Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den Computerworld d. 1. oktober 2004.
marked i vækst: Hvem skal man vælge? Hvem kan man betro beskyttelsen af kronjuvelerne eller blot lukke ind bag murene? Fire it-ledere deler deres erfaringer med det svære valg af it-sikkerhedsleverandør.
It-sikkerhed er et kardinalpunkt for dem alle - banken, teleselskabet, distributøren af lægemidler og Dansk Tipstjeneste. De er alle professionelle, de søger kvalitet og troværdighed, og de har deres hyr med sikkerhedsleverandørerne.
De bliver bombarderet med henvendelser fra et marked, som mange er strømmet til de seneste år i takt med, at it-sikkerhed er røget til tops på dagsordenen. Her kæmper fusentasterne og de seriøse aktører side om side for at få taletid hos kunderne, når det gælder it-sikkerhedsrådgivning.
Ikke overraskende tegner der sig et billede, hvor nære, langvarige relationer og personligt kendskab vægtes tungt, den kritiske analyse er i højsædet, og hvor tommelfingrene kollektivt vendes nedad for aggressive sælgere med hang til skud fra hoften og råb om, at ulven kommer.
Wildwest-tilstande
Preben Nielsen, der er it-chef hos Danmarks største lægemiddelgrossist, Nomeco, lægger ikke fingrene imellem i sin karakteristik af markedet:
- De her hurtigtskydende firmaer, der råber "ulven kommer, men vi kan hjælpe" - dem er der kommet stadig flere af inden for det seneste år til halvandet. Flere og flere ringer og mener at have svaret på vores bønner. Mange virker useriøse. Måske er de dygtige, det ved jeg ikke, men det har et skær af useriøsitet, og det kan være svært at skille skidt fra kanel.
En håndfuld firmaer gør det godt, og så huserer en snes useriøse, vurderer han som et slag på tasken.
Sælgere med et anstrøg af cowboy, der træder op på et wildwest-marked, finder han frastødende.
- Det er en rigtig amerikansk sælgerstil, hvor de kan det hele på den halve tid. Det lader vi os ikke blænde af, men takker for samtalen og henviser til, at det har vi ikke tid til. Og så bliver vi mødt med kommentarer som: "Jamen, betyder sikkerhed ikke noget for jer?" Sådan nogle diskussioner gider vi slet ikke gå ind i.
- Andre prøver med denne her: "Nu har vi undersøgt jeres hjemmeside og fundet 13 huller. Vi kunne lukke jeres site på fem minutter. Det skal I bare vide. Men vi vil selvfølgelig gerne hjælpe jer med det".
- Den indgang står jeg fuldstændig af over for. Det er sådan lidt glarmesterens børn om igen - jeg kan se, at syv af jeres ruder er smadret, men jeg kan hjælpe jer med det til en god pris. Vi holder os simpelthen fra det, erklærer Preben Nielsen.
Konsolidering
Leverandører lover guld og grønne skove, og det kræver grundighed og kritisk analyse at vurdere kvaliteten, siger Gitte Melph, der er it-sikkerhedskoordinator i teleselskabet Sonofon.
Hun noterer sig, at der er sket en vis konsolidering af markedet.
- Men der er stadig ufattelig mange derude. Vi er en stor virksomhed med vores egen ekspertise og erfaring, men for små virksomheder med behov for sikkerhedsbistand er det forvirrende. Vi kan konstatere, at ekspertniveauet er meget vekslende. Og eftersom it-sikkerhed har været et område i opgang, tiltrækker det også de mindre seriøse, som rider på bølgen og vil score kassen. I kølvandet på sikkerhedsproblemstillinger kommer der altid nogen sejlende, siger Gitte Melph fra Sonofon.
Netop konsolideringen får Dansk Tipstjenestes drifts- og it-sikkerhedschef, Tommy Færk, til at se lysere på situationen. Udviklingen gennem de seneste tre år i det stærkt konkurrenceprægede marked har været til det bedre, mener han og peger på, at med konsolideringen er graden af specialisering blevet højere.
