Avsnittet: 322 – Security principles, del 2
Inspelat: 2026-04-23 (publicerat 2026-04-24)
Deltagare: Erik Zalitis, Mattias Jadesköld och Kent Illemann.

Lyssna på avsnittet – security principles

Medan du lyssnar – security principles

I detta avsnitt av IT-säkerhetspodden diskuterar vi viktiga säkerhetsprinciper som Open Design, Separation of Privilege och Least Privilege. Vi utforskar deras historiska sammanhang, betydelse och hur de tillämpas i dagens IT-säkerhet. Genom att förstå dessa principer kan vi bättre skydda våra system och information. I detta avsnitt diskuterar vi viktiga säkerhetsprinciper som separation of privilege och least privilege, samt hur riskhantering och informationsklassning är avgörande för att skydda känslig information. Vi reflekterar över historiska perspektiv på IT-säkerhet och hur dessa insikter kan tillämpas i dagens digitala miljö för säkerhetsprinciper.

Huvudämnen

• Säkerhetsprinciper har en lång historia och är fortfarande relevanta.
• Open Design innebär att systemdesign ska vara öppen för granskning.
• Separation of Privilege minskar risken för missbruk av makt.
• Kryptografiska algoritmer bör alltid vara öppna för insyn.
• Säkerhet bör inte baseras på hemligheter utan på robusta designprinciper.
• Det är viktigt att ha kontroller mellan olika system och användare.
• Open Design kan leda till bättre säkerhet genom gemensam granskning.
• Separation of Privilege kan implementeras genom olika system som kommunicerar med varandra.
• Säkerhet by obscurity är en dålig strategi.
• Att förstå hur system fungerar är avgörande för att hantera incidenter. Separation of privilege är avgörande för säkerhet.
• Least privilege handlar om att minimera access med säkerhetsprinciper.
• Riskhantering är centralt för informationssäkerhet.
• Ingenting är nytt under solen.
• Vi måste säkra den digitala miljön.
• Det handlar om att inte ge implicit tillit.
• Säkerhet är en organisationskultur.
• Zero Trust är en grundläggande princip.
• Vi lär oss av historien om säkerhetsprinciper.
• Framtiden kräver nya perspektiv.

Slutsatser

• ”Säkerhet är en organisationskultur.”
• ”Ingenting är nytt under solen.”
• ”Vi måste säkra den digitala miljön med säkerhetsprinciper”
• ”Vi lär oss av historien.”
• ”Framtiden kräver nya perspektiv.”

Kapitel

00:00 Introduktion till säkerhetsprinciper

01:36 Historisk kontext och betydelse

04:00 Open Design: En öppen säkerhetsstrategi

12:37 Separation of Privilege: Dela makten för säkerhet

14:53 Separation of Privilege och Access Management

20:25 Principen om Least Privilege

25:22 Riskhantering och Informationsklassning

28:07 Historiska Perspektiv på Säkerhet och IT

31:34 Avslutande Tankar och Framtida Ämnen

Länkar – security principles

• Om personerna bakom principerna.

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #324 – Security principles, del 2 dök först upp på IT-säkerhetspodden.

Avsnittet: 190 – Att genomföra förändring
Inspelat: 2022-12-08 (publicerat 2022-12-11)
Deltagare: Erik Zalitis, Mattias Jadesköld, Jan-Olof Andersson, Tobias Anders.
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet – SMS – förändring

Medan du lyssnar

Jan-Olof kallas ofta för JOA och han har 40 år i branschen. Det kan ju verka lite märkligt, men tanke på att IT-säkerhet är runt 25 år gammal som bransch. Men JOA jobbar inom Infosec har arbetat med området då det handlade mycket om fysisk säkerhet. Han är också författare till flera böcker och har talat för sitt ämne i lika länge.

Tobias däremot har bara skrivit en bok, än så länge, mne valdes till ”Årets GRC profil” av organisationen Government Risk Compliance.

