Allt fler svenska företag utsätts för cyberattacker och det är en trend som många experter tror kommer att hålla i sig. Attackerna kan vara av många olika typer: phishing eller ransomware för att nämna några, som kan leda till förödande konsekvenser för den organisation som faller offer för dem. Om angriparen kommer över till exempel kreditkortsuppgifter kan det leda till en förtroendeskada som kanske aldrig kan repareras.
Så säkras kontaktcentret mot IT-attacker
Cybersäkerhet Kontaktcentret lagrar stora mängder känsliga personuppgifter och finansiell information vilket gör det till en attraktiv måltavla för cyberbrottslingar. Här är hotbilden du måste känna till.
Någonting är fel
Läs vidare – starta din prenumeration
FAKTA
Så höjer du säkerheten i kontaktcentret
- Fråga din kontaktcenterleverantör om vilka IT-säkerhetsfunktioner de erbjuder, exempelvis för säker inloggning. Komplettera eventuellt med andra leverantörer för att säkerställa att alla delar av ditt system har rätt skyddsnivå.
- Utbilda och informera de anställda om vilka säkerhetshot de måste se upp för. Se till att det finns en medvetenhet om att bedragare siktar in sig på kontaktcentret för att tillskansa sig uppgifter av olika slag.
- Tänk på att även molnbaserade kontaktcenter kan vara i behov av säkerhetslösningar. Det känns mer naturligt att installera en brandvägg mellan två fysiska servrar, men det säkerhetstänket måste behållas även när man går upp i molnet.
- Agenter som arbetar på distans kan innebära en ökad risk för cyberattacker. Här gäller det återigen att öka medvetenheten om vilka åtgärder som ska vidtas och kanske uppmana till användning av en dedikerad jobbdator och en övergång till zero trust-säkerhetsdoktrinen där användaren alltid måste logga in och befinna sig på en verifierad fysisk plats.
- Även om du litar på de anställda finns möjligheten att någon har en dold agenda och samlar in kunduppgifter för att sälja dem vidare. Planera och förbered er för detta scenario. En motåtgärd kan vara att begränsa tillgången till olika system, så att inte alla personer har tillgång till samtliga.
Ett modernt kontaktcenter lagrar alla möjliga slags uppgifter om kunderna och det egna företagets verksamhet. Förutom kreditkortsinformation, som betingar ett högt värde bland cyberkriminella, kan det handla om olika slags känsliga personuppgifter och annat innehåll i inspelade telefonsamtal och lagrade chattkonversationer.
Ökad medvetenhet men bristande förmåga
Lyckligtvis finns det motåtgärder att ta till, men det gäller att känna till de olika slags hot som kan dyka upp innan man kan slå fast vilka motmedel som ska prioriteras högst. Några säkerhetsexperter ger sin syn på vilka hot som är mest framträdande i dagsläget.
– Det finns en ökad medvetenhet om cybersäkerhetshoten och en ökad vilja att investera och ta säkerheten på större allvar. Samtidigt ser vi en ökad komplexitet och en brist på kompetens i branschen som gör att man inte riktigt har förmågan att omsätta det till konkreta krav i upphandlingar eller förståelse för vad det verkligen innebär, säger John Vestberg som var med och grundade cybersäkerhetsföretaget Clavister för 25 år sedan. Sedan fem år tillbaka är han också vd för bolaget, som erbjuder flera olika säkerhetsprodukter och tjänster.
John Vestberg håller med om att kontaktcentret har blivit en mer attraktiv måltavla i takt med att allt fler funktioner flyttas dit och att mängden data som lagras ökar.
– Om det bara hade handlat om en telefonbok hade värdet varit tveksamt, men när man börjar haka på kundinformation från CRM-system är det plötsligt fråga om data som du kan nyttja för industrispionage. En ont sinnad konkurrent har en guldgruva att ösa ur om de hittar den typen av data, säger John Vestberg.
Molnleverantörers nationalitet spelar roll
I dag är många kontaktcenterplattformar av typen molntjänst där systemen inte körs on-prem, alltså på servrar i de egna lokalerna, utan i större datacenter som kan befinna sig på en helt annan fysisk plats.
Men det finns många olika typer av molnlösningar och det är viktigt att undersöka vilka olika slags lösningar som finns tillgängliga och vilken som passar den egna verksamheten bäst. Clavister, liksom andra leverantörer, har särskilda säkerhetsprodukter för att säkerställa hög säkerhet vid användningen av molntjänster.
– Om man har delegerat ansvaret till en public cloud-leverantör så får man kanske en viss nivå av cyberskydd redan i själva plattformen, men å andra sidan får man en helt annan flora av utmaningar när man har en utländsk molnleverantör. Det handlar om integritet och dataskydd, något som framförallt påverkar myndighetskunder som har ett ansvar för var data lagras, förklarar John Vestberg.
Om man i stället väljer en privat cloud-lösning, där man kanske har driften i ett eget datacenter, så dyker dock andra slags utmaningar upp, där man måste se till att själv vidta olika säkerhetsåtgärder.
Clavister erbjuder själva en rad säkerhetsprodukter i form av molntjänster och där har man av integritetsskäl valt att inte lägga de funktionerna hos någon amerikansk molnleverantör. I stället är det svenska molnleverantörer eller ett privat moln som gäller, något som också efterfrågas av allt fler kunder.
