Hopp til innhold
Tilbake til bloggen

Slik beskytter du bedriften mot dataangrep: tiltakene som virker

Geometriske flater illustrerer trygg digital tilgang

Den beste beskyttelsen mot dataangrep er ikke ett dyrt produkt, men en håndfull grunnleggende tiltak gjort ordentlig: tofaktorpålogging på alle kontoer, automatiske oppdateringer, ingen administratorrettigheter for vanlige brukere, sikkerhetskopier som ligger utenfor rekkevidde for angriperen, og ansatte som kjenner igjen svindel. Legg til en enkel plan for hva dere gjør når noe går galt, så har dere stengt døren for de aller fleste angrepene som rammer norske små og mellomstore bedrifter. Under går vi gjennom hva som faktisk truer bedrifter som din, hvilke tiltak myndighetene anbefaler, og hvordan du får det på plass uten egen IT-avdeling.

Clevo
Finn sikkerhetshull før angriperne
Clevo identifiserer sikkerhetshull, forklarer funnene for ledelsen og bidrar direkte med konkrete tiltak for å forbedre bedriftens sikkerhet.
Utforsk cybersikkerhet hos Clevo

Kort oppsummert

  • Løsepengevirus og innbrudd i Microsoft 365-kontoer er de truslene som oftest stanser driften i norske småbedrifter.
  • Nasjonal sikkerhetsmyndighet (NSM) peker på fem grunntiltak som stopper de fleste vanlige angrep, selv når en ansatt klikker feil.
  • Sikkerhetskopier må lagres atskilt fra resten av systemene og testes jevnlig, ellers kan de bli kryptert sammen med alt annet.
  • Ved mistanke om angrep: koble maskinene fra nettet, men ikke slå dem av, og varsle ledelsen og den som har ansvar for IT.
  • Gjelder angrepet personopplysninger, skal Datatilsynet som hovedregel varsles innen 72 timer.

Innholdsfortegnelse

Dette er truslene norske småbedrifter møter

Det er lett å tro at angripere bare er ute etter store selskaper. Tallene sier noe annet. I rapporten Risiko 2025 fra NSM regnes løsepengeangrep som den største utfordringen for norske virksomheter, nettopp fordi de så ofte fører til driftsstans hos små og mellomstore bedrifter. Rapporten trekker også fram phishing, sosial manipulering og fakturasvindel, og viser at angrepene ofte utnytter svake passord, manglende tofaktorautentisering og utdatert programvare.

Noen tall som gir bildet:

Den samme undersøkelsen påpeker at større virksomheter ser flere angrep fordi de overvåker mer, ikke fordi de mindre er tryggere. En bedrift uten overvåking ser rett og slett ikke angrepet før skaden er skjedd.

Angriperne logger seg inn, de bryter seg ikke inn

Et typisk angrep i dag starter med en e-post som ser ut som den kommer fra Microsoft, en leverandør eller en kollega. Den ansatte havner på en falsk påloggingsside og skriver inn brukernavn og passord. Mer avanserte varianter fanger også engangskoden. NSR understreker at slike angrep er vanskelige å oppdage for tradisjonelle sikkerhetssystemer, fordi angriperen bruker ekte påloggingsdetaljer. Og det alvorligste er ofte ikke pengene, men at angriperen får fri tilgang til e-post og dokumenter med sensitiv informasjon.

Fra falsk e-post til tilgang på sensitive dokumenter

De fem tiltakene som stopper de fleste angrep

NSM har en tydelig melding: de fleste vanlige dataangrep er teknisk mulig å stanse, selv om en ansatt klikker på noe ondsinnet, så lenge grunntiltakene er på plass. Her er NSMs fem effektive tiltak mot dataangrep, oversatt til hva de betyr i en vanlig bedrift:

