Sådan reducerer du risikoen for cyberangreb - 10 tips til produktionsvirksomheder

Antallet af cyberangreb stiger hvert år, og trusselaktører er konstant på udkig efter svagheder i systemer og praksis. For produktionsvirksomheder er afbrydelser ikke kun et it-problem - de påvirker produktion, leveringstider, kvalitet og i sidste ende kunderelationer.

Hvad er de største sikkerhedsrisici, og hvad kan virksomheder gøre for at blive mere modstandsdygtige? Her dykker vi ned i emnet med Max Dahlberg Sälldin, IT-tekniker hos Monitor ERP.

Kort resumé

I dag udgør cyberangreb en reel trussel mod produktion, leveringskapacitet og virksomhedernes langsigtede konkurrenceevne. Men med klare strukturer, bevidsthed og fælles ansvar kan produktionsvirksomheder beskytte sig mod angreb.

De følgende 10 tips hjælper dig med at reducere risikoen:

1. Træn personalet i at genkende phishing-forsøg.
2. Hold operativsystemer og applikationer opdaterede.
3. Brug multifaktorgodkendelse (MFA) på alle brugerkonti, hvor det er muligt.
4. Installer og vedligehold pålidelig antimalwarebeskyttelse (EDR/XDR).
5. Sørg for isolerede og fungerende sikkerhedskopier.
6. Implementer streng adgangskontrol.
7. Brug en virksomhedsportal til at samle alle godkendte applikationer.
8. Etabler en klar IT-politik og retningslinjer for brug af AI.
9. Lav forretningsplaner for kontinuitet og genopretning i tilfælde af hændelser.
10. Skab en virksomhedskultur, hvor alle ønsker og tør tage ansvar for it-sikkerheden.

Træn personalet i phishing

Phishing, hvor svindlere udgiver sig for at være en pålidelig aktør for at få fat i følsomme oplysninger, er den mest almindelige form for cyberangreb. Metoderne varierer mellem e-mail, sms og telefonopkald og bliver mere og mere sofistikerede. E-mail-phishing er dog stadig den mest almindelige metode. Hvis man åbner en forkert e-mail eller et forkert link, kan det få langt større konsekvenser end et enkelt computernedbrud på kontoret. I værste fald kan en angriber få adgang til hele virksomhedens netværk og påvirke produktionssystemerne. Den menneskelige faktor er sværere at forsvare sig imod end andre typer databrud.

"Stress eller manglende erfaring kan øge risikoen for, at man klikker på noget, man ikke burde. Desværre er det noget, der kan ske for alle, selv for en person med mange års erfaring i IT-afdelingen," siger Max.

Det er muligt at filtrere mange af phishing-mails fra, men filtrene fanger ikke alt. Det er vigtigt at kunne stoppe op og se advarselstegnene.

"Plejer denne person at kontakte mig? Hvad vil de have, og er det rimeligt? Der er en række røde flag, som du kan spotte, hvis du ved, hvad du skal kigge efter."

For at kunne genkende advarselstegnene og forstå risiciene er træning nøglen. Træningen kan foregå på forskellige niveauer af intensitet og sværhedsgrad, f.eks. gennem simulerede phishing-mails, der sendes til alle medarbejdere.

Administrer opdateringer og vedligeholdelse

Phishing-mails er ofte årsagen til, at en virksomhed bliver ramt af såkaldte ransomware-angreb - hvor malware låser en brugers filer eller systemer ved hjælp af kryptering. Angriberen kræver derefter ofte en løsesum for, at virksomheden kan genvinde kontrollen over sine filer/systemer. Rådet fra myndigheder og eksperter er aldrig at betale en sådan løsesum. Uanset hvad kan konsekvenserne for den enkelte virksomhed være betydelige. Ud over tab af data, hvis løsesummen ikke betales, kan ransomware have alvorlige økonomiske konsekvenser på grund af nedetid og produktionsafbrydelser. Desuden kan kundernes og offentlighedens tillid lide alvorlig skade. Trusselsaktører leder aktivt efter virksomheder, der ikke har patchet deres systemer til den nyeste version og derfor har kendte sårbarheder i deres software.

