Combitechbloggen
Här trendspanar våra experter inom Cyber Security och digitalisering på nutid och framtid. De delar med sig av sina erfarenheter från den tekniska framkanten. Vad tar du med dig?
-
Att arbeta modellbaserat - en del av digitaliseringen
Att införa ett modellbaserat arbetssätt genom hela värdekedjan - från koncept och utveckling till eftermarknad och ”end of life” sparar tid och pengar. Det är en förutsättning för att kunna göra den digitaliseringsresa som många verksamheter står inför. Möjligheterna är stora men det finns såklart utmaningar, det lyfter vi fram i detta blogginlägg som skrivits av Emil Hansson, Technology Officer MBE, Combitech.
Ett modellbaserat arbetssätt där MBD (Model Based Definition) ingår handlar enkelt uttryckt om att information som tidigare fanns i 2D-ritningar läggs i 3D-modeller som sedan återanvänds genom hela produktens livscykel. På så vis knyts utveckling, tillverkning och underhåll ihop. Istället för flera informationskällor blir modellen informationsbäraren och den gemensamma källan. Se gärna filmen, du hittar den längst ned på denna sida, där jag pratar om MBD.
Att arbeta modellbaserat inkluderar inte bara MBD och 3D-modellen. Det innefattar även andra modelleringsområden såsom systemmodellering, konceptmodellering, funktions- och egenskapsmodellering och flödesmodellering.Intresset för arbetssättet växer
I mitt arbete på Combitech träffar, diskuterar och arbetar jag med olika verksamheter. Utifrån dessa samarbeten kan jag konstatera att intresset för ett modellbaserat arbetssätt är stort och att allt fler börjar inse att det kan hjälpa dem hantera och överkomma sina utmaningar. Några av de utmaningar som många verksamheter står inför är:
- Ökat tryck från marknaden leder till krav på högre effektivisering och ökad flexibilitet genom hela livscykeln – från koncept och utveckling till eftermarknad och ”end of life”.
- Information och data hanteras fortfarande inom många områden på ett traditionellt sätt genom dokumentation och 2D-baserade ritningar och underlag.
- I många fall drivs projekt och organisationer på ett silo-baserat sätt. Detta skapar ineffektivitet och långa ledtider.
Det går inte att fortsätta i gamla hjulspår
I takt med att verksamheter inser vikten av digitalisering upplever jag att allt fler kommer till insikt om att det inte längre går att fortsätta i gamla hjulspår. Bort med traditionell dokumentation och silobaserade processer! In med ett modellbaserat arbetssätt som skapar förutsättningar för en effektiv och flexibel informations- och datahantering som bidrar till kortare ledtider och minskade kostnader.
Låt information och data stanna i den modell som den föds i och återanvänd det som behövs direkt från modellen genom digitala länkar och relationer – istället för att återskapa information och data i traditionell dokumentation. Detta bidrar, enligt mig, till ökad digitalisering eftersom jag uppfattar digitaliseringen som tvådelad, där ett modellbaserat arbetssätt framför allt kan relateras till punkt 2:
- 1. Digitalisering handlar om att skapa nya produkter och tjänster med hjälp av digital teknik.
- 2. Digitalisering handlar om att automatisera processer och att effektivisera digitala informations- och dataflöden genom exempelvis ett modellbaserat arbetssätt.
Tips till de verksamheter som vill arbeta modellbaserat
En återkommande fråga från kund är hur de ska komma igång med ett modellbaserat arbetssätt. Här kommer några tips, se nedan.
- Ha människan i fokus! För att lyckas är det viktigt att få med sig kollegorna i förändringen.
- Skapa en långsiktig målbild och vision som ni kan luta er emot under resan.
- Var medveten om era förutsättningar och nuläge. Skapa en övergripande roadmap baserat på nuläge och långsiktig målbild och vision.
- Förankra införandet av ett modellbaserat arbetssätt från högsta ledning för att säkerställa stöd genom hela resan.
- Börja smått och hitta ”lågt hängande frukter”, där ett modellbaserat arbetssätt kan skapa värde snabbt.
- Arbeta stegvis och agilt, för att skapa utrymme för feedback så tidigt som möjligt.
- Våga ta hjälp och inspireras av dem med tidigare erfarenhet på området.
- Var uthållig! Det kommer finnas motstånd och motgångar som måste överbryggas – det underlättar att ta experthjälp.
Vill du veta mer eller få möjlighet att ställa en fråga hittar du mina kontaktuppgifter bredvid inlägget. Varmt välkommen att höra av dig!
Se MBD-filmen nedan:
-
Nu släpps vår nya kurskatalog!
