Modul 9 · 9.3
Din egen sikkerhetssjekk og plan
Modul 9: Regler og organisering · Lesetid: 12 minutter
Læringsmål: Etter denne leksjonen kan du gjøre din egen sikkerhetssjekk med en fast liste og lage en prioritert plan av den.
Nøkkelbegreper: grunntiltak, nullpunktsmåling, prioritering (sannsynlighet x konsekvens, raskt og billig først), eier og dato, årlig gjentakelse
Fra å vite til å gjøre
Du har sett mye i dette kurset: passord, phishing, e-post og domene, enheter, sikkerhetskopier, rettigheter, hendelser og regler. Risikoen nå er at du begynner litt overalt og ikke blir ferdig med noe. Denne leksjonen omsetter alt til to ting du lager selv:
- en nullpunktsmåling: et ærlig bilde av hvordan det står til nå;
- en plan: hva du gjør først, hvem som gjør det og når det skal være ferdig.
Listen under inneholder grunntiltakene: tiltakene som stopper de fleste opportunistiske angrep (leksjon 1.1), og som en kunde også som regel spør om når han stiller krav til sine leverandører (leksjon 9.1). Det er ikke en fullstendig standard som ISO 27001, og det trenger den heller ikke å være. Det er grunnmuren som gjør forskjellen for en liten bedrift.
Sikkerhetssjekken: tjue punkter
Svar på hvert punkt med ja, delvis eller nei. Vær streng: "jeg tror det" er "delvis". Bak hvert punkt står leksjonen der du lærte det.
Kontoer og innlogging
| Nr | Punkt | Leksjon |
|---|---|---|
| 1 | Det finnes en oversikt over alle kontoer, enheter, nettsteder, domener og leverandører, med en eier for hver del. Det som ikke lenger brukes, er ryddet bort. | 1.1, 7.2 |
| 2 | Alle bruker en passordbehandler og har et unikt, langt passord per tjeneste. Det deles ingen passord via e-post eller chat. | 2.1, 2.2 |
| 3 | Tofaktorautentisering (2FA) er på for e-post, bank, regnskap, webhotell (hosting), registrar og sosiale medier; for administratorer helst en phishingbestandig form som passkey eller sikkerhetsnøkkel. | 2.3, 2.4 |
| 4 | Recovery Codes og reservenøkler er trygt oppbevart, og du vet hva du gjør hvis en telefon blir borte. | 2.3, 2.4 |
| 5 | Du har sjekket om firmaadresser finnes i kjente datalekkasjer, og du vet hvordan du trekker tilbake økter og sjekker videresendingsregler. | 1.4, 2.5 |
Mennesker og prosesser
| Nr | Punkt | Leksjon |
|---|---|---|
| 6 | Det finnes en betalingsprosedyre: ring tilbake på et kjent nummer ved endrede kontonumre, og en andreperson ved store eller avvikende betalinger. | 1.2 |
| 7 | Alle kan gjenkjenne phishing ut fra det ekte domenet til en lenke og vet hva de skal gjøre etter et klikk. | 3.1 til og med 3.5 |
| 8 | Det finnes ett meldepunkt med stedfortreder, det meldes uten skyldfordeling, og det holdes en kort repetisjon minst noen ganger i året. | 9.2 |
E-post, nettsted og domene
| Nr | Punkt | Leksjon |
|---|---|---|
| 9 | Domenet ditt har SPF, DKIM og DMARC, og DMARC står minst på p=none med en plan om å gå til quarantine eller reject. | 4.1 |
| 10 | Nettstedet ditt fungerer overalt via https med et gyldig sertifikat, videresender http, og CMS med plugin oppdateres. HSTS og sikkerhetsheadere er på eller er bevisst vurdert. | 4.2 |
| 11 | Innehaveropplysningene for domenet ditt stemmer, automatisk fornyelse er på, registraren har 2FA, det finnes ingen løse DNS-poster, og DNSSEC er på der det er mulig. | 4.3 |
Enheter og nettverk
| Nr | Punkt | Leksjon |
|---|---|---|
| 12 | Oppdateringer er automatiske for operativsystemer, apper og plugin; ruter, NAS og skriver blir også oppdatert; ingenting kjører lenger som ikke får oppdateringer. | 5.1 |
| 13 | Laptoper og telefoner har skjermlås og diskkryptering, kan slettes eksternt, og ingen jobber daglig med en administratorkonto. | 5.2 |
| 14 | Wifien bruker WPA2 eller WPA3, standardpassordet til ruteren er endret, og besøkende og smartenheter er på et gjestenettverk. | 5.3 |
Sikkerhetskopier
| Nr | Punkt | Leksjon |
|---|---|---|
