Thread by @FrodeHommedal

(1/14) Den 3. desember gjennomfører @DSB_no m.fl. øvelse #Digital2020, en nasjonal tverrsektoriell digital sikkerhetsøvelse.

Er du interessert i #infosec eller #cybersecurity eller #risk bør du scanne fort gjennom denne tråden.

dsb.no/reportasjearki…

(2/14) I den forbindelse avholder @DSB_no i dag et gratis webinar som i følge arrangøren per nå har over 900 påmeldte, men det er fremdeles mulig å melde seg på og se det her:

dsb.no/kurs-og-konfer…

(3/14) Det er et ganske interessant program, og noen må jo ta den tunge jobben med å trekke ned snittet, så kl. 13:30 er det min tur.

(4/14) Jeg skal snakke om digitale utfordringer for norske virksomheter. Men dere som kjenner meg vet jo at jeg kommer til å snakke om modeller.

I det siste har jeg tenkt mye på vår kjære revisor, på "three lines of defense" og "state of the art".

(5/14) Det hele startet ved at jeg kom over H.D. Moore's Law igjen i ett av mine gamle foredrag da jeg var på jakt etter inspirasjon til et nytt ett.

(6/14) Jeg har alltid likt hvordan @joshcorman tok med revisoren som en trusselaktør, men samtidig er ikke revisoren levnet mye ære der neders på grafen...

(Sorry about the Norwegian, Josh. Love your old blogpost!)

(7/14) Noe jeg har tenkt en del på i det siste er at en revisjon ikke kan bevise god sikkerhet, den kan egentlig bare påvise dårlig sikkerhet - eller vise fraværet på beviselig dårlig sikkerhet.

Men det et stykke fra "compliant" til "god sikkerhet".

(8/14) Min påstand er at vi ikke har klart å lukke det gapet noe særlig, og at vi derfor ikke gjør en særlig god jobb med å forsvare oss.

(9/14) Som er skikkelig dumt med tanke på den "digitale pandemien" av "targeted ransomware" som herjer, og som bare ser ut til å tilta i omfang og styrke.

(10/14) Og her kommer modellen: det er sånn fordi vi har gjort en temmelig dårlig jobb med å lukke gapet mellom vår adopsjon av defensiv state-of-the art og de kriminelles adopsjon av offensiv state-of-the-art.

Det er håp i sikte, men vi er noen sinker...

(11/14) Det kan du ikke si om alle trusselaktørene. De har vært ... busy.

(12/14) Så hvordan kommer vi oss opp på et høyere nivå da? Vel, ingen overraskelse her: ved å satse mer på teknisk og taktisk reaktiv sikkerhet - i tillegg til alt det nødvendige forebyggende arbeidet selvsagt.

(13/14) Så det er bare å melde seg på og hive seg med. Jeg ser frem til å høre hva dere tenker etter å ha hørt foredraget. Jeg er alltid på jakt etter gode meningsbrytninger om sikkerhet, så alle spørsmål og kommentarer vil bli tatt i mot med takk.

(14/14) P.S. Foredraget og opptak av webinaret vil bli lagt ut av DSB i etterkant.

Da har jeg lagt ut videoen fra foredraget. Den kan dere finne her: