IT-sikkerhedspolitik for SMV’er: En praktisk model

Et enkelt klik på et falsk link kan give uvedkommende adgang til virksomhedens mail, filer og kundedata. Derfor har en IT-sikkerhedspolitik værdi, også når virksomheden kun har få ansatte og ingen intern IT-afdeling.

Politikken skal gøre det tydeligt, hvem der har ansvar, hvordan medarbejderne arbejder sikkert, og hvad der sker ved et angreb. Den behøver ikke fylde 50 sider. En kort, konkret politik, som medarbejderne faktisk følger, beskytter bedre end et langt dokument, der ligger glemt i en mappe.

Key Takeaways

• En IT-sikkerhedspolitik skal beskrive ansvar, adgang, data, enheder og håndtering af hændelser.
• Start med minimumskrav som multifaktorgodkendelse, opdateringer, sikkerhedskopiering og adgang efter behov.
• Skriv reglerne i et sprog, medarbejderne forstår, og knyt dem til den måde, virksomheden arbejder på.
• En ekstern IT-partner kan hjælpe med drift, overvågning, dokumentation og reaktion ved sikkerhedshændelser.
• Gennemgå politikken mindst én gang om året og efter større ændringer i systemer, medarbejdere eller lovkrav.

Hvad skal en IT-sikkerhedspolitik indeholde?

En IT-sikkerhedspolitik er virksomhedens fælles regelsæt for brug af systemer, data og udstyr. Den beskriver både de tekniske krav og medarbejdernes ansvar.

Politikken bør svare på fem grundlæggende spørgsmål:

1. Hvilke systemer og data skal beskyttes?
2. Hvem må få adgang?
3. Hvordan skal medarbejderne arbejde sikkert?
4. Hvem reagerer, hvis noget går galt?
5. Hvordan kontrollerer virksomheden, at reglerne bliver fulgt?

En mindre virksomhed har ofte Microsoft 365, økonomisystem, CRM, fildeling, hjemmeside og måske et produktions- eller lagersystem. Alle disse løsninger skal med i overblikket. Det samme gælder bærbare computere, mobiltelefoner, tablets, hjemmearbejdspladser og private enheder, hvis medarbejderne bruger dem til arbejdet.

Sikkerhedspolitikken skal også nævne virksomhedens vigtigste data. Det kan være kundeoplysninger, tilbud, kontrakter, løndata, adgangskoder, produkttegninger eller regnskabsinformation. Når data er kortlagt, bliver det lettere at vælge det rigtige sikkerhedsniveau.

Hvem ejer ansvaret?

Ledelsen har det overordnede ansvar, også når en ekstern IT-leverandør står for den daglige drift. En leverandør kan overvåge systemer og udføre tekniske opgaver, men ledelsen skal beslutte, hvilke risici virksomheden accepterer, og hvor mange ressourcer der skal bruges på beskyttelse.

Udpeg mindst én intern kontaktperson. Personen behøver ikke være tekniker, men skal kunne samle spørgsmål, godkende adgang og kontakte IT-partneren. Ved fravær bør der være en stedfortræder.

Dokumentet skal desuden beskrive IT-leverandørens rolle. Det kan for eksempel være ansvar for opdateringer, backup, brugeroprettelse, antivirus, firewall og hjælp ved sikkerhedshændelser. Aftalen bør tydeliggøre, hvad leverandøren gør, og hvad virksomheden selv skal gøre.

Minimumskrav for små og mellemstore virksomheder

En god start er at skelne mellem det, virksomheden skal have på plads nu, og de tiltag, der kan bygges ovenpå senere. Minimumskravene reducerer de mest almindelige risici uden at kræve et stort sikkerhedsprojekt.

Minimumskrav

• Alle brugere skal benytte multifaktorgodkendelse, især til mail, Microsoft 365, VPN, økonomisystemer og administratoradgang.
• Hver medarbejder skal have sin egen konto. Fælles brugernavne og delte administratoradgangskoder skal undgås.
• Virksomheden skal installere sikkerhedsopdateringer på computere, servere, netværksudstyr og telefoner.
• Bærbare computere skal være krypterede, for eksempel med BitLocker på Windows-enheder.
• Data skal sikkerhedskopieres regelmæssigt, og mindst én kopi skal være beskyttet mod sletning eller ransomware.
• Medarbejderne skal vide, hvordan de rapporterer mistænkelige mails, opkald, links og tabte enheder.
• Adgang skal fjernes hurtigt, når en medarbejder stopper.
• Administratorrettigheder skal begrænses til de personer, der har brug for dem.
• Virksomheden skal have opdaterede kontaktoplysninger på ledelse, IT-leverandør og relevante systemleverandører.

