Blue

Dark blue

i mejl om du är osäker på vem avsändaren är. Läs mer om nätfiske i guiden 

Så här ökar du din informations- och cybersäkerhet

 Genom att anta att ni förr eller senare kommer råka ut för dataintrång kan ni förebygga incidenter, i stället för att agera först när någonting hänt.


De flesta dataintrång sker på grund av den mänskliga faktorn – via den anställde. Schemalägg företagets systematiska säkerhetsaktiviteter, på motsvarande sätt som ni kör löner, håller utvecklingssamtal eller momsrapporterar. Det gäller såväl för att se över lösenord till känsliga inloggningar som vilka som har tillgång till vilken information. Gör aktiviteterna obligatoriska för samtliga anställda.

Våga ställ krav på era leverantörer och samarbetspartners


Många dataintrång inträffar tyvärr på grund av slarv med säkerhetsuppdatering och driftunderhåll. Säkerställ att inte bara ni utan även företagets leverantörer och samarbetspartners har nödvändiga rutiner för säkerhet, drift och att de gör löpande avrapportering enligt era önskemål.

Säkerhetskopiera säkert och öva på att återställa


Det är idag ganska självklart att säkerhetskopiera den data man har i företaget. Men det händer allt för ofta att mediet som säkerhetskopian lagras på är direkt kopplad till de enheter (datorer) varifrån säkerhetskopian tas. Det innebär att om enheten exempelvis blir smittad av skadlig kod, så kommer även säkerhetskopian smittas. Se därför till att mediet är frikopplad när inte säkerhetskopiering pågår. Öva också på att återställa den data som finns på säkerhetskopian. På så sätt kan ni snabbt och enkelt minimera stilleståndstiden om något händer. Kopian bör lagras offline på exempelvis extern hårddisk eller USB-minne. 


Ge aldrig ut lösenord till företagets wifi, inte ens till goda vänner, partners eller leverantörer. Sätt i stället upp ett dedikerat gästnätverk som företagets intressenter kan koppla upp sig på i samband med coworking eller teamaktiviteter. Ett gästnätverk försvårar för potentiella angripare att ta sig in i företagets it-infrastruktur.

Dataintrång betyder att någon olovligt har tillgång till information i en datasamling, exempelvis ett datasystem. Det innefattar även att någon olovligt manipulerar, raderar, ändrar eller lägger till data i ett system.

Det vanligaste sättet att genomföra dataintrång är genom stulen inloggningsinformation. Angripare ges tillgång till inloggningsuppgifter till exempel genom nätfiske. Offret kan exempelvis luras att uppge inloggningsinformation genom en inloggningssida som ser äkta ut, eller få skadlig kod på datorn genom att klicka på vad som ser ut att vara en legitim bilaga.

Initialt är angriparens viktigaste uppdrag att få offret att klicka på länken eller ladda ner filen som verkställer den skadliga koden. Så fort offret utfört gärningen som krävs för att köra den skadliga koden börjar offrets dator att infekteras.

Nu har datorn blivit sårbar och snart kan angriparen kontrollera den på distans och utan att upptäckas ta sig vidare in bland känsliga dokument, filer och kontakter.

Tyvärr är det enkla svaret på frågan att cyberbrotten är och förblir oerhört lönsamma och risken för att upptäckas är relativt liten.

Av olika anledningar undviker nästan alla företag att anmäla till polisen och ofta väljer man att betala hela eller delar av lösensumman som angriparen begär. På så vis finansierar intet ont anande företag och organisationer fortsatt brottslig verksamhet.

Parallellt med digitaliseringen och den snabba teknikutvecklingen har även cyberbrottslingarna organiserat sig. Dagens kriminella är ofta organiserade i företagsliknande strukturer.

Det finns även statligt finansierade hackergrupper med syfte att finansiera den egna statens militära behov eller spionera på andra nationer.

I närmare 85 % av cyberattackerna 2021 orsakades dataintrången av den mänskliga faktorn. Nätfiske var den vanligaste metoden angriparna använde. Riktat nätfiske, spear phishing, stod för mer än hälften av nätfiskemejlen. Bedragare kartlägger sina tilltänkta offer – vilken roll de har i företaget, vilka intressen det och hur företagets struktur ser ut – information de sedan använder för att lura sitt offer.

