Så säkrar du kontaktcentret från it-attacker (del 1/2)

Ett modernt kontaktcenter lagrar alla möjliga slags uppgifter om kunderna och det egna företagets verksamhet. Förutom kreditkortsinformation, som betingar ett högt värde bland cyberkriminella, kan det handla om olika slags känsliga personuppgifter och annat innehåll i inspelade telefonsamtal och lagrade chattkonversationer.

Finns motåtgärder att ta till

Lyckligtvis finns det motåtgärder att ta till, men det gäller att känna till de olika slags hot som kan dyka upp innan man kan slå fast vilka motmedel som ska prioriteras högst. Telekom idag kontaktade några säkerhetsexperter för att ta reda på vilka hot som är mest framträdande i dagsläget.

– Det finns en ökad medvetenhet om cybersäkerhetshoten och en ökad vilja att investera och ta säkerheten på större allvar. Samtidigt så ser vi en ökad komplexitet och en brist på kompetens i branschen som gör att man inte riktigt har förmågan att omsätta det till konkreta krav i upphandlingar eller förståelse för vad det verkligen innebär, säger John Vestberg som var med och grundade cybersäkerhetsföretaget Clavister för 25 år sedan. Sedan fem år tillbaka är han också vd för bolaget, som erbjuder flera olika säkerhetsprodukter och tjänster.

Mer attraktiv måltavla

John Vestberg håller med om att kontaktcentret har blivit en mer attraktiv måltavla i takt med att allt fler funktioner flyttas dit och att mängden data som lagras ökar.

– Om det bara hade handlat om en telefonbok hade värdet varit tveksamt, men när man börjar haka på kundinformation från CRM-system är det plötsligt fråga om data som du kan nyttja för industrispionage. En ont sinnad konkurrent har en guldgruva att ösa ur om de hittar den typen av data, säger John Vestberg.

I dag är många kontaktcenterplattformar av typen molntjänst där systemen inte körs on-prem, alltså på servrar i de egna lokalerna, utan i större datacenter som kan befinna sig på en helt annan fysisk plats.

Men det finns många olika typer av molnlösningar och det är viktigt att undersöka vilka olika slags lösningar som finns tillgängliga och vilken som passar den egna verksamheten bäst. Clavister, liksom andra leverantörer, har särskilda säkerhetsprodukter för att säkerställa hög säkerhet vid användningen av montjänster.

– Om man har delegerat ansvaret till en public cloud-leverantör så får man kanske en viss nivå av cyberskydd redan i själva plattformen, men å andra sidan får man en helt annan flora av utmaningar när man har en utländsk molnleverantör. Det handlar om integritet och dataskydd, något som framförallt påverkar myndighetskunder som har ett ansvar för var data lagras, förklarar John Vestberg.

Om man i stället väljer en privat cloud-lösning, där man kanske har driften i ett eget datacenter, så dyker dock andra slags utmaningar upp, där man måste se till att själv vidta olika säkerhetsåtgärder.

Clavister erbjuder själva en rad säkerhetsprodukter i form av molntjänster och där har man av integritetsskäl valt att inte lägga de funktionerna hos någon amerikansk molnleverantör. I stället är det svenska molnleverantörer eller ett privat moln som gäller, något som också efterfrågas av allt fler kunder.

– Vi gjorde en marknadsundersökning där vi intervjuade 500 svenska företag och myndigheter och över 60 procent tycker att det är väldigt viktigt eller viktigt att det cybersäkerhetslösningen kommer från en europeisk leverantör, säger John Vestberg.

Obehörig tillgång till systemet

Men hur ser då den konkreta hotbilden mot ett modernt kontaktcenter ut och vilka kan konsekvenserna bli om man faller offer för ett cyberangrepp? Den första risken John Vestberg tar upp handlar om att någon kommer över andra användares kontouppgifter och skaffar sig obehörig tillgång till systemet:

– Det är den mest banala av attacker men tyvärr fortfarande den vanligaste. Många lever i en traditionell “username-password”-värld, men där är olika lösningar för säker identifikation och autentisering ett förhållandevis enkelt motgrepp för att skydd sig.

Konsekvenserna av att en obehörig person lyckas ta sig in i kontaktcentersystemet är inte svåra att förstå. Personuppgifter och allehanda kunduppgifter kan spridas på olika sätt, vilket är något av det värsta som kan inträffa för ett bolag. I dag lagrar man också allt mer data om företagets kundinteraktioner.

