Virksomheders cybersikkerhed: 7 trin til en sikker proces

Indholdsfortegnelse

• Hvorfor virksomheders cybersikkerhed ikke er valgfri
• Trin 1: Start med risikovurdering og IT-systemsikkerhedsrevision
  • Hvad indebærer en sikkerhedsudredning i praksis
• Trin 2: Forsvar mod ransomware og malware
  • Backups, der ikke kan krypteres
• Trin 3: Backup af virksomhedsdata og gendannelse efter angreb
  • Start med at klassificere dataene
  • Definér RPO og RTO, uden dem er backup formålsløs
  • Tredobbelt-reglen og hvorfor den ikke er nok alene
  • Test gendannelsen, ikke kun backup'en
  • Hvad man skal gøre, hvis backup'en også er krypteret
• Trin 4: Firewalls, indtrængningsdetektion og adgangskontrol
• Trin 5: Cybersikkerhedstræning for medarbejdere og phishing-test
• Trin 6: Beredskabsplan ved cyberangreb
  • De første 60 minutter, rækkefølge af handlinger
  • Roller og ansvar, én styrer
  • Kommunikationsplan, internt og eksternt
  • Bordøvelser, øv planen
  • Anmeldelsespligt og juridiske aspekter
• Trin 7: Opdateringer, sårbarhedsstyring og løbende overvågning
• Ofte stillede spørgsmål

Sidst opdateret: 18. oktober 2026

Hvorfor virksomheders cybersikkerhed ikke er valgfri

Virksomheders cybersikkerhed er det arbejde, der beskytter dine data, systemer og drift mod cyberangreb. Det er ikke et værktøj, du køber og glemmer, men en proces, der skal vedligeholdes. Virksomheder, der springer dette arbejde over, ender ofte med at betale dyrt for det senere.

Mange ledere tror, at små virksomheder ikke er mål. Det er forkert. Cybertrusler leder efter svagheder, ikke store navne. Retningslinjer for cybersikkerhed fra Telecommunications Regulatory Authority viser, at grundlæggende beskyttelse er afgørende.

Her gennemgår vi syv trin. Hvert trin bygger på det foregående.

Trin 1: Start med risikovurdering og IT-systemsikkerhedsrevision

Du kan ikke forsvare det, du ikke ved, du ejer. Det første skridt er at kortlægge, hvilke data du gemmer, hvor de ligger, og hvem der har adgang til dem. En IT-systemsikkerhedsrevision er en systematisk gennemgang af alt dette.

Hvad indebærer en sikkerhedsudredning i praksis

Gennemgangen dækker fire aspekter:

• Data: hvilke oplysninger er følsomme, og hvor er de gemt
• Systemer: hvilken software og hvilke servere er i brug
• Adgang: hvem kan tilgå hvad og med hvilke rettigheder
• Svagheder: hvad mangler i beskyttelsen

Resultatet er en prioriteret liste. Forsøg ikke at rette alt på én gang. Start med det, der kan forårsage mest skade.

Trin 2: Forsvar mod ransomware og malware

Forsvar mod ransomware er beslutningen om, at en angriber ikke kan få adgang til dine data, selvom de kommer ind i systemet. Ransomware krypterer filer og kræver betaling. Malware sniger sig ind og forårsager skade i stilhed.

Beskyttelsen skal fungere på tre niveauer:

1. På enheder: opdateret software og velkendte programmer
2. På netværket: en firewall, der stopper ukendt trafik
3. I adfærd: medarbejdere, der genkender tegn på svindel

Backups, der ikke kan krypteres

Her er nøglepunktet. Hvis din backup er på samme netværk som din computer, kan ransomware kryptere den også. Backuppen skal være adskilt og helst uforanderlig i en bestemt periode.

• Backup på et separat sted
• Backup, der ikke kan slettes eller ændres
• Regelmæssig test af gendannelse

Trin 3: Backup af virksomhedsdata og gendannelse efter angreb

Backup af virksomhedsdata er ikke kun et teknisk spørgsmål, men en livsforsikring for driften. Hvis dataene forsvinder, forsvinder driften med dem. En god backup-plan besvarer ikke kun hvor ofte, hvor og hvor længe, den besvarer også, hvilke data der er vigtigst, og hvor hurtigt de skal gendannes.