Hur skyddar man företaget mot dataintrång?

Företagets skydd för dataintrång består av flera delar: de anställdas kunskaper, företagets rutiner och arbetssätt samt företagets tekniska skydd.

Lär personalen känna igen tecknen på ett dataintrång

För att skydda ditt företag mot dataintrång är det viktigt att utbilda personalen i grundläggande cybersäkerhet, ha antivirusskydd och sätta upp it-policys.

Lär personalen att genom övningar och information känna igen falska mejl.

Ha tydliga rutiner och tillåtande kultur för hur personalen kan agera om de känner minsta tveksamhet rörande mejl eller sms.

Ta backuper och säkerhetskopiera företagets data

Använd automatisk molnbackup för att smidigt säkra det dagliga arbetet. Enbart digitala backuper är inte en tillräckligt säker lösning och bör kompletteras med backup på till exempel portabel hårddisk som inte är kopplad till internet. Spara din viktigaste information, den som ditt företag inte kan leva utan, på en portabel hårddisk eller USB-minne.

Öva på återställning av backuper för att säkerställa att företagets rutiner faktiskt fungerar. Tänk också på att de flesta molnlagringstjänster enbart erbjuder backup 30 dagar bakåt i tiden. Ibland fördröjs kryptering av data efter ett intrång. Se därför till att ha data säkrad för många dagar tillbaka i tiden så din backup inte är infekterad. Det är ett tänkbart scenario företaget måste ha en plan för.

Glöm inte att regelbundet ta backup på företagets hemsida! Många populära CMS, innehållshanteringssystem, är extra utsatta för attacker eller innehåller sårbarheter som kan vara svåra att skydda sig ifrån.

Undvik egenpåhittade it-lösningar och drift

Många företag dras både med föråldrad it-utrustning och it-lösningar. Ofta har en ensam grundare satt strukturen för vad som fungerade fint en gång i tiden. Parallellt med att företaget växer finns dock anledning att bland annat se över:

Var lagras och vem är leverantör av företagets e-postklient och kontorsprogramvaror?

Hur hemsidan är uppbyggd. Föråldrade lösningar som inte längre stöds utgör säkerhetsrisker.

Servrar som lagrar känslig information eller driftskritiska system bör till exempel inte vara exponerade mot internet.

Skilj på användarkonton och administratörskonton

Det är lätt att slentrianmässigt lägga upp nya användarkonton, utan att tänka på behörighetsnivå. Ett bra sätt att omedelbart minska risken för angrepp är dock att skilja på administratörskonton och användarkonton. På så sätt ges rätt person tillgång till rätt data för verksamheten samtidigt som en eventuell skada begränsas.

Ransomware är ett utpressningsvirus som låser alla datorer och mobila enheter, alternativt krypterar filer. För att återfå kontrollen krävs att företaget betalar ut en lösensumma. Om ditt företag råkar ut för ransomware bör ni aldrig betala ut lösensumman – eftersom det inte finns några garantier att problemet försvinner.

Polisanmäl och ta hjälp av de resurser som finns tillgängliga på 

. På polisens hemsida kan du läsa mer om 

. Enligt GDPR måste alla berörda parter bli informerade om det inträffat ett dataintrång om det finns en risk för id-stöld, läckta personuppgifter eller bedrägeri. Det innebär att dataintrång ibland även måste anmälas till Integritetsskyddsmyndigheten.

Det finns många exempel på kända företag som utsatts för ransomware här i Sverige, exempelvis inom dagligvaruhandeln. Ett av företagen som utsattes för ransomware hade ingen krisplan på plats när de blev utelåsta från sina system och var osäkra på hur de skulle kommunicera med varandra när deras mejl och telefoner inte fungerade. Skulle de använda sina privata mejladresser? Ha en plan redo för incidenthantering, ifall ni råkar ut för ransomware.

Fler tips på hur du kan skydda ditt företag:

Börja med att bestäm vem som har ansvar för säkerhetsfrågan.

Gör en checklista över alla säkerhetsfrågor och jobba igenom dem, ni behöver inte ha alla svar från början.

