Bliv ikke forstyrret når du køre bil med din iPhone

I den nye iOS 11 til iPhone og iPad, som frigives i løbet af september, vil der være en “køre-bil” funktion, som man kan sætte til automatisk og aktivere når iPhone’en forbinder sig til bilens bluetooth, som gør at den ikke viser modtagne besked, og sender afsender en besked,  om at man køre bil og ser beskeden når man er fremme.

Bestyrelse og IT-sikkerhed

Bestyrelse og IT-sikkerhed

I de næsten 25 år jeg har været selvstændig og ejer af 2 virksomheder, begge med professionelle bestyrelser, har IT-sikkerhed ikke været et fast punkt på bestyrelsesmøderne. Men de seneste års succesrige angreb på såvel store som mindre virksomheder, og i nogle tilfælde med milliardtab som konsekvens, har det fået såvel topledelsens som bestyrelsens opmærksom. Så jeg er sikker på at hvis ikke din bestyrelse har det som fast punkt på dagsordenen, så vil det komme inden for kort tid.

Har bestyrelser kompetencer indenfor it-sikkerhed?

Næppe, -de fleste bestyrelser er vant til at se på tal og drøfte strategier, men de har ingen ekspertise indenfor IT-sikkerhed

De kan vel bare spørge i IT?

Helt sikkert, -bortset fra at IT-sikkerhed ikke altid er den interne it-afdelings styrke. Dernæst skal man for at kunne spørge og forstå svaret, også selv være kvalificeret.
Mange bestyrelsesmedlemmer har forstand på økonomi, strategi og ledelse, men har ikke den store tekniske sikkerheds forståelse.

Hvad er udfordringen?

Vellykkede hacker angreb, kan koste livet for en virksomhed ligesom dårlig økonomi, og det er derfor en bestyrelses pligt, at have det som en fast agenda til bestyrelsesmøder.

Hvad er næste skridt?

Hvis du er enig i at it-sikkerhed nu er en fast del af bestyrelses agendaen, på samme måde som budgetopfølgning, strategi med mere, ja så skal der en it sikkerheds kyndig person ind i bestyrelsen, som forstår og kender virksomheden og dens risikoappetit.

Jeg har aldrig haft et defineret mål

Jeg læser konstant om hvordan folk fortæller de har et mål.. men når jeg tænker på mit liv, har jeg aldrig haft et mål

Jeg læser konstant om hvordan folk fortæller de har et mål.. men når jeg tænker på mit liv, har jeg aldrig haft et mål. Der er rigtig mange ting jeg gerne vi, men hvis det ikke skete, er det ok. Jeg ser ikke tilbage på at det var en katastrofe jeg ikke nåede dem.

Jeg konstant på udkig efter nye områder, jeg prøver og udvikle såvel mig selv som dem jeg er sammen med både privat og i mit arbejde, og ikke mindst optimere arbejdsgange og se nye muligheder. Men jeg sætter aldrig definerede mål. Det er bare ikke måden jeg fungere på.

Problemet med mål, er at når de er nået hvad så, nyt mål? Jeg syntes ikke min verden fungere på den måde, tværtimod.

Mit arbejdsliv har også været uden målsætninger. Efter skole arbejde jeg i en radio forretning med salg, men den havde problemer, så jeg var pludselig på min fars autoværksted, og blev så udlært automekaniker. Salg trak i mig, så jeg blev sælger inden for motorolie, så blev der en stillig ledig hos Ginge plæneklipper, så pludselig spurgte min svigerfar om jeg ville ind i it-branchen. I 1994 købte jeg Tempest og de næste 10 år udviklede forretningen sig hvert eneste år, i 1999 var der nogle medarbejdere i Tempest der kom med forslag om Managed Firewall overvågning, som resulterede i at eSec blev en realitet. Tempest blev solgt i 2004, fordi der var nogle konkurrenter som syntes det passede i deres forretning, eSec blev solgt i 2014.

Hverken Tempest eller eSec havde en målsætning om et salg, men om at begge forretninger skulle være sunde forretninger med sund vækst og ikke mindst overskud. Man kan sige målet blev nået, da både Tempest eSec var succesfulde med overskud alle årene.

