Hopp til innhold
Tilbake til bloggen

Hjelp med cybersikkerhet: slik får bedriften riktig hjelp

Geometriske lag symboliserer mer sikre bedriftsnettverk

Hvilken hjelp du trenger, kommer an på om det brenner nå eller ikke. Pågår det et angrep, ringer du Nasjonalt cybersikkerhetssenter på 02497 og får inn en IT- eller sikkerhetsleverandør med en gang. Er det ikke akutt, begynner du med en gratis selvsjekk, går videre til en sikkerhetstest eller en risikovurdering, og lar en fagperson hjelpe deg med å prioritere og rette funnene. For små og mellomstore bedrifter uten egen IT-avdeling handler det sjelden om å vite alt selv. Det handler om å vite hvem man skal spørre, og hva man skal be om.

Clevo
Få sikkerhetsfunn forklart og rettet
Clevo identifiserer sikkerhetshull, forklarer funnene for ledelsen og bidrar direkte med konkrete tiltak for å forbedre sikkerheten.
Se hvordan Clevo kan hjelpe

Kort oppsummert

  • Akutt angrep: Ring NCSC på 02497, som er døgnbemannet, og få inn teknisk hjelp. Er personopplysninger berørt, skal Datatilsynet ha melding innen 72 timer.
  • Ikke akutt: Start med NSMs gratis Cybersjekk, og bestill deretter en sikkerhetstest eller risikovurdering som viser hvor bedriften faktisk er sårbar.
  • Sikkerhetsfunn: Vurder hvert funn etter konsekvens og sannsynlighet, og lag en tiltaksplan med ansvarlig person og frist for hvert punkt.
  • Ledelsen eier risikoen: Noen må ha ansvaret for å følge opp. I en liten bedrift er det ofte daglig leder sammen med en ekstern fagperson.
  • Velg hjelp som retter feilene: En rapport alene gjør ingen bedrift tryggere. Be om en leverandør som forklarer funnene enkelt og hjelper med å lukke dem.

Innholdsfortegnelse

Først: er det et angrep, eller er det forebygging?

Mange som søker etter hjelp med cybersikkerhet, er i en av to helt ulike situasjoner. Den ene haster i timer, den andre kan planlegges over uker. Det første du bør gjøre, er å finne ut hvilken av dem du står i.

Situasjon Hva du gjør først Hvem som hjelper
Pågående angrep, løsepengevirus eller datainnbrudd Isoler berørte maskiner, ring NCSC på 02497, kontakt IT-leverandøren NCSC, IKT-leverandør, spesialisert sikkerhetsleverandør, politiet
Personopplysninger kan ha kommet på avveie Send melding til Datatilsynet innen 72 timer, gjerne trinnvis Datatilsynet via Altinn
Du har fått en rapport med sikkerhetsfunn Få funnene forklart, prioriter og lag tiltaksplan Sikkerhetsrådgiver eller den som testet
Du vet ikke hvor sårbar bedriften er Ta en selvsjekk, bestill test eller risikovurdering Sikkerhetsleverandør

Når det haster

Ved akutte digitale hendelser og datainnbrudd skal du kontakte NCSC på telefon 02497, og nummeret er døgnbemannet. NSM skriver at virksomheter som rammes av dataangrep, trenger akutt hjelp fra sektor-CERTer, politi, IKT-leverandører eller spesialiserte sikkerhetsleverandører. NSM ber også om at alvorlige hendelser rapporteres, men senteret må prioritere samfunnskritiske virksomheter når mange hendelser skjer samtidig. For en vanlig SMB betyr det i praksis at du også trenger en egen teknisk partner som kan møte opp og jobbe på dine systemer.

Er personopplysninger berørt, kommer personvernreglene i tillegg. Datatilsynet skriver at hovedprioriteringen ved et digitalt angrep er å håndtere selve hendelsen, men at en tidlig, eventuelt ufullstendig melding må sendes innen 72 timer. Meldingen sendes gjennom Altinn, og kan sendes trinnvis hvis du ikke har full oversikt ennå. Ikke vent til alt er kartlagt før du melder.

