Tjeklisten
Få styr på sikkerheden – ét skridt ad gangen Jeg har samlet min erfaring fra de sidste 25 år i denne prioriterede tjekliste. Den er designet til at give små og mellemstore virksomheder en køreplan for deres IT-sikkerhed.
Mange af de mest effektive tiltag kræver ikke nødvendigvis store investeringer, men blot de rigtige konfigurationer og politikker. Brug eventuelt listen som et udgangspunkt for en dialog med mig om, hvordan vi bedst sikrer jeres værdier og minimerer risikoen for nedbrud.
Niveau 1: Hurtige Gevinster (Lav/Middel Sværhedsgrad)
Disse punkter kan ofte implementeres hurtigt via politikker eller simple konfigurationsændringer.
2FA (To-faktor autentifikation)
Kræver to forskellige former for bevis for identitet. Skal gennemtvinges på alle kritiske systemer (e-mail, VPN, sky-tjenester). En af de mest effektive forsvar.
Password Manager
Brug en centralt styret password manager til at gennemtvinge unikke, komplekse adgangskoder for hver tjeneste. Eliminerer risikoen ved genbrug af adgangskoder.
Phishing (tjek email links)
Fokusér på medarbejderuddannelse. Træn personalet i at genkende mistænkelige e-mails og tjekke afsenderadresser og links, før de klikker. Brug simulerede phishing-kampagner.
Personalpolitik (USB sticks, privat download mv.)
En formel IT-sikkerhedspolitik, der dækker regler for USB-sticks, brug af privat udstyr (BYOD) og installation/download af software.
Fysisk adgang
Kontrol af fysisk sikkerhed. Serverrum skal være låst, computere låses, når de forlades, og netværksporte i kontorområder skal sikres.
Kryptering af Bærbare Enheder (FDE)
Alle bærbare enheder med virksomhedsdata skal være fuldt krypteret. Data forbliver ulæselige, selvom enheden mistes eller stjæles.
Minimér Administrative Rettigheder
Følg princippet om Least Privilege. Medarbejdere (standardbrugere) bør ikke have administratorrettigheder på deres arbejdsstationer for at begrænse skader fra malware.
Niveau 2: Basal Infrastruktur (Middel Sværhedsgrad)
Kræver typisk licenser, konfiguration af netværkstjenester eller opdateringer af eksisterende systemer.
Opdaterede OS og Applikationer
Patch Management. Gennemfør rutinemæssig og tvungen opdatering af alle operativsystemer (Windows, macOS, Linux, mobil) og alle tredjepartsapplikationer (browsere, PDF-læsere, Java). Dette lukker kendte sårbarheder, der er årsag til 80% af bruddene
SPF/DKIM/DMARC
E-mail-godkendelsesprotokoller, der beskytter mod e-mailspoofing. Kræver konfiguration af DNS-records og er afgørende for troværdigheden af din e-mail-kommunikation.
Regelmæssig Backup og Gendannelsestest
Følg 3-2-1 reglen for backup. Lav rutinemæssige tests af gendannelsesprocessen for at sikre, at data kan genetableres ved katastrofe.
Windows Antivirus/Endpoint Protection (EDR)
Anvend en robust, centralt styret EDR-løsning, der overvåger for mistænkelig adfærd og muliggør hurtig respons på endpoints.
Opdaterede netværksenheder
Sørg for, at Firmware og OS på Wi-Fi adgangspunkter, switche, firewalls og routere holdes fuldt opdaterede for at lukke kendte sårbarheder.
VPN klient eller site2site
Klient VPN sikrer fjernarbejdere med en krypteret tunnel. Site-to-Site forbinder kontorer sikkert over internettet. Skal kræve 2FA.
SSO (Single Sign-On)
Centraliserer adgangen til flere systemer med ét login via en betroet identitetsudbyder (IdP). Letter administration og gennemtvingelse af 2FA på tværs af apps.
Niveau 3: Høj Sikkerhed (Høj Sværhedsgrad)
Kræver ofte specialiseret udstyr, dybdegående teknisk viden og løbende vedligeholdelse.
Netværkssegmentering (VLANs / Mikrosegmentering)
Isolering af netværkszoner (f.eks. IoT, gæster, produktion) for at forhindre et brud i ét område i at sprede sig til kritiske zoner. Dette begrænser en angribers laterale bevægelse.
Personlige Mailcertifikater (S/MIME)
Anvender digitale certifikater (S/MIME eller PGP) for at sikre to primære funktioner. Verifikation af afsenderens identitet og End-to-End kryptering af emailens indhold og bilag. Dette beskytter mod Man-in-the-Middle angreb og sikrer fortroligheden af følsom kommunikation.
DNSSEC
Et sæt udvidelser, der digitalt signerer DNS-data. Forhindrer manipulation af DNS-opslag og beskytter mod DNS cache-forgiftning.
IDS/IPS (Intrusion Detection/Prevention System)
En konstant vagt på netværket. IDS alarmerer ved trusler; IPS blokerer aktivt skadelige trafikpakker og angrebsforsøg. Kræver stor konfiguration og finjustering for at undgå falske positiver.
Centraliseret Logging og Overvågning (SIEM)
Alle logs (servere, firewall, apps) skal samles i et SIEM system. Nødvendigt for realtidsdetektion, overholdelse af regler og efterfølgende forensisk analyse ved et brud.
Hardening af Server og Workstation
Avanceret sikring af systemer ud over standardinstallationen. Inkluderer deaktivering af unødvendige tjenester og porte samt streng konfiguration af firewalls.
Niveau 4: Governance & Strategi (Varierende/Løbende vedligeholdelse)
Disse punkter er strategiske, kræver ledelsens engagement og er de mest tidskrævende at dokumentere.
Risikoanalyse
Den systematiske proces med at identificere, analysere og evaluere trusler (risici) mod virksomhedens aktiver og data. Fastlægger hvor store ressourcer der skal bruges på sikkerhed, baseret på sandsynligheden for et brud og de potentielle konsekvenser.
Beredskabsplan (Business Continuity Plan - BCP)
Sikrer, at kritiske forretningsfunktioner kan fortsætte eller hurtigt genoptages efter en større forstyrrelse (f.eks. strømsvigt, brand, større cyberangreb). Fokus er på forretningen.
Ring-til-en-ven (Incident Response Plan - IRP)
En formaliseret, teknisk plan for hvad IT skal gøre, hvem der skal kontaktes, og hvordan man isolerer og inddæmmer et sikkerhedsbrud (f.eks. ransomware). Testes sammen med BCP.
Asset Inventory (Oversigt over enheder)
Før en opdateret fortegnelse over alle hardwareenheder, softwarelicenser og sky-tjenester. Essentiel for at vide, hvad der skal beskyttes, vedligeholdes og revideres (Governance).