DEBATT | Geir Johnsen
Når KI gjør angrep billigere, blir flere virksomheter mål
I mange styrerom og ledergrupper finnes det fortsatt en antakelse om at cyberangrep først og fremst rammer banker, energiselskaper, helseforetak og andre samfunnskritiske virksomheter. For mindre og mellomstore virksomheter kan konklusjonen derfor bli beroligende: Vi er ikke interessante nok.
Det premisset er i ferd med å bli farlig. Ikke fordi alle virksomheter plutselig har blitt strategiske mål, men fordi økonomien i cyberangrep er i endring.
Kunstig intelligens reduserer kostnaden ved flere av de arbeidsintensive delene av et angrep. Offentlig informasjon kan analyseres raskere, troverdige henvendelser kan utformes på sekunder, og tekniske svakheter kan undersøkes og prioriteres mer effektivt. Når innsatsen per mulig mål går ned, kan angriperne undersøke flere virksomheter. Da vil også flere svakheter bli funnet.
Angrepet starter bredt
Tradisjonelt har virksomheter vurdert cyberrisiko ut fra hvor attraktive de er: Hvor verdifulle er dataene våre? Hvor kritiske er tjenestene? Hvor kjent er merkevaren?
Spørsmålene er fortsatt relevante, men ikke tilstrekkelige. En økonomisk motivert angriper vurderer også kostnad, risiko og sannsynlighet for å lykkes. KI påvirker særlig kostnadssiden.
Resultatet er ikke nødvendigvis helt nye angrepsmetoder. Det er eksisterende metoder som blir billigere, raskere og mer skalerbare. Angriperen trenger heller ikke vite hvem virksomheten er på forhånd. Angrepet kan starte bredt og bli målrettet først når en svakhet oppdages.
En eksponert tjeneste, svak identitetskontroll, en eldre integrasjon, en feilkonfigurert skyressurs eller en enhet som ikke følges opp, kan være nok. Virksomheten blir interessant fordi den er enkel å undersøke, og fordi noe fremstår mulig å utnytte.
Det moderne utskriftsparadokset
Utskrift og skanning illustrerer utfordringen. Mange virksomheter skriver ut mindre enn før, og området får derfor mindre oppmerksomhet. Samtidig er moderne multifunksjonsenheter langt mer enn skrivere. De håndterer dokumenter, identiteter, autentisering, skytjenester, integrasjoner, sertifikater, fastvare og lokal konfigurasjon.
De er med andre ord avanserte endepunkter i virksomhetens IT-infrastruktur.
Paradokset er at området blir mindre synlig samtidig som det blir tettere integrert i den digitale arkitekturen. Det samme gjelder eldre fagsystemer, integrasjoner og lokale applikasjoner som fortsatt fungerer, men som gradvis er blitt koblet inn i en helt annen sikkerhetskontekst enn den de opprinnelig ble etablert for.
Secure by Design er ikke nok
Moderne teknologi leveres med stadig bedre sikkerhetsmekanismer. Men tilgjengelige sikkerhetsfunksjoner er ikke det samme som faktisk sikkerhet. Funksjonene kan være deaktivert, feilkonfigurert eller ikke fulgt opp etter at løsningen er satt i drift.
Derfor må vi skille mellom Secure by Design, Secure by Configuration og Secure in Operation. Leverandøren kan bygge inn gode mekanismer. Virksomheten må konfigurere dem riktig og følge dem opp når risiko, bruksmønstre, integrasjoner og teknologi endrer seg.
KI endrer ikke behovet for grunnleggende sikkerhetsarbeid. Den gjør konsekvensene av manglende styring større. Når angripere kan kartlegge raskere og teste bredere, blir tiden fra svakhet til mulig utnyttelse kortere. Virksomhetene må derfor redusere tiden fra svakhet til beslutning, tiltak og oppfølging.
KI endrer ikke behovet for grunnleggende sikkerhetsarbeid. Den gjør konsekvensene av manglende styring større.
Risiko- og sårbarhetsanalyser kan ikke være dokumenter som oppdateres sporadisk og legges i en mappe. De må fungere som løpende beslutningsmekanismer: Hva skal beskyttes? Hvilke identiteter og integrasjoner har tilgang? Hvilke kontroller reduserer risiko mest? Og hvem eier oppfølgingen?
For ledere er spørsmålet derfor ikke lenger om virksomheten er interessant nok til å bli angrepet. Spørsmålet er om svakhetene er enkle nok å finne – og om virksomheten klarer å lukke dem før andre rekker å utnytte dem.
Ambisjonen er ikke perfekt sikkerhet. Den er oversikt, tydelig eierskap og kontinuerlig oppfølging. Det er forskjellen mellom å ha moderne sikkerhetsteknologi og faktisk sikkerhet.
