Skip to main content

Forfatter: Svein tore

En telefon og en sikkerhetsnøkkel ligger på et skrivebord ved siden av en notatbok.

Mistet MFA-telefonen på jobb? Slik sikrer dere tilgangen

Skrevet av Svein tore den . Publisert i Guider, IT-sikkerhet. Ingen kommentarer til Mistet MFA-telefonen på jobb? Slik sikrer dere tilgangen

En ansatt mister telefonen som brukes til innlogging. Passordet virker fortsatt, men godkjenningen i autentiseringsappen er borte. For en vanlig brukerkonto er dette ofte håndterbart. Hvis den samme telefonen også er eneste vei inn til bedriftens administratorkonto, blir situasjonen mer alvorlig. Løsningen er å planlegge en reservevei før telefonen forsvinner.

Før telefonen byttes eller mistes

  1. Finn kontoene som er avhengige av telefonen. Start med jobbens e-post, identitetsplattform og administrative kontoer. Noter hvem som eier hver konto og hvem som kan hjelpe ved låsing. Ikke skriv passord eller engangskoder i oversikten.
  2. Registrer en reserve-metode der tjenesten støtter det. For Microsoft Entra anbefaler Microsoft mer enn én registrert MFA-metode for brukere, slik at én mistet metode ikke stanser innloggingen. Velg sterke metoder som er tillatt av bedriftens policy, og test at reserveveien fungerer. Ikke anta at alle tjenester tilbyr de samme gjenopprettingskodene.
  3. Skill vanlig brukerhjelp fra nødtilgang for administratorer. En administrator som kan hjelpe ansatte, må selv ha en fungerende reservevei. I Microsoft Entra anbefaler Microsoft minst to særskilte nødtilgangskontoer, beskyttet med phishing-resistente metoder, separat lagring, overvåking og regelmessig kontroll. Slike kontoer er for nødsituasjoner, ikke daglig arbeid.
  4. Avtal identitetskontroll. Den som behandler en forespørsel om ny innloggingsmetode, må kontrollere at det faktisk er riktig ansatt som ber om hjelp. En e-post eller telefonhenvendelse alene bør ikke automatisk gi tilgang til kontoen.

Når telefonen er borte

Gi beskjed til den som administrerer kontoene så snart som mulig. Er telefonen stjålet, eller er det tegn til uventede innlogginger, må hendelsen også vurderes som mulig kontokompromittering. Ikke godkjenn innloggingsvarsler du ikke selv har startet, og ikke oppgi koder til noen som ringer eller sender melding.

Har brukeren en registrert reserve-metode, brukes den til å logge inn og legge til den nye enheten. Deretter fjernes den tapte metoden etter kontroll. I Microsoft Entra kan en autorisert administrator, når bedriftens policy tillater det, bruke en tidsbegrenset Temporary Access Pass for å la brukeren registrere en ny sterk metode. Dette er en kontrollert gjenopprettingsprosess, ikke en grunn til å slå av MFA for alle. Kontroller nye metoder og relevante innloggingshendelser etterpå.

Hvis den eneste administratoren er låst ute, bruk virksomhetens dokumenterte nødtilgang eller leverandørens offisielle gjenopprettingskanal. Ikke opprett en delt «midlertidig» administratorkonto for å komme raskere videre. Se også hvorfor personlige kontoer er bedre enn felles brukerkontoer og hvordan en liten bedrift kan planlegge for IT-avbrudd.

En enkel test før neste telefonbytte

Be den ansatte vise at en alternativ innloggingsmetode er registrert og fungerer før den gamle telefonen nullstilles. Kontroller deretter at riktig administrator kan hjelpe hvis begge brukerens metoder svikter. Dokumenter hvem som utførte testen og når, men aldri selve hemmelighetene. Dette er en liten prøve som avdekker om reserveplanen faktisk kan brukes.

Kilder

Microsoft Learn: Deployment considerations for MFA, Microsoft Learn: Temporary Access Pass og Microsoft Learn: Emergency access accounts.

5 tegn på at bedriftens IT-sikkerhet er for dårlig

Skrevet av Svein tore den . Publisert i Nyheter.

Er bedriftens IT-sikkerhet i orden?

Det spiller ingen rolle om du driver en stor bedrift eller et lite kontor hjemme i stua – IT-sikkerhet bør være en topp prioritet. Når man tenker på trusler, er det lett å forestille seg skumle typer i mørke rom som taster inn koder for å ødelegge livet ditt. Men sannheten er at de fleste sikkerhetsbrudd er mye mer hverdagslige og ofte et resultat av manglende kunnskap, nedprioritering eller enkle feil. Her er fem tegn på at bedriftens IT-sikkerhet kan være for dårlig.

