Vad kritiken egentligen handlar om är att många företag faktisk är extremt dåliga på upphandling av tjänster och att man gladligen lämnar över ansvaret kring hantering av risk och säkerhet till leverantören utan att fundera över det egna ansvaret för att säkerställa en lyckats leverans och framför allt relation mellan båda parterna. Det finns självklart olika anledningar till att man väljer att köpa externa tjänster; dock för en del företag är den primära drivkraften att göra sig av med problem som man inte klarar av att hantera internt. Vad är det som säger att en extern part skall kunna lösa ett intern problem man själv inte mäktar med att lösa det själv? Knappast den bästa förutsättningen för en långsiktig lyckad outsourcingstrategi

Jag ser själv från min egen erfarenhet från både interna och öppna utbildningar kring servicenivåhantering, hur antalet deltagare oftast representerar antalet tolkningar av exakt samma avtalstexter. Det är med andra ord inte ovanligt att kund och leverantör har olika tolkningar av leveransparameters; precis som finns stora skillnader hur olika tjänsteleverantörer. Att sätta sig ner och säkerställa att man har en gemensam förståelse kring vad som menas med upptid, nertid, åtgärdstid, för att ge några exempel, kommer man långt med för att säkerställa en sund relation.

Summering är kundsidan måste helt enkelt bli bättre kravställare, men det vore inte fel om leverantörssidan tog på sig rollen att vara mer behjälplig för att etablera en gemensam förståelse kring de förväntningar kunden har och till vis del utbilda sina kunder.

Kim Haverblad

Dela med andra:

Tyvärr så visar regeringen än en gång att man inte tar IT på alvar; hade man gjort detta hade man skapat en myndighet för samordning av IT-relaterade frågor där informationssäkerhet blir en naturlig del. Sitic skulle därmed även få en betydlig högre status än vad de idag har inom PTS.

Dela med andra:

Tills Lenovo själv trycker ut en egen uppdatering – finns en uppdaterad version av ThinkVantage Password Manager v2.0 tillgänglig härifrån.

Dela med andra:

Presentationen från ovan ISACA aktivitet finns att ladda när här; ISACA Malmö Seminarium - Regelverk, Standarder och Riktlinjer; samt en kortare introduktion om ISACA finns här; ISACA Malmö - Uppstartsmöte.

Kim Haverblad

Dela med andra:

Polisen har denna gång valt att agera snabbt genom att gå ut och varna direkt via media till skillnad från tidigare incident med Toys R Us, Malmö, där det tog bortåt 10 dagar innan media skrev om detta. Om detta berodde på att tidningarna själva nosat upp incidenten eller om Polisen valde att gå ut med information är oklart.

Då som nu kvarstår problemet med att man som konsument själv måste agera och kontakta sin bank för att spärra kortet. Här bör svensk lagstiftning ändras så att det drabbade företaget eller kortutgivare har skyldighet att agera genom att kontakta och informera kunder om incidenter när kortinformation har kommit i felaktiga händer. Här kan vi titta på två lagar som instiftades 2003 i Kalifornien, California civil codes 1798.29 och 1798.82, där företag och myndigheter har en skyldighet att informera de drabbade vid dataintrång där personlig information har hamnat i felaktiga händer. Detta saknas idag i Svensk lagstiftning.

Då kortinformation är personlig data bör detta även likställas med identitetsstöld något som idag inte speglas i svensk lagstiftningen. Detta skulle troligen även resultera i högre straffskala.

Även butikerna bör se över sina rutiner som att till exempel låsa in kortterminalerna över natten samt dagliga kontroller av terminalerna. Detta hade troligen förhindrat incidenten hos Plantagen då terminalerna troligen vid ett tidigare inbrott nyårsafton har manipulerats och utan att något övrigt stals. Inbrotten skrevs av som skadegörelse utan att någon reflektion gjordes över att inbrotten i sig eventuellt var en avledande manöver för att manipulera terminalerna. Liknande omständigheter skrevs det om i början av 2008 kring ett bedrägeriförsök i mångmiljonklassen mot ett av Swedbanks bankkontor i Uppsala. Även här rapporterades det om inbrott utan att något saknades; brottet skrevs av som misslyckat inbrott. I Swedbanks fall upptäcktes utrustning för att fjärrstyra en dator i ett försök att utföra transaktioner av större belopp. I båda fallen får man utgå ifrån att det har funnits bristande rutiner kring uppföljningen av inbrotten.

