Nexus Group arbetar med identitets- och säkerhetslösningar för människor och uppkopplade enheter. En grundbult i företagets strategi för identitetshantering handlar om ”zero trust”.

– Det är en modell för framför allt cybersäkerhet, men samma princip går att applicera på fysisk säkerhet: du får inte tillgång till någonting eller någon lokal förrän du har verifierat din identitet. Tidigare fanns ett säkerhetsstänk som kallades ”perimeter security”, det vill säga att du har ett högt stängsel runt det du ska skydda, men när du väl är inne så kan du göra vad som helst, säger Per Majak.

Med ”zero trust” måste du däremot alltid identifiera dig för att få tillgång till något.

– Vi ser oss som en ”enabler” av ”zero trust” i digital och i fysisk miljö.

Säkra leverantörsledet

Per Majak påpekar att NIS2 innebär utveckling av en slags säkerhetskultur med till exempel hårdare krav på säkerhet, incidentrapportering och riskhantering.

– Vi tror att ”zero trust” är en grundförutsättning i NIS2, och det är ju så man jobbar med säkerhet i dag. Vi tror att det passar in med både vår strategi och hur våra kunder behöver utvecklas.

En annan viktig del av NIS2 är att säkra sitt leverantörsled.

– Vi ser mer och mer att våra kunder ställer krav på oss när det gäller säkerhet, ”code of conduct” och sådana saker. Eftersom de verkar i en NIS2-miljö, behöver de säkra upp att vi som underleverantör också möter NIS2-kraven. Det här kommer slå mot många företag och där tror vi att hanteringen av hela leverantörskedjan, med verifiering av bolag och verifiering av anställda underleverantörer är viktigt. Som företag inom till exempel kritisk infrastruktur behöver du ha full kontroll över dina leverantörer och vilka som vistas i lokalerna.

Han exemplifierar med ett byggprojekt där ett byggföretag har många underleverantörer och massor av människor, ofta från olika länder, och behöver tillgång till platser, lokaler och även it-system.

– Hur hanterar du den konstanta strömmen av människor in och ut ur projektet? Där tar vi nu fram lösningar för att kunna säkra identiteterna och digitalt ”onboarda” och ”offboarda” rätt person med rätt behörigheter vid rätt tidpunkt. Till och med kontrollen av id-dokumentet kan ske på distans och bidra till automatiseringen.

Stark tro på automatisering

Och just automatisering trycker han väldigt hårt på.

– Säkerhet kan vara ganska jobbigt att implementera. Men om du implementerar det på ett sätt där det blir automatiserat och enkelt att använda – enkelt för administratören, enkelt för säkerhetschefen, enkelt för användaren – så kommer du både öka säkerheten och kunna minska dina relevanta kostnader för det eftersom du minskar manuell hantering.

Grunden är den betrodda identiteten – att rätt identitet är utställd till rätt person och att det är säkrat hela vägen, alltså hantering genom hela livscykeln.

– Den dagen du avslutar din anställning ska den automatiserade processen trigga från HR att vid ett specifikt datum ska all behörighet avslutas och du ska inte ha tillgång till någonting längre.

Europeiska leverantörer

Nexus arbetar mycket med försvarsindustrin och där är kraven höga på varifrån produkter och komponenter härstammar.

– Vi bygger våra tjänster på europeiska moln och vi har tagit fram Europabaserade leverantörer för till exempel nyckelbrickor, plastkort, RFID-kort och så vidare. Instabiliteten i världen och den geografiska säkerhetsaspekten att vara en europeisk leverantör och att ha ett europeiskt tänk kommer vara viktigt ganska länge tror jag, om man ska bedöma vad som sker i geopolitiken just nu.

Post quantum-strategi

AI är ett tydligt hot mot identitetshantering eftersom det går att fejka att man är någon annan på mycket sofistikerade sätt. Ett annat hot är kvantdatorer som kanske kommer kunna knäcka kryptering i framtiden. Per Majak nämner det som kallas ”harvest now, decrypt later” och som han menar är ett reellt hot idag.

– Tänk att en hackare stjäl krypterad data i dag men kan inte knäcka krypteringen, dock kan det bli möjligt senare när teknologin för kvantumdatorer finns på plats. Så även om du krypterar din data i dag så måste du på något sätt även tänka att: ”hur ser jag till att den här datan inte är relevant om fem år”.

Det gäller med andra ord att ha en post quantum-strategi redan nu – att implementera nya algoritmer och krypteringsmetoder för att säkra datan längre fram.

– Det här är en chans att ligga steget före och vi har ett testsystem i dag för vi vill att våra kunder ska ha möjligheter att börja testa nya algoritmer och säkerhetsstrategier, avslutar Per Majak.