Online sikkerhed i virksomheden: den praktiske guide til små teams

Små virksomheder rammes ikke, fordi nogen har udvalgt dem. De rammes, fordi en konto manglede to-faktor, eller fordi en tidligere medarbejder stadig havde adgang. Denne guide er den rækkefølge, du bør tage tingene i, når der ikke er en it-afdeling til at gøre det for dig.

Trin 1: Få kontoadgangene på plads

• Alle medarbejdere bruger en adgangskodemanager med et fælles team-hvælv til delte logins.
• To-faktor på mail, bank, økonomisystem, domæne og hjemmeside. Brug app eller sikkerhedsnøgle frem for SMS.
• Ingen delte personlige konti. Har flere brug for adgang, skal værktøjet understøtte flere brugere.
• Mailkontoen er den vigtigste konto, I har: den kan nulstille alt det andet. Beskyt den hårdest.

Trin 2: Styr hvem der har adgang til hvad

Lav en simpel adgangsliste over jeres systemer og hvem der er med. Gennemgå den hvert kvartal. Når nogen stopper, lukkes adgangen samme dag — også til domæne, hosting, sociale medier og betalingsløsninger. Giv kun administratorrettigheder til dem, der reelt har brug for dem.

Trin 3: Genkend de angreb, der faktisk rammer danske virksomheder

Fakturasvindel. En mail beder om at ændre kontonummer på en leverandør. Regel: kontonummerændringer bekræftes altid telefonisk på et kendt nummer.

Direktørsvindel. En hastebesked, der ligner at komme fra chefen. Regel: ingen betalinger uden det aftalte to-personers-tjek.

Phishing mod login. En mail med link til en falsk login-side. Regel: log altid ind via bogmærke, aldrig via link i mail. To-faktor gør stjålne koder næsten værdiløse.

Falske MitID- eller myndighedsbeskeder. Offentlige myndigheder beder aldrig om dine MitID-koder. Er du i tvivl, gå selv ind på borger.dk eller virk.dk.

Trin 4: Backup du kan stole på

Følg 3-2-1: tre kopier, to forskellige medier, én uden for huset. Automatisk kørsel med besked ved fejl. Vigtigst: test en gendannelse mindst én gang om året — en backup, ingen har prøvet at hente ud, er en antagelse, ikke en sikkerhed. Gælder også hjemmeside, mail og økonomidata.

Trin 5: Hold hjemmesiden sikker

• HTTPS med automatisk fornyelse af certifikatet.
• Fast opdateringsrutine for CMS, temaer og plugins — og slet det, I ikke bruger.
• Stærke administratorkonti med to-faktor.
• Overvågning, der giver besked ved nedetid.

Trin 6: Skriv et beredskab på én side

Hvem ringer man til, hvis en konto er kompromitteret? Hvem kan lukke adgange? Hvor ligger backup, og hvem kan gendanne? Hvornår skal en hændelse med personoplysninger anmeldes til Datatilsynet (som udgangspunkt inden 72 timer)? Én side, som alle kan finde, er mere værd end en politik på tyve sider, ingen har læst.

Trin 7: Gør det til en rutine

• Hver måned: gennemgå nye brugere og fjern gamle.
• Hvert kvartal: tjek adgangslisten og opdateringer.
• Hvert år: test gendannelse fra backup og opdatér beredskabet.

Den korte tjekliste

1. Adgangskodemanager til alle.
2. To-faktor på mail, bank, domæne og hjemmeside.
3. Adgangsliste med kvartalsvis gennemgang.
4. To-personers-tjek på betalinger og kontonummerændringer.
5. 3-2-1 backup med testet gendannelse.
6. Opdateringsrutine for hjemmesiden.
7. Beredskab på én side.

Er de syv punkter på plads, har I fjernet størstedelen af den risiko, der reelt rammer små danske virksomheder.