Så det finns en enorm kunskapsbas dessa herrar emellan. Och vi pratar förändring av säkerhetskulturen och en hel del om ISO 27001. Det är många punkter som ett ISO 27001-certifierat företag måste kunna kryssa av och nyligen har en ny version kommit ut med flera punkter.

Mattias höll i frågorna nedan, medan jag gjorde en ihop för att bredda området lite.

Några av frågorna:

• (JOA)Jag tänkte att vi ska väva ihop säkerhetskulturen och resan mot 27001. Så först, JOA, vad är 27001?
• (Tobias) Och, Tobias, informationssäkerhetskultur. Vad är det?
• (Tobias) Jag kände mig lite träffad när du din undertitel är ”Varför det inte räcker med utbildning” – för det är ofta det man tjatar om. Berätta varför?
• (Tobias) Vad är bra säkerhetskultur respektive dålig?
• (Tobias) 3 av 10 statsanställda fruktar repressalier ifall de kritiserar. Vad sätter det för kultur?

• (JOA) om man ska införa 27001 i ett företag. Ställer det några krav på kulturen?
• (JOA) Förmåga att hantera verksamhetens behov, legala krav, brister och risker inom informationssäkerhetsområdet. Vad krävs?

• (Tobias), du beskriver kulturen som en lök med flera lager (synlig, osynlig och kärna). Berätta.
• (Tobias) ”Medarbetarnas utrymme” -vad innebär det Tobias?
• (JOA) hur påverkas medarbetarnas utrumme ifall en organisation är certifierad enligt ISO 27001 eller inte certifierad?
• (Tobias) En annan vanlig sak på en arbetsplats är att ”regler inte efterföljs” – vad är orsakerna till det?
• (Tobias) en modell över org.kultur jag fastnade för var en graf där ena axeln var intern<>ext och andra kontroll<>flexibilitet. Vad skapar det för företag?
  • Vad är vanligast?
  • Är någon bättre/sämre?

Länkar – SMS – förändring

• SIG Security
• Nordlo

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #190 – Att genomföra förändring dök först upp på IT-säkerhetspodden.

Avsnittet: 167 – Ryssland vs USA med Sig Security
Inspelat: 2022-04-22 (publicerat 2022-05-01)
Deltagare: Erik Zalitis, Mattias Jadesköld, Mikael Simovits och Pontus Krohn.
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet – Ryssland vs USA

Medan du lyssnar – Ryssland vs USA

Världen är föränderlig och att titta djupare på hur den ser ut just nu, är en spännande och ibland förvånande resa. Just när man tror att man fattat hur det fungerar, ändras spelplanen. Augusti 2020 intervjuade jag Fredrik Eriksson från Försvarshögskolan och han pratade om 1900-talets underrättelsehistoria och vi avslutade med dagens läge. Och detta avsnitt blir faktiskt en typ av uppföljare till denna, då vi kastar oss in i ”Ultranuet” och ser hur världen ser ut just nu. Och denna gång från både det Ryska och Amerikanska perspektiven.

00:00 – Vinjett

03:07 – Titeln är Ryssland vs USA – Vad betyder det för er?

04:37 – Vi börjar med Ryssland: hur är deras cyberattackförmåga?

07:35 – Om attacken mot OPCV

10:20 (Ryssarna) har ingen koll på sin egen data när de attackerar.

11:20 Vad gör Ryssland åt sitt eget cyberförsvar? De är ju också ett mål.

12:53 Är det något mer installerat på Ryska folkets datorer? (Keyloggers, bakdörrar, etc)

13:42 Runet : vad är kopplingen till Drutten och Jena?

Runets ”stora öron”

15:09 Drutten stora öron, vad lyssnar de på egentligen?

16:10 Mikael: ”Swift-bojkotten har inte hjälpt, Ryssland har sitt eget system kallat Mir.”

16:42 Erik: – ”De väntar sig att bli ex-kommunicerade ?”

17:59 – Berätta om cyberattackerna mot Ryssland – det finns en del mönster att se, eller hur?