- For et par år siden så vi sikkerhedsfirmaer slå et for stort brød op. De ville dække det hele, men knækkede halsen på det. Efterhånden har de fået sig samlet i mindre enheder, som holder sig til specifikke fokusområder og satser målrettet på relevante kunder. Det, synes jeg, er udmærket. Så ved man, hvad de er gode til, og at ekspertisen er til stede, siger han.
Nære og varige samarbejdsrelationer karakteriserer hele vejen rundt det forhold, virksomhederne tilstræber at have til deres it-sikkerhedsleverandører.
- Når det gælder sikkerhedssamarbejdspartnere, lægger vi vægt på at have længerevarende relationer. Vi skifter ikke leverandør uden videre og er nok lidt konservative. Tætte relationer giver os også noget fælles sparring, pointerer Tommy Færk.
Eksisterende samarbejdsrelationer med sikkerhedsleverandører strækker sig typisk over netop de snart tre år, der er gået, siden Tipstjenesten introducerede internet-spil. Det medførte radikale ændringer i virksomheden - frem for alt i retning af skærpet fokus på it-sikkerhed og behov for ydelser som sikkerhedstest.
- Samtidig er vi dog vågne over for, at man engang imellem skal tage en anden end den sædvanlige ind for at verificere, at niveauet nu er godt nok. Der sker udvikling hele tiden, og markedet er voksende. Et fasttømret samarbejde skal ikke være en sovepude, og vi laver ikke længerevarende kontrakter. Vi laver snarere aftaler løbende om opgaverne, siger Tommy Færk.
Også Preben Nielsen fra Nomeco bekender sig til en vis konservatisme. Han lavede for to-tre år siden en fast samarbejdsaftale med sin sikkerhedsrådgiver, Fort Consult, og den løber endnu.
- Vi har valgt ikke at skifte, er nok lidt konservative. Det kan være, der er nogle ting, vi går glip af, men til gengæld ved vi, hvad vi har - til det modsatte er bevist. En fordel ved samarbejdet er, at vi har kunnet starte i det små med et begrænset kundeforhold, der så er vokset, mens vi stille og roligt har lært hinanden at kende. Det har været en god indgang - i modsætning til de her leverandører, der kan det hele på den halve tid.
Betydningen af den personlige kontakt afspejles af, at der går tråde helt tilbage til en forretningsrelation med Neupart og Munkedal fra slutningen af 1990'erne. Fort Consults administrerende direktør, Ulf Munkedal, kontaktede Nomeco nogle år senere, og så var der bid.
Nogen, vi kendte
Hvordan eksisterende kundeforhold kan udbredes til også at omfatte it-sikkerhed, beskriver det nordjyske pengeinstitut Spar Nords it-direktør Carsten Henriksen. Han havde på et tidspunkt Ementor inde for at hjælpe den interne sikkerhedsorganisation med at frembringe en it-sikkerhedspolitik, komplet med katastrofe- og beredskabsplaner. Hvordan valgte han dem?
- Vi valgte nogen, vi kendte. Humlen var, at manden fra Ementor gik i huset i forvejen i anden anledning. Så fortalte han, hvor dygtig han var til sikkerhed. Han havde gennemført et tilsvarende sikkerhedsprojekt for et stort pengeinstitut, vi gerne vil sammenlignes med, så han havde erfaringen, og vi var helt trygge ved at bruge ham, fortæller Carsten Henriksen.
Spar Nord bruger også i høj grad sin eksterne revisor, KPMG, som it-sikkerhedsrådgiver.
- Jeg oplever, at de i de seneste par år har gennemlevet en kraftig professionalisering på dette område. De er også i stand til at give gode råd og vejledning og køre test og analyser af sikkerhedsniveauet, siger Spar Nords it-direktør.
It-revisionen nævner Preben Nielsen også, selv om det - som han siger - ikke i sig selv giver en garanti for, at sikkerhedsniveauet er i orden i og med, at deres tilgang er sikkerhed i forhold til forretningen og virksomhedens drift. Men det giver værdifuldt input, lyder det fra Nomeco, som her har bevæget sig rundt blandt de store - senest til Ernst&Young fra tidligere Price Waterhouse og KPMG.
