Tjänster · Säkerhet
Man behöver inte vara stor för att bli attackerad.
Det räcker med ett misstag – av vem som helst, när som helst. Vad gör ni om det smäller?
Tidsram
1–2 veckor
Grov uppskattning – jag justerar efter vårt första möte.
Er tid
Oftast 1–2 timmar totalt
Grund
CIS – Center for Internet Security
Problemet
Små företag är inte för små för att drabbas.
Mindre företag är ett allt vanligare mål – inte trots att de är små, utan just för att de är det. Färre resurser, äldre system och en tillit till att ”det händer inte oss” som ofta ersätter faktiska skyddsåtgärder.
Det brittiska valutabolaget Travelex drabbades av en ransomware-attack vid nyåret 2019/2020, ska ha betalat 2,3 miljoner dollar i lösensumma och hamnade senare samma år i rekonstruktion. Det 158 år gamla brittiska logistikbolaget KNP gick omkull 2023 efter en ransomware-attack som enligt BBC troligen började med ett gissat lösenord – omkring 700 jobb försvann, även om bolaget enligt förvaltaren hade det tufft redan före attacken.
Men de flesta drabbade bolag hamnar aldrig i nyheterna – de är för små för det. Ett av få som berättat öppet är familjeföretaget Petterssons Charkuteri i Boden: 2022 krypterades affärssystem, bokföring och alla tre backuper. De vägrade betala 300 000 kronor i lösensumma men räknade med minst en halv miljon kronor i kostnader för att ta sig tillbaka.
Mycket sker automatiserat: robotar som kontinuerligt skannar internet efter öppna dörrar, som system ingen uppdaterat eller inloggningsuppgifter från ett gammalt konto som ingen visste fanns kvar. Det krävs varken avancerade hackare eller stora resurser.
Det handlar inte om om ni utsätts – det handlar om när, och om ni är redo.
Exempel
Så kan det se ut.
Den gamla VPN-lösningen
En redovisningsbyrå fick sitt bokföringssystem krypterat mitt i bokslutsperioden – inte för att de var utpekade, utan för att de hade en gammal VPN-lösning som ingen uppdaterat på tre år.
Samma lösenord överallt
Ett fastighetsbolags e-postadresser dök upp i ett dataintrång, och de anställda använde samma lösenord på jobbet som privat. Angriparna var inne innan någon märkte något.
Konton som ingen saknar
Gamla admin-konton, före detta anställda eller leverantörer med aktiv åtkomst – öppna dörrar som ingen lagt märke till.
Vad ingår?
Det här går jag igenom.
En säkerhetsgranskning behöver inte vara ett stort projekt. Som grund använder jag CIS – Center for Internet Security – ett globalt ramverk med konkreta säkerhetskontroller som är standard inom branschen. Jag kombinerar automatiserade skanningar med en manuell genomgång, utan teknisk jargong och utan onödig skrämselpropaganda.
E-postsäkerhet
Är er domän korrekt konfigurerad? Kan någon skicka mejl i ert namn utan att ni märker det?
Exponerade tjänster
Vilka system och portar är synliga från internet? Är de uppdaterade?
SSL-certifikat
Är era certifikat giltiga och korrekt konfigurerade?
Dataintrång
Har era mejladresser eller er domän dykt upp i kända dataintrång?
Användarkonton
Finns det gamla admin-konton, före detta anställda eller leverantörer med aktiv åtkomst?
Backup och återställning
Finns det en plan? Har den testats?
Leverantörsåtkomst
Vilka externa parter har tillgång till era system – och behöver de det fortfarande?
Det här får ni
Ni får en prioriterad riskbild med konkreta åtgärdsförslag, rangordnade efter allvarlighetsgrad – inte teknisk komplexitet. Inte en hundrasidig rapport, utan ett beslutsunderlag: vad är kritiskt nu, vad kan vänta, och vad kostar det att inte göra något.
Exempel på mätpunkter
- Kritiska sårbarheter identifierade och åtgärdade
- E-postsäkerhet korrekt konfigurerad – ingen kan skicka mejl i ert namn
- Gamla konton för före detta anställda och leverantörer borttagna eller inaktiverade
- Backup testad och verifierad – ni vet att ni faktiskt kan återställa era data
- En tydlig lista över vilka externa parter som har åtkomst till era system – och varför
- Rutiner på plats för vad som händer om något går snett
Så går det till
Tidsram: 1–2 veckor
Grov uppskattning – jag justerar efter vårt första möte.
Dag 1–3
Automatiserade skanningar av er domän, exponerade tjänster och e-postkonfiguration. Ni behöver inte göra något.
Dag 4–7
Manuell genomgång av användaråtkomst, backuprutiner och leverantörsberoenden. Kortare samtal med ansvarig person.
Vecka 2
Presentation av riskbild och prioriterade åtgärder: vad som behöver hanteras omedelbart och vad som kan planeras in.
Vad behöver jag från er?
- Ett sekretessavtal (NDA), som undertecknas innan något börjar.
- En ansvarig person för några kortare samtal.
- Öppenhet om användaråtkomst, backuprutiner och vilka leverantörer som har åtkomst.
Nästa steg
Vet ni var ni står?
Garanti: om jag inte tillför värde, får ni pengarna tillbaka. Jag säljer inte timmar.