Mange småvirksomheder tror stadig, at hackere primært går efter de store. Det er en farlig misforståelse. Ifølge Styrelsen for Samfundssikkerheds analyse “Digital sikkerhed i danske SMV’er 2024” har 40 procent af danske SMV’er et digitalt sikkerhedsniveau, der ikke lever op til deres egen risikoprofil. Opportunistiske cyberkriminelle vælger bevidst de mindst beskyttede mål, og en lille virksomhed i Kalundborg er mindst ligeså attraktiv som et stort firma i København, hvis forsvaret er svagt. Denne artikel gennemgår de syv vigtigste tiltag inden for IT-sikkerhed virksomhed kan implementere, uanset om du har tre eller tredive ansatte.
Indholdsfortegnelse
- Hurtige pointer
- Hvorfor små virksomheder er et mål
- Tiltag 1: Multifaktorgodkendelse (MFA)
- Tiltag 2: Backup der faktisk virker
- Tiltag 3: Løbende softwareopdateringer
- Tiltag 4: Medarbejdertræning mod phishing
- Tiltag 5: Adgangsstyring og brugerprivilegier
- Tiltag 6: Firewall og netværkssikkerhed
- Tiltag 7: NIS2 og dokumenteret compliance
- Sammenligning af sikkerhedsstrategier
- Ofte stillede spørgsmål
- Referencer
Hurtige pointer
| Vigtig indsigt | Forklaring |
|---|---|
| 40% af SMV’er har utilstrækkeligt sikkerhedsniveau | Styrelsen for Samfundssikkerhed dokumenterer, at fire ud af ti danske SMV’er er særligt sårbare over for cyberangreb, fordi deres forsvar ikke matcher risikoprofilen. |
| MFA stopper langt de fleste kontoangreb | Multifaktorgodkendelse er det enkeltste tiltag med den største effekt. Selv hvis en adgangskode lækker, kan angriberen ikke komme ind uden den anden faktor. |
| Cloud er ikke backup | Filer i OneDrive eller Google Drive kan slettes eller krypteres af ransomware. En separat, isoleret backupkopi er nødvendig og er noget helt andet end synkronisering. |
| Phishing er indgangsporten i flertallet af brud | Omkring 60 procent af alle sikkerhedsbrud involverer et menneskeligt element. En klikket phishing-mail åbner døren for ransomware og datatyveri. |
| 15% af SMV’er udfører ikke basale tiltag | Ifølge samsik.dk gennemfører en ud af syv SMV’er ikke engang de to mest grundlæggende tiltag: softwareopdateringer og backup. |
| NIS2 berører flere virksomheder end forventet | Via kædeansvar kan NIS2-krav falde ned på leverandører og samarbejdspartnere, som ikke selv er direkte underlagt loven. Vær på forkant. |
| Størrelse påvirker sikkerhedsniveau direkte | Jo mindre virksomheden er, jo færre sikkerhedstiltag anvendes typisk. Det gør den lille virksomhed til et lavthængende mål for opportunistiske angreb. |
Hvorfor små virksomheder er et mål
Forestillingen om, at cyberkriminelle kun jager multinationale selskaber, er direkte forkert. Opportunistiske angreb fungerer som en fiskestang kastet ud i en sø: angriberen venter ikke på den største fisk, men på den, der bider hurtigst. En virksomhed med fem ansatte og et svagt password på sin router er en langt lettere gevinst end en stor bank med et dedikeret sikkerhedsteam.
Ransomware er den dominerende trussel mod SMV’er i dag. Når ransomware er inde i systemet, krypterer det filer og kræver løsepenge. Moderne varianter går målrettet efter virksomhedens backup først, netop fordi angriberne ved, at det er den eneste vej ud for den ramte virksomhed. Betaler man løsesummen, er der ingen garanti for, at data rent faktisk gendannes.
En anden hyppig trussel er CEO-fraud og falske fakturaer, hvor medarbejdere manipuleres til at overføre penge eller udlevere loginoplysninger. Kunstig intelligens gør disse angreb stadig mere overbevisende. En falsk e-mail fra “chefen” ser i dag professionel og personlig ud på en måde, der var umulig for bare få år siden.
