Cerise

Dark blue

i mejl om du är osäker på vem avsändaren är. Läs mer om nätfiske i guiden 

Så här ökar du din informations- och cybersäkerhet

 Genom att anta att ni förr eller senare kommer råka ut för dataintrång kan ni förebygga incidenter, i stället för att agera först när någonting hänt.


De flesta dataintrång sker på grund av den mänskliga faktorn – via den anställde. Schemalägg företagets systematiska säkerhetsaktiviteter, på motsvarande sätt som ni kör löner, håller utvecklingssamtal eller momsrapporterar. Det gäller såväl för att se över lösenord till känsliga inloggningar som vilka som har tillgång till vilken information. Gör aktiviteterna obligatoriska för samtliga anställda.

Våga ställ krav på era leverantörer och samarbetspartners


Många dataintrång inträffar tyvärr på grund av slarv med säkerhetsuppdatering och driftunderhåll. Säkerställ att inte bara ni utan även företagets leverantörer och samarbetspartners har nödvändiga rutiner för säkerhet, drift och att de gör löpande avrapportering enligt era önskemål.

Säkerhetskopiera säkert och öva på att återställa


Det är idag ganska självklart att säkerhetskopiera den data man har i företaget. Men det händer allt för ofta att mediet som säkerhetskopian lagras på är direkt kopplad till de enheter (datorer) varifrån säkerhetskopian tas. Det innebär att om enheten exempelvis blir smittad av skadlig kod, så kommer även säkerhetskopian smittas. Se därför till att mediet är frikopplad när inte säkerhetskopiering pågår. Öva också på att återställa den data som finns på säkerhetskopian. På så sätt kan ni snabbt och enkelt minimera stilleståndstiden om något händer. Kopian bör lagras offline på exempelvis extern hårddisk eller USB-minne. 


Ge aldrig ut lösenord till företagets wifi, inte ens till goda vänner, partners eller leverantörer. Sätt i stället upp ett dedikerat gästnätverk som företagets intressenter kan koppla upp sig på i samband med coworking eller teamaktiviteter. Ett gästnätverk försvårar för potentiella angripare att ta sig in i företagets it-infrastruktur.

Dataintrång betyder att någon olovligt har tillgång till information i en datasamling, exempelvis ett datasystem. Det innefattar även att någon olovligt manipulerar, raderar, ändrar eller lägger till data i ett system.

Det vanligaste sättet att genomföra dataintrång är genom stulen inloggningsinformation. Angripare ges tillgång till inloggningsuppgifter till exempel genom nätfiske. Offret kan exempelvis luras att uppge inloggningsinformation genom en inloggningssida som ser äkta ut, eller få skadlig kod på datorn genom att klicka på vad som ser ut att vara en legitim bilaga.

Initialt är angriparens viktigaste uppdrag att få offret att klicka på länken eller ladda ner filen som verkställer den skadliga koden. Så fort offret utfört gärningen som krävs för att köra den skadliga koden börjar offrets dator att infekteras.

Nu har datorn blivit sårbar och snart kan angriparen kontrollera den på distans och utan att upptäckas ta sig vidare in bland känsliga dokument, filer och kontakter.

Tyvärr är det enkla svaret på frågan att cyberbrotten är och förblir oerhört lönsamma och risken för att upptäckas är relativt liten.

Av olika anledningar undviker nästan alla företag att anmäla till polisen och ofta väljer man att betala hela eller delar av lösensumman som angriparen begär. På så vis finansierar intet ont anande företag och organisationer fortsatt brottslig verksamhet.

Parallellt med digitaliseringen och den snabba teknikutvecklingen har även cyberbrottslingarna organiserat sig. Dagens kriminella är ofta organiserade i företagsliknande strukturer.

Det finns även statligt finansierade hackergrupper med syfte att finansiera den egna statens militära behov eller spionera på andra nationer.

I närmare 85 % av cyberattackerna 2021 orsakades dataintrången av den mänskliga faktorn. Nätfiske var den vanligaste metoden angriparna använde. Riktat nätfiske, spear phishing, stod för mer än hälften av nätfiskemejlen. Bedragare kartlägger sina tilltänkta offer – vilken roll de har i företaget, vilka intressen det och hur företagets struktur ser ut – information de sedan använder för att lura sitt offer.

Hur skyddar man företaget mot dataintrång?

Företagets skydd för dataintrång består av flera delar: de anställdas kunskaper, företagets rutiner och arbetssätt samt företagets tekniska skydd.

