Cybersikkerhet for små bedrifter: tiltak og sjekkliste

Det er den vanligste misforståelsen, og den er feil på to måter.

De fleste angrep er ikke rettet mot deg. De er automatiske. Roboter prøver lekkede passord mot tusenvis av innlogginger, skanner etter kjente hull i utdatert programvare og sender phishing i store bunker. Du blir ikke valgt ut. Du blir funnet.

Og små bedrifter er ofte lettere å ramme. Dere håndterer penger, kundedata og e-post som er verdt å stjele, men uten sikkerhetsavdeling. Samtidig er konsekvensen større: et par uker uten tilgang til systemene, eller én faktura betalt til feil konto, merkes umiddelbart på bunnlinja.

Det gode med automatiske angrep er at de stoppes av grunnleggende tiltak. Du skal ikke beskytte deg mot alt. Du skal være vanskeligere å ramme enn de som ikke har gjort noe.

Test selv: skriv inn e-postadressen din på haveibeenpwned.com. Dukker den opp i en lekkasje, og bruker du fortsatt det passordet et sted, er du akkurat den roboten leter etter.

Løsepengevirus får overskriftene, men det som oftest tar penger fra en liten norsk bedrift, er enklere, og retter seg mot mennesker, ikke maskiner.

Fakturasvindel og endret kontonummer. Du får en e-post fra en leverandør du kjenner: «vi har byttet bank, her er nytt kontonummer». Ofte er leverandørens e-post faktisk hacket, så tråden er ekte. Mottiltak: all endring av kontonummer bekreftes på telefon til et nummer du har fra før, aldri nummeret i e-posten. Gjør det til en regel som gjelder uansett hvor travelt det er.

Direktørsvindel. «Hei, sitter i møte, kan du ordne en hastebetaling?» Gjerne fredag ettermiddag, gjerne med et navn du kjenner som visningsnavn. Mottiltak: en fast regel om at hastebetalinger alltid bekreftes muntlig, og at ingen blir kjeftet på for å ringe og sjekke.

Kapret e-postkonto. Angriperen leser med i månedsvis, lærer språket deres og slår til på riktig tidspunkt. Ofte settes det opp en regel som videresender eller skjuler e-post. Mottiltak: tofaktor, og sjekk innimellom om det er lagt inn ukjente videresendings- eller filterregler i e-postkontoen. Det er et av de mest oversette sporene.

Falske innloggingssider. En lenke som ser ut som Microsoft 365 eller BankID. Mottiltak: logg alltid inn fra bokmerket ditt, ikke fra en lenke i en e-post. Tofaktor med autentikator-app stopper de fleste av disse.

Test selv: åpne innstillingene i e-postkontoen din og finn «regler» eller «videresending». Står det noe der du ikke har laget selv, har du et problem nå, ikke en gang i framtida.

Plikt for alle som behandler personopplysninger: dere skal ha «egnede tekniske og organisatoriske tiltak» for å sikre personopplysninger (personvernforordningen artikkel 32), og dere skal kunne dokumentere det. Har dere ansatte, kunder eller nyhetsbrev, gjelder dette dere, uansett størrelse. Datatilsynet er tilsynsmyndighet.

Plikt ved avvik: går personopplysninger tapt, på avveie eller blir utilgjengelige, skal det som hovedregel meldes til Datatilsynet uten ugrunnet opphold og senest innen 72 timer (personvernforordningen artikkel 33). Er risikoen for de berørte høy, skal de også varsles. Alle avvik skal føres i en intern oversikt, også de som ikke meldes.

Sannsynligvis ikke deg: digitalsikkerhetsloven (som gjennomfører EUs NIS-regelverk) retter seg mot virksomheter i kritiske sektorer, og små virksomheter er i utgangspunktet unntatt med mindre de leverer særlig kritiske tjenester. Omfanget utvides med NIS2, så leverer du inn til kraft, helse, transport, vann eller digital infrastruktur, er det verdt å sjekke status hos NSM. For de fleste småbedrifter er det personvernreglene over som er den reelle plikten.

Godt råd, ikke plikt: NSMs grunnprinsipper for IKT-sikkerhet er Norges de facto standard, og finnes med sjekklister du kan bruke som de er. Start med å identifisere hva dere har (utstyr, kontoer, tjenester). Du kan ikke sikre noe du ikke vet at finnes. Se artikkelen om digitale avhengigheter for hvordan du lager den oversikten på en ettermiddag.

Test selv: kan du på ett minutt si hvor kundelista, lønnsdataene og e-postarkivet ligger, og hvem som har tilgang? Det er dokumentasjonen Datatilsynet spør etter først.

1. Rydd i tilganger. Hvem har fortsatt tilgang til e-post, regnskap, nettside og sosiale medier? Tidligere ansatte, en gammel konsulent, en praktikant fra i fjor? Lag en enkel liste over tjenester og hvem som har tilgang, og gå gjennom den to ganger i året. Ta bort administrator-rettigheter fra brukere som ikke trenger dem.
2. Sikre domenet mot navnetyveri. Uten SPF, DKIM og DMARC på e-postdomenet kan hvem som helst sende e-post som ser ut som den kommer fra dere, til kundene deres. Dette er en jobb på et par timer for en IT-person, og den beskytter omdømmet like mye som teknikken.
3. Ha en plan for når noen slutter. Passord byttes, tilganger fjernes samme dag, og telefonnummer knyttet til tofaktor overføres. Skriv det ned én gang, så slipper du å tenke på det senere.

Test selv: slå opp domenet ditt i en gratis DMARC-sjekker (søk «DMARC check»). Får du «no record», kan hvem som helst sende e-post i ditt navn i dag.