Netöryggi fyrirtækja: 7 skref í öruggu ferli

Efnisyfirlit

• Hvers vegna netöryggi fyrirtækja er ekki valkvætt
• Skref 1: Byrjaðu á áhættumati og öryggisúttekt upplýsingatæknikerfa
  • Hvað felst í öryggisúttekt í reynd
• Skref 2: Vörn gegn lausnarhugbúnaði og spilliforritum
  • Afrit sem ekki er hægt að dulkóða
• Skref 3: Afritun gagna fyrirtækja og endurheimt eftir árás
  • Byrjaðu á að flokka gögnin
  • Skilgreindu RPO og RTO, án þeirra er afritunin tilgangslaus
  • Þríþætta reglan og hvers vegna hún er ekki nóg ein
  • Prófaðu endurheimtina, ekki bara afritunina
  • Hvað á að gera ef afritið er einnig dulkóðað
• Skref 4: Eldveggir, innbrotsgreining og aðgangsstýring
• Skref 5: Fræðsla um netöryggi fyrir starfsfólk og vefveiðiprófanir
• Skref 6: Viðbragðsáætlun þegar netárás verður
  • Fyrstu 60 mínúturnar, röð aðgerða
  • Hlutverk og ábyrgð, einn stýrir
  • Samskiptaáætlun, innra og út á við
  • Borðæfingar, æfðu áætlunina
  • Tilkynningarskylda og lagaleg atriði
• Skref 7: Uppfærslur, veikleikastýring og áframhaldandi eftirlit
• Algengar spurningar

Síðast uppfært: 18. október 2026

Hvers vegna netöryggi fyrirtækja er ekki valkvætt

Netöryggi fyrirtækja er sú vinna sem verndar gögn, kerfi og rekstur þinn fyrir netárásum. Það er ekki tæki sem þú kaupir og gleymir, heldur ferli sem þarf að halda við. Fyrirtæki sem sleppa þessari vinnu eiga það til að greiða dýrt fyrir það síðar.

Margir stjórnendur halda að lítil fyrirtæki séu ekki skotmörk. Það er rangt. Netógnir leita að veikleikum, ekki stórum nöfnum. Leiðbeiningar um netöryggi frá Fjarskiptastofu sýna að grunnvarnir skipta mestu máli.

Hér förum við í gegnum sjö skref. Hvert þeirra byggir á því næsta.

Skref 1: Byrjaðu á áhættumati og öryggisúttekt upplýsingatæknikerfa

Þú getur ekki varið það sem þú veist ekki að þú eigir. Fyrsta skrefið er að kortleggja hvaða gögn þú geymir, hvar þau liggja og hver hefur aðgang að þeim. Öryggisúttekt upplýsingatæknikerfa er kerfisbundin yfirferð á þessu öllu.

Hvað felst í öryggisúttekt í reynd

Úttektin fer yfir fjóra þætti:

• Gögn: hvaða upplýsingar eru viðkvæmar og hvar þær eru geymdar
• Kerfi: hvaða hugbúnaður og netþjónar eru í notkun
• Aðgangur: hverjir geta opnað hvað og með hvaða réttindum
• Veikleikar: hvað vantar upp á í vörnum

Niðurstaðan er forgangslisti. Ekki reyna að laga allt í einu. Byrjaðu á því sem getur valdið mestum skaða.

Skref 2: Vörn gegn lausnarhugbúnaði og spilliforritum

Vörn gegn lausnarhugbúnaði er sú ákvörðun að árásarmaður komist ekki að gögnunum þínum, jafnvel þótt hann komist inn í kerfið. Lausnarhugbúnaður dulkóðar skrár og krefst greiðslu. Spilliforrit læðist inn og gerir skaða í kyrrþey.

Vörnin þarf að virka á þremur stöðum:

1. Á tækjum: uppfærður hugbúnaður og góðkunnug forrit
2. Á netinu: eldveggur sem stoppar óþekkta ferð
3. Í hegðun: starfsfólk sem þekkir merki svika

Afrit sem ekki er hægt að dulkóða

Hér er lykilatriðið. Ef afritið þitt er á sama neti og tölvan þín, getur lausnarhugbúnaður dulkóðað það líka. Afritið þarf að vera aðskilið og helst óbreytanlegt í ákveðinn tíma.

• Afrit á aðskildum stað
• Afrit sem ekki er hægt að eyða eða breyta
• Regluleg prófun á endurheimt

Skref 3: Afritun gagna fyrirtækja og endurheimt eftir árás

Afritun gagna fyrirtækja er ekki bara tækniatriði heldur líftrygging rekstrarins. Ef gögnin hverfa, hverfur starfsemin með þeim. Góð afritunaráætlun svarar ekki bara hversu oft, hvar og hversu lengi, hún svarar líka hvaða gögn eru mikilvægust og hversu hratt þau þurfa að koma til baka.

