Den mest almindelige grund til, at IT-sikkerhed ikke bliver bedre i en mindre virksomhed, er ikke uvidenhed eller ligegyldighed. Det er, at der ikke er nogen, hvis opgave det er, og at det derfor aldrig er den vigtigste ting på en travl dag.

Denne plan er et forsøg på at løse det: tolv opgaver, en pr. måned, hver på cirka en time. Sæt dem i kalenderen som et fast punkt med et navn ved siden af. Efter et år har I dækket det væsentlige.

Måned 1: MFA på alle konti

Den vigtigste time i hele planen. Gennemgå listen over konti i Microsoft 365, og bekræft at MFA er slået til på hver enkelt — også ejeren, bogholderen, fælles postkasser og servicekonti.

Tjek samtidig, om ældre godkendelsesprotokoller er slået fra. Er de åbne, kan MFA i praksis omgås, og så er arbejdet mindre værd, end det ser ud.

Måned 2: Passwordmanager til de kritiske adgange

Opret passwordmanageren, og læg de 15 til 30 vigtigste hemmeligheder ind: bank, domæne, hosting, firewall, Microsoft 365-administrator, betalingsportaler, alarm.

Slet dem derefter fra regneark, noter, mails og browserens gemte kodeord.

Måned 3: Backup af Microsoft 365

Få sat separat backup op af mail, OneDrive, SharePoint og Teams. Microsoft sikrer driften, ikke jeres data. Bekræft at det kører, og noter datoen.

Måned 4: Test en gendannelse

Bed om at få gendannet en konkret fil fra for tre måneder siden og en slettet mail fra en lukket konto. Tag tid.

Det er den eneste måde at vide, om backuppen virker. En backup, der ikke er gendannet, er en formodning.

Måned 5: Ryd op i konti og adgange

Gennemgå listen over brugere: er der konti tilhørende personer, der er stoppet? Gennemgå gæstebrugere: er der eksterne fra afsluttede projekter? Gennemgå administratorroller: er der flere end nødvendigt?

Fjern det, der ikke skal være der. Det koster ingenting og lukker reelle huller.

Måned 6: Beredskabsplan på én side

Skriv den ene side: telefonnumre til IT, forsikring med policenummer og politi, hvem der må tage systemer af nettet, de første fem handlinger, hvor backuppen ligger, og hvilke systemer der skal op først.

Print den, og hæng den op to steder. Ligger den kun digitalt, findes den ikke den dag, der er brug for den.

Måned 7: Kryptering og opdateringer

Bekræft at BitLocker er slået til på alle bærbare, og at nøglerne er gemt centralt. Bekræft at Windows og programmer opdateres automatisk, og at ingen maskine er mange måneder bagud.

Måned 8: Mailsikkerhed

Få tjekket SPF, DKIM og DMARC. Slå eksternt banner til på mails udefra. Bloker automatisk ekstern videresendelse. Gennemgå jeres egne Outlook-regler for videresendelser, ingen har oprettet.

Måned 9: Betalingsprocedure

Skriv reglen ned og meld den ud: ændret kontonummer fra en leverandør kræver altid telefonisk bekræftelse på et nummer, I selv finder frem. Beløb over en fastsat grænse kræver to godkendere.

Ledelsen siger højt, at man aldrig får skæld ud for at ringe og bekræfte. Uden den sætning er proceduren kun et stykke papir.

Måned 10: Telefonerne

Bekræft at alle telefoner med firmamail har skærmlås og opdateret styresystem, og at I kan slette firmadata på afstand.

Er det ikke muligt, få app-styring sat op — det rører ikke det private, og det er den forklaring, der afgør, om medarbejderne siger ja.

Måned 11: Halv time med medarbejderne

Tag et konkret eksempel på en phishing-mail, der har ramt jer. Vis de tre tegn. Gennemgå hvordan man melder ind, og sig højt, at det aldrig giver problemer at melde ind.

Det er den billigste sikkerhed, der findes.

Måned 12: Gennemgang og næste år

Kig planen igennem: hvad blev gjort, hvad blev sprunget over, hvad er ændret siden. Beslut om der er nye systemer, der skal med, og læg planen for næste år.

Hvis I kun har tre timer i alt

Så tag måned 1, 3 og 6: MFA på alle konti, backup af Microsoft 365, og beredskabsplanen på én side.

De tre dækker de mest almindelige måder, en mindre virksomhed kommer i alvorlige problemer — og de kan gøres på en enkelt formiddag.

Sæt et navn på hver opgave

Den hyppigste årsag til, at en plan som denne ikke bliver gennemført, er at den ikke har en ejer.

Skriv et navn ved hver måned — også hvis det er det samme navn tolv gange. En opgave uden ejer bliver ikke udført, uanset hvor fornuftig den er.

Og hvis I ikke har timen?

Så er det netop det, en supportaftale bør dække. Meningen med en fast aftale er ikke, at nogen skal komme og fikse printeren. Det er, at listen ovenfor bliver udført, uden at nogen internt skal huske det.

Spørg derfor en potentiel leverandør, hvilke af de tolv punkter der er inkluderet, og hvordan de rapporterer på dem. Det er et mere præcist spørgsmål end hvad koster det.

Netdk kører planen for jer

Hos vores kunder er de fleste af punkterne en fast del af aftalen: MFA og adgangsstyring, patching, kryptering, backup med testet gendannelse, mailsikkerhed, overvågning og adfærdstræning — med rapportering, så ledelsen kan se status.

Vi arbejder med virksomheder i Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder.

Næste skridt

Ring på 70 23 57 70 for en gratis gennemgang. I får en prioriteret liste, I kan gå i gang med — også hvis I vil gøre det selv.