Mange ejerledere går ud fra, at hackere jager store virksomheder med dyre systemer. Men en lille virksomhed har ofte præcis det, kriminelle leder efter: kundeoplysninger, adgang til firmaets netbank og en hverdag, der går i stå, hvis computerne ikke virker. Og det er sjældent avanceret teknik, der åbner døren. Oftest er det en mail, der ligner en faktura, eller en adgangskode, som er brugt flere steder.
Den gode nyhed er, at du ikke behøver en stor IT-afdeling for at komme langt. En håndfuld basale tiltag fjerner de mest almindelige svagheder. Her er de i den rækkefølge, de typisk giver mest for indsatsen.
Start med at vide, hvad du skal beskytte
Du kan ikke sikre noget, du ikke ved findes. Tag derfor en halv time og skriv ned, hvilke systemer og data din virksomhed bruger: mail, regnskabsprogram, netbank, hjemmeside, fildeling, kundelister, lønsystem og de computere og telefoner, medarbejderne arbejder på.
Marker derefter, hvad der gør mest ondt, hvis det forsvinder eller kommer i de forkerte hænder. For de fleste er det mailkontoen, regnskabet og kundeoplysningerne. Dér skal du sætte ind først. Oversigten bliver også nyttig senere, når du skal give en ny medarbejder adgang, eller når en gammel stopper.
Tofaktorgodkendelse: det enkleste skridt med stor effekt
Tofaktorgodkendelse betyder, at det ikke er nok at kende adgangskoden. Du skal også bekræfte, at det virkelig er dig, typisk med en kode fra en app på telefonen, en sikkerhedsnøgle eller en godkendelse i en bank-app. Selv hvis en svindler får fat i din adgangskode, kommer vedkommende ikke ind uden den anden faktor.
Slå det til, hvor det er muligt, og start med de mest følsomme konti: mail, netbank, regnskabsprogram, skylagring og administratorkonti til hjemmeside og webshop. Vælg om muligt en godkendelsesapp eller en sikkerhedsnøgle frem for koder på sms, som er lettere at opsnappe. Det tager ofte kun få minutter pr. system, og medarbejderne vænner sig hurtigt til det.
Vær særligt opmærksom på mailkontoen. Den fungerer som nøgle til alt andet, fordi de fleste tjenester kan nulstille en adgangskode via mail. Får en uvedkommende adgang til din mail, kan vedkommende ofte låse sig ind mange andre steder. Det gælder også for dig selv som ejer: Er du den eneste med fuld adgang til systemerne, er din egen konto den vigtigste at beskytte.
Opdateringer: luk de kendte huller
Når producenter af styresystemer og programmer opdager en sikkerhedsfejl, udgiver de en opdatering. Kriminelle læser de samme meddelelser og leder efter virksomheder, der endnu ikke har installeret rettelsen. Opdateringer er derfor ikke noget, der bare forstyrrer arbejdet. De er en af de billigste måder at holde uvedkommende ude på.
Sørg for, at automatiske opdateringer er slået til på computere, telefoner og de programmer, der understøtter det. Husk også de ting, man let glemmer: routeren på kontoret, printeren, hjemmesidens WordPress og dens udvidelser samt programmer, der ikke længere får opdateringer. Bruger du noget, som producenten ikke vedligeholder mere, bør det udskiftes.
Sikkerhedskopi, der kan genskabes
En sikkerhedskopi er din forsikring mod både fejl og angreb. Hvis en medarbejder sletter en mappe ved en fejl, en computer går i stykker, eller et virus låser dine filer og kræver løsesum, kan du hente det hele tilbage, hvis du har en kopi.
Der er tre ting, du skal være opmærksom på. For det første skal kopien tages automatisk, så den ikke afhænger af, at nogen husker det. For det andet skal mindst én kopi opbevares adskilt fra de computere, den er taget fra. En ekstern disk, der altid sidder i computeren, kan blive låst af samme angreb. For det tredje skal du jævnligt afprøve, at du faktisk kan genskabe filerne. Mange opdager først, at kopien var ufuldstændig, den dag de har brug for den.
Husk også de data, der ligger hos eksterne leverandører. Spørg, hvad din leverandør af regnskabsprogram eller webhotel selv sikkerhedskopierer, og hvor hurtigt du kan få data tilbage.