Combitechs kurskatalog för 2018/2019 har precis kommit från tryckeriet och är nu på väg ut till cirka 7000 kunder och andra intressenter. Årets upplaga innehåller 74 kurser inom våra olika teknikområden, varav 8 nya kurser – kolla in dem redan nu och anmäl ditt intresse!
Kurskatalogen är ett sätt att presentera Combitechs kursverksamhet och ska även återspegla Combitechs kompetensbredd. För att nämna några av kurserna finns bland annat; Data Insights, verksamhetsutveckling, krisberedskap, informations- och systemsäkerhet och agila metoder.
Det som gör vår kursverksamhet speciell är att vi kan erbjuda en kombination av tekniska och verksamhetsnära utbildningar, som har en stark förankring i verkligheten. Våra kursledare är våra egna konsulter som arbetar inom de områden de i undervisar i. Teori varvas med praktisk erfarenhet från konsultens vardag.
Våra kurser är tillgängliga för såväl kunder, som anställda hos Combitech. Vi har ett flexibelt upplägg och erbjuder allt från enskilda kursplatser till schemalagda kurser, anpassade kurser efter behov, till Onsitekurs hos kund, beroende på kundens eller medarbetarens behov.
Länk till utbildningssidan: https://combitech.se/om-oss/utbildningar/
Om ni har frågor om vår kursverksamhet, Combitech Training Institute, eller våra kurser kontakta utbildning@combitech.se
Katalogen i PDF-format hittar du här!
-
Hackaway day – vi hackar smarta högtalare
Härom veckan arrangerade vi Hackaway day, en dag då vi ger oss på att hacka något för att lära oss mer, denna dag var det smarta högtalare vi undersökte. Men vad innebär det egentligen att hacka något?
Det beror på vem du frågar. I vårt fall letar vi efter sätt att använda en produkt eller tjänst på, så att obehöriga kan tillförskansa sig information eller befogenheter de inte ska ha. Vi kallar detta för penetrationstestning. Under dagen testade vi inte bara högtalarnas inbygga säkerhet genom så kallade penetrationstester, utan vi tittade också närmare på hur användare och tillverkare kan reducera säkerhetsrisker genom exempelvis rätt inställningar. Det visade sig bli en lärorik övning, då vi hittade möjligheter att tillskansa sig information och befogenheter.
Informationen i högtalaren
Dagen började med att vi undersökte vilken information som går att komma åt i högtalarna via gränssnitt och appar. Vi konstaterade ganska snabbt att det går att komma åt i princip all information i högtalaren om man är ansluten till samma WiFi-nät. Tack och lov innehåller en högtalare inte så mycket känslig information, men även WiFi-lösenordet och en och annan PIN-kod gick också att tillskansa sig. Det kanske inte låter så dramatiskt, men kommer denna information på villovägar öppnar det upp för ytterligare säkerhetshot på enheter på samma WiFi-nät och om man återanvänt sina PIN-koder på känsliga tjänster.
Nästa steg var att titta på om vi kunde får högtalarna att starta om, det vill säga återgå till sin allra första uppstart, vi kallar det ”första gången”-processen. Går detta att göra är det ofta möjligt att styra högtalaren precis som man vill, vilket inte är möjligt om man har en enkel inloggning på det webgränssnitt som ofta används för detta.
Om högtalarna har möjlighet att använda WPS så undvik gärna detta, eftersom det gör din högtalare mer sårbar för attacker av någon som befinner sig i närheten.
Uppdateringar, hoten och måsten
Ett annat område vi tittade på var uppdateringsprocesser. Det är jätteviktigt att högtalare uppdateras när nya uppdateringar blir tillgängliga. Uppdateras inte mjukvaran blir högtalaren förr eller senare alltid sårbar.
Uppdateringar kan också vara en risk. Om en obehörig skickar en egenutvecklad uppdatering till din smarta högtalare så kan personen ta över den helt. Med en externt kontrollerad enhet i ditt nätverk går det att angripa andra enheter i nätverket eller skapa ett botnet bestående av flera högtalare som kan angripa andra i stora attacker (se tex https://krebsonsecurity.com/2018/05/study-attack-on-krebsonsecurity-cost-iot-device-owners-323k/). Uppdateringen måste alltså alltid komma från en verifierad leverantör.
Som användare ska man också ifrågasätta rättigheterna som vissa appar som styr högtalarna kan ha. Är det verkligen nödvändigt att appen behöver tillgång till SMS, samtal, GPS, kamera eller mikrofon?