Start med at klassificere dataene

Ikke alle data er lige vigtige. Klassificer dem ud fra, hvad der sker, hvis de går tabt:

• Nødvendige driftsdata: finansiel bogføring, kunderegistre, kontrakter. Hvis de går tabt, stopper driften.
• Vigtige, men genoprettelige: e-mails, projektfiler, interne rapporter. Kan genoprettes delvist, men koster tid.
• Mindre vigtige: cache, midlertidige filer, ældre versioner, som ingen bruger.

Klassificeringen bestemmer, hvor ofte der skal tages backup, og hvor længe de skal gemmes. Nødvendige data bør sikkerhedskopieres dagligt eller oftere; mindre vigtige data kan vente en uge.

Definér RPO og RTO, uden dem er backup formålsløs

To begreber styrer enhver backup-plan:

• RPO (Recovery Point Objective): hvor stort datatab er acceptabelt? Hvis du kan tåle at miste den sidste times salgsregistreringer, er RPO en time. Hvis du ikke kan miste noget, skal backup være kontinuerlig.
• RTO (Recovery Time Objective): hvor længe må systemet være nede? For en onlinebutik kan en time koste mange penge; for en lille bogholderiafdeling kan en dag være acceptabel.

Disse to værdier skal komme fra ledelsen, ikke kun fra IT. Det er en forretningsmæssig beslutning, ikke en teknisk.

Tredobbelt-reglen og hvorfor den ikke er nok alene

Grundreglen er stadig gældende: tre kopier, to forskellige medier, én kopi uden for huset. Men ransomware har gjort den mere kompliceret. Hvis sikkerhedskopien er tilgængelig fra det samme netværk som det rigtige system, kan angriberen kryptere den også.

Derfor skal sikkerhedskopien være:

• Adskilt: ikke på samme netværk som produktionssystemet
• Uforanderlig i en vis periode: hverken sletbar eller ændrebar inden for opbevaringsperioden
• Krypteret: så den er ubrugelig, hvis den falder i de forkerte hænder

En almindelig konfiguration er at have én kopi lokalt til hurtig gendannelse, én på en anden lokation til katastrofe og én i uforanderlig cloud-lagring til ransomware.

Test gendannelsen, ikke kun backup'en

En sikkerhedskopi, der aldrig er blevet testet, er ikke en sikkerhedskopi. Det er et håb. Testen skal være realistisk:

1. Vælg ét system og gendan det til et isoleret sted.
2. Mål tiden det tager, og sammenlign med RTO.
3. Kontroller, at data er intakte, åbn filer, kør tests, kontroller datoer.
4. Registrer resultaterne og juster planen, hvis tiden er for lang.

Test mindst ét system pr. kvartal og hele systemet én gang om året. Hvis testen ikke registreres, har den ikke fundet sted.

Hvad man skal gøre, hvis backup'en også er krypteret

Hvis ransomware formår at kryptere sikkerhedskopien, skal der være en kopi, der ikke var tilgængelig på samme tid. Derfor er uforanderlig lagring vigtig: den tillader ikke sletning eller ændring inden for en bestemt periode, selvom adgangskoder er stjålet. Hvis en sådan kopi findes, kan den gendannes uden at betale løsesum.

Endelig: backup er ikke en opgave, der bliver færdig. Det er en proces, der skal testes, måles og opdateres, når systemerne ændres.

Kontakt os →

Trin 4: Firewalls, indtrængningsdetektion og adgangskontrol

Firewalls og indtrængningsdetektion er den ydre forsvarslinje. Firewalls blokerer for unødvendig trafik. Indtrængningsdetektion overvåger og ringer alarmklokker, hvis noget usædvanligt sker.

