ved Mange små virksomheder tænker, at de er for små til at være interessante for it-kriminelle. Det er desværre en misforståelse. De fleste angreb er ikke håndplukkede, men automatiserede: Svindelmails sendes ud i tusindvis, og stjålne adgangskoder afprøves mod alle de konti, de kan passe til. Den gode nyhed er, at man kommer langt med en håndfuld grundlæggende tiltag, som ikke kræver en IT-afdeling.
De tekniske grundsten
1. Slå totrinsbekræftelse til overalt. Totrinsbekræftelse (MFA) betyder, at en adgangskode ikke er nok til at logge ind – der kræves også en kode eller en godkendelse på telefonen. Det er et af de mest effektive tiltag overhovedet, fordi et lækket password så ikke i sig selv giver adgang. Start med mail, regnskabsprogram og bank.
2. Hold alt opdateret. Sikkerhedsopdateringer lukker huller, som angribere aktivt udnytter. Sørg for, at computere, telefoner, browsere og programmer opdaterer automatisk, og at gamle maskiner, der ikke længere får opdateringer, bliver skiftet ud.
3. Brug moderne beskyttelse på maskinerne. Klassisk antivirus, der kun genkender kendte trusler, er ikke længere nok. Moderne endpoint-beskyttelse holder øje med mistænkelig adfærd og kan stoppe et angreb, mens det står på.
Data og adgange
4. Tag backup – og test den. Ransomware, en stjålet bærbar eller en medarbejder, der ved et uheld sletter en mappe: Backup er sikkerhedsnettet i alle tilfælde. Men en backup er kun noget værd, hvis den kan gendannes. Prøv det af med jævne mellemrum.
5. Giv kun de adgange, der er brug for. Ikke alle behøver adgang til alt. Jo færre personer, der har administratorrettigheder og adgang til følsomme mapper, jo mindre skade kan en kompromitteret konto gøre. Husk også at lukke konti, når medarbejdere stopper.
Mennesket er en del af sikkerheden
6. Træn medarbejderne. Mange angreb starter med en mail, hvor nogen bliver lokket til at klikke på et link eller oplyse en kode. Korte, løbende træningsforløb og øvelser med simulerede phishingmails gør medarbejderne bedre til at spotte det mistænkelige – og trygge ved at sige til, når de er i tvivl.
Det vigtigste er en kultur, hvor man hellere spørger én gang for meget end én gang for lidt. Den medarbejder, der melder en mistænkelig mail, skal roses, også selvom den viste sig at være ufarlig.
Hvor skal man starte?
Har du ikke overblik over, hvordan det står til i dag, så start med en simpel liste: Hvilke systemer bruger vi, hvem har adgang, er der MFA på, og hvornår har vi sidst testet backuppen? Den statslige portal Sikkerdigital.dk har gratis vejledninger og tjeklister målrettet små og mellemstore virksomheder, som er et godt sted at begynde.
Mange mindre virksomheder vælger at få hjælp udefra, fordi ingen internt har tid til at følge med. Leverandører af IT-sikkerhed til virksomheder samler typisk endpoint-beskyttelse, backup, webfilter og træning af medarbejderne i én løsning, så delene spiller sammen i stedet for at være løse enkeltdele.
Uanset om du gør det selv eller får hjælp, gælder det samme: IT-sikkerhed er ikke et projekt, der bliver færdigt. Det er en vane – og de seks tiltag ovenfor er et solidt sted at begynde.
