Efnisyfirlit

• Helstu netöryggisógnir sem steðja að litlum fyrirtækjum
• Skref 1: Gerðu áhættumat og greindu veikleika
  • Einföld úttekt sem þú getur gert sjálf/ur
• Skref 2: Tryggðu aðgang með fjölþátta auðkenningu
• Skref 3: Verndu fyrirtækið gegn vörn gegn lausnarhugbúnaði og vefveiðum
• Skref 4: Afritun gagna og prófun endurheimtar
• Skref 5: Tryggðu örugga fjarvinnu fyrir starfsfólk fyrirtækja
• Forgangsraðaður gátlisti með takmarkað fjármagn og fyrstu viðbrögð við árás
• Næsta skref: Pantaðu netöryggisúttekt hjá nexIT
• Algengar spurningar

Hvernig bæta netöryggi lítilla fyrirtækja skref fyrir skref

Síðast uppfært: 4. nóvember 2026

Helstu netöryggisógnir sem steðja að litlum fyrirtækjum

Litlum fyrirtækjum finnst oft að þau séu of lítil til að vera skotmark netglæpamanna. Það er mikill misskilningur. Glæpamenn leita oft að fyrirtækjum með veikar varnir, og þau finnast víða. Góð vörn fyrir netöryggi lítilla fyrirtækja byrjar á því að viðurkenna þessa áhættu.

Algengasta ógnin er Netöryggisstofnun Íslands, leiðbeiningar um netöryggi sem lýsir vefveiðum, svikapósti þar sem reynt er að ná lykilorðum eða greiðslum. Starfsmaður smellir á hlekk, og þá er kerfið komið í hættu.

Önnur ógn er lausnarhugbúnaður. Hann læsir gögnum fyrirtækisins og krefst lausnargjalds. Án góðra afrita getur rekstur stöðvast í marga daga.

Þriðja ógnin er veikt lykilorð. Mörg fyrirtæki nota sama lykilorð alls staðar. Þegar eitt lekur, opnast allt hitt.

Helstu ógnirnar eru:

• Vefveiðar og svikapóstur
• Lausnarhugbúnaður
• Veik lykilorð og skortur á tvíþættri auðkenningu
• Úreltur hugbúnaður með þekktum veikleikum
• Óörugg fjarvinna og eigin tæki starfsfólks

Skref 1: Gerðu áhættumat og greindu veikleika

Áhættumat segir þér hvað þú átt að verja fyrst. Byrjaðu á því að skrá öll kerfi, gögn og tæki sem fyrirtækið notar.

Spurðu þig síðan hvaða afleiðingar það hefði ef hvert kerfi dytti út í tvo daga. Það sem skiptir mestu máli fer efst á listann.

Einföld úttekt sem þú getur gert sjálf/ur

Þú þarft ekki sérfræðing til að byrja. Farðu yfir þessa liði einu sinni í mánuði:

• Eru öll tæki með nýjustu öryggisuppfærslur?
• Notar hver starfsmaður sitt eigið notandanafn?
• Er tvíþætt auðkenning virk á póstkerfinu?
• Hvenær var síðasta afrit tekið og var það prófað?

Ef einhver svör eru nei, þá ertu kominn með fyrstu verkefnin.

Skref 2: Tryggðu aðgang með fjölþátta auðkenningu

Fjölþátta auðkenning (MFA) þýðir að þurfa meira en lykilorð til að skrá sig inn. Oft er þetta staðfesting í síma. Þetta stöðvar flestar árásir á reikninga, jafnvel þegar lykilorðið hefur lekið.

Virkjaðu hana fyrst á póstkerfinu og bankakerfum, því þar er mestur skaðinn. Notaðu síðan lykilorðastjóra svo hvert lykilorð sé einstakt.

Algeng mistök eru að slökkva á auðkenningu því hún „tefur fólk“. Það er þess virði að taka þá töf.

Skref 3: Verndu fyrirtækið gegn vörn gegn lausnarhugbúnaði og vefveiðum

Vörn gegn lausnarhugbúnaði og vefveiðum byggir á þremur lögum: þjálfun starfsfólks, tæknilegum vörnum og skýrum ferlum. Keppinautar nefna þessi atriði oft í einni setningu, en hér er hvernig þú framkvæmir þau í litlu fyrirtæki með takmarkað fjármagn.

Byrjaðu á þjálfun. Starfsfólk sem þekkir svikapóst stoppar hann áður en skaðinn verður. Haltu stuttar æfingar mánaðarlega þar sem starfsfólk greinir tilbúinn svikapóst.

