Cyberzombier

1. Tænk før du klikker

Links, vedhæftede filer, apps, QR-koder m.v. kan lede til skadelige sites, som kan udgøre en risiko for organisationen, hvis medarbejderne klikker. Medarbejderne skal derfor tænke sig om, før de klikker.

Der er masser af lokkemad på nettet. I vores organisation bliver vi daglig udsat for uvedkommende og ondsindedes forsøg på at få adgang til vores udstyr, systemer, infrastruktur og data. De ondsindede kan forsøge at få adgang ved at prøve at hacke os og udnytte sårbarheder i vores setup til at komme ind. Det kræver meget teknisk viden, og det kræver, at der er sårbarheder, vi ikke selv har opdaget. Det er typisk meget nemmere at prøve at snøre en ansat ved f.eks. at hævde, at statsministeren har udskrevet valg, stille krav om at melde ferie ind på et illegitimt link, eller advisere om at en sportsudøver er kommet til skade og udgået af en konkurrence.

I IT-sikkerhedsterminologien er det dit udstyr, der bliver til en zombie. Men i praksis skal du tænke på den ondsindede person, som styrer din computer, som værende zombien. Zombien bliver den klamme fætter, der owner dit udstyr og med det forsøger at afsløre vores kunders data, smadre vores og andres infrastruktur og blotte vores kolleger. Når du beslutter, om du skal klikke på et link eller en vedhæftet fil, er det i det øjeblik, det afgøres, om zombien lukkes ind eller ej. Du kan begrænse de ondsindede bagmænds muligheder for at gøre dit udstyr til en zombie ved at være opmærksom på følgende:

• Vær altid skeptisk, når noget ser for godt ud til at være sandt
• Vær skeptisk når du bliver bedt om at logge ind
• Vær skeptisk når du bliver bedt om data
• Kommer mailen fra en legitim mailadresse?
• Er den hjemmeside du lander på legitim?
• Kan en vedhæftet fil eksekveres?
• Sættes du under pres for hurtigt at agere og dermed nå at tænke mindre?

Du kan blive opfordret til at klikke på skadelige links eller filer mange forskellige steder: i din mail, på internettet, i sms’er, i apps eller på QR-koder ved busstoppestedet. Du skal derfor via alle kanaler vurderer om du bør klikke.

2. Lås din computer, når du går fra den

En åben computer er som en uløst dør. Uvedkommende kan få adgang til at hvad der er bag døren eller på computeren. Medarbejderne bør låse deres computer, når de går fra den – ligesom de låser deres hus eller bil.

Når din computer står åben, er der åbnet helt op ind til organisationens digitale hjerte. Det er nødvendigt for, at alle medarbejdere kan få adgang til de data og systemer, de har behov for, for at udføre deres arbejde.

Derfor er det vigtigt, at du holder godt øje med den adgang, som du med din bruger på organisationens systemer, har åbnet. De, der vil os det ondt, bliver stadig mere frække og nærgående og bruger mange forskellige teknikker i kombination for at få adgang.

Du kan ikke holde øje med din computer og dermed adgangen til vores systemer, når du går fra den – derfor skal du låse den:

1. Når du har låst din computer, forhindrer du, at uvedkomne og uautoriserede personer får adgang til vores netværk, systemer og data.
2. Når systemer og data kun er tilgængelige for dem, som organisationen har givet rettigheder, sikrer vi fortrolighed – herunder om kolleger og kunder – og undgår datatyveri.
3. Tilsvarende sikrer vi, at de fortrolige eller følsomme oplysninger kan beskyttes med de bedst tænkelige tiltag.
4. Når uvedkommende ikke har adgang via en medarbejder-PC, er der lukket af for, at uvedkommende kan installere forskellige ondsindede programmer eller starte cyberangreb. Du skal bare vende ryggen til i 30 sekunder, så kan du være inficeret med et script kørt fra USB.
5. Du har ansvaret for din bruger – herunder at uvedkommende ikke kan tage kontrol med den og f.eks. sende mails eller ondsindede kommandoer, mens de giver sig ud for at være online med din identitet.
6. Du beskytter også din private online identitet på dine private tjenester f.eks. SoMe og forhindrer adgang til data, der kan bruges til at afpresse dig.