21:35 – Allt detta måste ha påverkat Rysslands syn på cyberförsvar, eller hur?

22:11 – ”RUNet har inte fungerat överhuvudtaget.”

22:30 – En sammanställning av cyberattackerna mot Ryssland från världen före och efter Ukraina-invasionen, fram till idag enligt Mikael.

25:23 – Attacken 29 mars 2022 mot Ryska ”Luftfarsverket”

26:56 – Hur ser hotbilden ut från Ryssland mot Sverige.

26:37 – Vad är ”Wiperware” ?

USA, ett land i förändring

27:50 Över till USA – vad händer?

29:13 Hur ligger USA till cybersäkerhetsmässigt?

32:24 Hur är Ryska befolkningen när det gäller kunskap om IT-säkerhet

34:02 Pontus: ”Republikanerna har blivit övervakade”. Situationen är politiserad.

34:48 Pontus: ”Ryssland har skickligt påverkat båda lägren”

35:45 2019 ville Trump-administrationen samarbeta med Ryssland om cybersäkerhet, medan utredningen av valet pågick. Vad beror det på?

36:30 Pontus: ”Nyhetstäckningen i Sverige är rätt ensidig”.

38:32 Pontus: ”Man börjar nu se en mer ensad linje i vad som måste göras”.

39:51 Ryssland ertappas, medan USA inte gör det. Vad kan man säga om Stuxnet?

40:07 Efter Snowden affären, hur har man gjort för att hantera säkerheten?

42:41 Pontus: ”Hunter Bidens laptop kommer bli en följetong”.

43:17 Hur kommer det geopolitiska läget utvecklas enligt ett cybersäkerhetsperspektiv?

43:28 Mikael – Nato-vindar och osäkerhet efter valet 2016 med Trump samt historik om sanktioner mot Sverige under Sovjet-tiden.

44:25 Mikael: ”Vi går från globalisering till nationalisering”

45:46 Pontus: ”Håller med. En ny världsordning där vi måste fundera över situationen.”

46:37 Pontus: ”Kinesiska myndigheter ställer krav på Amerikanska företag, medan USA tänker på nationalisering”.

48:50 ”Vad kan man göra som privat-person eller företag?”

48:58 Mikael: ”Det börjar normalt med social engineering, samt man behöver bli mer misstänksam”

49:34 Pontus: ”Utbilda alla”

51:03 ”Vad gör ni härnest?”

Länkar – Ryssland vs USA

• SIG Security
• ”Oroande utvecklings” utmärkta lista över Twitterkonton som postar säkerhetspolitiska inlägg

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #167 – Ryssland vs USA med Sig Security dök först upp på IT-säkerhetspodden.

Avsnittet: 129 – GTCC, möt 18 skarpa IT-hjärnor i september
Inspelat: 2021-07-07 (publicerat 2021-07-18)
Deltagare:  Kent Illemann, Ulf Berglund, Erik Zalitis och Ina Nordqvist
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Va, är vår semester redan slut? Nix, men vi har ändå tid att ge er nyheten om Nordens nya IT-säkerhetskonfens: GTC. I samarbete med SIG Security tar vi nu alltså pulsen på de 18 säkerhetsexperter som kommer berätta om vad som händer i IT-säkerhet- och InfoSec-området just nu.

Kent, Ulf och Ina samlades hemma hos mig en onsdag eftermiddag där vi hade allt uppkopplat. Man samlades ute på min balkong, medan jag gjorde klart det sista och sedan körde vi igång. Det skulle ha blivit 90 minuter, men istället märkte vi att 45 räckte. Efter att ”saxen” gått i ”bandet”, var vi nere i nästa 37 minuter. Detta är exakt som det ska vara. Det är bara fördelar med att hålla sådana här diskussioner rimligen korta och koncisa. Allt viktigt hann sägas.

