :)
P.S Om du är mer nyfiken på IT i bilar, kan du kolla Jörgen Städjes artikel på ämnet i Techworld.
Säker hårdvara och tekniska skydd är fina grejer, men som vanligt behövs det utbildning också, och kanske ännu inte viktigare, en förmåga att tänka säkerhet även i verksamheten. De två exemplena nedan utspelades under våren 2010 mellan mig och två olika företag, en bank och ett handelsföretag.
Exempel 1: Jag är med i en ideell förening och ska vara en av de som kan betala fakturor och ersätta utlägg från föreningens bankkonto. Därför kontaktar jag dess bank för att höra hur vi ska gå tillväga för att skaffa behörighet till mig. Du behöver komma in med ett styrelseprotokoll som talar om att du ska vara berättigad att sköta bankkontot, meddelar damen. Och en kopia av föreningens stadgar. Som extra säkerhet. Okej, säjer jag, det var inte mycket till säkerhet. Ja, ideella föreningar behöver inte anmäla sin styrelse till bolagsverket, så det finns inget register vi kan titta i, sade hon. Jaha, jag förstår, svarade jag, men det känns ändå som väldigt låg säkerhet eftersom det inte borde ta mer än fem minuter att hitta en stadgar på nätet och förfalska ett styrelseprotokoll.. Efter en stunds tystnad utbrister bankdamen ”Men det vore ju olagligt”. Suck. Jag har hört att det finns sådana som inte ens låter sig stoppas av den typ av detaljer, i synnerhet inte om man kan tillskansa sig pengar.. eh.. undrar om exempelvis Rädda barnen är en ideell förening och vilken bank de har? Nej, skämt åsido, men högre säkerhetstänkade kan man kanske förvänta sig av bankpersonal åtminstone. Jag begär inte att hon ska ändra rutinerna för min del, men hon var så totalt oförstående till att det var ett osäkert system är faktiskt ett problem i sig själv.
Exempel 2. För en kunds räkning ringde jag ett samtal till ett företag där vi är faktura kunder och sade att vi tänkte åka in och handla lite på eftermiddagen. Jag är konsult här sade jag, så jag kan inte rutinerna, behöver vi ta med oss något speciellt för att verifiera att vi är fakturakunder? Uhum, sade den damen, för att kunna svara på det, måste du uppge företagets organisationsnummer, sedan kan jag ge er ert kundnummer och den information du behöver veta. ”Vet du, sade jag till damen”, eftersom jag jobbar på många olika företag så har jag inte bolagets organisationsnummer i huvudet, så jag gör som jag brukar och surfar in på www.allabolag.se och söker upp vad företaget har för organisationsnummer. Jag lade till, det kan du också göra om du inte vet numret, istället för att fråga mig.. Typ.
Och, sist men inte minst kan jag avsluta med lite säkerhetsskvaller J Spenderade valborg på en BBQ i England där jag pratade med en person som berättade att av alla IT-företag han arbetat på så var det Panasonic som var mest ”rigida” i sina säkerhetskrav. De bärbara datorerna utrustades med programvara som analyserade hur man hanterade dem (med de anställdas kännedom förstås) och baserat på dem fick man en rekommendation om vilka som även fortsättningsvis borde tillåtas hem datorerna. Trots denna djupa analytiska metod, blev en kvinnlig kollega till personen jag pratade med rekommenderad att dock inte ta med sin dator hem, annat än i nödfall, baserat på faktorerna att hon var 1. Kvinna. 2. Kort. Det ni? Det kanske var det som var felet med damen på banken och handelföretaget, de kanske var lite korta? På återseende!
På alltför undangömd plats, på Kunskapskanalen, visades igår den 1 februari det spännande och skrämmande programmet ”Nätterrorist till salu” från 2009. Vill SVT tjäna samhället lyfter man fram detta program till en mer tillgänglig kanal som alla kan se. Repris på Kunskapskanalen den 7 februari.