Tips och råd
En dag går fort och vi hittade flera saker att gräva vidare i och fördjupa sig i, men som en första summering vill jag dela med mig av några allmänna råd som reducerar riskerna med smarta högtalare:
- Var uppmärksam på ”första gången”-processen så att den inte utnyttjas, använd gärna kabel om det är möjligt.
- Var medveten om att personer på samma nätverk ofta kan komma åt WiFi-lösenordet och andra koder.
- Var medveten om att personer på samma nätverk ofta kan styra dina högtalare som de vill.
- Glöm inte att om ingen uppdatering sker så kommer mjukvaran med stor sannolikhet innehålla sårbarheter efter en tid.
- Var också medveten om att det ska gå att verifiera var uppdateringen kommer ifrån.
- Se till att ha ett bra uppsatt nätverk, gärna med flera separerade nät (till exempel ett gästnätverk), bra kryptering och inga default eller svaga lösenord som skydd.
- Fundera på om du verkligen behöver en uppkopplad pryl – vad är fördelarna och uppväger de nackdelarna?
- Kräv att de produkter du köper har signering/kryptering även inom interna nätverk.
- Trådbundna nätverk är svårare att avlyssna och komma åt än trådlösa nätverk för en utomstående då de oftast kräver fysisk tillgång till det lokala nätverket.
- Kräv att de appar du använder inte har onödiga rättigheter som kan utnyttjas av obehöriga.
-
Cybersäkerhetsexperter eniga: att bygga murar räcker inte längre
För elfte året i rad gick Nordens största cybersäkerhetskonferens Paranoia av stapeln i Oslo. Konferensen gav tillfälle att lyssna på några av de vassaste experterna på området, som säkerhetsgurun Bruce Schneier och den etiska hackaren FC. Som vanligt fungerade Paranoia också som en viktig mötesplats för att diskutera aktuella cybersäkerhetsfrågor. Från årets konferens tar jag med mig framförallt tre saker:
Räkna med intrång – vi kommer att bli hackade
Vi måste acceptera det faktum att vi inte enbart kan bygga murar och hoppas på att ingen ska lyckas ta sig in. Som Bruce Schneier sa under sin presentation – internet designades inte med säkerhet i åtanke. De stora nätverk vi har idag går inte att säkra från intrång och vi måste därför anta att vi kommer att bli, eller till och med redan har blivit hackade.
Cybersäkerhetsexperten Mikko Hypponen målade upp en liknelse av ett bankvalv utan rörelsedetektorer på insidan. Lyckas någon ta sig in i bankvalvet är det fritt fram att ta för sig och detsamma gäller våra IT-system. Vi måste därför ha en strategi för att upptäcka och svara på intrång. Rob Wainwright, före detta chef för Europol, pratade också om vikten av att samla in och analysera data för att maximera kunskapen om de hot vi står inför. Ju mer kunskap vi har, desto lättare blir det att agera effektivt i säkerhetsarbetet.
Det senaste året har vi sett flera exempel på attacker där organisationer som inte egentligen inte är mål för attacken har hamnat i skottlinjen och skadats ändå. Vi bör också ha i åtanke att det numera även förekommer att stater ligger bakom attacker, något som vi antagligen kommer att se mer av framöver. Därför krävs ett ökat samarbete mellan organisationer och länder men detta kräver förtroende – och frågan är vem vi egentligen kan lita på?
Fortsatt brist på resurser
Det råder brist på resurser inom cybersäkerhet – både vad gäller kompetens och effektiva verktyg. Det är inte något nytt, men under Paranoia fick vi ta del av diskussioner om denna fråga både ur ett EU- och USA-perspektiv. Flera talare, som Rob Wainwright och Bruce Schneier, pekade på att kompetensbristen uppgår till hundratusentals personer och i vissa fall miljontals personer, beroende på vilka delar av världen som omfattas.
En återkommande fråga under Paranoia var hur vi ska komma till rätta med denna brist. Å ena sidan behöver vi locka fler personer till branschen genom till exempel utbildning och gamification av rekryteringsprocessen. Å andra sidan behöver vi också börja använda oss av automation och AI i högre grad för att effektivisera och göra jobben lättare. Framöver tror jag att vi får bäst resultat om vi kombinerar människan med AI.
Cybersäkerhet för ett säkert samhälle
Cybersäkerhet handlar inte enbart om sekretess – cyberbrott kan fysiskt skada människor om vi inte ser till att skydda den kritiska infrastrukturen. Idag är cybersäkerhet ett måste för att ett samhälle ska vara säkert. Håkan Buskhe, VD på Saab, pratade om vikten av att företag är medvetna om att även de är en del av cybersäkerhetspusslet i ett land och att de genom sitt säkerhetsarbete stöttar samhällsviktiga funktioner.
