De seneste ugers mange sikkerhedshændelser er en påmindelse om, hvor afhængige moderne virksomheder er blevet af data, it-systemer og digitale leverandører.
I oktober pegede Datatilsynet på de seneste sikkerhedshændelser og uberettigede opslag i CPR-registeret som eksempler på, hvorfor beskyttelsen af personoplysninger er en vigtig del af vores samlede digitale sikkerhed. Datatilsynet fremhæver blandt andet adgangsstyring, risikovurderinger og passende sikkerhedsforanstaltninger som grundlæggende elementer i databeskyttelsen.
Kort inden havde Dansk Erhverv advaret om to kritiske sikkerhedshuller i PHP, som anvendes bag mange hjemmesider, netbutikker og andre it-løsninger. Her lød anbefalingen blandt andet på at afklare, om virksomheden er berørt, installere de relevante sikkerhedsopdateringer og undersøge systemerne for tegn på misbrug. I slutningen af oktober var der stadig flere tusinde danske hjemmesider, der ikke var sikret mod de konkrete php-sikkerhedshuller.
Det kan lyde som forskellige problemer. Men de har noget væsentligt til fælles: Man kan kun beskytte noget ordentligt, hvis man ved, hvad man har, hvor vigtigt det er – og hvem der har adgang til det.
GDPR og cybersikkerhed hænger sammen
Cybersikkerhed bliver ofte opfattet som et teknisk område, mens GDPR bliver placeret hos administrationen eller den juridisk ansvarlige.
I praksis hænger områderne imidlertid tæt sammen. Når en virksomhed beskytter sine it-systemer, skal den også beskytte de personoplysninger, som systemerne behandler. Og når virksomheden arbejder med GDPR, er informationssikkerhed en del af opgaven.
Det er også en central pointe hos Datatilsynet. GDPR handler ikke kun om fx samtykke, sletning og retten til indsigt. Reglerne stiller også krav til sikkerheden omkring personoplysninger. Tilsynet peger samtidig på, at unødig ophobning af data kan øge konsekvenserne ved et hackerangreb, særligt når der er tale om følsomme oplysninger.
Derfor giver det mening at betragte databeskyttelse og cybersikkerhed som dele af den samme opgave: at skabe digital tryghed omkring virksomhedens data, systemer og drift.
Og derfor skal GDPR, cybersikkerhed, data, systemer og digitale aktiver ikke håndteres som isolerede områder, men som forskellige dele af virksomhedens samlede digitale ansvar.
Første skridt er at vide, hvad I har
Et område, der i denne forbindelse let bliver overset, er Asset Management. Det handler om at få overblik over alle relevante aktiver. Både de digitale som fx it-systemer, databaser, hjemmesider eller en anden digital ressource, virksomheden er afhængig af. Men også andre enheder, som kan være afgørende for virksomhedens drift, som fx maskiner, biler, medarbejdere eller eksterne parter som eksempelvis en hostingleverandør. Alt, der har betydning for den løbende drift, skal vurderes – og helst registreres et centralt sted.
Hvis man ikke har et samlet overblik over sine (digitale) aktiver, bliver det vanskeligere at tage stilling til risikoen. Man risikerer at bruge ressourcer på at beskytte noget mindre vigtigt, mens noget forretningskritisk ikke får den nødvendige opmærksomhed.
Det nylige eksempel med PHP viser problemstillingen meget konkret. Så når Dansk Erhverv anbefaler virksomheder at undersøge både egne løsninger og de løsninger, som andre driver på deres vegne, kræver det i praksis, at virksomheden har tilstrækkeligt overblik over sine systemer og leverandører til at kunne stille spørgsmålet: Er vi berørt?
Ikke alt er lige kritisk
Når I har overblikket, kommer næste naturlige spørgsmål: Hvad er vigtigst for os?
Det er her, kritikalitet bliver nyttig. Formålet er ikke at gøre risikovurderingen mere kompliceret, men at hjælpe virksomheden med at prioritere.
Overvej eksempelvis, hvad konsekvensen vil være, hvis:
- et system ikke er tilgængeligt
- oplysninger bliver ændret eller ødelagt
- uvedkommende får adgang
- en vigtig leverandør eller digital løsning svigter
Et system, der er afgørende for den daglige drift, fortjener naturligt større opmærksomhed end en løsning, som virksomheden uden større konsekvenser kan undvære i en periode.
På samme måde kan et system med følsomme personoplysninger kræve en anden beskyttelse end et system uden sådanne oplysninger.
Kritikalitet hjælper med andre ord med at prioritere sikkerhedsarbejdet og gøre det håndgribeligt.
De 9 officielle råd er et godt sted at begynde
Virksomheder behøver ikke selv opfinde en model for grundlæggende cybersikkerhed.
Styrelsen for Samfundssikkerhed har udarbejdet ni virksomhedsrettede råd, der især skal hjælpe mindre virksomheder med at styrke deres cybersikkerhed:
- Få overblik over it-systemer, værdifulde data og leverandører.
- Hold jeres it opdateret.
- Brug sikkert login.
- Tag backup af jeres data.
- Få styr på adgangsrettighederne, så I ved, hvem der har adgang til hvad.
- Anvend relevante it-sikkerhedsværktøjer.
- Arbejd sikkert uden for arbejdspladsen.
- Forbered medarbejderne på svindelmails, opkald og falske sms’er.
- Hav et beredskab, så I på forhånd har aftalt, hvad I gør, hvis noget går galt.
