Säkerhetsslarv på Tietoevry: "Ofta var lösenordet admin"

Jag har jobbat på ett företag som valde att man skulle ha minst 12 tecken, siffror och specialare, SAMT att det inte fick vara "för likt"(eller samma) de senaste 250 lösenorden du hade.. samt byte varje månad (senare ändra till varannan månad)
Blev att många körde <ett halvlångt ord><bytes-år><bytes-månad> (där månad varierade mellan månaden i siffror och månaden i ord)

Intressant, det känns som ett uppenbart fel i lagen som borde rättas. Men det finns ju andra sorters aktiebolag också: https://bolagsverket.se/foretag/aktiebolag/startaaktiebolag/a...

Känns klart görbart att avskaffa vinstkravet för åtminstone en ny publik bolagsform, lagar är ju bara hittepå från början. Viljan verkar dock saknas. :-/

Tänker mig att alla bolag skulle (frivilligt) kunna ha krav av samma sort och lika bindande som det systembolaget har. Inga problem med överlevnaden där ändå märk väl.

Håller inte med att VDn kan delegera bort sitt ansvar för verksamheten. Det är ju en enorm blunder och sänker trovärdigheten för företaget på grund av VDns girighet.

Baserat på att artikeln stämmer ja

Oavsett om det var en ekonomisk strategi att låta säkerheten bero så är det inte denna situationen som var i kalkylen. Även om dem tjänade mer under senaste 2 -3 åren på att inte röra miljön så kommer det vara många gånger värre att vara på svarta listan i IT-branchen under odefinerat antal år. Tanken var nog snarare att inte lägga pengar på denna del av deras IT-miljö för att så snart som möjligt sälja av den och låta någon annan ta kostnaden. "Tyvärr" gick det inte som planerat...

Hm, hur tänker du att en 8H arbetsdag ser ut om en endaste person skall checka in med 21000 anställda och låt säga 2000kunder och inte bara på helhetsnivå. På detaljnivå för varenda kund? samtliga incidenter, säkerhetsbrister, pentester, planerade förändringar, daglig drift etc. Skall denne person också sitta med i t.ex upplärning för first line agenter?

en VD's roll är väl ett helhetsansvar och att driva företaget på ett så bra vis som möjligt och inte att man skall göra precis allt och veta precis allt för ett helt företag?

För isåfall kan ju vdn bara sparka de andra 21000 anställda eftersom han då skall utföra allt arbete själv?

Än en gång - Jag försvarar definitivt inte företag med slentrianmässigt beteende och bristande rutiner etc. Men att hänga en man när det är en isolerad enhet som felar känns lite skumt.

Enligt TE själva är allt guld och gröna skogar.
https://www.tietoevry.com/se/nyhetsrum/alla-nyheter-och-press...

Det är ärligt talat snudd på häpnadsväckande hur man som bolag efter en uppsjö bevis fortsätter argumentera att man själv inte bär något ansvar. Då jag råkar ha att göra med TE dagligen i mitt jobb så meddelade jag dem senast idag att det jag ser och det jag hör inte går ihop. Och måste jag välja mellan ord eller handling så väljer jag handling, och då ligger de pyrt till.

Men, precis som någon här ovan skrev, de har riktat in sig på offentlig sektor och där har man LOU att förhålla sig till. Inom privat sektor hade de inte överlevt länge, då deras fasoner aldrig skulle ha tolererats, men givet den gigantiska tröskel som LOU medför gällande upphandling och transition så kommer de undan med det.

Tragiskt, men vad ska man göra.

Allting är relativt, att byta ut ett lösenord från admin varje år är att förbättra säkerheten. Men inte i så hög takt.

Personligen om jag haft en sådan här miljö hade jag varit livrädd att få en sådan här attack och hade synat systemet i sömmarna för att täppa till alla hål. Då det är lätt att orsaka enorm skada på kort tid, vilket hände här.

Ett problem kan vara att det är spretigt med kunder, svårt att få till servicefönster. Och att budgeten sätter stopp för att bygga systemet tillräckligt redundant för att man ska kunna hålla allt flytande under uppdateringar.

Tätto kan komma med management speak och allt sånt.

Men vi som sett bolaget och hört historier från/om de som jobbar där vet att SvDs artikel snarare är snäll och på bolagets sida än sensationell. Det är ett bolag som främst haft som syfte att vara gött och avslappnat för cheferna. När man jobbat hårt med krav inom andra bolag har det varit "pension" att kliva in i TE och lyfta en hög lön genom att hålla med allt som ledningen sagt.

"Nobody got fired for buying IBM" borde i Sverige vara "It got fired for selecting Tieto".

De har iaf uppgraderat det från första kommentaren från VD "Vi har bara gjort exakt det kunderna sagt så om vi har dålig säkerhet är det deras fel!"

Det var dock inte VD:n utan Sverigechefen (Venke Bordal) för deras "tech services" som intervjuades av DN:

Fast kanske mest komprometterande var ju:

DN: Menar du att den här attacken inte alls är kopplad till att ni har brustit i något led?
VB: Ja, det menar jag.

DN: Men angriparna är inte magiker, de utnyttjar säkerhetshål.
VB: Vi vet inte hur man har attackerat här. Men ja, jag vågar påstå att vi har en väldigt hög säkerhet.

DN: Tillräckligt hög?
VB: Ja

DN: Finns det inget ni kunde ha gjort för att stoppa det här?
VB: Det vet jag inte, för vi vet inte hur det här hände. Vi har inte de svaren, det får polisutredningen svara på.