Alle artikler
Alle artikler, guider, nyheter, rapporter og presseomtaler fra FM CyberSecurity-teamet, med det nyeste først.
En sikkerhetsvurdering av ett spørsmål tar ikke nødvendigvis høyde for arbeidsflyten svaret blir en del av.
Hackingferdigheter og tilgang til andre systemer er to ulike spørsmål. En ny forskningsoppdatering forklarer testing av avgrensningen.
ISO 27001 er en frivillig standard du kan sertifiseres etter. NIS2 er EU-lov med pålagte krav, varslingsfrister og bøter. De overlapper i innhold, ikke i konsekvens.
Delineas nye undersøkelse belyser forskjellen mellom assistentens godkjente oppgave og den faktiske tilgangen til bedriftens data.
Ny forskning undersøker hva agenter gjorde da de ikke fikk hentet vanlige data.
En laboratorietest viser hvordan et KI-laget utkast kunne lekke en kode. Gmail-sidepanelet og forskernes egen automatisering ga forskjellige resultater.
Zimperium beskriver skadevare som spør en KI-assistent hvor den skal trykke og bla. Modellen hjelper med navigasjon på en telefon skadevaren allerede har tilgang til.
Plugin4Shell viser hvordan en godkjent plugin kunne levere annen kode til KI-kodeverktøy. En publisert rettelse i Codex forklarer kontrollen som manglet.
Hacktron beskriver hvordan Claude hjalp forskere med angrepskode som knyttet en feil i bildeopplasting til tilgang til OpenAI-kontoer.
CrowdStrikes nye rapport knytter PhantomRaven til sannsynlig AI-generert kode, npm-pakker og bug bounty. Dette viser funnene.
Falcon Data Security skal forstå når vanlig tekst inneholder fortrolig informasjon. Slik fungerer klassifiseringen direkte på PC-en.
Agentic IdP gir KI-agenter identiteter som kan verifiseres, og knytter tilgangen til personen eller systemet bak dem. Slik henger det sammen med Guardian og Continuous Identity.
SafeMind kombinerer KI-modeller for angrep og forsvar med programvare som utfører sikkerhetsoppgaver. Slik henger Red Tempest, Blue Solano og testene sammen.
De 14 funksjonene i CrowdStrikes sammenligning av AIDR og Guardian forklart: fra skygge-KI til agentkontroll, undersøkelser og kostnadsanalyse.
Forskning på visuell prompt injection viser hvorfor en agent som leser kundebilder, ikke bør kunne endre instruksene for sine egne verktøy.
CrowdStrike utvider sikkerheten rundt AI-agenter med Falcon Guardian. Dette ville vi undersøkt og prøvd før en utrulling.
CrowdStrikes nyheter fra Fal.Con 2026 kobler KI-aktivitet, agentidentiteter og KI-basert forsvar. Her er rollene til Guardian, SafeMind og Agentic IdP.
RubyGems fjernet over 500 ondsinnede pakker i mai. Ny forskning knytter kampanjen til AI-agenter og viser risikoen ved automatiske dokumentasjonsbygg.
Septemberrapporten beskriver AI-assisterte innbrudd med varierende menneskelig styring. Tilganger og synlig atferd bør styre oppfølgingen.
En agentassistert kampanje gikk fra planlegging til tyveri av påloggingsdata på få timer. Hvor raskt kan dere begrense uønsket aktivitet i skyen?
Check Point demonstrerte en kanal mellom kontoer kombinert med prompt-injeksjon. Kanalen er stengt, men tilgangene bør fortsatt gjennomgås.
Forskere rekonstruerte rundt 18 000 agentinnlegg på DSEwiki. Funnene viser hvorfor både gamle nettsider og agenters nettverkstilgang må følges opp.
ESET beskriver kodekommentarer som skal avspore AI-analyse. En avvisning eller ufullstendig vurdering må ha en tydelig vei videre.
Forskere beskriver en Aurora-operatør som brukte Cursor under angrep. Undersøk handlingene og tilgangene, ikke bare navnet på verktøyet.
Bransjen ber om raskere cyberforsvar. For ledelsen er neste steg å gjøre oppfordringen om til arbeid med ansvar, ressurser og oppfølging.