  1. Installer sikkerhetsoppdateringer raskt og automatisk. Slå på automatiske oppdateringer for Windows, macOS, nettlesere, Office og telefoner. Ikke glem rutere, brannmurer, skrivere og nettsiden deres, som ofte står urørt i årevis.
  2. Fjern administratorrettigheter fra vanlige brukere. En ansatt som ikke kan installere programmer, kan heller ikke installere skadevare ved et uhell. Ha egne administratorkontoer som bare brukes til drift.
  3. Bruk tofaktorautentisering og sterke passord. Krev tofaktor på e-post, regnskapssystem, bank, nettbutikk og alt som er tilgjengelig fra internett. En passordbehandler gjør det enkelt å ha unike passord overalt.
  4. Fas ut gammelt utstyr og gammel programvare. Programmer og maskiner som ikke lenger får sikkerhetsoppdateringer, er åpne dører. Lag en liste over hva dere har, og sett en dato for utskifting.
  5. Tillat bare godkjent programvare. Bestem hvilke programmer som er i bruk, og blokker resten. Det gjør det mye vanskeligere for skadevare å kjøre.

NSM anbefaler i tillegg å stoppe ondsinnet kode i dokumenter og beskytte eksterne tjenester med VPN og flerfaktorautentisering. I praksis betyr det å blokkere makroer i Office-filer fra internett, og å aldri ha fjernskrivebord eller filserver åpent rett ut mot nettet.

Sikre e-posten og skytjenestene

For de fleste småbedrifter er Microsoft 365 eller Google Workspace selve kontoret: e-post, filer, kalender og Teams. Derfor er det her angriperne prøver først. Disse innstillingene bør du sjekke:

  • Tofaktor for alle, uten unntak. Også for daglig leder, regnskapsfører og den gamle fellesadressen post@.
  • Blokker eldre påloggingsmetoder som ikke støtter tofaktor.
  • Varsler ved uvanlige pålogginger, for eksempel fra et annet land eller midt på natten.
  • Sjekk videresendingsregler. En klassiker etter et innbrudd er at angriperen lager en skjult regel som sender kopier av all e-post ut av huset.
  • Sett opp SPF, DKIM og DMARC for domenet, så det blir vanskeligere å sende falske e-poster i bedriftens navn.
  • Begrens deling av filer og mapper med eksterne til det som faktisk trengs.

Det er her mange bedrifter har en falsk trygghet: de har kjøpt en god tjeneste, men står med standardinnstillinger som ikke er laget for sikkerhet. Vi gjennomgår slike oppsett i vår tjeneste for sikker sky og e-post, både for Microsoft 365, Google og AWS.

Sikkerhetskopier som tåler løsepengevirus

Et løsepengeangrep krypterer filene deres og krever betaling for å låse dem opp. Moderne angripere leter aktivt etter sikkerhetskopiene først, for å slette eller kryptere dem. En sikkerhetskopi som ligger på samme nettverk eller med samme pålogging som resten av systemene, er derfor ingen reell beskyttelse.

NSMs grunnprinsipper for IKT-sikkerhet gir en klar oppskrift:

  • Ta sikkerhetskopier regelmessig, etter en plan som sier hva som kopieres og hvor ofte.
  • Lagre minst én kopi atskilt fra produksjonsmiljøet, gjerne frakoblet eller i en løsning der kopiene ikke kan endres eller slettes.
  • Krypter sikkerhetskopiene.
  • Test gjenoppretting jevnlig. En sikkerhetskopi du aldri har prøvd å hente tilbake, er bare et håp.

Husk at data i Microsoft 365 og Google ikke automatisk er sikkerhetskopiert på den måten du tror. Papirkurv og versjonshistorikk er ikke det samme som en uavhengig kopi.

En god test for ledelsen: Hvis alle maskinene var låst i morgen tidlig, hvor mange timer ville det tatt før dere kunne sende faktura igjen? Har ingen et svar, er det et tegn på at backup og gjenoppretting bør gjennomgås.

Gjør de ansatte til en del av forsvaret

Teknikk alene holder ikke når angriperen spiller på tidspress og tillit. Falske fakturaer, «direktøren» som ber om en rask overføring, og en «leverandør» som har fått nytt kontonummer, er hverdagskost. Disse rutinene gir mye effekt:

  • Ring tilbake på kjent nummer før dere endrer kontonummer eller betaler en uvanlig faktura. Aldri bruk nummeret som står i e-posten.
  • To personer godkjenner større utbetalinger.
  • Gjør det lett å si fra. Den som har klikket på en lenke, må kunne melde fra med en gang uten å frykte reaksjoner. Minutter teller.
  • Tren jevnlig og konkret. Korte økter med eksempler fra deres egen hverdag gir mer enn et årlig foredrag.

