Små systemer kan bli store sikkerhetshull

Når folk tenker på dataangrep, ser de ofte for seg at angriperen går rett på de viktigste systemene.

E-post. Økonomisystem. Kunderegister. Servere. Microsoft 365.

Men i praksis starter mange angrep et helt annet sted. De starter ofte i noe mindre. Noe som nesten ingen tenker på.

Angrep starter ofte i sideinngangen

Et sikkerhetshull kan være:

• en gammel plugin på nettsiden
• et kontaktskjema
• et adminpanel
• en leverandørportal
• en gammel brukerkonto
• et glemt system
• en integrasjon ingen lenger har oversikt over
• en PC med for mye tilgang
• et passord som deles på e-post eller SMS

Dette er ofte den digitale sideinngangen til bedriften. Og angripere leter etter slike åpninger.

Hoveddøren kan være låst, men hva med vinduet?

Tenk på bedriften som et bygg. Du kan ha solid hoveddør, alarm og kamera. Men hvis vinduet inn til teknisk rom står åpent, hjelper det lite.

Slik er det også digitalt. Bedriften kan ha god sikkerhet på e-post og PC-er, men samtidig ha en gammel nettside, en usikker plugin eller et glemt system som fortsatt er tilgjengelig fra internett.

Det er ofte nok.

Hvorfor små systemer blir farlige

Små systemer blir ofte glemt fordi de bare fungerer. De ble installert en gang. Så gikk tiden. Ingen har tenkt på dem siden.

Men over tid kan det skje mye:

• systemet får ikke oppdateringer
• leverandøren slutter å vedlikeholde det
• passord blir gamle
• tidligere ansatte har fortsatt tilgang
• plugin-er får kjente sikkerhetshull
• systemet står åpent mot internett
• ingen følger med på varsler eller logger

Da kan noe som virker ubetydelig bli en vei inn.

"Det er jo bare nettsiden vår"

Mange tenker at nettsiden ikke er så viktig. Den har kanskje bare litt informasjon, noen bilder og et kontaktskjema.

Men nettsiden kan likevel være koblet til mye mer enn man tror.

• e-post
• skjemaer
• publiseringssystem
• databaser
• analyseverktøy
• leverandørtilganger
• innlogginger
• servere

Hvis noen kommer inn der, kan nettsiden bli brukt til mer enn bare å endre tekst. Den kan brukes til å lure kunder, sende falske meldinger, spre skadevare eller få tilgang videre.

Det som startet som "bare nettsiden", kan bli et større problem.

Leverandører er også en del av sikkerheten

Mange bedrifter bruker eksterne leverandører. Det kan være til IT, nettside, regnskap, lønn, kamera, adgangskontroll, markedsføring eller drift.

Det er helt normalt. Men det betyr at sikkerheten ikke bare handler om bedriften selv.

Den handler også om hvem som har tilgang på vegne av bedriften.

Et viktig spørsmål er: "Hvilke leverandører har tilgang til systemene våre, og hvor mye tilgang har de egentlig?"

Dette handler ikke om mistillit. Det handler om oversikt. God sikkerhet starter med å vite hvem som har nøkkel.

Tegn på at bedriften bør rydde opp

Bedriften bør ta en gjennomgang hvis dere kjenner dere igjen i noe av dette:

• Ingen vet helt hvilke systemer som er i bruk
• Tidligere ansatte kan fortsatt ha kontoer
• Nettsiden blir sjelden oppdatert
• Mange har administratorrettigheter
• Gamle leverandører har fortsatt tilgang
• Ingen har oversikt over plugin-er og integrasjoner
• Passord deles i e-post, SMS eller dokumenter
• Det finnes ingen enkel plan for dataangrep

Dette betyr ikke at alt er krise. Men det betyr at bedriften bør få oversikt.

Hva bør bedriften gjøre først?

Start enkelt.

Lag en liste over systemer

Skriv ned hvilke systemer bedriften bruker. Ta med e-post, nettside, økonomi, skylagring, CRM, kamera, adgangskontroll, bransjesystemer, AI-verktøy og leverandørportaler.

Første mål er ikke at listen skal være perfekt. Første mål er å få oversikt.

Finn ut hvem som har tilgang

Hvem har administratorrettigheter? Hvilke leverandører har tilgang? Har tidligere ansatte fortsatt konto?

Dette er ofte et av de viktigste tiltakene.

Oppdater systemer og plugin-er

Gamle systemer er attraktive mål. Spesielt hvis de er synlige fra internett.

Skru på tofaktor

Tofaktor gjør det mye vanskeligere å misbruke stjålne passord. Det er et enkelt tiltak som kan ha stor effekt.

Lag en enkel beredskapsplan

Hvem ringer dere hvis noe skjer? Hvem tar beslutninger? Hvordan stopper dere skade? Hvordan informerer dere kunder?

Dette bør være skrevet ned før det smeller.

Digital sikkerhet trenger ikke være komplisert

Mange venter for lenge fordi de tror digital sikkerhet er stort, dyrt og teknisk.

Men mye handler om grunnleggende orden: vite hva man har, vite hvem som har tilgang, oppdatere det som må oppdateres, beskytte kontoer og ha en plan hvis noe skjer.

Det er ikke fancy. Men det virker.

Digital Beredskap kan hjelpe

Digital Beredskap hjelper virksomheter med å gjøre digital sikkerhet forståelig og praktisk.

Vi kan bidra med enkel kartlegging av systemer og tilganger, gjennomgang av digital risiko, opplæring og foredrag, beredskapsplan ved dataangrep og sparring ved overgang til tryggere løsninger.

Målet er ikke å skremme folk med tekniske ord. Målet er å gjøre virksomheten mer robust.

For ofte er det ikke det store systemet som ryker først. Det er den lille inngangen ingen fulgte med på.