Sådan arbejder Statens It med at stramme sikkerhedsskruen

Usikkerhed i backup, manglende kompetencer og manglende kontrol over brugeradgangen.

Det er blot nogle få af de områder, som Statens It i det seneste år er blevet kritiseret for flere gange af Rigsrevisionen og Finansministeriets interne koncernrevision.

Statens It har otte ministerier og godt 10.000 statslige brugere på sine systemer, 

Revisionerne mener altså på flere områder, at sikkerheden hos Statens It ikke har været helt tilfredsstillende i alle leder og kanter i 2014 og 2015, hvilket er taget til efterretning hos Statens It.

Informationssikkerhedschef hos Statens It, Vibe Vallentin Jensen, fortæller til Computerworld, at ud fra revisorernes kritik-liste er der nu kun to udestående punkter tilbage, som også vil blive løst inden længe.

Hun forklarer også, at to do-listen dermed ikke er færdig, så sikkerhedsfolkene hos Statens It nu kan læne sig tilbage og føle sig sikre.

“Vi bliver aldrig færdig med at arbejde med sikkerhed. Selvom vi skulle have gjort et godt stykke arbejde i dag, så skal vi i morgen igen være klar til at tænke fremadrettet om, hvordan vi beskytter os bedst muligt,” forklarer Vibe Vallentin Jensen til Computerworld.

Skal reagere lynhurtigt
Arbejdet med sikkerhed stikker da også noget dybere end revisorernes hævede øjebryn og efterfølgende to-do-lister for at bringe orden i sikkerheden.

For i sommers blev en af Statens It’s kunder ramt af et ondsindet ransomware-program, hvor bagmændene krævede løsepenge for at slippe grebet i data igen, efter de var kommet ind i systemerne via en 0-dagssårbarhed.

Læs også: Arbejdsskadestyrelsen på vej i fuld drift efter krav om løsepenge: “Vi har ikke betalt en krone”

Når den slags sker, skal it-afdelingen kunne reagere hurtigt.

Vibe Vallentin Jensen fortæller, at det tog 10 minutter at samle de ledende kræfter hos Statens It for at bekæmpe malware-bagmændene.

“Vi skal have evnen til at reagere hurtigt, når skaden er sket. Det sker igennem nedskrevne instrukser og klare processer, når beredskabsplanen træder i kraft,” fortæller hun.

Mere end en firewall
Udover en klar beredskabsplan består sikkerhedsarbejdet også af mere end firewall-konfigurationer, som ellers var det altoverskyggende sikkerhedsmodsvar til de fleste trusler for blot få år siden.

I dag har Statens It indført flere lag af sikkerhed både før og efter firewall’en.

“Før firewall’en overvåger vi blandt andet ændringer i trafikken for eksempelvis at modstå DDoS-angreb, mens vi efter firewall’en kan blokere for uønsket trafik og specifikke domæner, som vi løbende modtager informationer via opdateringer i vores software og fra tjenester, som vi abonnerer på,” forklarer Vibe Vallentin Jensen.

Lær fra netværket
Hun fortæller, at mens hackernes angrebsmetoder bliver mere og mere sofistikerede, har Statens It også indført interne auditeringer af sin sikkerhed, da den statslige it-leverandør i februar 2014 blev ISO 27000-certificeret.

“Det har blandt andet betydet, at sikkerhedsprocesser indgår helt naturligt i alle processer omkring den almindelige it-drift,” siger Vibe Vallentin Jensen.

Hun understreger desuden vigtigheden af, at Statens It som andre offentlige it-spillere deltager i netværksmøder med andre it-sikkerhedschefer for at holde sig ajour med de nyeste trusler og sikkerhedsforanstaltninger.

“Arbejdet med it-sikkerhed er the never-ending-story,” runder Vibe Vallentin Jensen af.

Læs også: 
Vigtig rapport afslører: Her er fire slemme it-fejl hos Skat