Indeholder illustrationer skabt med AI

Et enkelt klik på en falsk faktura kan give en uvedkommende adgang til virksomhedens mail, filer og kundedata. Derfor bør en it sikkerhedspolitik være en fast del af driften, også når virksomheden kun har få ansatte.

Det behøver ikke være et langt dokument fyldt med tekniske ord. En god politik beskriver, hvem der gør hvad, hvordan data beskyttes, og hvad medarbejderne skal gøre, hvis noget går galt. Her får I en praktisk måde at komme i gang på.

Hvorfor har små virksomheder brug for en it-sikkerhedspolitik?

Små virksomheder har ofte færre ressourcer til sikkerhed end større organisationer. Samtidig bruger de mange af de samme systemer: Microsoft 365, netbank, CRM, cloud-lagring, hjemmesider og trådløse netværk. En enkelt kompromitteret konto kan derfor påvirke hele virksomheden.

En it-sikkerhedspolitik gør sikkerhed til mere end en samling tekniske indstillinger. Den giver medarbejderne klare regler for adgangskoder, mails, udstyr, hjemmearbejde og håndtering af hændelser. Det gør det lettere at reagere hurtigt, når en bærbar computer bliver væk, eller en medarbejder opdager en mistænkelig mail.

Tal fra Danmarks Statistik viser, at mange små virksomheder allerede har taget de første skridt. I 2024 brugte 82 pct. systematisk opdatering af software, mens 80 pct. havde backup til en alternativ placering. Til gengæld brugte kun 55 pct. stærke adgangskoder, 36 pct. gennemførte risikoanalyser, og 34 pct. testede deres it-sikkerhed.

Det betyder, at mange virksomheder har tekniske løsninger, men mangler faste arbejdsgange. En skriftlig politik samler trådene og gør det tydeligt, hvad der skal ske hver dag, hver måned og efter en sikkerhedshændelse. Det passer også med den offentlige tilgang til informationssikkerhed, som er beskrevet i den nationale strategi for cyber- og informationssikkerhed.

Hvad skal en it sikkerhedspolitik indeholde?

En lille virksomhed kan ofte klare sig med et dokument på to til fire sider. Det vigtigste er, at teksten passer til jeres hverdag og ikke ender i en mappe, ingen åbner.

Som minimum bør politikken beskrive:

• Hvilke data og systemer virksomheden er afhængig af.
• Hvem der har adgang til de enkelte systemer.
• Krav til opdatering af computere, telefoner, programmer og netværksudstyr.
• Hvordan antivirus, firewall og andre sikkerhedsfunktioner vedligeholdes.
• Hvordan virksomheden tager backup, og hvem der kontrollerer den.
• Hvordan medarbejdere genkender phishing, falske fakturaer og andre mistænkelige henvendelser.
• Hvilke sikkerhedskrav virksomheden stiller til eksterne it-leverandører.

Start med et overblik over virksomhedens vigtigste værdier. Det kan være kundeaftaler, regnskab, medarbejderdata, produktionsfiler eller adgang til kundernes systemer. Skriv også ned, hvor data ligger, hvem der leverer systemerne, og hvad der sker, hvis de er utilgængelige i en dag.

Politikken skal have en navngiven ejer. Det kan være direktøren, en kontoransvarlig eller en medarbejder med teknisk ansvar. Hvis ingen ejer opgaven, bliver opdateringer, adgangskontrol og backup let glemt.

Beskriv også, hvornår politikken bliver gennemgået. En gang om året er et godt minimum, men den bør opdateres med det samme efter større ændringer, nye systemer eller en sikkerhedshændelse.

Beskyt adgang, computere og virksomhedens netværk

Adgangskoder skal være lange, unikke og opbevares i en godkendt password manager. Medarbejdere bør ikke genbruge den samme adgangskode til mail, netbank og andre tjenester. Multifaktorautentifikation skal aktiveres på alle systemer, der kan nås fra internettet.

Det gælder især Microsoft 365, fjernadgang, økonomisystemer, webshops og administrator-konti. En stjålet adgangskode er langt mindre værd for en angriber, når kontoen også kræver en kode fra en app eller en fysisk sikkerhedsnøgle.

I en it sikkerhedspolitik skal det stå, hvem der må oprette brugere, ændre rettigheder og installere programmer. Når en medarbejder stopper, skal adgangen lukkes samme dag. Gennemgå også eksisterende brugere, for gamle konti er en unødvendig risiko.

Computere skal have automatisk opdatering, skærmlås og krypteret harddisk, især hvis medarbejderne arbejder hjemme eller tager udstyret med på kundebesøg. Brugere bør ikke have administratorrettigheder til dagligt arbejde, medmindre der er en konkret grund.

Netværket fortjener samme opmærksomhed. Skift standardadgangskoden på routere og access points, opdatér firmwaren, og opret et separat gæstenetværk. Gæster, private telefoner og ukendt udstyr bør ikke have direkte adgang til virksomhedens interne filer eller printere.