Sådan gør du!

Det er superhurtigt at låse sin computer: Klik på Windows-tasten og på L samtidig, så er computeren låst. Hvis du sidder på en Mac, skal du klikke på Control og Command og Q samtidig. Du kan selvfølgelig også bruge musen i startmenuen på Windows til at låse computeren.

Du skal være opmærksom på, at der er stor forskel på at låse og logge af.

Når du låser, ”fryser” du din brug af computeren for uvedkommende, men alt, hvad du har startet op og åbnet, er stadig aktivt, når du logger ind igen. Det tager kun et splitsekund at logge på og have adgang til alt.

Når du har logget af, vil du typisk have lukket alle programmer ned og desuden logget din bruger af maskinen, således at der ikke længere er rettigheder til at tilgå netværk, systemer og data. Det tager lige så lang tid at komme i gang med arbejdet igen, som det sædvanligvis tager, når du logger ind om morgenen.

Vi beder om, at du låser din pc, når du ikke har opsyn med din computer

Det er ikke kun, når du befinder dig på vores lokationer, at du skal være opmærksom på disse forhold. De samme hensyn til at beskytte organisationen ved at låse din computer, når den ikke er under opsyn, gælder også derhjemme, på hotelværelser og andre steder, hvor din bruger etablerer adgang til organisationen.

Vanens magt

Der er meget vane forbundet med at huske at låse sin computer. Du skal prøve at gøre det til en vane, at du låser din computer, så snart du bevæger dig så langt væk, at du ikke kan se og bevare kontrol med din computer. Prøv at tænke på organisationens computer, som du tænker på din egen fysiske pengepung. Hvor langt ville du bevæge dig væk fra den? Hvor længe ville du lade den ligge frit fremme uden at kunne se om, nogen fik kontrol med den?

Beskyt dig selv privat

Den gode vane kan også bruges i privaten. Lås dit udstyr, når du ikke bruger det og har kontrol med det. Log af de tjenester du ikke længere bruger, så forbipasserende ikke kan få kontrol med dine tjenester.

3. Hold data i organisationens systemer

Organisationen har sat en masse foranstaltninger op omkring sine systemer, sådan at data er godt beskyttet. Når data flyttes ud af systemerne – f.eks. til en ikke godkendt tjeneste – beskyttes data ikke på den fastlagte måde. Det er potentielt en stor risiko.

Vi beskytter vores systemer, tjenester, data og infrastruktur efter alle kunstens regler. Vi styrer brugere og rettigheder, vi opdaterer sikkerhedshuller, vi logger, vi tager backup og mange andre ting. Vi har lagt lag på lag af sikkerhed for at beskytte systemer og data mod de forskellige typer af angreb, som vi forventer, at organisationen udsættes for.

Hvis data flyttes ud af systemerne, flyttes de også udenfor alle eller nogle af de lag af tekniske foranstaltninger, vi har opbygget. Det udgør en risiko for vores kunder og vores forretning. Udover at håndtere risikoen er vi desuden underlagt en række sikkerhedskrav fra lovgivning, som vi opfylder gennem de foranstaltninger, vi har iværksat. Det er derfor både ud fra en sikkerhedsmæssig og en compliancemæssige betragtning vigtig, at de data, som hver enkelt ansat har adgang til for at udføre sit arbejde, bliver i de systemer, som det er meningen, de skal være i.