Tiltag 1: Multifaktorgodkendelse (MFA)
MFA er det tiltag, der giver mest sikkerhed pr. investeret time. Princippet er enkelt: selv hvis en medarbejders adgangskode er lækket, kan en angriber ikke logge ind uden den anden faktor, typisk en kode på mobiltelefonen. Det er ikke en high-tech løsning, og det kræver ikke specialister at aktivere det på Microsoft 365, Google Workspace eller virksomhedens VPN.
Hvor skal MFA aktiveres først?
Start med de systemer, der giver adgang til mest data eller kritisk infrastruktur. E-mail er altid øverst på listen, fordi adgang til e-mail giver angriberen nøglen til at nulstille alle andre adgangskoder. Herefter kommer fjernadgang (VPN og Remote Desktop), regnskabssystemer og skystorage.
En klassisk fejl er at aktivere MFA på papiret, men give medarbejdere mulighed for at omgå det. Vær konsekvent. Hvis én konto ikke er beskyttet, er det den, angriberen finder.
Tip: Brug en autentificeringsapp som Microsoft Authenticator eller Google Authenticator frem for SMS-koder. SMS kan i sjældne tilfælde kapres via SIM-swapping, mens app-baseret MFA er markant sikrere.
Tiltag 2: Backup der faktisk virker
Det nytter ikke at have en backup, der aldrig er testet, eller som ransomware kan nå og kryptere. En solid backupstrategi følger 3-2-1-reglen: tre kopier af data, på to forskellige medier, hvoraf én kopi er offline eller udenfor angriberens rækkevidde.
Hvorfor cloud-synkronisering ikke er backup
Det er et udbredt problem, at virksomheder tror, de er sikrede, fordi alt ligger i OneDrive eller Dropbox. Synkronisering er ikke backup. Hvis en medarbejder sletter en kritisk fil, eller hvis ransomware krypterer den, synkroniseres ændringen direkte ud i skyen. Data er væk. En separat backup til en anden cloud-tjeneste eller en lokal enhed, der ikke er konstant forbundet til netværket, er nødvendig.
Tip: Test din backup mindst én gang i kvartalet. En backup, du ikke har gendannet fra, er blot en antagelse. Book et tidspunkt til en reel gendannelsestest, og dokumentér resultatet.
En backup er ikke en backup, før du har gendan skabt de mistede data fra den. Alt andet er bare en fil, du håber virker.
Tiltag 3: Løbende softwareopdateringer
Forældet software er en åben invitation. Cyberkriminelle scanner aktivt internettet for systemer, der kører kendte, upatchede sårbarheder. Det er automatiserede processer, der finder dit system, inden du overhovedet ved, sårbarheden eksisterer. At udskyde en opdatering i en uge kan være den uge, det går galt.
Automatiske opdateringer er den enkleste løsning for de fleste systemer. Windows Update, macOS Software Update og automatisk opdatering af antivirusprogrammer bør alle stå til automatisk. SaaS-løsninger som Microsoft 365 opdaterer sig selv, men software installeret direkte på computere kræver aktiv styring.
Glem ikke routere og netværksudstyr
Netværksudstyr som routere, switches og trådløse adgangspunkter glemmes ofte i opdateringsrutinen. De kører firmware, der ligesom al anden software kan have sårbarheder. En router med gammel firmware er et let indgangspunkt, der giver angriberen adgang til hele netværket bag den.
For virksomheder i Kalundborg-området, der kører med blandet udstyr fra forskellige epoker, er et periodisk gennemtjek af netværksudstyr en god investering. IT-Bilen tilbyder netop den form for gennemgang som en del af sine netværksløsninger og serviceaftaler.
Tiltag 4: Medarbejdertræning mod phishing
Tekniske tiltag alene løser ikke problemet, når den menneskelige faktor er den hyppigste indgang. Phishing er ikke længere kun dårligt stavede e-mails fra nigerianske prinser. AI-genererede angreb efterligner i dag toneleje, stilart og kontekst fra rigtige kolleger og samarbejdspartnere med skræmmende præcision.
Regelmæssig, simpel træning virker. Det handler ikke om et tre-timers kursus én gang om året, men om korte, hyppige genopfriskninger. Bed medarbejdere om at identificere to-tre konkrete kendetegn på phishing-mails: ukendt afsenderadresse bag et velkendt navn, presserende sprogbrug der kræver øjeblikkelig handling, og links der peger et andet sted end vist.