For at beskytte sig mod ransomware-angreb er det derfor vigtigt, at software og operativsystemer er opdaterede, men også at et pålideligt og opdateret anti-malware-system (EDR/XDR) er på plads. EDR (Endpoint Detection and Response) er et sikkerhedssystem, der overvåger og analyserer aktiviteter på klienter og servere. XDR (Extended Detection and Response) bygger på EDR, men indsamler og korrelerer data fra flere dele af it-miljøet, f.eks. endpoints, identiteter, netværk, e-mail og cloud-tjenester.

"Formålet med disse systemer er at få et omfattende billede af trusler på tværs af hele it-miljøet, opdage angreb, som ellers er svære at se, og automatisere reaktioner på tværs af flere systemer samtidig."

Multifaktor-autentificering på alle brugerkonti, hvor det er muligt

Max fremhæver multifaktorgodkendelse på alle brugerkonti som en prioritet for alle virksomheder. Der er flere autentificeringsmetoder at vælge imellem. Den anbefalede løsning er en godkendelsesapp, der genererer tidsbaserede engangskodeord eller godkendelse via push-meddelelser i realtid i stedet for at sende kodeord ud via sms eller e-mail. En autentificeringsapp kræver, at en angriber får kontrol over en forud-konfigureret enhed for at få adgang til en bestemt konto. Med den teknologi, der er i dagens computere, er det for skrøbeligt kun at bruge en adgangskode. En adgangskode på 10 tegn tager kun et par minutter for en angriber at knække.

"For det meste vil angriberen også have færdige lister over almindeligt brugte adgangskoder, som de afprøver først. Passwords skal være længere og indeholde både store og små bogstaver, tal og specialtegn for at være sikre nok. Hvis du også har multifaktor-autentificering oveni, kommer du ret langt," forklarer Max.

Kontrol over sikkerhedskopier

At have kontrol over sine backups er også et vigtigt element. Der bør være mindst én backup, som er isoleret fra produktionsmiljøet. Dette er for at undgå, at det er muligt at kryptere backuppen i tilfælde af et vellykket indbrudsforsøg og dermed forhindre gendannelse af systemet. Det er også her, spørgsmålet om fordelene ved en cloud-løsning i forhold til en lokal installation (on-premise-løsning) kommer ind. Med en cloud-løsning behøver virksomheden ikke at administrere sine egne servere, opdateringer og sikkerhedskopier. En pålidelig cloud-udbyder tilbyder et højt niveau af tilgængelighed, trusselsovervågning og datakryptering.

Med en lokal installation ligger dette ansvar hos virksomheden. Det kan ses som en fordel at have fuld kontrol over sin hardware, men det kræver, at man har alle de nødvendige it-færdigheder i huset. Der kan også opstå uventede udgifter til drift eller vedligeholdelse.

"Hvis der sker en afbrydelse af tjenesterne, kan det tage noget tid at reparere. Det kan være nødvendigt at bestille reservedele, som det tager lang tid at få leveret, hvis noget går i stykker, eller at hyre den nødvendige ekspertise til at løse problemerne. Det er ofte en omkostning, der ligger uden for budgettet, og den kan være lille eller meget stor."

Monitor ERP cloud til en fast månedlig pris

Med vores cloud-løsning får du en omfattende og sikker ERP-løsning uden dyre infrastruktur- og vedligeholdelsesomkostninger.

Monitor ERP's cloud-løsning

Arbejd med streng adgangskontrol

Max siger, at mange virksomheder kan forbedre sig ved at bruge såkaldt autorisationsstyring (zero trust-modellen og princippet om mindste privilegium). Zero trust er en sikkerhedsstrategi baseret på princippet "stol aldrig på, verificer altid". Ingen enhed, bruger eller applikation bør have tillid - hverken inden for eller uden for netværket. Al adgang til virksomhedens IT-ressourcer bør kræve identifikation og stærk autentificering. Princippet om mindste privilegium betyder, at brugere, systemer og applikationer kun skal have de rettigheder, der er nødvendige for at udføre deres opgaver. Det reducerer risikoen for fejl, misbrug og skader i tilfælde af et sikkerhedsbrud.