1. Manglende oppdateringer

Oppdatering av programvare og operativsystemer er en av de mest grunnleggende aspektene ved bedriftens IT-sikkerhet. Når programvareleverandører lanserer en oppdatering, er det som oftest for å tette sikkerhetshull. Uttallige virksomheter har opplevd datainnbrudd som følge av manglende oppdateringer.

2. Fraværende eller svake passord

Passord er den første forsvarslinjen i IT-sikkerhet. Ukompliserte og gjentatte passord, samt fravær av totrinnsverifisering, øker risikoen for sikkerhetsbrudd.

3. Ingen automatisk sikkerhetskopiering

Automatisk sikkerhetskopiering er et must for enhver bedrift. Skulle noe skje, skal det være mulig å gjenopprette tapt data på en effektiv måte. Det er essensielt for bedriftens IT-sikkerhet.

4. Ingen opplæring i IT-sikkerhet for ansatte

Menneskelige feil er en av de vanligste årsakene til cyberangrep. Det kan være alt fra å klikke på koblinger i phishing-eposter, til å bruke usikret Wi-Fi. Riktig opplæring kan unngå slike feil.

5. Ingen endepunktsikring

Endepunktsikring sikrer bedriftens data når de blir tilgjengeliggjort på ansattes enheter, uansett hvor de måtte være. Uten denne sikringen, er bedriften svært utsatt for datainnbrudd. Hos Trønder Data tilbyr vi endepunktsikring for å sikre bedriften mot nettopp dette.

Vil du utforske dette videre? Les Endepunktsikring.

Resepsjon med gjesteplasser adskilt fra kontorarbeidsplasser og et trådløst aksesspunkt i taket

Gjestenett for bedrifter: Sjekk at det faktisk er adskilt

Skrevet av Svein tore den . Publisert i IT-sikkerhet, Nettverk. Ingen kommentarer til Gjestenett for bedrifter: Sjekk at det faktisk er adskilt

Et eget Wi-Fi-navn for gjester ser ryddig ut, men navnet alene sier ingenting om hvilke interne systemer en besøkendes enhet kan nå. Et fungerende gjestenett skal gi den tilgangen gjesten trenger, vanligvis internett, uten å åpne bedriftens skrivere, filområder eller administrasjon.

Hvorfor skille gjester fra arbeidsnettet?

Bedriften styrer normalt ikke sikkerhetstilstanden til en besøkendes mobil eller PC. NSMs grunnprinsipper for IKT-sikkerhet anbefaler at ikke-forvaltede enheter bare får tilgang til eget gjestenett eller tilsvarende begrenset område. Det er en god praktisk regel også for små virksomheter: ukjente enheter bør ikke få samme nettverkstilgang som bedriftens forvaltede utstyr.

To ulike spørsmål som ofte blandes

Kan gjesten nå bedriftsnettet? Dette avgjøres av hvordan gjestenettet er koblet til resten av nettverket, og hvilke regler som tillater trafikk mellom nettverkene. Et eget nettverkssegment kan brukes til å skille trafikken, men segmentet må ha riktige tilgangsregler.

Kan to gjester nå hverandre? Dette er et annet spørsmål. Klientisolasjon kan hindre direkte kommunikasjon mellom enheter på samme gjeste-Wi-Fi. Det erstatter ikke nødvendigvis reglene som beskytter resten av bedriftens nett. Leverandørdokumentasjon, blant annet fra TP-Link Omada, beskriver isolasjon mellom klienter på samme trådløse nett. Kontroller funksjonen i akkurat det utstyret dere bruker.

Test fra gjestens side

En innstilling som heter «Guest Network» er ikke bevis på at alt er riktig. Etter oppsett bør dere koble til med en vanlig testenhet på gjestenettet og kontrollere:

  1. Fungerer internett og de tjenestene gjesten faktisk skal bruke?
  2. Er interne skrivere, filområder og administrasjon utilgjengelige fra gjestenettet?
  3. Kan gjesteenheter kommunisere med hverandre, og er det ønsket?
  4. Fungerer løsningen også fra andre rom og aksesspunkter, ikke bare ved ruteren?
  5. Er det klart hvem som vedlikeholder tilgangsregler, passord og utstyr?

Dokumenter ønsket resultat med en kort oversikt: «Gjester skal ha internett, men ikke tilgang til interne tjenester». Da har dere noe konkret å teste igjen etter endringer i ruteren, svitsjene eller aksesspunktene. En separat Wi-Fi-tilkobling må dessuten fungere gjennom hele kjeden. I Omadas veiledning beskrives egne gjesteinnstillinger, men menyvalg og virkning varierer med oppsett og versjon.

