Cybersikkerhed i SMV’er: Hvor sårbar er din virksomhed egentlig?

Cybersikkerhed i SMV’er er ikke længere et emne, man kan udskyde til “når der bliver tid til det”. Mindre og mellemstore virksomheder i Danmark rammes i stigende grad af angreb, der tidligere primært var rettet mod store koncerner, og mange ejerledere opdager først sårbarheden, når skaden allerede er sket. Spørgsmålet er derfor ikke om din virksomhed kan blive mål for et angreb, men hvor godt rustet du er til at opdage, stoppe og komme dig over det, når det sker.

Cybersikkerhed smv: Hvorfor mindre virksomheder er et oplagt mål

Der hersker en udbredt misforståelse om, at cyberkriminelle kun interesserer sig for store, kendte virksomheder med meget at tabe. Virkeligheden er den modsatte. Mindre virksomheder er ofte et mere attraktivt mål, fordi angriberne ved, at sikkerhedsniveauet typisk er lavere, mens de data og pengestrømme, der kan udnyttes, stadig er værdifulde nok til at gøre angrebet rentabelt.

Begrænsede ressourcer møder stigende trusselsbillede

De fleste SMV’er har hverken en dedikeret IT-sikkerhedsafdeling eller et budget, der matcher de trusler, de reelt står over for. IT-opgaverne varetages ofte af en enkelt medarbejder ved siden af andre ansvarsområder, eller de outsources delvist til en ekstern leverandør uden et klart mandat til at håndtere sikkerhed proaktivt. Det skaber et gab mellem det, virksomheden tror den er beskyttet imod, og det, den faktisk er eksponeret for.

Automatiserede angreb rammer bredt, ikke selektivt

Mange tror fejlagtigt, at man skal være “interessant nok” til at blive angrebet. I praksis er langt størstedelen af angrebene mod SMV’er automatiserede og rettet bredt mod tusindvis af virksomheder samtidig. Kriminelle scanner internettet for sårbare systemer, forældede serverversioner og ubeskyttede fjernadgange, og det betyder, at det ikke handler om, hvor “attraktiv” din virksomhed er, men om hvor let et mål den udgør.

Konsekvenserne rammer hårdere, når bufferen er mindre

Hvor en stor virksomhed ofte kan absorbere et par ugers nedetid eller et økonomisk tab uden at det er eksistenstruende, kan et enkelt alvorligt angreb lukke en mindre virksomhed helt ned. Ifølge Center for Cybersikkerhed er det netop kombinationen af lav modstandsdygtighed og høj sårbarhed, der gør danske SMV’er til et særligt udsat segment i det nuværende trusselsbillede.

De mest almindelige angreb mod danske SMV’er

For at kunne beskytte sig effektivt er det nødvendigt at kende de konkrete angrebstyper, der rammer mindre virksomheder i praksis. Nogle er tekniske, mens andre primært udnytter menneskelig tillid og travlhed.

Phishing og spear phishing

Phishing er fortsat den mest almindelige indgangsvinkel for angreb mod SMV’er. Det foregår typisk ved, at medarbejdere modtager e-mails, der udgiver sig for at komme fra en leverandør, bank eller kollega, og som forsøger at lokke dem til at klikke på et skadeligt link eller udlevere loginoplysninger. Spear phishing er en mere målrettet variant, hvor angriberen først har researchet virksomheden og skræddersyet beskeden, så den virker langt mere troværdig.

Ransomware

Ransomware krypterer virksomhedens filer og systemer, hvorefter de kriminelle kræver løsesum for at frigive dem igen. For en mindre virksomhed uden ordentlig backup kan et sådant angreb betyde flere ugers nedetid eller i værste fald, at data aldrig genskabes. Du kan læse mere om, hvordan truslen fungerer teknisk, på Wikipedia.

CEO-fraud og fakturasvindel

Ved CEO-fraud udgiver angriberen sig for at være en direktør eller leder og beder en medarbejder i økonomiafdelingen om at overføre penge hurtigt og diskret, ofte med henvisning til en presserende forretningsaftale. Fakturasvindel ligner, men fokuserer på at ændre betalingsoplysninger på legitime fakturaer, så pengene i stedet havner hos de kriminelle. Begge former udnytter organisatoriske svagheder snarere end tekniske, og de kan ofte stoppes med enkle procedurer for godkendelse af betalinger.

Svage adgangskoder og manglende to-faktor login

Mange angreb lykkes udelukkende, fordi en medarbejder genbruger en adgangskode på tværs af flere systemer, eller fordi virksomheden ikke har aktiveret to-faktor-godkendelse på kritiske systemer som mail, bogføring og cloud-lagring. Når én adgangskode lækkes fra en tredjepartstjeneste, kan den samme kombination ofte bruges til at bryde ind andre steder.

Usikre fjernadgange og forældet software

Virksomheder, der tillader fjernadgang til interne systemer uden tilstrækkelig beskyttelse, eller som kører forældede versioner af styresystemer og software uden sikkerhedsopdateringer, er særligt udsatte. Kendte sårbarheder i ældre software bliver ofte aktivt udnyttet af automatiserede angrebsværktøjer, længe efter at producenten har udsendt en rettelse.

