Risikovurdering 2003 - NSM

22
6.5 Sårbarheter innen IKT
Kjennskap til aktuelle og fremtidige trusler er avgjørende for å utforme forebyggende tiltak samt
planlegge mottiltak dersom trusselen materialiserer seg. Dessverre er det i praksis umulig å
forutse alle tenkelige trusler. Derfor bør det heller fokuseres på sårbarheter. Nedenfor er det
omtalt noen sårbarheter som er fremtredende i eksisterende IKT-systemer som håndterer
sikkerhetsgradert informasjon.
6.5.1 Totalløsninger
Enterprise-teknologi som sikter mot helhetlige og tett integrerte totalløsninger for
virksomhetenes IKT-systemer blir stadig mer utbredt. Dagens situasjon er at eksisterende
systemer har hatt en begrenset fokus på enterprise-sikkerhet som følge av rask teknologisk
utvikling, hyppig utrullingstakt, kraftig vekst i omfang samt stadige organisasjonsendringer.
Kostnadsspørsmålet har også vært viktig, for det er til dels vanskelig å begrunne satsning på
sikkerhet i et kortsiktig økonomisk perspektiv. Sikkerhet har dermed blitt noe man ofte har
implementert til slutt i systemutviklingsprosjektene – og helst på de områder hvor det ikke har
medført for mye kompleksitet eller tatt for mye tid.
Det har ikke vært prioritert å tenke sikkerhet gjennom hele livssyklusen til prosjektet. Dette har
ført til at anerkjente prinsipper for sikkerhetsdesign (overvåking, konfigurasjonsstyring,
administrasjon, nettverks- og perimetersikring og sikkerhetstesting) bare i liten grad følges av
prosjektene når systemene designes, og de organisasjons- og prosessrelaterte forbedringene det
ofte er behov for har vært vanskelig å få gjennomslag for. Dermed har det også vært begrenset
hva man har vært i stand til å implementere av sikkerhet i etterkant, og sikkerhetsmessig drift av
systemet har fått kompliserte forhold å fungere under. Systemets operative data har også blitt
strukturert og organisert på en måte som ikke understøtter sikker administrasjon og drift. Det
finnes heller ingen gode rutiner for en sikkerhetsmessig forsvarlig måte å avvikle systemet på når
det skal erstattes eller fjernes. Bare en omfattende og strukturert risikovurdering av de faktiske
systemer vil kunne gi nødvendig oversikt over og innsikt i sårbarhetene.
6.5.2 Kosteffektivisering
Skjerpede økonomiske krav til kostnadseffektivitet har ført til utstrakt bruk av
sikkerhetsprodukter som fås kjøpt i butikken (hyllevare). Dette er produkter man har sterkt
varierende kontroll med, og hvor bruken derfor medfører en viss grad av risiko. Risikoen
kommer i form av muligheter for skjulte feil, manglende forståelse for hvordan produktet skal
brukes eller ved at det med viten og vilje er lagt inn sikkerhetshull (bakdører) beregnet for
angrep.
Den raske teknologiutviklingen gjør at produsentene går på akkord med kvaliteten på
programvareproduktene sine og derfor oppdages det også stadig vekk nye sikkerhetshull. Det er
en kontinuerlig konkurranse mellom hackere og programvareprodusenter om først å oppdage
disse feilene for så å utnytte versus reparere dem. Enkelte av produktene gjennomgår en
selvpålagt eller offentlig pålagt sertifisering – noe som gir god gevinst – men mange produkter
faller også utenfor.
6.5.3 Hjemmeløsninger
Flere og flere gis i dag muligheten til å jobbe hjemmefra ved av man tillater oppkobling av
hjemme-PC mot virksomhetenes informasjonssystemer. Dette er hjemme-PC’er som ofte er langt
mindre sikre enn datamaskiner i virksomhetenes nettverk – og som svært ofte også kobles opp
mot Internett. Når virksomheten velger å stole på brukeren av denne PC’en, og gi tilgang til
kritiske deler av IKT-systemet, har man introdusert en bakdør. En såkalt VPN-forbindelse
(kryptering av data) mellom hjemme-PC’en og virksomhetenes datanettverk vil ikke gi noen
Risikovurdering 2003