Svindelmails og andre forsøg på at snyde medarbejderne
Phishing, altså falske mails og sms’er, der skal få modtageren til at trykke på et link, åbne en vedhæftet fil eller afsløre en kode, er en af de hyppigste veje ind. Svindlerne udgiver sig for at være banken, en leverandør, en kollega eller direktøren. Nogle gange haster det, og nogle gange lyder beskeden helt almindelig.
Du kan ikke fjerne alle risici med teknik, så medarbejdernes opmærksomhed tæller. Gør det til en vane at stoppe op, når en besked beder om penge, loginoplysninger eller en hurtig handling. Tjek afsenderadressen nøje, og undgå at trykke på links i uventede mails. Ring i stedet til afsenderen på et nummer, du allerede kender, hvis der er tale om en ændring af bankkonto på en faktura eller en uventet betalingsanmodning.
Vigtigst er det at skabe en kultur, hvor ingen er bange for at sige: “Jeg tror, jeg trykkede på noget forkert.” Jo hurtigere du hører om det, jo mere kan du nå at begrænse. Hvis nogen bliver skældt ud, vil næste fejl blive skjult.
Adgangsstyring: færre nøgler til færre personer
Ikke alle medarbejdere har brug for adgang til alt. Princippet er enkelt: giv hver person adgang til det, vedkommende skal bruge for at udføre sit arbejde, og ikke mere. Så rammer en kompromitteret konto mindre skade.
Administratorrettigheder
Daglig brug af en computer eller et system bør ikke ske fra en konto med fulde administratorrettigheder. Brug en almindelig konto til hverdagen og en separat til de få opgaver, der kræver mere. Det gør det sværere for skadelig kode at installere sig selv.
Adgangskoder og fælles konti
Brug lange og unikke adgangskoder til hver tjeneste. Det er urealistisk at huske dem alle, så brug en adgangskodeadministrator, hvor medarbejderne kun skal huske én hovedkode. Undgå fælles konti, hvor flere deler det samme login, for så ved du ikke, hvem der har gjort hvad, og du kan ikke lukke for én person uden at ændre koden til alle.
Når nogen stopper
Lav en fast huskeliste til fratrædelser: luk adgang til mail, systemer og skylagring samme dag, og få udleveret computer og telefon. Gør det samme for eksterne konsulenter og freelancere, når samarbejdet slutter. Gamle konti, som ingen længere bruger, er en af de mest oversete åbne døre.
Hav en plan, for den dag det alligevel går galt
Selv med de basale ting på plads kan noget gå galt. Skriv på én side, hvem der skal kontaktes, og hvad der skal ske de første timer: hvem tager beslutninger, hvem kontakter IT-leverandøren eller banken, og hvordan kommer I videre uden de ramte systemer. Gem siden et sted, du kan nå, også hvis computerne er nede.
Øv planen en gang imellem, for eksempel ved at gennemgå, hvad I ville gøre, hvis ejerens mail blev overtaget en mandag morgen. Det tager et kvarter og viser typisk hurtigt, hvad der mangler: et telefonnummer, en adgangskode eller en aftale med leverandøren.
Har et angreb ført til, at personoplysninger om kunder eller medarbejdere er sluppet ud, kan der være pligt til at anmelde det inden for en kort frist. Tjek reglerne hos Datatilsynet, og tal med din IT-leverandør eller rådgiver om, hvad der gælder for jer. Overvej også, om din forsikring dækker cyberangreb, og hvad den kræver af dig.
Sådan kommer du i gang
Du behøver ikke gøre alt på én gang. Tag fat i dem i denne rækkefølge, og sæt en dato i kalenderen for hvert skridt:
- Slå tofaktorgodkendelse til på mail, netbank og regnskabsprogram.
- Slå automatiske opdateringer til, og skift det udstyr ud, som ikke længere opdateres.
- Opsæt automatisk sikkerhedskopi, og afprøv en genskabelse.
- Tal med medarbejderne om svindelmails, og aftal, at fejl meldes med det samme.
- Gennemgå hvem der har adgang til hvad, og luk konti, der ikke bruges.
Har du ikke selv overblikket eller tiden, så få hjælp af en IT-leverandør til at gennemgå opsætningen. Spørg konkret efter de fem punkter ovenfor. Det er ikke dyre tiltag, og de dækker langt det meste af det, små virksomheder bliver ramt af.