Multifaktorgodkendelse er særlig vigtig, fordi en stjålet adgangskode ikke længere er nok til at logge ind. Brug gerne en godkendelsesapp eller sikkerhedsnøgle frem for SMS, hvor systemet understøtter det. Administratorer bør bruge stærkere krav end almindelige brugere.

Backup kræver mere end en automatisk kopi. Test jævnligt, om virksomheden faktisk kan gendanne filer og systemer. En backup, der aldrig er prøvet, er kun en antagelse om, at data kan reddes.

Anbefalede tiltag

Når minimumskravene fungerer, kan virksomheden udbygge beskyttelsen med:

• En adgangsmodel, hvor medarbejderne kun får adgang til de data, de har brug for.
• Central administration af computere og mobiltelefoner gennem Microsoft Intune eller en tilsvarende løsning.
• Endpoint-beskyttelse med funktioner til overvågning, blokering og undersøgelse af mistænkelig aktivitet.
• Automatisk opbevaring af sikkerhedslogs i en periode, der passer til virksomhedens behov.
• Årlige phishing-øvelser og korte sikkerhedsbriefinger for medarbejderne.
• En skriftlig plan for ransomware, datalæk, kompromitterede konti og mistede enheder.
• En årlig risikovurdering af de vigtigste systemer og leverandører.
• Regelmæssig kontrol af brugeradgange og administratorroller.

Microsoft 365 kan give et godt fundament, men sikkerheden afhænger af opsætningen og den valgte licens. Funktioner i Entra ID, Intune og Microsoft Defender for Business kræver forskellige abonnementer. En IT-partner bør gennemgå konfigurationen, så virksomheden ikke betaler for funktioner, der ikke bruges, eller mangler beskyttelse, som virksomheden tror er inkluderet.

Sådan skriver du politikken, så medarbejderne bruger den

En sikkerhedspolitik skal kunne bruges i en travl arbejdsdag. Hvis en medarbejder er i tvivl om en mail, skal svaret være let at finde. Hvis en laptop bliver væk, skal næste skridt være tydeligt.

Start med en kort indledning om formålet. Forklar, at reglerne beskytter virksomhedens drift, kunder, medarbejdere og samarbejdspartnere. Skriv derefter, hvem politikken gælder for. Det bør normalt omfatte fastansatte, vikarer, konsulenter, praktikanter og andre, der får adgang til virksomhedens systemer.

Beskriv reglerne med konkrete formuleringer. “Brug stærke adgangskoder” er for upræcist. Skriv i stedet, at hver bruger skal benytte en unik adgangskode, og at adgangskoder ikke må genbruges på tværs af tjenester. En password manager kan hjælpe med at holde styr på adgangene.

Politikken bør mindst dække disse områder:

Adgang til systemer

Angiv, hvordan nye brugere oprettes, hvem der godkender adgangen, og hvornår den fjernes. Beskriv også regler for midlertidig adgang til konsulenter og leverandører.

Brug roller i stedet for individuelle særregler, hvor det passer. En medarbejder i økonomiafdelingen kan have behov for adgang til regnskabssystemet, mens en sælger ikke skal kunne se løndata. Den enkelte konto skal dog stadig være personlig.

Administratoradgang skal bruges fra en separat administratorkonto. Den bør ikke anvendes til almindelig mail eller webtrafik. På den måde bliver en phishingmail mindre farlig, hvis en almindelig brugerkonto bliver kompromitteret.

Mail, links og filer

Medarbejderne skal kontrollere afsender, domæne, sprog og betalingsoplysninger, før de klikker eller overfører penge. En mail kan se ud til at komme fra en direktør, kunde eller leverandør, uden at den er ægte.

Ved ændringer af bankkonto eller betalingsinstruktion skal medarbejderen kontakte modtageren gennem et kendt telefonnummer. Nummeret fra den mistænkelige mail må ikke bruges til kontrol.

Sikkerhedspolitikken skal også fastlægge, hvordan medarbejderne deler dokumenter. Fortrolige filer bør ikke sendes ukrypteret til private mailadresser eller lægges på tilfældige fildelingstjenester. Microsoft SharePoint og OneDrive kan give bedre kontrol, hvis adgang og deling er konfigureret korrekt.

Udstyr og hjemmearbejde

Laptops skal låses, når medarbejderen forlader dem. Udstyr må ikke efterlades synligt i en bil eller på et offentligt sted. Virksomheden bør kunne slette data på en mistet mobiltelefon, hvis enheden bruges til mail eller dokumenter.

Reglerne skal også dække hjemmearbejde. Medarbejderen skal bruge en privat, beskyttet netværksforbindelse og undgå at udskrive fortrolige dokumenter, hvis de ikke kan opbevares sikkert. Andre personer i husstanden må ikke bruge virksomhedens computer.