Byrjaðu á að flokka gögnin

Ekki öll gögn eru jafn mikilvæg. Flokkaðu þau eftir því hvað gerist ef þau tapast:

• Nauðsynleg rekstrargögn: fjárhagsbókhald, viðskiptavinaskrár, samningar. Ef þau tapast stöðvast reksturinn.
• Mikilvæg en endurgeranleg: tölvupóstur, verkefnaskjöl, innri skýrslur. Hægt að endurgera að hluta en kostar tíma.
• Minni háttar: skyndiminni, tímabundnar skrár, eldri útgáfur sem enginn notar.

Flokkunin ákvarðar hversu oft á að taka afrit og hversu lengi á að geyma þau. Nauðsynleg gögn ættu að vera afrituð daglega eða oftar; minni háttar gögn geta beðið vikuna.

Skilgreindu RPO og RTO, án þeirra er afritunin tilgangslaus

Tvö hugtök stýra allri afritunaráætlun:

• RPO (Recovery Point Objective): hversu mikið gagnatap er ásættanlegt? Ef þú getur misst síðustu klukkustundina af söluskráningum, þá er RPO ein klukkustund. Ef þú getur ekki misst neitt, þarf afritunin að vera samfelld.
• RTO (Recovery Time Objective): hversu lengi má kerfið vera niðri? Fyrir netverslun getur klukkustund kostað mikla peninga; fyrir litla bókhaldsdeild getur dagur verið í lagi.

Þessi tvö gildi eiga að koma frá stjórnendum, ekki bara frá upplýsingatækni. Þau eru viðskiptaákvörðun, ekki tæknileg.

Þríþætta reglan og hvers vegna hún er ekki nóg ein

Grunnreglan er enn gild: þrjú eintök, tveir mismunandi miðlar, eitt eintak utan húss. En lausnarhugbúnaður hefur gert hana flóknari. Ef afritið er aðgengilegt frá sama neti og raunverulega kerfið, getur árásarmaður dulkóðað það líka.

Þess vegna þarf afritið að vera:

• Aðskilið: ekki á sama neti og framleiðslukerfið
• Óbreytanlegt í ákveðinn tíma: hvorki hægt að eyða né breyta því innan geymslutímans
• Dulkóðað: svo það sé gagnslaust ef það lendir í röngum höndum

Algengt fyrirkomulag er að hafa eitt eintak á staðnum fyrir hraða endurheimt, eitt á öðrum stað fyrir stórslys og eitt í óbreytanlegri geymslu í skýinu fyrir lausnarhugbúnað.

Prófaðu endurheimtina, ekki bara afritunina

Afrit sem hefur aldrei verið prófað er ekki afrit. Það er von. Prófunin þarf að vera raunhæf:

1. Veldu eitt kerfi og endurheimtu það á einangraðan stað.
2. Mældu tímann sem það tekur og berðu saman við RTO.
3. Athugaðu hvort gögnin eru heil, opnaðu skrár, keyrðu prófanir, athugaðu dagsetningar.
4. Skráðu niðurstöðurnar og lagaðu áætlunina ef tíminn er of langur.

Prófaðu að minnsta kosti eitt kerfi á ársfjórðungi og allt kerfið einu sinni á ári. Ef prófunin er ekki skráð, hefur hún ekki átt sér stað.

Hvað á að gera ef afritið er einnig dulkóðað

Ef lausnarhugbúnaður nær að dulkóða afritið, þarf að vera til eintak sem var ekki aðgengilegt á sama tíma. Þess vegna er óbreytanleg geymsla mikilvæg: hún leyfir ekki eyðingu eða breytingu innan tiltekins tíma, jafnvel þótt lykilorð séu stolin. Ef slíkt eintak er til, er hægt að endurheimta án þess að greiða lausnargjald.

Að lokum: afritun er ekki verkefni sem klárast. Hún er ferli sem þarf að prófa, mæla og uppfæra þegar kerfin breytast.

Hafa samband →

Skref 4: Eldveggir, innbrotsgreining og aðgangsstýring

Eldveggur og innbrotsgreining eru ytri varnarlínan. Eldveggurinn lokar fyrir óþarfa ferð. Innbrotsgreiningin fylgist með og hringir bjöllum ef eitthvað óvenjulegt gerist.

