IT sikkerhedsløsninger der er til at forstå og til at leve med

Når man taler om IT-sikkerhed, ender mange virksomheder med at spørge: “Hvad skal vi købe?” Det er et naturligt spørgsmål – men det rigtige sted at starte er ofte: “Hvad skal vi beskytte – og hvad er konsekvensen, hvis det går galt?” For en SMV kan konsekvensen være meget konkret: nedetid, mistet omsætning, utilgængelige filer, brud på tillid eller et akut behov for at gendanne data. Derfor giver det mening at tænke IT sikkerhedsløsninger som en kombination af teknik, proces og menneskelig adfærd.

Et praktisk princip er lagdelt sikkerhed. Ét værktøj kan sjældent stoppe alt, men flere lag kan stoppe et angreb tidligt – eller i det mindste begrænse skaden. Et typisk forløb starter med en phishing-mail, hvor en medarbejder bliver lokket til at indtaste loginoplysninger eller åbne en vedhæftning. Hvis der ikke er MFA, kan en angriber komme direkte ind. Hvis enheden ikke er opdateret, kan kendte sårbarheder udnyttes. Hvis der ikke er backup, kan gendannelse blive langsom og dyr. Og hvis der ikke findes en plan for, hvem der gør hvad, kan selv en lille hændelse ende som et kaotisk forløb.

Derfor er “kedelige” ting ofte dem, der skaber mest sikkerhed: opdateringer, adgangsstyring, kryptering og backup. De er ikke spændende, men de virker. Opdateringer og patching lukker kendte huller. Kryptering sikrer, at data på en mistet eller stjålet PC ikke er lige til at læse. Backup gør, at man kan gendanne drift efter fejl, sletning eller ransomware. Og adgangsstyring (med MFA og klare roller) reducerer risikoen for, at én kompromitteret konto bliver til et fuldt kompromis.

Samtidig skal sikkerhed være driftsbar. Det betyder, at man ikke kun “sætter det op” én gang, men har rutiner for at holde niveauet: hvem følger op, hvornår gennemgås hændelser, og hvad gør man, når noget går igen? I mange virksomheder giver det mening at samle drift, support og sikkerhed i en model, hvor sikkerheden bliver en del af den løbende vedligeholdelse. På den måde bliver sikkerhed en vane i stedet for et projekt, der aldrig rigtig bliver færdigt.

Endelig skal man tage mennesket seriøst. Awareness behøver ikke være lange kurser. Det kan være korte, konkrete regler og eksempler: “Sådan ser en falsk login-side ud”, “hvad gør vi, hvis vi er i tvivl?”, og “hvem kontakter vi ved mistanke?” Når medarbejdere ved, at de må spørge, og at der findes en enkel proces, falder antallet af kritiske fejl typisk markant.

En god IT-sikkerhedsløsning er derfor ikke kun en liste af produkter – det er en kombination af kontroller, rutiner og en samarbejdsform, der passer til jeres virksomhed.