Sikkerhetstruslene mot små og mellomstore bedrifter er mange, kostbare, og langt vanligere enn de fleste tror.
Når Norges største selskaper rammes av IT-angrep er det ikke rart at det blir overskrifter.
Dessverre er det litt for mange mindre selskaper som har tatt gal lærdom av dette, og tror det betyr at de er for små til å rammes.
Tankegangen er lett å forstå: Du leser hele tiden om store selskaper som angripes, men sjelden om de små eller mellomstore. Problemet er at det egentlig sier mer om journalistikk enn om IT-sikkerhet. Store selskaper betyr store overskrifter. Små selskaper betyr en notis.
Bedrifter i SMB-sektoren (små og mellomstore bedrifter) utgjør 43 prosent av ofrene for dataangrep ifølge en studie av SCORE. Likevel kan de faktiske tallene være enda høyere, siden veldig mange lar være å rapportere angrepene, blant annet i frykt for omdømme-konsekvenser.
Hvorfor angripes så mange SMB-bedrifter?
Dette er et spørsmål vi ofte hører: Hvorfor angripe en liten bedrift når de store ligger der og glitrer med alle sine verdier? Svaret kan du sikkert tenke deg fram til selv. Det blir som å spørre hvorfor lommetyver gidder å holde på, når de kunne ranet en bank for millioner.
Svaret er at det er enklere.
SMB-bedriftene i Norge tror ikke de er utsatt, beskytter seg dermed dårlig, og datakriminelle kan spasere rett inn og forsyne seg med penger, persondata, eller bare rive ned for moro skyld. Vi nordmenn er spesielt utsatte siden vi allerede har en tillitsbasert kultur, og ofte tror vi er bortgjemte oppe i nord. Det er dessverre irrelevant så fort du kobler deg på internett.
SMB-sjiktet byr heller ikke bare på vekslepenger. I 2018 kunne vi lese om en norsk bedrift som ble frastjålet 735 000 kroner over flere måneder uten at de ansatte merket noe. Hackerne hadde utnyttet en sikkerhetsfeil i Microsoft Office. Forsikringsselskapet vil ikke betale. Pengene er etter all sannsynlighet borte for godt.
Hvilke trusler finnes?
Å skulle gi en komplett oversikt over sikkerhetstrusler mot norske bedrifter er en fåfengt oppgave. Det kan likevel være smart å trekke fram noen eksempler på vanlige trusler du burde være obs på.
Ransomware – kidnapper dataen din mot penger
Dette er kanskje det første mange tenker på når de tenker på datasikkerhet. Ransomware er en type virus som krypterer all dataen din, og krever løsepenger (som regel i bitcoin eller annen kryptovaluta) for å dekryptere. Det kan fort bli kostbart, ikke bare på grunn av pengene du må betale, men også mangelen på tilgang til økonomisystem og kundebase. Driver du for eksempel med produksjon, kan nedetid koste deg dyrt.
Formjacking – skriver av firmakortet ditt
Formjacking ble en av 2019s store trender. Navnet betyr direkte oversatt skjema-rapping, og betyr at datakriminelle kommer seg inn på maskinen din og automatisk skriver av betalingsinformasjonen du fyller inn i digitale skjemaer. En eneste ansatt som har vært uforsiktig, og deretter bruker firmaets konto, kan bety et sugerør direkte inn i pengebeholdningen din.
Cryptojacking – bruker maskinen din for å laste ned Bitcoin
Cryptojacking er en trussel som har dukket opp de siste årene. Her kapres store deler av prosessorkraften til maskinene dine for å utvinne kryptovaluta. Dette kan foregår helt i det skjulte, uten andre tegn enn at maskinen går tregere enn den egentlig skal. Ikke bare koster det deg strøm, og kan skape konsekvenser for daglig drift, men om du bruker skytjenester ender du fort opp med enorme regninger for all databruken – slik som det hendte med Tesla.
Bedriftsspionasje – nesten umulig å oppdage
Mange avfeier denne trusselen helt, og det er akkurat det angriperne satser på. Kommer innloggingsinformasjon på avveie, eller det finnes veier inn som ikke er blokkert, kan hvem som helst følge med på alt som skjer i din Google Drive-konto, Dropbox eller e-postsystem. De har ingen interesse av å bli oppdaget, og blir også sjelden det. Konsekvenser kan ofte merkes indirekte gjennom tapt inntekt, siden konkurrentene dine har tilgang til alle dine bedriftshemmeligheter.
Datalekkasjer – knuser omdømmet ditt
Om ikke du mener du har store bedriftshemmeligheter, har du nesten garantert en kundedatabase. Enten det er konkurrenter eller tenåringer som bare vil drive hærverk, kan en lekkasje av kundeinformasjon gjøre uopprettelig skade på omdømmet ditt. Er du virkelig uheldig, kan GDPR-forordningen gjøre deg skyldig i millionbøter om ikke informasjonen var forsvarlig sikret.
Tenk at du allerede er rammet
En god tommelfingerregel er å tenke som om du allerede har uvedkommende inne i systemene dine. For sjokkerende mange bedrifter er det faktisk tilfelle (og er også grunnen til at mange datasikkerhetsselskaper tilbyr gratis scanning av trusler: De vet at det ligger mye rart og ulmer i mange bedrifters systemer).
Sånn sett er du egentlig heldig dersom du rammes av ransomware; da vet du at du er under angrep, og du kan ta skritt for å håndtere det. Mange andre trusler er veldig vanskelige å håndtere i ettertid, og gjør deg avhengig av å tenke proaktivt og preventivt.
Heldigvis er det mye du kan gjøre for å beskytte deg mot angrep. Det første skrittet er likevel enkelt: Å innrømme at du har et problem i utgangspunktet.
Ta kontakt dersom du ønsker å snakke med oss om IT-sikkerhet.
