serieforlaget.dk

IT-sikkerhed kan virke som et område fyldt med tekniske begreber og bekymrende overskrifter. Derfor er det let at falde for enkle forklaringer: at antivirus løser alt, at små virksomheder ikke er interessante mål, eller at et stærkt kodeord er nok. I praksis handler sikkerhed om flere lag, klare vaner og et bevidst ansvar for adgang til data og systemer.

Myte: Små virksomheder behøver ikke prioritere sikkerhed

En udbredt antagelse er, at angreb kun rammer store organisationer med mange data og store budgetter. Men digitale angreb er ofte automatiserede. Angribere kan derfor forsøge at udnytte kendte svagheder, usikre adgangskoder eller falske e-mails på tværs af mange virksomheder uden først at vurdere deres størrelse.

Det afgørende er ikke kun, hvor stor en virksomhed er, men hvilke systemer den bruger, hvem der har adgang, og hvordan følsomme oplysninger håndteres. E-mails, kundedata, dokumenter, økonomiske oplysninger og kontoadgange kan alle have betydning for den daglige drift. Sikkerhed bør derfor ses som en del af den digitale hverdag frem for en opgave, der kun hører til i store virksomheder.

Myte: Et antivirusprogram er hele sikkerheden

Antivirus og andre beskyttelsesværktøjer kan være vigtige, men de udgør kun ét lag. Angreb kan eksempelvis ske gennem phishing, hvor en e-mail forsøger at få modtageren til at udlevere loginoplysninger eller åbne en skadelig fil. Et teknisk værktøj kan ikke altid afgøre, om en medarbejder frivilligt indtaster sine oplysninger på en falsk side.

Effektiv sikkerhed kombinerer tekniske foranstaltninger med gode arbejdsgange. Det kan blandt andet omfatte:

• opdaterede systemer og programmer,
• flerfaktorgodkendelse ved vigtige konti,
• begrænset adgang efter behov,
• opmærksomhed på mistænkelige henvendelser,
• klare procedurer ved hændelser.

Pointen er ikke, at medarbejdere skal være eksperter. De skal vide, hvilke tegn de bør reagere på, og hvem de skal kontakte, hvis noget virker forkert.

Myte: Stærke adgangskoder er nok

Et unikt og stærkt kodeord er stadig vigtigt, men det kan blive stjålet gennem falske login-sider, datalæk eller genbrug på andre tjenester. Derfor er flerfaktorgodkendelse en væsentlig ekstra barriere. Her kræver adgangen ikke kun en adgangskode, men også en anden godkendelse, eksempelvis via en app eller en fysisk sikkerhedsnøgle.

Det er også vigtigt at administrere adgang løbende. Medarbejdere skal som udgangspunkt kun have adgang til de systemer og data, der er nødvendige for deres arbejdsopgaver. Når roller ændrer sig, eller en medarbejder stopper, bør adgang til relevante konti gennemgås. Sikkerhed handler altså ikke kun om at lukke udefrakommende trusler ude, men også om at holde styr på legitim adgang.

Myte: Sikkerhed er kun et ansvar for IT-afdelingen

Tekniske løsninger er nødvendige, men mange hændelser begynder med en helt almindelig handling: et klik i en e-mail, en delt adgangskode eller en fil sendt til den forkerte modtager. Derfor er sikkerhed et fælles ansvar, hvor ledelse, medarbejdere og dem, der administrerer systemerne, har forskellige roller.

En brugbar sikkerhedskultur er ikke baseret på skyld. Den gør det let at stille spørgsmål og hurtigt rapportere tvivlsomme situationer. Hvis en medarbejder opdager en mistænkelig e-mail, er en hurtig reaktion ofte mere værdifuld end at forsøge at løse problemet alene.

Datafacility leverer IT-drift med fokus på sikkerhed til små og mellemstore virksomheder.

Myte: Data er sikre, når de ligger i skyen

Cloudtjenester kan have relevante sikkerhedsfunktioner, men sikkerheden afhænger fortsat af opsætning, adgangsrettigheder og brugernes vaner. Hvis en konto kompromitteres, kan data i skyen også blive tilgængelige for uvedkommende. Det samme gælder, hvis dokumenter deles for bredt, eller hvis lagring og adgang ikke gennemgås regelmæssigt.

Det er derfor nyttigt at afklare, hvilke data der behandles, hvem der har behov for adgang, og hvilket formål adgangen tjener. Deling bør ske bevidst, og adgange bør justeres, når behovet ændrer sig. Cloud er ikke det samme som fravær af ansvar; det ændrer blot måden, ansvaret håndteres på.

Myte: Sikkerhed er en engangsopgave

Trusler, programmer og arbejdsformer udvikler sig løbende. En løsning, der var passende ved en tidligere gennemgang, passer ikke nødvendigvis til nye brugere, ændrede systemer eller nye typer angreb. Sikkerhed skal derfor vedligeholdes gennem opdateringer, gennemgang af adgang, træning og justering af procedurer.

En god start er at stille enkle spørgsmål: Hvilke konti er mest kritiske? Hvem har adgang? Hvordan reagerer virksomheden ved mistanke om misbrug? Ved at gøre disse spørgsmål til en fast del af arbejdet bliver sikkerhed mere håndterbar og mindre afhængig af enkeltstående tiltag.

Kort sagt: Hvad er det vigtigste at huske?

IT-sikkerhed er ikke én funktion eller ét program. Det er et samspil mellem teknologi, adgangsstyring, opmærksomhed og løbende vedligeholdelse.

Skal alle medarbejdere kende tekniske detaljer?

Nej. De bør først og fremmest kunne genkende usædvanlige situationer, beskytte deres loginoplysninger og vide, hvor de skal henvende sig.

Hvornår bør sikkerheden gennemgås?

Ved ændringer i systemer, medarbejderroller eller arbejdsgange samt som en tilbagevendende del af virksomhedens digitale ansvar.