Så många som 58 % av svenska företag har blivit utsatta för brott under de senaste åren. 15 % av dessa brott handlar om cyberbrott, och speciellt ID-kapningar är på uppgång. I denna artikel får du en introduktion i vad alla inom din verksamhet ska veta för att säkerställa en god IT-säkerhetskultur.
Siffrorna ovan kommer från Svenskt Näringslivs undersökning av hur mycket brottslighet kostar våra svenska företag från 2018. Samtidigt skriver norska Nasjonal sikkerhetsmyndighet (NSM) att 80–90 % av alla datorangrepp kan undvikas om företagen inför några enkla steg. Det här inkluderar tekniska åtgärder som att installera säkerhetsuppdateringar så fort som möjligt, men också åtgärder som förbättrar minskar risken med "den mänskliga faktorn".
För att reducera dessa risker lönar det sig att övervaka sin infrastruktur, ha ett system för att hantera incidenter och samla in information om och analysera kapaciteten i kriminella miljöer. Förutom sådana övergripande åtgärder är det viktigt att de anställda har goda rutiner som hjälper till att stärka företagets digitala säkerhet.
Här bjuder vi på några tips kring vad vi alla måste kunna om datasäkerhet och datorangrepp och vad du kan göra för att säkerställa en god säkerhetskultur i din verksamhet. För mer matnyttig information, ta gärna även del av artikeln Det här behöver företag veta om datasäkerhet.
5 punkter alla inom verksamheten måste kunna
1. Lär dina medarbetare hur de skapar starka lösenord
För att minska risken att utsättas för virus och malware bör alla medarbetare ha en grundläggande förståelse för vad ett starkt lösenord är. Många tycker att det är svårt att komma på ett unikt lösenord för varje enhet och profil, men om ledningen understryker vilken betydelse detta kan ha kommer de allra flesta att ta sig tid att skapa starka, unika lösenord.
Men hur gör man då för att skapa ett starkt lösenord? Här är några riktlinjer du kan använda dig av:
- Skapa ett långt lösenord (minst 8 tecken).
- Se till att alla lösenord är unika.
- Använd inga ord eller siffror som kan kopplas till dig.
- Variera mellan stora och små bokstäver, siffror och symboler.
När användaren har skapat ett sådant lösenord kommer det att förbli starkt så länge det inte stjäls eller avslöjas av andra. Lägg hellre tid på att skapa ett starkt lösenord än att lägga tid på att byta det hela tiden. Detta beror på att lösenord som ändras ofta brukar göra att användaren därmed väljer ett mindre starkt lösenord vilket på så sätt minskar säkerheten.
2. Var på din vakt och undgå phishing
En annan viktig åtgärd för att förbättra säkerheten i din verksamhet är att göra dina medarbetare uppmärksamma på att det är viktigt att kritiskt granska avsändaren till e-postmeddelanden. Phishing, så kallat nätfiske, är en metod kriminella använder för att införskaffa känslig information genom att få människor att helt enkelt skicka eller ge bort den på begäran. Detta kan till exempel vara i form av en avsändare som utger sig för att vara en välkänd bank som informerar om tekniska problem och ber sina kunder att skicka eller fylla i känslig information (som kortinformation) för att lösa problemet.
Fler tips för att undvika phishing:
- Dela varken personlig eller ekonomisk information via e-post.
- Undersök om länken är säker och kontrollera URL:en innan du klickar på den.
- Klicka inte på länkar i e-postmeddelanden, utan kopiera dem eller skriv in adressen manuellt.
- Kolla avsändarens adress noggrant.
3. Undvik “Director Fraud”
Bedrägeri kan också uppkomma i form av så kallad Director Fraud, på svenska "VD-bedrägeri", där avsändaren utger sig för att vara chefen på företaget. Ofta innehåller detta fejkade meddelande då en uppmaning till ekonomiansvarige att betala fakturor eller överföra pengar till ett visst kontonummer.
Fem tips för att undvika Director Fraud:
- Var uppmärksam på e-postmeddelanden eller sms där avsändaren ber om pengar och betonar att det är bråttom.
- Läs e-postmeddelandet noggrant och titta efter onormala element (till exempel om .com används istället för .se i avsändarens e-postadress).
- Var uppmärksam på e-postmeddelanden som anspelar på tillit samt innehåller hot eller frestelser.
- Jämför betalningsinformationen med tidigare transaktioner.
- Är du osäker, kontakta den påstådda avsändaren och dubbelkolla om e-postmeddelandet faktiskt kommer från den personen.
4. Organisera regelbundna övningar
I vår digitala tidsålder bör alla cybersäkerhetsbrott behandlas på samma sätt som fysiska säkerhetsöverträdelser - som exempelvis eld eller brand. Det betyder att du i likhet med planerade brandövningar bör hålla övningar för att testa dina medarbetares digitala säkerhetskompetens.
Ett exempel på ett sådant test kan vara att skicka ut ett e-postmeddelande som låtsas vara ett försök till bedrägeri. Följ noga hur medarbetarna reagerar på e-postmeddelandet: Hur många klickar på länkar och hur många uppger känslig information? Använd sedan resultaten och exemplet i intern undervisning. Detta är något vi på Advania Security labs kan hjälpa till med.
5. Lägg upp en plan
Förutom att med jämna mellanrum utföra övningar där medarbetarna får testa sin kompetens inom digital säkerhet bör du se till att det finns en beredskapsplan för vad som ska göras om en olycka inträffar.
Upprätta rutiner för att snabbt kunna upptäcka och agera ifall en säkerhetsöverträdelse har ägt rum. Konsekvenserna av säkerhetsöverträdelser kan inte hanteras om ingen i verksamheten vet om att de har skett. Ett första steg på vägen i att sätta upp en beredskapsplan är därför att se till att din verksamhet har ett bra ledningssystem som kan fånga upp eventuella säkerhetsöverträdelser.
Några av punkterna i den här artikeln är hämtade från eller inspirerade av olika sidor på Nettvett.no.