Når det haster

Når det ikke haster

Resten av denne artikkelen handler om den andre situasjonen: du vil vite hvor sårbar bedriften er, eller du sitter med en liste sikkerhetsfunn og lurer på hva du skal gjøre med den. Det er her de fleste små bedrifter kan få mest ut av ekstern hjelp, fordi det er her angrep kan forebygges.

Hvilken hjelp kan bedrifter uten IT-avdeling få?

Gratis selvsjekk som første steg

NSM har laget Cybersjekk, som gir virksomheter et raskt overblikk over egen sikkerhetstilstand og konkrete tiltak. Verktøyet bygger på NSMs grunnprinsipper for IKT-sikkerhet og digitale råd, og det ble lansert som en gratis tjeneste for alle virksomheter. For en leder som aldri har sett på sikkerheten systematisk, er dette et godt sted å begynne.

En selvsjekk bygger på hva du selv svarer. Den sier ikke om nettsiden din har et konkret hull, om e-posten er feilkonfigurert eller om en ansatt bruker samme passord overalt. Til det trenger du noen som faktisk ser på systemene.

Prioritering er hele poenget

NSMs grunnprinsipper inneholder mange tiltak. NSM skriver selv at de fleste tiltakene vil være relevante for store virksomheter, mens mindre virksomheter i større grad må prioritere. Det er nettopp denne prioriteringen mange små bedrifter trenger hjelp med: hva gjør vi først, og hva kan vente?

Typer ekstern hjelp

Behov Tjeneste Passer når
Finne konkrete hull i nettside, app eller systemer Sikkerhetstest (penetrasjonstest) Du har kundevendte løsninger eller lagrer kundedata
Forstå risiko og krav i GDPR og NIS2 Risikovurdering og regelverk Du mangler oversikt, rutiner eller dokumentasjon
Sikre Microsoft 365, Google eller AWS Gjennomgang av sky og e-post Det meste av driften skjer i skyen
Gjøre ansatte bedre til å avsløre svindel Opplæring og phishing-test Ansatte får mye e-post og håndterer betalinger
Sikre kode før lansering Kodegjennomgang og sikker utvikling Du bygger eller har fått bygget en app eller nettløsning
Ha en fagperson tilgjengelig over tid Innleie av sikkerhetskompetanse Du har flere prosjekter eller krav som må følges opp

Vil du vite hvilke tiltak som gir mest beskyttelse per krone, har vi samlet dem i guiden slik beskytter du bedriften mot dataangrep. Er bedriften usikker på om NIS2 gjelder, forklarer vi det i hva NIS2 betyr for norske bedrifter.

Hva er egentlig et sikkerhetsfunn?

Et sikkerhetsfunn er en svakhet som noen har oppdaget før en angriper utnytter den. Digdir definerer et avvik som et brudd på lover, retningslinjer eller prosedyrer, eller svakheter ved etablerte sikkerhetstiltak. En hendelse er derimot en uønsket situasjon som kan føre til brudd på informasjonssikkerheten. Funnet er altså varselet, hendelsen er det som skjer hvis ingen gjør noe.

Typiske funn i en liten eller mellomstor bedrift kan være:

  • programvare eller programtillegg som ikke er oppdatert
  • innloggingssider uten tofaktorautentisering
  • administratorsider som er åpent tilgjengelige fra internett
  • e-postdomenet mangler oppsett som hindrer at andre sender e-post i bedriftens navn
  • tidligere ansatte som fortsatt har tilgang
  • feil i nettsiden som lar en angriper hente ut data fra skjemaer eller databasen

Ikke alle funn er like farlige. Et utdatert programtillegg på en intern testside er noe helt annet enn et hull i nettbutikken der kundene legger inn betalingsinformasjon. Derfor må hvert funn vurderes for seg.