Det interessante er, at det første råd netop er overblik.
Det er et godt princip at holde fast i. For før I som virksomhed køber endnu et sikkerhedsprodukt eller sætter en ny teknisk løsning i gang, bør I kende jeres vigtigste systemer, data og leverandører.
Det gør de næste beslutninger mere kvalificerede.
Et enkelt sted at starte
Hvis I er usikre på virksomhedens nuværende digitale sikkerhed, behøver I derfor ikke nødvendigvis at starte med en omfattende sikkerhedsanalyse. Start i stedet med nogle enkle spørgsmål:
- Hvilke systemer er virksomheden afhængig af?
- Hvilke data og personoplysninger findes i dem?
- Hvilke systemer er mest kritiske for driften?
- Hvem har adgang?
- Hvilke leverandører er virksomheden afhængig af?
- Hvem har ansvar for systemet?
- Hvad vil konsekvensen være, hvis systemet eller oplysningerne bliver utilgængelige eller kompromitterede?
Svarene giver et bedre grundlag for at vurdere, hvor I først bør sætte ind. Derfor bør I – inden I vælger teknologi og sikkerhedsforanstaltninger – forstå jeres digitale virkelighed og skabe overblik over og struktur omkring data, systemer og risici.t gør det samtidig lettere at kommunikere prioriteringer til både medarbejdere, kunder og samarbejdspartnere.
Digital tryghed er ikke det samme som nul risiko
Ingen virksomhed kan fjerne enhver digital risiko. Derfor bør målet i stedet være at forstå de elementer, virksomheden er afhængig af, forstå de væsentlige risici og arbejde systematisk med at reducere dem.
På GDPR-området betyder det blandt andet at have styr på behandlingen af personoplysninger. På cyberområdet handler det blandt andet om systemer, adgang, opdateringer, backup, leverandører og beredskab. Datatilsynet fremhæver netop adgangsstyring, risikovurdering og passende sikkerhedsforanstaltninger som grundlæggende krav i arbejdet med personoplysninger.
Og når Asset Management og kritikalitet kobles på, får I som virksomhed et bedre grundlag for at prioritere indsatsen dér, hvor den betyder mest.
Lexoforms samler arbejdet omkring digital tryghed
For Lexoforms er udgangspunktet, at digital tryghed begynder med forståelse, struktur og overblik. Målet er at omsætte lovgivning, tekniske krav og komplekse problemstillinger til konkrete handlinger, som virksomheden kan forstå og arbejde videre med. Derfor er personlig sparring og support også en helt afgørende del af vores løsning.
For GDPR og cybersikkerhed bør ikke nødvendigvis være to adskilte projekter.
I Lexoforms samler vi både databeskyttelse (GDPR) og digital sikkerhed (Cyber), så arbejdet tager udgangspunkt i den samme forståelse af virksomhedens data, systemer, digitale aktiver og risici. Ved at gøre det komplekse mere forståeligt får I som virksomhed et bedre grundlag for selv at tage ansvar for jeres egen digitale virkelighed.
Det vigtigste er ikke at gøre alt på én gang. Det vigtigste er at få overblikket, prioritere det væsentlige og vide, hvad næste skridt er.
✅ Se de 9 råd fra Styrelsen for Samfundssikkerhed her.
FAQ
Hvor skal vi starte, hvis vi vil forbedre vores digitale sikkerhed?
Start med at skabe overblik over virksomhedens it-systemer, værdifulde data og leverandører. Det er også det første af de ni officielle råd om cybersikkerhed, som Styrelsen for Samfundssikkerhed har udarbejdet til virksomheder. Når I ved, hvad I har, bliver det lettere at prioritere, hvad der kræver mest beskyttelse.
Hvad er forskellen på GDPR og cybersikkerhed?
GDPR handler om beskyttelse og lovlig behandling af personoplysninger, mens cybersikkerhed favner virksomhedens digitale sikkerhed bredere. Områderne hænger tæt sammen, fordi GDPR blandt andet stiller krav om adgangsstyring, risikovurderinger og passende sikkerhedsforanstaltninger. Datatilsynet fremhæver derfor databeskyttelse som en væsentlig del af den samlede digitale sikkerhed.
Hvad betyder Asset Management i forbindelse med cybersikkerhed?
Asset management handler i denne sammenhæng om at skabe struktur og overblik over de digitale aktiver, virksomheden skal tage ansvar for. Det ligger i direkte forlængelse af Lexoforms tilgang, hvor virksomheden først skaber overblik over data, systemer og digitale aktiver, så beslutninger om sikkerhed kan træffes på et bedre grundlag.
Hvorfor er det vigtigt at vurdere, hvor kritiske vores systemer er?
En vurdering af kritikalitet hjælper jer med at prioritere sikkerhedsarbejdet, så I kan rette opmærksomheden mod de systemer og data, der har størst betydning for virksomheden. Det understøtter det grundlæggende princip om først at forstå virksomhedens digitale virkelighed og risici og derefter træffe de relevante beslutninger.
Kan Lexoforms hjælpe med både GDPR og cybersikkerhed?
Ja. Lexoforms arbejder med GDPR og cybersikkerhed som forskellige veje til samme mål: større digital tryghed. Tilgangen er at gøre lovgivning, tekniske krav og komplekse problemstillinger forståelige og omsætte dem til konkrete handlinger, samtidig med at virksomheden bevarer ansvaret for egne data, systemer og digitale sikkerhed.
