God IT-sikkerhet handler ikke om hvor raskt nettet føles eller hvor mange sikkerhetsprodukter bedriften har kjøpt. Det avgjørende er om dere har oversikt, tydelige eiere og rutiner som faktisk virker når noe endres eller går galt.

Mange små bedrifter spør om sikkerheten er «god nok». Det spørsmålet kan ikke besvares med én skanning eller én grønn statuslampe. En bedre start er å kontrollere om virksomheten har styring på de viktigste delene av IT-miljøet.

Disse fem tegnene viser ikke nødvendigvis at et dataangrep har skjedd. De viser at bedriften mangler grunnleggende kontroll, og at en hendelse derfor kan bli vanskeligere å oppdage, begrense og rydde opp etter.

1. Ingen kan vise en oppdatert oversikt over systemer og programvare

Hvis oversikten over IT-miljøet finnes i hodet til én person, er den ikke robust nok. Bedriften bør kunne svare på hvilke PC-er, servere, skytjenester, domener, e-postsystemer og sentrale programmer som brukes, hvem som eier dem, og hvem som administrerer dem.

Dette gjelder også tjenester ansatte har tatt i bruk på egen hånd. En liten månedlig belastning på firmakortet kan være et arbeidskritisk system, selv om det aldri ble behandlet som et IT-innkjøp.

NSM anbefaler virksomheter å kartlegge enheter og programvare, inkludert uautorisert programvare, og å vedlikeholde en oversikt over hva som er godkjent for bruk. En enkel oversikt er bedre enn et avansert system som aldri blir oppdatert.

Sjekk nå: Kan dere på 15 minutter finne navn på tjenesten, ansvarlig person, administrator, fornyelsesdato og hvor viktige data lagres?

2. Tilganger blir opprettet, men sjelden gjennomgått eller fjernet

En konto er ikke ferdig forvaltet når den er opprettet. Roller endres, ansatte slutter, leverandører byttes og midlertidige tilganger blir stående. Dersom ingen jevnlig kontrollerer hvem som har tilgang til hva, vokser risikoen stille.

Felleskontoer og delte administratorpassord gjør dette vanskeligere. Da kan bedriften verken se sikkert hvem som utførte en handling eller fjerne én persons tilgang uten å påvirke andre.

NSMs prinsipp for brukere og tilgangsbehov legger vekt på oversikt over brukere, kontoer, roller og ansvar. Trønder Data har også en praktisk IT-sjekkliste for når en ansatt slutter.

Sjekk nå: Velg ett viktig system og sammenlign brukerne i systemet med dagens ansatte og leverandører. Finnes det kontoer som ikke lenger har et dokumentert behov?

3. Backup blir omtalt som trygg, men ingen har testet gjenoppretting

En e-post om at sikkerhetskopieringen «fullførte» er ikke det samme som at virksomheten kan gjenopprette riktige data innen akseptabel tid. Feil konfigurasjon, manglende mapper, for kort historikk eller utilgjengelige nøkler oppdages ofte først når data allerede er borte.

NSMs grunnprinsipper for IKT-sikkerhet anbefaler både en plan for sikkerhetskopiering og regelmessige gjenopprettingstester. Planen bør blant annet beskrive hvilke data som omfattes, hvem som har ansvar, hvor lenge kopier oppbevares og hvor raskt kritiske systemer må kunne gjenopprettes.

Les også vår gjennomgang av sikkerhetskopiering for småbedrifter.

Sjekk nå: Be den ansvarlige hente tilbake én slettet testfil og dokumentere hvor lang tid det tok. Hvis testen ikke kan gjennomføres trygt, er backupen ikke verifisert.

4. Oppdateringer skjer tilfeldig og uten tydelig ansvar

Automatiske oppdateringer er nyttige, men de dekker ikke nødvendigvis alle programmer, nettverksenheter, nettsider og skytjenester. Eldre programvare kan bli stående fordi ingen vet at den finnes, eller fordi ingen tør å oppdatere et system uten å vite hva som avhenger av det.

Et modent oppdateringsarbeid trenger ikke være komplisert. Bedriften må vite hvilke systemer som er kritiske, hvem som følger med på oppdateringer, hvordan viktige endringer testes, og hva som skjer dersom en oppdatering feiler.

Sjekk nå: Velg tre viktige systemer og finn siste oppdateringsdato, nåværende versjon og navnet på den som har ansvar. Mangler ett av svarene, bør systemet inn i en fast vedlikeholdsrutine.

5. Beredskapsplanen starter med «ring den som pleier å ordne det»

Når e-post, internett eller fagsystemet stopper, er de første beslutningene viktige. Hvem kan stenge en konto? Hvor finnes kontaktinformasjon til leverandøren? Hvordan kommuniserer dere hvis e-post er utilgjengelig? Hvilke systemer må tilbake først?

Hvis svarene først må finnes mens hendelsen pågår, blir nedetiden lengre og risikoen for forhastede endringer større. En kort beredskapsplan med roller, kontaktpunkter, prioriteringer og alternative kommunikasjonskanaler er mer nyttig enn et langt dokument ingen har øvd på.

Bruk gjerne vår beredskapsplan for småbedrifter som utgangspunkt.

Sjekk nå: Spør to personer hvem de kontakter og hva de gjør først dersom e-post og skylagring blir utilgjengelig samtidig. Ulike svar viser hvor planen må tydeliggjøres.

Treg PC eller ustabilt nett er ikke bevis på et sikkerhetsproblem

Tekniske problemer kan skyldes kapasitet, feil konfigurasjon, maskinvare, leverandørfeil eller sikkerhetshendelser. Det er derfor misvisende å bruke treghet alene som et «advarselstegn» på svak IT-sikkerhet.

Det relevante spørsmålet er om bedriften kan undersøke årsaken: finnes det oppdatert oversikt, logging, ansvar og en kontrollert måte å feilsøke på? God sikkerhet gjør ikke alle systemer raske, men god styring gjør det mulig å skille et vanlig driftsproblem fra et mulig sikkerhetsavvik.

Start med kontroll, ikke flere produkter

Dersom flere av punktene over er uklare, trenger bedriften først en prioritert oversikt. Begynn med de viktigste systemene, administratorene, dataene og avhengighetene. Avtal deretter hvem som eier hvert tiltak og når det skal kontrolleres igjen.

Et nytt sikkerhetsprodukt kan være riktig senere. Men produkter kan ikke erstatte oversikt, ansvar og testede rutiner. Trenger dere hjelp til å kartlegge dagens situasjon og fordele oppfølgingen, kan en fast IT-serviceavtale gi en tydeligere struktur.