Svaret er sjældent en bestemt person, der har udvalgt netop jeres virksomhed. Langt de fleste angreb mod mindre virksomheder er automatiserede eller sendt bredt ud, og de rammer dem, der har en svaghed, uanset branche og omsætning. Det betyder, at spørgsmålet “er vi interessante nok?” fører ledelsen i den forkerte retning. Det spørgsmål, der kan bruges til noget, er: hvad sker der med forretningen, hvis vores mail, økonomisystem eller produktion står stille i en uge, og hvilke svagheder gør det sandsynligt?
Hvorfor myten er så udbredt
Myten giver mening, hvis man forestiller sig angriberen som en spion, der vælger sine mål med omhu. Den slags findes, men de fleste mindre virksomheder møder en anden type modstander. Kriminelle, der vil tjene penge, arbejder som en forretning. De sender svindelmails til tusindvis af modtagere, prøver stjålne adgangskoder af mod mange konti på én gang og leder efter systemer, der mangler opdateringer. Det er mængden, der giver gevinsten.
Når angrebet sker i stor skala, bliver størrelsen på det enkelte offer uden betydning. En webshop med tolv ansatte og en rådgivende ingeniørvirksomhed med 60 ansatte kan få nøjagtig den samme falske faktura i indbakken samme formiddag.
Hvad myndighederne selv peger på
Styrelsen for Samfundssikkerhed har på sikkerdigital.dk samlet ni nationale råd, der er rettet mod de mindste virksomheder med under 50 ansatte og uden egen IT-sikkerhedsansvarlig. At myndigheden laver en kampagne netop til den gruppe, siger noget om, hvor problemet ligger. Rådene handler om overblik, opdatering, sikkert login, backup, adgangsrettigheder, sikkerhedsværktøjer, distancearbejde, svindelforsøg og beredskab.
Samme sted beskriver myndigheden de trusler, virksomheder typisk møder: ransomware, phishing, direktørsvindel, falske fakturaer, overbelastningsangreb, misbrug fra egne medarbejdere, spionage, skadelig software og misbrug af virksomhedens navn. Spionage forudsætter, at nogen er interesseret i netop jeres viden. De fleste af de øvrige kræver blot, at virksomheden har en indbakke, en bankkonto og systemer, der kan låses.
Tre grunde til, at også små virksomheder er værd at angribe
Penge flytter sig gennem alle virksomheder. Hvor der betales fakturaer, er der mulighed for svindel. En ændret kontooplysning i en mail fra en kendt leverandør kræver ingen teknisk dygtighed, kun at nogen i bogholderiet stoler på afsenderen.
Data har værdi for andre end jer. Kundelister, tegninger, tilbud og persondata kan sælges eller bruges til afpresning. For en underleverandør kan det, der er mest værd, være adgangen til en større kunde.
I er en vej ind til andre. En virksomhed med forbindelse til en større kundes systemer, eller som sender filer frem og tilbage med den, kan bruges som springbræt. Derfor stiller større kunder krav til deres leverandører, og derfor er det et emne under når kunderne stiller sikkerhedskrav.
Hvad det betyder for ledelsens prioritering
Når angrebet ikke vælger efter størrelse, skal forsvaret heller ikke dimensioneres efter, hvor kendt virksomheden er. Det skal dimensioneres efter, hvad et nedbrud eller et tab koster, og hvor sandsynligt det er. Det er en risikovurdering, og den er ledelsens værktøj til at vælge, hvad der kommer først. Fremgangsmåden er beskrevet under risikovurdering til brug for ledelsen.
I praksis peger vurderingen næsten altid på de samme grundelementer først: flerfaktor-login, opdateringer, en backup der kan genskabes, styr på adgange og regler for betalinger. Derefter kommer de dele, der gør, at niveauet holder over tid, som ejerskab, leverandøropfølgning og en plan for hændelser. Hvordan rækkefølgen lægges, står i prioritering af sikkerhedsarbejdet.
Forestil jer en grossist med 25 ansatte, som har tænkt, at ingen ville gide bruge tid på dem. Ved en gennemgang viser det sig, at to tidligere medarbejdere stadig har adgang til økonomisystemet, at backuppen ligger på samme netværk som serverne, og at betalinger godkendes af én person ud fra en mail. Ingen af de tre forhold kræver en målrettet angriber for at blive et problem.
Det skal I lade være med
- At vurdere risikoen ud fra, hvor kendt virksomheden er. Automatiserede angreb læser ikke avisen.
- At bruge en hændelse hos andre som målestok. At naboen ikke er blevet ramt, siger intet om jeres svagheder.
- At lade frygt styre indkøbene. Skræmmende historier fører ofte til køb af værktøjer, før grundelementerne er på plads.
- At gøre det til IT-leverandørens afgørelse alene. Leverandøren kender teknikken, men ved ikke, hvad et nedbrud koster jer.
- At tro, at et lavt antal kendte hændelser betyder lav risiko. Mange forsøg opdages aldrig, og det gælder også dem, der lykkes.
Det skal I kræve af den eksterne
En ekstern CISO skal kunne forklare trusselsbilledet nøgternt og koble det til jeres forretning.
- ☐ En beskrivelse af de trusler, der er mest sandsynlige for netop jeres type virksomhed, med kildehenvisning til myndighedernes materiale.
- ☐ En risikovurdering, hvor konsekvensen er beskrevet i forretningssprog, fx dage uden fakturering eller tab af en kunde.
- ☐ Anbefalinger, der starter med grundelementerne, før der foreslås nye værktøjer.
- ☐ Ingen tal om angreb eller tab uden en angivet kilde.
- ☐ Råd, der ikke er farvet af salg, så rådgiveren hverken får provision eller har aftaler med de leverandører, der anbefales.
- ☐ En kort status til direktionen, når trusselsbilledet ændrer sig på en måde, der påvirker jer.
Sådan kommer I i gang
Saml direktionen i en time og besvar tre spørgsmål. Hvilke tre systemer kan vi ikke undvære i en uge? Hvem kan godkende en betaling, og hvordan bekræfter de en ændret kontooplysning? Hvornår har vi sidst set en backup blive genskabt? Svarene viser hurtigt, om myten har styret prioriteringerne.
Brug derefter de ni råd fra sikkerdigital.dk som tjekliste og marker, hvor I er usikre. Netop de punkter egner sig som dagsorden, når I første gang taler med en ekstern CISO. Rollens indhold er forklaret på siden om CISO as a Service, og hvordan et forløb typisk bygges op, står under sådan forløber et samarbejde.
Kilder
- Sikkerdigital.dk: 9 råd om digital sikkerhed: Styrelsen for Samfundssikkerheds råd til virksomheder med under 50 ansatte uden egen IT-sikkerhedsansvarlig.
- Sikkerdigital.dk: Hvad truer din virksomhed?: myndighedens oversigt over de typiske trusler mod virksomheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Direktørsvindel og godkendelse af betalinger · MFA og backup er på plads: hvad mangler så?
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