– Där får du också hela GDPR-problematiken. Har du lagrat bara det som är tillräckligt och har kunderna godkänt det? Vad händer om hela den databasen läcker ut, vilket ansvar har du då? Du kanske riskerar GDPR-böter på två procent av företagets omsättning. Det är finansiella konsekvenser som kan bli rejält kostsamma, för att inte nämna den goodwill-skada som kan uppstå, resonerar John Vestberg.

En risk som måste hanteras

En annan, mer teknisk, variant av cyberattack är den så kallade denial of service, något de flesta molntjänster fortfarande är ganska sårbara för.

– Vad händer om du tappar en timmes tillgänglighet eller kanske i värsta fall en dags tillgänglighet, hur mycket påverkar det din verksamhet? Tappar du kunder på grund av det? Det här är inte unikt för kontaktcentertillämpningar utan det är mer en följd av att det är en centraliserad funktion som är allmänt åtkomlig utifrån, men det är likväl en risk som måste hanteras.

Även om John Vestberg inte känner till något specifikt fall där just ett kontaktcenter har råkat ut för ett cyberangrepp så är det ytterst sällan som stora läckor kommer till allmän kännedom – mörkertalet bedöms vara stort.

Ett hot av det lite lömskare slaget är att systemet infiltreras över en längre tidsperiod, där angriparen inte bara vill få tillgång till information utan kanske tar sig tid att plantera felaktig information eller använder plattformen för att ta sig vidare till andra system som kanske är ännu mer driftskritiska för företaget.

Exakt samma problematik i molnet

– Det är viktigt att segmentera systemen och ha virtuella brandväggar i molnet. Många har kanske ett mer naturligt tänk när det kommer till on-prem-installationer med servrar där det ska vara en brandvägg mellan. När det hamnar i molnet suddas gränserna ut lite, men utmaningen har inte förändrats, det ligger bara någon annanstans, det är exakt samma problematik, säger John Vestberg.

I samband med coronapandemin gick många kontaktcenteragenter över till att arbeta på distans, en trend som verkar hålla i sig. Men här är det viktigt att tänka på att hotbilden förändras eftersom användarna inte längre sitter i företagets eget nätverk.

– Om du jobbar fysiskt på ett annat ställe öppnar man för fler så kallade attackvektorer. Du har en privatpersons publika internetuppkoppling, som du som arbetsgivare har väldigt liten möjlighet att påverka. Och så sitter du sannolikt med en laptop hemma som arbetsgivaren tillhandahåller, men var går gränsen mellan nyttjande i arbetet och privat nyttjande, möjligheten för skadlig mjukvara, malware, att ta sig in är betydligt högre än i ett kontorsnät.

Kopplas upp via en vpn-tjänst

Den som tar it-säkerhet på högsta allvar bör låta de anställda använda en dedikerad arbetsdator, som är policystyrd så att det inte går att installera egen mjukvara på den, och som kopplas upp via en pålitlig vpn-tjänst.

– Zero trust-networking är en stark trend där många har insett att den klassiska, krypterade vpn-tunneln har begränsningar. Den ser till att man inte blir avlyssnad, men den säkrar inte upp applikationer i datorn som kan kommunicera fritt via vpn-tunneln.

Lösningen är enligt John Vestberg att datorn endast får kommunicera med en specifik applikation i molnet, att man måste ha en krypterad överföring och att man sitter på en bestämd fysisk plats.

Så kallad phishing är ytterligare ett hot som växer i omfattning. Det är en metod där cyberbrottslingar skickar exempelvis e-post till utvalda personer för att få dem att lämna ifrån sig känslig information. Enligt John Vestberg är den här typen av hot fortfarande svår att helt avstyra.

”Gäller att ständigt informera och utbilda”

– Vi har fantastiska tekniska lösningar men det är fortfarande användaren som är den svagaste länken. Är de inte utbildade och informerade kan det inträffa tråkiga saker. Så det gäller att ständigt informera och utbilda. På Clavister jobbar vi med gamification och dagliga påminnelser så att anställda lär sig att upptäcka förfalskad e-post eller sms.

Man bör slutligen vara uppmärksam på att man kan ha anställda som har en dold agenda. Ju mer kritisk samhällsverksamhet du bedriver, desto större är risken att det finns någon inom organisationen som vill dig illa och som ansvarig för verksamheten måste man göra en riskbedömning och se till att avgränsa och skydda sin plattform internt, även om man litar på sina anställda.