De seneste dages cyberangreb mod danske virksomheder og institutioner har endnu en gang slået en streg under virkeligheden: IT-truslen er ikke en teoretisk risiko for de få, men et konstant grundvilkår for de mange.
Alligevel møder vi ofte den samme antagelse hos mindre og mellemstore virksomheder: “Hvorfor skulle nogen angribe os? Vi har intet af interesse for professionelle hackere.”
Men den tankegang bygger på en misforståelse af, hvordan moderne cyberkriminalitet fungerer.
Hackere leder efter sikkerhedshuller
Størstedelen af de angreb, der rammer SMV’er, er hverken målrettede eller personlige. De er automatiserede. Kriminelle netværk scanner automatisk tusindvis af IP-adresser og systemer igennem i minuttet på jagt efter kendte sårbarheder, svage adgangskoder eller usikrede indgange.
Med de hybride arbejdspladser er det sjældent virksomhedens centrale firewall på kontoret, der er udsat. Det er derimod de digitale bagdøre på medarbejdernes hjemmekontorer.
Når en medarbejder logger på firmanetværket fra et privat Wi-Fi, hvor routeren aldrig er blevet opdateret, eller hvor smart-enheder som overvågningskameraer og støvsugere kører på fabriksindstillinger, udvides virksomhedens angrebsflade markant. En kompromitteret enhed på hjemmenetværket kan i værste fald bruges som springbræt direkte ind til arbejdscomputeren, og derfra videre til virksomhedens fortrolige kundedata, mails og økonomisystemer.
3 strategiske fokuspunkter for SMV-ledelsen
IT-sikkerhed er ikke et spørgsmål om at købe et enkelt program og sætte flueben. Det handler om struktur og adfærd. Hvis I vil lukke de mest kritiske sårbarheder, er her tre områder, I bør forholde jer til i dag:
1. Slut med “implicit tillid” (Zero Trust)
Blot fordi en enhed er koblet på netværket – hvad enten det er fra kontoret eller spisebordet – bør den ikke have fri adgang til alt. Virksomhedens IT-arkitektur skal indrettes således, at adgang til følsomme data altid kræver bekræftelse af både brugerens identitet og enhedens sikkerhedstilstand.
2. Identitetssikring uden undtagelser
De fleste sikkerhedsbrud begynder med et stjålet login via phishing. To-faktor-godkendelse (MFA) skal være et ufravigeligt krav på samtlige konti i virksomheden – ikke kun for ledelsen eller IT-afdelingen. Suppleres det med betinget adgang (Conditional Access), blokerer I effektivt for logins fra uautoriserede enheder eller uvante geografiske placeringer.
3. Sikkerhed som forretningsbetingelse
Det er ikke kun hackerne, der stiller krav. Det gør jeres kunder også. Større virksomheder og offentlige instanser stiller i stigende grad skarpe krav til IT-sikkerheden i hele deres leverandørkæde. Kan I ikke dokumentere, hvordan I beskytter data – også på hjemmearbejdspladserne – risikerer I helt kontant at blive valgt fra ved næste udbud.
Få styr på hele kæden
Sikkerhed behøver ikke at være komplekst eller gøre hverdagen besværlig for medarbejderne (eller jer som ledelse). Det handler om at lukke de oplagte huller, opbygge sund drift og have en klar beredskabsplan, hvis uheldet er ude.
Har I fuldt overblik over virksomhedens sårbarheder, når medarbejderne arbejder udefra?
Tag fat i os for en uforpligtende gennemgang af jeres IT-infrastruktur og sikkerhedsniveau.