Hva er cybersikkerhet? Tiltak for SMB-er

01Hva beskytter cybersikkerhet?

Cybersikkerhet bygger på tre grunnmål: dataenes konfidensialitet, altså at bare autoriserte personer ser dem, integritet, altså at de ikke endres uten tillatelse, og tilgjengelighet, altså at de kan brukes når det trengs. Et angrep svekker minst ett av disse tre.

I en liten bedrift er det mer å beskytte enn man tror: kundelister og kontaktinformasjon, regnskapsdata, bank- og betalingsopplysninger, e-postkorrespondanse, nettsiden og booking- eller bestillingssystemet. Alt dette har både forretningsverdi og juridisk ansvar knyttet til seg.

02Hvorfor er SMB-er et mål?

En vanlig misforståelse er at angripere bare går etter store selskaper. I virkeligheten er det meste av angrepene automatisert: internett skannes hele tiden, og en nettside som ikke er oppdatert, en konto med svakt passord eller en fjernskrivebordstilkobling som står åpen, utnyttes uansett størrelse.

Den egentlige utfordringen for cybersikkerhet i SMB-er er ressurser: det finnes ikke et eget sikkerhetsteam, og IT er ofte en tilleggsoppgave for en ansatt. Den gode nyheten er at en stor del av angrepene kan forhindres med noen få grunnleggende vaner, ikke dyre produkter.

03Typer cyberangrep

De vanligste typene cyberangrep mot små bedrifter er mer menneskeorienterte enn tekniske. Angriperen bryter sjelden inn i et system, men lurer noen til å åpne døren.

Phishing

En metode der e-post eller meldinger som ser ut til å komme fra en bank, et fraktselskap eller en kjent leverandør sender brukeren til en falsk innloggingsside for å stjele passordet. Kjennetegn og beskyttelse er forklart i artikkelen hva er phishing.

Løsepengevirus

Skadevare som krypterer filer på datamaskiner og servere og krever betaling for å låse dem opp. Å betale garanterer ikke at filene kommer tilbake. Den eneste reelle sikkerheten er sikkerhetskopier som holdes atskilt fra nettverket. Vi har tatt for oss temaet i en egen guide om løsepengevirus.

Falske fakturaer og CEO-svindel

Angriperen skriver som en leverandør eller leder fra en e-postkonto som er overtatt eller etterlignet, og ber om at betalingen sendes til en ny konto. Siden det ikke inneholder skadevare, slipper det lett gjennom filtre. Det mest effektive tiltaket er regelen om bekreftelse på telefon.

Passordangrep

Brukernavn- og passordpar som er lekket fra andre nettsider, prøves automatisk på kontoer som bruker samme passord. Et passord som lekker fra én side, setter alle kontoer der du gjenbruker det i fare.

Sårbarheter i nettsider og DDoS

Utdaterte programvarekomponenter, svake passord til administrasjonspanelet og feil i skjemahåndtering er de vanligste svakhetene i nettsider. DDoS-angrep tar nettsiden ned ved å overbelaste den med falsk trafikk.

04Grunnleggende tiltak med lite budsjett

Disse sikkerhetstiltakene for bedrifter krever ingen store investeringer, men innsnevrer angrepsflaten betydelig. Du trenger ikke gjøre alt samtidig. De tre første punktene gir størst effekt.

• Tofaktorautentisering: gjør det obligatorisk for e-post, bank, regnskap, sosiale medier og administrasjonspanelet på nettsiden.
• Unike og lange passord: bruk et eget passord for hver konto og lagre dem i en passordbehandler. Hvordan du lager dem, forklares i artikkelen om å lage sterke passord.
• Jevnlige oppdateringer: slå på automatiske oppdateringer for operativsystem, nettleser, kontorprogrammer, ruter og nettsidekomponenter.
• Separat sikkerhetskopi: ta automatiske sikkerhetskopier der minst én kopi lagres uavhengig av nettverket eller ikke kan endres.
• Minst mulig tilgang: hver ansatt bør bare ha tilgang til kontoene som trengs for jobben, og administratorkontoer bør ikke brukes til daglig arbeid.
• Gjestenettverk: skill det åpne Wi-Fi-et for kunder fra nettverket der kassen, betalingsterminalen og kontordatamaskinene er.
• Avslutningsprosess: steng kontoene til ansatte som slutter samme dag, og bytt delte passord.

