Tar i snitt over 200 dager å oppdage et datainnbrudd

IT-ekspert Håkon Lønmo er bekymret for at mange organisasjoner ikke klarer å fange opp forsøk på datainnbrudd før det er altfor sent.

– For de fleste norske virksomheter tar det lang tid før et datainnbrudd blir oppdaget, og ofte er det tredjepart som varsler dem om at de har hatt et innbrudd, sier Håkon Lønmo til NRKbeta.

Lønmo er direktør for cybersikkerhet ved BDO, ett av tre selskaper som er kvalitetssikret av Nasjonal sikkerhetsmyndighet (NSM) for levering av tjenester for å håndtere IT-hendelser.

Ifølge en IBM-rapport fra i sommer tar det i snitt 234 dager før man oppdager et datainnbrudd i Skandinavia. Når det først er oppdaget tar det i snitt 79 dager å håndtere det.

– Stortinget oppdaget et angrep og varslet fort. Sett fra utsiden ser dette ut som noen som er blant de flinkeste i klassen, sier Lønmo.

Tirsdag forrige uke kunngjorde Stortinget at de ble utsatt for et omfattende datainnbrudd. Foreløpig er få detaljer om innbruddet offentlig kjent, men angriperne skal ha brutt seg inn i e-postkontoene til et mindre antall stortingsrepresentanter og ansatte.

PST har startet en etterforskning der en av hypotesene er at en statlig aktør står bak.

– Enorme mørketall

Thomas Tømmernes holder jevnlig foredrag for næringslivet om IT-sikkerhet. Han leder IT-sikkerhetssatsningen til konsulentselskapet Atea, et annet IT-selskap som er kvalitetssikret av NSM.

Ofte blir han invitert til å holde foredrag etter at en bedrift et utsatt for såkalt direktørsvindel. Det går ut på at en angriper tar seg inn i en virksomhet og utgir seg for å være selskapets sjef. Slik kan en angriper lure en økonomimedarbeider til å overføre pengebeløp på typisk 800.000 til 1,4 millioner kroner til angriperens bankkonto.

– Det er enorme mørketall, sier Tømmernes, som forteller at de ofte får vite at flere selskaper har blitt utsatt for dataangrep, men holdt det for seg selv.

– De har ikke anmeldt det og de har ikke sagt det til noen. Det handler om at det er en følelse av maktesløshet, sier Tømmernes.

Viktig med sikkerhetsovervåkning

– Den kritiske fasen for en angriper er når de får et bein innafor. Om innbruddet ikke blir oppdaget da er det stor sannsynlighet for at de kan holde seg skjult helt til skaden er skjedd, sier Lønmo.

Lønmo og Tømmernes mener man må anta at angripere kan komme seg inn i bedriftens systemer, og de anbefaler derfor at man har systemer for å oppdage mistenkelig atferd i IT-systemene. Sikkerhetsovervåkning går ut på å innhente informasjon fra IT-systemene slik at bedriften kan sette små og store hendelser i sammenheng.

Det kan for eksempel være mistenkelig atferd fra en bruker, varsler fra antivirussystemer, eller at det sendes større mengder data ut fra bedriften.

– Et vellykket datainnbrudd vil etterlate seg spor på forskjellige måter. Det som ofte skjer er at sporene ikke blir analysert og sett i sammenheng tidlig nok, sier Lønmo.

Tømmernes i Atea anslår at i underkant av 300 norske virksomheter har systemer for sikkerhetsovervåkning.

– Det er helt krise, sier Tømmernes, som håper andelen går opp.

Les også: Eksperter tror IT-angrepet mot Stortinget kan være politisk motivert