Har ni inte kunskapen inom företaget så överväg att ta hjälp av externt cybersäkerhetsföretag både preventivt och när det sker en attack.

Slå på flerstegsverifiering på alla system där det är möjligt. Använder ni exempelvis sociala medier för annonsering är det viktigt att även ha det på privata konton.

Uppdatera(patcha) ständigt all mjukvara.

Använd antivirusprogram och brandväggar.

Läs på om vilka risker och hot som finns.

Antivirus och tekniska it-lösningar är givetvis viktiga, men för att säkerhetsarbetet ska fungera långsiktigt finns betydligt fler bitar som måste struktureras upp.

I dag tipsar vi om 6 konkreta steg som hjälper verksamheten att komma igång!

Vem äger säkerhetsfrågan? På mindre arbetsplatser är det inte en självklarhet att det finns en it- eller säkerhetschef. Utan någon som ansvarar för säkerhetsfrågorna är det enda ni kan vara säkra på att ni antagligen inte är särskilt säkra. Att utse en dedikerad arbetsgrupp är ett bra sätt att börja ta tag i er säkerhet. Att vara fler säkerställer även kontinuitet i ert arbete och minskar risken att saker och ting faller mellan stolarna för att enbart en person tagit på sig extra arbetsuppgifter.

Krångla inte till det! Ni behöver inte ha alla svaren på en gång. En bra första början kan till exempel vara att ni listar alla it-, it-säkerhet och säkerhetsfrågor ni upplever stress eller osäkerhet kring just nu och därefter göra en prioriteringsordning av dem. Ett annat sätt att börja strukturera upp säkerhetsfrågorna kan vara att tematisera dem utifrån ett antal övergripande rubriker, exempelvis mobiltelefoner, nätverk, inloggningssäkerhet, antivirus och så vidare.

Ok. Nu har ni inventerat läget och antagligen konstaterat att det finns en hel del att ta tag i. Gör inte misstaget att få panik och försöka lösa allt omedelbart. Ta istället fram en realistisk 12-månaders plan som baserar sig de aktiviteter som ni bedömt vara mest tidskritiska.

Varför inte ta ett säkerhetstema i taget? Se över alla era inloggningar och se till att få tvåfaktorsautenticering på plats nu i april, ta backupfrågorna i maj, VPN i juni och så vidare. De flesta överskattar vad som kan bli gjort på en månad och underskattar vad som kan ske under ett år.

4. Hitta rutiner som utgår ifrån er verklighet

Glöm inte bort personalen! Givetvis måste ni tänka till kring tekniken, men ingen kedja är svagare än dess svagaste länk. Vi vill slå ett slag för rutiner som stöttar verksamheten - så som den faktiskt ser ut. Att försöka införa någon form av manuell säkerhetsrutin exakt samma dag som lönerna ska köras eller säljteamet ringer kalla samtal är kanske inte upplagt för succé...Mer realistiska steg kan istället handla om att sluta lagra dokument lokalt och få en molndelningsrutin på plats eller att säkerställa att alla i personalen har rätt kunskapsnivå om it-säkerhet.

I hetsen att skydda sig mot de digitala brottslingarna är det lätt att glömma bort vardagsriskerna.

Lämna aldrig företagets mobiler eller datorer i bilen.

Undvik att enheterna är synliga på offentliga platser.

Använda säkerhets- eller skärmfilter som skyddar insyn från sidan när ni jobbar på tåg, flygplats eller café.

Låsa in bärbara datorer över natten och ha en policy för förvaring hemma över natten.

Glöm inte heller att utbilda personalen!

Många säkerhetshot emanerar från spel- och porrsajter som givetvis bör vara blockerade på samtliga företagets enheter. Dra er inte för att ta upp frågan i organisationen. Våga ta fram och kommunicera en tydlig policy för hur ni övervakar och reglerar nätverkstrafik, samt vilken användning som är tillåten på företagets enheter.

Som företagsledare är du ansvarig för att skydda företagets känsliga information och data mot cyberhot såsom ransomware och cyberattacker. Här kan du som chef lära dig mer om vilka åtgärder du kan vidta för att minimera risken för dataintrång, hur du kan utbilda dina anställda om säkerhet och hur du kan skapa en stark IT-säkerhetskultur i ditt företag.

För dig som chef