Med all oppmerksomheten rundt avanserte cyberangrep er den største trusselen mot endepunktsikkerheten i offentlig sektor noe langt mer hverdagslig: grunnleggende vedlikehold som aldri ble gjort ferdig. Da den danske riksrevisjonen, Rigsrevisionen, gjennomgikk statlig nettverksutstyr i 23 departementer, hadde nesten alt kritiske sårbarheter – og 91 % kunne vært utbedret med oppdateringer som allerede var tilgjengelige. Gjennomgangen gjaldt statlig utstyr, men mønsteret går igjen i hele offentlig sektor: Faren er sjelden eksotisk. Det er hygiene som ikke er gjort.
Presset gjelder hele sektoren, og kommunene merker det mest. I Danmark ble 57 % av de offentlige institusjonene rammet av et forstyrrende cyberangrep i løpet av det siste året, og 98 % av de kommunale IT-lederne sier at trusselen nå er større enn ressursene deres. Med så tynne team er svaret ikke flere verktøy å holde øye med. Det er de få grunnleggende tiltakene som tetter flest hull – samlet på ett sted.
Hvorfor offentlig sektor er utsatt
Årsakene er strukturelle, ikke eksotiske. Offentlige virksomheter – særlig kommunene – driver kritiske tjenester og har store mengder sensitive opplysninger om innbyggerne, ofte på systemer som er bygget opp over mange år og vedlikeholdes av små team. Mange steder har år med underinvestering i IT-sikkerhet etterlatt et etterslep som er vanskelig å ta igjen under nytt press. NIS2 har hevet lista i EU, og NSMs grunnprinsipper for IKT-sikkerhet peker på de samme grunnleggende tiltakene. Men gapet handler ikke om papirarbeid – det er operativt: upatchet programvare, faste administratorrettigheter og blindsoner der ingen kan se hvordan en enhet faktisk er konfigurert. Disse tre åpningene utgjør det meste av den reelle angrepsflaten til en virksomhet, og hver av dem svarer til et grunnleggende tiltak som nesten ethvert IT-miljø kan få på plass.
Slik forbedrer du endepunktsikkerheten i offentlig sektor
CapaOne samler disse grunnleggende tiltakene i én konsoll – noe som betyr mest for et offentlig IT-team som ikke kan drifte fem separate verktøy. Patch det som allerede kan patches: Application Manager holder tredjepartsprogrammer og fagsystemer oppdatert automatisk og tetter nøyaktig det hullet Rigsrevisionen fant. Fjern rettighetene angriperne er avhengige av: Privilege Manager fjerner faste lokale administratorrettigheter og erstatter dem med midlertidig heving av rettigheter (just-in-time) via eksisterende Entra ID-grupper – «Faste lokale administratorrettigheter var vår største uløste risiko. CapaOne fjernet dem i hele enhetsparken på én ettermiddag», som ett dansk kommunalt IT-team sa det. Se hva som avviker: Security Monitor avdekker eksponering og konfigurasjonsavvik i hele enhetsparken, med revisjonsklar dokumentasjon – den dokumentasjonen en revisor eller et tilsynsorgan ber om, produsert som et biprodukt av den daglige driften i stedet for som et eget prosjekt. Til sammen utgjør de de tre grunnpilarene for cyberhygiene på endepunkter, i én plattform i stedet for flere.
Utviklet i Danmark, driftet i EU – med eller uten Intune
For en innkjøper i offentlig sektor er det en del av beslutningen hvor dataene havner. CapaOne er utviklet i Danmark og driftet i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon – en tilnærming med GDPR først, i tråd med NIS2, som passer offentlige anskaffelser. Holbæk kommune i Danmark bruker plattformen på rundt 5 500 enheter. Plattformen fungerer helt på egen hånd eller sammen med Microsoft Intune – du velger selv – og bruker de Entra ID-gruppene virksomheten allerede har. Ishøj kommune bruker den også. Se hvordan Holbæk bruker den.
Hullene er gamle – å tette dem er ikke vanskelig
Det mest nyttige tallet i alt dette er Rigsrevisionens 91 % – andelen kritiske sårbarheter som kunne vært lukket med oppdateringer som allerede fantes. For et presset IT-team i offentlig sektor er det gode nyheter: Eksponeringen er ikke eksotisk, og løsningen er ikke dyre verktøy. Det er det grunnleggende, gjort konsekvent, på ett sted.
Book en demo av CapaOne-plattformen for å se hvordan IT-team i dansk offentlig sektor håndterer de tre grunnleggende tiltakene fra én EU-driftet konsoll.
