It-sikkerhedschef i Saxo Bank: Manglen på it-sikkerhedsfolk truer ikke dansk cybersikkerhed

Martins input er forfriskende, stærkt tiltrængt og helt rigtigt. Det nytter ikke at have en masse betragtende sikkerhedsfolk, hvis der så samtidig ikke er hænder til at få patch'et, konsolideret og ryddet op.

Jeg slutter mig helt til koret som bakker op om Martins udmelding. Så svært er det altså ikke at få patchet sine systemer, udskifte forældet software, disable makroer i Office, installere en password manager og piske folk til at bruge den, slå 2-faktor godkendelse til når man skal på Office eller ind i sin Azure administrator-konsol, og teste sin backup jævnligt.

Og hvis du stadig kører Exchange on-premise, så se at få det flyttet ud i skyen så hurtigt som muligt.

100% enig med Martin her. Man skal selvfølgelig også have bygget overvågning der fanger hvis man får overholdt sine procedurer for opdatering - og procedurer for f.ex. at gennemgå firewall åbninger mm. ifht. principle of least priviledge.. og det kan faktisk også overvåges.. Jeg plejer at bygge en liste af "ting hver server skal kunne snakke med".. Det har jeg gjort i mange år i Puppet, og nu i k8s (hvor det laves vha. networkpolicy) og så er overvågningen rimelig nem.. Lad den checke den services der skal kunne nås er tilgængelige (så får i en alarm, hvis noget ikke kan nås, og et par ting der skal fejle - så får i en alarm hvis de firewall blokering pludselig mangler).

Jeg plejer at udvide min pakke overvågning, med at smide 100 tcp pakker afsted - og kun lave syn og syn-ack (så når pakken ikke frem til applikationen og skaber load der) - og så kan jeg lave pakketabs check - det har fanget mange netværksproblemer i tide, at jeg så hvis vi begyndte at tabe pakker mellem bestemte punkter.

Jeg exporterer helst disse ting som metric'er - så er det super nemt at lave grafer og alarmer ud fra metric'erne - som også er nutidens standard metode.

alt ovenstående er standard driftsting, enhver fornuftig driftsperson vil kunne lave og ledelsen selvfølgelig SKAL kræve og sikre at der er tid til at lave.

Saxo Bank er kinesisk ejet (Geely 51%). Det er ikke sikkert det spiller ind, men man skal måske lige huske det.

Det må jeg sige, jeg er langt hen af vejen enig med Martin, dog har jeg et forbehold.

Man kan godt fortælle et menneske at du skal gøre sådan og sådan, men tendensen til at springe over hvor gærdet er lavest er bare højere når forståelsen ikke er der.

Det kræver ofte 10-20 års erfaring at forstå it-sikkerhed, man skal som professionel have set konsekvensen af at have sprunget over hvor gærdet er lavest.