IT-sikkerhet

Bekymring rundt IT-sikkerheten i handelsbransjen har økt markant.

IT-sikkerhet har fått større oppmerksomhet

Resultatene fra årets Handelsundersøkelse viser at bekymringer knyttet til IT-sikkerhet har økt blant norske handelsbedrifter det siste året. På spørsmål om redselen for uønskede hendelser mot virksomhetens IT-systemer har endret seg de siste 12 månedene, svarer 35 % at denne har økt. I undersøkelsen i fjor svarte over halvparten at de i mindre grad er bekymret eller at de ikke er bekymret i det hele tatt for IT-sikkerheten til virksomheten. Funnene i år indikerer at fokuset på ITsikkerhet har blitt mer fremtredende i handelsbransjen.

En grunn til at IT-sikkerhet har fått større oppmerksomhet, kan være at vi de siste årene har sett stadig hyppigere og mer alvorlige dataangrep fra organiserte hackergrupper. Angrepene har rammet både større og mindre aktører. Blant de mest kjente aktørene finner vi Stortinget, Norsk Hydro og Coop i Sverige.

Fjorårets angrep mot Coop i Sverige førte til at over 500 butikker måtte holde stengt i nesten en uke, og ble av IT-eksperter estimert å koste selskapet 100 millioner kroner hver eneste dag9 . 10Dette viser noe av omfanget alvorlige databrudd kan ha for handelsbedrifter.

Angrepene treffer ikke bare de store aktørene – også flere mindre virksomheter blir rammet. En undersøkelse gjennomført av BDO i juni 2022 viser at 1 av 4 handelsbedrifter har blitt forsøkt angrepet eller svindlet gjennom IT11. For virksomheter med færre enn 20 ansatte hadde 17 % blitt forsøkt angrepet. ITsystemer er «hjertet» i moderne handelsvirksomheter, og de er avhengige av full kontroll på kassaapparater, logistikksystemer og nettside. IT-sikkerhet er derfor helt sentralt for alle handelsaktører.

«Alle» er potensielle ofre

Handelsundersøkelsen viser at 77 % av virksomhetene det siste året har gjennomført tiltak for å minske risikoen for uønskede hendelser knyttet til IT-systemer. Thomas Dahl, partner i Risk Advisory Services i BDO, trekker frem viktigheten av gode rutiner rundt IT-systemene. Virksomheter i handelsbransjen bruker i stadig større grad digitale tjenester i sin daglige drift, noe som øker antallet flater trusselaktørene kan angripe. Mangel på fokus og etablering av forebyggende tiltak kan medføre store økonomiske tap for virksomheten, nedetid, sensitiv informasjon på avveie, i tillegg til mulig omdømmetap, sier Dahl.

Videre trekker Dahl frem at cyberkriminelle tar i bruk mer avanserte og hybride angrepsvåpen som rammer bredt. Bruk av automatiserte angrep, phishing over e-post og hybride metoder, identifiserer raskt virksomheter som ikke har nødvendig cyberforsvar – uavhengig av bransje og størrelse på virksomheten. Dette innebærer at alle virksomheter er et mulig mål for trusselaktører, også i handelsbransjen.

Trusselaktører utnytter også sårbare verdikjeder. Det er ofte enklere å få tilgang til sårbare og sensitive opplysninger via en leverandør eller underleverandør, fremfor å angripe virksomheten direkte. Hendelser i verdikjeden vil kunne påvirke tilgangen til nødvendige varer og tjenester.

9 https://e24.no/teknologi/i/GavP9J/it-ekspert-om-coop-hackingen-kan-ta-uker-aa-reparere 10 https://e24.no/teknologi/i/GavP9J/it-ekspert-om-coop-hackingen-kan-ta-uker-aa-reparere 11 https://www.bdo.no/nb-no/nyheter/2022/1-av-4-handelsbedrifter-har-blitt-forsoekt-angrepet-eller-svindlet-gjennom-it

ENKLE GREP FOR Å REDUSERE IT-RISIKO:

Jevnlig oppdatering av programvare Opplæring av ansatte i behandling av e-post Stille sikkerhetskrav til leverandører Sørge for å ha gode backup-rutiner og løsninger Implementere rutiner for tilgangsstyring Implementere tofaktorautentisering

Har dere gjennomført tiltak for å minske risikoen for uønskede hendelser knyttet til IT-systemer de siste 12 månedene?

23%

77%

Ja Nei

Statistikk viser at mer enn 90 % av alle cyberangrep starter ved bruk av falske e-poster, såkalt phishing. Mottaker blir lurt til å klikke på en lenke eller åpne et vedlegg som inneholder ondsinnet programvare. Dette gjør at angriperne får tilgang til virksomhetens informasjonssystemer, blant annet e-post. Denne tilgangen benytter de for å eskalere angrepet videre.

En annen metode som har blitt mer vanlig er CEO-fraud eller direktørsvindel. Etter å ha kommet seg inn i systemene får angriperne tilgang til intern e-post-kommunikasjon, og bruker denne for å gjennomføre økonomisk bedrageri. Ved å utgi seg for å være en person i ledelsen, eller en underleverandør, har angriperne ved flere tilfeller lykkes med å få utbetalt store summer til bankkonti i utlandet. Denne formen for bedrageri har blitt mye mer sofistikert enn tidligere, og det er ofte vanskelig å oppdage at man er i ferd med å bli lurt.