Modul 9 · 9.3
Din egen säkerhetscheck och plan
Modul 9: Regler och organisation · Lästid: 12 minuter
Lärandemål: Efter den här lektionen kan du göra din egen säkerhetscheck med en fast lista och omvandla den till en prioriterad plan.
Nyckelbegrepp: grundläggande åtgärder, nollmätning, prioritering (sannolikhet x konsekvens, snabbt och billigt först), ägare och datum, årlig upprepning
Från att veta till att göra
Du har sett mycket i den här kursen: lösenord, phishing, e-post och domän, enheter, säkerhetskopior, rättigheter, incidenter och regler. Risken nu är att du börjar lite överallt men inte blir klar med något. Den här lektionen omvandlar allt till två saker som du själv skapar:
- en nollmätning: en ärlig bild av hur läget är just nu;
- en plan: vad du gör först, vem som gör det och när det ska vara klart.
Listan nedan innehåller de grundläggande åtgärderna: de åtgärder som stoppar de flesta opportunistiska attacker (lektion 1.1) och som en kund oftast också efterfrågar när den ställer krav på sina leverantörer (lektion 9.1). Det är ingen fullständig standard som ISO 27001, och det behöver den inte heller vara. Det är den grund som gör skillnad för ett litet företag.
Säkerhetschecken: tjugo punkter
Besvara varje punkt med ja, delvis eller nej. Var sträng: "jag tror det nog" räknas som "delvis". Efter varje punkt står den lektion där du lärde dig det.
Konton och inloggning
| Nr | Punkt | Lektion |
|---|---|---|
| 1 | Det finns en översikt över alla konton, enheter, webbplatser, domäner och leverantörer, med en ägare per del. Det som inte används längre har städats bort. | 1.1, 7.2 |
| 2 | Alla använder en lösenordshanterare och har ett unikt, långt lösenord per tjänst. Inga lösenord delas via mejl eller chatt. | 2.1, 2.2 |
| 3 | Tvåfaktorsautentisering (2FA) är påslaget för e-post, bank, bokföring, webbhotell, registrar och sociala medier; för administratörer helst en phishingresistent form som en passkey eller säkerhetsnyckel. | 2.3, 2.4 |
| 4 | Återställningskoder och reservnycklar förvaras säkert, och du vet vad du ska göra om en telefon försvinner. | 2.3, 2.4 |
| 5 | Du har kontrollerat om företagets adresser förekommer i kända läckor, och du vet hur du återkallar sessioner och kontrollerar vidarebefordringsregler. | 1.4, 2.5 |
Människor och rutiner
| Nr | Punkt | Lektion |
|---|---|---|
| 6 | Det finns en betalningsrutin: återuppringning på ett känt nummer vid ändrade kontonummer och en andra person vid stora eller avvikande betalningar. | 1.2 |
| 7 | Alla kan känna igen phishing utifrån länkens verkliga domän och vet vad de ska göra efter en klick. | 3.1 till och med 3.5 |
| 8 | Det finns en enda anmälningspunkt med ersättare, anmälan sker utan skuldbeläggning, och det hålls en kort repetition minst några gånger per år. | 9.2 |
E-post, webbplats och domän
| Nr | Punkt | Lektion |
|---|---|---|
| 9 | Din domän har SPF, DKIM och DMARC, och DMARC är satt till minst p=none med en plan att gå vidare till quarantine eller reject. | 4.1 |
| 10 | Din webbplats fungerar överallt via https med ett giltigt certifikat, vidarebefordrar http, och CMS:et med plugins uppdateras. HSTS och säkerhetsheaders är påslagna eller medvetet övervägda. | 4.2 |
| 11 | Innehavaruppgifterna för din domän stämmer, automatisk förnyelse är påslagen, registraren har 2FA, det finns inga övergivna DNS-poster och DNSSEC är påslaget där det går. | 4.3 |
Enheter och nätverk
| Nr | Punkt | Lektion |
|---|---|---|
| 12 | Uppdateringar är automatiska för operativsystem, appar och plugins; router, NAS och skrivare uppdateras också; inget körs längre som inte får uppdateringar. | 5.1 |
| 13 | Bärbara datorer och telefoner har skärmlås och diskkryptering, kan raderas på distans, och ingen arbetar dagligen med ett administratörskonto. | 5.2 |
| 14 | Wifi använder WPA2 eller WPA3, routerns standardlösenord har ändrats och besökare och smarta enheter sitter på ett gästnätverk. | 5.3 |
Säkerhetskopior