Granskningen beskriver uautorisert kommunikasjon mellom agenter og ulik sikring av miljøene. Felles lagring og testmiljøer trenger tydelige tilgangsgrenser.
Aikidos laboratorieforsøk viser en agent som omgår en bookinggrense. Reglene må håndheves på serveren, ikke bare i brukergrensesnittet.
Unit 42 fant 12 av 405 prøver i sine endepunktdata. Funnet er nyttig, men måler ikke alle former for AI-assisterte angrep.
En NSA-ledet advarsel beskriver rekognosering mot Siemens-PLS-er. Gå gjennom eksponering og fjernaksess sammen med dem som har ansvar for prosessen.
Adversa demonstrerte et Grok-angrep med kryptert nettinnhold. Eksterne data blir ikke pålitelige instruksjoner fordi agenten bearbeider dem.
OpenAI meldte om en treningspause og strengere tiltak etter tegn på kritisk cyberevne. Kunngjøringen synliggjør også kostnaden ved å følge opp AI-agenter.
En studie viser instruksjoner som sprer seg mellom AI-agenter. En advarsel i prompten hjalp i forsøkene, men erstatter ikke tilgangskontroll.
OpenAIs cybermodell svarer på flere avanserte sikkerhetsforespørsler. Tallet på 95 prosent gjelder svarvillighet, ikke hvor ofte et angrep lykkes.
Dreams rapport beskriver et fire dager langt innbrudd med AI-agenter. Svak autentisering og åpne API-er er sentrale deler av problemet.
Forskere hentet ut sensitive data fra publiserte resonneringsblokker. Vurder hele agentloggen før dere deler den.
JFrog beskriver skadelige hooks og editoroppgaver i augustkampanjen. Gjennomgå kjørbare prosjektinnstillinger sammen med avhengighetene.
Tenet viser hvordan innhold i logger kan styre en agent. At agenten leser en hendelse, bør ikke gi hendelsen myndighet til å endre systemer.
Sammenlign ISO 27001-tilbud etter gjennomføring, egen tidsbruk, verktøy, revisjonsgebyrer og vedlikehold. Omfanget avgjør hva prisen betyr.
Tiden til ISO 27001 avhenger av utgangspunktet, kontrollene som må innføres og sertifiseringsorganets kapasitet.
Bruk felles sikkerhetsprosesser, men følg opp lovkrav og sertifisering hver for seg. Gjeldende lovfrister går foran kommersielle ønsker.
Avklar omfang, frist og hvilken dokumentasjon kunden godtar før dere lover en dato. Kartlegg deretter gapene og lag en gjennomførbar plan.
AI kan bidra med utkast og organisering av dokumentasjon. Mennesker må fortsatt beslutte risiko, innføre kontroller og kontrollere at beskrivelsene stemmer.
Secured by FM CyberSecurity samler sikkerhetsdrift, rådgivning og ISO 27001-forberedelser. Dette bør avklares når arbeidet kjøpes som abonnement.
AI-agenter brøt seg inn hos Hugging Face under en sikkerhetstest. Hva betyr det at en modell kan finne svakheter og handle på egen hånd?
Palo Alto Networks lanserte Idira i mai 2026. Slik finner dere frem mellom det nye navnet, CyberArk-dokumentasjonen og spørsmål om lisenser.
Begynn med kontoeiere og tilganger med store konsekvenser. Planlegg nøkkelbytte, nødtilgang og videre drift før utrullingen utvides.
Next-gen-navnet definerer verken én arkitektur eller prismodell. Vurder kildedekning, deteksjon, søk, lagring og arbeidet bak tjenesten.
DORA skiller vanlig motstandsdyktighetstesting fra utpekt TLPT. Velg metoder ut fra risiko, dokumenter dekningen og kontroller feilrettingen.
EPM-kontrollpanelet gir Windows-brukere tilgang til administratoroppgaver IT har godkjent. Det er forskjellig fra både Windows-kontrollpanelet og administrasjonskonsollen.
Tenables sårbarhetstjeneste finnes både separat og i plattformen. Vurder ekstra dekning og driftsarbeid før dere velger pakke.