Ikke gjør gjestenettet mer komplisert enn behovet tilsier

Et lite kontor med noen få besøkende trenger ikke automatisk en portal med registrering eller en lang liste med unntak. Start med å avklare hvilken tilgang gjestene faktisk trenger, sørg for adskillelse og test den. Dersom gjester skal bruke en intern skjerm eller skriver, bør det være et bevisst, avgrenset unntak, ikke en åpen vei til hele arbeidsnettet.

Trenger dere hjelp til å kartlegge og drifte hele oppsettet, beskriver vi også administrert nettverk for små og mellomstore bedrifter. Selve sjekklisten over kan brukes uavhengig av leverandør.

Kilder

To arbeidsplasser ved en bærbar PC med en anonym e-postoversikt på skjermen

Delt postkasse i Microsoft 365: felles oversikt uten delt passord

Skrevet av Svein tore den . Publisert i Microsoft 365. Ingen kommentarer til Delt postkasse i Microsoft 365: felles oversikt uten delt passord

Når flere skal svare fra samme e-postadresse, er det fristende å dele ett passord eller videresende alt til hver sin innboks. En delt postkasse i Microsoft 365 gir et annet utgangspunkt: Medarbeiderne bruker sine egne kontoer, mens henvendelsene samles på ett sted. Løsningen fungerer best når dere samtidig bestemmer hvem som eier oppfølgingen.

Når passer en delt postkasse?

Den passer for en adresse som flere skal lese og svare fra, for eksempel en generell henvendelsesadresse. Microsoft beskriver nettopp slike felles adresser som et bruksområde. Trenger dere bare at én person får kopi av enkelte meldinger, kan en enklere regel være tilstrekkelig. Trenger dere derimot felles oversikt over innkommende og utgående dialog, bør dere vurdere en delt postkasse fremfor å la hver medarbeider bygge sin egen, ufullstendige historikk gjennom videresending.

Gi personer tilgang, ikke et felles passord

En delt postkasse er ikke ment for direkte innlogging med postkassens egen konto. Gi hver medarbeider tilgang gjennom vedkommendes egen Microsoft 365-konto. Microsoft skiller mellom Full Access, som gir tilgang til å lese og håndtere innholdet, og Send As eller Send on Behalf, som bestemmer hvordan brukeren kan sende. Lesetilgang alene gir ikke nødvendigvis lov til å svare fra fellesadressen.

Bestem hvem som faktisk trenger begge rettighetene. Når en medarbeider bytter rolle eller slutter, kan tilgangen fjernes uten at alle andre må bytte et delt passord. Se også vår IT-sjekkliste når en ansatt slutter.

Avklar hvem som svarer

En felles innboks er ikke det samme som en felles arbeidsrutine. Avtal hvem som ser på nye meldinger, hvordan dere markerer at en sak er tatt, hvem som følger opp ved fravær, og når en henvendelse skal løftes videre. Uten dette kan to personer svare samtidig, eller begge tro at den andre gjør det. Dette er en praktisk arbeidsregel, ikke en automatisk funksjon som postkassen løser for dere.

Kontroller også mappen for sendte elementer. Ifølge Microsoft havner meldinger sendt fra den delte postkassen som standard i avsenderens personlige mappe for sendte elementer. Innstillingen kan endres slik at teamet ser svarene i den delte postkassen. Test dette med en intern prøvemelding før adressen tas i bruk.

Sjekk dette før dere bytter løsning

  1. Adresse og historikk: Skal en eksisterende adresse flyttes, og må eldre meldinger bevares? Lag en plan før dere endrer hvor e-posten leveres. Vår sjekkliste for flytting av e-post til Microsoft 365 dekker flere av forberedelsene.
  2. Tilgang og sending: Prøv både mottak, lesing og svar fra hver relevant bruker. Kontroller at avsendernavn og rettigheter blir som dere ønsker.
  3. Oppfølging: Avtal ansvar for ubesvarte meldinger, fravær og jevnlig gjennomgang av hvem som har tilgang.
  4. Lisens og kapasitet: Ikke anta at «delt» alltid betyr gratis. Microsoft oppgir at en delt postkasse normalt kan lagre opptil 50 GB uten egen lisens, men brukerne som åpner den må ha lisensiert Exchange Online-postkasse, og enkelte funksjoner eller større postkasser krever mer. Kontroller gjeldende vilkår for deres oppsett.

Når er den ikke nok?

En delt postkasse gir tilgang til samme e-post, men den er ikke et saksbehandlingssystem. Hvis dere må fordele henvendelser, måle behandlingstid eller dokumentere status på tvers av mange ansatte, bør dere vurdere en egen arbeidsflyt i tillegg. Start med å definere hvordan en henvendelse går fra mottatt til ferdig; velg deretter verktøy.

Trenger dere hjelp til å vurdere oppsettet, kan vi bistå med å avklare tilgang, migrering og praktisk bruk før dere endrer den eksisterende e-postflyten.

