Vad är cybersäkerhet? Åtgärder för småföretag

01Vad skyddar cybersäkerhet?

Cybersäkerhet vilar på tre grundmål: dataens konfidentialitet, alltså att bara behöriga personer ser den; dess integritet, alltså att den inte ändras utan tillstånd; och dess tillgänglighet, alltså att den går att använda när den behövs. En attack skadar minst ett av de tre.

I ett litet företag finns det mer att skydda än man tror: kundlistan och kontaktuppgifterna, bokföringen, bank- och betalningsuppgifter, e-postkorrespondens, webbplatsen och boknings- eller orderssystemet. Var och en av dem har både kommersiellt värde och ett juridiskt ansvar.

02Varför är småföretag måltavlor?

Ett vanligt missförstånd är att angripare bara riktar in sig på stora företag. I själva verket är större delen av attackerna automatiserade: internet skannas hela tiden, och när en ouppdaterad webbplats, ett konto med svagt lösenord eller en öppen fjärrskrivbordsanslutning hittas utnyttjas den oavsett storlek.

Den verkliga utmaningen för cybersäkerhet i småföretag är resurserna: det finns inget separat säkerhetsteam, och IT-arbetet är ofta en extrauppgift för en medarbetare. Den goda nyheten är att en stor del av attackerna kan förhindras inte med dyra produkter utan med några grundläggande vanor.

03Typer av cyberattacker

De typer av cyberattacker som småföretag oftast möter är mer människoinriktade än tekniska. Angriparen bryter sig sällan in i ett system; hen lurar någon att öppna dörren.

Nätfiske (phishing)

Det är metoden att, med ett e-postmeddelande eller en text som ser ut att komma från en bank, ett fraktbolag eller en känd leverantör, leda användaren till en falsk inloggningssida och stjäla lösenordet. Kännetecknen och sätten att skydda sig beskrivs utförligt i inlägget vad är phishing.

Ransomware

Det är skadlig programvara som krypterar filerna på datorn och servern och kräver betalning för att låsa upp dem. Att betala är ingen garanti för att filerna kommer tillbaka; den enda verkliga tryggheten är säkerhetskopior som hålls åtskilda från nätverket. Ämnet behandlar vi separat i guiden om ransomware.

Falska fakturor och VD-bedrägeri

Angriparen skriver från ett e-postkonto som hen har tagit över eller imiterat, som en leverantör eller chef, och ber om att betalningen görs till ett nytt konto. Eftersom meddelandet inte innehåller någon skadlig programvara tar det sig lätt förbi filter; den effektivaste åtgärden är regeln om bekräftelse per telefon.

Lösenordsattacker

Par av användarnamn och lösenord som läckt från andra webbplatser testas automatiskt på konton som använder samma lösenord. Ett lösenord som läcker från en webbplats utsätter varje konto där du har återanvänt det för fara.

Sårbarheter på webbplatsen och DDoS

Ouppdaterade programkomponenter, svaga lösenord till administrationspanelen och felaktig hantering av formulär är webbplatsers vanligaste svagheter. DDoS-attacker däremot dränker webbplatsen i falsk trafik så att den blir oåtkomlig.

04Grundläggande åtgärder med låg budget

Följande säkerhetsåtgärder för företag kräver ingen stor investering men minskar attackytan avsevärt. Du behöver inte göra allt på en gång; de tre första punkterna ger störst utdelning.

• Tvåstegsverifiering: gör den obligatorisk för konton till e-post, bank, bokföring, sociala medier och webbplatsens administrationspanel.
• Unika och långa lösenord: använd ett separat lösenord för varje konto och förvara dem i en lösenordshanterare; hur du skapar dem beskrivs i inlägget skapa starka lösenord.
• Regelbundna uppdateringar: slå på automatiska uppdateringar för operativsystem, webbläsare, kontorsprogram, router och webbplatsens komponenter.
• Separat säkerhetskopia: ta automatiska säkerhetskopior där minst en kopia förvaras oberoende av nätverket eller så att den inte går att ändra.
• Minsta möjliga behörighet: varje medarbetare ska bara nå de konton som behövs för arbetet; administratörskonton ska inte användas i det dagliga arbetet.
• Gästnätverk: separera det öppna wifi-nätet för kunder från nätverket där kassan, kassaregistret och kontorsdatorerna finns.
• Avslutningsrutin: stäng kontona för en medarbetare som slutar samma dag och byt gemensamma lösenord.