Udbud og kemi
Hos Sonofon går vejen til et goddag og velkommen for sikkerhedsleverandørernes vedkommende over et udbud. Eksempelvis et udbud om en kontinuerlig sikkerhedsleverance med både rådgivning og produkter.
- Vi har haft en udbudsrunde i forbindelse med indgåelse af en ny aftale. Det er normal praksis i Sonofon, og det har vist sig at være meget givtigt og lærerigt. For os handler det om at få leverancen be-skrevet og få den rigtige pris, siger Gitte
Melph fra Sonofon, der har et fåtal af leverandører på sikkerhedsområdet og søger at knytte dem tæt til sig.
Ideen er at indgå aftaler i en lang og bindende periode på tre til fem år - om end ikke mere bindende, end at der er en vej ud igen. I udbudsrunder har selskabet haft både små og store leverandører inde for at se på forskellene. Valget er faldet på mellemstore.
- Vi vurderer leverandørerne grundigt ud fra økonomi og kvalitet, og derudover skal vi sikre en høj grad af troværdighed. Det handler i høj grad om kemi, når man indgår et længerevarende samarbejde. Kemien skal passe; det er væsentligt for at opnå en høj grad af fortrolighed, tillid og troværdighed, understreger Gitte Melph.
Hun lægger vægt på, at sikkerhedsrådgivere skal være produktuafhængige.
- Det er et parameter, vi vægter. De kan ikke både rådgive og sælge produkter.
Store virksomheder kan godt vælge små leverandører. Størrelsen er eksempelvis ikke afgørende for Tommy Færk fra Dansk Tipstjeneste.
- Vi samarbejder både med mindre og større firmaer. Vi har også været i en situation, hvor en leverandør ikke havde det så godt og måtte gennemføre nogle ændringer i virksomheden. Det kom de og fortalte på forhånd, og vi besluttede at give dem en chance og fortsætte samarbejdet. Det har vi gjort siden da, og det er nu over et år siden. De har leveret samme tilfredsstillende ydelse, selv om de måtte omorganisere. I den situation prioriterede vi ekspertisen - det at de ved, hvad der er vigtigt for os.
Raden rundt svares der bekræftende på, at man engang imellem tager et møde med enkelte af de mange, der så ihærdigt banker på. Hvis det vel at mærke er på et konkret grundlag, så man ikke spilder hinandens tid. Der skal meget til. Men man lytter til sælgerne, lytter til netværket og deler erfaringer, tager på konferencer, prøver at følge med og glæder sig da også over, at der kommer nye spillere på banen, fordi det giver et bedre miks af muligheder.
Nej tak til gratis hjælp
Forsøg på at sætte en fod i døren ved at tilbyde et gratis sikkerhedstjek falder på stengrund hos de professionelle sikkerhedskøbere.
- Den hopper vi ikke på. Vi vil ikke have alle mulige rendende og ad den vej få udbredt kendskabet til vores netværk og sikkerhedsmekanismer til fremmede. Det øger sårbarheden, siger Gitte Melph, der ikke kender nogen, der har sagt ja til et gratis tilbud.
Det har Preben Nielsen fra Nomeco rent faktisk. Fordi tilbudet kom fra en sælger, firmaet kendte, og som havde etableret eget sikkerhedsfirma.
- Han kom med nogle ting, og så kom der i øvrigt ikke noget ud af det, hvilket han selvfølgelig blev skuffet over. Men ellers - det siger vi altid nej til. Nok kigger vi på økonomi og omkostninger, men det vil vi hellere betale os fra og så få en højere grad af kvalitet og sikkerhed.
Han peger igen på det useriøse sælgertrick: Brugen af alle midler til at sætte foden i døren, men erkender også vanskeligheden - specielt i disse tider - ved at komme ind og få de faste samarbejdspartnere smidt ud.
Boks:
Hip som hap med software-leverandøren
Erfaringen med de store leverandører af sikkerhedssoftware er, at den ene ikke er bedre end den anden, siger Preben Nielsen, it-chef hos Nomeco.