Sådan vurderer du din nuværende sårbarhed

Før man kan prioritere indsatsen rigtigt, er det nødvendigt at få et realistisk billede af, hvor virksomheden står i dag. En sårbarhedsvurdering behøver ikke være en omfattende teknisk audit for at give værdi, men den skal dække de væsentligste områder systematisk.

Kortlæg hvad der skal beskyttes

Start med at lave en liste over virksomhedens mest kritiske systemer og data: kundedatabaser, regnskabssystemer, mailserver, backup og eventuelle produktionssystemer. Spørg dig selv, hvad der ville ske, hvis hvert enkelt element pludselig var utilgængeligt eller offentligt tilgængeligt i en time, en dag eller en uge. Det giver et klart billede af, hvor konsekvenserne vil ramme hårdest.

Tjek adgangsstyring og brugerrettigheder

Gennemgå, hvem der har adgang til hvad. Et almindeligt fund er, at medarbejdere har adgang til systemer og mapper, de reelt ikke har brug for i deres daglige arbejde, eller at tidligere ansatte stadig har aktive brugerkonti. Princippet om mindste privilegium, hvor man kun får adgang til det, man har brug for, reducerer skaden markant, hvis en konto bliver kompromitteret.

Vurder backup og genopretningsplan

Spørg konkret: har vi en backup, der ligger adskilt fra det øvrige netværk, og har vi reelt testet, at den kan genskabes? Mange virksomheder opdager først under et faktisk angreb, at deres backup enten var for gammel, delvist korrupt eller lige så krypteret som resten af systemet, fordi den var konstant forbundet til netværket.

Gennemgå medarbejdernes bevidsthedsniveau

Teknisk sikkerhed kan ikke stå alene. Lav en uformel test ved at se på, hvor godt medarbejderne genkender mistænkelige e-mails, og om de ved, hvem de skal kontakte, hvis de er i tvivl om en besked. Menneskelig adfærd er ofte den svageste eller stærkeste del af sikkerhedskæden, afhængigt af hvor meget opmærksomhed den har fået.

Brug en struktureret selvevaluering

Overvej at bruge en anerkendt ramme som grundlag for vurderingen, frem for at improvisere helt fra bunden. Det giver et mere systematisk overblik og gør det lettere at følge op over tid. Denne proces hænger i øvrigt tæt sammen med virksomhedens øvrige digitale modenhed, og hvis du er i tvivl om, hvor du bør sætte ind først på det digitale område generelt, kan du finde inspiration i artiklen Digital udvikling i virksomheden: Hvor skal du sætte ind først?, hvor prioritering af indsatsen behandles mere bredt.

Konkrete tiltag der løfter sikkerhedsniveauet uden stort budget

Den gode nyhed er, at de fleste af de mest effektive forbedringer ikke kræver store investeringer i ny teknologi. De kræver derimod klare rutiner, disciplin og en vis prioritering af tid.

Aktiver to-faktor-godkendelse overalt

Dette er formentlig det enkeltstående tiltag, der giver mest sikkerhed for mindst besvær. Ved at kræve en ekstra bekræftelse ud over adgangskoden, for eksempel via en app eller SMS, bliver det markant sværere for en angriber at misbruge en stjålet adgangskode. De fleste moderne systemer til mail, cloud-lagring og bogføring understøtter det allerede, det kræver blot, at funktionen bliver aktiveret og håndhævet.

Lav en reel, testet backup-strategi

Følg den anerkendte 3-2-1-regel: mindst tre kopier af data, på to forskellige typer medier, hvoraf mindst én kopi opbevares adskilt fra det daglige netværk. Test genopretningen med jævne mellemrum, så I ved med sikkerhed, at backuppen reelt virker, den dag I får brug for den.

Opdater software og systemer løbende

Sørg for, at styresystemer, browsere og centrale programmer opdateres automatisk, så kendte sikkerhedshuller lukkes hurtigt. Forældet software er en af de mest almindelige indgangsveje for automatiserede angreb, og det er samtidig et af de billigste problemer at løse.

Uddan medarbejderne jævnligt, ikke kun én gang

En enkelt kursusdag om cybersikkerhed har begrænset effekt, hvis den ikke følges op. Overvej korte, tilbagevendende øvelser, for eksempel simulerede phishing-tests, hvor medarbejdere trænes i at genkende mistænkelige e-mails i en tryg kontekst. Det skaber en vedvarende årvågenhed frem for en engangsviden, der falmer efter få måneder.

Indfør klare godkendelsesprocedurer for betalinger

Indfør faste procedurer for, hvordan betalinger og ændringer af bankoplysninger godkendes, gerne med et krav om bekræftelse via en anden kanal end den, forespørgslen kom fra. Det stopper langt de fleste forsøg på CEO-fraud og fakturasvindel, uanset hvor overbevisende beskeden ser ud.

