Artikel af Mike Chapple, professor i IT, analyse og drift ved University of Notre Dame, USA

 

Cybersikkerhed og dataprivatliv er konstant i nyhederne. Regeringer vedtager nye cybersikkerhedslove. Virksomheder investerer i cybersikkerhedskontroller såsom firewalls, kryptering og opmærksomhedstræning i rekordhøjt omfang.

Og alligevel mister folk terræn, når det gælder dataprivatliv.

I 2024 rapporterede Identity Theft Resource Center, at virksomheder udsendte 1,3 milliarder meddelelser til ofre for databrud. Det er mere end tre gange så mange som året før. Det er tydeligt, at på trods af en voksende indsats fortsætter brud på personlige data – og accelererer endda.

Hvad kan du gøre ved denne situation? Mange mennesker betragter cybersikkerhedsproblemet som et teknisk problem. De har ret: Tekniske kontroller er en vigtig del af beskyttelsen af personlige oplysninger, men de er ikke nok.

Som professor i informationsteknologi, analyse og drift ved University of Notre Dame studerer jeg måder at beskytte personlig privatliv på.

Stærk beskyttelse af personlige oplysninger består af tre søjler: tilgængelige tekniske kontroller, offentlig bevidsthed om behovet for privatliv og offentlige politikker, der prioriterer personlig privatliv. Hver spiller en afgørende rolle i beskyttelsen af personlige oplysninger. En svaghed i én af dem bringer hele systemet i fare.

 

Den første forsvarslinje

Teknologi er den første forsvarslinje, der beskytter adgangen til computere, som lagrer data, og krypterer information, når den sendes mellem computere for at forhindre uvedkommende i at få adgang. Men selv de bedste sikkerhedsværktøjer kan svigte, hvis de misbruges, er forkert konfigurerede eller ignoreres.

To tekniske kontroller er særligt vigtige: kryptering og multifaktorgodkendelse. Disse udgør rygraden i digitalt privatliv – og de fungerer bedst, når de er bredt implementerede og korrekt anvendt.

Kryptering bruger kompleks matematik til at placere følsomme data i et ulæseligt format, som kun kan låses op med den rette nøgle. For eksempel bruger din webbrowser HTTPS-kryptering til at beskytte dine oplysninger, når du besøger en sikker webside. Dette forhindrer alle på dit netværk – eller ethvert netværk mellem dig og websiden – i at aflytte din kommunikation. I dag er næsten al webtrafik krypteret på denne måde.

Men hvis vi er så gode til at kryptere data på netværk, hvorfor oplever vi så stadig alle disse databrud? Realiteten er, at kryptering af data under overførsel kun er en del af udfordringen.

 

Sikring af lagrede data

Vi skal også beskytte data, uanset hvor de er lagret – på telefoner, bærbare computere og de servere, der udgør cloudlagring. Desværre er det ofte her, sikkerheden svigter. Kryptering af lagrede data, eller data i hvile, er ikke lige så udbredt som kryptering af data, der flyttes fra ét sted til et andet.

Selvom moderne smartphones typisk krypterer filer som standard, kan det samme ikke siges om cloudlagring eller virksomheders databaser. Kun 10 % af organisationer rapporterer, at mindst 80 % af deres information, der er lagret i skyen, er krypteret, ifølge en brancheundersøgelse fra 2024. Det efterlader enorme mængder ukrypterede personoplysninger potentielt udsatte, hvis angribere formår at bryde ind. Uden kryptering svarer det til at bryde ind i en database som at åbne et ulåst arkivskab – alt indeni er tilgængeligt for angriberen.

Multifaktorgodkendelse er en sikkerhedsforanstaltning, der kræver, at du opgiver mere end én form for verifikation, før du får adgang til følsomme oplysninger. Denne form for godkendelse er sværere at knække end en adgangskode alene, fordi den kræver en kombination af forskellige typer information. Det kombinerer ofte noget, du ved, såsom en adgangskode, med noget, du har, såsom en smartphone-app, der kan generere en verifikationskode, eller med noget, der er en del af, hvem du er, som et fingeraftryk. Korrekt brug af multifaktorgodkendelse reducerer risikoen for kompromittering med 99,22 %.

