Oktober är cybersäkerhetsmånaden. Kampanjen Tänk säkert påminner oss då om något enkelt: vi behöver skydda vårt digitala liv på samma självklara sätt som vi skyddar lokaler och andra fysiska tillgångar. De flesta företagare låser dörren, håller ordning på nycklarna och vet vem som ska kontaktas om larmet går. Men i dag finns en stor del av företagets värden någon annanstans – i mejlen, ekonomisystemet, kundregistret, bokningarna och bankkontot. Hur skyddas de tillgångarna?

Exempel från verkligheten: En restaurangägare lurades nyligen av en person som utgav sig för att ringa från banken. När bedrägeriet var över hade 1,4 miljoner kronor försvunnit. För ett litet företag är det inte bara pengar på ett konto. Det är löner, skatter, inköp och den buffert som ska bära verksamheten genom nästa svåra månad. Ett enda lyckat bedrägeri kan slå omkull allt.

Trygga kärnverksamheten först

Sårbarheten är stor eftersom bedragarnas tillvägagångssätt ändras så fort den goda sidan har hittat ett effektivt skydd. De tekniska systemen och termerna är inte lätta för en lekman att förstå och använda, och den digitala utvecklingen går i rasande fart där till och med till synes analoga verksamheter i dag är ständigt uppkopplade och sammankopplade med andra system.

Hur fanken ska man då som hantverkare, transportör, frisör, krögare eller butiksinnehavare kunna skydda sig mot allt detta och samtidigt hinna med att driva en lönsam verksamhet? En god start för många kan vara att utgå från det man kan och är bäst på, det vill säga sin kärnverksamhet. Börja med att inventera din kärnverksamhet och fråga dig själv och dina anställda några till synes självklara saker. Vad är det framför allt vi sysslar med och vilka system eller uppgifter klarar vi oss inte utan för att lyckas med det? Vilka andra aktörer är vi beroende av och vilken information delar vi med dem?

Svaren på dessa frågor utgör det mest skyddsvärda i verksamheten, det vill säga det som krävs för att verksamheten ska fungera. I det analoga tidevarvet förvarades och skyddades allt detta i företagets lokaler genom skalskydd, larm och personalrutiner som stängde ute obehöriga. En rundtur kring fastigheten visade potentiella sprickor i fasaden och var inkräktare skulle kunna ta sig in.  

Jag är av uppfattningen att en sådan rundtur kring verksamhetens digitala fastighet kan ge en företagare en god uppfattning och förståelse för vad som kan vara tillräckligt för att skydda verksamheten.

Se om ditt digitala hus

Det räcker inte att låsa dörren till företaget. De viktigaste kontona, dokumenten och systemen behöver också förvaras i ett digitalt kassaskåp. Därför bör verksamhetskritiska system skyddas med tvåfaktorsautentisering så långt det är möjligt. Och precis som med ett vanligt kassaskåp måste det finnas en reservplan om något händer. Se därför till att ha säkerhetskopior som förvaras separat och kan användas för att hålla verksamheten i gång om originalen går förlorade.

Trasiga fönster, portar eller rostig plåt behöver underhållas och bytas ut för att inte kunna forceras. Se därför till att datorer, mjukvara och system uppdateras när nya versioner och uppdateringar lanseras. Ofta innehåller uppdateringar buggfixar och patchar som täpper till eventuella sårbarheter som kan ha upptäckts.

Behöver du kamerabevakning, larm och sensorer behöver du betrodda leverantörer av detta. Du skulle aldrig lämna bevakningen av ditt hus till någon du inte litar på, tänk likadant med dina digitala konton och system. Ställ därför frågor till IT-leverantörerna och se till att de kan svara på dina frågor på ett sätt som du förstår och så att de erbjuder en lösning som är anpassad efter det som just din verksamhet behöver skydda. Hur får vi veta om någon försöker göra intrång? Finns det en tydlig kontaktväg och åtgärdsrutin om ett intrång redan skett?

Ha god säkerhetskultur

Glöm inte heller den mänskliga faktorn. En olåst säkerhetsdörr eller ett inaktiverat larm är inte värt så mycket. Ta därför fram tydliga rutiner för vad som förväntas av medarbetare i det dagliga arbetet med datorn, telefonen eller annan teknisk utrustning. Ta dessutom fram rutiner för hur känsliga uppgifter som betalningar, överföringar, uppdatering av kund- eller leverantörsuppgifter ska genomföras och hur man ska agera om någon ber en att avvika från gängse rutiner.

Det för oss vidare till vikten av en god säkerhetskultur. Alla medarbetare måste våga säga ifrån, även när det är chefen som slarvar med rutinerna. Det måste också vara självklart att stanna upp och kontrollera misstänkta mejl, särskilt när de innehåller betalningsinstruktioner eller uppmaningar att klicka på länkar. Ett enkelt knep är att använda mänsklig tvåfaktorsautentisering: ring upp personen som påstås ha skickat mejlet och kontrollera att det är äkta. Men använd ett telefonnummer du redan har sparat, aldrig det som anges i mejlet.

Till sist behövs en nödutgång och en reservplan. Alla ska veta vem de kontaktar när något verkar fel. En medarbetare som klickat på en misstänkt länk måste kunna säga till direkt utan att mötas av skuld och klander. Vad gör vi på måndag morgon om mejl, filer och ekonomisystem inte fungerar? Säkerhetskultur är inte att ingen gör fel. Det är att fel upptäcks snabbt och inte orsakar ett långvarigt avbrott i verksamheten.

Enkla vanor höjer säkerheten

Det handlar också om att vara medveten om det så kallade risklandskapet. Mitt sista medskick handlar därför om vikten av att omvärldsbevaka. Precis som en företagare idag håller sig uppdaterad på de senaste trenderna, prisjusteringarna och lösningarna för att effektivisera sin verksamhet bör man så gott det går hålla sig uppdaterad kring det senaste som kan hota eller för den delen skydda ens IT-miljö.

Några enkla vanor kan höja säkerheten, men alla bedrägerier går inte att utbilda bort. Ansvaret måste också delas av banker och staten. Företagarna vill ge de minsta företagen ett grundskydd som liknar konsumenternas och låta bankerna bära större förluster när avancerade bedrägerier passerar deras system. Stark inloggning, fördröjningar och beloppsgränser bör vara standard hos banker och betaltjänstleverantörer, med möjlighet för kunden att själv välja ett lägre skydd. Bankernas bedrägeristatistik bör offentliggöras så att företagare kan jämföra säkerheten. Spridningen av personuppgifter via söktjänster måste begränsas, liksom möjligheten att förfalska telefonnummer så att samtal ser ut att komma från banker eller myndigheter. Samtidigt måste rättsväsendet få bättre förutsättningar att förebygga och bekämpa bedrägerier.

Som företagare måste du låsa ditt digitala kontor. Men banker, betaltjänstleverantörer och staten måste se till att dörrarna är byggda för att stå emot ett modernt inbrottsförsök.