Cybersikkerhet — hvor sikker er du?

De fleste tenker på cybersikkerhet som noe avansert — hackere i mørke rom, kompliserte angrep, kode de aldri kommer til å forstå. Virkeligheten er langt mer hverdagslig, og det er nettopp derfor den er farlig. De aller fleste hendelser skyldes ikke geniale angrep, men enkle hull som aldri ble lukket: et gjenbrukt passord, en e-post noen ikke skulle ha klikket på, en oppdatering som ble utsatt i ett år.

Det gode nyheten er at det samme prinsippet virker andre veien. Du trenger ikke å være ekspert for å bli betydelig tryggere. Du trenger å lukke de hullene angriperne faktisk bruker.

Det store bildet

Cybersikkerhet er ikke et produkt du kjøper én gang. Det er en tilstand du vedlikeholder — summen av små valg du tar hver dag. Et angrep handler sjelden om at noen «brøt seg inn». Mye oftere handler det om at noen ble lurt, eller at en dør sto åpen.

De vanligste truslene er overraskende få og forutsigbare:

• Phishing — falske e-poster eller meldinger som lurer deg til å oppgi passord eller klikke på noe du ikke burde.
• Gjenbrukte passord — ett lekket passord gir tilgang til alt det er brukt på.
• Utdatert programvare — kjente sårbarheter i standardprogrammer som aldri ble oppdatert.
• Løsepengevirus — som låser filene dine og krever betaling, ofte etter et enkelt feilklikk.

Det avgjørende poenget: de fleste angrep er opportunistiske, ikke målrettede. Angriperen leter ikke etter akkurat deg — de leter etter den enkleste døren. Målet ditt er ikke å være uangripelig. Det er å være vanskeligere enn naboen.

Privat sikkerhet

Her er hva som faktisk flytter nålen for en privatperson, i prioritert rekkefølge:

Bruk unike passord — og en passordbehandler. Det viktigste enkelttiltaket du kan gjøre. Når hver tjeneste har sitt eget passord, betyr en lekkasje på ett sted ingenting for resten. Du trenger ikke huske dem; en passordbehandler gjør jobben.

Slå på tofaktor (2FA). Selv om noen får passordet ditt, kommer de ikke inn uten andre faktor. Bruk en autentiseringsapp eller passnøkler der det er mulig — det er tryggere enn SMS.

Hold ting oppdatert. Operativsystem, nettleser og apper. Oppdateringer er ikke bare nye funksjoner — de lukker hull som allerede er kjent for angripere.

Lær deg å gjenkjenne phishing. Vær skeptisk til hastverk og uventede lenker. Sjekk avsenderen, og logg heller inn manuelt enn å klikke deg inn fra en e-post.

Ta backup. En kopi av det viktigste, skilt fra hovedenheten, gjør at et løsepengeangrep eller en ødelagt disk blir en irritasjon i stedet for en katastrofe.

Disse fem tingene koster lite og dekker det aller meste av risikoen en vanlig person står overfor.

Bedriftssikkerhet

For en bedrift er bildet bredere, fordi du ikke bare sikrer deg selv — du sikrer kunder, ansatte og data du har ansvar for. Det handler like mye om mennesker og rutiner som om teknologi.

Mennesker er førstelinjen. De fleste hendelser starter med en ansatt som ble lurt, ikke med et teknisk gjennombrudd. Bevissthet og enkle rutiner er billigere og mer effektivt enn de fleste tror.

Styr tilgang etter minste privilegium. Folk skal ha tilgang til det de trenger for jobben — ikke mer. Når noen slutter eller bytter rolle, skal tilgangen følge med. De fleste alvorlige lekkasjer involverer tilganger som aldri ble ryddet opp i.

Backup som faktisk er testet. En backup du aldri har prøvd å gjenopprette fra, er ikke en backup — det er et håp. Test gjenoppretting jevnlig, og hold minst én kopi skilt fra resten.

Hold systemer oppdatert. Patching av servere, applikasjoner og avhengigheter er kjedelig og helt avgjørende. De fleste utnyttede sårbarheter er gamle og kjente.

Ha en plan for når det smeller. Ikke hvis, men når. Hvem varsles, hvordan stenges ting ned, hvordan kommer dere tilbake i drift? En halvtimes plan på forhånd er verdt mer enn en dags panikk i øyeblikket.

Tenk på leverandørkjeden. Tjenestene og leverandørene dere er avhengige av, er en del av deres egen sikkerhet. Et hull hos en underleverandør blir fort deres problem.

Og kanskje det viktigste prinsippet: sikkerhet bør bygges inn fra start, ikke limes på etterpå. Et system som testes mot vanlige angrepsmetoder før lansering, er i en helt annen klasse enn ett som sikres i etterkant når noe allerede har gått galt. Det er her metoder som penetrasjonstesting kommer inn — å finne hullene før noen andre gjør det, på systemer du selv eier eller har lov til å teste.

Hvor sikker er du, egentlig?

Still deg selv noen ærlige spørsmål: Bruker du det samme passordet flere steder? Er tofaktor slått på de viktigste stedene? Når oppdaterte du sist? Har du en backup du faktisk vet fungerer? Vet bedriften din hva som skjer den dagen noe går galt?

Hvis du nølte på noen av dem, har du allerede funnet det første hullet å lukke. Du trenger ikke fikse alt på én dag. Du trenger å begynne med det enkleste, og angriperens enkleste vei inn er som regel din enkleste å stenge.

Cybersikkerhet er ikke et spørsmål om om du blir et mål — det er et spørsmål om hvor enkelt du er å treffe. Og det avgjør du i stor grad selv.