| Nr | Punkt | Lektion |
|---|---|---|
| 15 | Det finns en säkerhetskopia av allt som är viktigt, även e-post och molntjänster, enligt 3-2-1. | 6.1 |
| 16 | Minst en kopia är offline eller oföränderlig och har en egen inloggning som inte används på arbetsdatorerna. | 6.2 |
| 17 | Under det senaste året har ett återställningstest gjorts, och du vet hur mycket arbete du får förlora och hur snabbt det måste vara tillbaka. | 6.3 |
Åtkomst, leverantörer och incidenter
| Nr | Punkt | Lektion |
|---|---|---|
| 18 | Alla har ett eget konto med endast de rättigheter som behövs, administratörskonton är separata, och vid avslut återkallas all åtkomst samma dag. | 7.1 |
| 19 | Viktiga leverantörer och molntjänster har bedömts, det finns personuppgiftsbiträdesavtal där det behövs, och filer delas med länkar som har ett utgångsdatum. | 7.2, 7.3 |
| 20 | Det finns ett incidentkort på papper, det finns ett register över personuppgiftsincidenter, och du vet när du ska anmäla till IMY, polisen och, om det gäller dig, NCSC. | 8.1, 8.2, 8.3, 9.1 |
Räkna ihop dina svar. Många "nej" är ingen anledning till oro: det är din utgångspunkt. Därför kallas det en nollmätning.
En del kan kontrolleras automatiskt
Några punkter kan mätas utifrån, eftersom de handlar om offentliga uppgifter om din domän: punkt 9 (SPF, DKIM, DMARC), punkt 10 (https, certifikat, HSTS, headers) och punkt 11 (DNSSEC, namnservrar, utgångsdatum). I uppgift A9.3 gör du det i ett svep för din egen domän, med samma kontroller som i uppgifterna i modul 4. Oberoende tester som https://internet.nl och de öppna kontrollerna på https://www.weboke.se/domanhalsa och https://www.weboke.se/e-postkontroll tittar på liknande punkter.
Tänk på: ett grönt resultat på de punkterna säger ingenting om de andra sjutton. Din domän kan vara perfekt konfigurerad samtidigt som din e-postlåda har ett lösenord från en läcka. Den automatiska kontrollen är en del av nollmätningen, inte en ersättning för den.
Från check till plan: prioritera
Du har nu kanske åtta eller tio punkter på "nej" eller "delvis". Allt kan inte göras samtidigt. Du väljer ordningen med två frågor.
1. Hur stor är risken? Använd sannolikhet x konsekvens (lektion 1.1). En punkt som en opportunistisk attack siktar på, som återanvända lösenord utan 2FA eller en webbplats utan uppdateringar, har hög sannolikhet. En punkt som vid fel lägger ner hela företaget, som en säkerhetskopia som inte fungerar, har stor konsekvens.
2. Hur mycket arbete kostar det? Vissa åtgärder kostar en timme och inget mer, som att aktivera tvåfaktorsautentisering eller komma överens om en betalningsrutin. Andra kostar veckor, som att byta ut alla bärbara datorer.
Placera punkterna i ett enkelt schema:
| Liten arbetsinsats | Stor arbetsinsats | |
|---|---|---|
| Stor risk | Gör nu (den här veckan) | Planera (det här kvartalet) |
| Liten risk | Ta med när det passar | Senare eller medveten acceptans |
Regeln är: snabbt och billigt först, förutsatt att risken är stor. Hos de flesta små företag hamnar följande i rutan "gör nu": tvåfaktorsautentisering på e-post och bank (3), betalningsrutinen (6), aktivera automatiska uppdateringar (12) och kontrollera att det finns en kopia av säkerhetskopian utom räckhåll (16).
Medveten acceptans
En risk får du också acceptera: du bestämmer att du inte åtgärdar den, eftersom risken är liten eller kostnaden för hög. Det är ett giltigt val, så länge du gör det medvetet och skriver ner det. "Glömde" räknas inte som acceptans.
En ägare och ett datum per punkt
En plan utan namn blir liggande. Ge varje punkt:
- en ägare: en person som ser till att det blir gjort. Det behöver inte vara den som utför arbetet; IT-företaget kan göra jobbet, men någon i ditt eget företag kontrollerar att det är klart;
- ett datum: när det ska vara klart;
- en definition av klart: hur vet du att det är färdigt? Inte "ordna 2FA", utan "2FA är påslaget på de fem kontona i listan, återställningskoder ligger i kassaskåpet".
