Cybersikkerhed i SMV: trin I bør have på plads

Forestil jer, at en medarbejder mandag morgen ikke kan åbne jeres filer — de er blevet krypteret i løbet af weekenden, og på skærmen står et krav om betaling. Det er ikke et scenarie forbeholdt store koncerner. Cybersikkerhed i SMV handler netop om, at de fleste angreb rammer helt almindelige virksomheder, ikke fordi de er interessante mål, men fordi de er lette at komme ind hos. Den gode nyhed er, at en stor del af risikoen kan reduceres med enkle trin, I selv kan tage — inden noget går galt.

Denne guide gennemgår de grundlæggende trin, en mindre virksomhed bør have på plads. Det kræver ikke en it-afdeling eller et stort budget, men det kræver, at nogen tager ansvaret og får tingene gjort i en fornuftig rækkefølge.

Start med at forstå, hvad I egentlig skal beskytte

Før I køber værktøjer eller ændrer indstillinger, er det værd at få overblik. I kan ikke beskytte noget, I ikke ved, at I har. Sæt en time af og skriv ned:

• Hvilke systemer og konti er kritiske for driften (e-mail, økonomi, kundedata, webshop)?
• Hvor ligger jeres vigtigste data — i skyen, på en server, på enkelte computere?
• Hvem har adgang til hvad, og har alle brug for den adgang, de har?
• Hvad ville det koste jer i tid og tillid, hvis et bestemt system var utilgængeligt i en uge?

Overblikket gør det tydeligt, hvor I skal lægge kræfterne først. For de fleste SMV’er er e-mail og adgangen til økonomisystemet det, der giver mest værdi at sikre godt.

Få styr på adgange og adgangskoder

Langt de fleste indbrud sker ikke via avanceret hacking, men fordi et password er svagt, genbrugt eller lækket. Derfor er adgangsstyring det sted, hvor I får mest sikkerhed for indsatsen.

• Slå tofaktorgodkendelse (MFA) til på e-mail, økonomisystem og alle vigtige konti. Det er den enkeltstående ændring, der stopper flest angreb.
• Brug en adgangskodeadministrator, så medarbejdere kan have lange, unikke koder uden at skulle huske dem.
• Undgå delte logins, hvor flere bruger samme konto — I mister overblikket over, hvem der gør hvad.
• Fjern adgange med det samme, når en medarbejder stopper eller skifter rolle.

Pro-tip: Gennemgå jeres brugerlister to gange om året. Gamle konti fra tidligere medarbejdere eller eksterne samarbejdspartnere er en klassisk bagdør, som ingen holder øje med.

Backup er jeres vigtigste sikkerhedsnet

Hvis alt andet fejler, er det jeres backup, der afgør, om et angreb bliver en dårlig dag eller en trussel mod hele forretningen. En god tommelfingerregel er 3-2-1: mindst tre kopier af vigtige data, på to forskellige typer medier, hvoraf én opbevares adskilt fra resten.

• Sørg for, at mindst én kopi er offline eller på anden vis adskilt, så den ikke kan krypteres sammen med resten ved et angreb.
• Test med jævne mellemrum, at I rent faktisk kan genskabe data fra backuppen — en backup, I aldrig har prøvet at gendanne, er kun en formodning.
• Skriv ned, hvor lang tid en gendannelse tager, så I kender jeres reelle nedetid på forhånd.

Hold systemer og enheder opdaterede

Opdateringer lukker de huller, som angribere udnytter. Det lyder banalt, men uopdaterede systemer er en af de hyppigste årsager til, at et angreb lykkes.

• Slå automatiske opdateringer til på computere, telefoner og programmer, hvor det er muligt.
• Hold styr på, om der stadig kommer sikkerhedsopdateringer til det udstyr og de systemer, I bruger — udstyr uden support bør udskiftes eller isoleres.
• Sørg for, at der er et grundlæggende antivirus- eller endpoint-værktøj aktivt på alle arbejdscomputere.

Træn medarbejderne — de er både svaghed og forsvar

De fleste angreb begynder med en e-mail, der narrer en medarbejder til at klikke, logge ind på en falsk side eller udbetale penge. Teknik alene kan ikke stoppe det; det kan opmærksomhed. I behøver ikke et stort kursus, men en fælles forståelse.

• Lær medarbejderne at genkende phishing: uventede vedhæftninger, pres om hurtig handling, afsendere der ligner, men ikke helt passer.
• Aftal en fast procedure for ændringer i betalinger og kontonumre — bekræft altid via en kendt telefonkanal, aldrig kun på mail.
• Gør det trygt at sige til, når nogen har klikket på noget forkert. Jo hurtigere I ved det, jo mindre skade.

Tænk over dette først

Hvis en medarbejder i morgen ringer og siger, at hun har logget ind på en falsk side med sit firma-login — ved I så, hvem hun skal ringe til, og hvad der skal ske i de første 30 minutter? Kan I svaret, har I allerede en beredskabsplan. Kan I ikke, er det der, I skal begynde.

Læg en enkel plan for, når det alligevel sker

Ingen sikkerhed er hundrede procent, og målet er ikke at være usårlig, men at kunne reagere hurtigt og roligt. En kort beredskabsplan på én side er nok til at starte med.

• Hvem har ansvaret for at koordinere, hvis noget går galt — og hvem er stedfortræder?
• Hvilke eksterne parter skal kontaktes (jeres it-leverandør, bank, forsikring)?
• Hvordan isolerer I hurtigt en inficeret computer fra netværket?
• Husk, at visse hændelser med persondata kan være anmeldelsespligtige — afklar på forhånd, hvornår og til hvem, så I ikke skal finde ud af det midt i en krise.

Pro-tip: Gem beredskabsplanen et sted, I kan nå den, selv hvis systemerne er nede — for eksempel udskrevet på papir eller på en telefon. En plan, der kun ligger på den krypterede server, hjælper jer ikke, netop når I har brug for den.

Kort opsummering

Cybersikkerhed i SMV handler mindre om avanceret teknologi og mere om at få nogle få, grundlæggende ting på plads: overblik over hvad I skal beskytte, styr på adgange med tofaktorgodkendelse, en backup I har testet, opdaterede systemer, opmærksomme medarbejdere og en enkel plan for, hvad I gør, hvis uheldet er ude. Ingen af trinene kræver et stort budget — de kræver mest af alt, at nogen tager ansvaret og kommer i gang, mens der er ro på.

Er I i tvivl om jeres konkrete opsætning, eller om en hændelse med persondata er anmeldelsespligtig, så søg rådgivning hos jeres it-leverandør, forsikringsselskab eller relevante myndigheder. Denne guide er et generelt udgangspunkt — ikke juridisk eller teknisk rådgivning til jeres specifikke situation.