Cybersikkerhet for små bedrifter: tiltak og sjekkliste

Det er den vanligste misforståelsen, og den er feil på to måter.

De fleste angrep er ikke rettet mot deg. De er automatiske. Roboter prøver lekkede passord mot tusenvis av innlogginger, skanner etter kjente hull i utdatert programvare og sender phishing i store bunker. Du blir ikke valgt ut – du blir funnet.

Og små bedrifter er ofte lettere å ramme. Dere håndterer penger, kundedata og e-post som er verdt å stjele, men uten sikkerhetsavdeling. Samtidig er konsekvensen større: et par uker uten tilgang til systemene, eller én faktura betalt til feil konto, merkes umiddelbart på bunnlinja.

Det gode med automatiske angrep er at de stoppes av grunnleggende tiltak. Du skal ikke beskytte deg mot alt – du skal være vanskeligere å ramme enn de som ikke har gjort noe.

Løsepengevirus får overskriftene, men det som oftest tar penger fra en liten norsk bedrift, er enklere – og retter seg mot mennesker, ikke maskiner.

Fakturasvindel og endret kontonummer. Du får en e-post fra en leverandør du kjenner: «vi har byttet bank, her er nytt kontonummer». Ofte er leverandørens e-post faktisk hacket, så tråden er ekte. Mottiltak: all endring av kontonummer bekreftes på telefon til et nummer du har fra før – aldri nummeret i e-posten. Gjør det til en regel som gjelder uansett hvor travelt det er.

Direktørsvindel. «Hei, sitter i møte, kan du ordne en hastebetaling?» – gjerne fredag ettermiddag, gjerne med et navn du kjenner som visningsnavn. Mottiltak: en fast regel om at hastebetalinger alltid bekreftes muntlig, og at ingen blir kjeftet på for å ringe og sjekke.

Kapret e-postkonto. Angriperen leser med i månedsvis, lærer språket deres og slår til på riktig tidspunkt. Ofte settes det opp en regel som videresender eller skjuler e-post. Mottiltak: tofaktor, og sjekk innimellom om det er lagt inn ukjente videresendings- eller filterregler i e-postkontoen. Det er et av de mest oversette sporene.

Falske innloggingssider. En lenke som ser ut som Microsoft 365 eller BankID. Mottiltak: logg alltid inn fra bokmerket ditt, ikke fra en lenke i en e-post. Tofaktor med autentikator-app stopper de fleste av disse.

Plikt for alle som behandler personopplysninger: dere skal ha «egnede tekniske og organisatoriske tiltak» for å sikre personopplysninger, og dere skal kunne dokumentere det. Har dere ansatte, kunder eller nyhetsbrev, gjelder dette dere – uansett størrelse. Datatilsynet er tilsynsmyndighet.

Plikt ved avvik: går personopplysninger tapt, på avveie eller blir utilgjengelige, skal det som hovedregel meldes til Datatilsynet uten ugrunnet opphold og senest innen 72 timer (personvernforordningen artikkel 33). Er risikoen for de berørte høy, skal de også varsles. Alle avvik skal føres i en intern oversikt – også de som ikke meldes.

Sannsynligvis ikke deg: digitalsikkerhetsloven (som gjennomfører EUs NIS-regelverk) retter seg mot virksomheter i kritiske sektorer, og små virksomheter er i utgangspunktet unntatt med mindre de leverer særlig kritiske tjenester. Omfanget utvides med NIS2, så leverer du inn til kraft, helse, transport, vann eller digital infrastruktur, er det verdt å sjekke status hos NSM. For de fleste småbedrifter er det personvernreglene over som er den reelle plikten.

Godt råd, ikke plikt: NSMs grunnprinsipper for IKT-sikkerhet er Norges de facto standard, og finnes med sjekklister du kan bruke som de er. Start med å identifisere hva dere har (utstyr, kontoer, tjenester) – du kan ikke sikre noe du ikke vet at finnes.

1. Rydd i tilganger. Hvem har fortsatt tilgang til e-post, regnskap, nettside og sosiale medier? Tidligere ansatte, en gammel konsulent, en praktikant fra i fjor? Lag en enkel liste over tjenester og hvem som har tilgang, og gå gjennom den to ganger i året. Ta bort administrator-rettigheter fra brukere som ikke trenger dem.
2. Sikre domenet mot navnetyveri. Uten SPF, DKIM og DMARC på e-postdomenet kan hvem som helst sende e-post som ser ut som den kommer fra dere – til kundene deres. Dette er en jobb på et par timer for en IT-person, og den beskytter omdømmet like mye som teknikken.
3. Ha en plan for når noen slutter. Passord byttes, tilganger fjernes samme dag, og telefonnummer knyttet til tofaktor overføres. Skriv det ned én gang, så slipper du å tenke på det senere.

Skriv dette ned og heng det opp. Når det først skjer, er man stresset og husker dårlig.

1. Koble den berørte maskinen fra nettet – trekk kabelen eller slå av wifi. Ikke slå av maskinen hvis du kan unngå det; spor kan forsvinne.
2. Bytt passord fra en ANNEN enhet, og start med e-post. Logg ut alle økter og sjekk om det er lagt inn ukjente videresendingsregler.
3. Ring banken med en gang hvis penger eller kontonummer er involvert. Minuttene betyr noe for om en betaling kan stoppes.
4. Varsle IT-hjelpen din. Ha navn og telefonnummer klart på forhånd – det er hele poenget med å skrive dette ned nå.
5. Vurder meldeplikten: er personopplysninger berørt, løper 72-timersfristen til Datatilsynet fra dere ble klar over avviket.
6. Anmeld til politiet, og sjekk forsikringen. Mange bedriftsforsikringer dekker mer enn folk tror, og noen krever anmeldelse for å dekke.
7. Skriv en kort logg underveis: hva skjedde når, hva gjorde dere. Den trenger du både til Datatilsynet, forsikringen og for å lære noe.