Cyberattackerna ökar – tre säkerhetsåtgärder vd:n bör prioritera

För mindre och medelstora företag kan konsekvenserna av ett lyckat intrång bli omfattande, framhåller Oskar Rödin, säkerhetsexpert på Check Point Software.

– Mindre och medelstora företag är attraktiva mål eftersom de ofta har begränsade säkerhetsresurser men hanterar värdefull information, pengar och kunddata, säger han.

Ett angrepp kan innebära att verksamheten står stilla i dagar eller veckor, att kunduppgifter läcker eller att företaget utsätts för utpressning. Utöver direkta ekonomiska förluster finns risk för juridiska konsekvenser och skadat kundförtroende.

Grundläggande brister öppnar för angrepp

Enligt Oskar Rödin börjar framgångsrika angrepp ofta med relativt enkla säkerhetsbrister. Det kan handla om svaga eller återanvända lösenord, avsaknad av multifaktorautentisering eller system som inte har uppdaterats.

En annan vanlig väg in är nätfiske, där medarbetare luras att klicka på falska länkar eller öppna skadliga bilagor. Angripare söker också automatiskt efter sårbarheter i företagens system.

För vd:n handlar frågan därför inte enbart om vilka tekniska skydd som finns, utan också om hur företaget arbetar med att identifiera och åtgärda risker.

Oskar Rödin lyfter fram tre områden som företag bör prioritera:

1. Skydda medarbetarnas konton

Den första åtgärden är att se till att obehöriga inte kan komma åt företagets system genom stulna inloggningsuppgifter.

Oskar Rödin rekommenderar multifaktorautentisering, MFA, för alla användare. Det innebär att inloggningen kräver ytterligare en verifiering utöver lösenordet.

Företaget behöver också kunna upptäcka misstänkt aktivitet i e-post, webbanvändning och molntjänster.

– Den som tar kontroll över ett konto kan ofta röra sig vidare i verksamheten, lyfter han.

2. Skaffa överblick över de största säkerhetsriskerna

Nästa steg är att identifiera vilka system som är exponerade mot internet, vilka sårbarheter som är mest kritiska och vilka delar av verksamheten som behöver starkast skydd.

Enligt Oskar Rödin saknar många företag en tillräcklig bild av sin egen exponering. Risken är då att resurser läggs på mindre viktiga åtgärder medan allvarligare säkerhetsluckor finns kvar.

– Det viktiga är att ha en kontinuerlig överblick över vad som är exponerat, vilka risker som är viktigast att åtgärda och vilka säkerhetsluckor som faktiskt kan utnyttjas av angripare.

Men det behöver inte innebära stora investeringar, framhåller han. Det handlar i första hand om att förstå var riskerna finns och kunna prioritera åtgärderna.

3. Öva på att hålla verksamheten i gång vid ett angrepp

Den tredje prioriteringen handlar om vad som händer om skydden inte räcker.

– Det är inte längre realistiskt att utgå från att alla attacker kan stoppas. Frågan är i stället hur snabbt företaget kan återställa verksamheten när något händer, säger Oskar Rödin.

För att kunna återuppta verksamheten behöver företaget ha skyddade säkerhetskopior som inte kan raderas eller krypteras av angripare. Men det räcker inte att säkerhetskopiorna finns. Företaget behöver också ha testat att information och system går att återställa.

Dessutom måste ledningen ha identifierat vilka system och processer som är affärskritiska, hur länge verksamheten klarar sig utan dem och i vilken ordning systemen ska återställas.

Det gäller även kommunikationen. Vem fattar beslut om verksamheten slås ut? Vem kontaktar kunder och leverantörer? Och hur informeras medarbetare och styrelse?

– Precis som vid en brand behöver man öva innan krisen inträffar, säger Oskar Rödin.

Ställ krav även på externa IT-leverantörer

Många mindre och medelstora företag har inte egna säkerhetsteam utan anlitar externa IT-leverantörer. Då behöver vd:n också veta vilket skydd som faktiskt ingår i tjänsterna.

Enligt Oskar Rödin bör företaget ha kontinuerlig övervakning, antingen internt eller via en extern säkerhetsfunktion. Syftet är att tidigt kunna upptäcka misstänkta inloggningar, avvikande beteenden och pågående angrepp.

Men leverantörsriskerna handlar inte enbart om IT-driften. Företaget behöver också känna till vilka andra leverantörer som har tillgång till system eller data, vilka säkerhetskrav som gäller och hur dessa följs upp.

Ledningen bör dessutom veta vilka leverantörsavbrott som skulle få störst konsekvenser för verksamheten och ha en plan för hur företaget ska agera om en kritisk leverantör drabbas.

Vd:n ansvarar för att verksamheten är förberedd

Även om IT-ansvariga och externa specialister hanterar det tekniska skyddet behöver företagsledningen säkerställa att det finns en plan för att hantera konsekvenserna av ett angrepp.

Det innebär enligt Oskar Rödin bland annat att se till att affärskritiska processer är identifierade, att återställningsrutiner testas regelbundet och att rätt kompetens finns tillgänglig när en incident inträffar. Även kommunikationen till kunder, styrelse och andra intressenter behöver vara förberedd.