Den laglydige hackern

Den laglydige hackern

2015 går det inte för någon att värja sig mot inkräktare i IT-systemen. Men det verkliga säkerhetshotet finns mitt ibland oss, enligt Johan Björk, ansvarig för Information- och IT-säkerhetstjänster på KPMG.

Kontakt

Head of Information Protection and Business Resilience

KPMG i Sverige

Kontakt

Relaterat innehåll

Det bor en hacker i Johan Björk. Under en prydlig kostym, en klanderfri skjorta och ett korrekt uppträdande finns en teknikintresserad pojke som tidigt fick bra datorer, plockade isär saker, lärde sig programmera och som blev expert på att hitta svagheter i datasystem.


Idag är Johan Björk ansvarig för Information- och IT-säkerhetstjänster på KPMG, ett område som växer i IT-branschen. Och det är inte så konstigt. När alla delar i samhället som ekonomi, energiförsörjning och sjukvård bygger på IT-baserade system och omfattningen av uppkopplade datorer och enheter ökar, blir plötsligt nya områden måltavlor för dataintrång. Hur sårbara företag och organisationer är illustreras inte minst av att även en myndighet som FRA i november avslöjades med säkerhetsbrister i sina IT-system.


–Det är fel att tro att det går att skydda sig till hundra procent. Idag går det inte att undvika att råka ut för något slags intrång, berättar han och säger att alla företag och organisationer någon gång kommer att få oönskat besök i sina system.


–Vi studerade nyligen internettrafiken hos 14 stora svenska organisationer. Det visade sig att 13 av dessa var drabbade av dataintrång utan att de visste om det.


Du behöver inte vara ”någon”, inte vara ett känt varumärke som Ikea eller HM; inte heller en bank som har pengar eller ett företag med mycket kortnummer för att drabbas.


– Du kan bli utsatt för dataintrång bara för att du är ett lätt mål. Vissa hackers gör ju det här bara för att det är kul – och för att de kan.


Han vet vad han pratar om. En gång i tiden satt han själv på sin fritid och programmerade. Och talangerna förde honom till hans första jobb som så kallad pentestare, ett lite kryptiskt ord som står för ”penetrationstestare” och går ut på att man hjälper kunder att hitta sårbarheter i deras system genom att försöka hacka dem. Fast lagligt.

 

De allra flesta stora intrång som sker görs av organiserade gru­pper, där inkräktarna ser att de kan tjäna pengar på att antingen stjäla material eller utpressa offret, förklarar Johan och ger exempel från när både TeliaSonera och Sony Picture drabbades strax före jul.


– Sony Picture fick delar av ledningens e-post publicerad, manus och även filmmaterial. Kostnaden för hela incidenten har uppskattats till 100 miljoner dollar, berättar Johan.


Åtta av tio gånger är det en extern part som berättar att du har haft ett dataintrång. Ofta dröjer det runt ett år innan det upptäcks. Kostnaderna för ett intrång blir lätt omfattande. Att återskapa information tar tid och i värsta fall har man förlorat information som är unik och gör att företaget tappar stora intäkter. Att sätta en prislapp på ett sargat varumärke är nästintill omöjligt. Nya verktyg för intrång, bedrägerier och sabotage uppfinns hela tiden och sprids via e-post, bilagor, när någon köper program eller skickar filer till någon annan. Frågan är hur man håller jämn takt med bedragarna.


– Man blir aldrig färdig eller säkrad. Du kan ha fler tekniska kontroller, fler saker som upptäcker intrång, mer lås och bom, men 2015 måste alla företag ha insikten att man kommer att drabbas av dataintrång eller informationsläckage. Och när det sker, veta vad man ska göra.

 

Företag och organisationer i Sverige har hittills varit relativt förskonade från stora publika incidenter med informations­läckage. Men man får inte enbart fokusera på de externa hoten, säger Johan, de interna hoten är minst lika allvarliga.


– Det man ska vara riktigt rädd för är vad som kan hända inom ett företag: anställda och partners som stjäl information. Om man har en liten firma som investerar mycket i forskning och utveckling, och har ritningar eller patent som är unika – då är man ju utsatt för en stor risk om en kollega stjäl informationen, går ut genom dörren och går till en konkurrent. Eller om någon stjäl en stor kunddatabas, till exempel.


Hur man skyddar sig beror på vilka risker man anser att man har, externa regelverk och vilken typ av information det handlar om. Det är inte alltid lätt att på egen hand bedöma vilken skyddsnivå man ska ha, men Johan och hans kollegor hjälper gärna till.


– Vi kartlägger risker och hotbilder. Ibland agerar vi hackers där vi har som mål att ta oss in i ett system för att hitta dess svagheter. Och framför allt kan vi hjälpa till under ett pågående dataintrång, säger Johan entusiastiskt och berättar att han genuint ”brinner för säkerhet”.


– Kanske för att det finns något av den här ”mörka sidan” i de här kontexterna. Det är en kamp! Som att leka tjuv och polis som vuxen.

 

Vilken tur att han hamnade på de godas sida, Johan. Numera har han dock ingen tid att programmera på fritiden. Hemma springer det omkring två små barn som vill ha hans uppmärksamhet. 


– Utmaningen blir att hjälpa dessa digitala individer i framtiden, idag har jag ett försprång och det tänker jag behålla.   

 

Johan Björk

Ålder: 35
Familj: Fru, två barn (6 och 3)
Bor: Vasastan, Stockholm
Fritid: Hus i närheten av Åre. På vintern åker han skidor nerför Åreskutan, på sommaren kör han cykel nerför samma backar.


Johan tipsar:

Befattnings­havare:
Börja med att identifiera vad som är kritiskt för verksamheten.
Analysera riskerna mot dessa objekt.
Baserat på riskaptit skapa en handlingsplan för identifierade risker.


Privat:
Använd sunt förnuft, svara inte på e-post som begär kontoupp­gifter eller ditt lösenord.
Om komplexa lösenord är svåra att komma ihåg, skapa en lång mening istället.
Installera alltid de senaste säkerhetsuppdateringarna från Microsoft, Apple och Adobe.

Kontakta oss

 

Offertförfrågan

 

Skicka

KPMG: s nya digitala plattform

KPMG: s nya digitala plattform