Modul 9 · 9.3
Din egen sikkerhedstjek og plan
Modul 9: Regler og organisation · Læsetid: 12 minutter
Læringsmål: Efter denne lektion kan du selv lave din sikkerhedstjek med en fast liste og omsætte den til en prioriteret plan.
Nøglebegreber: grundlæggende foranstaltninger, nulpunktsmåling, prioritering (sandsynlighed x konsekvens, hurtigt og billigt først), ejer og dato, årlig gentagelse
Fra viden til handling
Du har set meget i dette kursus: adgangskoder, phishing, e-mail og domæne, enheder, backup, rettigheder, hændelser og regler. Risikoen er nu, at du går lidt i gang med det hele og bliver færdig med ingenting. Denne lektion omsætter alt til to ting, du selv laver:
- en nulpunktsmåling: et ærligt billede af, hvordan det står til lige nu;
- en plan: hvad du gør først, hvem der gør det, og hvornår det er færdigt.
Listen nedenfor indeholder de grundlæggende foranstaltninger: de tiltag, der stopper de fleste opportunistiske angreb (lektion 1.1), og som en kunde typisk også spørger til, hvis vedkommende stiller krav til sine leverandører (lektion 9.1). Det er ikke en fuld standard som ISO 27001, og det behøver det heller ikke være. Det er det grundlag, der gør forskellen for en lille virksomhed.
Sikkerhedstjekket: tyve punkter
Besvar hvert punkt med ja, delvist eller nej. Vær streng: "jeg tror det nok" er "delvist". Efter hvert punkt står den lektion, hvor du har lært om det.
Konti og login
| Nr | Punkt | Lektion |
|---|---|---|
| 1 | Der findes et overblik over alle konti, enheder, hjemmesider, domæner og leverandører, med en ejer for hver del. Det, der ikke længere bruges, er ryddet op. | 1.1, 7.2 |
| 2 | Alle bruger en adgangskodeadministrator og har en unik, lang adgangskode pr. tjeneste. Der deles ingen adgangskoder via mail eller chat. | 2.1, 2.2 |
| 3 | Totrinsbekræftelse er slået til på mail, bank, bogholderi, hosting, registrar og sociale medier; for administratorer helst en phishingsikker form som en passkey eller sikkerhedsnøgle. | 2.3, 2.4 |
| 4 | Gendannelseskoder og reservenøgler er sikkert opbevaret, og du ved, hvad du gør, hvis en telefon bliver væk. | 2.3, 2.4 |
| 5 | Du har kontrolleret, om virksomhedens adresser findes i kendte lækager, og du ved, hvordan du inddrager sessioner og tjekker videresendelsesregler. | 1.4, 2.5 |
Mennesker og processer
| Nr | Punkt | Lektion |
|---|---|---|
| 6 | Der er en betalingsprocedure: ring tilbage til et kendt nummer ved ændrede kontonumre, og en ekstra person ved store eller afvigende betalinger. | 1.2 |
| 7 | Alle kan genkende phishing på det reelle domæne i et link og ved, hvad de skal gøre efter et klik. | 3.1 til og med 3.5 |
| 8 | Der findes ét fast anmeldelsespunkt med en stedfortræder, anmeldelse sker uden skyld, og der er en kort genopfriskning mindst et par gange om året. | 9.2 |
E-mail, hjemmeside og domæne
| Nr | Punkt | Lektion |
|---|---|---|
| 9 | Dit domæne har SPF, DKIM og DMARC, og DMARC står mindst på p=none med en plan om at gå til quarantine eller reject. | 4.1 |
| 10 | Din hjemmeside virker overalt via https med et gyldigt certifikat, sender http videre, og CMS'et med plugins bliver opdateret. HSTS og sikkerhedsheadere er slået til eller bevidst fravalgt. | 4.2 |
| 11 | Indehaveroplysningerne for dit domæne er korrekte, automatisk fornyelse er slået til, din registrar har 2FA, der er ingen løse DNS-poster, og DNSSEC er slået til, hvor det er muligt. | 4.3 |
Enheder og netværk
| Nr | Punkt | Lektion |
|---|---|---|
| 12 | Opdateringer er sat til automatisk for styresystemer, apps og plugins; router, NAS og printer bliver også opdateret; der kører intet længere, som ikke får opdateringer. | 5.1 |
| 13 | Bærbare og telefoner har skærmlås og diskkryptering, kan slettes på afstand, og ingen arbejder dagligt med en administratorkonto. | 5.2 |
| 14 | Wifi'et bruger WPA2 eller WPA3, routerens standardadgangskode er ændret, og gæster og smarte enheder er på et gæstenetværk. | 5.3 |
Backup
| Nr | Punkt | Lektion |
