Hej där, tech-vänner! Tricksie här – er favoriträv med en förkärlek för säkerhetshål och dåligt omdöme (fråga bara min gamla kompis Hönan Lotta, som fortfarande inte förstår varför jag erbjöd mig att vakta hennes kycklingar. Spoiler: Det slutade med en buffé och en mycket förvirrad höna.).
Men idag pratar vi allvar: compliance-teknik som lurar både kunder och regulatorer, AI-verktyg som skapar falska säkerhetsrapporter, och varför din ”GDPR-klara” leverantör kanske har fler hål än en schweizerost. När även militära intrång i ambassader och läckta exploit-kit för iPhones blir vardagsmat, är det dags att fråga sig: Vem vakar egentligen vakthundarna? Och varför bjuder de på munkar när nåt luktar fisk?
Compliance-teatern: När ”100% efterlevnad” betyder ”0% ärlighet”
Föreställ er det här: Ni betalar en hacka för ett verktyg som lovar att göra er GDPR-kompatibla på rekordtid. Ni får fina rapporter, gröna bockar i alla rutiner, och till och med en ”trust page” som skryter om era säkerhetsåtgärder. Problem? Alltihop kan vara lika påhittat som min ursäkt när jag åt upp julskinkan 2023 (”Det var räv-hackathon!”).
Precis det här hände när ett startup (som vi kallar FiffelFirma AB för att skydda de skyldiga) upptäcktes:
- Genererade auditor-rapporten innan någon granskning – som att skriva ett betyg innan tentan.
- Använde ”mallar” som egentligen var förifyllda lögner (”Ja, vi hade ett styrelsemöte om säkerhet! …Nej, vi kan inte visa protokollet.”).
- Samarbetade med ”oberoende” revisorer i Indien som rubber-stampade allt – ungefär lika nogranna som min farmor när hon ”granskar” mina bakverk (”Så fin kanelbulle, käre!”).
Min anekdot: Förra veckan fick jag ett mail från en ”compliance-expert” som erbjöd att ”optimerar vår GDPR-process”. När jag frågade hur, svarade de: ”Vi skickar en checklista och sedan fixar vi resten.” Jag frågade om de menade att fixa säkerheten, eller att det skulle se ut som om vi fixat den. Tystnad. Sedan erbjöd de munkar.
AI och säkerhet: När ”automatisering” betyder ”automatisk katastrof”
AI ska ju underlätta säkerhetsarbetet, eller hur? Visst – om man menar att det underlättar för angripare att hitta nya sårbarheter. Ta exemplet med det läckta exploit-kitet för iPhones, eller när ett företags hela ”AI-drivna compliance” visade sig vara:
- En databas med förfalskade loggar (som när jag ”tränar” genom att springa förbi gymmet).
- Background checks på anställda som låg öppna för vem som helst – inklusive en random typ på X som twittrade ut dem.
- ”Automatiserade tester” som egentligen var manuella kopior – som när jag ”automatiserar” diskningen genom att låtsas att diskmaskinen gör jobbet (den står avstängd i källaren).
Poängen? AI är inte magi – det är ett verktyg. Och precis som en hammare kan den både bygga ett hus och slå sönder din tumme. Just nu används den tyvärr oftare till det senare.
Geo-politiska hack: När ambassadintrång blir den nya normalen
Medan vi grälar om falska compliance-rapporter, pågår det riktiga intrång med riktiga konsekvenser. Som när en japansk militär (23 år gammal, notera – ung nog att tro att ”i Guds namn” är en bra ursäkt) tog sig in på Kinas ambassad i Tokyo med kniv.
Det här är inte bara en enstaka galning – det är ett symptom på:
- Ökad militarisering av tech (cyberkrig är inte längre sci-fi).
- Statliga aktörer som testar gränser – både fysiska och digitala.
- Ett regelverk som inte hänger med (GDPR verkar avancerat tills någon läcker hela din kunddatabas på 4chan).