"Generelt tildeler mange virksomheder for mange tilladelser. De ved måske ikke præcis, hvad hver bruger gør, og tildeler bare de højeste tilladelser, fordi det er det nemmeste", siger Max.

Et andet tip er at bruge en virksomhedsportal, hvor du kan samle alle applikationer, der er godkendt til at blive installeret af en medarbejder.

Fastlæg en it-politik

Ifølge Max er den mest omkostningseffektive sikkerhedsforanstaltning helt klart at have en veludviklet IT-politik. En it-politik giver alle medarbejdere kontrol over, hvordan virksomhedens enheder og tjenester kan bruges. Politikken bør bl.a. regulere håndtering af adgangskoder, brug af virksomhedens computere og installation af software. Samtidig er det afgørende, at politikken ikke er så rigid, at medarbejderne begynder at forsøge at omgå den. Balancen mellem sikkerhed og brugervenlighed skal fungere, ellers risikerer man at skabe flere problemer.

"Prøv at være lydhør og find løsninger i samråd med personalet i stedet for at forbyde alting direkte. Men i sidste ende er det risikoanalysen, der afgør, hvad du regulerer, og hvad du ikke gør," siger Max.

Hold produktionen kørende med en plan for forretningskontinuitet

Det er også vigtigt at etablere en plan for forretningskontinuitet og genopretning. Målet er at sikre, at produktionen kan holdes i gang under en fejl eller et angreb, og at al teknologi kan genoprettes efter en afbrydelse. Planen bør f.eks. nævne, hvilke systemer der er kritiske, hvordan de skal prioriteres, og hvem der er ansvarlig for hvad.

"Tiden er afgørende, når man skal begrænse skaderne af et angreb. Forretningskontinuitetsplanen sikrer, at du er forberedt og ikke lades i stikken, når der sker noget."

Udarbejd retningslinjer for brug af AI

I takt med at brugen af generative AI-værktøjer er eksploderet, er der også opstået nye risici for dataeksponering. Med så mange forskellige tjenester på markedet er det ikke ualmindeligt, at medarbejdere bruger AI-værktøjer uden virksomhedens eller IT-afdelingens viden eller godkendelse (såkaldt Shadow AI). Problemet med dette er, at offentlige AI-værktøjer gemmer og øver sig på de data, du indtaster, hvilket kan have store konsekvenser, hvis det f.eks. er kildekode eller andre fortrolige oplysninger, der uploades.

"Man skal være meget klar over, hvad medarbejderne må og ikke må. Det skal gøres klart gennem en AI-politik og uddannelse, hvilke tjenester der må bruges, og hvilken slags information der ikke må deles."

Skab en kultur, hvor alle vil og tør tage ansvar for it-sikkerheden

Max siger, at der kan være en vis afstand mellem IT-afdelingen og andre afdelinger i en virksomhed. Det er let at tro, at it-afdelingen har kontrollen og er ansvarlig for alt, hvad der har med sikkerhed at gøre. Medarbejdere kan også være tilbageholdende med at rapportere fejl, de har begået i forbindelse med it-sikkerhed, af frygt for konsekvenser.

"Sørg for at opmuntre og ikke bebrejde nogen, der rapporterer en afvigelse eller hændelse. Hvis medarbejderne føler sig trygge ved at rapportere, vil flere hændelser blive opdaget og forhindret."

Selve processen med at afvige og rapportere hændelser skal være enkel. Der kan f.eks. være en knap til at rapportere phishing direkte i e-mailklienten. En medarbejder, der rapporterer, skal kunne forvente en hurtig første tilbagemelding på sin sag. Det skal derfor være klart, hvem der er modtager og ejer af problemet.

Brug rapporterne til at lære mere om IT-sikkerhed. De kan bruges til analyser, der kan føre til forbedringer af systemer og processer. Sådanne forbedringer bør deles med alle i virksomheden som et eksempel på, hvordan en afvigelses- eller hændelsesrapport har gjort virksomheden lidt mere sikker.