Cybersecurity: The Age of the Megabreach

I november 2014 rystet et spesielt skremmende nettangrep bedriftsverdenen – noe som gikk langt utover hage-varianter tyveri av kredittkortnumre fra en storbutikk. Hackere, etter å ha utforsket de interne serverne til Sony Pictures Entertainment, fanget opp interne økonomiske rapporter, topplederes pinlige e-poster, private ansattes helsedata og til og med uutgitte filmer og skript og dumpet dem på det åpne nettet. Fornærmerne ble sagt av amerikansk politi å jobbe etter ordre fra det nordkoreanske regimet, fornærmet av en farsefilm selskapet hadde laget der en TV-produsent er fanget opp i et opplegg for å drepe landets diktator.

Resultatene viste hvor dypt flatfot dette store selskapet var. Hacket hadde pågått i flere måneder uten å bli oppdaget. Data som var avgjørende for selskapets virksomhet var ikke kryptert. Standard defensive teknologier hadde ikke virket mot det som ble antatt å ha vært et phishing-angrep der en ansatt klikket på en lenke som lastet ned kraftig skadelig programvare. Til sammen viste alt dette at mange av dagens teknologier ikke er tilstrekkelige, at angrep nå kan være mer aggressive enn noen gang, og at når brudd først oppstår, blir de verre av langsomme reaksjoner.

3,79 millioner dollar

Gjennomsnittlig kostnad for et datainnbrudd



Sony-hacket var ett i rekken av nyere datainnbrudd – inkludert mange megabrudd, der minst 10 millioner poster går tapt – som til sammen avslører svakhetene ved dagens cybersikkerhetstilnærminger og de økende implikasjonene for den globale økonomien. I 2015 ble U.S. Office of Personnel Management hacket, og avslørte 21,5 millioner poster, inkludert bakgrunnssjekker på millioner av mennesker – blant dem kopier av 5,6 millioner sett med fingeravtrykk. Senere på året fikk 37 millioner besøkende på Ashley Madison, en datingside for personer som søker utenomekteskapelige forhold, at de virkelige e-postadressene deres og andre data var frigitt. Tyveriet av data fra 83 millioner kunder til Wall Street-giganten J.P. Morgan, angivelig av et Israel-basert team som forsøkte å manipulere aksjemarkedet, avslørte skremmende muligheter for hvordan cyberangrep kunne undergrave finanssektoren.

Siden selskaper og andre organisasjoner ikke kan stoppe angrep og ofte er avhengige av fundamentalt usikre nettverk og teknologier, er det store spørsmålet for denne rapporten hvordan de effektivt kan reagere på angrep og begrense skaden – og ta i bruk smartere defensive strategier i fremtiden. Nye tilnærminger og nye måter å tenke på cybersikkerhet begynner å ta tak. Organisasjoner blir bedre til å oppdage svindel og andre angrep ved å bruke algoritmer for å utvinne historisk informasjon i sanntid. De reagerer langt raskere ved å bruke plattformer som varsler sikkerhetspersonalet om hva som skjer og raskt hjelper dem iverksette tiltak. Og nye verktøy dukker opp fra et blomstrende økosystem av oppstart av cybersikkerhet, finansiert av økende risikokapitalinvesteringer i området.

Men som hindrer fremgang overalt er den generelle mangelen på kryptering på enhetene og meldingssystemene som hundrevis av millioner av mennesker nå bruker. For nesten tre år siden, da National Security Agency-kontraktør Edward Snowden avslørte at etterretningsbyråer fritt benyttet seg av data lagret av de store Internett-selskapene, lovet mange av disse selskapene å gjøre mer for å kryptere data. De begynte å bruke kryptering på sine egne bedriftsservere, men de fleste brukere forblir eksponerte med mindre de vet å installere og bruke tredjepartsapper som krypterer dataene deres.

Alle disse tiltakene vil bidra til å beskytte data i dagens relativt usikre nettverk. Men det er klart at det helt grunnleggende om hvordan nettverksteknologi bygges må tenkes nytt og sikkerhet gis en sentral rolle. En ny nasjonal cybersikkerhetsstrategi forventes å kartlegge en FoU-plan for å sikre at programvare er verifiserbart sikker og at brukere vet når den ikke fungerer.

Det er en stor mulighet: Antall Internett-tilkoblede enheter – ikke inkludert smarttelefoner, PC-er og nettbrett – kan nå to milliarder på bare fem år. EN McKinsey-rapport for 2015 spår at dette vil bli en industri på flere milliarder dollar innen 2025. Alle disse nye enhetene vil gi en mulighet til å bygge ting robust fra starten – og unngå at de spiller en rolle i Sony-lignende hacks i fremtiden.

gjemme seg