Talarna

Jacob Henricson
CISO, Skanska Sverige
http://skanska.com

Erik Blomberg
CISO, Handelsbanken
http://handelsbanken.se

Eva Throne-Holst
Information Security Officer, Nordnet Bank
http://nordnet.se

Sandra Elvin
CISO, Microsoft
http://microsoft.com

Tony Kylberg
CSO, Head of Group Security & Cyber Defence and Third Party Governance, SEB
http://seb.se

Thomas Nilsson
CIO, Försvarsmakten
http://forsvarsmakten.se

Anne-Marie Eklund Löwinder
Säkerhetschef, Internetstiftelsen
http://internetstiftelsen.se

Rebecca Ihrfors
Chef ledningssystem, FMV
http://fmv.se

Brian O’Toole
Head of Digital Services Security Center, Ericsson
http://ericsson.com

Helena Lindberg
Sveriges Riksrevisor, Riksrevisionen
http://riksrevisionen.se

David Jacoby
Senior Security Researcher, Kaspersky
http://kaspersky.com

Marcus Södervall
Head of Security & DPO, Stravito
http://stravito.se

Nicklas Kjellin
CTO, Covr Security AB
http://covrsecurity.com

Viktor Laszlo
Grundare, Devfinity

Daniel Melin
Moln- och datacenterstrateg, Skatteverket
http://www.skatteverket.se

Johan Christenson
Grundare och VD, City Network
https://citynetwork.se/om-foretaget/

Magnus Bergström
It-säkerhetsspecialist
http://imy.se

Anna Rehnström
VP Infrastructure & Platform Services, Basefarm
http://basefarm.com

Länkar

• Boka din plats här.
• SIG Security.

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #129 – GTCC, möt 18 skarpa IT-hjärnor i september dök först upp på IT-säkerhetspodden.

Avsnittet: 124 – Cyberpsykologi – en grundsten i riskhantering
Inspelat: 2021-05-14 (publicerat 2021-05-16)
Deltagare: Mattias Jadesköld, Erik Zalitis och Robert Willborg
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Nu har vi ju många gånger sagt att social engineering är den mest kraftfulla attacken mot ett företag. Alltså att lura folk att hjälpa dig läcka ut deras data, ta över deras system eller helt enkelt gör det du säger till dem att göra. Inga brandväggar skyddar mot sådant.

Vi har talat om hur insiderhoten ser ut, så nu är det dags att diskutera riskhanteringen i frågan: alltså hur hanterar du risken som dina användare kan vara? Cyberpsykologi! Alltså att se våra mänskliga beteenden som en viktig del i riskmodellering och hantering.

Detta kan verka självklart och till och med floskelvarning, men det är skillnad på att säga att det är viktigt gentemot att faktiskt skapa policies, arbetsmetoder och sköta riskerna konsekvent genom att se psykologin som en central faktor. Alltså, fråga dig själv detta: hur ofta bryr du dig om att tänka på säkerhet ur ett psykologiskt perspektiv?

A) Ibland om det känns bra,
B) Har väl gjort det någon gång.
C) Vi gör inte det idag. Men vi tänker på att införa det.
D) En gång gjorde jag det… Låt mig berätta om detta tillfälle… Allt jag vet om IT-säkerhet bygger på denna händelse.
E) Vi gör det idag och har en plan där alla delar är byggda så att vi tar hänsyn till hur människor tänker och agerar.

Allt annat än E) är att inte inte göra någonting alls.

Det är också viktigt att inte skapa personberoenden, att se till att IT-avdelningen inte blir den sura grindvakten som säger ”Nej” till det mesta, att förstå men inte acceptera att folk pinkar in revir, få bort ”my little server”-administratörerna som hellre startar ett krig mot IT-avdelningen än att bli av med den där servern som de har under skrivbordet.

Men var är säkerheten i detta? Svaret är att det blir säkrare när folk känner att de är delaktiga i att följa policies, acceptera att de inte kan få behålla sina höga behörigheter utan att det finns en anledning och att man gör instruktioner och utbildningar som är lätta att förstå och ta till sig.

