Du trenger ikke være en stor bedrift for å bli utsatt for et dataangrep. Tvert imot kan små virksomheter være attraktive mål fordi de ofte har begrensede ressurser til sikkerhet, samtidig som de sitter på verdifulle data og tilgang til kundene sine.

En nettside kan bli hacket. En e-postkonto kan bli overtatt. En ansatt kan bli lurt til å klikke på en falsk lenke. Et passord kan komme på avveie. Eller en virksomhet kan bli utsatt for løsepengevirus og miste tilgangen til viktige filer.

Den gode nyheten er at mye av den grunnleggende sikkerheten ikke trenger å være komplisert.

Her er 10 konkrete tiltak alle småbedrifter bør vurdere.

1. Bruk sterke og unike passord

Et av de enkleste angrepene er også et av de vanligste: et passord blir stjålet – og brukes flere steder.

Hvis samme passord brukes til e-post, Facebook, nettside, Microsoft 365, Google, økonomisystem, hosting og nettbutikk, kan ett kompromittert passord gi uvedkommende tilgang til flere tjenester.

Gjør dette: Bruk lange, unike passord for hver tjeneste. Enda bedre: bruk en passordadministrator. Da trenger medarbeiderne bare å huske ett hovedpassord, mens systemet håndterer resten.

2. Slå på tofaktorautentisering

Passord alene er ikke lenger en tilstrekkelig sikkerhetsbarriere. Med tofaktorautentisering – ofte kalt 2FA eller MFA – kreves en ekstra bekreftelse når du logger inn. Det kan for eksempel være en kode, en autentiseringsapp, en sikkerhetsnøkkel eller biometrisk godkjenning.

Hvis noen får tak i passordet ditt, har de dermed fortsatt en ekstra barriere å komme gjennom.

Prioriter spesielt: e-postkontoer, administratorkontoer, Microsoft 365/Google Workspace, nettsted og hosting, økonomisystemer, skylagring og sosiale medier. Start med administrator- og e-postkontoene.

3. Oppdater nettsiden og programvaren

En gammel versjon av programvare kan inneholde kjente sikkerhetshull. Dette gjelder blant annet WordPress, plugins, temaer, CMS-systemer, PHP, serverprogramvare, nettbutikkplattform og bookingløsninger.

Hackere trenger ikke nødvendigvis å finne et nytt sikkerhetshull. De kan lete etter virksomheter som fortsatt bruker en gammel versjon med en kjent sårbarhet.

Derfor: Oppdater. Fjern det du ikke bruker. Bytt ut gamle plugins. Kontroller serveren. Følg med på sikkerhetsoppdateringer.

Automatiske oppdateringer kan være nyttige der det er forsvarlig, men kritiske systemer bør også overvåkes etter oppdateringer.

4. Ta sikkerhetskopi – og test den

Forestill deg at alle bedriftens dokumenter plutselig blir kryptert. Kunderegister. Tilbud. Regnskap. Bilder. Kontrakter. Prosjektdokumentasjon.

Hvis du ikke har en fungerende sikkerhetskopi, kan situasjonen bli alvorlig. Derfor bør virksomheten ha en gjennomtenkt backup-strategi. En god løsning bør blant annet ta høyde for:

  • Hva sikkerhetskopieres?
  • Hvor ofte?
  • Hvor lagres kopien?
  • Hvor lenge beholdes den?
  • Er backupen beskyttet mot sletting eller kryptering?
  • Har vi testet at den faktisk kan gjenopprettes?

Det siste punktet er viktig. En backup du aldri har testet, er ikke nødvendigvis en backup du kan stole på.

5. Lær ansatte å kjenne igjen phishing

Mange dataangrep begynner ikke med avansert hacking. De begynner med en e-post. For eksempel:

«Fakturaen din er klar.»
«Klikk her for å unngå at kontoen blir stengt.»

Målet kan være å få medarbeideren til å klikke på en lenke, åpne et vedlegg, oppgi passord, betale en falsk faktura eller installere programvare.

Lag en enkel regel: er du usikker – ikke klikk. Kontroller avsenderen. Sjekk adressen. Gå direkte til tjenestens nettside i stedet for å bruke lenken i e-posten. Og spør en kollega eller ansvarlig person dersom noe virker mistenkelig.

