Still forberedt i kampen mot datakriminelle

Uro og uforutsigbarhet farger verdensbildet akkurat nå. Krig og ustabilitet gir økt bekymring for sikkerheten, og da spesielt risikoen for omfattende cyberangrep. I årets risikorapport fra Nasjonal sikkerhetsmyndighet (NSM) er det tydelig at norsk sikkerhet har store hull, og et av de mest utsatte områdene er norske bedrifter. 

– Vi ser at innstillingen til trusselbildet har endret seg hos flere norske bedrifter. Flere selskaper bruker for eksempel støttende sikkerhetssystemer, som kan stoppe mulige angrep og oppdage dem før de skjer. Det er bra – men det er ikke nok. Vi må huske at flere ansatte ikke kjenner til trusselbildet, og heller ikke får bevisstgjøringen de trenger for å gjøre riktige valg. Det skyldes ofte mangel på oppfølging av arbeidsgiver, opplæring eller nedprioritering av dette i bedriften. Den menneskelige faktoren må prioriteres, forteller salgskonsulent Espen Andresen i SNORRE data.

Hvilke grep kan du ta for å jobbe med datasikkerheten?

NSM melder at antall alvorlige dataangrep mot norske myndigheter og bedrifter har tredoblet seg siden 2019. Norske bedrifter er altså fremdeles svært utsatt, og hackerne jobber aktivt for å finne sårbarheter de kan utnytte i et målrettet angrep. Så hvorfor blir ikke IT-sikkerhet prioritert i større grad?

– Først og fremst må bedriftsledelsen erkjenne at det finnes en trussel som utgjør et reelt problem. Gjør de ikke det, er det vanskelig å gjøre en god jobb som rådgiver. Man må forholde seg til realiteten. Først da kan man sette en konkret plan for å jobbe med cybersikkerheten, sier Espen. 

Han mener det er noen konkrete ting man kan gjøre for å bedre datasikkerheten: 

1. Få IT-ansvarlig eller din IT-partner til å gjøre en kartleggingsanalyse. Hvilke systemer har du, og hva er mest prekært å få på plass?
2. Gjennomføring av phishingtester kan avdekke om de ansatte vet hvordan et phishingforsøk ser ut. 
3. Vurder opplæringsverktøy som Cybr om kunnskapsnivået er for lavt i bedriften. 
4. Legg en plan for å håndtere og vedlikeholde IT-sikkerheten videre, kortsiktig og langsiktig. 
5. Vær forsiktig med å ha like passord og dele dette fritt. 
6. Hvis du laster ned gratis programvare: Velg varianter fra pålitelige aktører, og vær kritisk. 
7. Nettverkssegmentering kan være fornuftig. Da vil du sannsynligvis ikke bli satt helt ute av spill på alle flater dersom du blir utsatt for et angrep.
8. Ha en plan dersom du blir angrepet. Her kan din IT-partner hjelpe deg med kartleggingen – du må vite hvor du har back-up og hvordan du skal sikre dataene dine. 

Phishing og spearphishing har kommet for å bli 

En av de klart største angrepsflatene er e-post. Her er det først og fremst snakk om phishing og spearphishing – men hva betyr det egentlig? 

Phishing skjer gjerne gjennom falske e-poster som ser ut til å komme fra en aktør du stoler på, med mål om å "fiske" til seg viktig informasjon. Det kan være passord og brukernavn, personnummer og bankinformasjon. Her sendes e-posten til mange.

Spearphishing er også svindelforsøk som foregår over falske e-poster, men er mer målrettet. De er rettet mot en eller veldig få ofre, med innhold som er skreddersydd mottagerne. Det fremstår gjerne mer troverdig for den som får e-posten.

- Vi tror på å bevisstgjøre de ansatte, slik at de enkelt kan kjenne igjen et phishingforsøk ut fra noen gitte parametere. Et effektivt verktøy for å teste dette er phishingtester. Da setter vi opp en falsk e-post for å se hvor mange av de ansatte som lar seg lure, og på den måten får du en god oversikt over kunnskapsnivået i bedriften. Kvaliteten blir høyere også på falske e-poster, så her kan vi strekke oss ganske langt i en test. Det er en stor andel som blir lurt, sier Andresen. 

I etterkant bør man se på hvilke systemer man har for å styrke e-postsikkerheten, se på tiltak for å sikre e-postdomenet, samt vurdere opplæringstiltak hos de ansatte. 

Kom i gang med styrking av datasikkerheten

Det er ikke alltid så lett å vite hvor man skal starte, og i en ustabil hverdag kan det også være økonomisk vanskelig. Andresen har imidlertid en positiv beskjed til alle som lurer på hvordan man kan komme i gang: 

- Igjen handler det om å starte med de «angrepsflatene» som er mest utsatt. Start for eksempel med e-postsikkerhet, som er en voksende plattform for angrep. Her kan man enten kjøre opplæringskurs i regi av en IT-partner, eller lete opp gratisvideoer fra bransjeaktører. Videre er det viktig å se på løsninger som kan øke sikkerheten, og for e-post er ikke dette veldig kostnadsbelastende. Også her gjelder samme råd som ellers: Alt er bedre enn ingenting.

NSM har også noen klare råd for deg som er usikker:

1. Installer sikkerhetsoppdateringer så fort som mulig, og mest mulig automatisk.
2. Ikke tildel administratorrettigheter til sluttbrukere. 
3. Ikke tillat bruk av svake passord, og bruk multifaktorautorisering der det er mulig. 
4. Fas ut eldre IKT-produkter. 
5. Tillat kun programvare som er godkjent av virksomheten eller enhetsleverandøren.

På tide å vurdere nye tiltak for å øke datasikkerheten? Ta kontakt med oss via skjemaet under. Vi tar gjerne en prat med deg om dine behov, og har lang erfaring med oppsett av IT-løsninger for både store og små bedrifter.