– Vi gjorde en marknadsundersökning där vi intervjuade 500 svenska företag och myndigheter och över 60 procent tycker att det är väldigt viktigt eller viktigt att cybersäkerhetslösningen kommer från en europeisk leverantör, säger John Vestberg.
Höga GDPR-böter en av riskerna
Men hur ser då den konkreta hotbilden mot ett modernt kontaktcenter ut och vilka kan konsekvenserna bli om man faller offer för ett cyberangrepp? Den första risken John Vestberg tar upp handlar om att någon kommer över andra användares kontouppgifter och skaffar sig obehörig tillgång till systemet:
– Det är den mest banala av attacker men tyvärr fortfarande den vanligaste. Många lever i en traditionell “username-password”-värld, men där är olika lösningar för säker identifikation och autentisering ett förhållandevis enkelt motgrepp för att skydd sig.
Konsekvenserna av att en obehörig person lyckas ta sig in i kontaktcentersystemet är inte svåra att förstå. Personuppgifter och allehanda kunduppgifter kan spridas på olika sätt, vilket är något av det värsta som kan inträffa för ett bolag. I dag lagrar man också allt mer data om företagets kundinteraktioner.
– Där får du också hela GDPR-problematiken. Har du lagrat bara det som är tillräckligt och har kunderna godkänt det? Vad händer om hela den databasen läcker ut, vilket ansvar har du då? Du kanske riskerar GDPR-böter på två procent av företagets omsättning. Det är finansiella konsekvenser som kan bli rejält kostsamma, för att inte nämna den goodwill-skada som kan uppstå, resonerar John Vestberg.
Stort mörkertal runt informationsläckor
En annan, mer teknisk, variant av cyberattack är den så kallade denial of service, något de flesta molntjänster fortfarande är ganska sårbara för.
– Vad händer om du tappar en timmes tillgänglighet eller kanske i värsta fall en dags tillgänglighet, hur mycket påverkar det din verksamhet? Tappar du kunder på grund av det? Det här är inte unikt för kontaktcentertillämpningar utan det är mer en följd av att det är en centraliserad funktion som är allmänt åtkomlig utifrån, men det är likväl en risk som måste hanteras.
Även om John Vestberg inte känner till något specifikt fall där just ett kontaktcenter har råkat ut för ett cyberangrepp så är det ytterst sällan som stora läckor kommer till allmän kännedom – mörkertalet bedöms vara stort.
Ett hot av det lite lömskare slaget är att systemet infiltreras över en längre tidsperiod, där angriparen inte bara vill få tillgång till information utan kanske tar sig tid att plantera felaktig information eller använder plattformen för att ta sig vidare till andra system som kanske är ännu mer driftskritiska för företaget.
– Det är viktigt att segmentera systemen och ha virtuella brandväggar i molnet. Många har kanske ett mer naturligt tänk när det kommer till on-prem-installationer med servrar där det ska vara en brandvägg mellan. När det hamnar i molnet suddas gränserna ut lite, men utmaningen har inte förändrats, det ligger bara någon annanstans, det är exakt samma problematik, säger John Vestberg.
Särskilj jobbdatorn vid hemarbete
I samband med coronapandemin gick många kontaktcenteragenter över till att arbeta på distans, en trend som verkar hålla i sig. Men här är det viktigt att tänka på att hotbilden förändras eftersom användarna inte längre sitter i företagets eget nätverk.
– Om du jobbar fysiskt på ett annat ställe öppnar man för fler så kallade attackvektorer. Du har en privatpersons publika internetuppkoppling, som du som arbetsgivare har väldigt liten möjlighet att påverka. Och så sitter du sannolikt med en laptop hemma som arbetsgivaren tillhandahåller, men var går gränsen mellan nyttjande i arbetet och privat nyttjande, möjligheten för skadlig mjukvara, malware, att ta sig in är betydligt högre än i ett kontorsnät.
Den som tar IT-säkerhet på högsta allvar bör låta de anställda använda en dedikerad arbetsdator, som är policystyrd så att det inte går att installera egen mjukvara på den, och som kopplas upp via en pålitlig VPN-tjänst.
– Zero trust-networking är en stark trend där många har insett att den klassiska, krypterade VPN-tunneln har begränsningar. Den ser till att man inte blir avlyssnad, men den säkrar inte upp applikationer i datorn som kan kommunicera fritt via VPN-tunneln.
Lösningen är enligt John Vestberg att datorn endast får kommunicera med en specifik applikation i molnet, att man måste ha en krypterad överföring och att man sitter på en bestämd fysisk plats.
Anställda kan ha dold agenda
Så kallad phishing är ytterligare ett hot som växer i omfattning. Det är en metod där cyberbrottslingar skickar exempelvis e-post till utvalda personer för att få dem att lämna ifrån sig känslig information. Enligt John Vestberg är den här typen av hot fortfarande svår att helt avstyra.
– Vi har fantastiska tekniska lösningar men det är fortfarande användaren som är den svagaste länken. Är de inte utbildade och informerade kan det inträffa tråkiga saker. Så det gäller att ständigt informera och utbilda. På Clavister jobbar vi med gamification och dagliga påminnelser så att anställda lär sig att upptäcka förfalskad e-post eller sms.
Man bör slutligen vara uppmärksam på att man kan ha anställda som har en dold agenda. Ju mer kritisk samhällsverksamhet du bedriver, desto större är risken att det finns någon inom organisationen som vill dig illa och som ansvarig för verksamheten måste man göra en riskbedömning och se till att avgränsa och skydda sin plattform internt, även om man litar på sina anställda.