Skydda ditt företag mot cyberattacker - En steg för steg-guide

Utvecklingen är obehaglig och skadeverkningar efter en attack är ofta långtgående och allvarliga. På många sätt, inte bara ekonomiskt. Företagsledningen behöver prioritera cyberhot som en av de största företagsriskerna idag. Hur skyddar du ditt företag från angrepp?

Inse cyberhotets allvar och konsekvenser

Tyvärr är det inte alla som förstår vad en cyberattack innebär eller vilken skada den kan orsaka. Många uppfattar cyberattacker som abstrakta hot som inte är relevanta för deras verksamhet, och prioriterar sällan säkerhetsinsatser förrän efter de drabbats.

Som ledare i din organisation är det viktigt att du förstår allvaret och konsekvenserna av cyberhot. Dina företagsdata och annan affärskritisk information kan stjälas och användas för att säljas till konkurrenter, för utpressning eller läcka till media eller andra forum. Informationen kan också krypteras, saboteras eller helt enkelt raderas. Följderna av en sådan attack kan vara långtgående och påverka allt från företagets rykte, kundrelationer och ekonomi, både på kort och lång sikt.

Förvandla medarbetare från sårbarhet till starkt försvar

Med digitaliseringens framfart ökar även sårbarheten. Alla organisationer, stora som små, är i riskzonen och det är dags att rusta sig. Involvera dina medarbetare i verksamhetens säkerhetsarbete. Säkerheten bör vara en prioritet för alla anställda som har tillgång till känsliga uppgifter.

Ställ dig frågan om inte när

Hur ska företaget tänka? Är det möjligt att helt undvika attacker? Svaret är nej, men genom ett proaktivt förhållningssätt kan man minska risken för att bli utsatt avsevärt.

Ta hotet på allvar och vidta nödvändiga åtgärder för att skydda ditt företag. Det kan vara att investera i säkerhetslösningar, genomföra regelbundna säkerhetstester och utbilda de anställda för att öka medvetenheten om cyberhot.

Det är viktigt att se till att ditt företag har en plan för att hantera en potentiell attack, så att du kan reagera snabbt och effektivt om det skulle hända. Planera inte för om, utan när du kommer att bli utsatt, så att du har rätt inställning när du väl står inför ett hot.

15 råd för ökad cybersäkerhet:

Ett säkerhetstänkande behöver ständigt förnyas och uppdateras. Detta kräver en tydlig säkerhetsstrategi, samförstånd och samarbete.

Följande steg-för-steg-guide belyser viktiga strategier och proaktiva åtgärder som du kan använda dig av för att skapa rätt förutsättningar för att skydda ditt företag.

1 - Ta fram policy och riktlinjer för att samordna säkerhetsarbetet

Börja säkerhetsarbetet med en säkerhetsanalys av din nuvarande IT-miljö. Ta gärna hjälp av en extern oberoende granskning. Med hjälp av en sådan bedömning kan ni som företagsledning identifiera de föreliggande riskerna och på lämpligt sätt prioritera tydliga mål och strategier med relevanta åtgärder. 

Optimera och förmedla en uttalad tydlig linje

En säkerhetspolicy bör ta upp alla relevanta aspekter av informationssäkerhet och vara tydlig och lätt att följa. Nyckeln till att skapa en policy som är effektiv är att fråga sig själv: Vad är syftet med de olika delarna av vår säkerhetspolicy? Se till att förklara kortfattat vad avsikten är: är det för att förhindra dataintrång eller för att skydda känsliga uppgifter? Visa med konkreta exempel vad som inte är acceptabelt.

Se till att hålla din säkerhetspolicy uppdaterad och glöm inte att promota den inom företaget. Det är betydelsefullt att alla i organisationen tar den till sig, från VD ner till den nyanställda. Vad är det för nytta med en IT-policy om ingen känner till den?

2 - Utbilda och uppdatera personalen om IT-säkerhet

Genomför regelbundna informationsinsatser i din organisation för att öka förståelsen och förbättra disciplinen kring datahantering. Skapa en kultur av engagerade medarbetare som har förståelse för hur säkerhetsincidenter uppstår och hur man förhindrar skadeverkningar på affärsverksamheten.

