Tilbage
Cyber security uddannelse og software | MetaCompliance

Produkter

Oplev vores pakke af personlige Security Awareness Training-løsninger, der er designet til at styrke og uddanne dit team mod moderne cybertrusler. Fra politikstyring til phishing-simulationer - vores platform udstyrer din arbejdsstyrke med den viden og de færdigheder, der er nødvendige for at beskytte din organisation.

eLearning om cyber security

Cyber Security eLearning for at udforske vores prisvindende eLearning-bibliotek, der er skræddersyet til alle afdelinger

Automatisering af sikkerhedsbevidsthed

Planlæg din årlige oplysningskampagne med et par klik

Simulering af phishing

Stop phishing-angreb i deres spor med prisvindende phishing-software

Forvaltning af politikker

Centraliser dine politikker ét sted, og håndter politikkernes livscyklus uden besvær

Forvaltning af privatlivets fred

Styr, overvåg og administrer nemt overholdelse

Håndtering af hændelser

Tag kontrol over interne hændelser og afhjælp det, der betyder noget

Tilbage
Industri

Industrier

Udforsk alsidigheden af vores løsninger på tværs af forskellige brancher. Fra den dynamiske teknologisektor til sundhedssektoren kan du dykke ned i, hvordan vores løsninger skaber bølger på tværs af flere sektorer. 


Finansielle tjenesteydelser

Skab en første forsvarslinje for finansielle serviceorganisationer

Regeringer

En go-to-løsning til sikkerhedsbevidsthed for regeringer

Virksomheder

En løsning til træning af sikkerhedsbevidsthed i store virksomheder

Fjernarbejdere

Indlejr en kultur af sikkerhedsbevidsthed - også derhjemme

Uddannelsessektoren

Engagerende træning i sikkerhedsbevidsthed for uddannelsessektoren

Sundhedspersonale

Se vores skræddersyede sikkerhedsoplysning til sundhedspersonale

Teknisk industri

Forandring af sikkerhedsbevidsthedstræning i teknologibranchen

Overholdelse af NIS2

Støt dine Nis2-krav med initiativer til bevidstgørelse om cybersikkerhed

Tilbage
Ressourcer

Ressourcer

Fra plakater og politikker til ultimative vejledninger og casestudier - vores gratis awareness-aktiver kan bruges til at forbedre bevidstheden om cybersikkerhed i din organisation.

Cybersikkerhed for dummies

En uundværlig ressource til at skabe en kultur af cyberbevidsthed

Dummies guide til cybersikkerhed Elearning

Den ultimative guide til implementering af effektiv e-learning om cybersikkerhed

Den ultimative guide til phishing

Uddan medarbejderne i, hvordan man opdager og forebygger phishing-angreb

Gratis oplysningsplakater

Download disse gratis plakater for at øge medarbejdernes årvågenhed

Politik til bekæmpelse af phishing

Skab en sikkerhedsbevidst kultur og skab bevidsthed om cybersikkerhedstrusler

Casestudier

Hør, hvordan vi hjælper vores kunder med at skabe positiv adfærd i deres organisationer

A-Z-terminologi om cybersikkerhed

En ordliste med uundværlige termer inden for cybersikkerhed

Adfærdsmæssig modenhedsmodel for cybersikkerhed

Auditér din awareness-træning og benchmark din organisation i forhold til best practice

Gratis ting

Download vores gratis Awareness Assets for at forbedre bevidstheden om cybersikkerhed i din organisation

Tilbage
MetaCompliance | Cyber security uddannelse for medarbejdere

Om

Med over 18 års erfaring på markedet for cybersikkerhed og compliance leverer MetaCompliance en innovativ løsning til automatisering af medarbejdernes informationssikkerhedsbevidsthed og hændelseshåndtering. MetaCompliance-platformen blev skabt for at imødekomme kundernes behov for en enkelt, omfattende løsning til at håndtere de menneskelige risici omkring cybersikkerhed, databeskyttelse og compliance.

