Et enkelt phishing-svar kan give uvedkommende adgang til mail, filer og økonomiske systemer. Derfor bør it-sikkerhed ikke afhænge af én medarbejders erfaring eller hukommelse.
En god it-sikkerhedstjekliste gør det tydeligt, hvad virksomheden skal kontrollere, hvem der har ansvaret, og hvornår opgaven skal gentages. Den hjælper også ledelsen med at prioritere, hvis budgettet ikke rækker til alt på én gang.
Key Takeaways
- Kortlæg systemer, data, brugere og leverandører, før I vælger sikkerhedstiltag.
- Brug multifaktorgodkendelse, mindst mulige rettigheder og faste procedurer for adgang.
- Test backup, opdater enheder, og beskyt mailen mod phishing og svindel.
- Aftal på forhånd, hvad I gør ved et angreb, og hvem der kontaktes.
- Gennemgå tjeklisten mindst hvert kvartal og efter større ændringer.
Start med et overblik over virksomhedens it
Mange sikkerhedsproblemer begynder med manglende overblik. En gammel brugerkonto bliver stående, en ukendt cloudtjeneste gemmer kundeoplysninger, eller en tidligere leverandør har stadig adgang. Før I køber nye sikkerhedsværktøjer, skal I derfor vide, hvad der skal beskyttes.
Lav en samlet fortegnelse over virksomhedens vigtigste systemer. Den bør mindst omfatte mail, Microsoft 365, økonomi, løn, CRM, filservere, hjemmesider, netværk, printere og eventuelle produktionssystemer. Notér også, hvem der ejer hvert system, og hvor dataene ligger.
Kortlæg derefter de data, der har størst betydning. Personoplysninger, kontrakter, betalingsinformation, produkttegninger og kundecommunication kræver ikke nødvendigvis samme beskyttelse. En vurdering af konsekvensen ved tab eller læk gør det lettere at prioritere.
Brug disse punkter som første del af tjeklisten:
- [ ] Vi har en opdateret liste over systemer, enheder og cloudtjenester.
- [ ] Hvert vigtigt system har en navngiven ejer.
- [ ] Vi ved, hvilke data der er fortrolige eller personfølsomme.
- [ ] Vi har registreret eksterne leverandører med adgang til vores data.
- [ ] Vi har vurderet, hvilke systemer virksomheden ikke kan undvære i en uge.
Når overblikket er på plads, kan I vurdere risikoen mere konkret. Hvad sker der, hvis økonomisystemet er utilgængeligt? Hvor hurtigt skal salgsafdelingen kunne arbejde igen? Hvem kan godkende en betaling, hvis direktøren ikke kan logge ind?
NIS2 kan være relevant for virksomheder i bestemte sektorer og størrelser. Reglerne stiller krav til risikostyring, hændelseshåndtering og ledelsesansvar. En virksomhed, der ikke er direkte omfattet, kan stadig møde krav fra kunder eller samarbejdspartnere. Afklar derfor jeres rolle med en juridisk eller sikkerhedsfaglig rådgiver.
Beskyt brugere, konti og adgang
En adgangskode alene beskytter ikke længere virksomhedens vigtigste konti godt nok. Angribere forsøger ofte at stjæle loginoplysninger gennem falske mails, kopierede login-sider eller genbrugte kodeord fra tidligere datalæk.
Multifaktorgodkendelse, MFA, bør være slået til for alle brugere. Det gælder især administratorer, økonomimedarbejdere, ledelse og alle konti med adgang til kunde- eller persondata. Brug helst en godkendelsesapp eller en fysisk sikkerhedsnøgle frem for SMS, hvor systemet understøtter det.
Administratoradgang skal være adskilt fra almindeligt dagligt arbejde. En medarbejder bør ikke bruge en konto med brede rettigheder til mail, web og dokumenter hele dagen. Hvis kontoen bliver kompromitteret, får angriberen ellers en større adgang end nødvendigt.
Gennemgå også medarbejdernes adgange, når de skifter rolle eller forlader virksomheden. Afslut adgang samme dag, en medarbejder stopper. Fjern aktive sessioner, nulstil relevante adgangskoder, og hent udleveret udstyr tilbage.
- [ ] MFA er aktiveret på mail, administration, VPN og andre kritiske systemer.
- [ ] Administratorer bruger separate konti til almindeligt arbejde.
- [ ] Adgange følger medarbejderens aktuelle rolle.
- [ ] Vi har en fast procedure for oprettelse og lukning af brugere.
- [ ] Vi bruger en godkendt adgangskodeadministrator og unikke kodeord.
Medarbejderne skal vide, hvordan de reagerer på mistænkelige beskeder. En falsk mail fra en leverandør kan bede om ændring af kontonummer, mens en besked fra en direktør kan forsøge at presse en betaling igennem.
Indfør en enkel regel: Betalinger, ændringer af bankoplysninger og deling af følsomme dokumenter skal bekræftes gennem en anden kanal. Et telefonopkald til et kendt nummer er ofte nok til at stoppe et svindelforsøg.
Den mest effektive kontrol mod direktørsvindel er en fast godkendelsesregel, ikke medarbejderens mavefornemmelse.
Sikr enheder, netværk og e-mail
Bærbare computere og telefoner indeholder ofte den samme adgang som kontoret. Derfor skal alle virksomhedens enheder have en ensartet grundbeskyttelse. Det omfatter skærmlås, kryptering, opdateret sikkerhedssoftware og mulighed for fjernsletning.
Registrér, hvem der har hvilke enheder. En simpel oversigt med serienummer, bruger, model og dato for seneste kontrol er bedre end en ufuldstændig liste i en skuffe. Ved usikkerhed skal I hurtigt kunne vurdere, hvilke data enheden kan give adgang til.
