IT-säkerhet för mindre företag: de tre vägarna in, i rätt ordning

Säkerhetsråd till mindre företag har en tendens att bli en lista på tjugo punkter där alla framställs som lika viktiga. Resultatet blir antingen att ingenting blir gjort, eller att det som blir gjort är det som var enklast att köpa. Den här genomgången är i stället en ordning: vad som stoppar flest angrepp per krona och arbetstimme, och varför.

Utgångspunkten är att angrepp mot mindre företag sällan är riktade och sällan är avancerade. De kommer i huvudsak in tre vägar: genom en inloggning som någon annan har fått tag i, genom något som står öppet mot internet och inte har uppdaterats, och genom att en människa blir ombedd att göra något som ser rimligt ut. Nästan allt annat är underordnat de tre, och det är därför de kommer först här.

Väg 1: inloggningen

De flesta intrång börjar inte med kod utan med ett korrekt lösenord. Det kan komma från ett läckage hos en helt annan tjänst där någon återanvänt samma lösenord, från en falsk inloggningssida, eller från skadlig kod på en privat dator som samlar in sparade lösenord från webbläsaren. Angriparen loggar sedan in som en anställd, och för systemet ser det ut som vanligt arbete.

Därför är flerfaktorsautentisering den enskilt mest verkningsfulla åtgärden, och den ska sitta på e-posten och på all fjärråtkomst innan den sätts någon annanstans. Men alla metoder är inte lika starka. En engångskod går att lura ur någon i realtid på en falsk inloggningssida, och en godkännanderuta som poppar upp femton gånger om dagen trycker folk bort av ren vana. Metoder som är bundna till enheten och till adressen man loggar in på — säkerhetsnycklar och passkeys — stoppar den vanligaste varianten av angreppet i stället för att bara fördröja det.

Sedan kommer ordningen på kontona. Den som administrerar ska inte administrera från samma konto som läser e-post. Konton för personer som slutat ska stängas, och det förutsätter att någon äger rutinen — i praktiken är det den vanligaste öppna dörren i ett mindre företag, eftersom ingen upptäcker ett konto som inte används. Delade konton som flera personer loggar in på har ingen ägare och ingen spårbarhet, och bör avvecklas även när det är obekvämt.

Väg 2: det som står öppet mot internet

Allt som är nåbart utifrån är en dörr, och dörrar behöver underhåll. Det som brukar finnas utan att någon längre minns varför: fjärrskrivbord publicerat direkt mot internet, administrationsgränssnittet på brandväggen eller VPN-lösningen, en portöppning som sattes upp för en leverantör för flera år sedan, kameror och inspelningsenheter, skrivare, skärmar och fastighetssystem.

Gör en inventering av vad som faktiskt är publicerat, och gör den utifrån — inte från kontorsnätet. Ett enkelt sätt är att testa mot företagets adress från ett mobilnät i stället för från kontoret, eftersom det är den vyn en angripare har. Allt som svarar och som ingen kan motivera ska stängas.

Uppdateringar bör prioriteras i samma ordning. Utrustning som sitter i kanten mot internet är det som utnyttjas snabbast efter att en sårbarhet blir offentlig, ofta i automatiserad skala mot alla adresser som svarar. Den utrustningen går först, resten därefter. Och utrustning som inte längre får säkerhetsuppdateringar går inte att konfigurera sig ur — den ska antingen bytas eller lyftas bort från internet.

Segmentering hör hit. Kameror, passersystem, betalterminaler, skärmar och sensorer ska inte ligga på samma nät som arbetsdatorerna, och gästnätet ska vara ett eget segment och inte ett andra lösenord. Det begränsar hur långt någon kommer från den första enheten, och det är den åtgärd som ger mest säkerhet per krona när nätet byggs. Det är en del av arbetet med cybersäkerhet i nätverkslagret snarare än en produkt att köpa separat.

Väg 3: människan och betalningarna

Den mest lönsamma attacken mot ett mindre företag är sällan kryptering av filer. Det är ett ändrat bankkontonummer på en faktura. Angriparen läser med i e-posten under en tid, lär sig hur ni skriver och vilka leverantörer ni har, och skickar sedan ett mejl som ser ut att komma från rätt person vid rätt tidpunkt i ett pågående ärende.

Skyddet mot det är en rutin, inte en produkt. Ändrade betalningsuppgifter verifieras alltid genom ett telefonnummer ni redan hade, aldrig genom numret som står i mejlet. Nya betalningsmottagare och belopp över en gräns ni själva sätter godkänns av två personer. Brådska i ett mejl om pengar behandlas som en varningssignal, inte som ett skäl att gå snabbare — brådskan är själva verktyget.