Hvorfor vælge os?

Lær, hvorfor Metacompliance er den betroede partner til træning i sikkerhedsbevidsthed

Specialister i medarbejderengagement

Vi gør det lettere at engagere medarbejderne og skabe en kultur med cyberbevidsthed

Automatisering af sikkerhedsbevidsthed

Automatiser nemt træning i sikkerhedsbevidsthed, phishing og politikker på få minutter

MetaBlog

Bliv informeret om emner inden for cybersikkerheds-awareness-træning og begræns risikoen i din organisation.

En introduktion til insidertrusler

Insider-trussel

om forfatteren

Del dette indlæg

Ingen kan lide at tænke på, at der findes insidertrusler i deres virksomhed, som kan bringe organisationen i fare for databrud eller være årsag til en bøde på flere tusinde pund for manglende overholdelse af reglerne. Men insidertruslen er alt for reel. Ifølge flere rapporter ligger insidertrusler bag mange af de sikkerhedsproblemer, som vi står over for i dag. "Cybersecurity Insiders Insider Threat Report 2020" fandt f.eks. ud af, at 68 % af organisationerne mener, at insidertrusler er stigende i hyppighed. I en undersøgelse fra Egress, "2020 Insider Data Breach Survey", sagde næsten alle it-ledere, der svarede, at risikoen for brud på insider-oplysninger var en "betydelig bekymring".

Det siges ofte i cybersikkerhedsbranchen, at insidertrusler er de sværeste at håndtere; hvordan kan en ondsindet handling eller en utilsigtet datalækage trods alt opdages? Her er vores guide til insidertrusler, og hvordan man kan forhindre dem.

Typer af insidertrusler

En insider er en person, der i øjeblikket arbejder eller tidligere har arbejdet for din organisation. Denne definition dækker både ansatte og ikke-ansatte, f.eks. entreprenører. Insidere kan også udvides til at omfatte en forretningsforbindelse eller en virksomhed fra dit leverandørøkosystem. Fjernarbejdere bidrager også til virksomhedens problemer med insidersikkerhed, og en IBM-undersøgelse viser, at sikkerhedsproblemer forværres af virksomheder, der ikke sikrer, at sikkerhedspolitikker for fjernarbejde håndhæves.

Den utilsigtede insider

I en artikel fra EC-Council står der, at 64 % af datatabshændelser skyldes insidere, der "mente det godt", med andre ord, at der sker uheld. Det overordnede begreb "utilsigtede insidertrusler" dækker et bredt spektrum af mulige "ulykker eller uheld". Nogle af disse uheld skyldes, at man simpelthen ikke forstår sikkerhedsrisici, når man udfører en opgave, mens andre, som f.eks. phishing eller social engineering, skyldes, at enkeltpersoner manipuleres af eksterne kræfter. Fejlkonfiguration af it-systemer er et andet område, som er utilsigtet, men som gør det muligt for eksterne kræfter at udnytte et system. Den utilsigtede insider kan ofte henføres til fire hovedproblemområder:

  • Ups-faktoren: Misforståelse eller manglende viden om sikkerhedsprocesser og -risici. Egress-undersøgelsen viste, at 31 % af bruddene skyldtes, at en medarbejder sendte oplysninger pr. e-mail til den forkerte person.
  • Tricktyveri: Manipulation af eksterne kræfter, f.eks. phishing. Egress-undersøgelsen viste, at 41 % af de data, der blev lækket ved et uheld, skyldtes en phishing-e-mail.
  • Dårlig kropsholdning: Dårlig sikkerhedsindstilling hos en virksomhed og manglende håndhævelse og uddannelse om sikkerhed
  • Manglende sikkerhedskompetencer: Fejlkonfiguration af systemer på grund af dårlig uddannelse eller manglende forståelse for sikkerhed på it-administrationsniveau