Brug af private tjenester og kunstig intelligens

Skriv, om medarbejderne må bruge private mailkonti, USB-drev, fildeling eller AI-tjenester i arbejdet. Fortrolige kundeoplysninger, persondata, adgangskoder og interne dokumenter bør ikke indsættes i en offentlig AI-tjeneste uden en godkendt løsning og klare regler.

Reglerne skal være praktiske. Hvis virksomheden forbyder en bestemt arbejdsgang, skal den tilbyde et sikkert alternativ. Ellers vil medarbejderne ofte finde deres egen løsning.

Beskyt data, systemer og leverandører

En IT-sikkerhedspolitik handler ikke kun om medarbejdernes adfærd. Virksomhedens systemer skal også være indrettet, så fejl bliver sværere at begå, og angreb bliver opdaget tidligere.

Begynd med en oversigt over systemerne. Notér systemejer, leverandør, type data, brugergrupper, backup, loginmetode og afhængigheder. En simpel tabel er ofte nok:

System	Data	Ejer	Adgang	Backup
Microsoft 365	Mail og dokumenter	Ledelsen	MFA og roller	Separat Microsoft 365-backup
Økonomisystem	Regnskab og leverandører	Økonomiansvarlig	Personlige konti og MFA	Leverandørens løsning, testet årligt
CRM	Kunde- og salgsdata	Salgsansvarlig	Rollebaseret adgang	Aftales med leverandøren

Tabellen giver et hurtigt overblik, men den erstatter ikke en aftale med leverandøren. Afklar, hvor data opbevares, hvordan backup fungerer, og hvad der sker, hvis tjenesten er utilgængelig.

Mange virksomheder tror, at Microsoft 365 automatisk løser alle backupbehov. Microsoft beskytter tjenesten, men det betyder ikke nødvendigvis, at virksomheden har en uafhængig kopi af alle slettede eller krypterede data. Retention-politikker og en separat backup kan være nødvendige.

Leverandører skal vurderes efter den adgang, de får. En ekstern bogholder, IT-tekniker eller softwareleverandør kan have adgang til følsomme oplysninger. Aftaler bør beskrive adgang, logning, databehandling, sikkerhedskrav og processen ved et brud.

Personoplysninger kræver særlig opmærksomhed. GDPR kræver passende tekniske og organisatoriske sikkerhedsforanstaltninger, og databehandleraftaler kan være nødvendige, når en leverandør behandler persondata på virksomhedens vegne. Ved et brud på persondatasikkerheden skal virksomheden vurdere, om Datatilsynet skal underrettes inden for 72 timer, efter virksomheden er blevet bekendt med bruddet.

NIS2 kan også være relevant for virksomheder i bestemte sektorer eller forsyningskæder. Loven omfatter ikke automatisk alle SMV’er. Virksomheden bør dog undersøge kravene, hvis den arbejder med kritiske tjenester, energi, transport, sundhed, digital infrastruktur eller som leverandør til en omfattet organisation.

Medarbejderne skal kunne reagere uden frygt

Selv stærke tekniske kontroller kan ikke fjerne alle fejl. Derfor skal medarbejderne vide, hvad de skal gøre, når noget virker forkert.

En kort intern procedure kan være:

1. Stop med at klikke, svare eller godkende.
2. Afbryd forbindelsen, hvis computeren opfører sig mærkeligt.
3. Kontakt den interne IT-kontakt eller IT-leverandøren gennem det aftalte nummer.
4. Fortæl, hvad der er sket, og hvornår det skete.
5. Gem mailen, skærmbilleder eller andre oplysninger, hvis IT beder om dem.

En medarbejder skal kunne rapportere et fejlklik uden først at frygte en irettesættelse. Hurtig rapportering giver virksomheden bedre mulighed for at nulstille en konto, blokere en mail eller stoppe en betaling.

Sikkerhedstræning bør være kort og relevant. Brug eksempler fra medarbejdernes egne arbejdsopgaver, såsom falske fakturaer, delte SharePoint-links og beskeder om hastebetalinger. Gentag de vigtigste regler ved onboarding og mindst én gang om året.

En løsning som BitTech Phish Guard kan bruges til at opdage phishingforsøg i Outlook. Den tekniske løsning bør dog supplere, ikke erstatte, medarbejdernes vurdering og virksomhedens procedure.

Hvad skal der ske ved et sikkerhedsbrud?

En hændelsesplan skal ligge klar, før virksomheden får brug for den. Under et angreb går tiden hurtigt, og medarbejderne skal ikke lede efter telefonnumre eller diskutere ansvar fra bunden.

