Disse tre trends skal sikkerhedsfolk have styr på

En million it-sikkerhedsfolk. Så mange mangler der på verdensplan.

Ok, jeg er ikke sikker på tallet, selv om Cisco skriver det i sin seneste årsrapport om sikkerhed, som du kan læse her.

Firmaet angiver ikke, hvordan det er nået frem til præcis det tal.

Derimod er jeg ikke i tvivl om, at der er mangel på it-sikkerhedsfolk – og at der bliver brug for endnu flere.

Men de skal ikke nødvendigvis kunne det samme, som sikkerhedsfolk hidtil har beskæftiget sig med.

Modstanderne er dygtigere
Mængden af sikkerhedshændelser stiger år for år.

Det oplever vi i DKCERT, og jeg hører det samme fra vores kolleger i ind- og udland.

Samtidig er angriberne blevet mere professionelle.

I gamle dage kom mange angreb fra folk, der afprøvede tekniske grænser. I dag er penge drivkraften bag hovedparten af it-kriminaliteten.

Hackere og malware-bagmænd gør sig megen umage for at slippe igennem forsvarsværker og undgå at blive opdaget. Fordi it-kriminalitet i dag udgør en sort økonomi, er de kriminelle blevet mere professionelle.

Det stiller krav til os på den anden side: Vi skal blive endnu bedre til at forhindre angreb og opdage dem hurtigt, når det ikke lykkes.

Derfor har vi brug for flere sikkerhedsfolk.

Væk fra teknologien
For 15 år siden var en it-sikkerhedsmand gerne en, der kunne konfigurere en firewall og administrere en antivirusløsning.

De evner er der stadig brug for. Men nye teknologier giver nye udfordringer.

Mange virksomheder lægger dele af deres it ud i skyen. Det giver ofte gevinster for sikkerheden: Nu bliver deres data beskyttet af en stor cloud-udbyder, som har mange kunders data at tage vare på.

Sikkerhedsspørgsmålene er de samme, som sikkerhedsansvarlige hele tiden har skullet besvare: Er der fx styr på backup og adgangskontrol?

Forskellen er, at de er kommet længere væk fra processen: Den sikkerhedsansvarlige kan ikke bare installere en firewall hos udbyderen af en SaaS-løsning (Software as a Service).

Derfor er der brug for nye kompetencer.

Sikkerhedsfolkene skal stadig kunne gennemføre en risikovurdering og finde frem til fornuftige forholdsregler. Men selve det udførende arbejde ligger hos cloud-udbyderen.

Så den sikkerhedsansvarlige skal blive god til at læse en kontrakt – og rette i den, hvis den ikke lever op til virksomhedens ønsker om sikkerhed.