Lär personalen känna igen tecknen på ett dataintrång

För att skydda ditt företag mot dataintrång är det viktigt att utbilda personalen i grundläggande cybersäkerhet, ha antivirusskydd och sätta upp it-policys.

Lär personalen att genom övningar och information känna igen falska mejl.

Ha tydliga rutiner och tillåtande kultur för hur personalen kan agera om de känner minsta tveksamhet rörande mejl eller sms.

Ta backuper och säkerhetskopiera företagets data

Använd automatisk molnbackup för att smidigt säkra det dagliga arbetet. Enbart digitala backuper är inte en tillräckligt säker lösning och bör kompletteras med backup på till exempel portabel hårddisk som inte är kopplad till internet. Spara din viktigaste information, den som ditt företag inte kan leva utan, på en portabel hårddisk eller USB-minne.

Öva på återställning av backuper för att säkerställa att företagets rutiner faktiskt fungerar. Tänk också på att de flesta molnlagringstjänster enbart erbjuder backup 30 dagar bakåt i tiden. Ibland fördröjs kryptering av data efter ett intrång. Se därför till att ha data säkrad för många dagar tillbaka i tiden så din backup inte är infekterad. Det är ett tänkbart scenario företaget måste ha en plan för.

Glöm inte att regelbundet ta backup på företagets hemsida! Många populära CMS, innehållshanteringssystem, är extra utsatta för attacker eller innehåller sårbarheter som kan vara svåra att skydda sig ifrån.

Undvik egenpåhittade it-lösningar och drift

Många företag dras både med föråldrad it-utrustning och it-lösningar. Ofta har en ensam grundare satt strukturen för vad som fungerade fint en gång i tiden. Parallellt med att företaget växer finns dock anledning att bland annat se över:

Var lagras och vem är leverantör av företagets e-postklient och kontorsprogramvaror?

Hur hemsidan är uppbyggd. Föråldrade lösningar som inte längre stöds utgör säkerhetsrisker.

Servrar som lagrar känslig information eller driftskritiska system bör till exempel inte vara exponerade mot internet.

Skilj på användarkonton och administratörskonton

Det är lätt att slentrianmässigt lägga upp nya användarkonton, utan att tänka på behörighetsnivå. Ett bra sätt att omedelbart minska risken för angrepp är dock att skilja på administratörskonton och användarkonton. På så sätt ges rätt person tillgång till rätt data för verksamheten samtidigt som en eventuell skada begränsas.

Ransomware är ett utpressningsvirus som låser alla datorer och mobila enheter, alternativt krypterar filer. För att återfå kontrollen krävs att företaget betalar ut en lösensumma. Om ditt företag råkar ut för ransomware bör ni aldrig betala ut lösensumman – eftersom det inte finns några garantier att problemet försvinner.

Polisanmäl och ta hjälp av de resurser som finns tillgängliga på 

. På polisens hemsida kan du läsa mer om 

. Enligt GDPR måste alla berörda parter bli informerade om det inträffat ett dataintrång om det finns en risk för id-stöld, läckta personuppgifter eller bedrägeri. Det innebär att dataintrång ibland även måste anmälas till Integritetsskyddsmyndigheten.

Det finns många exempel på kända företag som utsatts för ransomware här i Sverige, exempelvis inom dagligvaruhandeln. Ett av företagen som utsattes för ransomware hade ingen krisplan på plats när de blev utelåsta från sina system och var osäkra på hur de skulle kommunicera med varandra när deras mejl och telefoner inte fungerade. Skulle de använda sina privata mejladresser? Ha en plan redo för incidenthantering, ifall ni råkar ut för ransomware.

Fler tips på hur du kan skydda ditt företag:

Börja med att bestäm vem som har ansvar för säkerhetsfrågan.

Gör en checklista över alla säkerhetsfrågor och jobba igenom dem, ni behöver inte ha alla svar från början.

Har ni inte kunskapen inom företaget så överväg att ta hjälp av externt cybersäkerhetsföretag både preventivt och när det sker en attack.

Slå på flerstegsverifiering på alla system där det är möjligt. Använder ni exempelvis sociala medier för annonsering är det viktigt att även ha det på privata konton.

Uppdatera(patcha) ständigt all mjukvara.

Använd antivirusprogram och brandväggar.

Läs på om vilka risker och hot som finns.

