Banker saknar tillräcklig insikt i affärskritisk teknik

Fyra av fem svenska banker och finansinstitut använder webbteknologikomponenter med kända sårbarheter. Det är dags för finansbranschen att förbättra sitt fokus och övervakning av komponenter som används i affärskritiska lösningar.

Daniel Parmenviks ord, VD och ansvarig för IT-säkerhetsprodukten Bytesafe. Företaget undersökte användningen av öppen källkodskomponenter med kända sårbarheter bland Svenska Bankföreningens medlemmar.

– Resultatet var en besvikelse och inte tillräckligt bra. Så många som 78 procent av de granskade webbplatserna använde minst en komponent med säkerhetsbrister”, säger Daniel Parmenvik.

Tekniken i fokus: JavaScript-komponenter, som ofta är föråldrade och försummade. Dels på grund av bristfälliga processer för att automatiskt och kontinuerligt granska komponenter.

Samt bristande transparens, där de verksamhetsintressenter som är ansvariga, är omedvetna om riskerna.

– ”I många fall har utvecklarna god insikt i vilka komponenter som används idag, men organisationerna saknar övergripande verktyg för att hantera applikationer över tid.

Samtidigt är affärssidan ofta mer intresserad av de pågående projekten snarare än att investera tid i detaljerna kring IT-säkerhet”, säger Daniel Parmenvik.

En stor del av moderna applikationer består av färdiga komponenter som personer utanför organisationen har utvecklat, oftast i form av komponenter med öppen källkod.

Fördelarna med att återanvända kod är uppenbara: minskade kostnader och snabbare utvecklingstakt. Samtidigt introducerar det risker vid återanvändning av extern kod från resurser utanför en organisations direkta kontroll.

– ”I allmänhet saknar organisationer ordentlig kontroll över vilka komponenter och versioner som används i deras applikationer och hur gamla de är. I vår studie hittade vi till exempel komponenter som var över 12 år gamla, vilket ökade risken för säkerhetsproblem”, säger Daniel Parmenvik.

Enligt honom är vägen framåt att införa bättre system som kontinuerligt övervakar vilka programvarukomponenter som används, och varnar om några nya sårbarheter dyker upp.

– ”Sårbarheter upptäcks över tid och organisationer måste implementera processer och verktyg som undersöker komponenter kontinuerligt, för att minska IT-risker.

Att använda komponenter direkt från publika kodbibliotek utan någon form av tillsyn kan vara mycket skadligt”, säger Daniel Parmenvik.

Källa: https://coinpedia.org/banking-finance/banks-inefficiency-into-technology/