Jeg er nu efter 23 år som selvstændig blevet funktioner, og har stadig ikke nogen målsætning, men en klar holdning til at de forretninger man laver, skal have mindst 2 vindere, køber og sælger.

iPhone ramt af kritisk sårbarhed

Stagefright var i 2015 en kritisk Android sårbarhed, der potentielt betød, at 1 milliard Android telefoner kunne aflyttes efter inficering ved hjælp af en MMS besked.
iPhone og Mac brugere, er nu ramt af en tilsvarende sårbarhed som Stagefright.
Kort fortalt kan en angriber sende en MMS indeholdende en bestemt billedfil, som efter modtagelse vil blive afviklet og inficere enheden uden brugerens viden. Man kan også blive inficeret blot ved besøg på en hjemmeside med Safari browseren.
Konklusioner er, at hvis ikke du har opdateret, er du formentlig sårbar, og selvom iPhone’s sandboxing teknologi gør at det “kun”, er besked appen der er inficeret, kan der jo være en del private data man ikke ønsker andre skal se.

Hvad bør jeg gøre?

  • Opdater din Mac til 1o.11.6 via Appstore
  • Opdater din iPhone til iOS version 9.3.3
    ios-9.3.3-1.png (447×389)
  • De-aktiver modtagelse af MMS beskeder, ved faktisk ikke hvornår jeg har modtaget en sidst.
    MMS-disable.png (447×442)

2 ting der øger din sikkerhed

Adobe Flash annoncerede 13. juli 2016 en opdatering af deres software, hvor de lukker 50 sikkerhedshuller. Det er jo dejligt at Adobe finder disse sårbarheder og udsender en opdatering til brugerne, men problemet er at Adobe Flash er en plugin som kører i browseren, og som kan resultere i at en enhed bliver inficeret bare ved besøg på en hjemmeside. Den kendte sikkerheds blogger Brian Krebs har på sin blog Krebs on Security nok udtryk det mest præcist.

It’s bad enough that hackers are constantly finding and exploiting zero-day flaws in Flash Player before Adobe even knows about the bugs.  The bigger issue is that Flash is an extremely powerful program that runs inside the browser, which means users can compromise their computer just by browsing to a hacked or malicious site that targets unpatched Flash flaws.

Brug de næste 5 minutter:

På at fjerne Flash,   i det mindste prøv uden Flash i 1. måned, for at se om ikke den kan undværes. Adobe har vejledninger til afinstallation af Flash Player i Windows og afinstallér Flash Player for Mac OS

eller opdater Flash

Hvis ikke du mener det er muligt at “leve uden” Flash, så skynd dig og check om du bruger nyeste version via  Adobe Flash Player Download

Java

En anden software der anvendes ved angreb, er Java. Så når du nu er igang med at afinstallere software, så overvej om ikke du kan undvære Java. NemID var jo en af årsagerne til at have Java installeret,  men det er ikke et krav mere, så afinstaller  Java Windows og afinstaller Java Mac

Gjorde du ovenstående, og huskede du også dine private enheder…og venners?

Hvorfor har jeg brug for en Secure Web Gateway Gateway?

De seneste års øgede brug af cloud-services som Office 365, Salesforce, Google, den mobile bruger og den øgede sikkerhedsrisiko har betydet at Secure Web Gateways har fået helt nye roller i forhold til beskyttelse af virksomheden, optimering af brugeroplevelsen og indsigt i den samlede sikkerhed

Produktivitet

Hidtil har det meste af virksomhedens kommunikation fundet sted på selve netværket bag sikkerhedsmuren, kendt som perimetersikkerhed. Når man eks. sendte en e-mail med en vedhæftet fil til en gruppe af personer, så var det lokal trafik, og hvis virksomheden var global, var det via MPLS eller VPN. Men når man anvender cloud-service som Office365, så skal e-mails først ud til servicen, for bagefter at blive hentet af hele gruppen. Dertil kommer, at de samme brugere anvender dokumenter, Sharepoint og Salesforce, der også er ude i skyen, så internettrafikken bliver pludselig mangedoblet. Og hvor man før havde sin interne Gigabit Lan-trafik, så skal man nu dele internetadgangen med alle de andre brugere, cloud-applikationer og den hardware, som giver adgangen til internettet.

