Virksomheders fjernarbejdssikkerhed uden kompleks drift

En medarbejder åbner en vedhæftet fil på hjemmekontoret, logger ind på virksomhedens system fra sit eget netværk og modtager et opkald fra en kunde, der har brug for et svar med det samme. Dette er en normal arbejdsdag for mange virksomheder. Men virksomheders fjernarbejdssikkerhed afgøres ikke af én løsning eller én regel. Den afgøres af, om enhederne, adgangene, dataene og supporten fungerer sammen, når medarbejderne arbejder uden for kontoret.

Fjernarbejde behøver ikke betyde større risiko. Det bliver derimod risikabelt, når virksomheden mister overblikket over, hvem der har adgang til hvad, hvilke enheder der er i brug, og om de er beskyttede. For ejere og driftsledere er kernespørgsmålet simpelt: Hvis en enhed forsvinder, et kodeord bliver stjålet, eller en medarbejder klikker på et forkert dokument, kan vi reagere, før driften stopper?

Hvorfor virksomheders fjernarbejdssikkerhed er et driftsanliggende

Sikkerhedsbrud i fjernarbejde er sjældent kun et teknisk problem. Det kan stoppe salg, forsinke service, forårsage datatab og skabe omkostninger, som en lille virksomhed straks mærker. Når kundedata, finansielle oplysninger eller interne dokumenter bliver utilgængelige, bliver informationsteknologi pludselig til et driftsmæssigt problem.

På kontoret er det lettere at styre netværksforbindelse, enheder og adgang. I et distribueret arbejdsmiljø er grænserne mere utydelige. En medarbejder kan arbejde på en bærbar computer, telefon og tablet, oprette forbindelse til hjemmenetværket eller et offentligt trådløst netværk og dele dokumenter i mere end ét cloud-system. Det betyder ikke, at al denne brug er usikker, men den kræver klarere styring.

En almindelig fejl er at betragte fjernarbejde som en midlertidig undtagelse. Når det bliver en fast del af driften, skal sikkerheden designes til det. Løsninger, der er afhængige af, at alle er på samme sted, samme netværksforbindelse og med hjælp fra en tekniker i det næste rum, holder sjældent i længden i forhold til virkeligheden.

Start med overblik, ikke flere systemer

Virksomheder behøver ikke nødvendigvis at købe flere sikkerhedsprodukter for at forbedre situationen. Det første skridt er at vide, hvad der allerede findes. Hvilke enheder er forbundet til virksomhedens data? Hvilke brugere har administratoradgang? Hvilke programmer gemmer følsomme data? Og hvad sker der, når en medarbejder stopper eller skifter rolle?

Dette overblik skal være levende, ikke et dokument, der opdateres én gang om året. En enhedsoversigt skal vise, hvem der er ansvarlig for hvilken enhed, om den er opdateret, og om det er muligt at låse den eller slette virksomhedens data, hvis den forsvinder. En adgangsoversigt skal vise, hvilke brugere der har adgang til nøglesystemer, og om den adgang stadig er nødvendig.

Her ligger ofte den hurtigste besparelse. En virksomhed, der kender sit miljø, kan stoppe med at betale for ubrugte licenser, lukke gamle adgange og prioritere de rigtige forbedringer. En virksomhed uden overblik ender snarere med forskellige værktøjer, uklar ansvarlighed og dyrere reaktioner, når noget går galt.

Medarbejderidentifikation er den nye frontlinje

Når medarbejdere arbejder hvor som helst, bliver brugeradgangen en af de vigtigste forsvarslinjer. Et kodeord alene er ikke tilstrækkelig beskyttelse for e-mail, cloud storage, regnskabssystemer eller andre nøglesystemer. Multi-faktor-godkendelse reducerer markant sandsynligheden for, at et stjålet kodeord alene giver en angriber adgang.

God kodeordsstyring handler ikke om, at medarbejdere konstant skal huske mere komplekse strenge. Det handler om, at de kan oprette unikke, lange kodeord og dele fælles adgange på en sikker og sporbar måde. Kodeord i regneark, på usikre noter eller i fælles chat skaber unødvendig risiko, især når folk kommer og går.

Adgang bør også følge roller, ikke titler eller gamle vaner. En sælger behøver ikke samme adgang som en økonomichef. En midlertidig entreprenør behøver ikke adgang, der forbliver aktiv, efter projektet er afsluttet. Jo klarere disse grænser er, jo mindre bliver skaden, hvis en konto overtages.

Enheden skal styres, selv derhjemme

En bærbar computer, der bruges til arbejde, er en virksomhedsenhed, selvom den står på køkkenbordet. Den kræver regelmæssige opdateringer, kryptering, virus- og adfærdsbeskyttelse og mulighed for fjernsupport. Dette er ikke for at overvåge medarbejdere. Dette er for, at virksomheden kan rette svagheder, reagere hurtigt på hændelser og holde arbejdet i gang.