Utbildning fungerar när den är kort och återkommande i stället för en genomgång en gång om året. Det viktigaste är dock kulturen runt misstag: det ska vara tryggt och snabbt att säga "jag tror att jag klickade på något". Ett rapporterat klick kostar några minuter. Ett dolt klick kostar veckor.

Säkerhetskopior: det enda som gäller när resten misslyckades

Backup är inte en kopia, det är en kopia som angriparen inte kommer åt. Om säkerhetskopiorna ligger i samma system, nås med samma administratörskonto och kan raderas därifrån, så är de en del av det som går sönder. Det behövs minst en kopia som är avskild — offline, hos en annan part eller skrivskyddad på ett sätt som inte går att ändra med de inloggningar som finns i den vanliga driften.

En säkerhetskopia som aldrig har återställts är en hypotes. Testa en riktig återställning, mät hur lång tid den tar och jämför tiden med vad verksamheten klarar. Är återställningstiden längre än vad ni tål är det antingen backuplösningen eller tålamodet som ska ändras, och det är ett beslut som ska fattas i förväg i stället för under en pågående incident.

Glöm inte det som ligger i molntjänster. E-post, filer och affärssystem hos en leverantör skyddas av leverantören mot att deras egen plattform går sönder — inte mot att någon med era inloggningar raderar innehåll, och inte alltid längre bakåt i tiden än en kort period. Läs vad som faktiskt ingår innan ni antar att det är täckt.

Loggar, larm och vem som bestämmer

När något har hänt är den första frågan alltid vad som hände, och den går bara att besvara om det finns loggar och om de sparas längre bakåt än några dagar. Ta reda på vilka loggar som finns i de system ni redan betalar för och hur långt bakåt de går. Det avgör både hur städningen efteråt kan göras och vad ni kan svara på om ni får en fråga från en kund eller en myndighet.

Skriv också en incidentplan på ett enda papper. Vem fattar beslutet att koppla ner? Vem pratar med kunder? Vem kontaktar försäkringsbolaget, och vilka nummer gäller? Kontaktlistan ska finnas utskriven, av det enkla skälet att den annars ligger i det system ni inte kommer åt. Den svåraste frågan är den om mandat: vem får stoppa verksamheten, och får den personen göra det klockan två på natten utan att först nå någon annan?

Vad ni ska fråga er IT-leverantör

Om driften ligger hos någon annan är det de här frågorna som visar var ni faktiskt står: Vad är publicerat mot internet från våra adresser i dag? Vilka har administratörsrättigheter, och varför? Hur verifieras att säkerhetskopiorna går att återställa, och när gjordes det senast? I vilken ordning uppdateras utrustningen i kanten? Hur får vi veta att något har hänt, och hur snabbt? Vad ingår i avtalet och vad är tillval?

Be om svaren skriftligt och be om dokumentationen över hur miljön är byggd som en leverans. Ett nät och en it-miljö som bara leverantören kan beskriva är en miljö ni inte äger, och det blir en kostnad den dag ni vill byta leverantör eller behöver någon annan att felsöka.

Regelverken flyttar kraven nedåt

Många mindre företag omfattas inte direkt av de skärpta kraven i NIS2, men får dem ändå — via avtal, för att de levererar till någon som omfattas. Då kommer kraven som frågor i en upphandling eller som klausuler i ett leverantörsavtal, och de ska besvaras med något som faktiskt finns på plats. Vad direktivet innebär och vem som berörs går vi igenom separat.

Så jobbar vi

Bredband3 äger inget eget nät. Vi är operatörsoberoende och sätter ihop uppkopplingen utifrån vad som går att leverera på er adress. Det vi gör i säkerhetsväg ligger i nätverkslagret: brandvägg, segmentering, filtrering och åtkomststyrning, tillsammans med det lokala nätet. Vi är inte ett säkerhetsbolag och tar inte över er it-drift — men den del av skyddet som sitter i nätet kan vi ta ansvar för, och det är ofta den del som är billigast att göra rätt och dyrast att göra om.

Kundtjänst och support är vår egen och sitter i Sverige, så ni har samma kontaktväg oavsett vilket underliggande nät som används. Vad som går att leverera på just er adress och vilka åtaganden som gäller beror på adress och teknik, och skrivs in i avtalet.

Har ni en lista över era adresser och en bild av vilka system som måste nås utifrån, skicka den så tar vi med segmentering och åtkomst i förslaget från början. Begär offert så återkommer vi.

Vill ni gå vidare hittar ni mer om cybersäkerhet i nätverkslagret, nätverkslösningar med segmentering, nät för butik och retail och nät för vård och omsorg.