Settu upp öryggissíu á póst og virka vörn á öllum tækjum. Uppfærðu hugbúnað reglulega, helst sjálfvirkt. Stilltu þannig að uppfærslur fari fram utan vinnutíma og að tæki endurræsi sjálf. Skráðu hvaða tæki eru undanskilin og hvers vegna.

Kenndu starfsfólki að athuga sendanda og hlekki áður en smellt er. Bein regla er góð: ef beiðni um greiðslu eða lykilorð kemur óvænt, þá er hringt í viðkomandi til staðfestingar. Settu þessa reglu í skriflega verklýsingu og hafðu hana sýnilega.

Tæknilegar varnir sem þú getur virkjað strax:

• Virkjaðu tvíþætta auðkenningu á alla stjórnendaaðganga.
• Lokaðu fyrir sjálfvirkar greiðslur úr póstkerfinu nema með sérstakri heimild.
• Stilltu svo að viðhengi sem eru keyrsluhæf (.exe, .js, .scr) séu blokkuð í pósti.
• Notaðu lykilorðastjóra svo hvert lykilorð sé einstakt og geymt örugglega.

Athugið: Ef þú slekkur á tvíþættri auðkenningu til að flýta fyrir innskráningu, þá opnarðu fyrir flest þeirra árása sem byggja á leku lykilorði.

Að lokum, skráðu hvaða tæki og notendur hafa aðgang að viðkvæmum gögnum. Takmarkaðu aðgang að því sem er nauðsynlegt. Þessi einfalda aðgangsstýring dregur úr skaða ef lykilorð lekur.

Hafðu samband →

Netöryggisstofnun Íslands, leiðbeiningar um netöryggi

Skref 4: Afritun gagna og prófun endurheimtar

Afrit eru gagnslaus ef þau virka ekki þegar á reynir. Mörg fyrirtæki komast að þessu of seint.

Byrjaðu á að skilgreina hvaða gögn eru nauðsynleg fyrir reksturinn. Flokkaðu þau í þrjá flokka: gögn sem verða að vera tiltæk innan 24 klukkustunda, gögn sem mega bíða í eina viku og gögn sem má endurheimta síðar. Þessi flokkun segir þér hvaða afrit þú þarft að prófa fyrst.

Fylgdu 3-2-1 reglunni: þrjú afrit, á tveimur mismunandi miðlum, þar af eitt utan staðarins. Haltu einu afriti aðskildu frá kerfinu, því lausnarhugbúnaður getur læst öllu sem er tengt við netið. Geymdu það afrit á miðli sem er ekki tengdur netinu eða hjá þjónustuaðila sem býður óbreytanlega geymslu.

Skilgreindu endurheimtarmarkmið:

• RTO (Recovery Time Objective): hversu langan tíma má taka að koma kerfi í gang aftur.
• RPO (Recovery Point Objective): hversu mikið af gögnum má glatast.

Þessi markmið þurfa ekki að vera fullkomin í fyrstu. Skráðu þau og endurskoðaðu ársfjórðungslega.

Prófaðu endurheimt reglulega. Byrjaðu með því að endurheimta eina möppu eða eitt skjal og tímasettu ferlið. Síðan skaltu prófa endurheimt á heilu kerfi, helst tvisvar á ári. Skráðu niðurstöður: hversu langan tíma tók, hvað gekk vel og hvað þarf að laga. Prófa endurheimt mikilvægra viðskiptagagna sýnir hvernig þú staðfestir að afrit og ferli virki áður en bilun stöðvar reksturinn og veldur óþarfa kostnaði.

Athugið: Ef þú prófar aldrei endurheimt, þá veistu ekki hvort afritin eru nothæf fyrr en það er of seint. Skráðu prófunina sem fasta dagsetningu í dagatalinu.

Ef fjármagn er takmarkað, forgangsraðu þannig: fyrst afrit af póstkerfi og bókhaldi, því þar er mestur skaði ef gögn glatast. Næst afrit af skrám sem starfsfólk vinnur með daglega. Síðast afrit af kerfum sem hægt er að endursetja á annan hátt.

Að lokum, hafðu skriflega áætlun um hver gerir hvað ef endurheimt þarf. Nafn, símanúmer og hvaða skref á að taka fyrst. Þessi áætlun þarf ekki að vera flókin, en hún þarf að vera aðgengileg þegar á reynir.