Programvare kan holde orden på registre, dokumentasjon og tekniske funn. Velg ut fra beslutninger, data og ansvar i DORA-programmet.
En hendelsesplan må avklare fullmakter, sikring av spor og aktuelle varslingsplikter. De første tiltakene må tilpasses hendelsen.
Aikido inkluderer kontroll av skyoppsett. Vurder dekning, tilganger og rapportering opp mot risikoene virksomheten trenger å håndtere.
IKT-avtaleregister, forhåndsmeldinger, hendelsesrapporter og internrevisjon har ulike formål. Fordel ansvar og bruk gjeldende innsendingsregler.
Tre hendelser nådde ekte systemer fra et testoppsett med utilsiktet internettilgang. En prompt kan beskrive en grense, men ikke håndheve den.
Løsepengeangrep kan ramme både tilgjengelighet og fortrolighet. Virksomheten må vurdere driftskonsekvenser og personvernplikter samtidig.
En nyttig skanning trenger godkjent omfang, pålitelig innsamling og oppfølging. Skill mellom få funn og manglende dekning.
Planene må følge tjenestene foretaket skal opprettholde. Kartlegg avhengigheter, sett gjenopprettingsmål og øv på beslutningene så vel som teknologien.
EPM lar ansatte jobbe uten faste lokale administratorrettigheter. Innføringen krever presise regler, godkjenning og støtte for oppgaver som trenger ekstra tilgang.
Agenter gikk utenfor rammene for en OpenAI-test og kompromitterte Hugging Face. Hendelsen viser hvorfor også tjenestene rundt en agent må sikres.
Rapportering for produsenter etter CRA startet 11. september 2026. Hovedkravene til produkter følger i desember 2027. Avklar omfang og rolle nå.
CISSP er en bred sikkerhetssertifisering med erfaringskrav. Kontroller den, og vurder deretter om personen passer til systemene og oppdraget deres.
Implementering og revisjon er forskjellige oppdrag. Kontroller utsteder, nivå og gyldighet, og vurder deretter konsulenten mot arbeidet dere trenger.
PCI DSS, DORA, NIS2, ISO 27001 og GDPR har ulike testkrav. Metode, omfang og kvalifikasjoner må passe til den konkrete plikten.
En pentest trenger sammenheng: omfang, versjon, funn, rettelser og retest. Knytt dokumentasjonen til risikoene og kontrollene i styringssystemet.
La prøveperioden svare på et konkret sikkerhetsspørsmål. Bekreft tilgjengelighet, moduler, tilganger og vurderingsarbeid før oppstart.
En identitetsvurdering kan hjelpe dere å prioritere kontorisiko. Avklar prøveperiode, tilganger, dekning og rapport før katalogtjenesten kobles til.
Et PAM-prosjekt krever valg om tilganger, avhengigheter og gjenoppretting. Dette bør dere forberede til en nyttig arkitektursamtale.
En nyttig førstegangsvurdering avklarer dekning, kontrollerer funn og fordeler tiltak. Avtal omfang og skannevilkår før resultatene samles inn.
Skanning trenger rutiner for dekning, prioritering, feilretting og kontroll. Dette er et praktisk opplegg som kan tilpasses systemene og ansvaret deres.
Sårbarhetsstyring følger svakheter fra funn til oppfølging. Eksponeringsstyring ser også på tilgangsveier, identiteter og konsekvensene for virksomheten.
Johan Vorgaard, Kenny Le, Maximilian Sharoyan og Fredrik Standahl representerte FM CyberSecurity på Arrow ECS Norways Summer Cloud Festival i Oslo.
Velg ut fra omfang, samarbeid og arbeidet dere kan drifte. Skanneren, sårbarhetstjenesten og den bredere plattformen dekker forskjellige behov.
Tenable besøkte FM CyberSecuritys Oslo-kontor i mai. Guy March tok også en runde i racingsimulatoren og kjørte Silverstone på 1:36.052.
Nessus undersøker sårbarheter og konfigurasjon på avtalte mål. De øvrige Tenable-produktene tilfører styring og dekning på flere sikkerhetsområder.
