Inom kampanjen Tänk säkert och i samarbete med medlemsföretaget Unbreached ger SäkerhetsBranschen konkreta råd till företag som vill förbättra sin cybersäkerhet utan att överstiga budgeten. IT-säkerhet förknippas ofta med höga kostnader och komplex teknik, vilket kan avskräcka småföretag från att prioritera området. Men David Jacoby, en erfaren föreläsare och entreprenör inom IT-säkerhet med över 25 års erfarenhet, menar att cybersäkerhet bör vara en självklar del av varje affärsplan – oavsett företagets storlek.
Genom enkla men effektiva åtgärder, som att införa starka lösenordspolicies, regelbunden utbildning och flerfaktorsautentisering, kan små företag skydda sin verksamhet mot digitala hot utan stora kostnader. Med rätt insatser är cybersäkerhet både tillgängligt och genomförbart även för företag med begränsad budget.
IT-säkerhet har under en lång tid upplevts som en lyxvara för många mindre företag. Produkter och tjänster är inte bara komplicerade utan ofta kan vara svår att prioritera av ekonomiska själ. Men säkerhet har blivit en sådan viktig komponent I våra företag att vi helt enkelt inte kan låta bli det.
När vi investerar I vår cybersäkerhet investerar vi inte bara ett skydd för det egna företaget, utan även våra kunder och kanske även alla andra. Utan att bli allt för filosofisk så hänger allt ihop. Utöver det faktiska behovet av cybersäkerhet är det också viktigt att förstå att IT-säkerhet inte bara är en kostnad men även en viktig faktor för att kunna konkurrera på marknaden. Allt fler stora företag ställer högre krav på sina leverantörers säkerhetsstandard, oavsett storlek.
– Nu när vi vi har exempelvis det kommande EU-direktivet Cybersäkerhetslagen (NIS2), som kommer att införa strängare krav på säkerhet för alla företag, stora som små. Små företag som gör affärer med större aktörer kan stärka sin attraktionskraft genom att visa upp en hög säkerhetsstandard. IT-säkerhet handlar inte enbart om att förebygga hot, utan bör även vara en del av affärsstrategin för att stå sig starkare och mer konkurrenskraftigt på marknaden, säger David Jacoby.
Väldigt viktigt med rutiner
Det är otroligt lätt för oss att fokusera på de tekniska sårbarheterna, de sårbarheter som vi läser om att hackare och cyberkriminella utnyttjar för att få tillgång till våra IT-system. Men det finns en annan sida av det myntet och det är att cyberkriminella och organiserad brottslighet även arbetar med traditionellt bedrägeri för att attackera oss.
Små och medelstora företag blir allt oftare måltavlor för cyberkriminella som utnyttjar deras brist på robusta säkerhetsrutiner och processer. Genom olika typer av bedrägerier försöker angriparna lura företagen att betala falska fakturor, skapa nya konton i våra system eller byta lösenord på användare för att få åtkomst till inloggningsuppgifter.
Ett vanligt exempel är s.k. Business Email Compromise (BEC), där en bedragare skickar ett mejl som ser ut att komma från en betrodd kollega eller leverantör och innehåller en falsk faktura. Om företaget saknar tydliga rutiner för att verifiera fakturor och betalningsinformation kan detta resultera i stora ekonomiska förluster. Detta händer ofta när en kriminell fått tillgång en ett mailkonto där de helt enkelt kan ta upp en befintlig konversation och lura mottagaren att det är den ritkiga avsändaren.
Ett annat hot är phishing, där en bedragare skickar e-post eller SMS för att få anställda att lämna ut sina inloggningsuppgifter. Dessa uppgifter kan sedan användas för att byta lösenord och ta kontroll över viktiga konton, vilket öppnar upp för ytterligare dataintrång och förlust av känslig information. Många småföretag saknar flerfaktorsautentisering och har inte heller regelbundna säkerhetskontroller, vilket gör dem särskilt sårbara.
För att minska risken för dessa attacker bör små och medelstora företag införa grundläggande säkerhetsrutiner, såsom att alltid dubbelkontrollera betalningsinformation, utbilda personalen i att känna igen phishing-försök och införa flerfaktorsautentisering. Genom att göra detta kan de bättre skydda sig mot cyberkriminella och säkerställa att deras företag är mindre sårbart för framtida attacker.
Vi måste äga vår egen säkerhet
Små och medelstora företag kan inte heller enbart förlita sig på sin IT-leverantör för att säkerställa cybersäkerheten. Även om externa experter kan bistå med tekniska lösningar, är det företagets eget ansvar att skapa en säkerhetsmedveten kultur internt. Genom att investera i utbildning och öka förståelsen för IT-säkerhet bland alla anställda kan företaget minska risken för attacker och bedrägerier.
Att förstå och ha insyn i sitt eget IT-landskap är avgörande för att kunna identifiera potentiella säkerhetsbrister. Företagsledningen bör ta ett aktivt ansvar för att utveckla och följa upp säkerhetsrutiner, implementera flerfaktorsautentisering och regelbundet utbilda medarbetarna i att känna igen och hantera phishingförsök och andra cyberhot.
Cybersäkerhet är en gemensam insats där alla på företaget spelar en viktig roll – och där ansvaret börjar hos företaget självt.
Vanliga säkerhetsrisker och enkla lösningar
Här är några vanliga cybersäkerhetsrisker som David nämner, samt enkla åtgärder för att skydda ditt företag:
- Ouppdaterade system: Små företag glömmer ofta att hålla sina system uppdaterade. Lösning: Säkerställ att alla datorer och enheter är inställda på automatisk uppdatering, vilket minskar risken för säkerhetsluckor.
- Använda samma lösenord överallt: Att återanvända lösenord gör det lätt för hackare att få tillgång till flera konton. Lösning: Använd en lösenordshanterare som genererar och lagrar unika lösenord åt dig, så slipper du försöka komma ihåg alla.
- Slarvig hantering av känslig information: Filer med känslig information sparas ofta på delade mappar eller datorns skrivbord. Lösning: Skapa en säker, krypterad lagringsplats för känsliga dokument, och undvik att lämna lösenord och känslig information oskyddad.
- Ej utloggade konton: Många glömmer att logga ut från känsliga sidor, vilket lämnar dem sårbara. Lösning: Använd automatiska tidsgränser som loggar ut användare efter en viss tid utan aktivitet.
- Ny teknik i gamla system: Gamla system är ofta sårbara för angrepp, även med nya tillägg. Lösning: Gör en säkerhetsanalys innan du investerar i ny teknik och uppdatera gamla system när det är möjligt.
Här kan du få hjälp vid en it-incident: MSB – CERT-SE