För att skapa ett säkrare internet måste den vanlige internetanvändaren få klart för sig VARFÖR det är viktigt att uppdatera, ha säkerhetsprogramvara och vara allmänt förnuftig när det gäller nätlivet. ”What’s in it for me” har varit den bästa motivationen för många. Programmet ”Nätterrorist till salu” borde ge många ett bredare perspektiv på problemet; kan man ta över ett land via internet? Kan strömförsörjning och annan infrastruktur slås ut av massiva attacker från kapade hemdatorer? Det 50 minuter långa kanadensiska programmet följdes av ett studiosamtal med Lars Nicander, Centrum för Assymetriska Hot- och TerrorismStudier på Försvarshögskolan och den alltid lika kunnige Pelle Hellqvist från Symantec. Dessa 25 minuter gav svar på många frågor rörande svenska förhållanden och ställde också nya, som varför Sverige ännu inte har någon informationssäkerhetsminister…
Se till att så många internetanvändare som möjligt ser reprisen på söndag!
Deltog nyligen på en trevlig konferens och bland konferensmaterialet fanns också varsin ny USB pinne. En av deltagarna behövde skriva ut ett papper inför mötet och begav sig till receptionen. Om du ger mig filen på USB så skriver jag ut den, erbjöd sig receptionisten tjänstevilligt. ”Åh, filen är på mailen” svarade den behövande varvid receptionisten replikerade ”Där finns en dator” och pekade på en av de offentliga datorerna i receptionen. Deltagaren satte in sitt nya USB minne, men misslyckades med att spara filen från mailen och frågade därför mig senare under dagen ”Kan vi se om du kan ta hem filen från min mail?” Vi testade och noterade att det gick bra, men när vi skulle spara den på hans USB minne hittades en trojan på stickan och datorn ville inte befatta sig med minnet något mer. En snabb upprepning av procueduren fast till min nya USB pinne istället, talade om för oss att trojan smittan inte kom via hans bifogade fil, utan via hans USB pinne. Som inte varit någon annanstans än i receptionsdatorn senden plockades ur förpackningen. Så, jag sade till i receptionen. Deltagaren som behövde skriva ut fick min pinne och själv sitter jag nu med en USB som min dator inte vill ta i med tång ens :) Vad kan vi då dra för lärdom av detta? Fixa dina utskrifter själv kanske? Får väl hoppas att konferensanläggningar generellt har en högre säkerhetsstandard? Någon som har några erfarenheter kring detta?

Handgranat?
Följande telefonsamtal utspelade sig mellan två säkerhetsbimbos för några dagar sedan
- Hej, har precis kommit från frissan, ser inte klok ut, vet du vad hon har gjort?
- Det ligger en handgranat här. På vår gård. Undrar om den är riktig? Vi lägger på så skickar jag en bild.
- Hej, nu har jag fått bilden. Usch, den ser riktig ut.
- Ja, den är kanske lite mindre än vad den borde vara. Har ju aldrig sett en riktig. Jag ska titta lite närmare.
- Nej gå därifrån! Den kan faktiskt vara riktig och smälla.
- Jag väntar tills det kommer någon att fråga.
- Ring polisen!
- Det känns dumt, tänk om det bara är en leksak. Vad ska de tro då? Bimbo…
Efter en stunds diskussion fram och tillbaka om vilken skyldighet man har och varför man borde ta det säkra framför det osäkra, ringer upphittaren polisen. De kommer farande och konstaterar snabbt att det är en leksak i plast, lite mindre och tillverkad så att plasten ska se ut som metall. Polisen tyckte att det var klokt att kontakta dem.
Men ska man verkligen behöva vända ut och in på frågan hur man ska göra i en situation där säkerheten kan ifrågasättas? Ska man behöva känna obehag för att kanske bli sedd som ”dum”?
Borde det inte vara en självklarhet för mig som anställd att meddela rätt instans om jag, mot bättre vetande eller av ren okunskap, har ställt till med något eller känner mig osäker på om jag gör rätt? Att inte behöva bli bemött med en suck eller få frågan ”vad har du gjort nu då?”. Att få supporten att inte bara rätta till det jag och mina kollegor ställt till med utan att också, med rätt attityd, vara med och skapa trygga medarbetare som vågar ställa frågor och berätta om sina eventuella misstag.





