Outsourcing – hvem har ansvaret?
Center for Cybersikkerhed sætter fokus på udfordringerne med uklare aftaler mellem it-leverandør og kunde. Det sker med baggrund i en hændelse, hvor hackere udnyttede svagheder hos to it-hostingfirmaer og skaffede sig adgang til kundernes netværk.
6. marts, 2017 - Kl. 09.00
[Oprindeligt publiceret af Center for Cybersikkerhed]
I perioden 2015-2016 blev to danske it-hostingfirmaer udsat for cyberangreb, formentlig fra statslige eller statsstøttede hackere. Angrebene blev formentligt gennemført med henblik på at skaffe sig adgang til hostingfirmaernes kunder eller til at opbygge kapacitet til senere misbrug.
”Center for Cybersikkerhed har tidligere set eksempler på, at it-leverandører bliver brugt som en bagdør til det endelige mål. Når der samtidig er uklare aftaler mellem kunde og leverandør om sikkerhed, logning og ansvarsfordeling i forbindelse med et angreb, bliver det i praksis umuligt at vurdere omfanget og konsekvenserne af angrebet for kunden,” siger chef for Center for Cybersikkerhed, Thomas Lund-Sørensen.
Undersøgelsen viser, at hackerne skaffede sig adgang til et af hostingfirmaerne via en kundes hjemmeside, hostet på en af hostingfirmaernes servere. Center for Cybersikkerheds undersøgelsesenhed vurderer, at den samme metode er anvendt til at kompromittere det andet hostingfirma, men da de nødvendige data ikke har været tilgængelige, kan dette ikke siges med sikkerhed. Undersøgelsesenheden har set flere tegn på malwareaktivitet på de kompromitterede maskiner, hvor hackeren kan have fjernstyret maskinerne og stjålet loginoplysninger eller anden følsom information.
”Det bliver mere og mere almindeligt, at man outsourcer it-drift eller indgår i forskellige former for delte digitale fællesløsninger. Når vi samtidig ser, at hackere anvender it-leverandører som en indgang til leverandørers kunder, bliver det særligt vigtigt at kende leverandørens og eget sikkerhedsniveau samt stille klare krav til sin it-leverandør og sikre, at kravene overholdes,” understreger Thomas Lund-Sørensen.
Rapporten gennemgår hændelsen hos to kompromitterede it-hostingfirmaer og kommer med forslag til tiltag, der kan hjælpe virksomheder og myndigheder til at styrke sikkerheden og modvirke fremtidige angreb.
Læs hele "Undersøgelsesrapport: Outsourcing – hvem har ansvaret?".
I perioden 2015-2016 blev to danske it-hostingfirmaer udsat for cyberangreb, formentlig fra statslige eller statsstøttede hackere. Angrebene blev formentligt gennemført med henblik på at skaffe sig adgang til hostingfirmaernes kunder eller til at opbygge kapacitet til senere misbrug.
”Center for Cybersikkerhed har tidligere set eksempler på, at it-leverandører bliver brugt som en bagdør til det endelige mål. Når der samtidig er uklare aftaler mellem kunde og leverandør om sikkerhed, logning og ansvarsfordeling i forbindelse med et angreb, bliver det i praksis umuligt at vurdere omfanget og konsekvenserne af angrebet for kunden,” siger chef for Center for Cybersikkerhed, Thomas Lund-Sørensen.
Undersøgelsen viser, at hackerne skaffede sig adgang til et af hostingfirmaerne via en kundes hjemmeside, hostet på en af hostingfirmaernes servere. Center for Cybersikkerheds undersøgelsesenhed vurderer, at den samme metode er anvendt til at kompromittere det andet hostingfirma, men da de nødvendige data ikke har været tilgængelige, kan dette ikke siges med sikkerhed. Undersøgelsesenheden har set flere tegn på malwareaktivitet på de kompromitterede maskiner, hvor hackeren kan have fjernstyret maskinerne og stjålet loginoplysninger eller anden følsom information.
”Det bliver mere og mere almindeligt, at man outsourcer it-drift eller indgår i forskellige former for delte digitale fællesløsninger. Når vi samtidig ser, at hackere anvender it-leverandører som en indgang til leverandørers kunder, bliver det særligt vigtigt at kende leverandørens og eget sikkerhedsniveau samt stille klare krav til sin it-leverandør og sikre, at kravene overholdes,” understreger Thomas Lund-Sørensen.
Rapporten gennemgår hændelsen hos to kompromitterede it-hostingfirmaer og kommer med forslag til tiltag, der kan hjælpe virksomheder og myndigheder til at styrke sikkerheden og modvirke fremtidige angreb.
Læs hele "Undersøgelsesrapport: Outsourcing – hvem har ansvaret?".