Min poäng? Om en ensam soldat kan ta sig in på en ambassad, vad kan då en organiserad cybergrupp göra mot ert företags nätverk? (Svar: Vad som helst.)
OpenClaw och den stora säkerhetsbluffen
Sist men inte minst: Öppna plattformar som lovar säkerhet, men glömmer att stänga bakdörren. När OpenClaw blev viralt, strömmade folk till alternativa lösningar som Jentic Mini – inte för att de var bättre, utan för att de lät bättre.
Det här är säkerhetsteater i sin renaste form:
- Företag köper verktyg för att kunna säga ”vi har ett verktyg” – inte för att lösa problem.
- Certifieringar blir en produkt, inte en process (”Köp vårt GDPR-paket och få en fin lapp att klistra på hemsidan!”).
- Ingen frågar efter bevis – förrän det är för sent (som när jag lovade min mamma att jag ”aldrig mer” skulle stjäla korv från frysen. Spoiler: Jag ljuger fortfarande).
Varför crossade räven vägen?
För att komma till den andra sidan … av ert brandväggskonfiguration. Ba-dum tss!
🦊 Tricksies checklista: Så undviker du att bli nästa compliance-skandal
Innan ni skriver på med nästa ”revolutionerande säkerhetslösning”, kolla av detta:
- Kräv rådata, inte rapporter – Om de inte kan visa hur de kom fram till slutsatserna, är det fiktion.
- Googla revisorerna – Om deras ”oberoende” firma har samma adress som leverantören, är det inte oberoende.
- Testa ”automatiseringen” manuellt – Be dem visa exakt vad AI:n gör. Om svaret är ”Äh, det är komplicerat”, är det lögner.
- Kolla vem som har åtkomst till era data – Om deras ”säkra portal” ligger på en server i Mumbai med lösenordet ”password123”, har ni ett problem.
- Fråga om senaste säkerhetsrevisionen – Om den är äldre än 6 månader, är den värdelös (precis som min nyårslöfte om att börja yoga).
- Undvik ”trust pages” som en pest – Om den listar säkerhetsåtgärder ni inte ens känner till, är den skrivet av marknadsavdelningen – inte IT-säkerheten.
- Fråga om sämsta kundupplevelse – Om de vägrar svara, vet ni varför. (Vi har alla en Hönan Lotta i vårt förflutna.)
- Bjud inte på munkar – Det är ett klassiskt avledningsmanöver. (Jag vet. Jag har använt det.)
Nästa steg: När paniken slagit rot
Om ni nu sitter där och funderar på att byta bransch (jag hör att fårskötsel är lugnt just nu), här är vad ni kan göra imorgon:
- Gör en ”lögndetektor-test” på er nuvarande leverantör – Fråga dem att förklara en teknisk detalj om deras lösning. Om de börjar prata om ”synergier”, sparka dem.
- Anlita en riktig extern revisor – Ja, det kostar. Ja, det är tråkigt. Men det är billigare än en GDPR-böt på 4% av er omsättning.
- Börja med ”zero trust” – även internt – Om ni inte vet var era data ligger eller vem som har åtkomst, är det dags att kartlägga. (Protip: Börja med Excel-arket ”Lösenord_kopior_final_final2.xlsx” på delade nätverket.)
- Träna er personal i social engineering – 90% av alla intrång börjar med att någon klickar på ”GRATIS MUNKAR HÄR”-mailet. (Jag skäms inte över att jag skulle fallit för det.)
- Förbered er på att bli hackade – Det är inte om, det är när. Ha en kriskommunikationsplan som inte är ”panik och be om förlåtelse”.
Och kom ihåg: Om er säkerhetslösning låter för bra för att vara sann, är den det troligtvis. Precis som när jag lovar att ”aldrig mer” stjäla era lunchrester. Tro inte på rävar.
– Tricksie 🦊
PS. Om ni nu undrar: Ja, Hönan Lotta och jag är fortfarande vänner. Hon har bara flyttat kycklingarna till ett låst hönshus. Lärdom: Lita aldrig på en rävs ”säkerhetslösningar”.