Testa systemet ofta

Hackerns snabbaste väg in är oftast huvudingången – genom säkerhetshål på företagets webbsida. Bästa port­låset är kontinuerliga säkerhetstester. Det är ett sätt att integrera säkerhet i utvecklarnas vardag.

Hacka dig själv, innan någon annan gör det.

Tipset kommer från Rickard Carlsson, vd för svenska startupföretaget Detectify vars affärsidé är att erbjuda automatiska penetreringstester. Företaget har vuxit snabbt och med nytt riskkapital i kassan gick Detectify under 2015 från 4 till 15 anställda. I dag har företaget cirka 20 000 registrerade kunder över hela världen. Rickard Carlsson är övertygad om att kundbasen kommer öka dramatiskt i takt med att fler inser hur sårbart ett företag blir utan uppdaterad och kontinuerlig säkerhetskontroll.

– Bara för att du är säker i dag behöver du inte vara det imorgon. Ett årligt test är ingen garanti mot intrång utan det bör göras på kontinuerlig basis och så fort en ny version av en produkt har installerats, säger han.

Teamet bakom svenska Detectifys automatiska webbapplikation består av erfarna datasäkerhetsspecialister och hackare och utgångspunkten för verktyget är att tänka som en ”White hat”, en god hacker. Tjänsten baseras på en egenutvecklad crawler (spindel), som utför automatiserade tester mot kända säkerhetshål och rapporterar resultatet.

– Vanligast är att ett företag misslyckats med konfigurationen på sin domän eller har ett krypteringsproblem. Vi hittar problem på 90–95 procent av alla hemsidor som vi kör och närmare 40 procent av dem är allvarliga.

Allvarligt kan exempelvis vara en felprogrammering som gör det möjligt att fejka en hemsida på en befintlig domän och skapa en subdomän där kunder kan luras att lämna ut lösenord. Största misstaget ur ett företagsperspektiv är, enligt Rickard Carlsson, att inte göra några säkerhetstester alls. Det näst största är att inte göra dem kontinuerligt.

Text: Susanna Lindgren