NSM hever cyberrisikonivået til HØYT. Dette bør bedriften din gjøre nå.

Tirsdag 27. oktober gjorde Nasjonal sikkerhetsmyndighet (NSM) noe de aldri har gjort før. De delte det nasjonale cyberrisikonivået åpent og ugradert, og hevet det samtidig fra MODERAT til HØYT. Det er nivå 4 på en skala til 5. MODERAT er det NSM regner som normaltilstanden, der angrep mot norske virksomheter forventes. Når nivået heves ett hakk, er det fordi situasjonen er blitt merkbart verre. Og NSM sier rett ut at norske virksomheter må sette i gang forebyggende tiltak umiddelbart.

Hvorfor hever NSM nivået?

Det viktigste tallet fra NSM er dette: Det siste halvåret har de sett en tredobling av vellykkede cyberangrep mot norske virksomheter. Flere av dem har fått alvorlige konsekvenser.

I tillegg peker NSM på kunstig intelligens. KI kan analysere store mengder data og finne sårbarheter raskere enn mennesker. Det gjør at angrep kan komme oftere og i større volum. NSMs konklusjon er enkel: Når risikoen øker, må også tempoet på sikkerhetstiltakene opp.

«Men vi er jo bare en liten bedrift»

Det er lett å tenke at dette handler om forsvaret, kraftselskapene og de store konsernene. De er utsatt, ja. Men NSM er tydelige på at angrep også rammer underleverandører, ofte som en vei inn til virksomheter lenger opp i kjeden.

For de fleste angripere er det ikke viktig hvem dere er. Det som teller, er om det finnes en åpen dør. Et stjålet passord, en PC som ikke er oppdatert eller en bruker med for mange rettigheter er nok. Vi ser at små bedrifter ofte er de enkleste målene, rett og slett fordi grunnsikringen ikke er på plass.

Den gode nyheten: Tiltakene er ikke nye

NSM har publisert en tiltakspakke til alle norske virksomheter. Mange av tiltakene finnes allerede i NSMs grunnprinsipper for IKT-sikkerhet. Det handler altså ikke om dyr eller avansert teknologi, men om å få grunnmuren på plass.

Her er de seks punktene vi mener er viktigst for en liten eller mellomstor bedrift:

1. MFA som tåler phishing

MFA (flerfaktorautentisering) er det viktigste enkelttiltaket dere kan gjøre. NSM går et steg videre og anbefaler phishing-resistent MFA. SMS-koder er bedre enn ingenting, men kan lures fra brukeren. Passkeys, Windows Hello og sikkerhetsnøkler er langt vanskeligere å omgå.

2. Oversikt over enheter og programvare

Vet dere hvilke PC-er og mobiler som har tilgang til e-post og filer? Og hvilken programvare som kjører på dem? Uten oversikt er det umulig å vite om dere er rammet når en ny sårbarhet blir kjent.

3. Oppdateringer og utfasing

Oppdateringer bør styres sentralt, ikke overlates til at hver enkelt ansatt trykker «oppdater senere». Maskiner som ikke lenger får sikkerhetsoppdateringer, bør fases ut.

4. Færre rettigheter

Vanlige brukere skal ikke være administratorer på egen PC. Administratorkontoer i Microsoft 365 bør være egne kontoer som bare brukes til administrasjon. Jo færre rettigheter en konto har, jo mindre skade kan den gjøre hvis den blir kompromittert.

5. Backup som faktisk er testet

NSM anbefaler både en plan for regelmessig backup (sikkerhetskopiering) og at backupen testes. En backup dere aldri har prøvd å hente data tilbake fra, er et håp, ikke en plan.

6. En plan for når noe skjer

Hvem ringer dere? Hvem bestemmer om systemer skal kobles fra? Hvordan kommuniserer dere med ansatte og kunder? Svarene er mye enklere å finne en vanlig tirsdag enn midt i en hendelse.

Det NSM understreker: Valider at tiltakene virker

Et punkt i tiltakspakken som er lett å overse, er at sikkerhetstiltak må valideres. Det holder ikke at noe er slått på. Dere må vite at det faktisk virker.

Et klassisk eksempel er MFA som er aktivert for de fleste, men ikke for den gamle fellespostkassen eller kontoen til en tidligere ansatt. Eller backup som kjører hver natt, men ikke inkluderer de viktigste filene. Slike hull finner man bare ved å sjekke.

Hva med Microsoft 365-lisensene?

Mange små bedrifter bruker Microsoft 365 Business Basic eller Business Standard. Det er gode pakker for samarbeid, men de mangler flere av verktøyene som skal til for å følge NSMs anbefalinger. Det gjelder blant annet Intune for styring av enheter, Defender for Business for beskyttelse av PC-ene og betinget tilgang (Conditional Access) for å kontrollere hvem som får logge inn, og fra hvor.

Det betyr ikke at alle må oppgradere i morgen. Men det er et godt tidspunkt å se på om lisensene dere har, faktisk dekker det dere trenger. Les mer om hvordan vi jobber med IT-drift.

Tre spørsmål å stille seg i dag

Hvis dere bare skal gjøre én ting denne uken, still disse tre spørsmålene til den som har ansvaret for IT-en hos dere:

• Har alle brukere MFA, og hvilken type?
• Har vi oversikt over alle enheter som har tilgang til bedriftens data?
• Når testet vi sist at vi faktisk kan hente tilbake data fra backup?

Er svaret «vet ikke» på ett av dem, er det et godt sted å begynne.

Slik kan Impero IT hjelpe

Med Impero Sikker 365+ får dere drift, support og sikkerhet for Microsoft 365 i én pakke, til fast pris per bruker per måned. Pakken dekker mye av grunnsikringen NSM etterspør:

• Microsoft 365 Business Premium, med verktøyene som trengs for å styre enheter og tilganger
• MFA for alle brukere
• Enhetsstyring, der PC, mobil og nettbrett administreres sentralt
• Backup av Microsoft 365, lagret i Norge
• Antivirus og spamfilter som beskytter mot phishing, farlige lenker og vedlegg
• Secure Score, der vi jobber mot minst 80 poeng i Microsoft Secure Score

Secure Score gir et målbart bilde av om tiltakene faktisk er på plass, ikke bare at de er slått på. Og skulle noe skje, har dere fri support fra erfarne ingeniører som kjenner oppsettet. Les mer om Impero Sikker 365+.

Les hele saken fra NSM her: NSM hever det nasjonale cyberrisikonivået til HØYT