|---|---|---|
| 15 | Der findes en backup af alt det vigtige, også mail og cloudtjenester, efter 3-2-1-princippet. | 6.1 |
| 16 | Mindst én kopi er offline eller uforanderlig og har sit eget login, som ikke bruges på arbejdscomputerne. | 6.2 |
| 17 | Der er lavet en gendannelsestest inden for det seneste år, og du ved, hvor meget arbejde du må miste, og hvor hurtigt det skal være tilbage. | 6.3 |
Adgang, leverandører og hændelser
| Nr | Punkt | Lektion |
|---|---|---|
| 18 | Alle har deres egen konto med kun de rettigheder, der er nødvendige, administratorkonti er adskilt, og ved fratrædelse bliver al adgang inddraget samme dag. | 7.1 |
| 19 | Vigtige leverandører og cloudtjenester er vurderet, der er databehandleraftaler, hvor det er nødvendigt, og filer deles med links med udløbsdato. | 7.2, 7.3 |
| 20 | Der hænger et incidentkort på papir, der findes et register over databrud, og du ved, hvornår du skal anmelde til Datatilsynet, politiet og, hvis det gælder for dig, SAMSIK. | 8.1, 8.2, 8.3, 9.1 |
Tæl dine svar sammen. Mange "nej" er ingen grund til at blive forskrækket: det er dit startpunkt. Derfor hedder det en nulpunktsmåling.
En del kan du få kontrolleret automatisk
Et par punkter kan du måle udefra, fordi de handler om offentlige oplysninger om dit domæne: punkt 9 (SPF, DKIM, DMARC), punkt 10 (https, certifikat, HSTS, headere) og punkt 11 (DNSSEC, navneservere, udløbsdato). I opgave A9.3 gør du det på én gang for dit eget domæne, med de samme kontroller som i opgaverne i modul 4. Uafhængige tests som https://internet.nl og de offentlige kontroller på https://www.weboke.dk/domein-gezondheid og https://www.weboke.dk/emailcheck kigger på lignende punkter.
Bemærk: et grønt resultat på de punkter siger intet om de andre sytten. Dit domæne kan være perfekt indstillet, mens din postkasse har en adgangskode fra en lækage. Den automatiske kontrol er en del af nulpunktsmålingen, ikke en erstatning for den.
Fra tjek til plan: prioritering
Du har nu måske otte eller ti punkter på "nej" eller "delvist". Alt kan ikke ske samtidig. Du vælger rækkefølgen ud fra to spørgsmål.
1. Hvor stor er risikoen? Brug sandsynlighed x konsekvens (lektion 1.1). Et punkt, som et opportunistisk angreb sigter mod, som genbrugte adgangskoder uden 2FA eller en hjemmeside uden opdateringer, har stor sandsynlighed. Et punkt, der lukker hele din virksomhed ned, hvis det går galt, som en backup der ikke virker, har stor konsekvens.
2. Hvor meget besvær kræver det? Nogle tiltag koster en time og intet, som at slå totrinsbekræftelse til eller aftale en betalingsprocedure. Andre koster uger, som at udskifte alle bærbare.
Sæt punkterne ind i en enkel oversigt:
| Lidt besvær | Meget besvær | |
|---|---|---|
| Stor risiko | Gør det nu (denne uge) | Planlæg (dette kvartal) |
| Lille risiko | Tag det med, når det passer | Senere eller accepter det bevidst |
Reglen er: hurtigt og billigt først, forudsat at risikoen er stor. Hos de fleste små virksomheder havner følgende i feltet "gør det nu": totrinsbekræftelse på mail og bank (3), betalingsproceduren (6), automatiske opdateringer slået til (12) og kontrol af, om der findes en kopi af backuppen uden for rækkevidde (16).
Bevidst acceptere
En risiko kan du også acceptere: du beslutter, at du ikke løser den, fordi risikoen er lille, eller fordi omkostningerne er for høje. Det er et gyldigt valg, så længe du tager beslutningen bevidst og skriver den ned. "Glemt" er ikke acceptance.
En ejer og en dato pr. punkt
En plan uden navne bliver liggende. Giv hvert punkt:
- en ejer: én person, der sørger for, at det sker. Det behøver ikke være den, der udfører arbejdet; IT-virksomheden kan udføre arbejdet, men nogen i din egen virksomhed kontrollerer, at det er færdigt;
- en dato: hvornår det skal være færdigt;
- en definition af færdig: hvordan ved du, at det er gjort? Ikke "ordne 2FA", men "2FA er slået til på de fem konti fra listen, gendannelseskoder ligger i pengeskabet".