Det händer mycket inom cybersäkerhetsområdet och årets Paranoia gav mig – och säkert alla andra deltagare – många intressanta insikter och tankeställare. Tack till alla inblandade för en strålande konferens, vi ses på Paranoia 2019!
I senaste avsnittet av Combitech-podden rapporterar jag och min kollega Johan Thulin direkt från Paranoia. Vi intervjuar Håkan Buskhe, VD på Saab, etiska hackaren FC och Dr. Jessica Barker, säkerhetsexpert med fokus på den mänskliga delen av cybersäkerhet. Lyssna på podden.
-
Säkra produkter är användarvänliga
Tina Lindgren, Cyber Security-expert och doktor inom informationssäkerhet, skriver om vikten av att behandla säkerheten som den viktiga del av produkten den är för användarna. Ett ämne som Tina nu senast föreläste om i samband med den stora Cyber Security-konferensen Paranoia.
När du ska köpa en ”smart” pryl, till exempel en smart träningsklocka så funderar du säkert på vilka funktioner som är viktiga för dig att den har. Du vill kanske att den ska kunna mäta dina löprundor, mäta din puls, ge dig bra statistik kring dina träningspass, kunna koppla upp sig mot en webtjänst i molnet och i en app och visa information där. När du sedan köpt din smarta klocka och den ger dig den funktionalitet du söker så känner du dig nöjd.
Men om sedan klockan visar sig;
- Inte kunna skydda dina personliga uppgifter som till exempel positionen för vanliga löprundor, tider när du i princip alltid är hemifrån för att träna, din vikt eller vad du nu har i din klocka - utan vem som helst kan komma åt dessa uppgifter om de försöker.
- Inte kunna skydda de WiFi-lösenord som finns i klockan utan hackers kan få tag i dem och därmed vara ett steg närmare att attackera det som finns på WiFi-nätverken i övrigt, kanske din jobbdator eller hemlarm.
- Inte kunna skydda sig mot att bli en del av ett botnet som används för att angripa till exempel ett sjukhus.
- Inte kunna garantera riktighet i den information den visar.
Känner du då att du köpt en användarvänlig klocka?
Säkerheten - en viktig del av produkten
Som informationssäkerhetsexpert så stöter man ofta på inställningen att säkerhet krånglar till produkter och gör den oanvändarvänliga, det suckas och stönas när man försöker se till att produkten också innehåller de säkerhetsfunktioner som behövs för att skydda användaren.
Men förmågorna att;
- Skydda användarnas personliga information från obehöriga.
- Skydda från möjligheten att obehöriga kan styra produkten.
- Skydda mot möjligheten att använda produkten som ett steg i en annan illegal attack, till exempel som spridare av skadlig kod, som en väg in i ett WiFi-nätverk eller som en del i ett botnet.
- Skydda riktigheten och tillgängligheten av informationen i produkten, som finns där för att se till att användaren kan känna sig trygg och är i hög grad till för att produkten ska vara vänlig mot användaren.
Vi måste börja behandla säkerheten som den viktiga del av produkten den är för användarna, lyft upp förmågorna till samma nivå som övriga funktionella förmågor. Detta blir förstås ännu viktigare när produkterna hanterar kritiska funktioner som till exempel medicinska produkter, produkter i den kritiska infrastrukturen eller fordon. Om hackers kan styra de uppkopplade medicinska produkter vi använder, eller kan uppdatera hur delar av den kritiska infrastrukturens produkter ska fungera, eller ta över kontrollen av en bil du kör, så kan man få sätta livet till för att produkten inte är säker. Det känns inte användarvänligt, så när suckarna kring säkerhet kommer ställ de som suckar till svars om de vill ha osäkra produkter som man inte kan känna sig trygg med!
För att skapa säkra produkter krävs att säkerhet är en integrerad del av utvecklingsarbete där säkerhetsförmågorna får samma status som funktionella förmågor. Det krävs också att utvecklingen sker i en säker miljö så att hackers eller insiders inte kan manipulera produkten under utveckling, notera att i miljön ingår även personerna som jobbar i miljön. De måste ha en säkerhetsmedvetenhet för att inte underlätta dessa manipulationer från hackers eller insiders. Sedan krävs också en säker leverans av produkten och uppdateringar av produkten så ingen manipulation kan ske vid dessa tillfällen.
Det finns inom informationssäkerhetsområdet idag bra metoder, processer och verktyg för att skapa så bra förutsättningar som möjligt för säkra produkter, se till att använda dem så skapar vi en tryggare värld för produkternas användare!