Det finns starka indikationer på att anställda kommer att vara den främsta källan till cyberhot under de kommande åren. Cyberbrottslingar utnyttjar inte bara brister i tekniken utan även människors sårbarhet. De får oss att öppna falska e-postmeddelanden, klicka på länkar och ladda ner bilagor som sprider virus i hela organisationen. De finns där när vi förlorar arbetsdatorer, surfplattor, mobiler eller när vi slarvar med våra inloggningsuppgifter.  Korta, enkla och återkommande utbildningar. På så vis kan du bidra till att höja förståelsen för IT-säkerhet och stärka en svag länk i din säkerhetskedja.

3 - En säker e-post och webbläsare skyddar dig mot phishing- och malware-attacker

Attacker är effektivare när de bygger på mänsklig interaktion. Därför använder sig kriminella oftast av social engineering för att lyckas med sitt nätfiske (phishing) och virius (malware)-angrepp. Cyberkriminella lurar eller manipulera väldigt framgångsrikt oskyldiga användare till att lämna ut känslig information eller hjälpa dem att obehörigt ta sig in i organisationens IT-miljö. Det kanske inte verkar som om just ditt företag är ett större lockbete för cyberbrottslingar, men faktum är att dina kundfiler och data är mycket eftertraktade. Den här typen av uppgifter säljs och handlas med framgång på internets skuggsida, och är därför ett åtråvärt byte.

Verksamheter, oavsett hur stora eller små de är, är exponerade för nätfiske och malware, men det finns några saker du kan göra för att minimera det. Du kan skydda dig mot sådana attacker genom att använda en säker e-post och webbläsare.

DMARC, DKIM och SPF

DMARC, DKIM och SPF är exempel på tekniker som är centrala för att skydda e-post mot nätfiske och andra former av e-postbedrägerier. SPF (Sender Policy Framework) gör det möjligt för en e-postmottagare att säkerställa att det inkommande e-postmeddelandet verkligen kommer från en giltig avsändare. DKIM (DomainKeys Identified Mail) använder digitala signaturer för att kontrollera att innehållet i ett e-postmeddelande inte har manipulerats under överföringen.

DMARC (Domain-based Message Authentication, Reporting and Conformance) är en kombination av SPF och DKIM och gör det möjligt för avsändarna att bestämma hur mottagarna ska förhålla sig till e-postmeddelanden som inte uppfyller kraven för autentisering.

Det finns en mängd olika programvaror på marknaden som kan hjälpa till att identifiera och stävja phishing- och malware-attacker, Konsultera din IT-leverantör om råd om vad som är bäst för ditt företag.

Faktaruta: Social Engeneering

Social engeneering är en teknik där hackare använder manipulation för att få tillgång till information som de vill ha. Den spelar på mänskligt beteende och utnyttjar mänskliga svagheter och misstag. Det kallas ibland för "human hacking", vilket innebär att man hackar människor istället för tekniken.

4 - Håll operativsystem, programvara och säkerhetstjänster uppdaterade

Vänta aldrig med att installera en rekommenderad uppdatering. Det räcker inte att ha brandväggar och antivirusprogram på plats. Du behöver hålla alla delar av din IT-miljö kontinuerligt uppdaterad, från programvara till operativsystem och nätverkskomponenter.

Uppdateringar förser dig med ny funktionalitet, men innehåller också värdefulla åtgärder mot nyupptäckta typer av hot och säkerhetsbrister.  Genom att installera den senaste versionen av din programvara och säkerhetspatchar för operativsystemet kan du eliminera eller åtminstone minska risken för att bli offer för cyberattacker.

5 - Använd starka lösenord och multifaktorautentisering

Tillämpa strikta lösenordsprinciper och undvik enkla och bekväma lösenord som kan vara lätta för hackare att lista ut. Använd istället en blandning av stora och små bokstäver, siffror och symboler.