Automatiske opdateringer er et godt eksempel på en simpel foranstaltning med stor effekt. Et ikke-opdateret operativsystem eller program kan indeholde en kendt svaghed, som angribere udnytter. Hvis opdateringer udelukkende overlades til den enkelte medarbejder, bliver de ofte udskudt, indtil problemet er synligt.

Medarbejdernes egne enheder kan være egnede i visse driftsformer, men så skal der træffes en bevidst beslutning om vilkår. Hvad må gemmes på enheden? Hvordan slettes virksomhedsdata ved ansættelsesophør? Har enheden tilstrækkelig beskyttelse og opdateringer? I mange tilfælde er det mere rentabelt at levere standardiserede arbejdsenheder end at forsøge at sikre en mangfoldig enhedsflåde, som virksomheden kun delvist styrer.

Data kræver beskyttelse og en realistisk vej tilbage

Fjernarbejde øger ikke kun sandsynligheden for indbrud. Det øger også sandsynligheden for menneskelige fejl. En fil slettes, den forkerte version overskrives på et vigtigt dokument, eller en mappe får for bred delingsadgang. Derfor skal virksomheden både styre, hvem der kan dele data, og kunne gendanne dem, når noget går galt.

Backup er ikke det samme som operationel gendannelse. En brugbar backup skal være beskyttet mod angriberes ændringer, testes regelmæssigt og være tilgængelig nok til at data kan gendannes inden for en acceptabel tidsramme. Spørgsmålet er ikke kun, om der findes en backup, men hvor længe virksomheden kan fungere uden systemet, og hvor meget datatab den kan tåle.

Afhængigt af driftenes art skal kravene være mere eller mindre strenge. Virksomheder med følsomme personoplysninger, kontraktdata eller betalingsoplysninger kræver klarere adgangskontrol og dokumentation end virksomheder, der primært arbejder med offentligt materiale. Alle virksomheder skal dog definere, hvilke data der er vigtige, hvor de er gemt, og hvem der er ansvarlig for dem.

Regler virker kun, hvis personalet kan følge dem

En sikkerhedsregel, der er så kompliceret, at personalet omgår den, er ikke et reelt forsvar. Målet er at gøre den rigtige adfærd lettere end den risikable vej. Personalet skal vide, hvordan man genkender mistænkelige beskeder, hvordan man rapporterer en mulig hændelse, og hvor man skal henvende sig, når et apparat eller en adgang ikke virker.

Kort, regelmæssig træning giver mere end en årlig introduktion, der glemmes dagen efter. Brug virkelige eksempler fra den daglige drift: en falsk faktura, en login-anmodning, der ser ud til at komme fra en kollega, eller et opkald, der anmoder om en øjeblikkelig betaling. Personalet skal ikke bære alt ansvar for sikkerheden, men det skal kunne reagere korrekt i de første minutter.

Skyldfølelse skal også fjernes fra rapporteringen. En medarbejder, der straks indberetter et forkert klik eller et mistet apparat, giver virksomheden mulighed for at begrænse skaden. En medarbejder, der frygter en påtale, venter måske for længe.

En beredskabsplan skal virke mandag morgen

Intet forsvar stopper alle hændelser. Det, der adskiller veldrevne virksomheder fra andre, er, hvor hurtigt de kan isolere problemet, holde kommunikationen klar og få driften i gang igen. En beredskabsplan skal specificere, hvem der træffer beslutninger, hvem der kontakter tekniske leverandører, hvilke systemer der har prioritet, og hvordan personalet får instruktioner.

Planen behøver ikke at være en tyk manual. Den skal være tilgængelig, testet og opdateret, når systemer, personale eller arbejdsgange ændres. Hvis alle nøglepunkter kun er gemt i et system, der bliver utilgængeligt under et angreb, vil planen ikke være til nytte, når den er mest nødvendig.

Hos nexIT arbejder vi med virksomheder for at kombinere daglig systemadministration, slutbrugerstøtte, overvågning og beredskabsplaner i et håndterbart helhedsmiljø. Dette kan være særligt velegnet, når det interne team er lille, men kravene til driftssikkerhed er høje.

Fjernarbejde skal give virksomheden fleksibilitet, ikke flere blinde vinkler. Start med en ærlig gennemgang af adgange, udstyr og backup. Det arbejde giver ofte større sikkerhedsfordele end endnu et komplekst værktøj – og giver medarbejderne bedre forudsætninger for at arbejde sikkert, uanset hvor arbejdsdagen starter.