Selvom 83 % af organisationer kræver, at deres medarbejdere bruger multifaktorgodkendelse, ifølge en anden brancheundersøgelse, efterlader det stadig millioner af konti beskyttet af intet andet end en adgangskode. Efterhånden som angribere bliver mere sofistikerede, og tyveri af legitimationsoplysninger forbliver udbredt, er det ikke bare en god praksis at lukke det 17 % store hul – det er en nødvendighed.

Multifaktorgodkendelse er et af de enkleste og mest effektive skridt, organisationer kan tage for at forhindre databrud, men det er stadig underudnyttet. At udvide dets anvendelse kunne dramatisk reducere antallet af succesfulde angreb hvert år.

 

Bevidsthed giver folk den nødvendige viden

Selv den bedste teknologi slår fejl, når mennesker begår fejl. Menneskelig fejl spillede en rolle i 68 % af databruddene i 2024, ifølge en rapport fra Verizon. Organisationer kan afbøde denne risiko gennem medarbejdertræning, dataminimering – det vil sige kun at indsamle de oplysninger, der er nødvendige for en opgave, og derefter slette dem, når de ikke længere er nødvendige – og stramme adgangskontroller.

Politikker, revisioner og beredskabsplaner kan hjælpe organisationer med at forberede sig på et muligt databrud, så de kan begrænse skaden, finde de ansvarlige og lære af oplevelsen. Det er også vigtigt at beskytte sig mod trusler indefra og fysisk indtrængen ved hjælp af fysiske sikkerhedsforanstaltninger såsom aflåsning af serverrum.

 

Offentlig politik holder organisationer ansvarlige

Juridiske beskyttelser hjælper med at holde organisationer ansvarlige for at holde data beskyttede og give folk kontrol over deres data. EU´s generelle forordning om databeskyttelse (GDPR) er en af de mest omfattende privatlivslove i verden. Den påbyder stærke databeskyttelsespraksisser og giver folk ret til at få adgang til, rette og slette deres personlige data. Og GDPR har tænder: I 2023 blev Meta idømt en bøde på 1,2 milliarder euro (9 milliarder kr.), da Facebook blev fundet skyldig i overtrædelse.

På trods af års diskussion har USA stadig ingen omfattende føderal privatlivslov. Flere forslag er blevet fremsat i Kongressen, men ingen er blevet vedtaget. I stedet fylder en blanding af statslige regler og branchespecifikke love – såsom HIPAA for sundhedsdata og Gramm-Leach-Bliley-loven for finansielle institutioner – hullerne.

Nogle stater har vedtaget deres egne privatlivslove, men dette patchwork efterlader amerikanere med ujævne beskyttelser og skaber hovedbrud med overholdelse for virksomheder, der opererer på tværs af jurisdiktioner.

Værktøjerne, politikkerne og viden til at beskytte personlige data findes – men både mennesker og institutioner bruger dem stadig i utilstrækkelig grad. Stærkere kryptering, mere udbredt brug af multifaktorgodkendelse, bedre træning og klarere juridiske standarder kunne forhindre mange brud. Det er tydeligt, at disse værktøjer virker. Det, der nu er nødvendigt, er den kollektive vilje – og et samlet føderalt mandat – til at implementere disse beskyttelser.

 

Denne artikel er oprindeligt publiceret på The Conversation: Your data privacy is slipping away – here’s why, and what you can do about it

Skrevet af Mike Chapple, professor i IT, analyse og drift ved University of Notre Dame.

Artiklen er udgivet på nyhedscentrum.dk efter aftale.

 

Relaterede artikler:

Vil kunstig intelligens overtage dit job? Svaret kan afhænge af disse 4 faktorer

Ny kunstig intelligens kan kan forudsige menneskelig adfærd med forbløffende præcision