Ifølge undersøgelsen ’Cybercrime Survey 2019’ fra PwC har 51% af danske virksomheder været udsat for en eller flere sikkerhedshændelser inden for det sidste regnskabsår. Men på trods af det og på trods af det store fokus, der har været fra blandt andet regeringens side, så går det stadig for langsomt med at få etableret den fornødne beskyttelse mod cybertrusler.
”Det går fremad, men der er ingen tvivl om, at det går langsomt fremad. Og samtidig så starter vi et godt stykke fra målet. Der er desværre stadig mange virksomheder, der ikke er kommet med eller er kommet langt nok. Fx viser vores seneste medlemsanalyse, at kun halvdelen af virksomhederne har en it-sikkerhedspolitik. Det er noget, alle bør have,” siger Christian von Stamm Jonasson, Erhvervspolitisk Konsulent hos Dansk Erhverv, og forsætter:
”Mange har desværre den vildfarelse, at det ikke er dem, der bliver hacket - at det kun er de store virksomheder, der bliver ramt.”
Men intet kunne være længere fra sandheden. For alle virksomheder er som udgangspunkt et mål. Det eneste, det kræver, er, at virksomheden har noget, der er koblet til internettet, og så kan og vil den blive udsat for en eller anden form for angreb.
”Der findes klart hackergrupper, der benhårdt går efter statsorganisationer, banker eller finansielle institutioner, men langt de fleste angreb når langt bredere ud, og rigtig mange virksomheder bliver ramt, når de it-kriminelle skyder med spredehagl,” pointerer Christian von Stamm Jonasson.
De mange adgangsveje
Når mange virksomheder stadig ikke har etableret den fornødne it-sikkerhed, skyldes det ifølge Christian von Stamm Jonasson typisk, at de ikke er klar over, at der altid er noget at komme efter for de cyberkriminelle.
”Langt de fleste virksomheder har værdifulde data. Det kan fx være patenter, forretningshemmeligheder, designs, persondata og så videre, som det kan have en konkret værdi at stjæle,” mener Christian von Stamm Jonasson.
Men også virksomheder, der ikke tror, de har noget spændende liggende, kan være interessante for cyberkriminelle. For også ting som uudnyttet processorkraft har nemlig stor værdi. En anden ting, virksomhederne skal være opmærksom på, er de såkaldte botnet og DDoS-angreb.
Botnet er en hær bestående af mange tusind såkaldte zombie-enheder, der til enhver tid kan aktiveres og benyttes i storstilede angreb mod såvel virksomheder som organisationer.
DDoS-angreb foregår ved, at alle zombie-enhederne samtidig sender trafik til offeret. Trafikken opnår på et tidspunkt så stor volumen, at systemet overbelastes og stopper med at fungere.
”Det er ikke kun pc’er, de kriminelle kan stjæle processorkraft fra. Alle enheder på netværket kan i princippet udnyttes. Vi har tidligere set, hvordan fx webcams er blevet brugt til storstilede DDoS-angreb,” forklarer Christian von Stamm Jonasson.
”I 2016 blev et botnet, som blandt andet bestod af netop webcameraer, brugt til at angribe internetserviceudbyderen DYN. Angrebet lagde DYN – og dermed også mange af deres store kunders hjemmesider fx Twitter, Amazon og Spotify – ned.”
Virksomheder, hvis pc’er og andre forbundne enheder udnyttes af cyberkriminelle, ved ofte ikke, at de er inficerede. Det ondsindede program er meget lille og gør sit bedste for ikke at blive opdaget.
”Derfor er det nødvendigt med et løft af it-sikkerheden på tværs af brancher og virksomhedsstørrelser, så vi får alle med. Vi har et fælles ansvar, fordi ubeskyttede enheder kan bruges som cybervåben til at angribe andre, og derfor skal opgaven med at forbedre it-sikkerheden også løses i fællesskab,” fremhæver Christian von Stamm Jonasson.
Endelig er der situationen, hvor virksomheder samarbejder med hinanden. Her er det meget vigtigt, at sikkerhedsniveauet er højt hos alle. For kæden er ikke stærkere end det svageste led. Hvis de cyberkriminelle kan komme ind i den ene virksomhed, så kan de smutte med over i den næste, hvis de to virksomheder har etableret systemadgang imellem sig.
”Derfor er det vigtigt at stille krav til, at dine samarbejdspartnere har et passende sikkerhedsniveau og har taget forholdsregler, som tager udgangspunkt i en konkret risikovurdering. Det kan man sikre gennem kontraktstyring, hvor kravene til it-sikkerhed fremgår af en kontrakt mellem de respektive samarbejdspartnere,” slutter Christian von Stamm Jonasson.
Gode råd
Alle virksomheder bør lave en it-sikkerhedspolitik, som giver et samlet overblik over virksomhedens it-systemer, data og risiko og placerer ansvaret for it-sikkerhed. Derudover er der nogle helt konkrete sikkerhedstiltag, som virksomheder bør implementere fx:
- Få overblik over data og systemer – og lav en vurdering af, hvor vigtige de er for din forretning, og hvilken risiko, virksomheden er villig til at løbe
- Husk at tage backup – og sørg for at teste, om den virker, som den skal
- Opdater styresystemer og programmer – slå automatisk opdatering til, hvor det er muligt
- Undervis medarbejdere i gode digitale vaner
- Stil krav til it-sikkerheden hos leverandører og samarbejdspartnere