Ondsindede insidere

De ansatte og ikke-ansatte, der bevidst har til hensigt at skade it-systemer eller stjæle data, betegnes som ondsindede. I modsætning til utilsigtede insidere er ondsindede insidertrusler typisk motiveret af penge eller hævn. En rapport fra Fortinet om insidertrusler viste, at 60 % af virksomhederne var bekymrede over truslen om databrud forårsaget af en ondsindet insidertrussel. I undersøgelsen blev der også set på motivationen for ondsindede insidere, og de tre vigtigste årsager var:

  1. Svig (55%)
  2. Penge (49%)
  3. Tyveri af intellektuel ejendom (44 %)

Ondsindede insidere rekrutteres endda på det mørke net, og en rapport peger på en annonce på det mørke net for en bankansat, der skulle agere som ondsindet insider, og som blev betalt 370.000 rubler (4.400 pund) om måneden for en times arbejde om dagen.

Eksempler på insidertrusler

Uanset om databruddet eller en anden sikkerhedshændelse er forårsaget i ond hensigt eller ved et uheld, er konsekvenserne de samme. Databrud og andre sikkerhedsproblemer resulterer i store bøder for manglende overholdelse af reglerne, tab af kundernes tillid til organisationens evne til at beskytte følsomme oplysninger og endog fald i virksomhedens aktieværdi. Nedenfor er vist tre eksempler, hvor insiderangreb har forvoldt virksomheden skade:

Den utilfredse medarbejder: En virksomhed, der var involveret i distributionen af beskyttelsesudstyr (PPE) under Covid-19-pandemien, led under en vred medarbejder. Den tidligere medarbejder, "Dobbins", oprettede to falske brugerkonti, inden han mistede sit job. Da han blev fyret, loggede Dobbins ind i systemet ved hjælp af de falske konti. Derefter redigerede han næsten 12 000 poster og slettede over 2 000. Til sidst deaktiverede han de falske konti. Ved at foretage disse ændringer forstyrrede Dobbins i alvorlig grad leveringen af PPE til sundhedspersonalet.

Ondskabsfuld hensigt med henblik på profit: En BUPA-ansat forårsagede et brud, der berørte 547.000 kunder, hvilket resulterede i, at den britiske ICO idømte Bupa en bøde på 175.000 £. Medarbejderen brugte virksomhedens CRM-system til at sende sig selv BUPA-kundernes personlige oplysninger, hvorefter han forsøgte at sælge de kompromitterede konti på det mørke net.

Ulykker sker, men de er ofte utilgivelige: Den uafhængige undersøgelse af seksuelt misbrug af børn (IICSA) blev undersøgt, efter at en medarbejder sendte en masse e-mail til 90 mulige ofre for seksuelt misbrug af børn. Medarbejderen brugte simpelthen cc-feltet i stedet for bcc-feltet til at indtaste e-mailadresser. Det britiske ICO idømte IICSA en bøde på 200 000 pund i henhold til databeskyttelsesloven (DPA2018).

Måder at opdage og mindske insidertrusler i din organisation

Selv om det kan være svært at opdage og forhindre insiderangreb, er der måder at minimere deres indvirkning på. Her er fem måder, der kan hjælpe din organisation med at kontrollere insidertrusler:

Security awareness training

Da mange insidertrusler er utilsigtede, kan træning i sikkerhedsbevidsthed spille en vigtig rolle i at mindske denne cyberrisiko. Uddannelse i sikkerhedsbevidsthed bør dække aspekter af utilsigtede insidertrusler som f.eks:

  • Sikkerhedshygiejne: f.eks. ved at lære medarbejderne at være opmærksomme på at sende data på en sikker måde.
  • Phishing: Sikring af, at medarbejderne er opdateret på e-mail og andre phishing-tricks og er opmærksomme på tyveri af legitimationsoplysninger via phishing-websteder.
  • Bevidsthed om overholdelse: Sikring af, at medarbejderne er opmærksomme på deres rolle med hensyn til at sikre, at lovgivningen overholdes.

