Informationssäkerhetens fyra ”heta potatisar” som det lönar sig att få i ordning redan i år

J&Co Uutisankkuri

Författare: Maxemilian Grönblom, Developer & Partner, J&Co Digital

Informationssäkerhet väcker mer diskussion än någonsin. Nya verktyg, föränderlig lagstiftning och vardagens tempo skapar en miljö där dataskyddet lätt kan äventyras om verksamheten inte leds på ett systematiskt sätt.

Här är de fyra heta potatisar som J&Co:s informationssäkerhetsteam har identifierat och som varje organisation bör ta itu med så snart som möjligt.

1. Fastställ en tydlig AI-policy

Så trevligt som det än är att ta AI i bruk som ett stöd för tänkandet, kräver användningen alltid medveten eftertanke. Med hjälp av ChatGPT och andra generativa verktyg skapas texter, analyseras data och skrivs kod. Samtidigt kan användningen utsätta företaget för informationsläckor om tydliga riktlinjer saknas.

Exempel: Apple har begränsat sina anställdas tillgång till generativa AI-verktyg, såsom ChatGPT och GitHub Copilot. Enligt företaget grundar sig begränsningen på oro över att data som anställda matar in skulle kunna hamna hos externa leverantörer eller till och med användas som träningsdata, vilket skulle kunna läcka företagets konfidentiella information. Samtidigt började Apple utveckla sin egen AI i stället för att låta anställda använda öppna externa verktyg. På så sätt fungerar Apple som ett exempel på att även om man vill dra nytta av AI, kräver dess användning både begränsningar och ibland egen infrastruktur.

En AI-policy fastställer vilka AI-lösningar en organisation använder, vilken information som får matas in i dem och vem som ansvarar för att övervaka användningen. När riktlinjerna är tydliga kan medarbetarna använda AI både effektivt och säkert.

2. Aktivera tvåstegsverifiering

Flera cybersäkerhetsmyndigheter, såsom Traficom och NCSC-FI, har konstaterat att tvåstegsverifiering hade kunnat förhindra en stor del av dataintrången de senaste åren. Den extra verifieringssteget fungerar i praktiken som ett extra lås – en enda bekräftelse kan avgöra om en e-postinkorg eller molntjänst förblir skyddad.

Ett typiskt intrång börjar med e-post, genom vilken angriparen får tillgång till användarens användarnamn och lösenord. Om inloggningen dessutom kräver en separat bekräftelse via mobilapp eller fysisk nyckel, stoppas attacken direkt.

Många stora företag, som Google och Microsoft, har rapporterat att tvåstegsverifiering förhindrar över 90 procent av alla kontokapningsförsök. Samma skydd fungerar även i mindre organisationer – lösningen kräver inte ett komplext system eller stora investeringar, utan bara ett beslut om att införa den.

Det säkraste alternativet bygger på två fysiska enheter, exempelvis dator och telefon. SMS-bekräftelse ensam räcker inte om angriparen även har kontroll över mobilabonnemanget. En autentiseringsapp, som Microsoft Authenticator eller Google Authenticator, ger ett betydligt bättre skydd.

Tvåstegsverifiering bör införas i alla centrala system: e-post, projektledning, molnlagring och sociala mediekonton. Ett extra klick vid inloggningen minskar risken mångdubbelt.

3. Flytta lösenorden till en hanteringsprogramvara

Webbläsarens inbyggda lösenordshantering underlättar vardagen, men den minskar säkerheten. Om webbläsaren komprometteras får angriparen tillgång till alla lösenord på en gång.

Cybersäkerhetsföretag rapporterar kontinuerligt fall där kriminella har fått åtkomst till användarkonton genom lösenord som stulits via webbläsaren. Detta understryker vikten av separata lösenordshanteringsprogram.

Ett praktiskt exempel: flera dataintrång som avslöjades under 2023 och 2024, såsom Raccoon Stealer- och RedLine-malwarekampanjer, lyckades stjäla lösenord och cookies som sparats i användarnas webbläsare. Malwaren skickade sedan vidare uppgifterna till kriminella nätverk, som använde dem för att logga in på e-posttjänster, sociala medier och molntjänster.

Vi själva använder och rekommenderar lösenordshanterare som Bitwarden, som lagrar uppgifterna krypterade och föreslår starka, unika lösenord för olika tjänster. Deras användning förhindrar också återanvändning av lösenord, vilket är en av de vanligaste cybersäkerhetsriskerna. Lösenordshanterare underlättar dessutom hantering och borttagning av åtkomsträttigheter när medarbetare byter uppgifter eller lämnar organisationen.

4. Utbilda personalen i att känna igen nätfiske

Nätfiske är fortfarande det vanligaste sättet att ta sig in i system. Bedrägerimeddelanden ser allt oftare äkta ut och innehåller trovärdiga detaljer.

Enligt rapporter från Cybersäkerhetscentret (Kyberturvallisuuskeskus) börjar över 80 procent av attackerna mot organisationer via e-post. Träning och utbildning minskar risken avsevärt.

Många finska företag genomför regelbundet nätfiske-simuleringar, där man följer hur många medarbetare som klickar på en länk och hur vaksamheten utvecklas. När medvetenheten ökar minskar antalet misstag snabbt och säkerheten förbättras utan stora investeringar.

På J&Co ligger cybersäkerheten på varje utvecklares bord.

På J&Co är cybersäkerhet närvarande i varje kodrad. Vårt säkerhetsteam träffas regelbundet för att följa aktuella hot, dela observationer och utveckla gemensamma rutiner.

Cybersäkerheten syns i J&Co:s vardag genom säkra kundlösningar. När även kundens egna processer, utbildning och övervakning fungerar parallellt, kan man sova gott om natten.