Nexus Group arbeider med identitets- og sikkerhetsløsninger for mennesker og tilkoblede enheter. En grunnpilar i selskapets strategi for identitetshåndtering handler om "zero trust".

– Det er en modell først og fremst for cybersikkerhet, men samme prinsipp kan anvendes på fysisk sikkerhet: du får ikke tilgang til noe eller noe område før du har verifisert identiteten din. Tidligere fantes det en sikkerhetstenkning kalt "perimeter security", det vil si at du har et høyt gjerde rundt det du skal beskytte, men når du først er inne kan du gjøre hva som helst, sier Per Majak.

Med "zero trust" må du derimot alltid identifisere deg for å få tilgang til noe.

– Vi ser oss som en "enabler" av "zero trust" i digitalt og fysisk miljø.

Sikre leverandørleddet

Per Majak påpeker at NIS2 innebærer utvikling av en slags sikkerhetskultur med for eksempel strengere krav til sikkerhet, hendelsesrapportering og risikohåndtering.

– Vi tror at "zero trust" er en grunnforutsetning i NIS2, og det er slik man arbeider med sikkerhet i dag. Vi tror det passer inn med både vår strategi og hvordan kundene våre må utvikles.

En annen viktig del av NIS2 er å sikre sitt leverandørledd.

– Vi ser mer og mer at kundene våre stiller krav til oss når det gjelder sikkerhet, "code of conduct" og slike ting. Ettersom de opererer i et NIS2-miljø, må de sikre at vi som underleverandør også møter NIS2-kravene. Dette vil ramme mange bedrifter, og vi tror håndtering av hele leverandørkjeden, med verifisering av selskaper og verifisering av ansatte underleverandører, er viktig. Som selskap innen for eksempel kritisk infrastruktur må du ha full kontroll over leverandørene dine og hvem som oppholder seg i lokalene.

Han eksemplifiserer med et byggeprosjekt der et byggefirma har mange underleverandører og masse mennesker, ofte fra ulike land, og trenger tilgang til steder, lokaler og også IT-systemer.

– Hvordan håndterer du den konstante strømmen av mennesker inn og ut av prosjektet? Der utvikler vi nå løsninger for å kunne sikre identitetene og digitalt "onboarde" og "offboarde" rett person med rett tilgang på rett tidspunkt. Til og med kontrollen av ID-dokumentet kan skje på avstand og bidra til automatiseringen.

Sterk tro på automatisering

Og nettopp automatisering vektlegger han veldig sterkt.

– Sikkerhet kan være ganske tungvint å implementere. Men hvis du implementerer det på en måte der det blir automatisert og enkelt å bruke – enkelt for administratoren, enkelt for sikkerhetssjefen, enkelt for brukeren – så vil du både øke sikkerheten og kunne redusere de relevante kostnadene fordi du minimerer manuell håndtering.

Grunnlaget er den pålitelige identiteten – at rett identitet er utstedt til rett person og at det er sikret hele veien, altså håndtering gjennom hele livssyklusen.

– Den dagen du avslutter din ansettelse, skal den automatiserte prosessen trigges fra HR slik at all tilgang avsluttes på en bestemt dato og du ikke lenger har tilgang til noe.

Europeiske leverandører

Nexus arbeider mye med forsvarsindustrien, og der stilles det høye krav til hvor produktene og komponentene kommer fra.

– Vi bygger tjenestene våre på europeiske skyer, og vi har utviklet Europa-baserte leverandører for for eksempel nøkkelbrikker, plastkort, RFID-kort og så videre. Ustabiliteten i verden og den geografiske sikkerhetsaspektet med å være en europeisk leverandør og ha en europeisk tankegang vil være viktig i lang tid, tror jeg, om man skal vurdere hva som skjer i geopolitikken akkurat nå.

Post-quantum-strategi

KI er en tydelig trussel mot identitetshåndtering fordi det er mulig å forfalske identitet på svært sofistikerte måter. En annen trussel er kvantedatamaskiner, som kanskje vil kunne knekke kryptering i fremtiden. Per Majak nevner det som kalles "harvest now, decrypt later", som han mener er en reell trussel i dag.

– Tenk deg at en hacker stjeler kryptert data i dag, men ikke kan knekke krypteringen. Men det kan bli mulig senere, når teknologien for kvantedatamaskiner er på plass. Så selv om du krypterer dataen din i dag, må du på en måte også tenke: "hvordan sørger jeg for at denne dataen ikke er relevant om fem år".

Det gjelder med andre ord å ha en post-quantum-strategi allerede nå – å implementere nye algoritmer og krypteringsmetoder for å sikre dataen lenger frem i tid.

– Dette er en mulighet til å ligge ett skritt foran, og vi har et testsystem allerede i dag fordi vi vil at kundene våre skal ha mulighet til å begynne å teste nye algoritmer og sikkerhetsstrategier, avslutter Per Majak.