Hvorfor menneskelige feil innen cybersikkerhet fortsatt utgjør den største risikoen

Cybersikkerhet blir ofte sett på som en teknisk utfordring, men i virkeligheten er det like mye en menneskelig utfordring. Mens organisasjoner investerer store summer i verktøy og infrastruktur, lykkes angripere fortsatt ved å utnytte noe langt enklere: hvordan systemene brukes, hvordan folk oppfører seg, og hvor små sikkerhetshull forblir ubemerket.

For å virkelig forstå hvor risikoen kommer fra, er det ikke nok å se på teknologien alene. Man må forstå hvordan angripere tenker, hvordan de går til verks mot systemene, og hvorfor de lykkes.

Hvordan hackere tenker: et innblikk i tankegangen bak moderne cyberangrep

For å forstå cybersikkerhet må man først forstå angriperen. Den største feilen organisasjoner begår, er å anta at hackere benytter seg av svært avanserte og komplekse teknikker. I virkeligheten lykkes de fleste angrep ikke fordi systemene er svake, men fordi mennesker, prosesser eller små uaktsomheter skaper muligheter.

Hackere tenker ikke i form av mål. I stedet tenker de i form av tilgang. De skanner bredt, tester systemer og ser etter alt som fungerer. Hvis en vei er blokkert, går de ganske enkelt videre. Det ligner mindre på et nøye planlagt ran og mer på å gå nedover en gate og prøve dørhåndtakene. «Hvis en dør er låst, går de bare videre til den neste», forklarer Eirik Hole, ledende konsulent for offensiv sikkerhet hos NetNordic. «De trenger ikke å bryte seg inn overalt – de trenger bare å finne ett sted som fungerer.»

De ødelegger ikke systemene, men avdekker svakheter

En vanlig misforståelse er at hackere «bryter seg inn» med makt. Oftest trenger de ikke det. I stedet leter de etter det svakeste leddet i en kjede som ellers er sikker. Dette kan være et oversett system, en feilkonfigurasjon eller en glemt del av infrastrukturen.

I mange tilfeller er det ikke engang snakk om en teknisk feil. Hackere vet at organisasjoner er komplekse og i stadig endring, og at det nesten alltid er noe som blir utsatt for risiko. «Jo større og eldre en organisasjon er, desto større er sjansen for at noe er blitt glemt eller oversett», sier Hole.

Når de først har funnet en vei inn, stopper de ikke der. Tilgang er bare begynnelsen. Sett fra angriperens perspektiv er det egentlige målet å komme seg videre: på tvers av systemer, mellom kontoer og dypere inn i organisasjonen. En enkelt kompromittert konto kan gi mye bredere tilgang hvis miljøet tillater det.

Mennesker er det enkleste utgangspunktet

Til tross for fremskritt innen sikkerhetsteknologi er mennesker fortsatt den mest pålitelige veien inn. Faktisk er menneskelige feil innen cybersikkerhet fortsatt en av de viktigste årsakene til datainnbrudd. Hackere vet at det ofte er langt enklere å lure en person enn å omgå et system, og phishing-e-poster er fortsatt et av de mest effektive verktøyene fordi de utnytter hverdagslig atferd. Folk har det travelt, de tar snarveier, og de stiller ikke alltid spørsmål ved det som virker kjent. En godt utformet melding trenger bare å overbevise én person for å lykkes.

I store organisasjoner blir dette enda mer forutsigbart. Med et stort nok antall brukere vil det før eller siden skje at noen klikker på noe, gjenbruker et passord eller lagrer sensitiv informasjon på feil sted.

Hackere regner med denne sannsynligheten. De trenger ikke at alle skal gjøre en feil. Det holder med én.

Hackere utnytter måten organisasjoner faktisk fungerer på

I tillegg til å utnytte enkeltbrukere, utnytter angripere også måten organisasjoner fungerer på i et bredere perspektiv. De vet at systemer ofte tas i bruk før sikkerheten er fullt ut vurdert, og at det under press blir iverksatt hastige løsninger. Sikkerhet blir ofte sett på som en kostnad snarere enn en nødvendighet, noe som fører til sikkerhetsbrudd.

De vet også at når sikkerhetstiltakene blir for strenge, finner folk måter å omgå dem på. Hvis en prosess er for treg eller komplisert, vil brukerne finne sine egne snarveier. Sett fra en hackers perspektiv er disse omgåelsene muligheter.

Selv tilsynelatende ufarlig informasjon kan være nyttig. Interne dokumenter, e-poster eller små biter av data kan bidra til å kartlegge systemer eller gjøre fremtidige angrep mer overbevisende. Hackere leter ikke bare etter det som er verdifullt – de bruker det som er tilgjengelig.

AI endrer omfanget, ikke tankegangen

Kunstig intelligens har gjort angrep raskere og mer skalerbare, men det har ikke endret hackernes tankegang i grunnen. De samme prinsippene gjelder fortsatt: finne svakheter, utnytte dem og gå videre.