Adgangskontrol er den interne beskyttelse. Den sikrer, at hver medarbejder kun ser det, de har brug for. Tre regler gælder:

• Mindste privilegium: giv kun den adgang, der er nødvendig
• Multifaktor-godkendelse: adgangskode alene er ikke nok
• Regelmæssig gennemgang: luk adgang, når en medarbejder stopper

Trin 5: Cybersikkerhedstræning for medarbejdere og phishing-test

Cybersikkerhedstræning for medarbejdere er den investering, der giver hurtigst afkast. De fleste cyberangreb starter med et enkelt klik på et forkert link. Det klik kommer fra et menneske, ikke en enhed.

Phishing-tests er øvelser, hvor du sender en forberedt svindelmail til medarbejdere. Målet er ikke at straffe nogen. Målet er at se, hvor der mangler træning.

• Begynd med korte introduktioner, ikke lange foredrag
• Prøv med realistiske, men ufarlige mails
• Gennemgå resultaterne uden at skælde ud
• Gentag regelmæssigt

Kritisk tænkning er den bedste beskyttelse. Hvis en mail virker for god til at være sand, er den sandsynligvis det.

Trin 6: Beredskabsplan ved cyberangreb

En beredskabsplan er forskriften, der angiver, hvem der gør hvad, når et cyberangreb sker. Uden den tabes dyrebare timer i kaos. De fleste virksomheder har et dokument, men få har testet det. Det er forskellen mellem en plan og reel beredskabsevne.

De første 60 minutter, rækkefølge af handlinger

Når der opstår mistanke om et angreb, er rækkefølgen vigtig. Dette er en almindelig proces, som mange følger:

1. Bekræft: er dette et reelt angreb eller en fejl? Notér tidspunktet og hvad der blev observeret.
2. Isolér: bloker for smitte, mens undersøgelsen foregår. Sluk ikke for alt, det kan ødelægge beviser.
3. Anmeld: informer reaktionsteamet i henhold til en telefonlisteprint, der er tilgængelig uden for systemet.
4. Bevarelse: sørg for, at logs og backups er gemt, før systemer genstartes.
5. Vurder: afgør, om driften skal stoppes, kunder skal informeres eller ekstern hjælp skal søges.

Roller og ansvar, én styrer

På angrebstidspunktet skal én person lede. En gruppe uden leder træffer langsommere beslutninger. Definer følgende roller, selv i en lille virksomhed:

• Reaktionsleder: træffer de endelige beslutninger og er ansvarlig for kommunikation med ledelsen.
• Teknisk styregruppe: undersøger og isolerer.
• Kommunikationsansvarlig: håndterer beskeder til medarbejdere, kunder og medier.
• Juridisk og databeskyttelsesansvarlig: vurderer anmeldelsespligt og juridisk risiko.

Hvis virksomheden er lille, kan én person varetage flere roller, men noter det. Uregistrerede roller er ikke roller.

Kommunikationsplan, internt og eksternt

Kommunikation er det, der ofte går galt. Du har brug for:

• Intern liste: telefonnumre og e-mailadresser på medarbejdere, der ikke er på samme system som angrebet.
• Ekstern liste: kunder, leverandører, forsikringsselskab, politi og relevante myndigheder.
• Beskedskabeloner: forberedt tekst til de mest almindelige situationer, så man ikke behøver at skrive fra bunden under pres.
• Én talsmand: ikke alle taler med medierne. Én taler, andre henviser til ham.

Bordøvelser, øv planen

En uprøvet plan er bare et dokument i en skuffe. En bordøvelse er et møde, hvor teamet gennemgår en forberedt hændelsesscenarie og spørger: hvad gør vi nu?

• Vælg et scenarie, der er realistisk for din virksomhed, f.eks. ransomware i et bogføringssystem eller en phishing-mail til en leder.
• Sæt 60-90 minutter af og hav en facilitator.
• Notér, hvad der ikke kan besvares, det er den reelle risiko.
• Gentag hver 6.-12. måned og efter enhver reel hændelse.

En bordøvelse er en billig måde at finde huller i planen på uden at skulle opleve et reelt angreb.

