8 tips til digital sikkerhet

1. Kartlegg digitale verdier og systemer

Før du gjør noe som helst mener vi det er viktig å kartlegge bedriftens mest verdifulle digitale verdier. Dette vil gi et godt utgangspunkt for hva som må prioriteres, og hvilke tiltak som bør innføres. Ting må stå i forhold – en bank trenger for eksempel ikke et hvelv rundt brosjyrene sine.

Spørsmål du bør stille deg er:

• Har vi viktige filer i OneDrive eller Dropbox?
• Hvilke system har vi personopplysninger i?
• Hva hadde skjedd med driften hvis disse dataene forsvant i dag?
• Hvor lenge hadde vi klart oss uten disse dataene?

Et viktig spørsmål er også «Har vi data/tjenester som anses som samfunnskritiske?». I tilfelle kan dette medføre større sikkerhetskrav og ansvar.

Det er også viktig å kartlegge hvilke systemer som er kritiske. Hvordan ville det påvirke driften hvis disse systemene ble utilgjengelige, og kan de potensielt utnyttes som inngangspunkter av angripere?

Husk også å være nøye med valget av leverandører. Hos Appex legger vi spesiell vekt på sikkerhet innen web- og systemutvikling og kan dokumentere våre tiltak på dette området.

3. Ha gode passord og to-faktorautentisering

Mange av oss benytter flere ulike tjenester i vår daglige bruk, og det kan oppleves som nesten umulig å holde styr på alle passordene. Dette er også grunnen til at mange til tider blir fristet til å bruke det samme, enkle passordet på flere tjenester.

En bedre løsning er å bruke et verktøy for å holde styr på kontoer og passord. To av de mest brukte er 1Password og LastPass. Disse verktøyene er kjent for å kunne generere og lagre passord for ulike tjenester, slik at du kun trenger å huske ett hovedpassord, i tillegg til å aktivere to-faktorautentisering. Dette gjør din daglige rutine både mer praktisk og sikrere.

I tillegg til sterke og unike passord er det viktig å aktivere to-faktorautentisering der det er tilgjengelig. To-faktorautentisering krever at du, i tillegg til passordet, også må oppgi en kode som du mottar via SMS eller gjennom en app på telefonen din. Med to-faktorautentisering aktivert, blir du bedre dersom et passord skulle komme på avveie.

Start med å kartlegge at alle brukerkontoer i bedriften er sikret med to-faktorautentisering. Deretter kan du vurdere å ta i bruk et passordbehandlingsverktøy.

I Appex bruker alle ansatte et verktøy for å administrere passord. Når vi utvikler løsninger for våre kunder, anbefaler vi de mest optimale alternativene for pålogging, slik at løsningen passer inn i et trygt og sikkert økosystem.

4. Personalrutiner og opplæring

Du kan innføre så mange sikkerhetstiltak du bare vil, men det viktigste vil alltid være kunnskapen til de ansatte.

Opplæring i sikkerhet og trusselhåndtering er derfor veldig viktig, slik at alle har kunnskap om nødvendige tiltak i deres daglige arbeid. Samtidig er det viktig at sikkerhetsprosedyrer ikke er for kompliserte, men enkle nok til at ansatte faktisk kan følge dem.

Det er også viktig å ha gode rutiner når ansatte starter og slutter. Ved nye ansettelser er det essensielt å sørge for riktig opplæring i bedriftens sikkerhetsrutiner og at det benyttes utstyr som oppfyller bedriftens sikkerhetskrav. Når et arbeidsforhold avsluttes, er det viktig å ha rutiner for å fjerne tilganger. Et nyttig tips er å dokumentere alle tilganger en ansatt skal ha slik at disse er enkle å følge opp.

Vurder også risikoen ved å tillate arbeid på ansattes private maskiner, hvis dette er aktuelt. Arbeidsgiver har sjelden kontroll på ansattes private telefoner og datamaskiner, og hvis man er logget inn på jobb-kontoer kan det utgjøre en risiko. En hacket privatkonto som er brukt på arbeidsmaskin kan også føre til dataangrep.

6. Endepunkt sikkerhet

Begrepet «endepunkt» definerer en enhet som er tilkoblet bedriftsnettverket, og det kan derfor inkludere alt fra telefoner og datamaskiner til servere som bedriften administrerer. Et viktig tiltak for å sikre disse enhetene er å ta i bruk noe som kalles for “Endpoint Detection and Response”-programvare, eller EDR.

Antivirus er et mer kjent begrep, og man kan godt si at EDR er som et mer avansert antivirus. Å sikre arbeidsenheter på denne måten gir betydelig bedre sikkerhet, da det kan stoppe de fleste angrep og hindre spredning av skadelig programvare.

EDR kan også kombineres med en såkalt SOC-tjeneste (Security Operations Center). Dette er en tjeneste med en alarmsentral som overvåker EDR-programvaren på ansattes enheter og kan iverksette tiltak og varsle bedriften ved hendelser.

SOC-tjenesten kan også overvåke installerte programmer på maskiner for å passe på at ingen har installert risikabel programvare og at programmene er oppdaterte. Mange virus går spesifikt etter utdatert programvare da de ofte har kjente sårbarheter.

Det finnes mange tilbydere av EDR og SOC, og vi anbefaler derfor å ta kontakt med en leverandør av IT-sikkerhet som kan rådgi og bistå på dette området.

8. Lag en beredskapsplan

Selv med ovenstående tiltak er det ikke mulig å sikre seg hundre prosent. Så hva gjør du dersom uhellet er ute? Du iverksetter planen. Det nytter ikke å lage en plan når det skjer, den må være tenkt ut på forhånd — og kanskje til og med trent på.

En slik plan bør beskrive hvilke aksjoner som skal gjøres ved en hendelse. Dette kan inkludere å kartlegge hvilke systemer som er påvirket, hvilke data som eventuelt er på avveie, samt varsle aktuelle som er påvirket og eventuelt Datatilsynet.

En plan bør også beskrive hvem som har ansvar for hva slik at alle har definerte roller når krisen er ute. Det bør for eksempel være helt klart hvem som skal uttale seg til kunder og media.