Kilder

Bærbar PC med blank skjerm, lukket konvolutt og notatbok på skrivebord

E-post havner i søppelpost? Slik finner bedriften årsaken

Skrevet av Svein tore den . Publisert i Datahjelp. Ingen kommentarer til E-post havner i søppelpost? Slik finner bedriften årsaken

En e-post som havner i mottakerens søppelpost, kan se ut som et lite irritasjonsmoment. For en bedrift kan det bety at et tilbud eller et viktig svar ikke blir lest. Feilsøkingen begynner med å skille mellom tre ulike situasjoner: Meldingen ble avvist og kom tilbake, den ble levert til søppelpost, eller avsenderen vet rett og slett ikke om den kom frem.

1. Finn ut hvor meldingen stoppet

Be om tidspunkt, mottakertjeneste og om avsenderen fikk en returmelding. En returmelding med feilkode er et annet spor enn en melding som faktisk ligger i mottakerens søppelpost. Test gjerne med én vanlig melding fra den samme avsenderkontoen til en mottaker dere samarbeider med. Ikke send mange nesten like tester på rad.

Hvis problemet bare gjelder meldinger fra nettsidens kontaktskjema, er det en egen sendekjede. Bruk da sjekklisten vår for kontaktskjema som ikke leverer henvendelser. Hvis feilen oppstod etter bytte av e-postleverandør, kontroller også migreringspunktene for e-post.

2. Kartlegg alle som sender på vegne av domenet

Bedriften sender sjelden bare fra én postboks. Nettside, fakturasystem, nyhetsbrev, skanner og andre tjenester kan bruke samme avsenderdomene. Skriv ned hver legitim sendekilde før dere endrer DNS. Et oppsett som fungerer for de ansattes vanlige e-post, kan likevel feile for en tredjepartstjeneste.

3. Kontroller SPF, DKIM og DMARC på en faktisk melding

Disse tre mekanismene svarer på ulike spørsmål. SPF angir hvilke servere som kan sende for domenet brukt i den tekniske avsenderadressen. DKIM lar mottakeren kontrollere en digital signatur på meldingen. DMARC knytter kontrollen til domenet mottakeren ser i Fra-feltet og angir en policy for meldinger som ikke består kontrollen. Et SPF-treff alene sier derfor ikke alltid at domenet i det synlige Fra-feltet er riktig bekreftet.

Be e-postleverandøren kontrollere mottakerens autentiseringsresultat for en konkret testmelding: bestod SPF, bestod DKIM, og var minst én av dem riktig justert mot Fra-domenet for DMARC? Microsoft forklarer samspillet mellom SPF, DKIM og DMARC. Google beskriver sine avsenderkrav og anbefalinger. Krav kan variere med mottakertjeneste og sendemengde.

Ikke legg til tilfeldige SPF-oppføringer eller sett en streng DMARC-policy før alle legitime sendekilder er kartlagt og testet. Da kan dere ellers stenge ute egne meldinger. Endringer bør gjøres i riktig DNS-sone av den som forvalter domenet, og resultatet må testes på nytt etterpå.

4. Se videre enn DNS

Bestått autentisering er nødvendig, men ingen garanti for at meldingen havner i innboksen. Mottakerens filtre kan også vurdere avsenderhistorikk, sendemønster og innhold. Sjekk om problemet gjelder alle mottakere, bare én tjeneste eller bare én type melding. Skill vanlige samtaler fra masseutsendelser; de kan ha ulike krav og ulikt omdømme.

Ta vare på en avgrenset, anonymisert feilkode og tidspunkt når dere ber om teknisk hjelp. Del ikke hele meldinger, kundeadresser eller komplette meldingshoder i åpne kanaler. Det gir støttepersonell et spor å følge uten unødvendig eksponering.

En kort beslutningsrekkefølge

  1. Avklart leveringsstatus: avvist, søppelpost eller ukjent?
  2. Finnes det flere sendekilder for samme domene?
  3. Hva viser autentiseringsresultatet for én konkret melding?
  4. Gjelder problemet bestemte mottakere eller bestemte meldingstyper?
  5. Er endringen testet etter at DNS eller sendetjeneste ble rettet?

Trenger dere hjelp til å skille DNS-feil fra problemer hos sendetjenesten eller mottakeren, kan dere lese mer om datahjelp hos Trønder Data. Begynn med leveringssporet, ikke med å gjette hvilken post i DNS som bør endres.

6 grunner til hvorfor småbedrifter trenger endepunktsikring

Skrevet av Svein tore den . Publisert i IT-sikkerhet.

Hvorfor småbedrifter trenger endepunktsikring

Ingen småbedrifter kan i dag overse viktigheten av teknologi og IT-sikkerhet. Et element som er av ekstra betydning er endepunktsikring. Men hvorfor er dette så viktig for småbedrifter? Jeg gir deg seks gode grunner.