Slik håndterer du sikkerhetsfunn steg for steg

NVEs veileder for internkontroll beskriver risikovurdering som kjernen i sikkerhetsarbeidet: virksomheten identifiserer uønskede hendelser, vurderer alvorlighetsgrad og sannsynlighet, og prioriterer tiltak ut fra hvor kritiske de er. Oversatt til en vanlig hverdag i en SMB ser det slik ut:

  1. Få funnene forklart på et språk ledelsen forstår. Hvert funn bør ha en kort beskrivelse av hva som kan skje, ikke bare et teknisk navn og et CVE-nummer.
  2. Vurder konsekvensen. Hva skjer hvis noen utnytter svakheten? Tap av kundedata, stans i driften, svindel eller tapt omdømme?
  3. Vurder sannsynligheten. Er svakheten lett å finne og utnytte fra internett, eller krever den intern tilgang? Digdir anbefaler å koble utløsende hendelser til sikkerhetsbrudd og mulige konsekvenser, slik at du får et godt grunnlag for å anslå risikoen.
  4. Prioriter. Funn med høy konsekvens og høy sannsynlighet tas først. Se tabellen under.
  5. Lag en tiltaksplan. Hvert tiltak får en ansvarlig person og en frist, og planen forankres hos ledelsen.
  6. Rett feilene. Det er her mange bedrifter blir stående fast, fordi ingen internt har kompetanse eller tid.
  7. Test på nytt. Når et funn er rettet, bør det kontrolleres at hullet faktisk er lukket.

En enkel prioriteringsmodell

Lav sannsynlighet Høy sannsynlighet
Høy konsekvens Planlegg i nær fremtid Rett umiddelbart
Lav konsekvens Følg med, ta ved neste gjennomgang Rett når de viktigste er lukket

Et tenkt eksempel

Tenk deg et regnskapskontor med 15 ansatte som får tre funn etter en sikkerhetstest. Funn én: innloggingen til kundeportalen mangler tofaktorautentisering. Funn to: et programtillegg på nettsiden er to år gammelt og har en kjent sårbarhet. Funn tre: en intern skriver har standardpassord.

Kundeportalen inneholder sensitive økonomiske opplysninger, og innloggingen er åpen mot internett. Høy konsekvens, høy sannsynlighet: den rettes denne uken. Programtillegget kan utnyttes automatisk av angripere som skanner nettet, så det rettes like etter. Skriveren er bare tilgjengelig på det interne nettet og havner lenger ned på listen. Daglig leder får ansvaret for å følge opp planen, mens den eksterne fagpersonen gjør de tekniske endringene og tester etterpå.

Tre sikkerhetsfunn rangert etter prioritet og tiltak

Hvem i bedriften skal følge opp funnene?

I større virksomheter har en egen fagansvarlig for informasjonssikkerhet, ofte kalt sikkerhetsansvarlig eller CISO, ansvaret for å drive arbeidet framover og støtte ledelsen. Digdir regner også overvåking, hendelseshåndtering, måling, evaluering og revisjon som en del av styringen. Det er slik du kontrollerer at tiltakene faktisk virker.

De fleste små bedrifter har ingen CISO, og det er helt normalt. NSM peker på at små og mellomstore bedrifter uten egne ressurser ofte har mangelfulle risikovurderinger av IKT-systemene sine, og at ledelsesforankring og systematisk planlegging derfor blir avgjørende. En løsning som fungerer i praksis:

  • Daglig leder eller en utpekt leder eier tiltaksplanen og sørger for at fristene holdes.
  • En ekstern fagperson gjør de tekniske vurderingene, retter feilene og tester på nytt.
  • Ledelsen går gjennom status jevnlig, for eksempel på faste ledermøter.

Ledelsens eget eksempel teller mer enn mange tror. Digdir skriver at ledelsens holdninger setter standarden, og at ledelsen selv må følge retningslinjene. Krever du tofaktor av de ansatte, må du bruke det selv.