Aðgangsstýring er innri vörnin. Hún tryggir að hver starfsmaður sjái bara það sem hann þarf. Þrjár reglur gilda:

• Minnsta réttindi: gefðu bara þann aðgang sem þarf
• Fjölþátta auðkenning: lykilorð eitt og sér dugar ekki
• Regluleg yfirferð: lokaðu aðgangi þegar starfsmaður hættir

Skref 5: Fræðsla um netöryggi fyrir starfsfólk og vefveiðiprófanir

Fræðsla um netöryggi fyrir starfsfólk er sú fjárfesting sem skilar sér hraðast. Flestar netárásir byrja á einum smelli á rangan hlekk. Sá smellur kemur frá manneskju, ekki tæki.

Vefveiðiprófanir eru æfingar þar sem þú sendir tilbúinn svikapóst til starfsfólks. Markmiðið er ekki að refsa neinum. Markmiðið er að sjá hvar þjálfun vantar.

• Byrjaðu á stuttum kynningum, ekki löngum fyrirlestrum
• Prófaðu með raunhæfum en skaðlausum póstum
• Farðu yfir niðurstöður án þess að skamma
• Endurtaktu reglulega

Gagnrýnin hugsun er besta vörnin. Ef póstur virkar of góður til að vera sannur, er hann það líklega.

Skref 6: Viðbragðsáætlun þegar netárás verður

Viðbragðsáætlun er forskriftin sem segir hver gerir hvað þegar netárás verður. Án hennar tapast dýrmætar klukkustundir í ringulreið. Flest fyrirtæki eiga eitthvað skjal, en fá hafa prófað það. Það er munurinn á áætlun og raunverulegri viðbragðsgetu.

Fyrstu 60 mínúturnar, röð aðgerða

Þegar grunur um árás vaknar er röðin mikilvæg. Þetta er algengt ferli sem margir fylgja:

1. Staðfesta: er þetta raunveruleg árás eða villa? Skráðu tímann og hvað var séð.
2. Einangra: lokaðu fyrir smit á meðan rannsókn fer fram. Ekki slökkva á öllu, það getur eyðilagt sönnunargögn.
3. Tilkynna: láttu viðbragðsteymið vita samkvæmt símanúmeralista sem er prentaður og aðgengilegur utan kerfisins.
4. Varðveita: tryggðu að loggar og afrit séu varðveitt áður en kerfi eru endurræst.
5. Metið: ákvarðaðu hvort þarf að stöðva rekstur, tilkynna viðskiptavinum eða leita utanaðkomandi aðstoðar.

Hlutverk og ábyrgð, einn stýrir

Á árásarstundu þarf einn að stýra. Hópur án stjórnanda tekur hægar ákvarðanir. Skilgreindu eftirfarandi hlutverk, jafnvel í litlu fyrirtæki:

• Viðbragðsstjóri: tekur endanlegar ákvarðanir og ber ábyrgð á samskiptum við stjórnendur.
• Tæknilegur stýrihópur: rannsakar og einangrar.
• Samskiptastjóri: sér um skilaboð til starfsfólks, viðskiptavina og fjölmiðla.
• Lögfræði- og persónuverndaraðili: metur tilkynningarskyldu og lagalega áhættu.

Ef fyrirtækið er lítið getur ein manneskja gegnt fleiri en einu hlutverki, en skráðu það niður. Óskráð hlutverk eru ekki hlutverk.

Samskiptaáætlun, innra og út á við

Samskipti eru það sem oft fer úrskeiðis. Þú þarft:

• Innri lista: símanúmer og netföng starfsfólks sem ekki er á sama kerfi og árásin.
• Ytri lista: viðskiptavinir, birgjar, tryggingafélag, lögregla og viðeigandi stjórnvöld.
• Skilaboðasniðmát: tilbúinn texti fyrir algengustu aðstæður, svo ekki þurfi að semja frá grunni undir þrýstingi.
• Einn talsmaður: allir tala ekki við fjölmiðla. Einn talar, aðrir vísa til hans.

Borðæfingar, æfðu áætlunina

Óæfð áætlun er bara skjal í skúffu. Borðæfing er fundur þar sem teymið fer yfir tilbúna atburðarás og spyr: hvað gerum við næst?

• Veldu atburðarás sem er raunhæf fyrir þitt fyrirtæki, til dæmis lausnarhugbúnaður í bókhaldskerfi eða svikapóstur til stjórnanda.
• Settu 60-90 mínútur og hafðu einn sem stýrir.
• Skráðu hverju er ekki hægt að svara, það er raunverulega áhættan.
• Endurtaktu á 6-12 mánaða fresti og eftir hvert raunverulegt atvik.

Borðæfing er ódýr leið til að finna holur í áætluninni án þess að þurfa að lenda í raunverulegri árás.

