Advarer bedrifter mot å bruke BankID som hvilepute

Flere norske virksomheter vil ta sikkerhet på alvor, hvis man bruker et språk ledelsen forstår, sier Legal Director i Visma, Lars Ottersen.

Det hjelper ikke å sette en lås på fordøra, hvis bakdøra er vidåpen, sier partner i rådgivningsselskapet Otte, Torgeir Andrew Waterhouse.

Illustrasjon: Henrik Lied/
Eirik Solheim/
Harald K. Jansson/
Norge i bilder

- Vi kan ikke ha det sånn at norske bedrifter er flinkere til å forsikre PC-ene sine enn dataene som ligger lagret på dem, sier leder for fagstøtte BM hos Eika Forsikring, Trond Anders Fossum.


Skrevet av Martin Gundersen, NRKbeta 

Utdrag fra NRKs reportasje publisert desember
2020. Du kan lese hele reportasjen på NRKbeta.

Introduksjonen av BankID via app gir norske bedrifter nye muligheter til å bruke systemet til å sikre seg mot hvem som har tilgang til sensitiv informasjon. 

Over 2,9 millioner nordmenn bruker i dag BankID til innlogging på blant annet nettbanker og offentlige tjenester. De neste årene vil vi se at innloggingskontrollen vil bli brukt på mange nye felt, ifølge Waterhouse. 

- Faren for at dataangrep gjør at bedrifter har økt behov for å kontrollere hvem som får se sensitiv informasjon, hvem som kan endre denne og hvem som kan ivareta tilgjengeligheten. Et eksempel er risikoen som ligger i at andre får tilgang til din jobbmail. Det betyr at du snart kan bli bedt om å registrere deg via BankID for å kunne lese og sende e-post fra sin firmakonto. Da er det naturlig å bruke mobil, som du har med deg hele tiden. 

- Appen har flere fordeler sammenlignet med tradisjonell BankID på mobil, fordi den kan oppdateres med nye funksjoner, se hvor noen befinner seg når de forsøker å logge inn, og gi deg muligheten til å sperre tjenesten hvis telefonen kommer på avveie, sier han.

Flash photography, Font
Surveillance cameras spotted at Barcelonas design museum.

Nye trusler stiller nye krav til BankID

Siden hackernes metoder blir stadig mer avanserte, må også autentiseringssystemene utvikle seg.

Phishingsider som er tilnærmet identiske med bankenes innloggingssider er en av mange måter som blir brukt for å få tak private personopplysninger.

For å opprettholde brukernes tillit er det derfor viktig at systemet utvikler seg både administrativt og teknologisk ifølge Waterhouse.

- Administrativt er det viktig at man avklarer hvem som sitter med ansvaret dersom noe går galt. Debatten etter høyesterettsdommen mot Easybank i 2020 viser at dette er uklart i dag. Teknologisk må man nok gå gjennom flere trinn i fremtiden, når man skal logge seg inn via BankID.

– I dag snakker vi om tofaktor-autentisering, men jeg tror det etter hvert blir få tjenester hvor man ikke bruker multifaktor-autentisering. Hvert steg reduserer risikoen for at noen kan misbruke din identitet, men samtidig er det viktig at innloggingen er praktisk.

- Mobilappen vil gjøre det mulig å legge til krav om biometri som fingeravtrykk eller ansiktsgjenkjenning, og man kan også for eksempel be om at du må gjøre noe ekstra etter hver tiende innlogging. Jeg tror imidlertid ikke den fysiske kodebrikken vil forsvinne helt. For noen virksomheter vil det være en ekstra sikkerhet å kontrollere tilgangen til denne, sier han.

«Selv om BankID gjør det vanskeligere å komme seg inn hoveddøra, finnes det ikke noe system som er 100 % sikkert.»

Advarer bedrifter mot å bruke BankID som hvilepute

Waterhouse advarer imidlertid norske bedrifter mot å tro at BankID løser alle deres problemer knyttet til uønskete inntrengere.

- Bedrifter må passe seg for å bruke dette som en hvilepute. Selv om BankID gjør det vanskeligere å komme seg inn hoveddøra, finnes det ikke noe system som er 100 % sikkert. Når denne innloggingen blir brukt på flere felt, øker også risikoen for misbruk.

- Det hjelper heller ikke å sette en solid lås på hoveddøra, hvis bakdøra er vidåpen. Har du et elendig sikkerhetssystem ellers, vil angriperne uansett finne en vei inn.

Han får støtte av IT-sikkerhetsekspert Thomas Tømmernes i Atea.

– Helhetlig sikkerhetstankegang er like viktig som BankID for bedrifter

- BankID som produkt nyter godt av skyhøy tillit i befolkningen og derfor godt egnet når man skal bruke et multifaktor-system i forbindelse med pålogging. Men, som Torgeir sier, er det liten effekt å innføre strenge tiltak på enkelte punkter om man ikke har gjort en analyse av nå- situasjonen og satt opp en tiltaksliste. Dette er en av grunnene til at vi snakker om viktigheten av skallsikring.

– Alt for mange virksomheter i både offentlig og privat sektor tar for lett på dette i dag. Ofte er det for eksempel dårlig passordhygiene i form av korte og svake passord, det må settes krav til at passordene må være lange nok til at det er snakk om tiår for å knekke de. Når det gjelder e-post så vil jeg si at en må se på både sikkerheten rundt pålogging og det at sensitivt innhold som sendes på e-post skulle vært sikret mye bedre.

Et av de viktigste grepene bedrifter kan gjøre, er ifølge Tømmernes å installere verktøy som følger med på alle vinduer og dører slik at man raskt kan oppdage og respondere om uvedkommende prøver å komme seg inn i systemet.

– Sørg for å ha sikkerhet på flere nivåer, f.eks: tilgang inn til bedriften, tilgang til systemene kun for de som trenger tilgang og at informasjonen sikres. Samtidig som alt kontinuerlig logges for bedre deteksjon og kontroll. Da er man langt bedre beskyttet enn om man kun stoler på BankID alene, sier han.

Personal computer, Vision care, Table, Hand, Desk, Standing, Gesture

Atea Sikkerhetsdager


I år kan du delta på Ateas Sikkerhetsdager,

når det passer DEG!


Hør på korte, konkrete og interessante diskusjoner og samtaler om problemstillinger og utfordringer som opptar norske virksomheter i dag, akkurat når det passer deg. Alt du trenger for å melde deg på er ditt telefonnummer!

Atea Sikkerhetsdager 2021.

Vi behandler informasjonen din med respekt. Mer informasjon om våre retningslinjer for personvern.