Kriminelle driver som bedrifter – og bruker KI

Mølgaard har jobbet med sikkerhet i over ti år. Trusselbildet har endret seg raskt hele tiden, men nå går det enda fortere. Alle analysene han leser, konkluderer med at trusselen øker. – Det er gamle nyheter, men vi må ikke forveksle det med kjedelige nyheter, sier han.

De kriminelle gruppene er organisert som bedrifter, med tydelige hierarkier, egne folk til å rekruttere spesialister og forhandlinger om lønn. Da covid stengte hoteller og restauranter, måtte grupper som hadde spesialisert seg på reiselivet, finne en ny forretningsmodell. De flyttet kortsvindelen til nettbutikker. Nå bruker de de samme KI-verktøyene som alle andre, og får de samme gevinstene: mer volum, bedre forberedte angrep og høyere kvalitet. Svaret fra forsvarssiden er det samme. I DXCs sikkerhetssenter tar KI-agenter imot hendelsene først, tolker dem og gir anbefalinger til teknikerne. – Vi må flytte ting fra menneskelig hastighet til maskinhastighet, sier Mølgaard.

Hvor sårbare vi er, viser et angrep han var med på å etterforske hos en tidligere kunde, før han begynte i DXC. Selskapet nedbemannet, og mange av dem som måtte gå, skrev om det på LinkedIn. Angriperne fulgte med. Samme dag ble en toppleder med utvidede tilganger kontaktet på Teams av det som så ut til å være HR. Vedlegget skulle inneholde listen over hvem som ble sagt opp, en kommunikasjonsplan og et nytt organisasjonskart. Lederen åpnet filen, og skadevare begynte å kryptere maskinen. Det var sikkerhetsprogramvaren på maskinen som stoppet angrepet fra å spre seg videre i nettverket. Det tok flere timer før noen forsto hva som hadde skjedd. – Det kan skje hvem som helst. Det kan skje meg også, sier Mølgaard.

Hundre prosent sikkerhet finnes ikke, på samme måte som du aldri kan være helt trygg i trafikken. Den som vil overleve å bli påkjørt av en buss, må gå i sumodrakt, og da blir det vanskelig å bære handleposene. Poenget er å finne ut hvor mye risiko virksomheten er villig til å ta, og så jobbe kontinuerlig med å planlegge, gjennomføre, kontrollere og forbedre. Et kvalifisert anslag er bedre enn ingenting.

Mange sikkerhetssjefer (CISO-er) er faglig sterke, men oppleves som en bremsekloss og sliter med å få budsjett. Mølgaard underviser sikkerhetssjefer i risikostyring og grunnleggende økonomi, og råder dem til å snakke økonomisjefens språk. Han bruker forventet årlig tap (average loss expectancy) som eksempel: Et løsepengevirusangrep stenger virksomheten i 22 dager og koster 10 millioner euro. Skjer det én gang i løpet av ti år, er tapet i snitt 1 million euro i året. Kan sikkerhetssjefen halvere sannsynligheten for en brøkdel av det beløpet, har ledelsen en god business case. Da tar ledelsen et aktivt valg og eier risikoen sammen med sikkerhetssjefen.

For dem som ikke har kommet i gang, har Mølgaard et enkelt råd: Gjør tre ting, to ganger. Finn de tre viktigste prosessene i virksomheten og hva de er avhengige av. Skriv deretter de tre verste scenarioene, beskrevet med fem elementer: trusseltype, aktør, hendelse, verdi og tidsperspektiv. Da vet du hvor du bør begynne.

Episoden er på engelsk, med programleder Jens Christian Bang. Dette er del 2 av 2. I del 1 forklarer Mølgaard hva et sikkerhetssenter (SOC) gjør, hva en CISO egentlig jobber med, og hvordan risiko kan regnes om fra magefølelse til tall.