Mød byen

Du kan ikke beskytte noget, du ikke ved, at du har. Forsvarerens første opgave er en fortegnelse: en liste over de aktiver, altså de ting af værdi, der skal beskyttes.

Forestil dig en lille opdigtet by, Acmeton, med en skole, en klinik, en butik og et rådhus. Dens aktiver falder i nogle få grupper:

• Personer og konti: elever, ansatte, fælles postkasser og administratorkontoen.
• Enheder: bærbare computere, tablets, telefoner, printeren, et dørkamera og en smart termostat.
• Tjenester og software: webshoppen, e-mail og bookingsystemet.
• Data: kundelister, journalnotater, eksamenskarakterer og betalingsoplysninger.
• Forbindelser: routeren, wi-fi og forbindelsen til internettet.

Hvilke aktiver er kritiske? Stil to spørgsmål om hvert af dem:

• Hvor alvorligt ville det være, hvis det blev afsløret, ændret eller ikke var tilgængeligt? (CIA-treen fra lektion 1)
• Hvor mange andre ting afhænger af det?

Skolens fraværsoptegnelser er mere kritiske end kaffemaskinen på lærerværelset, selv om begge har en netværksforbindelse. Et kritisk aktiv får stærkere lag, mere omhyggelige opdateringer og bedre sikkerhedskopier. Hvis man fordeler indsatsen ligeligt på alt, betyder det som regel, at man beskytter de få vigtigste ting for dårligt.

En nyttig fortegnelse registrerer for hvert aktiv: hvad det er, hvem der ejer det, hvor det er (på stedet, i skyen eller hjemme hos nogen), hvilke data det indeholder, og hvor kritisk det er. Et simpelt regneark er en fin start. Skjulte eller glemte ting, som en gammel testserver eller et kamera, som ingen husker at have installeret, er en klassisk kilde til problemer. Et aktiv, som ingen kender til, er et aktiv, som ingen opdaterer.

Tænk som en forsvarer. For at forstå risiko er det nyttigt at spørge "hvis nogen ville gøre skade her, hvad ville de gå efter, og hvad er den nemmeste vej ind?" Sikkerhedsfolk kalder det at se på angrebsfladen: alle de steder, hvor et problem kan trænge ind. Vi stiller kun spørgsmålet for at beslutte, hvad der skal styrkes, aldrig for at planlægge skade. Nogle gange beskrives det som "angriberens synsvinkel", men målet er udelukkende at beskytte.

Med NIST's begreber er denne lektion funktionen Identify: kend dine aktiver, kend risiciene, og fastsæt prioriteter. Alt det, der følger i kurset, bygger på dette.

En regel mere for din egen opgørelse: Den gælder kun systemer, du ejer eller har ansvaret for. Det kan være ulovligt at se på, opføre eller undersøge andres udstyr uden tilladelse, også selvom du ikke mener noget ondt. Lektion 24 forklarer hvorfor.