Cybersikkerhed i små virksomheder: hvorfor en uge er nok til at starte
Oktober er europæisk cybersikkerhedsmåned, og det er en god anledning til at gøre noget konkret i stedet for at læse endnu en rapport om trusler. Mindre virksomheder har sjældent en sikkerhedsafdeling, men de har heller ikke brug for en for at lukke de mest almindelige huller. De fleste angreb mod små virksomheder udnytter kendte svagheder: manglende opdateringer, for mange rettigheder, glemte konti og tjenester, der står åbne mod internettet uden grund.
Listen nedenfor er bygget, så en IT-ansvarlig eller en ekstern partner kan nå den på fem arbejdsdage. Hvert tiltag tager fra en halv time til en halv dag. Ingen af dem kræver nye, dyre produkter. Det handler om at bruge det, I allerede har, rigtigt.
De 10 tiltag på en uge
| Dag | Tiltag | Hvem gør det |
|---|---|---|
| Mandag | 1. Lav en liste over enheder og systemer | IT-ansvarlig |
| Mandag | 2. Luk konti, der ikke bruges | IT-ansvarlig og HR |
| Tirsdag | 3. Fjern lokale administratorrettigheder | IT |
| Tirsdag | 4. Sæt automatiske opdateringer på alt | IT |
| Onsdag | 5. Scan jeres eksterne IP-adresser og domæner | IT eller partner |
| Onsdag | 6. Luk tjenester, der ikke skal være åbne | IT eller partner |
| Torsdag | 7. Slå diskkryptering til på bærbare | IT |
| Torsdag | 8. Stram op på makroer og browserudvidelser | IT |
| Fredag | 9. Skriv en side om, hvad man gør ved mistanke om angreb | Ledelse og IT |
| Fredag | 10. Aftal en fast dato for næste gennemgang | Ledelse |
Mandag og tirsdag: overblik og rettigheder
1. Lav en liste over enheder og systemer. I kan ikke beskytte det, I ikke kender. Skriv alle pc'er, telefoner, servere, netværksudstyr og cloudtjenester ned, og notér hvem der er ansvarlig. Et regneark er fint som start.
2. Luk konti, der ikke bruges. Sammenlign brugerlisten i Microsoft 365 eller Google Workspace med medarbejderlisten fra HR eller lønsystemet. Konti for folk, der er stoppet, og testkonti, som ingen husker, er klassiske indgange for angribere.
3. Fjern lokale administratorrettigheder. Når en medarbejder arbejder som administrator på sin egen pc, får skadelig software de samme rettigheder. Giv i stedet en separat konto eller en proces til at installere programmer, når der er brug for det.
4. Sæt automatiske opdateringer på alt. Windows, macOS, browsere, Office, PDF-læsere og firmware på routere og firewalls. Tjek også de systemer, der ofte bliver glemt: NAS-drev, printere og videoudstyr i mødelokalet.
Onsdag: se jer selv udefra
5. Scan jeres eksterne adresser. En sårbarhedsscanning af jeres offentlige IP-adresser og domæner viser, hvad en angriber ser: åbne porte, gamle softwareversioner og certifikater, der er ved at udløbe. Mange bliver overraskede over, hvad der faktisk er synligt.
6. Luk tjenester, der ikke skal være åbne. Fjernskrivebord (RDP) direkte mod internettet, administrationssider på routere og gamle FTP-servere hører ikke til på en åben adresse. Adgang udefra skal gå gennem VPN eller en løsning med stærk godkendelse.
Det farligste hul er ofte det, ingen ved eksisterer. En gammel testserver eller en port, der blev åbnet til en leverandør for tre år siden, er præcis den type fund, en ekstern scanning afslører på en eftermiddag.
Torsdag: beskyt enhederne
7. Slå diskkryptering til. BitLocker på Windows og FileVault på Mac betyder, at en stjålet bærbar ikke giver adgang til filerne. Gem gendannelsesnøglerne centralt, fx i Entra ID eller Intune, så I ikke selv låser jer ude.
8. Stram op på makroer og udvidelser. Bloker makroer i Office-filer, der kommer fra internettet, og begræns hvilke browserudvidelser medarbejderne kan installere. Begge dele er udbredte veje ind for skadelig kode.
Punkt 3, 4, 7 og 8 er en del af det, man kalder hærdning: at stille systemerne sådan, at der er færrest mulige angrebsflader. Vil I gå et skridt videre, kan en systematisk hærdning af IT-miljøet efter anerkendte baselines tage det samme arbejde længere, også på servere og netværk.
Fredag: plan og opfølgning
9. Skriv en side om, hvad man gør ved mistanke. Hvem ringer man til? Skal pc'en slukkes eller bare tages af netværket? Hvem kontakter IT-partneren? En enkelt side, som alle kender, er mere værd end en tyk mappe, som ingen har læst.
10. Aftal næste gennemgang. Sikkerhed er ikke et projekt, der bliver færdigt. Sæt en dato i kalenderen om tre eller seks måneder, hvor I gentager punkt 1, 2 og 5.
Et realistisk eksempel
En ingeniørvirksomhed med 12 ansatte gennemgår listen i en uge i oktober. Mandag viser sammenligningen med lønsystemet tre aktive konti for tidligere medarbejdere. Tirsdag viser det sig, at alle har administratorrettigheder på deres pc, fordi det var nemmest, da maskinerne blev sat op. Onsdag finder scanningen en NAS med administrationssiden åben mod internettet og firmware, der ikke er opdateret i to år.
Ingen af fundene kræver nye investeringer. Det kræver en uge med fokus og en person, der har ansvaret. Bagefter har virksomheden en liste, en plan og en dato for næste runde.
Faldgruber
- At gøre alt på én gang uden at teste. Fjern administratorrettigheder på en pilotgruppe først, så I finder de programmer, der kræver særlig behandling.
- At glemme cloudtjenester. Regnskabssystem, CRM og fildeling har også brugere, der skal ryddes op i.
- At stoppe efter ugen. Uden en fast opfølgning glider det tilbage inden for et år.
De danske myndigheder samler desuden gratis vejledning til mindre virksomheder på sikkerdigital.dk, som er et godt supplement til listen.
Næste skridt
Vil I have hjælp til de tekniske dele, kan vi scanne jeres eksterne flade og gennemgå opsætningen af pc'er og servere på afstand. Resultatet er en prioriteret liste, som I selv eller vi kan arbejde videre med.
Apply-redaktionen
IT-sikkerhed