Enkle tiltak for IKT-sikkerhet

Ukategorisert 22. juni 2020 Skrevet av Karoline Kathrine Åbyholm

Nødvendige risikoreduserende tiltak mangler ofte i norske virksomheter, mener Nasjonal sikkerhetsmyndighet.

Nødvendige risikoreduserende tiltak mangler ofte i norske virksomheter. Det skriver Nasjonal sikkerhetsmyndighet.

Det gjør situasjonen unødig komplisert, kostbar og tidkrevende når man skal prøve å rydde opp etter å ha blitt utsatt for dataangrep eller andre IKT-hendelser. Tiltakene som mangler er ikke spesielt kompliserte eller kostbare å få på plass, men de må være der før en hendelse inntreffer.

Kilde: Nasjonal sikkerhetsmyndighet

NSM Nasjonalt cybersikkerhetssenter anbefaler følgende tiltak for virksomheter:

  1. Det må etableres sikkerhetsovervåkning og man må ha kapasitet til å analysere data fra slik overvåkning. Sentral og beskyttet logging av relevante digitale systemer er viktig.
  2. Sørg for å ha god kontroll på internetteksponerte tjenester og sårbarhetsflater, og gjennomfør sikkerhetsoppdateringer med én gang når disse foreligger. Vurdér AllvisNOR og/eller andre tiltak for sårbarhetskartlegging.
  3. En oppdatert sikkerhetskopi av datasystemer (dvs. både programvare og data) må lagres på et isolert system for å beskytte mot tilsiktet og utilsiktet sletting, manipulering og avlesning. Verifisér også at det er mulig å lese tilbake sikkerhetskopien og restarte systemet ut i fra denne.
  4. Etabler grunnleggende deteksjonsevne og evne til å reagere på mistenkelig aktivitet.
  5. Kartlegg alle enheter og programvare i datasystemene, og ha et oppdatert nettverkskart som viser knytninger mellom segmenter, systemer og andre virksomheter.
  6. Det er helt nødvendig å ha kontroll på alle identiteter og tilganger. Gå jevnlig igjennom bruker- og systemkonti, er alle relevante?
  7. Sørg for sterke, unike passord og benytt to- eller fler-faktor autentisering hvis det er mulig.
  8. Utarbeid en beredskapsplan i tilfelle en hendelse inntreffer, og sørg for å etablere en plan for hendelseshåndtering.

NSM Nasjonalt cybersikkerhetssenter (NCSC) understreker at disse elementene baserer seg på erfaringer fra hendelser i 2020 og at de ikke representerer et helhetlig grunnlag for sikringstiltak.