Dyk ned i undersøgelsen: IT-sikkerhedsbevidsthed i SMV'er + anbefalinger

På trods af den betydelige og vedvarende trussel fra hackere vil slutbrugere altid være det svageste led i IT-sikkerhedskæden. I Devolutions’ undersøgelse af IT-sikkerhedens tilstand i SMV'er i 2022-23 [[rapporten er nu tilgængelig](/da/blog/now-available-the-devolutions-state-of-it-security-in-smbs-in-2022-23-survey-report-is-here/)] bad vi ledere og beslutningstagere i SMV'er verden over om at fortælle, hvordan de prioriterer, indfører og måler indsatsen for at forbedre IT-sikkerhedsbevidstheden i deres virksomheder.

16. november 2022

Laurence Cadieux

Centrale fund fra undersøgelsen

88 % af SMV’erne giver slutbrugere en form for undervisning i IT-sikkerhed. Det er en stigning på 14 % i forhold til sidste år. 35 % af SMV’erne måler dog ikke effekten af undervisningen.

Den mest populære måde, SMV’er underviser slutbrugere i IT-sikkerhed på, er onlineundervisning (33 %). Derefter følger ressourcer som videoer, webinarer og artikler (31 %) samt liveundervisning og workshops (16 %).

44 % af SMV’erne har ikke en omfattende og opdateret plan for håndtering af cybersikkerhedshændelser. Det er 4 % flere end sidste år.

Siden pandemien begyndte, har 36 % af SMV’erne ansat flere medarbejdere til at tage sig af IT-sikkerhed, og 8 % samarbejder med en ekstern leverandør, for eksempel en leverandør af administrerede tjenester (MSP).

Samlet set er det, når det gælder IT-sikkerhedsbevidsthed i SMV’er, som titlen på vores infografik til undersøgelsesrapporten siger, “ikke så slemt, som du tror”. Men det betyder ikke, at det er godt.

De fleste SMV’er er nødt til at øge IT-sikkerhedsbevidstheden i hele virksomheden for at håndtere og afbøde de voksende risici og konsekvenser af ransomware, malware, angreb på forsyningskæden og andre trusler. For at nå det afgørende mål på en pragmatisk og omkostningseffektiv måde anbefaler vi, at SMV’er fokuserer på tre prioriteter: udarbejd en samlet plan for IT-sikkerhed, undervis slutbrugere i de grundlæggende elementer i IT-sikkerhed, og samarbejd om nødvendigt med en MSP for at lukke kompetencehullet.

Udarbejd en samlet plan for IT-sikkerhed

Undersøgelsen viste tydeligt, at flertallet af SMV’er ikke har, men akut har brug for, en samlet plan for IT-sikkerhed, som sikrer, at mål og krav kommunikeres rettidigt til alle relevante interessenter. Der er tre kerneelementer:

Definér og dokumentér mål: Mange organisationer fokuserer udelukkende på slutbrugernes kompetence og efterlevelse, men glemmer at kontrollere, at målene er forstået eller overhovedet kendt i første omgang.

Definér roller og ansvar: Sørg for, at de vigtigste interne interessenter forstår cybersikkerhedskravene på tværs af virksomheden, og kortlæg dem i et RACI-diagram (Udførende, Ansvarlig, Konsulteret, Informeret). Et eksempel på et RACI-diagram findes i rapporten (på side 57).

Kommunikér nedad, og hold øje opad: Politikker for IT-sikkerhed skal være tilgængelige for alle interessenter, og opdateringer skal kommunikeres rettidigt. Det er afgørende at etablere kommunikationskanaler begge veje, ligesom det er at foretage løbende justeringer og forbedringer efter behov.

Undervis slutbrugere i de grundlæggende elementer i IT-sikkerhed

Når SMV’er underviser slutbrugere, anbefaler vi som minimum, at de dækker disse emner inden for IT-sikkerhed:

Adgangskontrol
Medbring din egen enhed (BYOD)
Cloudtjenester
Datalækage
Identitetstyveri
Indberetning af hændelser
Intellektuel ejendom
Introduktion til informationssikkerhed
Malware
Mobile enheder
Risici ved åbne wi-fi-netværk
Administration af adgangskoder
Phishing
Fysisk sikkerhed
Privatliv
Beskyttelse af betalingskortdata
Ansvarlig brug af internettet
Social engineering
Sociale netværk
Sikker rejse
Fjernarbejde

Nogle ledere og beslutningstagere kigger måske på listen og tænker: “det er en ret lang liste, har vi VIRKELIG brug for at dække alle de emner i vores undervisning i IT-sikkerhed?”

Svaret er JA. Det kræver kun ét enkelt brud, udløst af en slutbruger, at åbne sluserne. Husk, at den gennemsnitlige omkostning ved et databrud er steget til 4,24 millioner dollars pr. hændelse, og at hele 88 % af databrud skyldes menneskelige fejl.

Samarbejd med en leverandør af administrerede tjenester (hvis det er nødvendigt)

I 2024 anslås det, at 2,5 millioner stillinger inden for IT-sikkerhed står ubesatte verden over. I 2025 forventes tallet at stige til 3,5 millioner. Det er vidunderlige nyheder for erfarne og håbefulde professionelle inden for IT-sikkerhed, hvis største karrierestress ikke bliver at finde et velbetalt job, men at beslutte, hvilke attraktive jobtilbud de skal sige nej til (og det er helt klart et af de “rare” problemer at have!).

Men for de fleste SMV’er er situationen langtfra vidunderlig. Det er umuligt at konkurrere med store virksomheder om løn og goder, for eksempel adgang til de nyeste (og meget dyre) teknologier og værktøjer.

Heldigvis findes der en brugbar mulighed: SMV’er kan samarbejde med en leverandør af administrerede tjenester (MSP) for at lukke kompetencehullet og opretholde en stærk og compliant IT-sikkerhedsprofil. Vi anbefaler, at SMV’er vælger en MSP, der:

Er forpligtet til at give informeret og objektiv rådgivning.
Foreslår strategier og løsninger, der er effektive og til at betale.
Opfylder eller overgår forventningerne til responstid i henhold til serviceniveauaftalen (SLA).
Har værktøjerne, menneskene og politikkerne til at overvåge SMV’ens infrastruktur 24/7/365 og understøtte forretningskontinuitet og disaster recovery.
Giver informerede og objektive anbefalinger uden egeninteresse (det vil sige, at MSP’en er “teknologi- og leverandørneutral”).
Kan kommunikere effektivt med både tekniske og ikke-tekniske målgrupper.

Blikket fremad

I vores næste dyk ned i Devolutions’ undersøgelsesrapport om IT-sikkerhedens tilstand i SMV’er i 2022-23 ser vi på, hvordan SMV’er administrerer fjernadgang, og hvilke IT-sikkerhedsudfordringer og bekymringer de møder på grund af fjernadgang.