Simulerede phishing-angreb som læringsredskab
Mange IT-leverandører tilbyder simulerede phishing-kampagner, hvor der sendes falske phishing-mails til medarbejdere for at se, hvem der klikker. Dem der klikker, sendes automatisk til en kortlæringsside. Det er ikke for at skamme nogen, men for at gøre erfaringen konkret og huske den. Det er markant mere effektivt end passiv undervisning.
Tiltag 5: Adgangsstyring og brugerprivilegier
Princippet om mindste privilegium er enkelt: en medarbejder skal kun have adgang til de systemer og data, der er nødvendige for at udføre arbejdet. Ikke mere. En regnskabsmedarbejder behøver ikke administratorrettigheder til alle computere. En butiksansat behøver ikke adgang til kundesystemets fulde database.
I praksis ser mange småvirksomheder ud som følger: alle kører som lokale administratorer på deres egne maskiner, og alle har adgang til alle filer på fællesnetværket. Det er en katastrofe i venteposition. Hvis én konto kompromitteres, har angriberen adgang til alt.
Hvad gør du, når en medarbejder stopper?
Glemt offboarding er et undervurderet sikkerhedsproblem. En tidligere medarbejder, der stadig har aktive konti og adgangskoder, er et sikkerhedshul. Etabler en fast procedure: på en medarbejders sidste arbejdsdag deaktiveres alle konti, ændres delte passwords, og adgange tilbagekaldes systematisk. Det lyder banalt, men i en travl hverdag glemmes det hyppigt.
Tiltag 6: Firewall og netværkssikkerhed
En firewall er ikke en luksus for store virksomheder. Det er basaludstyr. Den blokerer uønsket trafik til og fra virksomhedens netværk og er det første lag i forsvaret. De fleste moderne routere til erhvervsbrug har en firewall integreret, men den skal være korrekt konfigureret, ikke blot tændt.
Et andet element, der ofte forsømmes, er adskillelse af netværk. Gæste-WiFi og forretningskritisk udstyr bør aldrig dele samme netværkssegment. Hvis en kunde eller besøgende tilslutter en inficeret enhed til gæste-WiFi’et, skal det ikke kunne nå virksomhedens interne systemer. Netværkssegmentering er en billig og effektiv sikkerhedsforanstaltning.
Fjernadgang kræver mere end en god adgangskode
Med mere fjernarbejde end nogensinde er sikker fjernadgang et centralt emne. Remote Desktop Protocol (RDP) direkte eksponeret mod internettet er en af de mest udnyttede angrebsvektorer. Brug altid VPN med MFA foran enhver form for fjernadgang, og luk RDP-porten for offentlig adgang.
Tiltag 7: NIS2 og dokumenteret compliance
NIS2-direktivet er trådt i kraft og stiller krav om, at virksomheder inden for kritiske sektorer implementerer passende tekniske og organisatoriske sikkerhedsforanstaltninger. Det, der gør NIS2 relevant for selv den lille virksomhed, er kædeansvaret: store virksomheder er forpligtede til at stille sikkerhedskrav til deres leverandører og samarbejdspartnere. Leverer du til en NIS2-omfattet kunde, kan kravene falde ned på dig.
Anbefalingerne under NIS2 er ikke fremmedartede. De inkluderer brug af MFA, regelmæssig backup, etablering af sikker e-mail- og webkommunikation og dokumenterede procedurer for hændelseshåndtering. Langt hen ad vejen er de tiltag, der alligevel bør være på plads.
Dokumentation er det, der typisk mangler. Det er ikke nok at have gjort tingene rigtigt; du skal også kunne vise det. En simpel, skriftlig IT-sikkerhedspolitik og en logbog over opdateringer og hændelser er et godt udgangspunkt. IT-Bilen hjælper virksomheder i Kalundborg-området med netop at omsætte disse krav til praksis via deres serviceaftaler og IT-sikkerhedsydelser.