Det betyder, at medarbejderne skal være opmærksomme på bl.a. ikke at lagre data:

• I ikke-godkendte tjenester på nettet
  Det kan være fristende at få hurtig adgang til en eller anden funktionalitet som f.eks. at splitte en pdf-fil i to, hvis man ikke på forhånd har den funktionalitet på sin PC. Men når man bruger sådan en tjeneste på nettet, vil tjenesteudbyderen typisk opbevare en kopi af dokumentet. Dermed kommer kundedata måske i uvedkommendes hænder, hvilket vil udgøre en risiko for kunden. Videre kan der ske en overførsel af data ud af EU, hvilket ofte vil være et compliance brud.
• På USB
  USB’er har det med at blive brugt til både arbejdsmæssige og private forhold, blive lånt ud til børnene, blive tabt, blive glemt i bussen eller i den PC, hvor man har givet en præsentation. USB’er typisk ikke krypterede, så uvedkommende, der får fat i en USB, får typisk adgang til data i klartekst og kan misbruge data.
• På tilfældige steder
  Vi har alle en tendens til at gemme data, vi lige arbejder med, på skrivebordet eller på et netværksdrev. Ulempen, ved at tage data ud af systemer og gemme dem her, er, at vi glemmer at slette dem igen, når vi har opfyldt formålet med at behandle dem. Det er derfor bedst at holde data i systemerne og hvis de skal kopieres ud, så huske at slette dem igen. Dette er særligt vigtigt for personoplysninger og følsomme data.

Derfor skal du huske at lade data ligge i organisationens systemer. Hvis du absolut har brug for at trække data ud, så husk at slette dem igen, når du er færdig med din opgave. Har du brug for ekstra funktionalitet så tag fat i IT-support og hør om mulighederne for at få adgang til et godkendt program eller en godkendt tjeneste, der kan opfylde dit behov. IT-support kan i mange tilfælde også hjælpe med at give adgang til organisationens systemer når du er på farten eller hjemmefra.

4. Vær kritisk overfor kilder og budskaber på nettet

Du bliver udsat for masser af digitale forsøg på at snøre dig, udøve indflydelse på dig og manipulere dig. Bare fordi noget er landet i din indbakke eller står på internettet, behøver det ikke være sandt. Du skal derfor være kritisk overfor dine kilder – både privat og når du er på arbejde.

De, der vil vores organisation det ondt, elsker, når du stoler på deres svindel og falder for deres forsøg på at snøre dig, udøve indflydelse på dig og manipulere dig. Bare fordi noget er landet i din indbakke eller står på internettet, behøver det ikke være sandt. Du skal derfor være kritisk overfor dine kilder – både privat og når du er på arbejde.

Manipulation er ikke noget nyt

Et klassisk forsøg på at skabe løgne er holocaust-benægtelsen – altså et forsøg på at underminere den sandhed det er, at nazisterne under anden verdenskrig udryddede millioner af jøder i koncentrationslejre. Dette sker ved at så tvivl om ægte kilder, udbrede falsk statistik, forskyde ansvaret fra nazister til jøder, give indtryk af at mange og troværdige kilder deler synspunktet, osv.

Dansk case

I Danmark har vi set flere eksempler på politisk manipulation. F.eks. er der gennem manipulative kampagner forsøgt at øge spændingerne mellem USA og Danmark i forhold til Grønland. MF Karsten Hønge fra SF skulle angiveligt have lavet et opslag om, at Danmark ikke vil finde sig i, at Grønland river sig løs fra Danmark og bedt Rusland om hjælp til at pacificere USA. Det har ingen grad af sandhed på sig, og Karsten Hønge var hurtigt ude og dementere. (Kilde SF-politiker bliver misbrugt i russisk propaganda – det skal tages alvorligt, siger ekspert | Politik | DR) Med sådanne kampagne forsøger udenlandske aktører at manipulere med det danske demokrati.