1. Giftige cyberangrep

Cyberangrep er en konstant trussel mot bedrifter. Småbedrifter er like utsatte som større bedrifter, og konsekvensene av et angrep kan være ødeleggende. Endepunktsikring for småbedrifter er spesielt viktig fordi det gir beskyttelse mot slike angrep, og kan redde bedriften fra store tap.

2. Datalekkasje

Brudd på datasikkerheten kan medføre store mengder sensitiv informasjon på avveie. Endepunktsikring er her din beste garanti for å beskytte bedriftens opplysninger mot uautorisert tilgang.

3. Utrulling av oppdateringer

Endepunktsikring for småbedrifter gjør det enklere å rulle ut oppdateringer til alle enheter i bedriften. Dette bidrar til en jevnlig og oppdatert sikkerhetsprofil for bedriften.

4. Beskyttelse av fjernarbeidere

Med stadig flere ansatte som arbeider utenfor kontoret, har endepunktsikring blitt enda viktigere. Det beskytter enheter uavhengig av hvor arbeidsplassen er, og sikrer at data forblir sikre selv under fjernarbeid.

5. Opprettholde omdømme

Ett datainnbrudd kan ødelegge småbedrifters omdømme. Endepunktsikring hjelper virksomheter med å beskytte sin merkevare og sitt omdømme og bygge kundenes tillit.

6. Regulerende krav

Sist, men ikke minst, er det regulatoriske krav til sikring av data. De vil variere fra bransje til bransje, men i mange tilfeller vil god endepunktsikring være en avgjørende faktor for å oppfylle disse kravene.

Vil du utforske dette videre? Les endepunktsikring.

Bærbar PC, mobil og ruter ved siden av en sjekkliste for utstyr.

Utstyrsoversikt for småbedrifter: Hva bør være med?

Skrevet av Svein tore den . Publisert i Datahjelp, Guider. Ingen kommentarer til Utstyrsoversikt for småbedrifter: Hva bør være med?

Hvor mange PC-er, mobiler og nettverksenheter er i bruk i bedriften akkurat nå? Hvem har dem, og hvilke skal byttes neste gang? Hvis svarene finnes i forskjellige innkjøpskvitteringer, e-poster og hukommelsen til én person, blir selv en enkel feilretting unødvendig tung.

En utstyrsoversikt trenger ikke begynne som et stort system. Den må begynne med riktige spørsmål og én person som holder den oppdatert.

Hva skal oversikten brukes til?

En innkjøpsliste viser hva dere har betalt for. En nyttig utstyrsoversikt viser hva som faktisk er i bruk, hvem som har ansvar for det, og hva som må skje videre. NSM anbefaler å kartlegge enheter og programvare, inkludert forvaltede og ikke-forvaltede enheter, eierskap og produkter som ikke lenger støttes.

For en liten bedrift gir det særlig verdi i tre situasjoner: når en enhet svikter, når en ansatt slutter, og når utstyr nærmer seg slutten av levetiden. Oversikten gjør det mulig å handle på et konkret objekt i stedet for å lete etter «den gamle PC-en på lageret».

Start med ett register og få felter

Lag én rad per enhet. Dette er et praktisk startforslag, ikke en uttømmende sikkerhetsstandard:

  • Intern ID og type: En enkel etikett og om det er PC, mobil, skriver, ruter eller annet utstyr.
  • Modell og identifikasjon: Nok informasjon til å skille enheten fra like modeller. Serienummer kan ligge i den interne oversikten, men skal ikke publiseres.
  • Ansvarlig og plassering: Hvem bruker eller forvalter enheten, og hvor hører den hjemme? Registrer bare opplysninger dere faktisk trenger.
  • Driftsstatus: I bruk, reserve, til reparasjon, tapt eller tatt ut av drift.
  • Vedlikehold: Operativsystem, siste kontroll og om enheten fortsatt får sikkerhetsoppdateringer.
  • Neste handling: For eksempel vurder utskifting, fjern tilgang, slett data eller lever til forsvarlig avhending, med ansvarlig og frist.

Ikke legg passord, gjenopprettingskoder eller andre hemmeligheter i dette registeret. Poenget er å peke på hva som må følges opp, ikke å samle alle tilganger på ett sted.

En enkel kontrollrunde

Begynn med enhetene som brukes til e-post, fildeling og administrasjon. Sammenlign det dere finner fysisk, med det som finnes i innkjøp, administrasjonsverktøy og hos IT-leverandøren. Ta også med utstyr som er koblet til nettverket uten å være en vanlig PC: skrivere, aksesspunkter og rutere blir ofte glemt. Merk usikre opplysninger som «må kontrolleres» i stedet for å fylle hullene med gjetninger.

