Basal it-sikkerhed handler om at få de nødvendige foranstaltninger til at virke på de systemer og oplysninger, virksomheden faktisk bruger. Det kræver prioritering: Hvilken risiko skal reduceres først, hvilke forudsætninger mangler, og hvem kan gennemføre ændringen? En lang liste uden rækkefølge og ansvar kan være sværere at bruge end et kort, begrundet arbejdsprogram.
Denne guide viser en prioriteringsmetode og et udfyldt eksempel for en mindre virksomhed. Formålet er at vælge de næste konkrete forbedringer og dokumentere deres virkning. Den samlede indsats skal løbende tilpasses risiciene; en bestemt rækkefølge eller planperiode er ikke en universel lovregel.
Brug vejledninger som grundlag for konkrete valg
Datatilsynets sikkerhedsvejledning til små virksomheder henviser til basale råd om systemoverblik, opdatering, enhedsbeskyttelse, backup, mistænkelige mails, adgang og leverandører. Den understreger også, at virksomheden skal stille relevante krav, når it-driften er lagt ud.
Et mere omfattende teknisk referencepunkt er ANSSI’s guide med 42 sikkerhedsforanstaltninger. Den kan bruges som et systematisk katalog, men dens franske oprindelse gør ikke alle formuleringer til danske retlige pligter. Brug den til at undersøge dækning og mulige forbedringer, og angiv den konkrete kilde ved hvert valg.
Et katalog erstatter ikke virksomhedens risikovurdering. En internettilgængelig administratorkonto uden tilstrækkelig beskyttelse kan kræve handling, før hele inventaret er færdigt. Omvendt kan manglende overblik være grunden til, at en ny central sikkerhedsregel aldrig når et kritisk system.
Se efter både mangler og afhængigheder
Der er tre nyttige spørgsmål til hver foranstaltning: Hvilken hændelse modvirker den? Hvad skal være på plads, før den virker? Hvordan kan resultatet kontrolleres? De spørgsmål hjælper med at skelne mellem en nødvendig ændring og en funktion, der blot ser attraktiv ud i et produktkatalog.
MFA kræver eksempelvis viden om adgangsveje og et brugbart gendannelsesforløb. Backup kræver ikke kun kopiering, men også tilgængelige nøgler og en realistisk gendannelse. En central logtjeneste kræver relevante hændelser og en person, der reagerer. Den samme investering kan derfor have meget forskellig værdi afhængigt af organisationens forberedelse.
Brug systemkortlægningen til at finde disse sammenhænge. Den behøver ikke være perfekt, før en åbenlys risiko begrænses. Den skal give et tilstrækkeligt klart billede af de berørte konti, data og tjenester til, at ændringen kan gennemføres forsvarligt.
Et udfyldt udgangspunkt: fem konkrete fund
Den fiktive virksomhed Agerhandel har 28 medarbejdere og bruger mail, et kundesystem, økonomisystem og en fælles filplacering. Ledelsen har bedt den interne it-ansvarlige og en driftsleverandør om at gennemgå de vigtigste arbejdsgange. De finder følgende:
| Fund | Mulig konsekvens | Første beslutning |
|---|---|---|
| To tidligere medarbejdere har stadig aktive leverandørkonti | Uautoriseret adgang til kundedata | Afklar behovet og luk de unødvendige konti straks |
| Fjernadgang til mail mangler MFA for en mindre gruppe | Misbrug af kompromitterede loginoplysninger | Gennemfør dækkende MFA med kontrolleret gendannelse |
| Backup er kopieret, men aldrig gendannet | Ukendt mulighed for at få data tilbage | Afprøv en repræsentativ gendannelse |
| Windows-indstillinger varierer mellem enheder | Nogle maskiner mangler besluttet beskyttelse | Opret og afprøv en vedligeholdt konfigurationsstandard |
| Hændelsesmail har ingen stedfortræder | En alarm kan ligge ubehandlet | Udpeg modtager og stedfortræder og afprøv kontakten |
Tabellen er baseret på fiktive observationer. I en virkelig virksomhed skal et fund kunne forbindes med et konkret system eller en konto. En bred formulering som dårlig cybermodenhed er mindre anvendelig, fordi den ikke siger, hvilken ændring der skal udføres.
Første bølge: luk klare huller og gør ansvaret synligt
Agerhandel begynder med de unødvendige adgange og den manglende alarmmodtager. Disse opgaver kræver begrænsede ændringer og retter klare problemer. Kontolukningen efterfølges af kontrol af lokale konti og aktive sessioner, så virksomheden ikke nøjes med at ændre den centrale medarbejderliste.
Dernæst gennemgås fjernadgange og identitetsbeskyttelse. Adgangskodepolitik og MFA giver den konkrete proces. Supporten skal vide, hvordan en mistet faktor håndteres, før den sidste bruger flyttes over. En løsning, der rutinemæssigt omgås ved telefonisk henvendelse, har ikke samme beskyttelse som det normale login antyder.
Parallelt undersøger driftsleverandøren eksponerede komponenter og udestående sikkerhedsopdateringer. Kendte alvorlige risici skal ikke vente på, at organisationen når til et bestemt punkt i årsplanen. Midlertidige begrænsninger dokumenteres med ansvar og tidspunkt for genvurdering.
Anden bølge: gør de gode indstillinger ensartede
Når de væsentlige adgangsveje er kendt, kan Agerhandel arbejde mere systematisk med enheder og servere. Hærdning af Windows og Linux beskriver valg af versionsbestemt reference, pilot og begrundede afvigelser. Målet er, at den valgte beskyttelse også findes på nye og geninstallerede maskiner.
Eksempelvis kan en administreret standard begrænse unødvendige rettigheder og tjenester. Men en ændring skal afprøves med de arbejdsopgaver, medarbejderne faktisk udfører. Hvis et program kræver en særlig adgang, undersøges den konkrete nødvendighed frem for at udelukke alle brugere af programmet fra hele sikkerhedsstandarden.
For bærbare enheder gennemgås kryptering og nøgleadgang. Virksomheden skal både kunne beskytte en bortkommen computer og gennemføre en legitim gendannelse. Det kræver styr på nøgler og roller, ikke kun en markering i en indkøbsliste.
Tredje bølge: bekræft opdagelse og genopretning
Sikkerhedslogning skal kunne vise de hændelser, som organisationen har besluttet at undersøge. Agerhandel vælger i eksemplet at følge oprettelse af privilegerede konti og ændringer i kritiske adgangsroller. En aftalt prøve viser både indsamling, alarm og modtagerens første handling.
Denne bølge betyder ikke, at logning først må begynde sent i arbejdet. Nødvendige spor og alarmer skal være på plads, når risikoen kræver det. Rækkefølgen viser, hvordan en virksomhed kan udbygge sin kontrol; den er ikke en undskyldning for at drive et nyt system uden nødvendig sporbarhed.
Den planlagte genopretning fra backup gennemføres med en afgrænset prøve. I eksemplet findes backupfilen, men gendannelsesinstruktionen mangler adgangen til et nødvendigt certifikat. Opgaven er derfor ikke færdig. Driftsleverandøren retter instruktionen og afprøver hele kæden igen sammen med den ansvarlige for applikationen.
Prioritering skal også vise det, der udskydes
Ledelsen bør se de væsentlige risici ved en udsættelse. Et dyrt projekt kan være nødvendigt, mens en billig ændring kan give ringe virkning. Beskriv derfor omfang, forventet risikoreduktion, afhængigheder og de praktiske ressourcer. Brug konkrete estimater fra de ansvarlige, og hold skøn adskilt fra dokumenterede leverandørpriser.
Agerhandel vælger i eksemplet at udskyde et større analyseværktøj, indtil kilder og alarmansvar er afklaret. Det frigør tid til MFA og gendannelse. Virksomheden udskyder ikke nødvendige hændelsesspor; den anvender midlertidigt de eksisterende værktøjer med en afgrænset, dokumenteret analyseprocedure.
Hvis en væsentlig risiko ikke kan håndteres med de afsatte ressourcer, skal ledelsen træffe en reel beslutning om yderligere midler eller ændret behandling. Det er utilstrækkeligt blot at give et punkt en lavere prioritet, fordi projektbudgettet ellers bliver for stort.
Oplæring skal tage udgangspunkt i arbejdet
Lær medarbejdere den konkrete reaktion på en mistænkelig henvendelse, en forkert modtager eller et tabt arbejdsredskab. For Agerhandel er et centralt scenario en mail om ændrede kontooplysninger fra en leverandør. Økonomimedarbejderen skal kende virksomhedens uafhængige kontrolvej, inden en betaling gennemføres.
Oplæringen bør hænge sammen med it-reglerne for medarbejdere. En bruger skal kunne finde en kort instruktion uden at forstå hele sikkerhedsarkitekturen. Kontroller også, om organisationen reagerer hjælpsomt på hurtig indberetning, så fejl ikke bliver skjult af frygt for konsekvenser.
Gentag eller tilpas instruktionen, når systemer og arbejdsgange ændres. Registrer, hvilke opgaver og roller oplæringen vedrører, frem for alene at tælle gennemførte kurser. Et kursusbevis viser deltagelse, men ikke nødvendigvis, om medarbejderen kan finde den rigtige kontakt i en konkret situation.
Følg resultaterne i en lille ledelsesoversigt
Agerhandels første opfølgning viser tre lukkede kontoafvigelser, dækkende MFA i de undersøgte fjernadgange og en gendannelse, som først lykkedes efter en rettelse. Den viser også to ældre enheder, der endnu ikke har den vedtagne konfiguration. Hver åben opgave har en ejer og næste beslutningspunkt.
Det er mere informativt end en samlet procent for sikkerhed, som skjuler forskelle mellem systemerne. En score kan støtte overblik, men bør kunne forklares med faktiske fund og gennemførte kontroller. En ny væsentlig risiko kan ændre prioriteringen, selv om den samlede score er blevet bedre.
Forankr arbejdet i informationssikkerhedspolitikken og den forretningsmæssige beredskabsplan. De dokumenter forbinder daglige kontroller med ansvar og kritiske aktiviteter. Organisationer med særlige sektorpligter skal desuden kontrollere deres konkrete krav; en generel sikkerhedsplan er ikke automatisk fuld efterlevelse af NIS2 eller DORA.
Kilderne er kontrolleret 8. september 2026. Agerhandels fund og tre bølger er et fiktivt eksempel på prioritering, som skal tilpasses faktiske risici, ressourcer og krav.