Sammenligning af sikkerhedsstrategier
| Strategi | Hvad det dækker | Bedst egnet til |
|---|---|---|
| Reaktiv IT-sikkerhed (fejl-og-fix) | Man handler kun, når noget går galt. Ingen faste procedurer, opdateres sjældent, backup testes ikke. | Ingen virksomheder. Denne strategi er ikke en strategi, det er mangel på en. |
| Basal forebyggelse (MFA + backup + opdateringer) | De tre fundamentale lag er på plads. Reducerer risikoen for de mest almindelige angreb markant. | Virksomheder med 1-10 ansatte og begrænset IT-budget. Det er minimumsbarren alle bør passere. |
| Proaktiv sikkerhed med overvågning og compliance | MFA, backup, opdateringer, medarbejdertræning, netværkssegmentering, dokumentation og løbende overvågning kombineres. NIS2-klar dokumentation medfølger. | Virksomheder med 10-plus ansatte, dem der håndterer følsomme kundedata, og alle der leverer til NIS2-omfattede kunder. |
Valget er reelt ikke svært. Reaktiv IT-sikkerhed er kun en tilgang for den, der endnu ikke er blevet ramt. Erfaringen viser, at det at spare på basal forebyggelse er langt dyrere end prisen på et enkelt ransomware-angreb, der koster tabte arbejdsdage, IT-genopretning og i værste fald tabte kundedata og bøder.
Ofte stillede spørgsmål
Hvad er det første, en lille virksomhed bør gøre for at forbedre IT-sikkerheden?
Aktivér multifaktorgodkendelse på alle e-mailkonti og cloud-systemer. Det er det enkle tiltag, der stopper det største antal angreb med mindst mulig indsats. Derefter sørg for, at der er en fungerende og testet backup, der ikke kan rammes af ransomware.
Hvad koster det at blive ramt af ransomware?
Omkostningerne er aldrig kun løsesummen. Læg tabte arbejdsdage til, mens systemer er nede, udgifter til IT-genopretning, potentielle bøder ved datalæk og skade på kunderelationer oveni. For mange SMV’er er det et beløb, der truer selve forretningens overlevelse. Ingen ekspert kan angive et præcist gennemsnitstal, fordi det varierer enormt, men omkostningerne er konsekvent langt højere end forebyggelsesomkostningerne.
Er cybersikkerhed kun relevant for store virksomheder?
Nej. Styrelsen for Samfundssikkerhed dokumenterer, at 40 procent af danske SMV’er ikke har et sikkerhedsniveau, der svarer til deres risikoprofil. Opportunistiske angribere vælger aktivt de mindst beskyttede mål, og det er ofte de mindste virksomheder. Størrelse beskytter ikke. Et godt forsvar gør.
Hvad er NIS2, og gælder det for min virksomhed?
NIS2 er et EU-direktiv om net- og informationssikkerhed, der pålægger virksomheder i kritiske sektorer krav om sikkerhedsforanstaltninger og hændelsesrapportering. Det gælder måske ikke direkte for din virksomhed, men via kædeansvar kan dine kunder stille NIS2-lignende krav til dig som leverandør. Spørg dine vigtigste kunder, om de er NIS2-omfattede, og kom på forkant med dokumentationen.
Hvor ofte skal medarbejdere trænes i IT-sikkerhed?
Korte, hyppige sessioner virker bedre end lange, sjældne kurser. En kvartalsvis gennemgang på 15-20 minutter kombineret med lejlighedsvise simulerede phishing-tests giver markant bedre resultater end et årligt kursus. Trusselsbilledet ændrer sig hurtigt, særligt med AI-baserede angreb, og træning skal følge med.
Skal jeg have en professionel IT-partner, eller kan jeg klare det selv?
De basale tiltag som MFA, automatiske opdateringer og backup kan de fleste sætte op selv med lidt vejledning. Men netværkssikkerhed, korrekt konfiguration af firewall, NIS2-compliance og løbende overvågning kræver kompetencer, som de fleste SMV-ejere ikke har tid til at opbygge. En lokal IT-partner som IT-Bilen, der kender din virksomheds hverdag og kan komme ud fysisk i Kalundborg-området, er langt mere effektiv end generiske fjernsupport-løsninger fra store nationale udbydere.
Har du oplevet en konkret IT-sikkerhedshændelse i din virksomhed, eller er der et af de syv tiltag, du har svært ved at komme i gang med? Del gerne din erfaring eller dit spørgsmål i kommentarfeltet.
Referencer
- Styrelsen for Samfundssikkerhed: Analyse af digital sikkerhed i danske SMV’er 2024
- IT-Branchen: Nøgletal om cybersikkerhed i danske virksomheder
- Dansk SMV-cybersikkerhed drejebog: Syv trin til cyber-oprustning
- WTW: NIS2-direktivet og krav om øget IT-sikkerhed i virksomheder
- Cybersikkerhed i 2025: Trusler og anbefalinger til virksomheder
