7 spørgsmål, der kan afsløre, om der er styr på mere end bare antivirus og adgangskoder.
Mange virksomheder har efterhånden fået de grundlæggende sikkerhedstiltag på plads. Der er antivirus på computerne, medarbejderne bruger adgangskoder, og måske er multifaktorgodkendelse også taget i brug.
Men hvornår kan man egentlig sige, at der er godt styr på virksomhedens IT-sikkerhed?
IT-sikkerhed handler ikke kun om de tekniske løsninger. Det handler i lige så høj grad om at have overblik over virksomhedens systemer, data, medarbejdere og leverandører og om at vide, hvad man gør, hvis noget går galt.
Her er 7 spørgsmål, som kan give et fingerpeg om, hvor godt virksomheden egentlig er rustet.
1. Ved I, hvilke systemer og data virksomheden er afhængig af?
De fleste virksomheder bruger langt flere IT-systemer, end de måske lige tænker over. Økonomisystem, mailsystem, CRM, lønsystem, fildeling, cloudtjenester og forskellige online værktøjer er blevet en naturlig del af hverdagen.
Men har I et samlet overblik over, hvilke systemer virksomheden bruger og hvilke data der ligger hvor?
Det er svært at beskytte noget, man ikke ved, at man har.
Et godt sted at starte er derfor med en oversigt over virksomhedens vigtigste systemer og data. Det gør det også lettere at vurdere, hvad der vil ske, hvis et system bliver utilgængeligt eller kompromitteret.
2. Ved I, hvem der har adgang til jeres systemer og data?
Medarbejdere skifter job, får nye arbejdsopgaver og skifter nogle gange også rolle i virksomheden.
Det betyder, at adgange løbende skal følge med.
Gamle brugere, tidligere medarbejderes konti eller medarbejdere med flere rettigheder, end de egentlig har brug for, kan udgøre en unødvendig risiko.
Derfor er det en god idé jævnligt at gennemgå, hvem der har adgang til virksomhedens systemer og om de stadig har brug for de adgange, de har.
Det handler ikke om at gøre hverdagen besværlig. Det handler om at sikre, at de rigtige personer har adgang til de rigtige ting.
3. Ved I, hvad der sker, hvis et vigtigt system går ned?
Forstil jer, at virksomhedens mailsystem, økonomisystem eller filserver pludselig ikke virker.
Hvor længe kan virksomheden fungere uden systemet?
Og hvem ved, hvad der skal gøres?
Et IT-nedbrud behøver ikke skyldes et hackerangreb. En teknisk fejl, en fejl hos en leverandør eller et strømudfald kan også få store konsekvenser.
Derfor bør virksomheden vide, hvilke systemer der er mest kritiske, og hvordan man håndterer situationen, hvis de ikke er tilgængelige.
4. Har I en backup, som I faktisk kan genskabe fra?
Det er godt at have backup.
Men det vigtigste spørgsmål er egentlig ikke, om der er taget backup. Det er, om virksomheden kan få sine data tilbage, når der er brug for dem.
Backup bør derfor ikke bare sættes op og derefter glemmes.
Den bør kontrolleres og testes løbende, så virksomheden ved, at data rent faktisk kan genskabes.
For den dag, hvor backup bliver nødvendigt, er det lidt sent at opdage, at den ikke virkede.
5. Ved I, hvilke risici jeres leverandører kan medføre?
Virksomhedens IT-sikkerhed stopper ikke nødvendigvis ved virksomheden egen firewall.
Mange systemer og data håndteres af eksterne leverandører. Det kan f.eks. være en cloudløsning, IT-leverandør, lønsystem eller anden service, som virksomheden er afhængig af.
Derfor kan det også være relevant at se på, hvordan leverandørerne håndterer sikkerheden.
Har I overblik over, hvilke leverandører der er kritiske? Ved I, hvordan de beskytter jeres data? Og ved I, hvad der sker, hvis en vigtig leverandør bliver ramt af et sikkerhedsproblem?
En virksomhed kan have godt styr på sin egen IT-sikkerhed, men stadig være sårbar gennem en leverandør.
6. Har I en plan, hvis virksomheden bliver ramt af et cyberangreb?
Ingen virksomhed kan være 100 procent sikkerhed på aldrig at blive ramt.
Det afgørende er derfor så, hvordan virksomheden reagerer, hvis det sker.
Hvem skal kontaktes? Hvem træffer beslutninger? Hvilke systemer skal lukkes ned? Hvordan kommunikerer I med medarbejdere, kunder og samarbejdspartnere?
En plan, der ligger klar på forhånd, kan gøre en stor forskel, når situationen pludselig bliver alvorlig.
Det er langt lettere at tænke klart, når planen er lavet på en rolig dag, end når virksomheden allerede står midt i et angreb.
7. Får ledelsen løbende et reelt billede af virksomhedens IT-risici?
IT-sikkerhed er ikke kun et spørgsmål for IT-afdelingen eller den eksterne IT-leverandør.
Ledelsen har også brug for at vide, hvor virksomheden er sårbar, hvilke risici der er vigtigst, og om der er områder, hvor der bør handles.
Det betyder ikke, at ledelsen skal kunne konfigurere en firewall eller forstå alle tekniske detaljer.
Men ledelsen bør kunne svare på de overordnede spørgsmål:
Hvor er vores vigtigste IT-risici? Hvad gør vi for at håndtere dem? Og hvad sker der, hvis der går noget galt?
Hvis I ikke kan svare ja til alle 7
Hvis I måtte tænke lidt over nogle af spørgsmålene, er det ikke nødvendigvis et tegn på, at virksomhedens IT-sikkerhed er dårlig.
Det kan ganske enkelt være et tegn på, at der mangler overblik.
IT-sikkerhed er ikke noget, man bliver færdig med én gang for alle. Systemer ændrer sig, medarbejdere kommer til og fra, nye leverandører bliver taget i brug og trusselsbilledet udvikler sig hele tiden.
Derfor er det vigtigste ikke nødvendigvis at have den perfekte løsning fra starten. Det vigtigste er at vide, hvor virksomheden står, hvor de største risici er, og hvad der bør prioriteres.
IT-sikkerhed starter med overblik
Hos sure’it hjælper vi små og mellemstore virksomheder med at få overblik over deres IT-sikkerhed og identificere de områder, hvor der er behov for at styrke indsatsen.
Det kan blandt andet være gennem risikovurderinger, auditering og rådgivning om virksomheden sikkerhed og beredskab.
For når man ved, hvor man står, bliver det også lettere at finde ud af, hvor man skal hen.
Du kan også læse mere om hvordan sure’it kan hjælpe din virksomhed her: https://sureit.dk/services/it-sikkerhed-beredskab-og-auditering
Eller kontakt Per Ulrik Nielsen på tlf.: 42 80 60 20, på mail: sureit@sureit.dk eller via kontaktknappen herunder.