En phishing-test viser hvor bedriften faktisk står: hvor mange som klikker, hvor mange som skriver inn passord, og hvor mange som melder fra. Vi tilbyr opplæring og phishing-test for ansatte, med resultater som ledelsen forstår og kan følge opp.

Slik organiserer du sikkerheten uten egen IT-avdeling

Sikkerhet er et lederansvar, også når driften er satt bort. Behandler bedriften personopplysninger, er informasjonssikkerhet et krav etter personvernforordningen artikkel 32. Datatilsynet presiserer at bedriften må dokumentere sikkerhetstiltakene og ha dem med i internkontrollen.

NorSIS sin sikkerhetssjekkliste for bedrifter gir en god ramme. Kort fortalt:

Oppgave Hva det betyr i praksis Hvor ofte
Oversikt over systemer Liste over maskiner, kontoer, skytjenester, nettside og hvem som har tilgang til hva Oppdateres ved endringer
Krav til leverandører Avtaler som sier hvem som oppdaterer, tar backup og varsler ved hendelser Ved ny avtale og årlig gjennomgang
Risiko- og sårbarhetsvurdering Hva er viktigst å beskytte, hva kan gå galt, og hva gjør vi med det Minst årlig og ved store endringer
Ansvar Én navngitt person i ledelsen eier sikkerhetsarbeidet Fast
Beredskapsplan Hvem ringer hvem, og hva gjør vi de første timene Øves årlig

Et punkt mange glemmer, er leverandørene. Bruker dere en IT-leverandør, et regnskapsbyrå eller et byrå som drifter nettsiden, er deres sikkerhet også deres. Spør konkret: Har dere tofaktor på tilgangen til våre systemer? Hvem varsler oss hvis dere blir angrepet? Hvor raskt kan dere gjenopprette dataene våre?

NSM anbefaler også sikkerhetsovervåking, sentral og beskyttet logging og en beredskapsplan. Logging høres teknisk ut, men er det som gjør at dere i ettertid kan svare på det viktigste spørsmålet: Hva fikk angriperen tilgang til?

Trenger dere hjelp med vurderingen og reglene rundt, er risiko og regler vår tjeneste for nettopp GDPR, NIS2 og sikkerhetsrutiner, tilpasset bedrifter uten egne fagfolk.

Slik ser vi det

Det vi oftest møter hos små og mellomstore bedrifter, er ikke manglende vilje. Det er at ingen har fortalt ledelsen, på vanlig norsk, hvor hullene faktisk er. Mange har fått en lang teknisk rapport som ingen i bedriften kan handle på, og så blir den liggende.

Vi mener sikkerhetsarbeid må ende i handling. Derfor gir vi ledelsen en kort oppsummering av hva vi fant, hva det betyr for driften, og hva som bør gjøres først. Og vi stopper ikke der: vi er med og retter sikkerhetshullene selv, slik at funnene faktisk blir lukket.

Like viktig er at du snakker direkte med fagpersonen som gjør jobben, uten selgere eller mellomledd. Da får du svar på det du lurer på, og vi forstår bedriften din godt nok til å prioritere riktig. For en bedrift uten egen IT-avdeling er det den tryggeste veien fra usikkerhet til kontroll.

Sejad

Hvis angrepet skjer: de første timene

Ingen tiltak gir full garanti, og det sier også NSM om sine egne grunnprinsipper for IKT-sikkerhet. Derfor skal dere vite på forhånd hva dere gjør hvis uhellet er ute. NSMs sjekkliste for håndtering av digitale angrep sier dette om de første stegene:

  1. Koble berørte maskiner fra internett. Trekk ut nettverkskabelen og skru av Wi-Fi og Bluetooth.
  2. Ikke slå av maskinene. De må stå på, slik at spor kan sikres og analyseres.
  3. Varsle den som har ansvar for IT-sikkerheten, og ledelsen.
  4. Iverksett beredskapsplanen og skriv ned tidspunkter og hva som skjer underveis.
  5. Bytt passord og logg ut alle aktive økter på kontoer som kan være berørt, fra en maskin du vet er ren.
  6. Ikke betal løsepenger før dere har snakket med politiet og fagfolk.