Deretter bør nye enheter få en rad når de tas i bruk, og raden bør oppdateres når utstyr bytter bruker, går til reparasjon eller tas ut av drift. En regel som bare gjelder ved årlig opptelling, gir raskt en gammel liste. Ved avslutning av et arbeidsforhold kan oversikten brukes sammen med sjekklisten for å stenge og overføre IT-tilganger. Når flere PC-er nærmer seg utskifting, hjelper den også med å planlegge PC-bytter før de blir hastesaker.

Avklar hvem som eier listen

Utpek én ansvarlig for at registeret er oppdatert, og avklar hvem som melder fra om endringer. Har dere en IT-leverandør, bør dere vite hvilke opplysninger leverandøren vedlikeholder, hva virksomheten selv skal eie, og hvordan dere får ut en lesbar oversikt ved behov. En serviceavtale kan være en ramme for slik oppfølging, men avtal konkret hva som inngår; ikke anta at en lisens eller en supporttelefon automatisk inkluderer inventararbeid.

Den første versjonen kan være enkel. Målet er ikke en perfekt liste på dag én, men at ingen enhet forsvinner ut av både oversikten og ansvaret.

To personer gjennomgår en anonym IT-driftsrapport ved et kontorbord.

Hva bør en IT-driftsrapport inneholde?

Skrevet av Svein tore den . Publisert i Serviceavtaler. Ingen kommentarer til Hva bør en IT-driftsrapport inneholde?

En månedsrapport fra IT-leverandøren skal ikke bare vise at overvåkingen har vært grønn. Den skal hjelpe bedriften å svare på tre spørsmål: Hva er kontrollert, hva er fortsatt uklart, og hvem gjør noe med avvikene?

For en liten virksomhet er det sjelden nyttig å motta et vedlegg fullt av tekniske logger. Samtidig er «alt ser bra ut» for lite til å styre risiko og kostnader. Her er en praktisk måte å be om en kort rapport som kan brukes i et faktisk møte.

Begynn med hva leverandøren faktisk har ansvar for

Første linje bør avgrense leveransen. Gjelder rapporten PC-er, e-post, nettverk, backup, nettside eller bare deler av dette? Hvilke systemer eies av andre leverandører eller av bedriften selv? Uten en slik avgrensning kan «ingen feil» bety at noen ikke har sett på området.

Be om en enkel oversikt over tjenester som er innenfor og utenfor avtalen. Det er særlig viktig når flere leverandører deler ansvar. NSM peker på at kontrakten bør regulere blant annet leveransekvalitet, rapportering, endringer og oppfølging av krav. Dette er et råd om styring, ikke en mal som passer likt for alle.

Vis avvik, ikke bare prosent og farger

En nyttig rapport viser hva som ikke er avklart: en enhet som ikke har rapportert inn, en mislykket sikkerhetskopi, en oppdatering som venter, eller en tilgang som må gjennomgås. Den bør skille mellom feil som er løst, feil med midlertidig tiltak og åpne avvik.

For hvert åpent punkt holder det ofte med fire felt: konsekvens for virksomheten, ansvarlig rolle, neste handling og frist. Da kan ledelsen ta stilling til risikoen uten å lese rålogger. En «grønn» samlet status bør aldri skjule en kritisk del som ikke er målt.

Skill backup-jobb fra gjenopprettingsevne

Rapporten bør vise hvilke viktige data som er omfattet av backup, om kjøringene har feilet og når en gjenoppretting sist ble testet. En vellykket backup-jobb er ikke det samme som en vellykket gjenoppretting. NSM anbefaler både sikkerhetskopiering og øvelse i gjenoppretting.

Be også om å få vite hva som ikke er dekket. Hvis en ny fildeling eller skytjeneste er tatt i bruk uten å være med i planen, er det en beslutning bedriften må ta, ikke en detalj som kan forsvinne i en teknisk fotnote. Vi har en egen gjennomgang av backup og gjenoppretting som kan brukes til å avklare spørsmålene.

Få fram endringer og beslutninger

En kort endringsdel bør forklare hva som er gjort siden forrige rapport: nye brukere med utvidet tilgang, vesentlige oppdateringer, endrede integrasjoner eller systemer som er tatt ut av drift. Ikke alle små endringer trenger en egen side. Det viktige er at bedriften ser endringer som påvirker ansvar, kostnad eller risiko.

Avslutt med en beslutningsliste. Skal en tilgang fjernes? Må bedriften velge hvor lenge en tjeneste skal beholdes? Trengs en gjenopprettingstest? Hvem godkjenner et tiltak? En rapport uten tydelig neste steg blir fort arkivert i stedet for brukt.