Tilkynningarskylda og lagaleg atriði

Á Íslandi þarf að meta hvort tilkynna þurfi atvik til Persónuverndar og hugsanlega til Fjarskiptastofu eða annarra stjórnvalda, allt eftir eðli gagnanna og atviksins. Þetta á að vera hluti af áætluninni, ekki eitthvað sem rannsakað er í miðri kreppu. Skráðu hver metur tilkynningarskyldu og hvenær.

Að lokum: viðbragðsáætlun er ekki skjal sem er skrifað einu sinni. Hún er æfð, uppfærð og prófuð. Fyrirtæki sem hefur æft viðbrögð sín er líklegra til að takmarka skaðann og endurheimta rekstur hraðar.

Skref 7: Uppfærslur, veikleikastýring og áframhaldandi eftirlit

Uppfærslur loka þeim götum sem þegar eru þekktar. Veikleikastýring er ferlið sem finnur þær og lagar. Eftirlit er það sem passar að allt haldist í lagi.

Hér er einfalt ferli sem virkar:

Þáttur	Hversu oft	Ábyrgur
Uppfærsla hugbúnaðar	Mánaðarlega	Upplýsingatækni
Yfirferð aðgangs	Ársfjórðungslega	Stjórnandi
Öryggisprófun	Árlega	Utanaðkomandi aðili
Yfirferð afrita	Mánaðarlega	Upplýsingatækni
Þjálfun starfsfólks	Tvisvar á ári	Allir

Algengar spurningar

Hvernig getur lítið fyrirtæki aukið netöryggi sitt án eigin upplýsingatæknideildar?

Byrjaðu á þremur hlutum sem kosta litla vinnu: kveiktu á fjölþátta auðkenningu á öllum helstu aðgangi, tryggðu að afritun gagna fyrirtækja fari út fyrir húsnæðið og haldið stuttan fræðslufund um netöryggi fyrir starfsfólk tvisvar á ári. Næst kemur áhættumat þar sem skráð er hvaða gögn eru viðkvæm og hver hefur aðgang að þeim. Margir smærri rekstraraðilar ráða sér svo utanaðkomandi aðila í öryggisúttekt upplýsingatæknikerfa til að fá óháða mynd af stöðunni.

Hversu oft ætti að taka afrit af fyrirtækjagögnum?

Afritun gagna fyrirtækja ætti að vera sjálfvirk og dagleg fyrir gögn sem breytast á hverjum degi, svo sem bókhald, málaskrár og viðskiptaskjöl. Viðbótarafrit má taka vikulega eða mánaðarlega. Mikilvægara en tíðnin er að minnsta kosti eitt afrit sé geymt ótengt netinu og að endurheimt sé prófuð reglulega. Afrit sem hefur aldrei verið prófað er ekki afrit heldur von. Skrifaðu niður hversu langan tíma endurheimt má taka og hafðu það til hliðsjónar þegar tíðnin er valin.

Hvernig ver fyrirtæki sig gegn lausnarhugbúnaði?

Vörn gegn lausnarhugbúnaði byggist á fjórum lögum: afrit sem eru ótengd netinu og óbreytanleg, uppfærður hugbúnaður, fjölþátta auðkenning á fjarlægum aðgangi og starfsfólk sem þekkir svikapóst. Lausnarhugbúnaður kemst oftast inn í gegnum opinn fjarlægan aðgang eða smell á viðhengi, svo þjálfun og aðgangsstýring skipta meira máli en flóknasti hugbúnaðurinn. Ef afrit eru aðskilin frá netinu getur fyrirtækið hafnað greiðslukröfu og byggt kerfin upp aftur á eigin forsendum.

Hvað á fyrirtæki að gera ef það verður fyrir netárás?

Fyrsta skrefið er að grípa til viðbragðsáætlunar sem á að liggja fyrir fyrirfram: hver stýrir aðgerðum, hver hefur samband við þjónustuaðila og hver metur tilkynningarskyldu. Taktu sýndarafrit af kerfum áður en þau eru slökkt, einangraðu smitaðar vélar frá netinu og breyttu lykilorðum á helstu aðgangi. Skráðu allt sem gerist, því það nýtist bæði í endurheimt og í skýrslu til viðskiptavina eða eftirlitsaðila. Eftir árásina á að fara í gegnum orsökina og loka þeim veikleika sem nýttur var.

---

Netöryggi krefst aga og stöðugrar vinnu, og það er einmitt þar sem mörg fyrirtæki lenda í vandræðum. Við hjá nexIT tökum þessa vinnu af þínum herðum með heildstæðri kerfisstjórnun og netöryggislausnum. Við bjóðum upp á sérfræðiþjónustu í öryggisúttektum og gagnavernd, auk öruggrar afritunar og endurheimtar gagna. Hafa samband og fáðu skýra mynd af stöðunni þínum.