Baggrunden er et mindre virusudbrud, som Nomeco var udsat for sidste år. Virksomheden blev angrebet af en kendt virus, der havde været i omløb i over en måned. Men ingen af de store antivirusleverandører havde brugt tid på at lave en kur.
- Det var en aha-oplevelse i forhold til producenterne af den type software. Vi kunne konstatere, at når en virus ikke rammer så mange, så gider de ikke bruge tid på den. De venter, til det bryder ud for alvor et eller andet sted. Og det var egentlig overraskende for os.
- Vi havde tillid til, at vælger man nogle af de store, så kan man regne med at være sikret mod alle de kendte vira derude, bare man har systemerne på plads og styr på opdateringerne. Men vi må erkende, at det er vi ikke. Om det er Norton, Trend Micro - som vi i øvrigt selv bruger - eller andre, tror jeg ikke, gør den store forskel.
Preben Nielsen fortæller, at et lille firma i USA havde beskrevet den pågældende virus i november, hvor Nomeco blev ramt i slutningen af december. I en klassisk situation, hvor
en medarbejder havde sin bærbare pc med hjemme på juleferie, gik på nettet og blev inficeret af en af de orme, der sniger sig ind, blot man er koblet op. Tilbage på kontoret satte han sin pc på netværket, og virus blev spredt.
- Vi kontaktede de fem-otte største leverandører, men ingen havde en kur. Så fik vi lavet en, og efter seks-otte timer kunne vi kurere den. Heldigvis gjorde den ikke synderlig skade, og vi kørte fin drift i den mellemliggende periode, men det var alligevel en ny erkendelse.
- Konklusionen er, at der må ligge en prioritering. Sidder man med 1.000 vira, laver man en kur for de 200, og med de 800 andre ser man tiden an. Det er klart, at det også er et ressourcespørgsmål hos producenterne. Men vi stoler ikke helt på dem længere. hjort
Billedtekst:
Sælgere med et anstrøg af cowboy, der træder op på et wildwest-marked, finder Preben Nielsen, it-chef hos Nomeco, frastødende.
Foto: Torben Klint
Boks:
Sikkerheden er for usynlig
Sikkerhedsfolk burde blive langt bedre til at synliggøre værdien af de sikkerhedsforanstaltninger, de selv anbefaler, mener Gitte Melph,
it-sikkerhedskoordinator i Sonofon.
Her ligger en stor udfordring. For det er svært i og med, at sikkerhed er usynlig, men det er vigtigt. For vi bliver jo målt og vejet ligesom alle andre investeringer, og pengekassen flyder ikke altid ligefrem over. Sikkerhed indgår i en helhedsvurdering og prioriteres sammen med alt det andet. Skal man udvikle et produkt, forbedre driften eller putte sikkerhedsforanstaltninger ind her? Derfor bør vi være rigtig gode til at synliggøre sikkerhedsforanstaltningerne og den værditilvækst, de måtte give.
Det siger Gittee Melph, it-sikkerhedskoordinator i Sonofon. Hvad redskaber angår, henviser hun til risiko-, sårbarheds-, og konsekvensanalyser, hvor man er nødt til at sætte værdi på og lave beregninger ud fra sin egen eller andre virksomheder.
- Det er benhårdt arbejde. Men det er nødvendigt at være konkret og komme med noget målbart. For man kan meget nemt komme til selv at male fanden på væggen. I netop den situation skal man huske at være seriøs og ikke selv være den, der råber "ulven kommer". hjort
Billedtekst:
Sikkerhedsfolk skal være gode til at synliggøre sikkerhedsforanstaltningerne og den værdi-
tilvækst, de måtte give, mener Gittee Melph, it-sikkerhedskoordinator i Sonofon. Foto: Torben Klint
Boks:
Forbehold over for antivirus fra Microsoft
Microsoft er på vej med et antivirusprodukt. It-beslutningstagere afventer.
Vi følger altid med i, hvad Microsoft laver, så det vil vi evaluere, når der er noget. På produktsiden er vi mere villige til at skifte leverandør hurtigt, vi føler os ikke så bundet som til rådgivere. Men det er ikke ligefrem sikkerhed, Microsoft er mest kendt for, siger Preben Nielsen, it-chef, Nomeco.