Att använda cyberpsykologi är att kunna bygga en organisation som faktiskt arbetar mot att hålla en högre säkerhetsnivå rent allmänt.

Diskussionen kommer också in på frågan om hur vi gör när vi anställer folk. När vi tittar på deras bakgrund, är det konstigt om det inte finns några avtryck på nätet? För en 60-åring? Kanske inte? För en 20-åring? Ja, det är mer rimligt att det borde finnas.

Sen är moral och vad vi ser som varningstrianglar när vi tittar på andra personer också något som förändras över tiden. Bill Clinton vågade inte erkänna att han ”rökt på”, så han sa ”I smoked, but did not inhale”. Detta gjorde att han klarade den, för den tiden, kontroversiella frågan. I slutet av 2006 fick Obama också frågan och sa med humor i rösten: ”I inhaled frequently…that was the point.”. Vid den tiden och med tanke på Obamas ungdomliga framtoning, var det inte längre ett problem.

Länkar

Rekommenderade böcker inom cyberpsykologi:
Mary Aiken: The Cyber Effect
Christopher Hadnagy: Social Engineering, the art of human hacking
Patrik Wincent: Den Digitala Drogen
Yasmin Winberg och Julia Lundin: Badfluencer
Kevin Mitnick: The art of Deception
Kevin Mitnick: The art of Intrusion

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #124 – Cyberpsykologi – en grundsten i riskhantering dök först upp på IT-säkerhetspodden.

Avsnittet: #118 – Praktiska råd efter Schrems II
Inspelat: 2021-03-26 (publicerat 2021-04-03)
Deltagare: Erik Zalitis och Per Gustavsson
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Så vad göra när molnet är en röra av legala fällor och möjlighet för Amerikanska myndigheter att begära ut Europeers data från datacenter placerade i USA?

Visst har vi pratat om det hela i avsnitt 102 med Agnes Hammarstrand, men helt ärligt, det känns som vi gärna vill ta detta även med en organisation som kan berätta om hur Schrems II påverkat dem i verkligheten. Denna organisation är Göteborgs stad som via SIG Security givit Per Gustavsson, deras Chief Information Security Officer (CISO), möjligheten att förklara situationen för oss.

Så vad innebär det att Schrems II-domen invaliderar USAs ”Privacy Shield” ? Detta är något som Göteborgs stad varit tvungna att ta hänsyn till. Man har också varit en av de få i Sverige som använt Microsofts customer lockbox, något som de nu överger, men varför? Lyssna på avsnittet så får du klarhet i frågan.

Länkar

• SIG Security
• Microsofts ”Customer Lockbox”
• Vår radioteater om resan till molnet

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #118 – Praktiska råd efter Schrems II dök först upp på IT-säkerhetspodden.

Episode: #117 – Pentest och ekonomi (eng)
Recorded: 2021-03-26 (published 2021-03-28)
Participants: Erik Zalitis and Simon Roe (Outpost24)
This episode is brought to you by SIG Security.

Listen to the episode

Things to ponder while listening

This text and the podcast is in English as mr Roe is a native English speaker.

So where to begin? I will assume you know what penetration testing means. Instead I will try to interpret Simon’s ideas and counter them with my own. I agree with much of what he says, but have some other experiences on some occasions.

Simon likes to talk about the future of pentesting by comparing it to Netflix. Instead of a lengthy negotiation of terms and prices, only to be told ”we will be able to start in eight weeks”, it should be a formalized process and little waiting times. This will mean that recurrent testing with short intervals can be done.

A common process is that you tell the customer that this is a 10 hour test or we need 40 hours. Simon rather tells you that this is what you get for x hours. He also believes that the customer should be able to see the tentative finding as the test runs and then fix them and ask the tester to retest within the tests original time frame.

Let’s first talk about where I agree with him:

The tests must be more formalized. Pentesting used to be long winded negotiation and suffer from some ”rockstar hacker” mentality. The testers were seen as super talented hackers that could warrant the exorbitant pricing. This is thankfully over now. The prices of testing is slowly decreasing as it should and there are many frameworks for testing available. Simon may talk about a Netflix (”Click to order”) approach, but for me it looks more like the ”order a new server by calling the customer manager” as opposed to the modern ”click a button to provision a new server on Amazon AWS”. I’m 100% with Simon here.