6. Beskytt e-posten ekstra godt

E-postkontoen er ofte en av bedriftens viktigste digitale nøkler. Hvis en angriper får kontroll over den, kan vedkommende blant annet forsøke å lese meldinger, tilbakestille passord, utgi seg for bedriften, sende falske fakturaer, kontakte kunder eller få tilgang til andre tjenester.

Derfor bør e-post sikres med MFA, sterkt passord, oppdaterte systemer, spam- og phishing-filter og gode tilgangsrutiner.

For virksomheter som bruker egne domener, bør man også sørge for at relevante e-postsikkerhetsmekanismer er riktig konfigurert.

7. Begrens hvem som har administratorrettigheter

Alle ansatte trenger ikke administratorrettigheter. Hvis en vanlig brukerkonto blir kompromittert, kan konsekvensene bli langt større dersom kontoen samtidig har tilgang til kritiske systemer.

Bruk derfor prinsippet:

Gi ansatte bare den tilgangen de trenger for å gjøre jobben sin.

En medarbeider som skriver innhold på nettsiden trenger kanskje ikke tilgang til serveren. En regnskapsmedarbeider trenger kanskje ikke tilgang til nettstedets administrasjon. En ekstern leverandør trenger kanskje bare midlertidig tilgang. Dette kalles ofte minste privilegium.

8. Sikre mobilen og PC-en

Sikkerhet gjelder ikke bare serveren. En bærbar PC eller mobiltelefon kan gi tilgang til e-post, kundedata, dokumenter, skylagring, økonomisystem, sosiale medier og bedriftens interne systemer.

Derfor bør virksomhetens enheter beskyttes med blant annet:

  • Skjermlås
  • Oppdateringer
  • Antivirus/endepunktbeskyttelse der det er relevant
  • Kryptering
  • Automatisk låsing
  • Sikkerhetskopiering
  • Fjernsletting der det er relevant

Og hvis en medarbeider mister telefonen: hvor raskt kan tilgangen stenges? Det bør være en del av bedriftens rutiner.

9. Ha kontroll på hvem som har tilgang til nettsiden

Dette er spesielt viktig for bedrifter som bruker eksterne webutviklere, markedsførere eller andre leverandører. Over tid kan det være mange brukere med tilgang til nettsiden, hosting, domene, DNS, databaser, Google-konto, analyseverktøy og sosiale medier.

Problemet oppstår når personer slutter å jobbe med virksomheten, men fortsatt har tilgang.

Lag derfor en tilgangsliste: Hvem har tilgang? Hva har de tilgang til? Hvorfor? Er tilgangen fortsatt nødvendig? Når ble den sist kontrollert?

Fjern tilganger som ikke lenger er nødvendige.

10. Lag en enkel plan for når noe går galt

Ingen sikkerhetsløsning er 100 prosent risikofri. Derfor bør virksomheten vite hva den skal gjøre dersom noe skjer. Tenk gjennom følgende scenario:

  • Nettsiden er hacket. Hva gjør vi?
  • E-postkontoen er overtatt. Hvem kontakter vi?
  • En PC er infisert. Skal den kobles fra nettverket?
  • Kundedata kan være berørt. Hvem vurderer situasjonen?
  • Vi mistenker et datainnbrudd. Hvem har ansvaret for håndteringen?

En enkel beredskapsplan kan spare verdifull tid.

Bonus: Ikke glem menneskene

Teknologi alene løser ikke sikkerheten. En virksomhet kan ha brannmur, antivirus, MFA, backup og sikre servere – og fortsatt bli lurt dersom noen overfører penger til feil konto etter en falsk e-post.

Derfor bør sikkerhet være en del av bedriftskulturen. Ansatte bør vite hva de skal gjøre hvis de får en mistenkelig e-post, og hvem de skal kontakte. Det siste er spesielt viktig. En medarbeider bør kunne si:

«Jeg tror jeg gjorde en feil.»

uten å være redd for å få skylden. Det er bedre å oppdage et mulig sikkerhetsproblem etter to minutter enn etter to dager.