Backup skal kunne gendannes efter et angreb

Backup er først nyttig, når virksomheden kan få data tilbage. En kopi på en ekstern harddisk, der står tilsluttet den samme computer, beskytter ikke godt nok mod ransomware, tyveri eller fysisk skade.

En backup, som angriberen kan slette med den samme brugerkonto, er ikke en sikker sidste udvej.

Gem sikkerhedskopier på en måde, der begrænser adgangen til dem. Det kan være en beskyttet cloud-løsning kombineret med en offline-kopi eller en kopi, der ikke hele tiden er forbundet med virksomhedens netværk. Husk også data, der ligger i skyen. Cloud-tjenester er ikke automatisk det samme som en separat backup.

Test gendannelse mindst et par gange om året. Vælg en konkret fil eller mappe, og kontrollér, om den kan genskabes. Ved større systemer bør I teste, hvor lang tid det tager at få driften tilbage.

Beredskabsplanen skal forklare, hvem der kontaktes, hvis mailen er hacket, systemerne er nede, eller data er blevet krypteret. Skriv også, hvordan medarbejdere skal kommunikere, hvis virksomhedens normale mail ikke virker. En papirudgave med telefonnumre kan være nyttig under et angreb.

Gør medarbejderne trygge ved at sige til

Teknologien kan ikke stoppe alle fejl. En medarbejder kan stadig klikke på en falsk betalingsanmodning eller sende et dokument til den forkerte modtager. Derfor skal medarbejderne vide, hvad de skal kigge efter, og hvem de skal kontakte.

Træn dem i at kontrollere afsenderadresser, links, betalingsændringer og uventede filer. En mail fra en kendt leverandør kan stadig være falsk, hvis kontoen er blevet overtaget. Ved tvivl skal medarbejderen ringe til den kendte kontaktperson på et telefonnummer, virksomheden allerede har.

Sikkerhedstræning bør ske mindst én gang om året og ved introduktion af nye medarbejdere. Hold den kort og konkret. Gennemgå et par eksempler fra jeres egen branche i stedet for at fylde medarbejderne med tekniske begreber.

Skriv tydeligt, at mistænkelige hændelser skal meldes hurtigt og uden frygt for straf. Tidlig information giver jer bedre mulighed for at lukke en konto, stoppe en betaling og begrænse skaden.

Sådan kommer I i gang på 30 dage

En it sikkerhedspolitik bliver lettere at skrive, når I deler arbejdet op i små opgaver. Brug den første måned på at få styr på det mest presserende.

1. Uge 1: Lav en liste over computere, telefoner, brugere, systemer, cloud-tjenester, netværksudstyr og leverandører. Markér de systemer, der stopper driften, hvis de bliver utilgængelige.
2. Uge 2: Aktivér multifaktorautentifikation, skift svage eller genbrugte adgangskoder, fjern gamle brugere, og kontrollér, at alle enheder får opdateringer.
3. Uge 3: Gennemgå backup, test gendannelse, og kontrollér det trådløse netværk. Sørg for et separat gæstenetværk, stærk kryptering og en opdateret router.
4. Uge 4: Skriv politikken færdig, udpeg en ansvarlig, og gennemgå teksten med medarbejderne. Afslut med en enkel øvelse, hvor I taler om, hvad I gør ved en hacket mailkonto eller et ransomware-angreb.

Gem dokumentationen samlet. Notér datoer for backup-test, opdateringer, træning og gennemgang af brugerrettigheder. Det gør det lettere at følge op og vise kunder eller samarbejdspartnere, at sikkerheden bliver håndteret.

Hvornår bør I få hjælp udefra?

Ekstern it-hjælp giver mening, hvis ingen i virksomheden har tid eller kompetencer til at overvåge backup, administrere Microsoft 365, sikre fjernadgang eller konfigurere netværket korrekt. Det gælder også, hvis Wi-Fi dækker ujævnt, routeren står med standardindstillinger, eller medarbejdere deler administratoradgang.

Bed leverandøren forklare, hvad der bliver overvåget, hvem der har adgang, og hvordan en hændelse håndteres. Aftalen bør også beskrive svartider, backup, dokumentation og afslutning af samarbejdet. I skal kunne få jeres egne data og adgangsoplysninger med videre.

Virksomheder med kundekrav eller særlige databehandlingsforpligtelser kan få brug for mere dokumentation. Her kan it sikkerhed og compliance hos IT-Bilen være relevant, hvis I ønsker hjælp til brugeradgang, enhedshåndtering, kryptering, opdateringskrav og netværkssikkerhed.

Konklusion

En sikkerhedspolitik behøver ikke begynde som et stort projekt. Start med de systemer, data og konti, der holder virksomheden kørende, og skriv klare regler for adgang, opdateringer, backup og hændelser.

Den vigtigste del er, at politikken bliver brugt i praksis. Når medarbejderne ved, hvad de skal gøre, og en ansvarlig følger op, bliver it sikkerhedspolitik til en fast arbejdsgang i stedet for et dokument, der samler støv.