Det är inte alltid bara att tuta och köra utan det finns flera säkerhetsaspekter att ta hänsyn till när du kopplar upp jobbdatorn hemma. För det första har de flesta företag en omfattande säkerhetsberedskap med specifikt anpassade brandväggar och antivirusprogram för att skydda verksamhetens känsliga uppgifter från intrång. När du plötsligt ansluter jobbdatorn mot ditt hemnätverk kan det finnas gott om nya chanser för cyberbrottslingarna att ta sig förbi de skydd som företaget har satt upp, på grund av säkerhetsbrister i ditt privata nätverk.

Ett första steg för ett säkert arbete hemifrån är att kontakta IT-avdelningen på ditt företag för att få riktlinjer om hur du ska bete dig och huruvida du måste göra vissa förändringar för att skydda dig mot skadlig kod och intrång. Förutom att skydda företaget är det skönt att veta att du har följt riktlinjerna utifall att du skulle bli utsatt för virus eller annan skadlig kod. Exempel på frågor som du kan ställa till din arbetsgivare är följande:

Var får jag lagra företagets information?

Kan jag använda en VPN-tunnel för att skydda min IP-adress?

Ska jag använda en annan uppkoppling än hemnätverkets, till exempel via jobbtelefonen.

Bör jag logga in med tvåfaktorsauktorisering.

När du använder jobbdatorn är det bara jobb som gäller

Att surfa runt på intressanta länkar eller streama sköna videoklipp är normalt användande för de flesta, men kan öka risken för att datorn blir infekterad av virus och skadlig kod. Det är därför extra viktigt att känna till företagets IT-policy. Kom även ihåg att ditt användande går att spåras, även om du använder dig av privat- eller inkognitoläge i din webbläsare. Även om företaget har ordnat med ett starkt virusskydd på datorn, kan skyddet vara anpassat efter företagets nätverk och dess restriktioner. När du kopplar upp dig på hemnätverket ändras således förutsättningarna, med tillgång till hela internet och mer eller mindre riskabla webbplatser där skadlig kod lurar bakom varje klick.

Om du inte redan har ett starkt lösenord till WiFi-routern kan du börja med att byta ut det, innan du börjar jobba hemifrån. Passa i sådant fall på att byta ut svaga lösenord till andra anslutna prylar också. Tänk på att varje sak som är uppkopplad till ditt hemnätverk kan vara en väg in för skadlig kod och digital brottslighet. Ett annat sätt att undvika liknande risker är att dela upp nätverket och skapa ett privat respektive gästnätverk, där du använder din dator på det privata.

Kolla med din IT-avdelning vad som gäller – innan du kopplar upp jobbdatorn hemma.

Uppdatera mjukvaran och skapa starka lösenord.

Dela upp ditt nätverk i ett privat och ett gästnätverk.

Blue

Dataintrång, it-attacker, fysiska inbrott, vd-bedrägerier och bolagskapningar – farorna är många för företag. Se därför till att tillsammans med kollegorna gå igenom vilka rutiner, processer och regler som gäller hos just er innan ni skiljs åt och går på ledighet. Nedan går vi igenom de vanligaste farorna och hur du kan skydda företaget från att drabbas. 

Se över nycklar, behörigheter och enheter

I det hybrida arbetslivet är det lätt att tappa kontrollen över såväl fysiska nycklar som digitala behörigheter till system och företagets enheter. Inför semestrarna rekommenderar vi på SSF att ni går igenom:

Vilka nycklar, fysiska såväl som digitala passerkort, finns till era lokaler? Vilka anställda, samarbetspartners eller leverantörer ska ges tillgång? Säkerställ att ni har en övergripande lista på vilka de här personerna är, vilken roll de har och varför de har tillgång till företagets lokaler.

Exitrutiner: Anställda som slutat, konsultavtal som löpt ut? Se till att återkalla digitala accesser och inloggningar till företagsspecifika programvaror och verktyg. Stäng omgående mejlkonton till anställda som slutat för att minska risken för missbruk. Kräv tillbaka nycklar, mobila enheter och datorer.

Låt inte stöldbegärligt gods som dyra datorer, surfplattor, mobiler eller skärmar bli stående utan tillsyn på kontoret av hänsyn till stöldrisken.

De flesta kriser börjar inifrån företaget. Det beror på att den mänskliga faktorn tyvärr är svår att skydda sig emot. Trots tydliga regler, riktlinjer och policys måste företag räkna med att undantag sker samt att anställda använder företagets enheter även till privata ärenden, vilket medför risker.