Planen bør beskrive:

• Hvem der træffer beslutninger.
• Hvem der kontaktes hos IT-leverandøren.
• Hvem der taler med kunder, medarbejdere og presse.
• Hvordan kompromitterede konti lukkes.
• Hvordan systemer isoleres uden at ødelægge beviser.
• Hvordan virksomheden vurderer persondata og andre følsomme oplysninger.
• Hvornår forsikringsselskab, politi, Datatilsynet eller andre myndigheder kontaktes.
• Hvordan drift og data gendannes.

Ved mistanke om ransomware bør virksomheden ikke straks slette de berørte systemer. Isolér dem, og kontakt IT-partneren. En forkert genstart eller oprydning kan fjerne oplysninger, som er vigtige for undersøgelsen.

Efter hændelsen skal virksomheden dokumentere forløbet. Hvilken konto blev ramt? Hvilke data kunne være tilgængelige? Hvor længe var systemet påvirket? Hvilke ændringer forhindrer samme hændelse i at gentage sig?

En sådan gennemgang skal handle om forbedringer, ikke om at placere skyld. Målet er at lukke den konkrete åbning og opdatere politik, teknik og træning.

Brug en ekstern IT-partner med klare aftaler

SMV’er har sjældent tid eller personale til selv at overvåge alle systemer. En ekstern IT-partner kan tage ansvar for den daglige drift, men virksomheden bør vælge partneren efter mere end pris.

Spørg blandt andet:

• Hvilke sikkerhedsopgaver indgår i den faste aftale?
• Hvem overvåger kritiske systemer uden for normal åbningstid?
• Hvor hurtigt reagerer leverandøren ved en sikkerhedshændelse?
• Hvordan dokumenteres backup og gendannelsestest?
• Hvem godkender nye administratorer?
• Hvilke sikkerhedsværktøjer og licenser anbefales?
• Hvordan håndterer leverandøren underleverandører og persondata?
• Hvad sker der, hvis samarbejdet stopper?

En fast månedlig pris kan gøre budgettet lettere at styre, men den skal beskrive serviceniveauet tydeligt. “IT-support inkluderet” siger ikke noget om overvågning, beredskab eller sikkerhedskopiering.

Det er også vigtigt at få en løsning, der passer til virksomhedens størrelse. En lille virksomhed har måske ikke brug for et stort sikkerhedscenter, men den har brug for MFA, opdateringer, backup, endpoint-beskyttelse, adgangsstyring og hjælp, når noget går galt.

Den rette partner kan desuden hjælpe med at forklare tekniske valg på almindeligt dansk. Ledelsen skal forstå, hvad der er beskyttet, hvad der ikke er, og hvilke risici der stadig findes.

Gennemgå IT-sikkerhedspolitikken hvert år

En politik bliver forældet, når virksomheden ændrer systemer, flytter i skyen, ansætter nye medarbejdere eller begynder at arbejde mere hjemmefra. Derfor bør ledelsen gennemgå den mindst én gang om året.

Gennemgangen kan følge denne korte tjekliste:

• Er alle systemer og leverandører stadig registreret?
• Har alle brugere MFA?
• Findes der gamle konti og unødvendige administratorroller?
• Er backup blevet testet?
• Kan medarbejderne finde kontaktvejen ved phishing og databrud?
• Er nye AI-værktøjer eller private tjenester blevet taget i brug?
• Er virksomhedens forsikring, databehandleraftaler og beredskab opdateret?
• Har lovkrav eller kundekrav ændret sig?
• Har medarbejderne fået træning siden sidste gennemgang?

Mål ikke kun på, om politikken findes. Kontroller også, om virksomheden følger den. En kvartalsvis kontrol af brugeradgange, backupstatus og opdateringer kan fange problemer, før de vokser.

Ledelsen bør godkende ændringerne og informere medarbejderne. Ved større ændringer skal virksomheden opdatere både dokumentet, de tekniske indstillinger og introduktionen til nye medarbejdere.

En sikkerhedspolitik skal være kort nok til at blive brugt

En IT-sikkerhedspolitik for en SMV behøver ikke være avanceret. Den skal være præcis, forankret hos ledelsen og koblet til virksomhedens konkrete systemer.

Start med minimumskravene: MFA, personlige konti, opdateringer, kryptering, backup, adgangsstyring og en klar vej til hjælp. Byg derefter videre med træning, logning, leverandørstyring og regelmæssige tests.

Hvis en medarbejder klikker på en falsk mail, skal virksomheden vide, hvem der kontaktes, og hvad der sker bagefter. Det er den praktiske prøve på, om politikken virker. God IT-sikkerhed handler derfor både om teknologi og om klare beslutninger, før presset opstår.