Kendisser

Tilsvarende har man set kampagner, hvor kendisser er blevet brugt til manipulative formål – f.eks. mhp at få folk til at investere i Bitcoins eller mhp. at trække ekstra trafik til et site (Kilde TV 2-vært misbruges i falske annoncer, men de bliver ikke fjernet – TV 2). Lovescam, romance scam eller datingsvindel er en særlig kategori af svindel, hvor man udnytter det forhold, at nogle mennesker er ensomme og søger kærligheden og derfor psykisk er lettere at manipulere med, fordi de håber at finde den eneste ene. Over længere tid opbygges et online tillidsforhold og måske seksuelt forhold, hvorefter den ondsindede person forsøge at lokke penge ud af sit forelskede offer (kilde: Kærlighedssvindel og romance scam – undgå svindel ved dating).

Phishing

Phishing er også en form for manipulation, hvor en ondsindet aktør f.eks. kompromitterer en af vores kunder og giver sig ud for at være vedkommende og bestiller varer på kredit. Her udnytter den ondsindede aktør, at vi over tid har opbygget et tillidsforhold til kunderne, og derfor stoler på mails vi modtager fra dem. Hvis den ondsindede aktør har kompromitteret kunden, kan der være adgang til afsendte mails, og dermed kan den ondsindede person se, hvem der kommunikeres med og hvordan. Det bliver derfor nemt at give sig ud for at være en kendt kunde.

Kunstig intelligens

Med kunstig intelligens er det blevet meget lettere hurtigt at lave meget troværdigt udseende falsknerier. Man kan forfalske billeder, skrift, layout, lyd, film med få museklik og uden særlige kompetencer. Dette benyttes af professionelle trolde-hære som tjener store penge på at manipulere med folk – herunder bl.a. med det formål at tjene penge, skabe spild eller underminere tillid til demokratiske institutioner (Kilde Hun afslørede Putins propagandamaskine – og blev selv et offer for hans troldehær | Mørklagt | DR). Man kan også bruge AI til at forfalske politiske budskaber, som f.eks. i denne falske tale, hvor præsident Zelenski fra Ukraine angiveligt overgiver sig til Rusland Deepfake video of Volodymyr Zelensky surrendering surfaces on social media – YouTube. Ved at bruge disse nye teknologiske muligheder, forventer IT-sikkerhed at der over de næste par år vil ske en betydelig stigning i forsøg på at manipulere med os alle. Der vil også ske flere forsøg, hvor AI er anvendt f.eks. mhp. at udgive sig for at være samarbejdspartnere og kræve noget af os.

Kan du manipuleres? Test dig selv!

På YouTube ligger der to fine film af Præsident Nixon’s reaktion til nationen, efter USA som de første var landet på månen. Hvis du kan din verdenshistorie, er du ikke tvivl om, hvilken film der er ægte. Men hvis du ikke kan, er du udfordret. Prøv at se om du kan bestemme, hvilken af de to videoer, der er den ægte.

Nixons tale til nationen 1 In Event of Moon Disaster – FULL FILM, spol frem til 4:32 ellers bliver det afsløret om dette er den sande eller falske udgave.

Nixons tale til nationen 2 President Nixon talks to Apollo 11 astronauts on the moon

Prøv dem også gerne på dine børn.

Vær årvågen

Som du kan se ud fra ovenstående, kan det være meget vanskeligt at genkende de falske og manipulerende budskaber.

• Er historien for god til at være sand (clickbait)
• Prøv at afklar, om et website er ægte eller klonet – er farven, logoet, font’en, stilen den fuldstændigt samme som du kender?
• Hvem er kilden? På Facebook kan hvem som helst skrive hvad som helst. På officielle nyhedsmedier som dr.dk eller politiken.dk, er artikler faktatjekket af eksperter og underlagt presseetiske krav til sandhed
• Vær opmærksom på hvad du føler når du ser eller læser noget – føler du lyst til straks at klikke så lad være
• Hvad vil afsenderne opnå? Penge? Data? Skabe mistillid og splittelse? Underminere en institution eller person?
• En større mængde indlæg som støtter samme sag eller emne på sociale medier, gør ikke indlægget sandt.
• Være tilbageholdende med at dele. Det kan være kriminelt.