| 15 | Det finnes en sikkerhetskopi av alt som er viktig, også e-post og skytjenester, etter 3-2-1-prinsippet. | 6.1 |
| 16 | Minst én kopi er offline eller uforanderlig og har sin egen innlogging som ikke brukes på arbeidsdatamaskinene. | 6.2 |
| 17 | Det siste året er det gjort en gjenopprettingstest, og du vet hvor mye arbeid du kan tåle å miste og hvor fort det må være tilbake. | 6.3 |
Tilgang, leverandører og hendelser
| Nr | Punkt | Leksjon |
|---|---|---|
| 18 | Alle har sin egen konto med bare de rettighetene som trengs, administratorkontoer er atskilt, og ved avslutning trekkes all tilgang tilbake samme dag. | 7.1 |
| 19 | Viktige leverandører og skytjenester er vurdert, det finnes databehandleravtaler der det trengs, og filer deles med lenker med utløpsdato. | 7.2, 7.3 |
| 20 | Det henger et hendelseskort på papir, det finnes et register over avvik, og du vet når du skal melde til Datatilsynet, politiet og, hvis det gjelder deg, Nasjonal sikkerhetsmyndighet (NSM). | 8.1, 8.2, 8.3, 9.1 |
Tell svarene dine. Mange "nei" er ingen grunn til å bli skremt: det er startpunktet ditt. Derfor kalles det en nullpunktsmåling.
En del kan du la bli sjekket automatisk
Noen punkter kan måles utenfra, fordi de handler om offentlige opplysninger om domenet ditt: punkt 9 (SPF, DKIM, DMARC), punkt 10 (https, sertifikat, HSTS, headere) og punkt 11 (DNSSEC, navnetjenere, utløpsdato). I oppgave A9.3 gjør du dette i ett jafs for ditt eget domene, med de samme kontrollene som i oppgavene i modul 4. Uavhengige tester som https://internet.nl og de offentlige kontrollene på https://www.weboke.no/domein-gezondheid og https://www.weboke.no/emailcheck ser på lignende punkter.
Merk: et grønt resultat på disse punktene sier ingenting om de andre sytten. Domenet ditt kan være perfekt satt opp mens postkassen din har et passord fra en datalekkasje. Den automatiske sjekken er én del av nullpunktsmålingen, ikke en erstatning.
Fra sjekk til plan: prioritering
Du har nå kanskje åtte eller ti punkter på "nei" eller "delvis". Ikke alt kan gjøres samtidig. Du velger rekkefølgen med to spørsmål.
1. Hvor stor er risikoen? Bruk sannsynlighet x konsekvens (leksjon 1.1). Et punkt som et opportunistisk angrep retter seg mot, som gjenbrukte passord uten 2FA eller et nettsted uten oppdateringer, har stor sannsynlighet. Et punkt som, hvis det går galt, lammer hele bedriften din, som en sikkerhetskopi som ikke fungerer, har stor konsekvens.
2. Hvor mye arbeid krever det? Noen tiltak koster en time og ingenting, som å skru på tofaktorautentisering eller avtale en betalingsprosedyre. Andre koster uker, som å bytte ut alle laptoper.
Sett punktene inn i et enkelt skjema:
| Lite arbeid | Mye arbeid | |
|---|---|---|
| Stor risiko | Gjør det nå (denne uken) | Planlegg (dette kvartalet) |
| Liten risiko | Ta det med når det passer | Senere eller aksepter bevisst |
Regelen er: raskt og billig først, forutsatt at risikoen er stor. Hos de fleste små bedrifter havner disse i ruten "gjør det nå": tofaktorautentisering på e-post og bank (3), betalingsprosedyren (6), automatiske oppdateringer (12) og kontroll av om det finnes en kopi av sikkerhetskopien utenfor rekkevidde (16).
Bevisst aksept
En risiko kan du også akseptere: du bestemmer at du ikke løser den, fordi risikoen er liten eller kostnadene for høye. Det er et gyldig valg, så lenge du tar det bevisst og skriver det ned. "Glemt det" er ikke aksept.
En eier og en dato per punkt
En plan uten navn blir liggende. Gi hvert punkt:
- en eier: én person som sørger for at det skjer. Det trenger ikke være den som utfører arbeidet; IT-leverandøren kan gjøre jobben, men noen i din egen bedrift kontrollerer at det er gjort;
- en dato: når det skal være ferdig;
- en definisjon av ferdig: hvordan vet du at det er gjort? Ikke "ordne 2FA", men "2FA er på for de fem kontoene på listen, recovery codes ligger i safen".