Segmenter netværket

Hold kritiske systemer adskilt fra det øvrige netværk, så en kompromitteret enhed ikke automatisk giver adgang til alt andet. Det samme princip om adskillelse og kontrolleret vedligeholdelse gælder i øvrigt bredt i en virksomhed, uanset om det handler om digitale systemer eller fysisk udstyr. Ligesom med IT-infrastruktur kan manglende vedligeholdelse af fysisk udstyr få alvorlige konsekvenser, hvilket beskrives nærmere i Hvor ofte skal virksomhedens ekspeditionsudstyr egentlig vedligeholdes, og hvad risikerer du hvis du springer det over?

Dokumentér en simpel beredskabsplan

Skriv ned, hvem der skal kontaktes, og hvilke skridt der skal tages, hvis et angreb opdages. En simpel én-sides plan, som alle nøglemedarbejdere kender til, kan spare dyrebar tid i de kritiske første timer efter et angreb, hvor beslutninger ofte skal tages under pres.

Hvornår skal du hente ekstern hjælp ind

Selv med de bedste interne rutiner er der et punkt, hvor virksomhedens egne ressourcer ikke slår til, og hvor ekstern specialviden bliver nødvendig frem for et valgfrit ekstra lag af sikkerhed.

Når kompleksiteten overstiger den interne viden

Hvis virksomheden håndterer følsomme persondata, finansielle oplysninger eller er underlagt specifikke lovkrav, kan kompleksiteten i sikkerhedskravene hurtigt overstige, hvad en enkelt intern medarbejder realistisk kan holde styr på ved siden af andre opgaver. Her giver det mening at hente en ekstern rådgiver ind til at lave en grundig teknisk gennemgang, en såkaldt sikkerhedsaudit eller penetrationstest.

Efter et faktisk sikkerhedsbrud

Hvis virksomheden har været udsat for et angreb, er det afgørende at få professionel hjælp til både at lukke det akutte hul og til at undersøge, hvor dybt angriberen nåede ind i systemerne. Et angreb, der blot lukkes overfladisk uden en grundig gennemgang, kan efterlade bagdøre, som udnyttes igen senere. Virksomheder, der er underlagt databeskyttelsesreglerne, bør desuden være opmærksomme på anmeldelsespligten ved brud på persondatasikkerheden, som beskrives nærmere hos Datatilsynet.

Ved manglende tid til løbende overvågning

Mange SMV’er mangler ikke kun viden, men også tid til løbende at overvåge trusler, opdatere systemer og reagere på advarsler. Her kan en aftale med en ekstern IT-sikkerhedsleverandør om løbende overvågning og vedligeholdelse være mere realistisk end at forsøge at opbygge den kapacitet internt. Det svarer til den tankegang, mange virksomheder allerede anvender på andre tekniske områder, hvor løbende drift og kontrol af miljøet er afgørende, for eksempel når det kommer til at vælge det rette udstyr til at overvåge virksomhedens fysiske miljø, som beskrevet i Indeklimamåling i størrelse: Hvilken enhed skal din virksomhed vælge?

Når virksomheden vokser eller ændrer struktur

Ved vækst, fusion, flytning til nye systemer eller overgang til mere cloud-baseret drift opstår der typisk nye sårbarheder, som ikke var relevante tidligere. Det er et naturligt tidspunkt at få en ekstern gennemgang af sikkerhedsarkitekturen, inden de nye strukturer bliver for indgroede til let at ændre.

Ofte stillede spørgsmål

Hvor meget bør en mindre virksomhed bruge på cybersikkerhed?

Der findes ikke et fast beløb, der passer til alle, men mange rådgivere anbefaler, at en vis procentdel af det samlede IT-budget øremærkes sikkerhed. Vigtigere end det konkrete beløb er det, at indsatsen prioriteres systematisk ud fra en reel sårbarhedsvurdering, så ressourcerne bruges der, hvor risikoen er størst, frem for tilfældigt.

Er gratis antivirusprogrammer tilstrækkelige for en SMV?

Gratis antivirus kan give et vist grundlæggende niveau af beskyttelse, men dækker sjældent de behov, en virksomhed har for centraliseret overvågning, rapportering og beskyttelse på tværs af flere enheder. For en virksomhed med flere medarbejdere og kritiske systemer anbefales typisk en kommerciel løsning med central administration.

Hvor hurtigt skal man reagere, hvis man opdager et angreb?

Reaktionen bør ske omgående. Isoler de berørte systemer fra netværket for at begrænse skadens omfang, kontakt relevant IT-support eller ekstern hjælp, og dokumentér forløbet undervejs. Jo hurtigere reaktionen sker, desto mindre risiko er der for, at angrebet spreder sig yderligere eller forværres.

Kan et enkelt sikkerhedsangreb lukke en mindre virksomhed helt?

Ja, det kan det desværre. Kombinationen af tabt omsætning under nedetid, udgifter til genopretning, potentielle bøder ved brud på persondatareglerne og tab af kundernes tillid kan samlet set være så alvorlig, at en mindre virksomhed ikke kommer sig over det. Det understreger vigtigheden af forebyggelse frem for udelukkende at håndtere konsekvenserne bagefter.