I samband med att media skrev om skimmingutrustningen som upptäckts vid Toys R Us i Malmö gick ett pressat bolag ut med en press release där man informerade om att man ändrat sina rutiner för hantering av terminalerna direkt efter att den tidigare skimmingutrustningen upptäcktes tio dagar tidigare. Likväl kunde vi veckan efter läsa i tidningarna att identisk skimming utrustning hittas hos Toys R Us vid Kungens Kurva.

Kim Haverblad

Dela med andra:

Jag kommer tillsammans med Erik Ravinder ge tips och förslag på hur man kan strukturera det interna säkerhetsarbetet och underlätta vid IT-revisioner. Aktiviteten kommer att genomföras på plats hos SET Revision i Malmö.

För den som är intresserad av att delta går det bra att kontakta mig för anmälan.

Kim Haverblad

Dela med andra:

”Detta är det värsta virus som aviserats av CNN. Det har varit indelade efter Microsoft som den mest destruktiva viruset någonsin!!”

Tyvärr så blir det inte bättre av att någon från svenska Polisen i all hast och av misstag skickar ut varningen och sätter sitt namn på nämnda bluff varning för att denna vandringssägen skall köra vidare ett varv till.

Vad bör man då göra när man får denna typ av varningsmeddelande? För det första och vad ni än gör; skicka det inte vidare. Ta istället kontakt med säkerhetsansvarig inom den egna organisation och låt dessa hantera informationen. Vidare så kan även denna typ av informationsspridning resultera i att spamfilter blockerar avsändarens e-post eller domän för vidare kommunikation. Ännu en anledning att vara försiktig med att skicka vidare denna typ av e-post.

Att denna typ av information i senaste omgången kommer från svenska polisen är tyvärr olyckligt, och resulterar endast i att skrämma upp folk. Vill man själv verifiera informationen så är det bara att söka via Google för att snabbt inse att det är en e-post bluff som har rullat på sedan i augusti i Sverige. I den senaste e-post jag fått fanns även telefonnummer som kan användas för att verifiera om de är äkta eller ej; inte ovanligt förekommer falska nummer eller nummer till någon som är helt ovetande om nämnda varning. Det är inte ovanligt att när denna typ av bluff varningar figurerar finns ofta flera olika varianter och däribland även varianter där det bifogas dokument eller små program för att verifiera huruvida ens dator är smittad eller på annat sätt erbjuda hjälp att hantera detta okända och farliga virus – jag behöver väl knappast säga att man ens skall fundera på att klicka och öppna dessa bilagor…

Kim Haverblad

Dela med andra:

Att Malmö har problem med skimming av kort har synliggjorts inte minst av Malmö Polisen som har flaggat för detta flertal gånger till den grad att det även har diskuterats på politisk nivå inom Malmö stad. Problemet är så pass att en del utländska postorderföretag numera vägrar att skicka paket till Malmö baserade adresser.

Tyvärr så har bankerna i Sverige varit extremt långsamma med att få ut chip baserade kort vilket har varit medvetet beslut. Redan kring 1997/1998 pågick stora upphandlingar av nya bankomater där det fanns tillägg för sk smartcard läsare för att höja säkerheten. Något som samtliga svenska banker kategorisk valde bort.

Låt oss även hoppas att berörda redan har kontaktats av antingen kortutgivare eller av Toys R Us (eller av huvudbolaget Top-Toy A/S i Danmark) i samband med att detta bedrägeri upptäcktes och att man inte överlåter detta nio dagar senare till media…

Kim Haverblad

Dela med andra:

Presentationen från ovan ISACA aktivitet finns att ladda ner här; ISACA Malmö - Uppstartsmöte samt en kortare introduktion om ISACA finns här; ISACA Malmö - Uppstartsmöte.

Kim Haverblad

Dela med andra:

Kim Haverblad

Dela med andra: