Hvorfor datasikkerhed ikke kan vente
Mange småvirksomheder antager, at hackere og databrud kun rammer de store. Det er en farlig misforståelse. Angribere går netop efter mindre virksomheder, fordi de typisk har færre sikkerhedsforanstaltninger og behandler persondata, der har reel værdi: kundenavne, betalingsoplysninger, e-mailadresser og bookinghistorik.
Et databrud koster ikke kun penge. Det kan skade dit omdømme i årevis og udløse bøder under GDPR-lovgivningen. Denne guide gennemgår de vigtigste skridt, du skal tage for at beskytte din virksomhed, uanset om du driver en enkeltmandsvirksomhed eller har et lille hold.
Forstå hvilke data du behandler
Første skridt er at kortlægge, hvilke personoplysninger din virksomhed faktisk behandler. Det lyder simpelt, men de fleste virksomhedsejere har ikke et klart overblik.
Gennemgå følgende kategorier:
- Kundedata: Navne, telefonnumre, e-mailadresser og betalingsoplysninger.
- Bookingdata: Tidspunkter, servicevalg og kommunikationshistorik.
- Medarbejderdata: Løn, personnumre, ansættelsesvilkår.
- Leverandørdata: Kontooplysninger og aftaledokumenter.
Når du ved, hvilke data du har, kan du vurdere, hvilke der er mest følsomme og dermed kræver den stærkeste beskyttelse. Du bør også overveje, om du opbevarer data, du ikke længere har brug for, og i så fald slette dem. GDPR kræver netop, at du ikke gemmer personoplysninger længere end nødvendigt.
Læs mere om, hvordan du konkret håndterer kundedata sikkert i din daglige drift.
Stærke adgangskoder og tofaktorgodkendelse
Det er efterhånden gammel nyhed, at svage adgangskoder er et problem. Alligevel bruger langt de fleste virksomheder stadig adgangskoder, der er for korte, for genbrug eller for forudsigelige.
En stærk adgangskodepolitik indebærer:
- Mindst 12 tegn med en blanding af store og små bogstaver, tal og specialtegn.
- Unikke adgangskoder til hvert system, aldrig den samme på tværs af tjenester.
- Brug af en adgangskodehåndterer, fx Bitwarden eller 1Password, så dine medarbejdere ikke behøver at huske alle koder.
Tofaktorgodkendelse (2FA) er et ekstra sikkerhedslag, der kræver, at brugeren bekræfter sin identitet via en kode sendt til mobiltelefonen eller genereret via en app. Selv hvis en adgangskode lækker, kan angriberen ikke komme ind uden denne anden faktor. Aktivér 2FA på alle systemer, der understøtter det, e-mail, regnskabssoftware, bookingsystemer og cloud-lager.
Opdateringer og sikkerhedshuller
Forældet software er en af de hyppigste årsager til vellykkede angreb. Udviklere udgiver løbende sikkerhedsopdateringer, der lukker kendte sårbarheder. Hvis du ikke installerer dem, holder du reelt en åben dør på klem for angribere.
Sæt automatiske opdateringer til på operativsystemer, browsere og alle de programmer din virksomhed bruger. For cloudbaserede løsninger sker opdateringer typisk automatisk på leverandørens side, men tjek alligevel, at du bruger den nyeste version af eventuelle integrationer eller plugins.
Har du en hjemmeside med et CMS som WordPress, er det ekstra vigtigt at holde temaer og udvidelser opdaterede, de er et hyppigt angrebspunkt.
Sikker datalagring og kryptering
Data, der gemmes ukrypteret, er data, der kan læses af hvem som helst, der skaffer sig adgang til filen eller databasen. Kryptering gør data ulæselige uden den rette nøgle.
Konkrete tiltag:
- Vælg software og cloud-tjenester, der lagrer data krypteret, og som kan dokumentere det.
- Sørg for, at data hostes i EU, så du er dækket under GDPR-kravene.
- Brug HTTPS på din hjemmeside, så kommunikationen mellem besøgende og din side er krypteret.
- Kryptér dine sikkerhedskopier, og opbevar dem adskilt fra de originale data.
Når du vælger cloudbaserede systemer til din virksomhed, bør du altid spørge udbyderen direkte: Hvor hostes dataene? Er de krypterede både under overførsel og i hvile? Kan I udstede en databehandleraftale?
Læs vores gennemgang af fordele og ulemper ved cloud-baserede bookingsystemer for en dybere forståelse af, hvad du bør kigge efter.
GDPR og databehandleraftaler
GDPR er ikke kun et juridisk krav, det er et rammeværk, der tvinger dig til at tage stilling til, hvilke data du behandler, hvem der har adgang, og hvordan du beskytter dem. Mange småvirksomheder undervurderer, hvad loven faktisk kræver.
De vigtigste GDPR-forpligtelser for virksomheder:
- Databehandleraftaler: Når du bruger tredjepartssoftware til at behandle persondata på vegne af dig, skal du have en databehandleraftale med leverandøren. Det gælder fx bookingsystemer, regnskabsprogrammer og e-mailmarketing.