Anmeldelsespligt og juridiske aspekter

På Island skal det vurderes, om hændelser skal anmeldes til Datatilsynet og muligvis til Teleindustrirådet eller andre myndigheder, afhængigt af dataenes og hændelsens art. Dette bør være en del af planen, ikke noget, der undersøges midt i en krise. Notér, hvem der vurderer anmeldelsespligten, og hvornår.

Endelig: en beredskabsplan er ikke et dokument, der skrives én gang. Den øves, opdateres og testes. En virksomhed, der har øvet sine reaktioner, vil sandsynligvis begrænse skaden og genoprette driften hurtigere.

Trin 7: Opdateringer, sårbarhedsstyring og løbende overvågning

Opdateringer lukker de huller, der allerede er kendte. Sårbarhedsstyring er processen med at finde og rette dem. Overvågning er det, der sikrer, at alt forbliver i orden.

Her er en simpel proces, der virker:

Faktor	Hvor ofte	Ansvarlig
Softwareopdatering	Månedligt	IT
Adgangsgennemgang	Kvartalsvis	Leder
Sikkerhedstest	Årligt	Ekstern part
Gennemgang af backup	Månedligt	IT
Medarbejdertræning	To gange om året	Alle

Ofte stillede spørgsmål

Hvordan kan en lille virksomhed øge sin cybersikkerhed uden sin egen IT-afdeling?

Start med tre ting, der kræver lidt arbejde: aktivér multifaktorgodkendelse på al vigtig adgang, sørg for, at virksomhedens data-backup foregår uden for huset, og afhold en kort cybersikkerhedstræning for medarbejdere to gange om året. Derefter følger en risikovurdering, hvor det registreres, hvilke data der er følsomme, og hvem der har adgang til dem. Mange mindre operatører hyrer derefter en ekstern part til en IT-sikkerhedsudredning for at få et uafhængigt billede af situationen.

Hvor ofte bør en virksomheds data sikkerhedskopieres?

Sikkerhedskopiering af virksomhedsdata bør være automatisk og daglig for data, der ændres hver dag, såsom bogføring, sagsmapper og forretningsdokumenter. Yderligere sikkerhedskopier kan tages ugentligt eller månedligt. Vigtigere end hyppigheden er, at mindst én kopi opbevares offline, og at gendannelse testes regelmæssigt. En backup, der aldrig er testet, er ikke en backup, men et håb. Skriv ned, hvor lang tid gendannelse må tage, og hav det i betragtning, når hyppigheden vælges.

Hvordan beskytter en virksomhed sig mod ransomware?

Beskyttelse mod ransomware bygger på fire søjler: backups, der er offline og uforanderlige, opdateret software, multifaktorautentificering til fjernadgang og medarbejdere, der kender til phishing. Ransomware kommer oftest ind via åben fjernadgang eller klik på vedhæftede filer, så træning og adgangskontrol er vigtigere end den mest komplekse software. Hvis backups er adskilt fra netværket, kan virksomheden afvise betalingskrav og genopbygge systemerne på egne præmisser.

Hvad skal en virksomhed gøre, hvis den bliver udsat for et cyberangreb?

Det første skridt er at iværksætte en beredskabsplan, som bør foreligge på forhånd: hvem leder handlingerne, hvem kontakter tjenesteudbydere, og hvem vurderer anmeldelsespligten. Tag sikkerhedskopier af systemer, før de slukkes, isoler de inficerede maskiner fra netværket, og skift adgangskoder til hovedadgange. Registrer alt, hvad der sker, da det vil være nyttigt både til genopretning og i en rapport til kunder eller tilsynsmyndigheder. Efter angrebet skal årsagen gennemgås, og den sårbarhed, der blev udnyttet, lukkes.

---

Cybersikkerhed kræver disciplin og konstant arbejde, og det er netop her, mange virksomheder støder på problemer. Hos nexIT fjerner vi dette arbejde fra dine skuldre med omfattende systemadministration og cybersikkerhedsløsninger. Vi tilbyder specialistydelser inden for sikkerhedsaudits og databeskyttelse, samt sikker backup og datagendannelse. Kontakt os og få et klart billede af din situation.