Om ni inte redan gjort det, se till att omgående installera och kontinuerligt uppdatera antivirusprogram på alla företagets datorer. 

Kommunicera en tydlig policy gentemot anställda att inga inloggningar mot företagets konton och tjänster får ske på enheter som saknar antivirusprogram.

Tänk på att vi alla har olika kunskapsnivåer och intresse för säkerhetsfrågorna. En del kanske helt enkelt låtit bli att koppla på ytterligare säkerhetslager av rädsla för att göra fel. Hjälp därför anställda att aktivera tvåstegsverifiering på sina konton, inloggningar och programtjänster

Phishing, ett annat ord för nätfiske, är ett av de vanligaste bedrägerierna mot företag idag. De flesta anställda vet att om de får ett mejl med en uppmaning att på att klicka på en länk bör de se upp, men det kan aldrig skada att informera en extra gång inför ledigheterna. 

Tyvärr blir bedrägerierna mot företag allt mer sofistikerade. I vissa fall utger sig bedragare för att vara en högt uppsatt chef inom företaget från en mejladress som ser ut att komma från rätt person. I mejlet luras den anställda att lämna ifrån sig känslig information eller göra en stor överföring pengar.

Ofta uppger avsändaren att det är bråttom och att överföringen ska ske till ett annat konto än i vanliga fall. Bedragaren har ofta registrerat en snarlik domänadress som personen den försöker imitera, samt kartlagt vilka personer på företaget som är mest benägna att bli lurade för att ha störst chans att lyckas.

Se till att alla medarbetare har kunskap för att kunna identifiera falska mejl och nätfiske. Var uppmärksam på att domänen stämmer överens med avsändarens mejladress: .se eller .com. Det förekommer att bedragare stavat namnet rätt, men att domänen är fel. På mobila enheter är det inte lika lätt att identifiera, ta för vana att bygga in ett extra kontrollager och kontrollera på dator.

Ha tydliga rutiner och riktlinjer för vad som gäller för företagets utbetalningar och transaktioner, framför allt om de ska ske till utlandet.

Vid misstanke om att något är fel: kontrollring till vd och finanschef innan någon utbetalning sker

Upprätta rutiner som innebär möjlighet att nå beslutsfattare för extra verifiering vid betalningar över ett visst belopp. Exempelvis att betalningar över 100 000 kronor alltid ska verifieras av både finanschef och vd, alternativt en i förväg överenskommen kontaktlista.

Ha rutiner för att kontrollera ändrade betalningsuppgifter för samarbetspartners och leverantörer. Får ni mejl om att en leverantör bytt kontonummer, kontrollring  via företagets växel eller till en betrodd kontakt och verifiera uppgifterna innan ni svarar på mejlet eller registrerar de nya betalningsuppgifterna.

Oavsett om det är ett phishing-försök eller fysiskt inbrott som inträffar måste alla anställda veta hur de ska göra när krisen är ett faktum. Vem ringer era anställda till om de misstänker att datorn är kapad, om de av misstag klickat upp en länk på mobilen eller noterat en obehörig i anslutning till kontoret?

Ett angrepp på företaget påverkar inte bara it – ni behöver även legala, finansiella och kommunikativa resurser för att hantera krisen. En välfungerande krisplan ska inte vara längre än max två sidor, allra helst bara en. Av krisplanen bör framgå hur ni ska agera, när, var vem och vilka som agerar och varför de behövs. Om ni har etablerade krispartners, exempelvis inom säkerhet, fysiskt skydd eller kommunikation, ska kontaktuppgifterna till dem också finnas med.

Vem som helst kan ha otur en stressig dag och göra fel. Säkerställ att företagets anställda vågar informera om missöden och incidenter så bygger ni en kultur som minskar risken för säkerhetsincidenter.

Att ha en stark IT-säkerhetskultur är avgörande för att skydda företagets data och känsliga information. Som anställd är du en viktig länk i kedjan för att skydda företaget från cyberattacker. På denna sida kan du lära dig mer om hur du kan bidra till att skapa en säker IT-miljö genom att upptäcka och rapportera cyberhot, hantera lösenord och undvika cyberattacker.

För dig som anställd

Säkra dina programvaror och appar

Skydda ditt företag mot dataintrång

Arbeta säkert hemifrån

Testa din IT-säkerhet som anställd

Datorer och mobila enheter

Säkerhetstips för en bekymmersfri julledighet