Sikkerhed

Klienterne er den største trussel mod de fleste virksomheder. Hvis du deltog på Dubex Security & Risk Management Update i maj 2015, vil du også have hørt flere af talerne fortælle, at sikring af klienterne ligger meget højt på prioriteringslisten. Angriberne ved godt, at brugerne oftest er det svageste led i virksomhedens sikkerhed og angreb via besøg på websites eller phishing-mails er stadig de mest anvendte angrebsmetoder, blandt andet fordi den nuværende beskyttelse med signaturbaseret antivirus ikke kan hamle op med de mange nye malware varianter. Dertil kommer at krypteret webtrafik (SSL) i dag udgør 30-40% af den samlede internettrafik i flere virksomheder. Det ved angriberne også og derfor foregår en del klientangreb i dag også via krypteret trafik.

Politikker

Det er ikke specielt dansk at begrænse sine brugere med hensyn til hvilke hjemmesider de må besøge eller hvilke applikationer, såsom Facebook, Twitter, Dropbox, Youtube etc., de må bruge. Flere og flere virksomheder vil imidlertid gerne have lidt styr på dette og derudover kan der i andre lande også være krav om at man beskytter sine brugere mod bestemte sites med eksempelvis porno eller lignende.

Indsigt

Den mobile bruger er kun bagved virksomhedens perimeter ca. 50 % af tiden, og udgør blandt andet derfor en større og større trussel. Derfor er det vigtigt, at vi kan beskytte vores klienter og data uanset hvor de befinder sig, og ikke mindst at vi via en samlet platform kan se hvad der foregår i realtid.

Samme sikkerhed om virksomheden er stor eller lille

Tidligere var det de store virksomheder med de store budgetter, der købte de store it-sikkerhedsløsninger, baseret på appliances, som skulle vedligeholdes, opdateres og driftes. Så ud over prisen på enheden var driftsudgifterne også uden for rækkevide for mindre og mellemstore virksomheder, som dermed fik en lavere og dårligere sikkerhed. De nye cloud-baserede løsninger tilbydes pr. bruger, kræver ingen drift og uanset virksomhedens størrelse, kan man abonnere på samme service.

Gode råd når du skal vælge en Secure Web Gateway-løsning

  • Den skal kunne følge brugeren uanset hvor vedkommende befinder sig.
  • Politikker og sikkerhed skal følge brugeren.
  • Der skal være én samlet portal for poltikker, rapportering og søgning
  • Løsningen skal kunne tjekke krypteret SSL-trafik.
  • Der skal være lokale datacentre tæt på de lokale internetadgange.
  • Løsningen bør udover standardsikkerhed kunne understøtte adfærdsanalyse (ift. APT) og DLP.
  • Løsningen bør kunne integreres med en SIEM-løsning

3 gode råd mod password tyveri du kan implementere nu!

Alt tyder på at hackere har samlet op mod 5.0 mill Gmail brugernavne og passwords i en fil, som nu er tilgængelig via download. Google siger at det ikke skyldes et indbrud hos dem, men at de formentlig er stjålet over lang tid fra andre web sites.

Hvorfor er det ekstra slemt når de får din email?

Fordi mange hjemmesider tilbyder at sende dit glemte password til din email adresse. Har man først adgang til denne, kan man hurtig overtage din identitet, dine konti såsom Facebook, Instagram, Twitter -ja alle steder der bruger denne metode. Som regel vil de også have ændret dit email password, og så du kan bare sidde og se til, medens de boltrer sig med din identitet.

3 gode råd til at sikre dine konti:

  • Genbrug aldrig password’s! Installer en password manager, som hjælper dig med at generere og huske engangs password pr. site, såsom LastPass1Password (sidstnævnte bruger jeg på alle enheder også iPhone & iPad)
  • Aktiver 2-faktor authentikation! Det betyder at udover password skal man også indtaste en kode, som ofte kommer som SMS på din mobil, når du logger ind. Så i dette tilfælde kræver det at angriberen både har dit password og din mobil. De fleste større web services tilbyder denne funktion, såsom Apple, Gmail, Facebook, Twitter, Dropbox, Evernote og Linkedin. Den engelsksprogede hjemmeside Lifehacker har en artikel der beskriver hvordan man aktiverer 2-faktor authentikation på websites.
  • Aktiver adgangs kode på din Smartphone! Så kan man ikke få adgang til disse data.