Når Jysk IT taler om en sikker fremtid, handler det om mere end antivirus, firewalls og backup.
”Når vi siger ‘sikker fremtid’, handler det om at se længere end den enkelte IT-løsning og forstå den forretning, vi skal understøtte. Hvor tjener virksomheden sine penge? Hvor vil den gerne være om 2-3 år? Hvad er virksomhedens vigtigste målsætninger? Hvilke systemer og arbejdsgange er helt afgørende for, at hverdagen fungerer? Og hvor vil det gøre mest ondt, hvis noget går galt? Det er den forståelse, der skal danne grundlag for de prioriteringer, man træffer omkring IT og sikkerhed,” siger Martin Riiser, administrerende direktør i Jysk IT, og tilføjer, at mange af de virksomheder, der er omfattet af NIS2, fortsat har arbejde foran sig for at leve op til kravene.
Cybersikkerhed er i høj grad blevet en central ledelsesopgave, idet ledelsen skal tage stilling til risiko, investeringer, ansvar og virksomhedens fremtidige IT-miljø. Det gælder også AI. Mange steder tager medarbejderne AI-værktøjer i brug på mere eller mindre tilfældig vis, og det sker hurtigere, end virksomheden kan nå at få fastlagt rammerne.
”Ledelsen er nødt til at tage stilling til, hvad medarbejderne må og ikke må, og hvordan AI skal bruges. Men det handler også om at sikre, at medarbejderne kan bruge de nye muligheder på en forsvarlig måde,” siger Martin Riiser.
Et IT-eftersyn med rød, gul og grøn
Når Jysk IT møder en ny kunde, begynder arbejdet typisk med en sikkerhedsgennemgang, som Martin Riiser sammenligner med en tilstandsrapport.
”Vi støder ofte på kunder, der siger, at de har en cybersecurityforsikring, og det må vel være nok. Men vi hjælper med at sikre, at de rent faktisk opfylder de krav, der skal til, for at forsikringen dækker.”
I Jysk IT’s sikkerhedsgennemgang gennemgås IT-miljøet grundigt, og områderne markeres som røde, gule eller grønne.
”Det kan være, at der er tre områder, der er røde. Så er det dem, vi anbefaler, at virksomheden gør noget ved først,” siger han.
Et typisk problem er, at sikkerheden er vokset frem som forskellige løsninger. Der kan være sikkerhedssoftware på medarbejdernes computere, men ingen klar strategi for backup. Netværket kan være beskyttet ét sted, mens adgangsstyringen halter et andet sted.
”Vi oplever mange virksomheder, som er godt beskyttet på enkelte områder, men hvor der ikke er sammenhæng mellem tingene. Derfor ser vi både på netværket, på hvor og hvordan data bliver gemt, og på den enkelte medarbejders udstyr og adfærd,” siger Martin Riiser.
Han understreger, at stabil drift og stærk sikkerhed ikke er to forskellige discipliner, men to sider af samme sag.
Henrik Zankel, chef for Drift & Udvikling i Jysk IT, formulerer det således:
”Stabil drift og stærk sikkerhed skal tænkes sammen. Arbejdet stopper ikke, når en løsning er installeret. Der skal være styr på adgange, opdateringer, backup og løbende vedligeholdelse - og klare aftaler om, hvem der gør hvad. Jysk IT tester derfor løbende, om udvalgte dele af kundernes data kan genskabes, hvis noget går galt.”
Besværlig sikkerhed - men nedbrud er værre
Mere sikkerhed kan give lidt ekstra friktion i hverdagen, der opleves som besværligt af medarbejderne.
”Tiltag som flerfaktorgodkendelse og strammere adgangskontrol kan opleves som mere besværlige, hvis de ikke implementeres rigtigt. Derfor handler det om at finde den rette balance og designe sikkerheden, så den både beskytter virksomheden og giver simpel og stærk brugervenlighed i medarbejdernes hverdag,” siger Martin Riiser.
Slækker man for meget på sikkerheden, er risikoen større. Hvis virksomheden rammes af ransomware, mister adgang til sine systemer eller får kompromitteret sine data, kan driften gå helt i stå.
Og det er ikke kun store virksomheder, der bliver ramt, påpeger Martin Riiser. Han fortæller om en mindre dyrlægepraksis, der fik låst sine data og blev mødt med krav om løsesum. Virksomheder i den størrelse kan let forfalde til at tænke, at de er for små til at være interessante mål.
”Men det er de ikke. Et angreb kan ramme alt fra kundekartotek og journaler til fakturaer og personoplysninger. For en mindre virksomhed kan det være meget voldsomt,” siger han.
Samtidig bliver angrebene sværere at gennemskue. Jysk IT gennemfører blandt andet simulerede phishing-kampagner hos kunder for at afdække, hvor let medarbejderne lader sig narre.
