Også små og mellomstore bedrifter er angrepsmål – slik tar du selv grep

For små bedrifter er det lett å tenke at nettsikkerhet først og fremst er noe de store selskapene trenger å bekymre seg for.

Dessverre er sannheten tvert om: Små og mellomstore bedrifter er attraktive mål for angripere. Her er sikkerheten ofte mangelfull, samtidig som konsekvensene av datainnbrudd, nedetid eller krypteringsangrep kan være katastrofale – i enkelte tilfeller kan det bety kroken på døra.

Å sikre en bedrift mot digitale trusler er en jobb som ikke gjøres i en håndvending, men det er bedre enn alternativene. I tillegg handler sikkerhetsarbeid i stor grad om å jobbe preventivt: Starter du jobben idet bedriften blir rammet, er det gjerne for sent.

Vil du ta bedriftens sikkerhet på alvor er disse forslagene på tiltak et godt sted å starte:

Jevnlige (og gjerne automatiske) programvareoppdateringer er også essensielt. Det oppdages stadig nye hull i så vel Windows som standardprogrammer for alt fra å lese PDF-er til å sende e-post, og disse er viktig å tette før noen utnytter dem.

God antivirus-programvare (og gjerne med beskyttelse mot ransomware-angrep) sammen med en god brannmur er også gode førstelinje-tiltak for å gjøre bedriften til et vanskeligere mål å utnytte.

Pass også på å ta jevnlig backup av alle viktige filer. Sørg for å ha flere kopier fra ulike tidspunkter, og at ikke alle disse er koblet mot nett. Skybackup er veldig fint og praktisk, men et krypteringsangrep vil i noen tilfeller også ramme backupen – noe som gjør den verdiløs. Og da blir plutselig backupen på en ekstern harddisk veldig verdifull.

Også bilder og videoer du tar med mobilen kan være verdifulle. Husk at tjenesten Min Sky er inkludert i bedriftsabonnementene Frihet, Flyt og Fri+, og kan utvides om du trenger mer lagringsplass.

Å sette opp sterke forsvarsmurer er nytteløst om noen lukker opp bakdøra på vidt gap. Der angrep iblant skjer via tekniske åpninger, er det ofte via menneskelige feil (eller ubetenksomhet) uvedkommende finner veien inn.

Dette er vanskeligere å sikre seg mot, og handler i stor grad om å jobbe inn sikkerhetsrutiner og bevissthet rundt digitale svindelmetoder.

Sosial manipulasjon er en sekkebetegnelse for en rekke metoder angripere benytter for å få målet til å oppgi sensitive opplysninger.

Dette inkluderer blant annet phishing-meldinger på e-post eller SMS om «pakker på vei» eller bankkontoer som stenges, eller oppringninger fra det som tilsynelatende er banken, Microsoft eller politiet.

Det finnes også andre måter de ansatte (eller sjefen) kan åpne døra. For eksempel er det viktig å ha rutiner for hvordan ansatte håndterer det å ta med seg jobbutstyr hjem. Når maskinen kobles til hjemmenettverket er bedriften med ett prisgitt den ansattes egne datasikkerhet.

Om en enhet på hjemmenettverket er infisert, kan den «smitte» jobbmaskinen. Når jobbmaskinen så blir koblet opp på jobbnettverket igjen, kan for eksempel et krypteringsvirus spre seg videre inn i bedriftens systemer.

Her kan for eksempel Telenors løsninger for lagvis sikkerhet være et godt sted å starte – på denne måten må trusselaktører trenge seg gjennom flere beskyttende lag med sikkerhet før de får utrettet noe skade.

Å legge begrensninger i systemene bedriften bruker, slik at ingen har mer tilgang enn de behøver, er et godt grep. Da minskes handlingsrommet for en inntrenger. Dette gjelder også eksterne tjenester.

Har en ansatt for eksempel tilgang til bedriftens Facebook-konto, enten med publiserings-mulighet eller administrator-rettigheter? Da MÅ den ansatte ha tofaktorautentisering aktivert for Facebook.

Ellers kan en angriper gjennom å ta over den private kontoen publisere ytringer som kan skade bedriftens omdømme, eller ta over eierskapet til siden, og kanskje begge deler.

Et slikt tilfelle illustrerer også hvorfor det kan være smart å nedgradere tilganger. Ansatte som bare skal publisere oppdateringer på Facebook-veggen har for eksempel ikke behov for administratortilgang.

Har noen med tilganger sluttet i bedriften? Pass på å få tilbakelevert alt relevant utstyr og skift passordene, uansett hvor mye tillit du har til personen. Det holder nemlig at noen kommer inn på for eksempel den digitale nøkkelringen deres for at alt av tilganger er på avveie.

Hvor godt sikret er for eksempel Slack-kontoene i bedriften? Dette kan kanskje virke uviktig, men ansatte (og sjefer!) kan bruke interne kommunikasjonskanaler til alt fra å dele sensitive passord til slengbemerkninger om kunder.

Om uvedkommende får tilgang på dette og bestemmer seg for å spre det, kan følgene være alvorlige – også i GDPR-sammenheng. Det kan være en idé å jevnlig renske ut all kommunikasjon som er eldre enn for eksempel et halvt år (men pass på å ta vare på ting dere faktisk trenger eller er lovpålagt å beholde).

For et eksempel på hvor galt det kan gå ellers er det bare å ta en titt på da Sony Pictures ble hacket i 2014 og alt fra personnummer til e-poster med baksnakking av filmstjerner og økonomisk sensitive opplysninger ble offentlig informasjon.

Her finner du guider for tidsinnstilt meldingssletting i Slack og Teams. For andre tjenester kan du prøve å søke på «message retention» sammen med navnet på tjenesten.

Om du ikke har tatt spesifikke grep for å sikre bedriftens e-postdomene, kan det godt hende at uvedkommende enkelt kan sende egne e-poster fra samme domene. Hvis domenet er usikret kan det også føre til at viktig e-post ikke kommer fram til mottakere, fordi den får en dårlig sikkerhetsvurdering av ulike spam-filtre og havner rett i søpla.

Nøkkelen til bedre sikkerhet og færre e-poster som går i spam-filteret og havner i søppelpost, er DMARC og SPF. En konfigurasjon som sørger for at e-poster kommer fra avsenderen de oppgir å være fra.

Det er en del arbeid involvert for å sette dette opp skikkelig. Men det første steget er uansett å sjekke om du i det hele tatt har dette aktivert (noe til og med Statsministerens kontor ikke hadde inntil nylig – så du er ikke alene om å ikke ha alt på stell).

Nasjonal sikkerhetsmyndighet (NSM) har sin egen DMARC-sjekk som du kan prøve her.

Hvordan håndteres personopplysninger innad i bedriften? Hvordan lagres disse og hvor godt sikret er de?

GDPR-lovgivningen fokuserer mye på dette. Ved en lekkasje vil du kunne risikere saftige bøter om det kommer frem at du har vært slepphendt på dette punktet.

Om du vil vite mer, kan du starte med denne innføringen fra Datatilsynet og DigitalNorway.