05Säkerhet för webbplats och server

Din webbplats är ofta företagets enda dörr som är öppen mot internet. Att webbplatsen levereras via HTTPS, att administrationspanelen skyddas med stark autentisering, att oanvända komponenter tas bort och att serverprogramvaran hålls uppdaterad är grundkrav. När du låter bygga en ny företagswebbplats är det mycket enklare att fråga om de här punkterna redan i offertskedet än att lappa i efterhand.

Säkerhet och prestanda arbetar ofta i samma lager: uppdaterad serverprogramvara, rätt konfigurerad cache och CDN, ett nätverkslager som filtrerar attacktrafik innan den når din webbplats. De här inställningarna behandlar vi tillsammans i arbetet med hastighet och prestanda.

Säljer du online är säkerheten på betalsidorna extra viktig. En e-handelsplattform där kortuppgifter inte passerar din egen server utan använder betalleverantörens säkra infrastruktur minskar den risken avsevärt. Även i branschspecifika mjukvarulösningar som boknings- och ordersystem är användarbehörigheter och transaktionsloggar en grundläggande del av säkerheten.

06Medarbetarnas medvetenhet

Hur starka de tekniska åtgärderna än är kan en medarbetare som skriver in sitt lösenord på en falsk länk ta sig förbi hela strukturen. Därför är medvetenhet säkerhetens billigaste och mest effektiva lager.

Korta och regelbundna påminnelser ger bättre resultat än långa utbildningar. Att visa ett verkligt nätfiskeexempel på teamträffar, att göra det tydligt vem man rapporterar ett misstänkt e-postmeddelande till och att skapa en kultur som inte skuldbelägger den som gör fel gör att problem upptäcks tidigt.

• Innan du klickar på oväntade bilagor och länkar, bekräfta avsändaren via en annan kanal.
• Bekräfta alltid ändringar av betalnings- och bankuppgifter per telefon.
• Anslut inte USB-minnen och privata enheter till jobbdatorer utan kontroll.
• Rapportera en misstänkt situation direkt i stället för att dölja den; tidig rapportering begränsar skadan.

07Vad gör man vid en attack?

En kort incidenthanteringsplan som skrivits i förväg gör att du tar rätt steg i paniken. Planen kan vara på en enda sida; det viktiga är att det är tydligt vem som gör vad och vem som ska ringas.

1. Koppla bort den drabbade enheten från nätverket men stäng inte av den; det är viktigt att spår finns kvar för utredning.
2. Byt lösenord på konton som misstänks vara övertagna från en annan enhet och logga ut öppna sessioner.
3. Ring din bank och din betalleverantör; stoppa misstänkta transaktioner.
4. Dokumentera vad som hände, när det upptäcktes och vilka data som påverkades.
5. Stäng attackens ingångspunkt innan du återgår från en ren säkerhetskopia.
6. Följ meddelandena från Turkiets nationella center för hantering av cyberincidenter, USOM, och rapportera vid behov.

08KVKK och datasäkerhet

Varje företag i Türkiye som behandlar uppgifter som kundens namn, telefonnummer och adress är skyldigt att säkra dem enligt lag nr 6698 om skydd av personuppgifter, KVKK (den turkiska dataskyddslagen, jämförbar med GDPR). Lagen kräver att den personuppgiftsansvarige vidtar lämpliga tekniska och administrativa åtgärder.

Vid ett dataintrång måste de berörda personerna och tillsynsmyndigheten, Kişisel Verileri Koruma Kurulu, underrättas; i myndighetens beslut anges en frist på 72 timmar för underrättelsen. Det här inlägget är av allmän karaktär; för detaljerna om dina skyldigheter bör du kontrollera gällande lagstiftning och rådgöra med din juridiska rådgivare.