Hackere vil angribe Windows XP, mens statslig aflytning og nye typer udstyr giver nye udfordringer for it-sikkerheden.
Shehzad Ahmad, der er chef for DKCERT, skriver hver måned på Computerworld Online om aktuelle it-sikkerhedsspørgsmål. Kommentarerne bringes her, efterhånden som de udkommer.
Fremtidsudsigterne for it-sikkerhed er gode. Hvis man altså lever af at sælge it-sikkerhedsudstyr.
Derimod ser det skidt ud for alle os, der skal beskytte vores data og systemer mod uvedkommende.
I denne klumme giver jeg et bud på syv udfordringer, de sikkerhedsansvarlige kommer til at tage sig af i 2014.
Jeg har valgt ikke at komme ind på de mest oplagte, som går igen fra tidligere år. Det gælder for eksempel udfordringen med DDoS-angreb og at beskytte data i en verden med BYOD (Bring Your Own Device), smartphones og cloud.
Truslen vi endnu ikke kender
I år vil vi se udstyr af typer, vi ikke før har set. Måske bliver det inden for de såkaldte wearables – computere indbygget i briller, armbåndsure, tøj og sko.
De giver nye muligheder. Men de indebærer også nye risici.
Da vi gik ind i 2013, kunne ingen forudse, at Edward Snowden ville afsløre omfanget af NSA's overvågning og aflytning.
Det uventede bliver hverdag på internettet.
Så derfor er det en god ide ikke kun at beskytte sine it-aktiver mod kendte trusler. Tag udgangspunkt i, hvad I vil beskytte, og overvej, hvilke trusler der kan opstå.
Windows XP dør
Her er historien om en forudsigelig død: Efter den 8. april kan du ikke længere få sikkerhedsopdateringer til Windows XP.
Hvis der derefter bliver opdaget et alvorligt sikkerhedshul i styresystemet, kan hackere altså gå i gang med at udnytte det. Microsoft vil ikke lukke flere huller, men henviser i stedet til at opdatere til et styresystem, der ikke har 13 år på bagen.
Nogle sikkerhedsanalytikere mener ligefrem, at hackergrupper sidder på hidtil ukendte sårbarheder. De begynder først at angribe dem efter deadlinen i april.
Jeg anbefaler derfor, at virksomhederne prioriterer opgaven med at opgradere. Alternativt kan man adskille de Windows XP-computere, der ikke kan opdateres, fra det resterende miljø.
På verdensplan kører hver fjerde pc stadig Windows XP…
Afpresning
I 2013 blev mange forbrugere ramt af Cryptolocker og andre familier af såkaldt ransomware.
Ransomware er skadelige programmer, der krypterer filerne på pc'en. Offeret skal betale for at få nøglen til at dekryptere dem med.
Hidtil er den slags angreb mest gået ud over private.
Men jeg venter, at flere virksomheder bliver udsat for lignende afpresning. Fx forsøgte et par polske banditter sidste år at overtage halvdelen af et online casino ved at true indehaveren med DDoS-angreb (Distributed Denial of Service).
Overvågning
Vi har næppe set de sidste afsløringer fra Snowden og andre whistleblowers. Efterretningsvæsener og andre statslige aktører er blevet kendte og synlige aktører: De aflytter kommunikation og opsnapper data.
Afdækningen af hvor mange data de opsnapper, giver udfordringer for virksomhederne: De skal lægge strategier for, hvordan de beskytter deres informationer.
Det er ikke længere nok at beskytte mod tilfældige hackere. Nu skal man også beskytte mod organisationer med direkte adgang til de kabler og routere, der udgør internettet.
Jeg venter også afsløringer af flere typer malware (skadelige programmer), som viser sig at være udviklet af statsfinansierede organisationer.
Den slags fjender er svære at beskytte sig mod, fordi de har enorme ressourcer. Derfor gælder det om at identificere de it-aktiver, de især vil gå efter.
Så kan virksomheden prioritere indsatsen om at sikre netop dem.
Internet af ting
I DKCERT har vi tidligere advaret mod angreb på alt det udstyr, der ikke er computere, men som kan nås fra internettet. Men jeg venter, at det for alvor tager fart i 2014.
Hackere vil udnytte, at der sidder computerkraft i bredbåndsroutere, smart-tv, biler og fabrikssystemer.
Derfor skal it-sikkerhedsstrategierne udvides til at omfatte andre typer udstyr end computere og smartphones.
Bitcoin og virtuelle valutaer
Mod slutningen af året blev den virtuelle valuta Bitcoin kendt uden for de snævre nørdkredse, hvor den hidtil havde været brugt. Samtidig så vi de første angreb.
Jeg venter flere angreb, hvor tyve stjæler virtuelle penge. Og flere skadelige programmer vil indeholde funktioner til at generere virtuel valuta på ofrenes pc'er.
Styr på sårbarhederne
De fleste angreb udnytter sårbarheder. Ofte kunne de være undgået, da der i mange tilfælde findes sikkerhedsrettelser (patches), som lukker hullerne.
Men det er vanskeligt at finde tid og ressourcer til patch management.
Det bliver også en udfordring i 2014: De sikkerhedsansvarlige bliver nødt til at prioritere indsatsen, hvis de vil undgå at blive ofre for angreb, der kunne være afværget.
God arbejdslyst i 2014!
Oprindelig offentliggjort i magasinet Computerworld og på Computerworld Online den 17. januar 2014