Slik velger du riktig hjelp

Når du skal hente inn ekstern hjelp, er det lett å bli imponert av lange rapporter og tekniske begreper. Still heller disse spørsmålene:

  • Får vi en kort oppsummering til ledelsen? Du skal forstå hva som er galt og hva det betyr for bedriften, uten å være teknisk.
  • Hjelper dere med å rette funnene? Mange leverandører leverer bare en rapport. Spør om de også gjør jobben, eller om du må finne noen andre.
  • Snakker vi direkte med den som gjør jobben? Med færre mellomledd blir spørsmål raskere besvart, og ingenting forsvinner på veien.
  • Testes det på nytt etter rettingen? Uten ny kontroll vet du ikke om hullet er lukket.
  • Kjenner dere norske regler? GDPR, NIS2 og Datatilsynets krav bør være kjent terreng.
  • Er omfanget tydelig avtalt? Du skal vite hva som testes, hva som ikke testes, og hva du får levert.

Slik kan Clevo hjelpe

Vi hjelper små og mellomstore bedrifter, særlig de uten egen IT-avdeling, med å finne sikkerhetshullene og lukke dem. Etter en sikkerhetstest av nettside, app og systemer får ledelsen en kort og forståelig oppsummering av funnene, sammen med konkrete tiltak. Deretter retter vi hullene selv, så du slipper å finne en ny leverandør for å gjøre jobben.

Clevo

Du snakker direkte med fagpersonen som jobber med systemene dine, uten selgere imellom. Vil du starte i det små, kan du ta en gratis sjekk av e-posten din først. Har du funnet en sårbarhet hos oss, ber vi deg følge retningslinjene for ansvarlig varsling.

Vårt syn: en rapport retter ingenting

Vi har sett mange bedrifter som har betalt for en sikkerhetstest og fått en tykk teknisk rapport tilbake. Den havner i en mappe, fordi ingen internt vet hva funnene betyr eller hvordan de skal rettes. Seks måneder senere er hullene der fortsatt.

Derfor jobber vi annerledes. Vi forklarer funnene slik at en daglig leder forstår dem på fem minutter, og vi sier tydelig hva som må gjøres først. Så gjør vi jobben. Det er ikke ferdig når vi har funnet et hull, det er ferdig når hullet er lukket og vi har sjekket at det holder.

For en bedrift uten IT-avdeling er dette forskjellen på å vite om risikoen og å bli kvitt den. Du skal ikke trenge å bli sikkerhetsekspert for å drive trygt. Du trenger en fagperson du kan ringe direkte, som kjenner systemene dine og tar ansvar for at tiltakene blir gjennomført.

Sejad

Vanlige spørsmål

Hva koster det å få hjelp med cybersikkerhet?

Det avhenger av hva som skal gjøres. En gjennomgang av e-post og skyoppsett er et mindre oppdrag enn en full sikkerhetstest av en nettbutikk med kundekonto og betaling. Be om et tilbud med tydelig omfang, og spør om retting av funn og ny test er inkludert.

Må vi melde sikkerhetsfunn til Datatilsynet?

Et funn i seg selv er en svakhet, ikke et brudd, og må normalt ikke meldes. Har svakheten derimot ført til at personopplysninger har kommet på avveie, er det et brudd på personopplysningssikkerheten, og da skal det meldes innen 72 timer. Er du usikker på om grensen er nådd, bør du snakke med personvernombudet ditt eller en jurist som kan personvern.

Hva er forskjellen på en sikkerhetstest og en risikovurdering?

En sikkerhetstest ser etter konkrete tekniske hull i nettsider, apper og systemer, slik en angriper ville gjort. En risikovurdering ser bredere på hva som kan gå galt i hele bedriften, hvor alvorlig det er og hvilke rutiner som mangler. Mange bedrifter har nytte av begge, og risikovurderingen hjelper deg med å avgjøre hva som bør testes.

Hvor lang tid tar det å rette sikkerhetsfunn?

Enkle funn, som å slå på tofaktor eller oppdatere et programtillegg, kan ofte rettes på kort tid. Større endringer i kode eller systemoppsett tar lengre tid og bør planlegges med en frist i tiltaksplanen. Det viktigste er at funnene med høyest risiko tas først.

Kilder

Anbefalinger