Hva med KI og AI?

Kunstig intelligens gir nye muligheter – men også nye sikkerhetsutfordringer. KI kan blant annet brukes til å lage svært troverdige phishing-e-poster, falske meldinger, stemmekloning, bilder, dokumenter og meldinger på andre språk.

Det betyr at «dårlig språk» ikke lenger nødvendigvis er et tydelig tegn på svindel. Samtidig kan KI også brukes defensivt, blant annet til analyse, overvåking og automatisering av sikkerhetsarbeid.

For småbedrifter betyr dette først og fremst: ikke stol blindt på at en melding ser profesjonell ut. Kontroller alltid kritiske forespørsler.

En enkel sikkerhetssjekk for småbedriften

Svar ja eller nei på disse spørsmålene.

Kontoer

  • Bruker alle ansatte unike passord?
  • Er MFA aktivert på viktige kontoer?
  • Har tidligere ansatte fortsatt tilgang?

Nettside

  • Er CMS og plugins oppdatert?
  • Er unødvendige plugins fjernet?
  • Har webhotellet/serveren tilfredsstillende sikkerhet?

Data

  • Har vi sikkerhetskopiering?
  • Har vi testet gjenoppretting?
  • Vet vi hvor viktige data lagres?

Ansatte

  • Har ansatte fått opplæring i phishing?
  • Vet de hvem de skal kontakte ved en hendelse?

Beredskap

  • Vet vi hva vi skal gjøre hvis nettsiden blir hacket?
  • Vet vi hva vi skal gjøre hvis en e-postkonto blir overtatt?
  • Vet vi hvem som har ansvar for sikkerhet?

Hvis du svarte nei på flere av spørsmålene, har virksomheten sannsynligvis noen områder som bør gjennomgås.

Hva bør en liten bedrift gjøre først?

Du trenger ikke løse alt på én dag. Start med disse fem:

1. Aktiver MFA
På e-post og administrator-kontoer.

2. Bytt svake og gjenbrukte passord
Bruk gjerne en passordadministrator.

3. Oppdater nettside og programvare
Fjern gamle og unødvendige komponenter.

4. Kontroller backup
Og test at data faktisk kan gjenopprettes.

5. Snakk med de ansatte
Alle bør vite hvordan de håndterer mistenkelige meldinger.

Dette er en god grunnmur.

Sikkerhet er en del av digital drift

En nettside er ikke ferdig når den er publisert. Den må oppdateres, sikres, overvåkes, vedlikeholdes, sikkerhetskopieres og kontrolleres over tid. Det samme gjelder virksomhetens øvrige digitale løsninger.

Derfor bør cybersikkerhet ses på som en del av den normale driften – ikke som noe man først tenker på etter et angrep.

1Fremdrift – digitale løsninger med sikkerhet i fokus

Hos 1Fremdrift handler digital utvikling ikke bare om hvordan en nettside ser ut. En profesjonell digital løsning må også ta hensyn til sikkerhet, oppdateringer, tilgangsstyring, backup, personvern, ytelse, universell utforming, brukervennlighet og drift og vedlikehold.

Når vi utvikler digitale løsninger, bør sikkerhet derfor være en del av helheten fra starten.

En god digital løsning skal ikke bare fungere når alt går som normalt. Den bør også være bygget med tanke på hva som kan gå galt.

DU HAR EN IDÉ. VI SKAPER FREMDRIFT.

Snakk med 1FREMDRIFT →

Konklusjon

Småbedrifter trenger ikke et enormt sikkerhetsbudsjett for å forbedre den digitale sikkerheten. Men de trenger gode rutiner.

De viktigste tiltakene er ofte overraskende enkle: sterke og unike passord, MFA, oppdatert programvare, sikkerhetskopiering, opplæring, begrensede tilganger, sikre enheter, kontroll på leverandører og administratorer, gode rutiner og en plan hvis noe skjer.

Det finnes ingen løsning som eliminerer all risiko. Men mange angrep kan bli vanskeligere å gjennomføre – og konsekvensene kan bli mindre – når virksomheten har grunnleggende sikkerhet på plass.

Digital fremdrift handler også om å være trygg på veien.