Et udenlandsk it-firma kunne i årevis følge med, når militært materiel blev fragtet på danske jernbaner. Ikke via hacking. Via en kontrakt.
Hvad adgangen omfattede
Et it-firma med hovedsæde i et land uden for Danmarks sikkerhedspolitiske fællesskab havde i omkring fem år adgang til et system, der logger militære transporter på det danske jernbanenet.
Samme firma arbejdede sideløbende for landets statsejede våbenindustri.
Da invasionen af Ukraine begyndte i februar 2022, blev samarbejdet stoppet inden for 24 timer. Det siger noget om, hvad myndigheden selv vurderede risikoen til.
Det er ikke en enkeltstående sag
Software fra samme land har været brugt af en anden dansk myndigheds leverandører til at kortlægge veje, broer og tunneller via dronefotos. Softwaren var allerede sortlistet i to andre europæiske lande.
Fælles for begge sager er, at der ikke var tale om cyberangreb. Der var tale om lovlige samarbejder og indkøb, hvor ingen stillede de rigtige spørgsmål om leverandørkæden.
Det er samme mekanisme som i de sager, hvor adgangen blev givet frem for stjålet.
Det er præcis det, NIS2 handler om
Ikke kun firewalls og beskyttelse af enheder, men hvem der har adgang til hvad, og hvem de ellers arbejder for.
Leverandørstyring er et af de fire dokumentationskrav i direktivet. Og det er det, de fleste er dårligst forberedt på.
Tre spørgsmål inden næste kontrakt
Hvem ejer selskabet bag leverandøren, og hvor er moderselskabet registreret?
Hvilke andre kunder har de i sektorer, der kunne udgøre en interessekonflikt?
Hvilken adgang giver kontrakten, og hvad sker der med den, hvis samarbejdet stopper i morgen?
Det sidste er det, der sjældent står i aftalen. Hvem lukker adgangen, hvor hurtigt, og hvem bekræfter det.
Hvad står der i jeres kontrakter
Ved I, hvilke eksterne parter der har adgang til jeres systemer, og hvem de ellers arbejder for?
En leverandøraudit kortlægger adgange, ejerskab og de rettigheder, hvert led i kæden har.
Har du brug for at få kæden kortlagt? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
Gør som 4.500+ andre. Få mønstre fra 500 dokumenterede sager og konkrete anbefalinger om cybersikkerhed og digital suverænitet hver 14. dag.