Nul tillid

Mange insidertrusler skyldes misbrug eller misbrug af rettigheder og dårlig kontrol med adgangen til følsomme data. Nul tillid er baseret på princippet om "aldrig tillid, altid verificere". Det går ud på, at medarbejdere og/eller anvendte enheder udfordres, når de forsøger at få adgang til ressourcer.

Disse udfordringer afspejler ressourcernes følsomhed, så mere følsomme data eller apps kræver større sikkerhed for, at den person, der har adgang til dem, er den, han eller hun siger, han eller hun er. En nultillidsarkitektur er en blanding af passende teknologier og en arkitektonisk tilgang, der hjælper med at opdele områder af et netværk i forskellige områder. Teknologier til støtte for en nultillidsarkitektur omfatter SIEM (Security Information and Event Management) og en CASB (Cloud Access Security Broker).

Godkendelse og autorisation

Princippet om robust autentificering og godkendelse bygger på en nultillidsarkitektur. Kontekstbevidst autentificering og godkendelse tilføjer et vigtigt lag af kontrol til adgangen til følsomme data. Brugen af 2FA/MFA til at få adgang til virksomhedens apps, især når der arbejdes eksternt, bør håndhæves. Sammen med overvågning skaber disse processer et robust sikkerhedslag.

Leder du efter signaler om usædvanlig adfærd?

Det kan være svært at opdage ondsindede insidertrusler, men visse teknologier baseret på maskinlæring (ML) kan hjælpe med at opdage trusler og advare dit sikkerhedsteam om enhver usædvanlig aktivitet. En af disse teknologier er overvågning af medarbejdere i form af UEBA (User and Entity Behaviour Analytics). UEBA bruges til at opdage usædvanlig adfærd ved at bruge ML til at opdage unormale adfærdsmønstre, når mennesker interagerer med enheder og netværk.

Anti-phishing og spam-kontrol

Teknologier, der forhindrer, at phishing-e-mails overhovedet kommer ind i medarbejdernes indbakker, kan hjælpe med at forhindre utilsigtede indbrud fra insidere. Løsninger kan bruges til at forhindre medarbejdere i at navigere til ondsindede URL'er. Disse softwaretjenester leveres typisk som cloud-baserede platforme. E-mail-filtrering og scanning af URL-indhold er nyttige som et sikkerhedsnet, der kan supplere uddannelse i sikkerhedsbevidsthed.

Vores medarbejdere er vores største aktiv, og det skal vi sikre, at de forbliver det ved at give dem mulighed for at uddanne dem og beskytte dem og vores virksomhed med de bedste sikkerhedsteknologier, der findes.

Cybersikkerheds-awareness for dummies

Andre artikler om Cyber Security Awareness Training, som du måske finder interessante

duckduckgo vs google EN

DuckDuckGo vs Google - 5 grunde til, at du skal holde op med at bruge Google!

Vidste du ikke, at DuckDuckGo er en søgemaskine? Nå, men nu ved du det. Siden grundlæggelsen i 2008 har DuckDuckGo gjort det til sin mission at udvikle en søgemaskine, der ikke gemmer eller deler personlige data, helt i modsætning til Google. Googles forretningsmodel er mindre baseret på databeskyttelse og mere på personaliseret annoncering. Uden lagring af persondata ville Google stort set miste den luft, de indånder. Men Google er stadig den mest brugte søgemaskine, og det er der en grund til. Google har dog en svaghed, og det er databeskyttelse.
Læs mere "
databeskyttelse vs informationssikkerhed DA

Informationssikkerhed vs. databeskyttelse

Er dette et problem for vores ISO eller vores DPO, eller er det stort set det samme i begge tilfælde? Hvem er egentlig ansvarlig for denne hændelse, og er der overhovedet behov for at rapportere den? For at kunne diskutere ligheder og forskelle mellem informationssikkerhed og databeskyttelse, er det første skridt at definere de to områder.
Læs mere "