Ett exempel på tre rader ur planen för Bakkerij Example:
| Punkt | Åtgärd | Ägare | Klart den | Klart när |
|---|---|---|---|---|
| 3 | 2FA på e-post, bank, bokföring och registrar | Petra | om 1 vecka | Påslaget på alla fyra, återställningskoder i lösenordshanteraren och på papper i kassaskåpet |
| 6 | Betalningsrutin på A4, genomgången med Joost och Sanne | Petra | om 2 veckor | A4 sitter uppe på kontoret, båda har läst den |
| 16 | Veckovis kopia på en disk som sedan läggs separat i kassaskåpet | Joost | om 1 månad | Första tre veckorna gjorda, en fil återställd som test |
Upprepa
Säkerhet blir aldrig klart. Det kommer nya medarbetare, nya tjänster, nya enheter och nya knep. Kom därför överens om att:
- göra den fullständiga checken på nytt varje år, en fast månad, och uppdatera planen;
- göra checken emellanåt vid stora förändringar: en ny webbyggare, flytt av ditt webbhotell, ny bokföring, en tillväxtspurt;
- gå igenom de punkter som var inblandade efter en incident (lektion 8.3).
Spara resultatet av varje check. Då ser du svart på vitt efter ett år vad som har förbättrats, och du har ett svar om en kund frågar hur din säkerhet ser ut. Det svenska NCSC (www.ncsc.se) publicerar också råd om cybersäkerhet som du kan använda vid sidan av den här listan.
Sammanfattning
- En nollmätning med tjugo fasta punkter ger en ärlig bild; varje punkt hänvisar till lektionen där du lärde dig den.
- En del (e-post, webbplats, domän) kan kontrolleras automatiskt, men det säger ingenting om de andra punkterna.
- Prioritera utifrån sannolikhet x konsekvens och arbetsinsats: stor risk med liten insats först.
- Varje punkt i planen får en ägare, ett datum och en definition av klart; acceptans är tillåtet, men medvetet och nedskrivet.
- Upprepa checken varje år och vid stora förändringar, och spara resultaten.
Quiz
Uppgift
Uppgift A9.3: Den automatiska kontrollen av din domän. Fyll i din egen domän. Programmet kontrollerar i ett svep e-post (SPF, DKIM, DMARC), webbplats (https, certifikat, vidarebefordran, HSTS, headers) och domän (namnservrar, DNSSEC, utgångsdatum) och visar vilka punkter i säkerhetschecken som är gröna, orange eller röda.
Uppgift D9.3: Din säkerhetscheck och plan. Gör checken med tjugo punkter för ditt eget företag. Välj därefter minst fem punkter, placera dem i schemat för risk och arbetsinsats, och gör en plan med en ägare, ett datum och en definition av klart för varje punkt. Sätt in i din kalender när du ska göra checken igen.
Uppgift D9.3: Din säkerhetscheck och plan
Så här gör du: (1) Gå igenom de tjugo punkterna från lektionen och fyll i för varje punkt: ja, delvis eller nej. Använd för punkterna 9, 10 och 11 resultatet från A9.3 (knappen hämtar automatiskt röda och orange punkter). (2) Placera varje punkt med "delvis" eller "nej" i schemat över risk (stor/liten) och ansträngning (lite/mycket). (3) Välj minst fem punkter. Börja med rutorna "stor risk, liten ansträngning". (4) Ge varje vald punkt en åtgärd, en ansvarig, ett datum och en definition av klart. (5) Skriv ner vilka risker du medvetet accepterar, med motivering. (6) Lägg in en fast månad i kalendern för nästa fullständiga check, och skriv ner vid vilka förändringar du ser över det igen under tiden. (7) Spara resultatet (kursen sparar den ifyllda checken om du vill det; endast ja/delvis/nej per punkt och din plan, inga andra uppgifter).
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i WebOké-artiklarna gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.
- WebOké manual 5.17: Domän och e-posthälsa: kontrollera och åtgärda
- WebOké, Domän / E-posthälsa (öppen kontroll): https://www.weboke.se/domanhalsa
- WebOké, E-postkontroll: https://www.weboke.se/e-postkontroll
- Internet.nl, testa din webbplats och e-post: https://internet.nl
- NCSC, råd från NCSC: https://www.ncsc.se/