Han mindes et notat fra Gartner Group om, at det er sikkert i sig selv at undlade at bruge Microsoft-produkter.
- Vi kører Lotus Notes på mail- og real workflow-siden, det er også en sikkerhed i sig selv, at vi ikke bruger Exchange Server og Outlook fra Microsoft. Så bliver vi ikke ramt af de ting, der kommer den vej fra. Vi bruger heller ikke ISS (Internet Security Systems) server på internettet, der har vi noget IBM-teknologi, som heller ikke bliver ramt i samme grad, siger han. Det er halvt om halvt bevidst. Vi diskuterer, at man måske skal vælge noget, der ikke er mainstream. Det er måske unfair over for Microsoft, der ikke har bedt om, at alverdens teenagere forsøger at finde huller i deres systemer. Men det er dagligdagens prioritering. Vi søger at undgå problemer, siger han.
Nomeco har dog skiftet serverplatform inden for de seneste år og er her blevet mere Microsoft-orienterede i og med, at Novell-platformen er udskiftet med Windows 2000 og 2003.
Hos Sonofon siger it-sikkerhedskoordinator Gitte Melph, at man vil være så åbne, at det må komme an på en analyse:
- Vi vil se på pris og funktionalitet og lave en risikovurdering af, om vi vil samle eller sprede vores sikkerhedsforanstaltninger på en eller flere leverandører. Det, der ligger mest i en sikkerhedstankegang, er at sprede sikringsforanstaltningerne, så man ikke binder sig til en leverandør. Vi er ikke forudindtaget, men vil gennemføre en samlet vurdering af det, siger hun. hjort
Boks:
Livsnerven står på spil
Microsoft ventes at komme med et antivirusprodukt. It-beslutningstagere forholder sig afventende.
Risikofaktoren er væsentligt større, når man vælger sikkerhedsleverandør end ved andre it-beslutninger. Derfor bør der lægges en anden grundighed og forsigtighed for dagen i netop den sitaution, noterer Michael Kandel, manager hos rådgivningsfirmaet Rambøll Management.
Men hvilken? En egentlig metodik eller skudsikker metode til at skille fårene fra bukkene kender han ikke. Men han trækker alligevel en række tiltag op. Risikoen for et rådgivningsfirma ved at vælge forkert er også til at tage føle på. Renommeet er på spil. Bringer rådgiveren en specifik sikkerhedskompetence ind i en kunderelation, som firmaet har brugt år på at opbygge, og ikke er påpasselig nok, risikerer man at spille sig selv af banen.
- Frem for alt åbner man ikke ladeporten lige fra starten. Du skal tjekke firmaerne og starte med et lille hjørne. Kontrollere, at det, de siger, også svarer til de processer, de gennemfører i praksis. Så kan man bagefter indgå i et samarbejde. De tjek, pilottest, at sikre sig proof of concept er vigtige, siger Michael Kandel med den tilføjelse, at det gælder selvfølgelig alle it-projekter. Her er det bare livsnerven, der er på spil.
Livsvigtig information
Han fremhæver også betydningen af at forhøre sig på markedet og spørge til erfaringerne med de pågældende firmaer i sit netværk.
- Det er livsvigtig information, man pludselig udveksler med de firmaer. Så man er meget, meget varsom.
Rambøll Management vælger de firmaer, de har tillid til, fravælger de helt små og lægger vægt på, at samarbejdspartnerne skal leve op til deres forventninger om fortrolighed i kunderelationer. Et område, hvor de i en efterhånden tre år gammel sag selv blev skuffet.
Michael Kandel opstiller på baggrund af et rundspørge til sine kolleger flere udslagsgivende faktorer.
Referencer, en virksomheds track record, er det vigtigste. Referencer, der giver indtryk af, at de har løst tilsvarende opgaver - naturligvis uden at afsløre den pågældende kunde. Det er ikke godt, noterer Michael Kandel, der helst ikke ser Rambølls kunder nævnt i en sådan sammenhæng. Men man kan vise anonymiserede rapporter og konklusioner.
