Det norske IT-sikkerhetsselskapet Promon har utnevnt Jan Søgaard (50) til administrerende direktør. Søgaard overtar etter gründer Tom Lysemose Hansen, som fortsetter i nøkkelrollen CTO, det vil si «chief technology officer» eller utviklingsdirektør.
Promon ble etablert i januar 2006 for å kommersialisere teknologi utviklet av Lysemose Hansen da han studerte informatikk ved Universitetet i Oslo. Promon skal være det første norske selskapet som er etablert på bakgrunn av en hovedfagsoppgave. Søgaard, som har hatt lederstillinger i norsk IT de siste 25 årene – blant annet i Bay Networks, Nortel, Utfors og IPnett – sier til digi.no at tilbudet om å lede Promon i den kritiske fasen der teknologien skal etableres kommersielt, var uimotståelig.
Det som gjør Promon unik er at selskapet utvikler teknologi for å verne applikasjoner mot tukling fra uvedkommende.
– Det er ikke lenger fornuftig å satse utelukkende på å beskytte hver eneste fysisk enhet, sier Søgaard. – Følgelig må man satse på å verne applikasjonen. Vi har ikke klart å finne andre som verner applikasjoner så bredt med en tilsvarende fullt ut plattformuavhengig løsning.
Den opprinnelige ideen til Lysemose Hansen var å sette sammen en atferdsblokkerer spesielt innrettet på å ta ukjent ondsinnet kode som utnytter usikrede buffere i applikasjoner, datidens typiske sårbarhet. Atferdsblokkereren skulle sprøytes inn i en applikasjon som en slags vaksine, og hindre den fra å oppføre seg unormalt.
Poenget er altså å sørge for at en applikasjon ikke gjør annet enn det den er ment å gjøre. Prinsippet er spesielt fruktbart for å heve sikkerheten til distribuerte applikasjoner, for eksempel nettbank og e-post.
– Vår første kunde er en tysk nettbank med rundt 400 000 brukere. Nettbankprogramvare som vernes av Promon tillater ingen av de sårbarhetene som er påvist i norsk nettbanker de siste månedene.
Ålesundsselskapet Encripto har gått gjennom sikkerheten i norske nettbanker, med nedslående funn for både pc- og mobilkunder. Se artiklene Nettbankene får stryk og Fant sikkerhetshull i norsk mobilbank. På- og avloggingsprosesser kan avlyttes, tastetrykk kan registreres og brukere kan svindles.
Den grunnleggende teknologien til Promon betegnes nå som Shield, altså skjold. Shield er en plattform som tilpasses applikasjonen den skal beskytte. Per i dag er Shield tilgjengelig for et antall standardapplikasjoner som Microsofts e-postklient Outlook og kontorpakken Office.
– Vi har løsninger for å sikre ulike former for tofaktorautentisering. De gjør det umulig for uvedkommende å fange opp datastrømmen i den kritiske påloggingsfasen. De kan anvendes ikke bare av nettbanker, men også av Altinn. Vi har også løsninger for alle vanlige nettlesere.
I nettbankløsninger med Promon Shield, starter ethvert besøk med at Shield overføres brukerens maskin. Fra det øyeblikket skal det ikke kunne skje noe som ikke er i samsvar med det nettbankapplikasjonen er ment å gjøre. Allerede før selve påloggingen er nettbanksesjonen lukket for alt annet.
– I praksis kjøres nettbanken i en egen, kompakt nettleser. Det går også mye raskere enn å overlate nettbanken til standard nettlesere, siden alle overflødige funksjoner er skrellet bort. Shield blir stående så lenge man er i nettbanken, det vil si helt til man er trygt avlogget.
Det siste er viktig: Blant sårbarhetene Encripto har påvist i norske nettbanker, er slapp håndtering av avloggingsprosessen, slik at en angriper kan forbli pålogget i offerets bank selv når brukeren er avlogget.
Promon har til sammen 15 ansatte, hvorav fire i India. Medarbeiderne i India er lokalt rekruttert. De har fått spesiell opplæring i Norge, og arbeider først og fremst med testing. Søgaard sier det er viktig for Promon at utviklingen i all hovedsak skjer i Norge.
– Vi vil fleske til for å få ansatt flere på mobil utvikling.
Søgaard beskriver finansieringen til Promon som solid.
– Investorene, blant annet Kistefos og Springfondet, har et langsiktig perspektiv. De er innforstått med at Promon ikke kommer til å tjene penger før tidligst om et par år. Når teknologien nå skal lanseres for alvor, vil vi «blø» mer enn noen gang.