Det AI endrer, er hastighet og tilgjengelighet. Oppgaver som tidligere krevde tid og ekspertise, kan nå automatiseres. Én person kan gjennomføre flere angrep samtidig, analysere resultatene og raskt gjøre justeringer. AI kan også generere mer overbevisende phishing-meldinger, noe som gjør det vanskeligere å skille mellom ekte og falsk kommunikasjon.

På mange måter oppfører AI seg i dag som en nybegynner innen penetrasjonstesting. Den er effektiv til å iverksette et bredt spekter av angrep og teste for kjente sårbarheter, men mangler ofte evnen til å sette sammen mer avanserte, målrettede angrepsveier. I stedet har den en tendens til å prøve mange ulike tilnærminger for å se hva som fungerer.

Det er også viktig å ta hensyn til kostnadene. Drift av AI-verktøy medfører ofte løpende utgifter, som i noen tilfeller kan oppveie fordelene sammenlignet med å benytte seg av erfarne menneskelige eksperter.

For å være virkelig effektiv trenger AI altså fortsatt veiledning fra eksperter. Det kreves dyktige fagfolk som kan styre innsatsen, tolke resultatene og finjustere strategiene. Uten dette bidraget kan effekten bli begrenset.

Anbefalt lesning: Penetrasjonstesting – en nøkkel til digital robusthet

Angripere regner med feil, fordi det alltid skjer

I kjernen av hackernes tankegang ligger en enkel forutsetning: ingen systemer er perfekte. Hackere trenger ikke å bryte gjennom sterke sikkerhetstiltak overalt. De trenger bare å finne ett sted der sikkerheten svikter. Enten det dreier seg om en menneskelig feil, et utdatert system eller en feilkonfigurasjon, regner de med at noe, et eller annet sted, har blitt oversett.

Det er derfor absolutt sikkerhet er umulig. Målet er ikke å eliminere all risiko, men å redusere sannsynligheten for at et angrep lykkes og begrense konsekvensene når noe likevel går galt. I stedet for å stole på én enkelt, sterk barriere, bygger moderne sikkerhet på prinsippet om dybdeforsvar. Dette innebærer å innføre flere lag med sikkerhetskontroller i hele IT-miljøet. Hvis ett lag svikter eller omgås, er det fortsatt andre lag på plass som kan oppdage, forsinke eller stoppe et angrep.

En nyttig måte å tenke på dette på er å stadig spørre seg: Hva skjer hvis dette laget svikter? Ved å bygge inn redundans i sikkerhetskontrollene bidrar man til å sikre at en enkelt feil ikke fører til at hele systemet kompromitteres.

I praksis betyr det at man må konsentrere seg om noen få sentrale områder:

Redusere organisasjonens angrepsflate, særlig når det gjelder brukere

Kontinuerlig testing av systemer, i stedet for å stole på engangskontroller

Å betrakte sikkerhet som en sentral del av driften, ikke som en ettertanke

Implementering av lagdelte sikkerhetstiltak med flere kontrollpunkter på tvers av systemer og prosesser

Denne lagdelte tilnærmingen tar høyde for at feil vil oppstå, men sikrer at de ikke umiddelbart fører til at angriperen lykkes.

Etisk hacking: testing før angriperne slår til

En av de mest effektive måtene å forstå reell risiko på er gjennom etisk hacking. Men hva er etisk hacking? Det er en praksis som går ut på å simulere virkelige angrep på en kontrollert og lovlig måte for å avdekke svakheter før ondsinnede aktører gjør det.

Etiske hackere bruker de samme teknikkene som angripere, men med tillatelse og et klart mål: å avdekke sårbarheter og hjelpe organisasjoner med å utbedre dem. Disse øvelsene – ofte kalt penetrasjonstesting eller pentesting – gir innsikt i hvordan systemer, brukere og prosesser oppfører seg under et angrep.

I stedet for å basere seg på antakelser, får organisasjonene et realistisk bilde av hvor de er sårbare og hvordan disse svakhetene kan utbedres.

Vil du vite mer om cyberrådgivning? Ikke nøl med å ta kontakt med oss.

Styrk sikkerheten med NetNordic som din pålitelige partner

Å forstå hvordan angripere tenker, er bare det første skrittet. Det er å handle på bakgrunn av denne innsikten som gjør hele forskjellen. Det er her NetNordic kan være din pålitelige partner. Med omfattende kompetanse innen offensiv sikkerhet og penetrasjonstesting hjelper NetNordic organisasjoner med å avdekke reelle sårbarheter, prioritere det som er viktigst og gjøre sikkerhet om fra en reaktiv innsats til en proaktiv strategi. I et landskap hvor angripere hele tiden leter etter den enkleste veien inn, sikrer den rette partneren at disse mulighetene blir identifisert og lukket før de kan utnyttes.