Hvis du vil vide mere

Hvis du vil læse mere om dette emne, kan denne artikel fra Dansk Institut for Internationale studier anbefales: Trolde i dit feed – russisk desinformation.

Videre har EU Kommissionen også lavet et fint site, der fortæller om hvordan man kan spotte fake news: Vær årvågen på nettet: kan du spotte informationsmanipulation?

Tjek også tjekdet – Danmarks uafhængige faktatjekmedie.

5. Luk ikke uvedkommende ind

Holder du døren for uvedkommende? Uvedkommende kan forsøge at følge efter dig ind på arbejdspladsen og på den måde få fysisk adgang. Ligesom du ikke ville lade nogen uvedkommende følge efter dig ind i dit hjem, kan det udgøre en risiko for din organisation, hvis du lader uvedkommende følge dig ind. Det er misforstået høflighed.

Hvad er tailgating?

Uvedkommende kan få adgang til sikrede områder på, ved at snyde, charmere eller virke autoritær overfor organisationens ansatte. Dette kaldes tailgating.

Tailgating sker, når en person følger med gennem en dør, port eller adgangskontrolleret zone uden selv at bruge gyldigt adgangskort eller være registreret som gæst. Det kan for eksempel være, når:

• en person følger lige efter dig gennem en adgangsdør
• nogen siger “jeg har glemt mit kort”
• en ukendt person beder dig holde døren
• en person der hævder at være leverandør, håndværker eller gæst går med ind uden ledsagelse flere personer går ind på ét adgangskort

Det kan virke uhøfligt ikke at holde døren. Men i sikrede områder er det faktisk det rigtige at gøre, så det er i overensstemmelse med de zoner, vi har oprettet. Fysisk sikkerhed handler ikke kun om låse, adgangskort og kameraer. Det handler også om vores adfærd i hverdagen.

Hvorfor er det vigtigt?

Hvis uvedkommende får adgang til vores sikrede områder, kan det føre til tyveri, adgang til fortrolige oplysninger, manipulation af udstyr, brud på persondatasikkerheden eller driftsforstyrrelser.

Hvad skal du gøre?

Brug altid dit eget adgangskort, når du går ind i en sikret zone.

Lad ikke andre følge med ind på dit kort — heller ikke kolleger, leverandører eller personer, du tror hører til.

• Hold øje med om personen bag dig selv bruger adgangskort.

Spørg venligt, hvis du er i tvivl:

• “Hej, vil du ikke være sød at bruge dit eget adgangskort?” eller
• “Jeg må desværre ikke lukke andre ind på mit kort. Du skal lige registreres.

Det handler ikke om mistillid

Det kan føles lidt akavet at stoppe en person ved døren. Men det handler ikke om at mistænkeliggøre andre. Det handler om at passe på vores organisation. En legitim medarbejder eller gæst vil forstå, at vi følger sikkerhedsreglerne. En uvedkommende vil ofte forsøge at udnytte venlighed, travlhed eller usikkerhed.

Husk de tre enkle regler

Ét kort – én person. Ingen må gå ind på dit adgangskort.

Ukendt person? Spørg venligt. Det er bedre at spørge én gang for meget end én gang for lidt.

Gæster skal registreres og ledsages. Gæster må ikke færdes alene i sikrede områder.

6. Brug kun godkendte programmer og tjenester

I vores organisation må vi kun bruge de programmer og tjenester, som vi selv har godkendt og stillet til rådighed. Det handler ikke om at gøre hverdagen besværlig. Det handler om at beskytte os selv, vores kunder, leverandører, medarbejdere og forretning.

Det kan virke harmløst at bruge en gratis tjeneste på nettet til at oversætte en tekst, konvertere en PDF, rydde op i et Excel-ark, lave et billede, transskribere et møde eller få hjælp fra en AI-chatbot.