Multifaktorsautensiering ger ett starkt skydd

Se helst till att även införa multifaktorautentisering, där identiteten måste verifieras med mer än en identifieringsmetod.  Om förövaren har fått tillgång till ditt användarnamn och lösenord är det är inte möjligt att logga in i tjänsten utan ytterligare verifiering, vilket försvårar intrång väsentligt. Inga metoder är helt vattentäta, men flerstegsautentisering ger dig ett starkt skydd för åtkomsten till verksamhetens applikationer och andra resurser. En vanlig metod för multifaktorautentisering är engångskoder på en smartphone eller hårdvarunycklar som Yubikey från Yubico.

Avvakta med biometriska inloggningsmetoder

Du har säkert uppmärksammat att även biometriska lösningar är på frammarsch. Inloggning med hjälp av fingeravtryck, ansiktsigenkänning och röstigenkänning blir allt vanligare. Dock är tekniken än så länge långtifrån felfri och kompliceras av den etiska frågan där biometriska uppgifter för att entydigt identifiera den anställda klassas som känsliga personuppgifter enligt dataskyddsförordningen och ses som ett stort intrång i den anställdes integritet.

6 - Säkerställ antivirusprogram och brandväggar

Om du inte redan har gjort så, satsa på en kombination av både antivirus och brandvägg. Var för sig ger varken antivirusprogram eller brandvägg ett hundraprocentigt skydd, med tillsammans utgör de en bra grund.

Målet med ett antivirusprogram är att upptäcka, isolera och ta bort skadlig kod som redan finns i ditt system. Välj antivirusprogram som inte bara skyddar mot virus, spionprogram, utpressningstrojaner och nätfiske, utan även kan radera och återställa dina enheter till det skick de hade innan de infekterades.

En utbredd missuppfattning är att även en brandvägg skyddar mot virus och skadlig kod. Brandväggen gör inte det; dess uppgift är istället att stoppa obehörig trafik. Det kan handla om att någon försöker kontrollera din dator på distans, hämta uppgifter ur den eller plantera skadlig kod på den.

Kom ihåg att hålla ditt antivirusprogram och dina brandväggar uppdaterade för att bibehålla skydd.

7 - Skydda känslig information med hjälp av kryptering

Kryptera. Du har säkert hört talas om termen. I dag används kryptering som en självklarhet av olika onlinetjänster och webbplatser, programvaror och smarttelefoner. Kryptering har en central roll i datasäkerheten och är det enklaste och främsta verktyget för att säkerställa att informationen i en dator inte kan stjälas och läsas av någon som vill använda den i uppsåtliga syften.

Kryptering för att skydda data på alla enheter

Använd kryptering för att ge skydd för data på alla enheter, även under överföringen.  De flesta av oss använder flera enheter i det dagliga arbetet, inklusive mobiltelefoner, bärbara datorer och externa hårddiskar. Tänk på att det kan vara riskfyllt att föra över data från en enhet till en annan. Säkerställ att dina plattformar, både fysiska och molnbaserade, erbjuder möjligheten att kryptera allt innehåll.

Kryptera e-post och nättrafik

Kryptera även organisationens aktivitet på nätet och e-postkommunikation. Du kan välja att kryptera antingen filerna eller trafiken för att låsa data och endast ge tillgång till dig själv och en potentiell mottagare. Ingen se vad du gör eller vad du surfar på och du kan både lagra eller skicka filerna utan att oroa dig för att någon ska komma åt dem. E-post utan kryptering vilket är det normala förfarandet kan jämföras med att man skickar vykort.

8 - Begränsa tillgången till nätverket

Ta kontroll över vem som får tillgång till ditt nätverk, begränsar åtkomsten och tillåt endast auktoriserade användare att nyttja det. Du kan använda dig av multifaktorautentisering och starka lösenord, men också av brandväggar för att blockera obehörig trafik och förhindra attacker från externa källor.

Segmentera nätverket för ökad säkerhet

Det är klokt att begränsa attackytan genom att även segmentera ditt nätverk. Låt varje segment ha sina egna säkerhetsåtgärder och behöriga användare. Se till att ha seprata nätverk för dina anställda och besökare (gästnätverk). Detta minskar risken för att attacker sprids från en del av nätverket till en annat, minimerar skadorna och begränsar spridningen av eventuella virus.