The reports and status should be available on a portal. This can make the process of delivering the bad news more secure, so the company gets the report and not some opportunistic hackers. The portal must have very heavy security and also feature automatic destruction of data and multifactor authentication not to say auditing.

Where I have other views on the matter

He wants to publish results on the portal as the test proceeds and also let the tester re-test (as I wrote previously). This is not something I would do. The rationale is that test must be allowed to finish before analysis can be done. Also, remember, we have a limited amount of testing hours. Retesting within those will consume time from completing the principal attacks properly. Also, I believe it will not give the customer a chance to understand the underlying problems before fixing them.

Then when it comes to the negotiation of the time frame, I see it a little bit differently.

I believe the correct approach to decide a time frame for testing is:

1. Get the size of the environment to be tested.
2. Build attack scenarios (e.g. Unauthenticated attack followed by a authenticated attack against…)
3. Decide knowledge profile (White/Gray/Black hat)
4. Decide location (e.g. On premises, over VPN or from the Internet)
5. Decide the type of attacks (e.g. injections, buffer overruns, but not DDOS)
6. Calculate a reasonable amount of time for the planned attack given the factors above
7. If the customer wants to shorten the suggested time frame, it’s not a problem, but will yield less results.

This means, the test can be properly defined and accepted.

To sum it up, I like the idea of optimizing the pentesting procedures in order to make it behave like any other service you purchase and believe that Simon’s ideas are a good way to step in exactly that direction.

But what about going even further? I have an idea too:

Create a governing body for pentesting that oversees the process. It should be voluntary for testing companies to join, but can be used to prove that ”we’re a part of the international ethical hacker congress” (or whatever such an organization may be called). Part of the organisation can be making sure testers work, plan, attack, report and negiotiate jobs in a very similar way. The may create tools, procedures and provide a things like templates for reports and automatic data exports so reports from different testing companies can be loaded into an application to compare and summarize them. Some may think that ISC2 or ECCouncil could do this, but I think a large scope is needed for this.

Links

• SIG Security
• Outpost24
• Simon Roe – Product Manager at Outpost24

Errata

• None at this time. Please comment below if you find something that needs correction.

Inlägget #117 – Pentests and the economy (In English) dök först upp på IT-säkerhetspodden.

Avsnittet: #115 – Supply Chain Cyber Security med Jonas Lejon
Inspelat: 2021-03-12 (publicerat 2021-03-14)
Deltagare: Mattias Jadesköld, Erik Zalitis och Jonas Lejon
Detta avsnitt är ett samarbete med SIG Security.

Lyssna på avsnittet

Medan du lyssnar

Allt är ju elände som vanligt. Nu kan man inte ens lita på att den där hemliga kryptotelefonen, superavancerade servern eller programvaran är pålitlig även om man skaffat den genom en trovärdig leverantör. Supply chain-attacker handlar om att flytta attacken till leverantörssidan, så det du köper levereras ”för-hackat”.

Många fick säkert kaffet i vrångstrupen när nyheterna vrålade ut att Huawei installerat ”ris-kornsstora” spionchip i servrar de sålde. Det visade sig inte vara sant, men för många var det ett sent uppvaknande och en insikt om att saker kan levereras i ett olämpligt skick. Och det är inget nytt. På 90-talet lyckades en tidning leverera ett virus genom en diskett som följde med tidningen. Därefter har vi hört om virus på USB-stickor direkt från affären ett antal gånger.

Förr kanske det var vanligt att detta var ett misstag, men numera är det nästan garanterat att det är ett medvetet drag. Och leverantören själv kan vara helt oskyldig. I detta avsnitt, som är ett samarbete mellan oss och SIG Security, pratar vi om Sky ECC-attacken, Solarwinds-hacket och diverse andra kända supply-chain-attacker med Jonas Lejon.