Dernæst kigger rådgiverne på, hvilken ekspertise den pågældende it-sikkerhedsleverandør har. Forsøger at vurdere den ud fra faktorer som certificeringer og medarbejdernes kvalifikationer. Endelig ser de leverandørerne i forhold til de løsninger, deres klienter anvender.
De ser også på, hvor bred it-sikkerhedsleverandørernes viden er.
- Nogle gange er det ikke tilstrækkeligt alene at fokusere på sikkerhedsaspekter og pege på problemer - man vil jo også gerne have løsninger! Det at sige, at "der er et hul her, og det må du gøre noget ved", er ikke tilstrækkeligt. Derfor vægter vi dem, der har et lidt bredere kendskab til it-services og kan overskue eksisterende infrastrukturløsninger.
Prisen betyder også noget.
- Pris spiller en rolle for vores kunder - vel at mærke, når man sammenligner to forskellige tilbud. Ikke som overordnet valgkriterium for sikkerhed, uddyber han.
Til gengæld spiller det ingen rolle, om sikkerhedsleverandøren kender virksomhedens branche. Sikkerhed er så tværgående en disciplin, at det ikke spiller ind.
Hvad leverandørernes optræden angår, tæller det for Michael Kandel negativt, når nogen er for sælgende.
- En leverandør af it-sikkerhed er næsten ligesom en læge. En læge skal være faglig - ikke forsøge at sælge dig medicin. hjort
Boks:
Det allerstørste sikkerhedsproblem
Hver har sin holdning til, hvad der er det største problem inden for it-sikkerhed. Fokus, svag produktkvalitet og spam lyder nogle bud.
Konstant at fastholde fokus på det væsentligste. Det er en hovedproblemstilling, mener Gitte Melph, it-sikkerhedskoordinator, Sonofon.
- Man kan nemt komme til at fordybe sig for meget i noget forkert, eller man kan blive sendt i den gale retning, hvis ledelsen har hørt, at "ulven kommer" og udstikker direktiver derefter. Hele tiden at få sig hevet tilbage på sporet, koncentrere sig om det væsentligste og ikke lade sig rive med, når useriøse eksperter råber en ydelse op - det skal man passe på med, siger Gitte Melph.
Produkterne er i fokus hos Preben Nielsen, it-chef hos Nomeco. Han skyder på leverandørerne og peger på problemet i, at sikkerhed ikke indgår som en del af kvalitetssikringen i softwareprodukter.
- Det burde være et krav til softwareleverandører, at der også er taget hånd om den sag. Alt det med sikkerhed burde jo slet ikke være noget, vi tænkte på.
Brugeradfærd kommer også ind som et stort sikkerhedsproblem i Preben Nielsen bog, men også her retter han skytset mod leverandørerne frem for medarbejderne.
- Det er for komplekst for dem at forholde sig til, og hvorfor pokker skal de også vide alt om sikkerhed. De skal have 30 forskellige, vanskelige passwords, de skal passe på med at åbne vedhæftede filer på mails, men alt det kan man ikke forlange af dem, at de skal have styr på. At få nogle brugervenlige systemer, der også er sikre, det er en stor hurdle. Der er lang vej igen. Branchen er stadig umoden, siger Preben Nielsen.
I Spar Nord peger it-direktør Carsten Henriksen på spam-mail.
- Det er langt den største gene. Det er en løbende, daglig irritation at holde trit med, det er tidkrævende, og der er også en risiko. Vi luser alt igennem med firewall og spamfilter, men problemet er voksende. Volumen brager op i himlen, og det største potentielle problem kan blive at holde trit med de mænger, der kommer, siger han.
hjort
Billedtekst:
- Når det gælder sikkerhedssamarbejdspartnere, lægger vi vægt på at have længerevarende relationer. Vi skifter ikke leverandør uden videre og er nok lidt konservative, siger Tommy Færk, Dansk Tipstjenestes drifts- og it-sikkerhedschef. Foto: Torben Klint