”Phishing-mails er blevet ekstremt gode. De kan ligne noget fra DHL, GLS eller andre kendte virksomheder og se utroligt realistiske ud.”
Derfor handler sikkerhed også om virksomhedskultur. Hvis en medarbejder er i tvivl, skal det være helt normalt og nemt at spørge.
”Nogle kunder siger direkte til os: ’Vi gider ikke forstå alt det her, vi vil bare have det til at virke.’ Det er meget forståeligt. Vores opgave er at gøre det overskueligt og hjælpe dem med at stille de rigtige spørgsmål,” siger Martin Riiser og tilføjer, at kunder med en supportaftale hos Jysk IT typisk modtager svar inden for et minut.
Backup er ikke det samme som at kunne gendanne
Et område, hvor der let opstår falsk tryghed, er backup. Mange virksomheder konstaterer, at de har backup, og regner dermed problemet for løst. Men det afgørende spørgsmål er ikke kun, om data bliver kopieret, men om de faktisk kan genskabes.
”Der er stor forskel på at have en kopi af sine data et sted og på at have en backup-løsning, man har tillid til. Vi anbefaler professionelle backupløsninger med styr på retention, adgangsbeskyttelse, med mulighed for adskillelse fra produktionsmiljøet, immutable backup og relevant databehandleraftale - og ikke mindst at man løbende tester, om data og systemer reelt kan genetableres,” siger Martin Riiser.
”Man kan aldrig gøre noget 100 procent sikkert. Det er altid et spørgsmål om, hvor stor en risiko man vil acceptere, og hvor meget man vil investere i at reducere den. Det dyreste er ikke nødvendigvis det rigtige til en virksomhed med 50 medarbejdere. Derfor skal ledelsen være med til at definere det risikoniveau, man vil acceptere,” siger han.
Sikkerhed skal følge virksomheden
Virksomheder ændrer sig løbende. Der kommer nye medarbejdere, nye afdelinger, cloud-løsninger og AI-værktøjer. Dermed ændrer risikobilledet sig også. Jysk IT hjælper derfor også kunder med løbende at opdatere IT-politikker, så de ikke ender som et dokument, der bliver skrevet én gang og derefter glemt.
”Det behøver ikke være et kæmpe værk. Det skal være konkret og kunne indgå i et årshjul, så man jævnligt tager stilling til, om politikker, systemer og budgetter stadig passer til virksomheden,” siger Martin Riiser.
Det kan være helt lavpraktisk. Nye medarbejdere skal onboardes korrekt, have de rigtige adgange og fjernes igen fra systemerne, når de stopper. Samtidig skal kommende tekniske ændringer, opdateringer og investeringer være tænkt ind i budgettet.
Det er her, Jysk IT’s tredje ben - “IT der skaber vækst” - kommer ind i billedet.
Daniel Holst, kommerciel chef i Jysk IT, beskriver tanken på denne måde:
”IT skal understøtte kundens planer - ikke stå i vejen for dem. Vores opgave er at gøre mulighederne forståelige og prioritere løsningerne sammen med kunden, så de passer til både behov og økonomi. Kunden skal vide, hvad der er dækket, hvem der har ansvaret, og hvad næste skridt er.”
Klare grænser for ansvar
Selv om en IT-partner kan tage ansvar for en stor del af den tekniske drift og sikkerhed, kan virksomheden ikke outsource hele ansvaret.
”Vi vil gerne tage meget ansvar. Men kunden skal også vide, hvilke beslutninger der ligger hos dem selv. Hvis vi anbefaler en løsning, og virksomheden vælger den fra, er det vigtigt, at alle er klar over, hvad det betyder,” siger Martin Riiser.
Han ser Jysk IT’s rolle bevæge sig stadig mere fra klassisk IT-leverandør til rådgiver. Tidligere handlede arbejdet i høj grad om ’jern, ledninger og metal’, som han formulerer det. I dag fylder dialogen om risici, politikker, AI, budgetter og forretningsudvikling mere.
”Men vores mål er det samme. Vores kunder skal kunne koncentrere sig om deres kerneforretning og sove forholdsvis trygt om natten. Vi kan aldrig fjerne al risiko. Men vi kan hjælpe med at skabe sammenhæng og tage hånd om langt det meste, så IT ikke står i vejen for virksomheden, men gør den stærkere.”
Om Jysk IT
Jysk IT er en IT-virksomhed med base i Billund, der siden 1985 leverer stabile, sikre og skalerbare IT-løsninger til virksomheder i hele Danmark. Vi er en IT-partner, der tager ansvar – og som er med jer hele vejen. Vi arbejder med alt fra IT-drift og support til sikkerhed, infrastruktur og strategisk rådgivning. Vores fokus er at skabe løsninger, der fungerer i praksis og understøtter vores kunders hverdag og forretning.