Et eksempel med tre linjer fra planen til Bakeriet Eksempel:
| Punkt | Tiltak | Eier | Ferdig innen | Ferdig når |
|---|---|---|---|---|
| 3 | 2FA på e-post, bank, regnskap og registrar | Petra | om 1 uke | Alle fire er på, recovery codes i passordbehandleren og på papir i safen |
| 6 | Betalingsprosedyre på A4, gjennomgått med Joost og Sanne | Petra | om 2 uker | A4-arket henger på kontoret, begge har lest det |
| 16 | Ukentlig kopi på en disk som deretter legges løst i safen | Joost | om 1 måned | De tre første ukene gjort, én fil gjenopprettet som test |
Gjenta
Sikkerhet er aldri ferdig. Det kommer nye medarbeidere, nye tjenester, nye enheter og nye triks. Avtal derfor:
- hvert år å gjøre hele sjekken på nytt, på en fast måned, og oppdatere planen;
- innimellom å gjøre sjekken ved store endringer: en ny webbygger, flytting av webhotellet ditt, nytt regnskapssystem, en vekstperiode;
- etter en hendelse å gå gjennom punktene som var involvert (leksjon 8.3).
Ta vare på resultatet av hver sjekk. Da ser du svart på hvitt etter et år hva som er forbedret, og har et svar klart hvis en kunde spør hvordan sikkerheten din står. Nasjonal sikkerhetsmyndighet (NSM) har også egne råd for enkeltpersonforetak og små og mellomstore bedrifter, som du kan bruke ved siden av denne listen; det gir en handlingsliste.
Oppsummering
- En nullpunktsmåling med tjue faste punkter gir et ærlig bilde; hvert punkt viser til leksjonen der du lærte det.
- En del (e-post, nettsted, domene) kan du sjekke automatisk, men det sier ingenting om de andre punktene.
- Prioriter etter sannsynlighet x konsekvens og arbeidsmengde: stor risiko med lite arbeid først.
- Hvert punkt i planen får en eier, en dato og en definisjon av ferdig; aksept er lov, men bevisst og på papir.
- Gjenta sjekken hvert år og ved store endringer, og ta vare på resultatene.
Quiz
Oppgave
Oppgave A9.3: Den automatiske sjekken av domenet ditt. Fyll inn ditt eget domene. Programmet sjekker i ett jafs e-post (SPF, DKIM, DMARC), nettsted (https, sertifikat, videresending, HSTS, headere) og domene (navnetjenere, DNSSEC, utløpsdato) og viser hvilke punkter i sikkerhetssjekken som er grønne, oransje eller røde.
Oppgave D9.3: Din sikkerhetssjekk og plan. Gjør sjekken med tjue punkter for din egen bedrift. Velg deretter minst fem punkter, sett dem inn i skjemaet med risiko og arbeidsmengde, og lag en plan med en eier, en dato og en definisjon av ferdig for hvert punkt. Noter i kalenderen din når du gjør sjekken på nytt.
Oppgave D9.3: Din sikkerhetssjekk og plan
Slik gjør du det: (1) Gå gjennom de tjue punktene fra leksjonen og fyll inn per punkt: ja, delvis eller nei. Bruk for punktene 9, 10 og 11 resultatet fra A9.3 (knappen henter over røde og oransje punkter). (2) Plasser hvert punkt med "delvis" eller "nei" i skjemaet for risiko (stor/liten) og innsats (lite/mye). (3) Velg minst fem punkter. Begynn med boksene "stor risiko, lite innsats". (4) Gi hvert valgte punkt en tiltak, en eier, en dato og en definisjon på ferdig. (5) Skriv ned hvilke punkter du bevisst aksepterer, med begrunnelse. (6) Sett en fast måned i kalenderen for neste fullstendige sjekk, og noter ved hvilke endringer du sjekker på nytt underveis. (7) Lagre resultatet (kurset lagrer den utfylte sjekken hvis du ønsker det; bare ja/delvis/nei per punkt og planen din, ingen andre opplysninger).
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.
- WebOké-veiledning 5.17: Domene og e-posthelse: kontroller og reparer
- WebOké, Domene / E-post-helse (offentlig kontroll): https://www.weboke.no/domein-gezondheid
- WebOké, E-postsjekk: https://www.weboke.no/emailcheck
- Internet.nl, test nettstedet og e-posten din: https://internet.nl
- Nasjonal sikkerhetsmyndighet (NSM): https://nsm.no/