Kryptera trådlösa nätverk

Var särskilt uppmärksam på dina trådlösa nätverk, en svag länk i säkerhetskedjan om du inte skyddar dem tillräckligt. Se till att dina trådlösa nätverk är krypterade enligt WPA-standarden, använd starka lösenord eller multifaktorsautentisering och begränsa åtkomsten till endast godkända användare och enheter.

Säkra ditt trådbundna nätverk 

Även om trådbundna nätverk vanligtvis anses vara säkrare än trådlösa, finns det fortfarande potentiella säkerhetsrisker som kan skada ditt företag. Det är viktigt att se till att alla enheter som ansluter till nätverket har uppdaterad säkerhetsprogramvara, antivirusprogramvara och brandväggar.

Missa inte nätverksuttagen. Det är inte ovanligt att det finns fungerande nätverksuttag på platser där även andra än dina anställda har åtkomst till nätverket, t.ex. i konferensrum eller receptioner. För att skydda ditt företag bör du begränsa åtkomsten till det fysiska nätverket för externa parter som inte har behörighet att ansluta sig till det. Om man inte har en godkänd företagsdator ska man med automatik hamna på gästnätverket även om man fysiskt koppar in sig på det interna företagsnätet.

9 - Glöm inte företagets skrivare

I dag finns det mängder av  IoT-enheter (Internet of Things) som ansluter till nätverk och som kan användas av hackare. Datorer, telefoner och surfplattor är inte de enda angreppspunkterna på ett företags nätverk.

Tänk på att även säkra dina skrivare genom att kontinuerligt uppdatera deras konfigurationer och firmware (mjukvara). Se även till att skrivarna har starka lösenord och att endast auktoriserad personal har tillgång till dem.

Multifunktionsskrivare som är uppkopplade på nätverket fungerar idag alltmer som en dator. Trots detta är de oftast helt bortglömda ur ett säkerhetsperspektiv. En oskyddad skrivare kan ge obehöriga möjligheten att komma åt känslig information som skrivs ut, eller erbjuder en öppning för att sprida vidare skadlig kod.

10 - Övervaka nätverkstrafik och håll koll hotbilden

Se till att ha koll på din nätverksprestanda. Inrätta rutiner för att övervaka nätverkstrafiken som ger dig möjlighet att lättare upptäcka avvikelser och misstänkta aktiviteter som kan tyda på att din organisation är måltavla för en attack.

Ta för vana att hålla dig uppdaterad om den aktuella hotbilden. Genom att ha senaste informationen om vilka nya metoder och tekniker som används för att komma åt känslig data, kan du effektivt skydda din organisation.

11 - Begränsa åtkomst till känslig data

Definiera och begränsa tillgången till känslig information. Låt bara godkända användare och enheter inom företaget få möjlighet att nyttja den. Om du har en tydlig rutin för behörighetsstyrning, kan du begränsa åtkomst till de personer som verkligen behöver den.

Värdera organisationens informationstillgångar utifrån de interna och externa krav på konfidentialitet, riktighet och tillgänglighet som finns. Se över vem som har tillgång till vad. Introducera behörighetstilldelning och åtkomstkontroller. Den enda känsliga information som en medarbetare bör ha tillgång till är den som han eller hon är i behov av för att kunna utföra sina arbetsuppgifter. Var extra försiktig med din kunddata och persondata - inte alla i din organisation behöver ha access till dem. Ju mindre antal anställda som behöver tillgång, desto lägre är sannolikheten att angripare upptäcker en säkerhetslucka och stjäl dina data.

Tillgänglighet vs. säkerhet

Utmaningen att kunna balansera mellan tillgänglighet och säkerhet har nog aldrig upplevts som större, i synnerhet som företag och organisationer hanterar mer och mer känslig information som måste skyddas från obehörig åtkomst. I samma takt som samverkan med externa partners ökar och användningen av molntjänster växer, flyttar också företag alltmer ut ur sina interna nätverk. Det gör det ännu viktigare att begränsa åtkomsten till konfidentiella eller kritiska data.