Jonas driver en egen blogg (kryptera.se), utför penetrationstester och håller föredrag om IT-säkerhet.

Länkar

• SIG Security
• NIST riktlinjer för att hantera Supply-chain-attacker
• CIS Control (Hardware assets)
• CIS Control (Software assets)
• En summering av supply side-attacker publicerad på Github

Felaktigheter

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om hittar fel i något vi sagt.

Inlägget #115 – Supply Chain Cyber Security med Jonas Lejon dök först upp på IT-säkerhetspodden.

Inlägget Show Notes för #103 – GDPR 2.0 med Agnes dök först upp på IT-säkerhetspodden.

Avsnittet heter #99 – Hur man blir hackad med David Jacoby
Det spelades in 2020-11-01 och lades ut 2020-11-08.
Deltagare: Erik Zalitis och Mattias Jadesköld
Detta avsnitt är ett samarbete med SIG Security.
Show notes skrivna av Erik Zalitis.

Någon vitsig typ föreslog att vi skulle byta titeln till ”Hur man blir hackad AV David Jacoby”. Och det vore onekligen en roligare rubrik. Så till avsnittet…

Jag startade Rodecastern några minuter i fyra söndagen den 1 november 2020 efter att ha fått kontakt med David som sprang runt i sitt hus med sitt headset på. Vi kom att prata i 90 minuter, men någonstans måste man ju dra en gräns, så avsnittet är knappt 60 minuter. Bland det bortklippta i detta videosamtal finns när jag fick se Davids alla Amigor, C64or och Ataris som fanns i källaren. Han har också ett antal BBS:er som man kan ”ringa” till via telnet också.. Otroligt häftigt.

Snacket kom dock att handla om hans jobb som ”evangelist” och jag försökte ta reda på om det är teknikerroll som också gör dig till en säljare. Det håller inte David med om, utan påpekar att han istället vill prata om säkerhetsproblem och lösningar med en publik som inte vill ha en djup teknisk beskrivning, utan snarare en aha-upplevelse.

David håller inte heller riktigt med om att han är ett varumärke själv. Men hans evangelism sätter faktiskt både honom och hans arbetsgivare, Kaspersky, på kartan. Han har synts i TV-program, hörts i poddar och uttalats sig offentligt i IT-säkerhetsfrågor. Det är vad evangelismen innebär i stora drag, eller vad han ser som en viktig del av den.

Här är attacktyperna vi diskuterade och som David rankade efter hur allvarliga de är just nu:

• Phishing.
• Attachment (skadlig kod i bilagor).
• Sårbarheter (Buffertöverskrivningar).
• Fake-antivirus och uppdateringar.
• Social engineering.
• DoS (Denial of service).
• XSS, CSRF (session hijacking).

Två frågor som han ställde till mig var:

• Hur mycket får jag köpa din Facebook-sida för?
• Hur tror du pass blir stulna?

Ska inte avslöja något om svaren, men de är väldigt intressanta och visar hur hackare tänker och hur annorlunda det är mot andra personer.

Errata

• Inget att rapportera denna gång. Kommentera gärna om ni inte håller med om något vi sagt.

Länkar

Davids arbetsgivare, Kaspersky:
https://www.kaspersky.se/

Vårt förra avsnitt med honom:
https://www.itsakerhetspodden.se/podcast/46-david-jacoby/

Presentation av honom hos Kaspersky:
https://www.kaspersky.se/about/team/david-jacoby

En riktig jobbigt typ att ge hemelektronik till är han också:
https://www.expressen.se/nyheter/david-jacoby-hackade-sin-hemelektronik/

Allt detta gjordes möjligt att SIG Security:
https://www.sigsecurity.org/

Davids hemsida för de som inte är helt fast i sociala medias garn:
http://www.davidjacoby.se/

Inlägget Show Notes för #99 – Hur blir man hackad med David Jacoby dök först upp på IT-säkerhetspodden.