NSMs nasjonale rammeverk for håndtering av digitale angrep deler arbeidet i fire faser: forberedelse, oppdagelse og varsling, håndtering, og til slutt gjenoppretting og læring. Den siste fasen er den mange hopper over, men det er der dere sørger for at samme feil ikke skjer igjen.

Hvem skal varsles?

Hvem Når Hvorfor
Datatilsynet Uten ugrunnet opphold og om mulig innen 72 timer, når personopplysninger er rammet Lovpålagt etter personvernforordningen
Politiet (NC3 hos Kripos) Så tidlig som mulig Anmeldelse og hjelp til etterforskning
NSM og eventuelt sektorens responsmiljø Ved alvorlige angrep Råd og nasjonalt situasjonsbilde
IT-leverandøren og forsikringsselskapet Med en gang Hjelp til håndtering og dekning av tap

Datatilsynet skriver at vellykkede phishing-, e-post- og utpressingsangrep har høy risiko for alvorlige brudd på personopplysningssikkerheten. Den første meldingen skal gis innen 72-timersfristen, og kan følges opp med utfyllende informasjon når dere vet mer. Fristen er ikke en formalitet: Datatilsynet ila i 2023 et overtredelsesgebyr på 2,5 millioner kroner for en forsinket avviksmelding.

Politiets nasjonale cyberkrimsenter (NC3) nås på 23 20 80 00, ifølge NSRs nødplakat for digitale angrep. Skriv ut plakaten og heng den opp, så finner dere nummeret også når skjermene er svarte. NSM har en egen oversikt over hvem som kan hjelpe ved et pågående dataangrep, og virksomheter som er omfattet av digitalsikkerhetsloven har i tillegg egen varslingsplikt for alvorlige hendelser til tilsynsmyndigheten, med kopi til NSM.

Finn hullene før angriperen gjør det

Den raskeste måten å vite hvor sårbar bedriften er, er å få noen til å teste den. I en sikkerhetstest går vi gjennom nettside, apper, systemer og kontoer slik en angriper ville gjort, og du får en kort oppsummering for ledelsen med konkrete tiltak i prioritert rekkefølge. Deretter retter vi hullene sammen med dere, i stedet for å etterlate en rapport.

Clevo

Vil du starte enkelt, kan du ta en gratis sjekk av e-posten din. Mangler dere folk til å følge opp over tid, kan dere også leie inn sikkerhetskompetanse etter behov.

Ofte stilte spørsmål

Hva er det viktigste enkelttiltaket mot dataangrep?

Tofaktorautentisering på alle kontoer, særlig e-post og Microsoft 365, er tiltaket som stopper flest av de vanlige angrepene. Kombiner det med automatiske oppdateringer og at vanlige brukere ikke har administratorrettigheter. Disse tre er blant NSMs fem anbefalte grunntiltak.

Er en liten bedrift egentlig et mål?

Ja. Angripere sender ut tusenvis av phishing-e-poster og løsepengevirus samtidig, og velger de som er enklest å komme inn hos. Kripos registrerte rundt 17 ulike løsepengevirus brukt mot norske små og mellomstore bedrifter i 2025.

Holder det med antivirus og brannmur?

Det er nødvendig, men ikke nok. Mange angrep i dag skjer med stjålne påloggingsdetaljer, og da ser innloggingen helt normal ut for antivirus og brannmur. Tofaktor, gode sikkerhetskopier, opplæring og en plan for hendelser må være med.

Hvor ofte bør vi teste sikkerheten?

En risikovurdering bør gjøres minst én gang i året og når dere gjør store endringer, som ny nettbutikk, nytt system eller ny leverandør. En sikkerhetstest er naturlig ved slike endringer og med jevne mellomrom etter det. Gjenoppretting fra sikkerhetskopi bør testes oftere.

Må vi melde fra til Datatilsynet hvis vi blir angrepet?

Hvis angrepet har rammet personopplysninger, for eksempel kunderegister eller ansattdata i e-posten, skal Datatilsynet som hovedregel varsles innen 72 timer etter at dere ble kjent med bruddet. Er dere usikre, er det tryggere å melde og heller supplere senere enn å vente.

Kilder

Anbefalinger

Made with BabyLoveGrowth to reach AI assistants