- Behandlingsgrundlag: Du må kun behandle persondata, hvis du har et lovligt grundlag, fx samtykke, en kontrakt eller en retlig forpligtelse.
- Retten til indsigt og sletning: Kunder kan bede om at se, hvilke data du har om dem, eller kræve dem slettet. Du skal kunne efterkomme sådanne anmodninger.
- Brud-notifikation: Opdager du et databrud, skal du som udgangspunkt anmelde det til Datatilsynet inden for 72 timer.
For virksomheder i Danmark findes der god vejledning på Datatilsynets hjemmeside. Se også vores artikel om databeskyttelse og GDPR-kompatibilitet for virksomheder for praktisk vejledning.
Begræns adgangen til følsomme data
Ikke alle medarbejdere har brug for adgang til alle data. Princippet kaldes "need-to-know" eller mindste privilegium: giv kun den adgang, der er nødvendig for at løse opgaven.
I praksis betyder det:
- Opret separate brugerkonti til hver medarbejder, aldrig delte logins.
- Tildel roller og rettigheder, så en receptionist eksempelvis kun ser bookingkalenderen, ikke økonomidata.
- Sørg for, at adgangen til systemer og data lukkes omgående, når en medarbejder fratræder.
De fleste moderne softwareløsninger understøtter rollebaseret adgangsstyring. Tjek at det er muligt, inden du vælger et system.
Sikkerhedskopier, og test dem
En sikkerhedskopi er kun god, hvis du kan gendanne data fra den. Mange virksomheder tager backups, men har aldrig testet, om de faktisk virker.
En god backup-strategi følger 3-2-1-reglen: tre kopier af dine data, på to forskellige medier, hvoraf én er gemt et andet sted end de øvrige (fx i en anden cloud-tjeneste eller på et fysisk lager uden for kontoret).
Tag backup dagligt af kritiske data, og test mindst én gang i kvartalet, at du kan gendanne en fil fra din backup. Det lyder omstændeligt, men det er den eneste måde at sikre, at du faktisk er beskyttet.
Træn dine medarbejdere
Tekniske sikkerhedsforanstaltninger er vigtige, men mennesker er stadig det svageste led. Phishing, falske e-mails, der narrer modtageren til at klikke på et link eller opgive sine loginoplysninger, er en af de mest udbredte angrebsmetoder.
Lær dine medarbejdere at:
- Genkende mistænkelige e-mails: stavefejl, ukendte afsendere, usædvanlige links.
- Aldrig klikke på links i e-mails, de ikke forventer, men i stedet gå direkte til den relevante hjemmeside via browseren.
- Rapportere mistænkelig aktivitet til dig eller en ansvarlig person med det samme.
Selv en kort gennemgang af disse principper på et personalemøde kan reducere risikoen markant. Overvej at gøre det til en fast del af introduktionen for nye medarbejdere.
Vælg software med sikkerhed i fokus
Når du vælger systemer til din virksomhed, hvad enten det er et bookingsystem, et regnskabsprogram eller en betalingsløsning, er datasikkerhed et centralt udvælgelseskriterium, ikke noget du spørger til sidst.
Konkrete spørgsmål du bør stille en leverandør:
- Tilbyder I en databehandleraftale?
- Hvor hostes mine data, og er de krypterede?
- Hvordan håndterer I et eventuelt databrud?
- Er jeres system GDPR-komplicant, og kan I dokumentere det?
En leverandør, der ikke kan svare klart og konkret på disse spørgsmål, er ikke et trygt valg, uanset hvor fin prisen ellers er. Læs mere om, hvad du skal kigge efter, når du implementerer nye systemer, i vores guide til implementering af et online bookingsystem.
Lav en simpel sikkerhedsplan
Du behøver ikke et 50-siders sikkerhedsdokument for at komme i gang. Selv en enkel, skriftlig plan giver struktur og gør det lettere at onboarde nye medarbejdere sikkert.
Din plan bør som minimum indeholde:
- En oversigt over, hvilke data din virksomhed behandler og hvem der har adgang.
- En procedure for, hvad der sker, hvis der opstår et databrud.
- En liste over, hvilke systemer der har adgang til persondata, og hvem der er ansvarlig for dem.
- En plan for regelmæssig gennemgang, eksempelvis én gang om året.
Det vigtigste er ikke, at planen er perfekt fra dag ét. Det vigtigste er, at den findes, og at du faktisk bruger den.
Kom godt i gang, ét skridt ad gangen
Datasikkerhed kan virke overvældende, men du behøver ikke gøre det hele på én gang. Start med de tiltag, der har størst effekt for mindst indsats: aktivér tofaktorgodkendelse, skift til unikke adgangskoder og sørg for, at de systemer du bruger, har en databehandleraftale på plads.
Derfra kan du gradvist bygge videre. Det handler ikke om at nå en perfekt tilstand, men om løbende at reducere risikoen og beskytte dem, der stoler på dig med deres data.
Driver du en lille virksomhed med onlinebooking og vil sikre, at dit bookingsystem lever op til GDPR-kravene, er du velkommen til at kontakte Mokio for en uforpligtende snak om, hvad der passer til netop din situation.