Be om et format dere faktisk kan følge opp

Start gjerne med én side: omfang, viktige avvik, backup og teststatus, endringer og beslutninger. Avtal hvor ofte rapporten trengs ut fra hvor avhengig bedriften er av IT-systemene. Be om mer detaljer bare når et avvik, en hendelse eller en større endring krever det.

En enkel bestilling til leverandøren kan være: «Vis hva dere har kontrollert denne perioden, hvilke viktige avvik som fortsatt er åpne, om backup og gjenoppretting er verifisert, og hvilke beslutninger dere trenger fra oss. Marker tydelig det dere ikke har ansvar for.» Den teksten tvinger fram et skille mellom dokumentert kontroll og antakelser, uten å kreve en stor rapportpakke.

Unngå å sende ut rå logger, passord, personopplysninger eller detaljerte sikkerhetsfunn til en bred mottakerliste. Ledelsen trenger et forståelig risikobilde; teknikerne kan beholde detaljene i en tilgangsstyrt arbeidsflate.

Har dere en IT-serviceavtale, er dette en konkret samtale å ta med leverandøren: Hvilken rapportering inngår, hvem leser den, og hva skjer med åpne punkter? En god driftsrapport er ikke en premie for å ha mange målepunkter. Den er et verktøy for å oppdage hull og ta beslutninger i tide.

Person kontrollerer domenestatus på en laptop ved siden av en sjekkliste.

Hvem kontrollerer bedriftens domene? Sjekk dette før leverandørbytte

Skrevet av Svein tore den . Publisert i Nettside. Ingen kommentarer til Hvem kontrollerer bedriftens domene? Sjekk dette før leverandørbytte

Et domene kan se ut som en liten linje på en faktura. Når nettside eller e-post skal flyttes, blir det plutselig viktig å vite hvem som står som abonnent, hvem som er domeneforhandler, og hvem som har tilgang til DNS. Det er tre forskjellige spørsmål.

For et norsk .no-domene kan dere gjøre en første kontroll selv. Målet er ikke å endre noe med én gang, men å finne ut hvem som kan godkjenne og gjennomføre endringen uten å forstyrre tjenestene som allerede virker.

1. Finn abonnenten og forhandleren

Start med Norids domeneoppslag. For .no-domener kan dere søke på domenet og se hvem som er abonnent og hvilken forhandler som håndterer abonnementet. Er virksomheten oppført slik dere forventer? Kjenner dere igjen forhandleren?

Abonnenten har rettighetene til domeneabonnementet. Forhandleren er mellomleddet som administrerer registreringen. En faktura fra et webbyrå er ikke alene bevis for hvem som står som abonnent. Hvis opplysningene ikke stemmer med det dere trodde, bør det avklares før dere bestiller flytting.

2. Finn ut hvem som kan gjøre endringer

Spør hvem i virksomheten som har tilgang til forhandlerkontoen og hvilken e-postadresse som er registrert for domeneabonnementet. Sjekk også hvem som administrerer DNS-sonen. Det kan være en annen aktør enn både forhandleren og leverandøren av nettsiden.

Ikke legg passord eller flyttekoder i et felles dokument. Dokumenter heller hvilken rolle som har tilgang, hvor tilgangen forvaltes, og hvem som kan godkjenne en endring. Test at riktig person faktisk kan logge inn før en tidskritisk flytting planlegges.

3. Kartlegg hva domenet brukes til

Et domene er ofte koblet til mer enn forsiden på nettstedet. E-post, underdomener, skytjenester og verifiseringer kan også være avhengige av DNS-oppsettet. Be den som drifter DNS om en oversikt over gjeldende poster og hva de brukes til. Gjør endringer ut fra en kontrollert plan, ikke ved å kopiere bare den posten som peker til nettsiden.

Dette er særlig viktig når ny og gammel leverandør deler ansvar i overgangsperioden. Avklar hvem som tar kopi av oppsettet, hvem som endrer det, og hvem som tester nettside og e-post etterpå. Vår praktiske erfaring er at venting på tilgang eller feil i en DNS-endring kan forsinke en ellers ferdig nettside.

4. Skill mellom forhandlerbytte og teknisk flytting

Å bytte domeneforhandler er ikke det samme som å flytte nettsiden eller e-posten. Norid beskriver at et .no-domene kan flyttes til en ny forhandler med flyttekode fra nåværende forhandler eller engangskode sendt til registrert e-postadresse. Les Norids framgangsmåte for forhandlerbytte før dere starter. Selve innholdet på nettsiden, e-postkontoene og DNS-konfigurasjonen må vurderes separat.

Dere trenger ikke nødvendigvis å bytte forhandler for å bytte web- eller IT-leverandør. Det riktige valget avhenger av hvem som skal ha ansvar etterpå. Avklar det før dere ber noen sette i gang.