Et eksempel med tre linjer fra planen for Bageriet Example:
| Punkt | Handling | Ejer | Færdig den | Færdig når |
|---|---|---|---|---|
| 3 | 2FA på mail, bank, bogholderi og registrar | Petra | om 1 uge | Slået til på alle fire, gendannelseskoder i adgangskodeadministratoren og på papir i pengeskabet |
| 6 | Betalingsprocedure på A4, drøftet med Joost og Sanne | Petra | om 2 uger | A4 hænger ved kontoret, begge har læst den |
| 16 | Ugentlig kopi på en disk, der derefter lægges løs i pengeskabet | Joost | om 1 måned | De første tre uger gennemført, én fil gendannet som test |
Gentagelse
Sikkerhed er aldrig færdig. Der kommer nye medarbejdere, nye tjenester, nye enheder og nye tricks. Aftal derfor:
- hvert år at gennemgå hele tjekket igen, på en fast måned, og opdatere planen;
- ind imellem at lave tjekket ved store ændringer: en ny webudvikler, et skift af hosting, nyt bogholderisystem, en vækstspurt;
- efter en hændelse at gennemgå de punkter, der var involveret (lektion 8.3).
Gem resultatet af hvert tjek. Så kan du efter et år se sort på hvidt, hvad der er blevet forbedret, og du har et svar klar, hvis en kunde spørger, hvordan det står til med din sikkerhed. SAMSIK har også sit eget sikkerhedstjek til selvstændige og små og mellemstore virksomheder på sikkerdigital.dk, som du kan bruge sammen med denne liste; det giver dig en handlingsliste.
Opsummering
- En nulpunktsmåling med tyve faste punkter giver et ærligt billede; hvert punkt henviser til den lektion, hvor du lærte om det.
- En del (e-mail, hjemmeside, domæne) kan du få kontrolleret automatisk, men det siger intet om de andre punkter.
- Prioritér ud fra sandsynlighed x konsekvens og besvær: stor risiko med lidt besvær først.
- Hvert punkt i planen får en ejer, en dato og en definition af færdig; det er tilladt at acceptere, men bevidst og på skrift.
- Gentag tjekket hvert år og ved store ændringer, og gem resultaterne.
Quiz
Opgave
Opgave A9.3: Den automatiske kontrol af dit domæne. Indtast dit eget domæne. Programmet kontrollerer på én gang e-mail (SPF, DKIM, DMARC), hjemmeside (https, certifikat, videresendelse, HSTS, headere) og domæne (navneservere, DNSSEC, udløbsdato) og viser, hvilke punkter i sikkerhedstjekket der er grønne, orange eller røde.
Opgave D9.3: Din sikkerhedstjek og plan. Lav tjekket med tyve punkter for din egen virksomhed. Vælg derefter mindst fem punkter, sæt dem ind i skemaet med risiko og besvær, og lav en plan med en ejer, en dato og en definition af færdig for hvert punkt. Skriv i din kalender, hvornår du laver tjekket igen.
Opgave D9.3: Din sikkerhedstjek og plan
Sådan gør du: (1) Gennemgå de tyve punkter fra lektionen og udfyld for hvert punkt: ja, delvist eller nej. Brug for punkt 9, 10 og 11 resultatet fra A9.3 (knappen overfører røde og orange punkter). (2) Placer hvert punkt med "delvist" eller "nej" i skemaet over risiko (stor/lille) og indsats (lidt/meget). (3) Vælg mindst fem punkter. Start med felterne "stor risiko, lidt indsats". (4) Giv hvert valgt punkt en handling, en ansvarlig, en dato og en definition af færdig. (5) Skriv ned, hvilke punkter du bevidst accepterer, med begrundelse. (6) Sæt en fast måned i din kalender til den næste fulde gennemgang, og skriv ned ved hvilke ændringer du kigger på det igen undervejs. (7) Gem resultatet (kurset gemmer det udfyldte tjek, hvis du ønsker det; kun ja/delvist/nej per punkt og din plan, ingen andre oplysninger).
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Trinene i WebOké-artiklerne gælder for WebOkés eget miljø; hos andre udbydere fungerer det tilsvarende.
- WebOké vejledning 5.17: Domæne og mailens sundhed: kontrollér og ret problemer
- WebOké, Domæne / E-mail-sundhed (offentlig kontrol): https://www.weboke.dk/domein-gezondheid
- WebOké, E-mailcheck: https://www.weboke.dk/emailcheck
- Internet.nl, test din hjemmeside og e-mail: https://internet.nl
- SAMSIK, sikkerhedstjek for selvstændige og små og mellemstore virksomheder: https://sikkerdigital.dk/