Vi har väl alla tappat räkningen för hur många gånger vi hört fraser som ”i dessa tider”, ”när läget är som det är” eller ”digitalt förstås”, men med risk för att spä på klichéerna blev 2020 knappast vad vi hade väntat oss. Och ett otroligt spännande och många gånger skrämmande år.

Det som framförallt ställde it-säkerheten på huvudet för vanliga företag och organisationer var förstås att en stor del av befolkningen började arbeta hemifrån, i en helt annan skala än tidigare och i en helt annan it-säkerhetsmässig miljö än normalt.

Att folk jobbar hemifrån är förstås inget nytt, det var en uppåtgående trend redan innan corona, men trenden accelererade enormt under det första halvåret och situationen tvingade ut yrkesgrupper, arbetsuppgifter och funktioner från kontoren som i vanliga fall aldrig hade kommit på fråga att befinna sig utanför företagets (brand)väggar.

Nu har vi en situation där folk arbetar hemma med ibland känsliga arbetsuppgifter bakom en hemmarouter av många gånger tvivelaktig kvalitet och kanske en bandbredd där strömmar med viktiga videomöten ska samsas med Netflix, Fortnite, ”smarta” hemprylar, och med ett SLA med ”upp till” och ”inga garantier” som främsta värdeord.

Desto fler har koll i dag

Om få utanför it-avdelningen kände till förkortningen VPN innan, så har desto fler koll idag. Och säkerheten kring hemarbete kom ganska snabbt i fokus. Redan tidigt i våras sattes olika system och produkter för videokonferenser på prov av den grymma verkligheten.

Ett mindre företag i USA, som knappt någon hört talas om tidigare, som utvecklat en användarvänlig och gratis applikation för videokonferenser i godan ro, fick en skjuts på marknaden som bokstavligen blev större än de kunde hantera. Vi talar förstås om Zoom. Att Zoom steg så pass i popularitet tillskrivs till stor del en teknisk innovation som höll nere fördröjningarna till en minimum vilket gör att användarna upplever en hög kvalitet.

I december 2019, alltså strax innan pandemin, toppade antal dagliga deltagare i videomöten på Zoom 10 miljoner, ett halvår senare, i april 2020, låg den siffran på över 300 miljoner. Antalet dagliga nedladdningar av applikationen steg från 56 000 i januari till 2,13 miljoner i mars. Med denna explosionsartade ökning av användare kom så säkerhetsproblemen som en inbjudan i mejlen. Bokstavligen.

Säkerhetsproblemen berodde på flera faktorer, varav en var att utvecklingsteamet på Zoom helt enkelt inte var helt färdiga med produkten, man hade dittills fokuserat på utveckling av funktioner och inte prioriterat att testa säkerheten. Andra orsaker var att så många nya typer av användare började använda Zoom, inte minst högprofilerade personer, och förstås att de cyberkriminella började rycka i hänglåsen av samma anledning.

Levde inte upp till löftena

Som lök på laxen hade Zoom dessutom ställt ut löften om säkerhetsfunktioner i produkten de inte kunde hålla. Att samtalen till exempel skulle vara krypterade var helt enkelt inte sant.

Alla problem som drabbade Zoom under våren och sommaren får inte plats i denna artikel, men det handlade bland annat om att utomstående kunde ansluta till möten, att användarkonton i Windows kunde stjälas via Zoom-appen och att hundratusentals Zoom-konton var på vift på svarta marknaden.

Men det ska sägas till Zooms försvar att de snabbt tog tag i problemen och rättade till dem ett efter ett. Företaget rekryterade bland annat Facebooks säkerhetschef och köpte upp ett företag med rätt kompetens. Och numer ser det ut som att de inte lovar mer än de kan hålla.

I rättvisans namn bör det också tilläggas att fler än Zoom stötte på problem när produkterna blev hårt belastade, även Microsoft Teams och Ciscos Webex har fått ta emot sina beskärda delar av kakan.

Men det är långt ifrån bara applikationer för videomöten i samband med hemarbete som utsatts för säkerhetshot under 2020. Själva hemarbetet i sig, att många som normalt aldrig arbetar från sina hem nu kom att göra det, har öppnat nya attackytor.

Rapporterna om och varningarna för attacker och cyberhot mot personal som arbetar hemma har duggat tätt, speciellt från it-säkerhetsföretagen som sett en svängning i attackmönstren och tillvägagångssätt, men det har även utgått varningar och råd från Myndigheten för samhällsskydd och beredskap, MSB.

Den it-säkerhetsmässiga miljön i hemmen är någon helt annan än man kan förvänta sig inom en kontorsmiljö eller annan it-miljö på ett företag. Bara det enkla faktum att organisationen blir distribuerad utgör i sig ett säkerhetsmässigt problem.

Inkörsport mot centrala resurser

Ett företag med hundra anställda som tidigare behövde skydda en eller två ip-adresser befinner sig nu i en situation med kanske 100 ip-adresser, oräknat eventuella molntjänster. Varje ip-adress är en inkörsport mot företagets centrala resurser och interna nätverk genom medarbetarnas vpn-uppkopplingar.

Tidigare behövde företagets ansvariga för it-säkerheten hantera exempelvis brandväggar från en eller möjligtvis två leverantörer av professionella produkter, nu måste man rätta sig efter att företagets inkörsportar består av hushållsbrandväggar från ett dussintal olika leverantörer med ett otal olika modeller av varierande ålder. Om de är uppdaterade med den senaste mjukvaran står skrivet i stjärnorna.

Vad som också skett är en slags omvänd byod, bring your own device. Istället för att folk tar med sig sina egna enheter som mobiltelefoner in på företagens nätverk, har företagens enheter hamnat utanför kontoren och kopplas upp från hemmen eller egentligen var som helst. Är enheterna förberedda för det? Inte alltid.

Allt detta har dessutom skett i all hast, de flesta företag blev mer eller mindre överrumplade av rekommendationerna från myndigheterna, och flytten av it-miljön ut från företagen och in i hemmen har på de flesta håll skett ad hoc och efter bästa förmåga. It-säkerheten har fått komma i andra hand, och det först under andra halvan av året som det ser ut som att företagen har kommit ikapp och har bättre koll på läget.

Fortsättning under 2021

Nu tyder det mesta på att situationen med omfattande hemarbete kommer att fortsätta även nästa år och mycket talar för att situationen åtminstone delvis kommer att bli permanent, eller det ”nya normala” som det populärt heter. Då är det inte svårt att se att det kommer att komma en andra våg av it-attacker mot de anställda i hemmen, men det kommer också att komma en andra våg av säkerhetsåtgärder, då förmodligen mer genomtänkta än de tillfälliga lösningar vi sett många håll hittills.

Samtidigt finns det stora fördelar med den nya situationen, om man bara kan tillhandahålla en god it-säkerhet för de anställda. Medarbetarna kan i princip arbeta från vilket hörn av världen som helst, och företagen kan rekrytera utan att vara geografiskt begränsade.

Det är inte helt osannolikt att företagen kommer att behöva utrusta de anställda med it-lösningar i hemmen som lever upp till de säkerhetskrav som är nödvändiga för att skydda företagen, något som många redan är vana vid eftersom arbete på distans naturligtvis inte är något nytt, det är skalan som är ny.

Läs också:
Det nya normala: Ska anställda eller arbetsgivare betala för it i hemmet?
Extrem trafikökning under pandemin – så klarar sig det svenska nätet