En kort sjekkliste før dere bestiller flytting

  • Bekreft hvem som er abonnent og forhandler for .no-domenet.
  • Bekreft hvem som har tilgang til forhandlerkonto og DNS-administrasjon.
  • Kontroller at kontaktadressen for abonnementet er tilgjengelig.
  • Lag oversikt over nettside, e-post, underdomener og relevante DNS-poster.
  • Avtal hvem som gjør endringene, hvem som tester dem, og hvordan dere går tilbake hvis noe ikke virker.

Skal dere også bytte IT-partner, er domenet én del av overleveringen. Se sjekklisten vår for bytte av IT-leverandør for resten av tilgangene og ansvaret. Trenger dere hjelp til å kartlegge hva som må flyttes, kan dere ta kontakt før det gjøres endringer.

Bærbar PC, nettbrett og telefon ved siden av en sjekkliste for endepunktsikring

Hvordan velge riktig endepunktsikring for din bedrift

Skrevet av Svein tore den . Publisert i IT-sikkerhet.

Det er lett å sammenligne endepunktsikring som om valget bare handler om antivirusfunksjoner og pris per lisens. For en liten bedrift er det viktigere å vite hvilke enheter som faktisk blir beskyttet, om løsningen er riktig satt opp, og hvem som gjør noe når den varsler. Her er en praktisk måte å vurdere tilbudene på før dere bestemmer dere.

Avklar hva endepunktsikringen skal dekke

Et endepunkt er for eksempel en PC, en Mac eller en server som brukes mot bedriftens systemer. Ulike produkter og avtaler støtter ulike operativsystemer og funksjoner. Start derfor med en enkel oversikt over enhetene dere har, også bærbare maskiner utenfor kontoret. Be leverandøren vise hvilke av dem som inngår i tilbudet, og hvilke som eventuelt krever en annen lisens eller egen oppfølging.

Endepunktsikring kan bidra til å forebygge skadevare og oppdage mistenkelig aktivitet på enhetene. Enkelte løsninger kan også blokkere farlige lenker. Den erstatter likevel ikke oppdateringer, tilgangsstyring, backup eller opplæring. Og et DDoS-angrep mot nettstedet eller nettverket håndteres normalt med tiltak i nett- og tjenesteinfrastrukturen, ikke med antivirus på de ansattes PC-er. Cloudflare forklarer hva et DDoS-angrep rammer.

Spør etter oppsettet, ikke bare produktnavnet

En kjøpt lisens er ikke bevis for at hver enhet er registrert, at riktige funksjoner er aktivert, eller at noen følger med på varslene. I Microsofts dokumentasjon for innrullering av enheter skilles det mellom å få enhetene inn i løsningen og å konfigurere beskyttelse, deteksjon og andre funksjoner etterpå. Det er et nyttig skille uansett leverandør.

Be om konkrete svar på disse spørsmålene:

  • Hvilke enheter og operativsystemer blir inkludert, og hvordan ser dere at en enhet faller ut?
  • Hvilke funksjoner er aktivert i løsningen dere faktisk tilbyr, ikke bare i produktbrosjyren?
  • Hvem mottar varsler, når blir de vurdert, og hvem kan isolere eller undersøke en enhet ved behov?
  • Får dere en forståelig oversikt over dekning, avvik og utførte tiltak?
  • Hva skjer når en ansatt får ny PC, bytter rolle eller slutter?

Hvis to tilbud ikke svarer på de samme spørsmålene, er de heller ikke direkte sammenlignbare. Én leverandør kan selge en programvarelisens, mens en annen også følger opp alarmer og endringer. Be om å få dette skillet skriftlig før dere sammenligner totalprisen.

Gjør en liten test før full utrulling

Velg én ufarlig testenhet og kontroller at den vises i administrasjonsoversikten. Sjekk at ønskede sikkerhetsfunksjoner er aktive, og bruk leverandørens dokumenterte testmetode for å se om et testvarsel når frem til riktig person. Det er ikke nødvendig å bruke ekte skadevare for å kontrollere varslingskjeden. Noter også hvordan løsningen påvirker de programmene ansatte trenger i arbeidet.

Dette er en beslutningstest, ikke en penetrasjonstest: Kan dere se enheten, forstå tilstanden og få hjelp når noe må undersøkes? For mer om kontroll etter utrulling, les hvordan dere kontrollerer at endepunktsikringen virker. Vil dere se hvilke krav som bør stilles utover antivirus, har vi også en egen gjennomgang av fem krav til endepunktsikring.

Velg ansvar sammen med teknologi

Det beste valget er ikke nødvendigvis løsningen med flest funksjoner. Det er den løsningen virksomheten kan få på plass, følge opp og forstå ved en hendelse. Se Trønder Datas tilbud om endepunktsikring, eller ta kontakt for å avklare enhetsdekning, oppfølging og ansvar før dere velger.