05Sikkerhet for nettside og server

Nettsiden din er ofte den eneste delen av bedriften som er åpen mot internett. At nettsiden leveres over HTTPS, at administrasjonspanelet beskyttes med sterk autentisering, at ubrukte komponenter fjernes og at serverprogramvaren holdes oppdatert, er grunnkrav. Når du får laget en ny bedriftsnettside, er det mye enklere å spørre om dette allerede i tilbudsfasen enn å lappe på etterpå.

Sikkerhet og ytelse virker ofte i de samme lagene: oppdatert serverprogramvare, riktig konfigurert hurtigbuffer og CDN, og et nettverkslag som filtrerer angrepstrafikk før den når nettsiden din. Vi behandler disse innstillingene sammen i arbeidet med hastighet og ytelse.

Hvis du selger på nett, er sikkerheten på betalingssidene ekstra viktig. En nettbutikkplattform der kortdata ikke går gjennom din egen server, men bruker betalingsleverandørens sikre infrastruktur, reduserer denne risikoen betydelig. Også i bransjespesifikke programvareløsninger som bookings- og bestillingssystemer er brukertilganger og transaksjonslogger en grunnleggende del av sikkerheten.

06Ansattes bevissthet

Uansett hvor sterke de tekniske tiltakene er, kan én ansatt som skriver inn passordet sitt på en falsk lenke, bryte ned hele strukturen. Derfor er bevissthet det billigste og mest effektive sikkerhetslaget.

Korte og jevnlige påminnelser gir bedre resultat enn lange kurs. Å vise et ekte phishing-eksempel i teammøter, gjøre det klart hvem en mistenkelig e-post skal meldes til og bygge en kultur som ikke bebreider den som gjør feil, gjør at problemer oppdages tidlig.

• Bekreft avsenderen via en annen kanal før du klikker på uventede vedlegg og lenker.
• Bekreft alltid endringer i betalings- og bankopplysninger på telefon.
• Ikke koble USB-pinner og private enheter til jobbdatamaskiner uten kontroll.
• Meld fra om mistenkelige situasjoner med en gang i stedet for å skjule dem. Tidlig varsling begrenser skaden.

07Hva gjør du under et angrep?

En kort, forhåndsskrevet beredskapsplan for hendelser hjelper deg å ta de riktige stegene i panikken. Planen kan være på én side. Det viktige er at det er klart hvem som gjør hva, og hvem som skal ringes.

1. Koble den berørte enheten fra nettverket, men ikke slå den av. Spor for etterforskning er viktige.
2. Bytt passord på kontoer du mistenker er overtatt fra en annen enhet, og logg ut åpne økter.
3. Ring banken og betalingsleverandøren din og stans mistenkelige transaksjoner.
4. Dokumenter hva som skjedde, når det ble oppdaget og hvilke data som er berørt.
5. Steng angrepets inngangspunkt før du gjenoppretter fra en ren sikkerhetskopi.
6. Følg med på meldinger fra det tyrkiske nasjonale senteret for håndtering av cyberhendelser, USOM, og meld fra om nødvendig.

08KVKK og datasikkerhet

Enhver bedrift som behandler opplysninger som kundens navn, telefonnummer og adresse, er forpliktet til å sikre disse dataene etter den tyrkiske loven om personvern nr. 6698 (KVKK, sammenlignbar med GDPR). Loven krever at den behandlingsansvarlige iverksetter egnede tekniske og organisatoriske tiltak.

Ved et databrudd må de berørte personene og den tyrkiske personvernmyndigheten (Kişisel Verileri Koruma Kurulu) varsles. I myndighetens vedtak er det forutsatt en frist på 72 timer for dette. Denne artikkelen er generell informasjon. For detaljer om dine forpliktelser bør du sjekke gjeldende regelverk og juridisk rådgiver.