KOMMENTAR | Thomas Tømmernes
Er dere klare, eller bakpå?
Når leverandøren slutter å oppdatere programvaren din, er det som å legge ut fra kaia i en båt du vet lekker. Det ser rolig ut en stund, men vannet er allerede på vei inn.
Likevel sitter mange fortsatt med programvare som enten har passert sluttdato eller er faretruende nær, helt uten en plan. Dette handler ikke om latskap. Det handler om manglende oversikt. Men husk: Vannet fosser inn uansett om du har sett hullet eller ikke.
Dropper de enkleste tiltakene
Selv om Nasjonal sikkerhetsmyndighet (NSM) og andre understreker at grunnleggende sikkerhetstiltak som oppdateringer er avgjørende for å redusere angrepsflaten, ser vi gang på gang at bedrifter dropper de enkleste tiltakene. WannaCry i 2017 burde vært en brutal lærepenge. Der ble tusenvis av virksomheter verden over satt ut av spill. Hvorfor? Utdatert programvare og manglende «patching».
Likevel opplever mange IT-ansvarlige at påminnelser om oppdateringer blir møtt med sukk, lett himling med øynene og utsettelser.
Historien gjentar seg
I dag bruker trusselaktørene nøyaktig samme oppskrift. De finner kjente sårbarheter i gamle systemer og er inne lenge før noen oppdager det. Gamle og sårbare systemer er blant de mest alvorlige funnene NSM gjør i sikkerhetstester hos norske virksomheter. Dette bekreftes også av vårt eget Incident Response Team, som rykker ut til hendelser der angripere har utnyttet nettopp utdatert programvare som inngangsport. Når hackerne først er inne, er det som å gi dem universalnøkkelen til hele bygget.
Slike angrep skjer ikke på impuls, de er nøye planlagt. Leverandører setter sluttdato på programvare av en grunn, og virksomheter får beskjed i god tid. Fortsatt tror mange at «vi er ikke interessante for hackerne». Dette er fullstendig feil. Angrepene skjer via automatiserte roboter som skanner internett døgnet rundt etter åpne sårbarheter.
Du kan sammenligne disse robotene med biltyver. De er helt uinteresserte i merke og modell. De går bare nedover gaten og kjenner på dørene, og stjeler selvfølgelig den bilen noen har glemt å låse døren på. Det handler ikke om hvem du er, men hvor lett du er å få tilgang til. Alle virksomheter har verdier i en eller annen form som hackerne vil benytte. Om det handler om utpressing, tyveri, svindel eller om noen later som de er din bedrift for å lure andre, spiller ingen rolle. Har de tilgang, finner de en måte å utnytte deg på.
Når systemene stopper – stopper alt
Ateas IT-sikkerhetsrapport fra 2025 viser at 6 av 10 virksomheter ikke vil kunne opprettholde normal drift dersom IT-systemene deres tas ned. Det betyr at et vellykket angrep eller en kritisk feil kan lamme hele virksomheten. Fra fakturering og kundebehandling til produksjon og interne systemer. I praksis betyr det at hjulene stopper. Likevel ser vi at mange fortsatt utsetter enkle og nødvendige tiltak som å oppdatere programvare eller erstatte utdaterte systemer. Det kan bli en svært kostbar utsettelse.
Når programvaren din ikke lenger støttes med oppdateringer, står døra på vidt gap.
Ikke vent på budsjettprosesser, styringsgrupper eller neste års investeringsplan.
Når programvaren din ikke lenger støttes med oppdateringer, står døra på vidt gap. Og da kommer gjestene du absolutt ikke vil ha på besøk. Start prosessen i dag. Finn midlertidige sikkerhetstiltak (eks virtuell patching) som kan skjerme systemene dine og legg en plan for å få på plass ny, oppdatert programvare så raskt som mulig.