12 - Regelbunden backup av affärskritisk data är den bästa försäkringen

Som en följd av det stigande antal cyberattacker av typen ransomware, har även behovet av externa backup-lösningar för verksamhetskritiska data vuxit. När trojaner infiltrerar dina system, låser din information och kräver lösen för att företaget inte ska förlora värdefull data, är det ovärderligt att ha oskadade säkerhetskopior på plats för att kunna återskapa data. En systematisk backup-strategi är den effektivaste försäkringen mot omfattande driftstopp, dataförluster och krav på lösensummor.

Eftersom hotet från just ransomware och utpressningstrojaner har intensifierats, har även vikten av att upprätthålla minst EN off-line kopia ökat för att skapa ytterligare redundans i backup-processen. För att säkerställa bra rutiner kring din backup är 3-2-1 regeln en beprövad och pålitlig metod för att skapa just redundans. Den är en extra garanti - när en backup misslyckas finns det alltid andra backuper tillgängliga. Enligt 3-2-1-regeln ska du alltid spara minst tre kopior av dina data, varav två ska lagras på olika typer av lagringsmedia för att upprätthålla redundans och minst en säkerhetskopia ska ligga externt eller i molnet.

13 - Gör regelbundna säkerhetskontroller och test av sårbarheter

Upptäck potentiella säkerhetsproblem i ett tidigt skede, innan inkräktarna gör det. Med regelbundna säkerhetskontroller och sårbarhetstester kan du utvärdera din säkerhetsstrategi, identifiera svagheter i dina system och åtgärda dem i tid.

Utför auktoriserade och simulerade cyberattacker, penetrationstest, för att sätta din säkerhet på prov. Ett penetrationstest utförs av etiska hackare som iscensätter en attack mot dina datasystem och nätverk för att identifiera säkerhetsluckor eller svagheter. Etiska hackare använder samma tekniker och verktyg som oseriösa hackare, men rapporterar sårbarheterna de finner vidare till dig. Utkomsten av ett penetrationstest är ett användbart underlag för att justera och aktualisera din säkerhetspolicy, åtgärda säkerhetsbrister och stärka ditt företags säkerhetsprofil.

Faktaruta: Etisk hackare

Etiska hackare, som också kan ha andra benämningar som t.ex. IT-säkerhetsingenjörer, är specialister på att hitta svagheter i olika IT-system och bekämpa cyberangrepp. En etisk hackare jobbar för att minimera risken för intrång i dina system, trådlösa och trådbundna nätverk och molnbaserade lösningar.

14 - Ta fram en plan för incidenthantering

Majoriteten av verksamheter utsätts för säkerhetsincidenter förr eller senare - vissa har redan drabbats utan att veta om det. Har det väl hänt och incidenten upptäckts, är det mycket viktigt att ha ett planerat förfaringssätt på plats för att minimera skadan och snabbt kunna återgå till ordinarie verksamhet.

Kom ihåg att snabb och effektiv hantering av incidenter, bara kan uppnås om det finns kunskap och acceptans inom organisationen för hur man ska reagera och agera i vid en incident.

En incidenthanteringsplan är menat att fungerar som ett stöd för dig och din organisation.

Undvik därför att utarbeta ett alltför omfattande dokument som ingen har förmågan att uppdatera eller använda. En incidenthanteringsplan ska vara kort, konkret och praktisk. Upprätta en plan som innehåller tydligt definierade roller och ansvarsområden tillsammans med en stegvis handlingsplan för att hantera olika säkerhetshot.

15 - Samarbeta med en erfaren ISO certifierad IT-leverantör

Teknik bedöms som en viktig drivkraft och möjliggörare de kommande åren. Med sin centrala roll för att driva affärstillväxt har tekniken flyttat från den klassiska källaren till styrelserummet, vilket förändrar företagsledningens arbete - IT-frågorna får alltmer utrymme och betydelse för verksamheten. Som företagsledare kan det vara svårt att hänga med i de alltmer komplexa digitala landskapen och hålla jämna steg med de nya hoten.