Eftirfarandi tafla dregur saman helstu markmið og forgangsröðun afritunar.

Flokkur	Hvenær þarf gögnin	Forgangur
Gögn sem verða að vera tiltæk	Innan 24 klukkustunda	Fyrst
Gögn sem mega bíða	Innan einnar viku	Næst
Gögn sem má endurheimta síðar	Síðar	Síðast

Skref 5: Tryggðu örugga fjarvinnu fyrir starfsfólk fyrirtækja

Fjarvinna er hagkvæm en opnar nýjar leiðir fyrir árásir. Starfsfólk tengist oft frá heimaneti eða eigin síma.

Hafðu skýrar reglur um eigin tæki starfsfólks. Þær þurfa ekki að vera flóknar, en þær þurfa að vera skriflegar. Hvernig tryggir þú fjaraðgang starfsmanna? með öruggum tækjum og fjölþátta auðkenningu.

Forgangsraðaður gátlisti með takmarkað fjármagn og fyrstu viðbrögð við árás

Ekki allir hafa peninga í allt í einu. Gerðu þetta í þessari röð:

1. Virkjaðu fjölþátta auðkenningu á póst og bankakerfi
2. Taktu afrit og prófaðu endurheimt
3. Uppfærðu tæki og hugbúnað
4. Þjálfaðu starfsfólk í svikapósti
5. Skráðu hver ber ábyrgð á hvaða kerfi

Ef árás á sér stað, aftengdu tækið strax frá netinu. Hafðu samband við sérfræðing og tilkynntu atvikið. Ekki borga lausnargjald án ráðgjafar.

Næsta skref: Pantaðu netöryggisúttekt hjá nexIT

Netöryggi er ekki einskiptisverkefni heldur viðvarandi vinna. Verð fer eftir umfangi verkefnis, þannig að hafðu samband til að fá tilboð.

Algengar spurningar

Hvernig geta lítil fyrirtæki bætt netöryggi sitt?

Byrjaðu á áhættumati: skráðu hvaða kerfi og gögn skipta mestu máli, hverjir hafa aðgang að þeim og hvað myndi stöðva reksturinn ef þau hyrfu. Virkjaðu fjölþátta auðkenningu á tölvupósti og lykilkerfum, uppfærðu hugbúnað reglulega og tryggðu að afrit af gögnum séu tekin sjálfvirkt og prófuð. Þjálfaðu starfsfólk í að þekkja svikapósta. Verð og umfang fer eftir stærð og kerfum fyrirtækisins; hafðu samband við nexIT fyrir tilboð.

Hverjar eru algengustu netöryggisógnirnar fyrir lítil fyrirtæki?

Algengustu ógnirnar eru vefveiðar og svikapóstar sem fá starfsfólk til að gefa upp lykilorð eða greiða falsaða reikninga, lausnarhugbúnaður sem læsir gögnum þar til lausnargjald er greitt, og veik eða endurnotuð lykilorð. Mörg lítil fyrirtæki verða einnig fyrir barðinu á óuppfærðum hugbúnaði og tækjum starfsfólks sem tengjast fyrirtækjanetinu án eftirlits. Að þekkja þessar ógnir er fyrsta skrefið í að forgangsraða vörnum.

Hvað á að gera ef fyrirtæki verður fyrir netárás?

Fyrstu klukkustundirnar skipta mestu. Einangraðu sýkt tæki frá netinu án þess að slökkva á þeim, breyttu lykilorðum þeirra kerfa sem hafa verið í hættu og tilkynntu atvikið til þess sem sér um öryggismál. Skráðu hvað gerðist og hvenær. Virkjaðu viðbragðsáætlun ef hún er til, og hafðu samband við sérfræðing til að meta umfang árásarinnar.

Hvernig tryggir maður örugga fjarvinnu fyrir starfsfólk?

Notaðu VPN eða öruggan aðgang að kerfum fyrirtækisins, virkjaðu fjölþátta auðkenningu fyrir alla fjarvinnuaðgang og takmarkaðu aðgang hvers og eins við það sem hann þarf. Ákveddu hvort starfsfólk megi nota eigin tæki og setjið skýrar reglur um uppfærslur og dulkóðun á þeim tækjum. Gott er að skrifa stutta stefnu um fjarvinnu sem allir starfsmenn fara yfir.

---

Hafðu samband við nexIT til að fá netöryggisúttekt sem hentar þínu fyrirtæki.