Fredrik Standahls debattinnlegg i Digi.no etterlyser godkjente AI-verktøy og tydelige regler for virksomhetens informasjon.
I E24 skriver Fredrik Standahl om avstanden mellom ansattes AI-bruk og kontrollene arbeidsgiveren har på plass.
Finn verktøyene folk bruker, avklar hvilke data de får håndtere, og prøv kontrollene. Slik ville vi lagt opp arbeidet med CrowdStrike.
AI-bruk uten godkjenning kan eksponere bedriftsdata og gi agenter for vide tilganger. Begynn med å forstå hva ansatte bruker verktøyene til.
En sikkerhetsoperasjonssentral kombinerer deteksjon, undersøkelser og respons. Sammenlign intern drift, tjenestekjøp og delt ansvar mot de samme oppgavene.
En SIEM samler og analyserer sikkerhetshendelser på tvers av systemer. Begynn med hullene i deteksjon og undersøkelser, og avklar deretter driften.
Moderne antivirus gjør mer enn å gjenkjenne kjente filer. EDR gir støtte til undersøkelser og respons. Kontroller dekningen og hvem som følger opp varslene.
Falcon samler funksjoner for endepunkter, identitet og andre sikkerhetsområder. Moduler, integrasjoner og den administrerte tjenesten har ulike roller.
Et statisk nettsted kan skille publisering fra besøkstrafikk. Git, byggeprosessen og publiseringstjenesten har hver sin oppgave.
La konkrete kundekrav styre SOC 2-omfang, rapporttype og frist. Gjenbruk relevant sikkerhetsdokumentasjon, men vurder gapene før dere setter budsjettet.
SOC 2 Type 2 vurderer kontroller over en avgrenset periode. Les omfang, uttalelse, testresultater og kundens ansvar, ikke bare tittelen.
Digitalsikkerhetsloven har gjeldt siden oktober 2025. Kontroller tjenestedefinisjoner, unntak og varslingsregler for riktig tilbyderkategori.
ISO 27001 gir kunder uavhengig dokumentasjon om et avgrenset styringssystem for informasjonssikkerhet. Omfanget og anbudskravet må leses nøye.
Avklar omfang, vurder risiko, innfør kontroller og samle dokumentasjon. En praktisk sjekkliste for norske SMB-er som forbereder ISO 27001.
Avklar regelsettet, kartlegg viktige funksjoner og samle grunnlaget. Oppdatert for utvidelsen av norske DORA-baserte regler i september 2026.
En NIS2-sjekkliste for ledelsen: omfang, ansvar, risikotiltak, leverandøroppfølging og varsling etter regelverket som gjelder.
NIS2-omfang avhenger av tjeneste, størrelse, jurisdiksjon og unntak. Skill lovplikter fra kundekrav og Norges eksisterende NIS1-baserte lov.
FMs pentesttilbud bruker Aikido, med rapporter fra FM. Målet er tester som kan gjentas ved endringer, tydelig omfang og oppfølging av funn.
Tenable gir vurdering og eksponeringsanalyse. Tjenesten rundt må koble funnene til eiere, virksomhetens prioriteringer og bekreftet feilretting.
Signaler fra endepunkter og identitet trenger en avtalt responsprosess. Falcon er plattformen; tjenesteavtalen bestemmer hvem som overvåker, stanser og eskalerer.
Gjør NIS2-forberedelser til en konkret arbeidsplan: avklar regler, vurder kontroller, øv på varsling og følg opp tiltak.
AI kan hjelpe med å undersøke sikkerhetsvarsler. Nytten må vurderes ut fra beslutningene og responsen i deres egen drift.
Fredrik Standahls kommentar i Shifter handler om å gjøre sikkerhetskontroller til en del av utviklingen når AI skriver kode.
VG Dine Penger intervjuet Fredrik Standahl om å starte sikkerhetsselskap og rekruttere i bransjen.
Norwegian Cybersecurity Cluster intervjuet Fredrik Standahl og Maximilian Stiegler Sharoyan om etableringen av FM CyberSecurity.
Tydelig dokumentasjon gjør det enklere å svare kunder og investorer. Bygg den rundt kontroller som utføres, med eiere og et ærlig bilde av manglene.