Saknar du intern IT-kompetens? Våga ta hjälp av en extern IT-leverantör. Att samarbeta med en erfaren och kunnig leverantör som är specialiserad på cybersäkerhet, kan vara en investering som snabbt gör sig betalt.  Att ha en pålitlig partner som är uppdaterad vad gäller de senaste hoten och trenderna på marknaden, som hjälper dig att övervaka och hantera säkerhetsincidenter, kan ge dig trygghet och frigöra tid och resurser för att fokusera på kärnverksamheten i ditt företag.

Välj med fördel en leverantör som är ISO 27001 certifierad. ISO 27001 certifierade IT- leverantörer har djupgående kunskaper och är utrustade med alla de senaste verktygen och teknikerna som behövs för att hantera situationer som kan uppkomma. De kan hjälpa dig med både implementation och upprätthållande av en anpassad säkerhetspraxis för dina nätverk, servrar och applikationer.

Faktaruta ISO 27001:

ISO 27001 är den internationella standarden för informationssäkerhet och certifieringen kräver att en organisation har en tydlig plan för hantering av informationssäkerhet, identifiera och minimera risker, genomför regelbundna säkerhetskontroller och hantera incidenter och avvikelser på ett proaktivt sätt.

Slutsats - Det finns inga genvägar till cybersäkerhet

För att skydda ditt företag mot cyberhot behöver du ha en helhetsbild av alla sårbara områden och att vidta en kombination av tekniska, organisatoriska och mänskliga åtgärder.  Skyddet är bara så bra som den svagaste länken. Du behöver arbeta systematiskt med tillgångar, hot och risker.

Analys, policy, handlingsplan

Börja med att göra en riskanalys för att identifiera säkerhetsrisker och sårbarheter i företagets IT-system. Använd resultatet för att utveckla och implementera en säkerhetspolicy som beskriver relevanta säkerhetsåtgärder och hur de ska genomföras. Kommunicera din policy tydligt till all personal och uppdatera den regelbundet så att säkerhetsåtgärderna överensstämmer med den aktuella hotbilden.

Samordna åtgärder - glöm inte att utbilda och uppdatera

Både den tekniska säkerheten och medarbetarnas kunskapsnivå och agerande är avgörande för cybersäkerheten. Kombinera följande skyddsåtgärder;

• utbilda personalen i IT-säkerhet
• begränsa tillgången till känsliga system och information
• segmentera nätverk
• uppdatera programvara och säkerhetstjänster
• installera antivirusprogram och brandväggar
• säkerhetskopiera affärskritiska data

Upptäck sårbarheter

Är åtgärderna tillräckliga? Utför regelbundna säkerhetskontroller och penetrationstester för att testa och identifiera potentiella sårbarheter och hot i IT-system och nätverk. Uti från resultatet kan du skapa en plan för att hantera kommande incidenter.

Kontinuitet som grund för säkerhet

Att skydda företagets IT-system och data är ett kontinuerligt arbete som kräver ständig övervakning, uppdatering och utbildning av personalen. Genom ett obrutet flöde av åtgärder kan företag skydda sig och sina kunder från potentiellt förödande konsekvenser.

En extern konsult som rådgivare och objektiv part

Förutom att fokusera på affärstillväxt måste ledningen kunna se betydelsen av teknikanvändning i ett bredare sammanhang. Cybersäkerhet är ett stort åtagande. Våga ta hjälp av en extern IT-tjänsteleverantör. De har den expertis som behövs för att minska riskerna för både sabotage och driftstopp och höja säkerhetsnivån.

Vad gör jag nu?

Kontakta oss för att diskutera ert IT-säkerhetsbehov och hur vi kan hjälpa er att säkra företagets IT-system och data på ett effektivt sätt. Vi är här för att hjälpa till och stödja ditt företag i att upprätthålla en hög säkerhetsnivå, så att du kan fokusera på att utveckla din kärnverksamhet och förbli konkurrenskraftig på marknaden.