De siste par ukene har bransjemedia innen IT flommet over av artikler om Meltdown & Spectre. Selv om disse navnene er som hentet ut av en advokatserie på Netflix er dette snakk om mer alvorlige saker enn som så. Dette er navnene på to ulike sårbarheter i dine IT-systemer som kan utnyttes av hackere.

Her får du tipsene til hvordan du kan beskytte deg mot disse IT-truslene.

Hva er Meltdown & Spectre?

Det spesielle med Meltdown og Spectre, er at de finnes i prosessoren på PC’en eller Mac’en din. De finnes også på serverne i datarommet, enten systemene til ditt firma kjøres in-house eller er outsourcet til en leverandør.

Årsaken til Meltdown & Spectre er en feil i måten prosessoren i datamaskinene er designet på. Feilen gjør det mulig å hente ut data som i utgangspunktet skulle være skjult. Dette kan hackere utnytte for å få tak i informasjon, som for eksempel senere kan brukes for å komme inn i dine systemer. Det er tilnærmet umulig å finne ut om slik lekkasje har funnet sted eller ikke.

Siden dette gjelder prosessorer fra Intel og ARM betyr det at millioner av PC’er, Mac’er og servere verden over er rammet. Feilen er bygget inn i maskinvaren og derfor er ikke dette sårbarheter som enkelt kan fikses med en ny versjon av forretningssystemet eller lignende. Leverandører som Microsoft og Apple har adressert problemet og publisert oppdateringer til sine operativsystemer. Det samme har ulike produsenter av maskinvare.

Hvem er rammet?

I prinsippet er alle som bruker moderne PC’er, Mac’er og servere potensielt utsatte. Uttalelser fra større bransjeaktører peker imidlertid på at faren for angrep er størst i outsourcede miljøer og miljøer der mange kunders løsninger kjører side om side. De store leverandørene har sannsynligvis dette under kontroll. Mindre lokale leverandører kan være mer utsatt ettersom de ikke i samme grad har tilgang på informasjon og løsninger som de store.

Hva skal man gjøre for å beskytte seg?

1. Gjør en risikovurdering av dine systemer og finn ut hvilke systemer som er mest kritiske.
2. Sørg for løpende oppdatering av kritiske systemressurser (såkalt patching) – aller helst alle, inklusive PC’er og Mac’er.
3. Dersom dere benytter systemer som ikke lenger kan oppdateres, må det legges en plan for utskiftning av disse. Dersom dette ikke er mulig må man beskytte disse maskinene spesielt.
4. Få en uttalelse fra eventuelle leverandører av outsourcede løsninger om hvordan de håndterer dette. Dersom de ikke kan svare eller ikke har planene klare, er det en indikator på at de ikke har oversikt. Dette bør få varsellampene dine til å lyse.

Sørg for å knytte til dere ressurser med kunnskap om IT-sikkerhet dersom dette ikke finnes i tilstrekkelig grad internt. Husk at virksomhetens IT-sikkerhet er et styreansvar.