Opdel gæstenetværk og virksomhedsnetværk. Gæster og private enheder skal ikke kunne se servere, printere eller administrative systemer. Routere, firewalls og trådløse adgangspunkter skal have ændrede standardkoder og opdateret firmware.
E-mail kræver en særskilt kontrol. Sørg for, at domænets SPF-, DKIM- og DMARC-politikker er sat korrekt op. De kan reducere risikoen for, at andre sender mails, der ligner virksomhedens egne. Indstillingerne skal dog vedligeholdes, når I ændrer mailplatform eller eksterne afsendere.
Gå tjeklisten igennem på hver arbejdsplads:
- [ ] Alle computere og telefoner har automatisk skærmlås.
- [ ] Harddiske på bærbare enheder er krypterede.
- [ ] Sikkerhedsopdateringer installeres automatisk, hvor det er muligt.
- [ ] Virksomhedsnetværk og gæstenetværk er adskilt.
- [ ] Mistænkelige mails kan rapporteres med få klik.
- [ ] Vi har testet, at stjålne enheder kan blokeres eller slettes.
Træn medarbejderne med realistiske eksempler. En kort øvelse om en falsk faktura giver ofte mere end en lang præsentation. Gør det let at rapportere en fejl, så medarbejderne kontakter jer hurtigt i stedet for at skjule den.
Backup, opdateringer og sårbarheder
Backup er kun en sikkerhed, hvis virksomheden kan gendanne data. En synkroniseret mappe er ikke nødvendigvis en backup, fordi sletning eller kryptering kan blive synkroniseret til alle kopier.
Følg en fast backupplan for kritiske systemer. Opbevar mindst én kopi adskilt fra det almindelige netværk, og begræns adgangen til backupmiljøet. Overvej også en offline eller skrivebeskyttet kopi, hvis jeres systemer understøtter det.
Test gendannelse mindst hvert kvartal. Vælg en konkret fil eller et helt system, og mål hvor lang tid processen tager. En backup, der aldrig er testet, er en antagelse, ikke en løsning.
Opdater operativsystemer, browsere, routere, servere og forretningsprogrammer. Prioritér systemer, der er direkte tilgængelige fra internettet. Hvis en leverandør ikke længere udsender sikkerhedsopdateringer, skal I planlægge udskiftning eller isolering.
Aftal også, hvem der følger med i sårbarheder. Det kan være en intern it-ansvarlig, en ekstern it-partner eller en kombination. Ansvaret skal stå på skrift, så kritiske opdateringer ikke falder mellem to stole.
Forbered jer på et sikkerhedsbrud
En virksomhed under angreb har sjældent tid til at finde telefonnumre, nulstille konti og diskutere ansvar. Et kort beredskab gør de første timer mere kontrollerede.
Planen skal beskrive, hvem der må træffe beslutninger, hvem der kontakter it-partneren, og hvem der informerer medarbejdere, kunder og ledelse. Gem kontaktoplysninger både digitalt og offline. Hvis mailen er kompromitteret, skal planen stadig kunne åbnes.
Beskriv de første handlinger ved typiske hændelser:
- En bruger har klikket på et mistænkeligt link.
- En konto sender ukendte mails.
- Filer er blevet krypteret eller slettet.
- En bærbar computer er blevet stjålet.
- En leverandør har haft uautoriseret adgang.
Medarbejderne skal vide, at de ikke selv skal slette spor eller geninstallere udstyr efter et muligt angreb. Afbryd forbindelsen, hvis it-ansvarlige instruerer det, og gem relevante mails, skærmbilleder og tidspunkter.
Hvis hændelsen omfatter personoplysninger, skal virksomheden vurdere, om bruddet skal anmeldes til Datatilsynet. Ved anmeldelsespligtige brud gælder som udgangspunkt en frist på 72 timer fra det tidspunkt, hvor virksomheden blev bekendt med bruddet. Få juridisk eller databeskyttelsesfaglig hjælp, når omfanget er uklart.
Gør sikkerhed til en fast arbejdsrutine
En tjekliste har kun værdi, når nogen bruger den. Fordel derfor opgaverne mellem ledelse, medarbejdere og ekstern it-support. Skriv både ansvarlig person, frist og status for hver opgave.
Ledelsen bør mindst én gang i kvartalet gennemgå de største risici. Den ansvarlige kan hver måned kontrollere nye brugere, gamle konti, backupstatus og kritiske opdateringer. Medarbejderne bør løbende mindes om phishing, adgangskoder og rapportering af fejl.
Start med de kontroller, der giver mest beskyttelse for mindst besvær:
- Aktivér MFA på alle kritiske konti.
- Luk gamle brugere og fjern unødvendige administratorrettigheder.
- Test backup og gendannelse.
- Opdatér internetvendte systemer.
- Lav en kort beredskabsplan og gennemgå den med ledelsen.
Når en opgave kræver specialviden, skal I ikke vente på det næste problem. En ekstern it-partner kan hjælpe med sikkerhedsgennemgang, overvågning, backup, enhedsstyring og håndtering af hændelser. Bed om klare svar på, hvad der overvåges, hvem der reagerer, og hvor hurtigt hjælpen starter.
En tjekliste, der holder virksomheden klar
Et sikkerhedstjek behøver ikke begynde med et stort projekt. Start med overblik over systemer og data, beskyt de vigtigste konti, test backup, og aftal reaktionen på et angreb.
Gennemgå derefter punkterne fast. Når en ny medarbejder starter, en leverandør får adgang, eller et system skiftes ud, skal tjeklisten opdateres. God it-sikkerhed er en arbejdsgang, som virksomheden gentager, ikke et dokument der gemmes væk efter første gennemgang.