Dette bør MEF-bedriftene gjøre nå:
For de fleste små og mellomstore entreprenører er det viktigste å begynne med noen konkrete grunnleggende tiltak.
1. Start med cybersjekken
Gå inn på cybersjekk.no. Der kan virksomheten få et bilde av egen sikkerhetstilstand og råd om hvilke tiltak som bør prioriteres.
Dette er et godt sted å starte for bedrifter som er usikre på hvor de største sårbarhetene ligger.
2. Sørg for sikker innlogging
NSM anbefaler phishing-resistent flerfaktorautentisering.
Flerfaktorautentisering bør som et minimum brukes på sentrale tjenester som e-post, Microsoft 365, økonomi- og administrative systemer og andre løsninger som inneholder viktig informasjon eller gir tilgang videre inn i bedriftens systemer.
Les mer om NSMs anbefaling om phishing-resistent autentisering.
3. Hold utstyr og programvare oppdatert
PC-er, mobiltelefoner, servere og annet digitalt utstyr må oppdateres jevnlig. Gammelt utstyr og programvare som ikke lenger mottar sikkerhetsoppdateringer, bør fases ut.
Også digitalt utstyr ute på anlegg bør inngå i denne vurderingen dersom det er koblet til bedriftens nettverk eller internett.
4. Skaff oversikt over hva dere faktisk har
Bedriften bør ha oversikt over hvilke enheter og hvilken programvare som brukes.
En slik kartlegging gjør det lettere å oppdage om bedriften bruker produkter med kjente sikkerhetshull og hvilke systemer som må oppdateres dersom en ny sårbarhet blir kjent.
5. Ta sikkerhetskopi, og test at den virker
NSM anbefaler regelmessig sikkerhetskopiering av virksomhetens data.
Men det er ikke nok å konstatere at det tas backup. Bedriften bør også teste at informasjon og systemer faktisk kan gjenopprettes dersom den blir utsatt for for eksempel løsepengevirus eller et større systemhavari.
6. Begrens hvem som har tilgang
Ansatte bør som hovedregel bare ha tilgang til informasjonen og systemene de trenger for å gjøre jobben sin.
Administratorrettigheter og tilganger til driftskontoer bør begrenses. Standardpassord på IKT-utstyr bør også endres før utstyret tas i bruk.
7. Still krav til leverandørene
NSM peker spesielt på risikoen knyttet til leverandørkjeder.
For en entreprenørbedrift som har satt ut hele eller deler av IT-driften, er dette særlig viktig. At en ekstern leverandør drifter systemene, betyr ikke at virksomhetens ansvar for sikkerheten forsvinner.
Bedriften bør vite hvilke leverandører som har tilgang til systemer og data, hvilke sikkerhetsrutiner de har, og hvordan leverandørene vil håndtere en alvorlig cyberhendelse.
Det samme gjelder underleverandørene deres.
8. Bestem hva dere gjør når systemene går ned
Ikke vent med å lage planen til angrepet har skjedd.
Bedriften bør ha et enkelt planverk for hvem som gjør hva dersom sentrale systemer blir utilgjengelige. Det bør være klart hvem som skal kontaktes, hvem som kan ta beslutninger og hvordan virksomheten kan opprettholde de viktigste funksjonene mens hendelsen håndteres.
Sørg også for at kritiske telefonnumre og kontaktopplysninger er tilgjengelige dersom dere ikke kommer inn på e-post eller andre digitale systemer.
Små bedrifter kan være veien inn til større virksomheter
Et viktig budskap fra NSM er at cyberangrep ikke bare rammer de store virksomhetene.
Underleverandører kan være interessante fordi de har informasjon, digitale forbindelser eller tilgang til virksomheter lenger opp i en leverandørkjede.
MEFs råd er derfor: Ikke vent på at dere skal bli utsatt. Start med cybersjekken, finn de største svakhetene og sørg for at de viktigste sikkerhetstiltakene både er gjennomført og testet.
Mer informasjon og flere tiltak finnes i NSMs grunnprinsipper for IKT-sikkerhet.