What’s in my bag – Cybersäkerhetskonsult edition

Ett oerhört populärt koncept för influencers är ”What’s in my bag?” där de visar upp sin (ofta väldigt dyra) väska och vad som finns i den. Det brukar vara allt från läppglans (mer än ett), mobilladdare, tuggummi, nycklar, plånbok och smink. I den här bloggen kommer jag att göra samma sak – men den mycket mer populärare (?) versionen cybersäkerhetskonsult edition.

Till att börja med – väska? Nej, det har jag inte någon dyr, lyxig version av. För äkta cybersäkerhetskonsult-vibes ska det vara en BRA och FUNKTIONELL ryggsäck eftersom vi konsulter inte sällan har särskilda kunddatorer när vi arbetar mot kund. Detta kan leda till att vi bär på lika många datorer som vi har kunder. Ett tag fick jag bära runt på tre datorer. Det var ett väldigt effektivt träningspass att ta mig runt i Stockholm till olika kunder och vårt kontor, särskilt eftersom det här var datorer som inte kunde använda samma typ av laddare… Inte sällan ser jag kollegor bära på diverse annan hårdvara. Årets julklapp? En rullväska för samtliga cybersäkerhetskonsulter. Hur som helst, låt oss kika på vad vi brukar bära runt på i vår funktionella väska*!

*Väska i det här fallet kan också tolkas som något som finns lättillgängligt på ens laptop.

Laptops >1: No need to say more, mer än en styck laptop är det absolut vanligaste du hittar i en cybersäkerhetskonsults väska.

Skärmskydd (privacy screen protector): Skärmskydd är ofta filter som placeras ovanpå skärmen för att begränsa möjligheten för utomstående att se vad du gör på din skärm. Det finns även datorer som har skärmskydd inbyggt som kan aktiveras från datorn. Skärmskydd fungerar som en form av persienn på datorskärmen. Står du framför ett fönster där persiennerna är nerdragna, men öppna så att varje blad är en rak linje när du kollar framifrån kan du se ut genom fönstret. Men flyttar du dig så att du inte kollar ut genom fönstret rakt framifrån kommer din utsikt begränsas – det är så skärmskydd fungerar. I skärmskyddet finns så kallade micro louvres vilka är små persienner (typ) för din skärm. Det finns skärmskydd som fungerar både horisontellt och vertikalt, dvs insynen på skärmen begränsas både från höger och vänster samt uppifrån och nerifrån av skärmen.

Det är viktigt att notera att skärmskydd är ingen garant för att obehöriga inte kan se vad du gör på din skärm eftersom den endast begränsar insynen till viss del. Ofta kan en person som är bakom dig se vad du gör även om du har skärmskydd på. Till exempel om du reser med tåg kan den som sitter i stolen bakom dig se din skärm.

ISO/IEC 27000-suiten: Jag har sagt det tidigare och jag kommer säga det igen, ISO/IEC 27 001 är den heliga skriften för oss som jobbar med cybersäkerhet. Man skulle kunna tro att jag vid det här laget kan den utantill, men det är som att varje gång jag ska kolla upp någon detalj får jag ett nytt perspektiv och en lite mer uppdaterad tolkning av vad som står i standarden egentligen. 27 000-suiten ger stödjande material för implementering av ett informationssäkerhetsledningssystem i en organisation av valfri storlek och i valfri sektor. Oavsett om ens organisation är eller har som mål att bli certifierad eller inte så ger ISO/IEC 27 001 väldigt bra struktur och guidning kring hur man kan tänka kring riskhantering och val av säkerhetsåtgärder, såväl som ledningens ansvar för informationssäkerhet. I min väska finns alltid ISO/IEC 27 001 och 27 002 tillgänglig för att konsulteras vid behov. 27 004 är en bubblare om man ibland får uppdrag som internrevisor. 27 005 är ypperlig om man känner ett behov av att dyka ner i risker. Det finns en 27 000 för varje tillfälle helt enkelt!

Krypterat USB-minne: För att säkert kunna hantera känslig information. För kunder där vi inte får en kunddator, eller när vi jobbar med interna uppgifter, är det viktigt att inte spara ner känslig information lokalt på datorn eller i molnet. Ett krypterat USB-minne gör det möjligt att dela och arbeta med kunduppdrag utan att information sparas ner på olämpliga platser. Krypterade USB-minnen har en kryptonyckel som är lagrad på stickan utan att vara läsbar på något sätt och endast genom att ange pinkoden dekrypteras stickan och information går att nå. Kryptering och dekryptering sker med hjälp av chip som är inkapslade i elektroniken, vilket gör att inget är kopplat till datorn som stickan sätts in i. Stickan startar som en drive på datorn där filer kan arbetas med – men filerna sparas endast på USB-minnet och inte på datorn. Vid inköp av ett krypterat USB-minne finns det flera saker att tänka på för att göra rätt val. Efterforskning behövs för att säkerställa att USB-minnet är säkert och kompatibelt med de enheter det ska användas på. Följande är viktigt att undersöka:

• USB-minnet ska vara tamper proof, det ska inte gå att plocka isär USB-minnet för att komma åt lagrad information. Detta är mycket viktigt eftersom USB-minnena är små och kan komma på villovägar.
• De ska inte ha möjlighet till återställning. Skrivs fel pinkod mer än 3-4 gånger ska USB-minnet låsa sig och det ska inte finns någon möjlighet att digitalt eller manuellt återställa pinkoden eller få ut information från stickan.
• De har rätt FIPS-certifieringar för adekvat kryptering för ändamålet.
• Hastighet och minnesstorlek – eftersom krypterade USB-minnens prislapp styrs till stor del av dess hastighet och minnesstorlek. Generellt sett är krypterade USB-minnen långsammare än vanliga USB-minnen så desto snabbare och större minnesstorlek desto dyrare.
• Krävs drivrutiner? Vissa krypterade USB-minnen kräver att särskilda drivrutiner installeras på datorn för att USB-minnet ska fungera. Detta kan ställa till problem om man behöver flytta filer mellan enheter där det på en enhet inte är möjligt att ladda ner drivrutiner.   

Nycklar: Precis som influencers så har vi cybersäkerhetskonsulter faktiskt också nycklar i väskan. Men det är nycklar med en twist – de får gärna vara både fysiska och digitala. Det vill säga att det är fysiska nycklar som har en digital komponent. Mixen av fysiskt och digitalt gör att nycklarna är mycket svårare att klona än enbart digitala nycklar eftersom den fysiska nyckeln fortfarande behövs för att öppna låset. Den digitala komponenten gör det dessutom möjligt att logga användning av nyckeln samtidigt som nycklarna kan göras obrukbara centralt, om de mot förmodan skulle bli borttappade. Mycket smart!

Lösenordshanterare: Den observante läsaren har insett att allt i väskan inte behöver ligga i väskan. Detta gäller även lösenordshanterare. Det här kan vara det enskilt viktigaste verktyget för en cybersäkerhetskonsult. Jag ska erkänna, vi gillar att sätta upp lösenordspolicies som tvingar användare att skapa komplexa lösenord som är mycket svåra ta sig igenom med brute-force. Det innebär att vi själva även måste följa dessa regler. Det absolut smidigaste sättet att hålla koll på komplexa lösenord är genom en lösenordshanterare. På så sätt räcker det att komma ihåg ett komplext lösenord för att få åtkomst till de ytterligare tiotal lösenord som behövs i det arbetsvardagliga livet. För att levla till expert level används en andra lösenordshanterare för att hantera lösenordet till den första lösenordshanteraren.

Det var det! Men nu ser jag att det finns ännu fler saker som är bra att ha i min väska…