Men når du uploader din organisations data til en tjeneste, som organisationen ikke har godkendt, mister vi kontrollen med, hvor data ender, hvem der kan se dem, hvor længe de gemmes, og om de bruges til ondsindede formål imod organisationen. Det gælder også, selvom tjenesten ser professionel ud, er gratis, eller dukker op øverst i en Google-søgning.

Hvad er risikoen?

Når du bruger en ikke-godkendt tjeneste, kan du utilsigtet komme til at dele: Kundedata, leverandøroplysninger, priser, tilbud, kontrakter, medarbejderoplysninger, interne dokumenter, adgangsoplysninger, tekniske oplysninger eller andre informationer, som ikke hører hjemme uden for organisationen.

Problemet er, at organisationen ikke har vurderet tjenesten. Vi ved derfor ikke:

Om data lagres sikkert, om data sendes uden for EU, om leverandøren bruger data til egne (ondsindede) formål, om der findes en databehandleraftale, om tjenesten sletter data igen, om tjenesten har tilstrækkelig sikkerhed, eller om tjenesten i virkeligheden drives af kriminelle.

Gratis tjenester er sjældent gratis i praksis. Betalingen kan være vores data, vores dokumenter, dine loginoplysninger eller adgang til din computer.

Vores regelsæt kræver, at nye IT-systemer, leverandører og tjenester vurderes, før de tages i brug. Det gælder blandt andet mht. sikkerhed, behandling af personoplysninger, leverandørforhold, databehandleraftaler, lagringssted, adgangsstyring og exit-muligheder. Vores regler siger også, at medarbejdere skal følge den brugerrettede IT-politik, og at IT-drift og IT-sikkerhed skal inddrages når nye løsninger og tjenester skal introduceres.

To virkelige eksempler

1. Samsung: medarbejdere uploadede følsom kode til ChatGPT

I 2023 forbød Samsung medarbejdere at bruge ChatGPT og andre generative AI-værktøjer på arbejdspladsen, efter at medarbejdere havde uploadet følsom intern kildekode til platformen. Sagen viser, at selv velmenende brug af en populær og legitim tjeneste kan føre til tab af kontrol over virksomhedens fortrolige oplysninger. Kilde: https://www.dr.dk/nyheder/viden/teknologi/chatgpt-udgoer-sikkerhedsrisiko-samfundet-ingenioerer-efterlyser-regler

1. Trello: offentlige boards afslørede adgangskoder og virksomhedsdata

Trello er et legitimt og udbredt værktøj, men flere brugere havde gjort boards offentlige uden at forstå konsekvensen. Sikkerhedsfolk fandt blandt andet virksomhedsoplysninger, lønoplysninger, adgangskoder og private beslutningsgrundlag tilgængelige via internettet og søgemaskiner. KrebsOnSecurity beskrev også tilfælde, hvor Trello-boards indeholdt adgangskoder til kunders og virksomheders systemer. Kilde: https://krebsonsecurity.com/2018/06/further-down-the-trello-rabbit-hole/

Hvad skal du gøre?

Brug de programmer og tjenester, som allerede er godkendt og gjort tilgængelige for dig.

Har du brug for en funktion, et program, en app, en AI-tjeneste, et onlineværktøj eller en cloudløsning, som du ikke allerede har adgang til, så lad være med selv at finde en gratis løsning på nettet.

Gør i stedet dette: Kontakt IT-support, hvis du mangler et program eller en funktion til dit arbejde.

Kontakt IT-sikkerhed, hvis du ønsker at bruge en ny tjeneste, cloudløsning, AI-tjeneste eller et onlineværktøj, hvor organisationens data kan blive uploadet, behandlet eller delt. Så kan organisationen vurdere, om løsningen er sikker, lovlig og egnet til vores brug. I mange tilfælde findes der allerede et godkendt alternativ.

Husk cyberzombierne kan bedst lide, når du bruger deres onde værktøjer til at kompromittere din arbejdsplads.