6.4 Informasjonssikkerhet og tiltak

Å kjenne fienden er bare halve jobben

Tenk deg at du har lært alt om innbruddstyver -- hvordan de dirker låser, klatrer over gjerder og sniker seg inn vinduer. Det er nyttig kunnskap. Men det hjelper deg ikke stort hvis du ikke samtidig låser døra, setter opp et gjerde og kanskje installerer et alarmsystem. Slik er det med digital sikkerhet også. I forrige kapittel ble vi kjent med truslene. Nå skal vi bygge forsvaret.

Informasjonssikkerhet handler om å beskytte data mot uautorisert tilgang, endring og tap. Det avgjørende prinsippet er at ingen enkelt barriere holder alene. I stedet bygger vi et lagdelt forsvar, der flere tiltak virker sammen. Hvis ett lag svikter, står de andre fortsatt. Vi skal se på murene som stenger ute trafikk, koden som gjør data uleselig for uvedkommende, dørene som krever to nøkler, og rutinene som redder oss når alt annet feiler.

Murene og krypteringen

La oss begynne ytterst, ved selve grensen til systemet. En brannmur kontrollerer all trafikk inn og ut av et nettverk etter regler du definerer. Den blokkerer uautorisert innkommende trafikk og kan settes opp til å tillate eller stenge bestemte porter og protokoller. Den finnes både som programvare, slik som brannmuren innebygd i Windows, og som dedikert maskinvare. Sammen med brannmuren jobber antivirusprogrammet, som skanner filer og prosesser. Det sammenligner med en database over kjente trusler, men bruker også heuristisk analyse til å oppdage ukjent skadevare basert på mistenkelig oppførsel. Skal det fungere, må det holdes oppdatert.

Men hva med dataene som faktisk forlater maskinen din og reiser over internett? Her kommer kryptering inn -- prosessen som gjør data uleselig for alle uten riktig nøkkel. Det finnes to hovedtyper. Ved symmetrisk kryptering brukes samme nøkkel til både å kryptere og dekryptere. Det er raskt, men utfordringen er å dele nøkkelen trygt. AES er et eksempel, brukt blant annet til å kryptere harddisker. Ved asymmetrisk kryptering brukes derimot to nøkler: en offentlig nøkkel som alle kan bruke til å kryptere, og en privat nøkkel som bare mottakeren har for å dekryptere. RSA er et eksempel. Det er nettopp dette som ligger bak SSL/TLS, teknologien som krypterer kommunikasjonen mellom nettleseren din og en webserver hver gang du ser «https» og hengelåsen i adressefeltet.

To nøkler og en lang passfrase

Selv den beste krypteringen hjelper lite hvis noen bare kan logge inn som deg. Derfor er autentisering -- å bevise at du er den du sier du er -- et eget forsvarslag. Tofaktorautentisering, ofte forkortet 2FA, krever to ulike typer bevis. Det kan være noe du vet, som et passord eller en PIN-kode. Det kan være noe du har, som mobilen din med en SMS-kode eller en autentiserings-app. Og det kan være noe du er, altså biometri som fingeravtrykk eller ansiktsgjenkjenning. Poenget er kraftfullt: selv om noen stjeler passordet ditt, kommer de ingen vei uten den andre faktoren.

Men passordet er fortsatt en bærebjelke, og her gjør mange en klassisk feil. De tror et kort, kronglete passord som «xK9#mP2» er trygt. Sannheten er at lengde slår kompleksitet. Et langt passord tar mye lengre tid å knekke enn et kort, selv om det korte er fullt av spesialtegn. Derfor anbefales en passfrase -- en lang setning som er lett å huske, som «TreGrønneKatterDansetPåTaket42». Den er både lang og motstandsdyktig mot ordlisteangrep. To andre regler er gull verdt: bruk et unikt passord for hver tjeneste, slik at ett lekket passord ikke åpner alt, og la en passordbehandler som Bitwarden eller 1Password generere og huske dem for deg. Da slipper du å holde styr på alt selv -- og du slipper å falle for fristelsen til å bruke «123456» eller «passord».

Redningsplanken når alt annet svikter

La oss være ærlige: ingen forsvar er hundre prosent. En dag kan en harddisk dø, en maskin bli stjålet, eller ransomware kryptere alt du eier. Da er det én ting som skiller en irritasjon fra en katastrofe -- sikkerhetskopiering.

En god tommelfingerregel er 3-2-1-regelen. Du skal ha 3 kopier av viktige data, lagret på 2 ulike typer medier -- for eksempel en ekstern harddisk og skylagring -- og 1 av kopiene skal være oppbevart et annet sted, utenfor hjemmet eller kontoret. Da overlever dataene dine både brann, tyveri og maskinvarefeil. Det finnes ulike måter å ta kopier på: en full kopi tar med alle data og er enkel å gjenopprette, men tar tid. En inkrementell kopi tar bare med det som har endret seg siden forrige kopiering -- rask, men gjenoppretting krever alle delkopiene. En differensiell kopi tar med alt som er endret siden siste fulle kopi, et slags mellomting.

Til slutt det enkleste og mest oversette tiltaket av alle: å holde programvaren oppdatert. Sikkerhetsoppdateringer tetter kjente sårbarheter, så slå på automatiske oppdateringer der du kan -- på operativsystemet, nettleseren, appene og programtilleggene. Gammel programvare som ikke lenger får støtte, er en stor risiko. Når vi legger alle disse lagene sammen -- brannmur, antivirus, kryptering, 2FA, gode passord, sikkerhetskopier og oppdateringer -- får vi nettopp det lagdelte forsvaret vi snakket om i starten. Ingen enkelt mur holder alene, men sammen blir de et solid vern.

Oppsummering

Vi har bygget et forsvar lag for lag. Ytterst står brannmuren som kontrollerer trafikk, og antivirusprogrammet som skanner etter skadevare. Kryptering gjør data uleselig for uvedkommende -- symmetrisk kryptering bruker én delt nøkkel, mens asymmetrisk bruker en offentlig og en privat nøkkel, slik som i SSL/TLS som sikrer nettsidene vi besøker.

For å bevise hvem vi er, legger tofaktorautentisering til et ekstra lag utover passordet. Og når det gjelder passord, slår lengde kompleksitet -- en lang passfrase, unik for hver tjeneste og gjerne lagret i en passordbehandler, er veien å gå. Til slutt sikrer vi oss mot det verste med sikkerhetskopiering etter 3-2-1-regelen, og vi holder all programvare oppdatert for å tette kjente hull. Ingen enkelt mur holder alene, men til sammen utgjør disse tiltakene et solid, lagdelt forsvar.