Historien om it-sikkerhed er historien, der aldrig slutter. I stedet for at smide om sig med utopiske begreber som “at være på forkant med udviklingen” giver det mere mening at indstille sig på truslen om angreb, og så tage de rette forholdsregler. Med de rette tiltag kan du som it-chef forberede dig og dermed forhindre en del af vanskelighederne.
Men hvad er de rette forholdsregler? Og hvilke sikkerhedstiltag skulle du helst have implementeret i går?
I denne artikel får du vores 7 bedste råd om it-sikkerhed enhver ansvarlig virksomhed bør have implementeret. Vi kommer også omkring, hvad der skal være almen praksis for alle medarbejdere og hvilke overordnede retningslinjer, der bør være på plads i virksomheden.
Husk at nyse i ærmet. Og husk at vaske hænder. Vi kan jo godt huske den gode hygiejne, når vi tager os sammen. Det samme skal du bede dine folk om hvad angår it-sikkerhed.
Her hedder hygiejnereglerne blot noget andet, nemlig:
Langt de fleste angreb sker gennem mennesker. Vi mennesker kan fejle, og vores natur bliver forsøgt brugt imod os, når der spilles på begreber som nysgerrighed, hjælpsomhed, frygt og ønsker.
Med de fundamentale sikkerhedsregler på plads, mindsker du risikoen for angreb gennem dine medarbejderes handlinger.
Det handler om at sikre data bedst muligt, da data er alfa og omega. Det kan godt være, at dine data i sig selv ikke virker synderligt revolutionerende eller hemmelige. Du er dog nødt til at betragte dem som de uundværlige byggeklodser, som forretningen er lavet af.
Uden dine data er du hurtigt færdig, da du ikke er i stand til at foretage selv de mindste ting.
Jeres systemer genererer sikkert dagligt tusindvis af logfiler – detaljerede lister over hændelser i jeres systemer. Det kan være logs fra websiten, systemfejl, bruger-begivenheder, adgange til servere og meget mere.
Logfilerne kan hjælpe dig med at overvåge mange ting: flaskehalse i systemerne, systemernes tilstand og ikke mindst identificere sikkerhedsmæssige problemer. I logfiler vil du typisk finde sikkerhedsinformation som:
Logfilerne indeholder med andre ord vigtig information og hvis I ikke allerede har det, bør I sætte processer og systemer op til at overvåge logfilerne. Det er vigtigt at gennemgå logfilerne regelmæssigt for at opdage mistænkelig eller unormal aktivitet, hvilket kan indikere et sikkerhedsproblem.
Adgangen til jeres netværk skal være så besværlig som muligt for dem, I ikke vil have på besøg.
Det er her, I har alle jeres vigtige data, programmer og personfølsomme oplysninger, så her vil I meget nødigt have it-kriminelle til at snuse rundt. Derfor er det vigtigt, at I krypterer jeres trådløse netværk.
Samme tankegang skal I bruge, når det gælder de mails, der forlader jeres netværk. Hvis der her er forretnings- eller personfølsomme oplysninger, skal de krypteres for at sikre, at de ikke kommer i de forkerte hænder.
Husk bare på konsekvenserne for brud på GDPR-reglerne. Der kan være tale om store bøder, hvis ikke du har levet op til dine sikkerhedsforpligtelser.
En sikkerheds- og sårbarhedsvurdering (assessment) er en proces til evaluering af sikkerheden i jeres systemer og netværk.
Trinene i en sikkerhedsvurdering omfatter typisk:
Det er vigtigt at bemærke, at en sikkerhedsvurdering er en løbende proces, ikke en engangshændelse. Det er afgørende at holde sikkerhedsvurderingen opdateret og indarbejde den nye bedste praksis for sikkerhed.
Det svageste led i enhver plan er den menneskelige faktor. Medarbejderne i virksomheden er en af de ”nemmeste” måder it-kriminelle kan få adgang til jeres data og systemer. Med den øgede brug af egne enheder (BYOD) og hjemmearbejde stiger risikoen.
For at minimere risikoen for databrud bør du have en plan for uddannelse af af dine medarbejdere i it-sikkerhed.
Planen kan indeholde:
It-sikkerhed i din moderne it-virksomhed er i dag noget, der skal ses i et stort og komplekst perspektiv. Folk er på hjemmefra, er på forretningsrejse, til kundemøde eller noget helt fjerde. De skal derfor tilgå data alle mulige forskellige steder fra og med skiftende enheder.
Det stiller store krav til sikkerheden omkring brugerkontrol.
MFA - multi-factor-authentication verificerer en bruger ved at kræve flere oplysninger i kombination med det angivne password - fx en kode fra en smartphone. Det forbedrer it-sikkerheden effektivt, fordi du kan tjekke, om en bruger nu også er den, hun hævder at være, ligesom det gør stjålne passwords ubrugelige.
En disaster recovery plan (DRP) er et sæt af procedurer og retningslinjer, der skal sikre, at en virksomhed eller en organisation hurtigt og effektivt kan reagere på og komme sig efter en lang række potentielle katastrofer, såsom naturkatastrofer, cyberangreb, strømafbrydelser og andre større forstyrrelser.
En DRP indeholder typisk følgende elementer:
Hovedformålet med en disaster recovery plan er at minimere virkningen af en katastrofe på en organisation og hjælpe med at sikre, at normal forretningsdrift kan genoptages så hurtigt som muligt.
Betinget adgang (”conditional access”) er en sikkerhedsfunktion, der tillader eller nægter adgang til ressourcer baseret på visse betingelser. Disse betingelser kan omfatte faktorer som brugerens identitet, den enhed, der bruges, eller netværksplaceringen.
Målet med betinget adgang er at sikre, at kun autoriserede brugere og enheder kan få adgang til følsomme data og systemer, samtidig med at de beskytter mod trusler som malware eller uautoriserede adgangsforsøg.
Betinget adgang kan implementeres ved hjælp af en række forskellige teknologier, herunder multifaktorautentificering, enhedshåndtering og netværkssikkerhed.
Inderst inde ved vi jo alle sammen godt, at vi kan blive ramt af et it-nedbrud, eller at hackerne får held med at trænge igennem vores forsvarsværker.
Øvelsen går ikke (længere) på at opbygge et fort, men snarere på at leve med, at risikoen findes - og så ellers være forberedt.
Som ansvarlig for it-sikkerheden skal du kunne stå på mål for dels jeres rutiner og den praksis, I arbejder med i det daglige, og dels den plan I har for når et angreb rammer hos jer.
Det første handler blandt mange andre ting om kommunikation og ledelse. Med klare retningslinjer og politikker på plads for it-sikkerheden i det daglige, er du kommet meget langt.
En ikke uvæsentlig detalje er jo, at hackere går efter stederne med mindst modstand, så hvis dit netværk er bedre sikret end naboens, ja så er det sandsynligt, at du går fri i første omgang.
Hvis du fik gavn af artiklen, kan du også tage et kig på: Den moderne arbejdsplads kræver moderne løsninger