En webshop køber som regel sin platform, sin betalingsløsning og sit lager som tjenester. Ansvaret for kundernes oplysninger og for, at butikken kan tage imod ordrer, bliver alligevel hos virksomheden selv. Ledelsen skal derfor have et klart billede af, hvad hver af de tre leverandører beskytter, hvad butikken selv har hånd i hanke med, og hvem der følger op. Den opgave kræver en, der ser på tværs af leverandørerne og forelægger det samlede billede for direktionen. I en mindre handelsvirksomhed kan det være en ekstern CISO på deltid. Hvilken IT-rolle butikken i øvrigt har brug for, er gennemgået i artiklen om rollevalget i handel og e-handel. Denne artikel handler om sikkerheden.
Tre leverandører og ét ansvar
Platformsudbyderen driver selve shopsystemet og beskytter sin egen infrastruktur. Betalingsudbyderen håndterer transaktionen. Lageret eller fragtpartneren modtager ordredata med navne, adresser og telefonnumre. Hver af dem har sin aftale, sine vilkår og sin egen forståelse af, hvor deres ansvar slutter.
Det, der falder mellem stolene, er typisk det, butikken selv har sat op. Hvem har administratoradgang til shoppen? Hvilke udvidelser og apps er installeret, og hvad kan de læse? Hvem ejer nøglerne til integrationen mellem shop, lager og regnskab? Ingen af de tre leverandører svarer på det af sig selv, fordi det ligger uden for deres leverance.
En ledelse, der vil have styr på sikkerheden, starter derfor med en simpel fordeling på skrift: hvad leverandøren gør, hvad butikken gør, og hvem hos butikken der er ansvarlig. Hvordan fordelingen ser ud, når driften ligger ude af huset, er uddybet i ansvaret ved outsourcet drift.
Kundedata: hvor ligger de egentlig?
Kunderegistret findes sjældent ét sted. Det ligger i platformen, i nyhedsbrevssystemet, i kundeservicens mailbakke, hos fragtfirmaet og ofte i et regneark, som nogen har trukket ud til en kampagne. Hver kopi er en mulig kilde til et brud på persondatasikkerheden.
Butikken er dataansvarlig for kundernes oplysninger. Databeskyttelsesforordningens art. 32 kræver passende sikkerhed, og efter art. 33 skal et brud som hovedregel meldes til Datatilsynet hurtigst muligt og så vidt muligt senest 72 timer efter, at butikken har fået kendskab til det. Undtaget er brud, der næppe medfører en risiko for kunderne. Detaljerne kan ledelsen overlade til andre. Den skal derimod vide, hvem der opdager et brud hos en af leverandørerne, hvem der vurderer risikoen, og hvem der beslutter, om bruddet skal anmeldes. Den vurdering skal kunne foretages en fredag aften, når den, der plejer at tage sig af shoppen, holder fri.
Et overblik over leverandører med adgang til kundedata er grundlaget. Hvad det skal indeholde, står i artiklen om leverandøroverblikket.
Betalingen og siden omkring den
Mange webshops har lagt selve kortbetalingen ud til betalingsudbyderen, så kortoplysningerne ikke passerer butikkens egne systemer. Det flytter en stor del af risikoen. Siden, hvor kunden går til betaling, er dog stadig butikkens. Kan nogen ændre den, tilføje et script eller omdirigere kunden, er det et sikkerhedsspørgsmål for butikken.
Ledelsen bør have svar på tre spørgsmål. Hvem kan ændre kassesiden? Hvem får besked, hvis den ændres? Og hvilke krav stiller betalingsudbyderens vilkår til butikken selv? Svarene hører hjemme i leverandøropfølgningen og bør ses igen, hver gang shoppen får nyt design eller ny betalingsmetode.
Udvidelser, bureauer og freelancere
Webshoppen er ofte bygget af et bureau, vedligeholdt af en freelancer og udbygget med udvidelser fra mange små leverandører. Hver af dem kan have en konto med vide rettigheder. Når samarbejdet stopper, bliver kontoen tit liggende.
Her er ledelsens krav enkle at formulere. Alle med adgang til administrationen har en personlig konto med flerfaktorlogin. Adgange gennemgås fast, fx hvert kvartal. En ny udvidelse installeres først, når nogen har set på, hvem leverandøren er, og hvilke data den får adgang til. Fremgangsmåden ved nye systemer og leverandører er beskrevet i sikkerhedsreview før beslutningen.
Højsæsonen som risiko
For en webshop er tilgængelighed en del af sikkerheden. Et angreb eller en fejlbehæftet opdatering i ugen før jul rammer omsætningen hårdere end en tilsvarende fejl i februar. Ledelsen kan beslutte et ændringsstop i de travleste uger, aftale med platform og betalingsudbyder, hvem der kan kontaktes uden for åbningstid, og have en plan for, hvad kundeservice siger, hvis betalingen står stille.
Afhængigheden af én platform er et selvstændigt spørgsmål, som handler om, hvad et skifte vil kræve, hvis vilkårene ændres. Det er gennemgået under koncentrationsrisiko ved samme leverandør.
Tænk på en webshop med tolv ansatte, der sælger havemøbler. Shoppen kører på en standardplatform med syv udvidelser, betalingen ligger hos en betalingsudbyder, og et eksternt lager pakker ordrerne. En gennemgang viser, at tre tidligere freelancere stadig har administratoradgang, og at en af udvidelserne kan læse alle ordrer, selvom den kun bruges til anmeldelser. Direktøren beslutter at lukke adgangene samme uge og at få en kvartalsvis gennemgang ind i årshjulet for sikkerhedsarbejdet. Anmeldelsesudvidelsen får frataget adgangen til ordrerne, og leverandøren bliver bedt om at forklare, hvorfor den havde brug for den.
Det skal I lade være med
- At gå ud fra, at platformen dækker det hele · udbyderen beskytter sin egen drift, mens opsætningen og brugerne er jeres.
- At lade bureauet eje administratorkontoen · butikken skal selv kunne åbne og lukke adgange.
- At installere udvidelser uden at se på, hvad de kan læse · hver udvidelse er en leverandør med adgang til jeres data.
- At opdage et brud hos lageret gennem kunderne · aftal, hvordan og hvor hurtigt leverandørerne giver besked.
- At ændre kassesiden i højsæsonen uden en plan for at rulle tilbage · tilgængelighed er salg.
Det skal I kræve af den eksterne
- ☐ En oversigt over platform, betaling, lager og udvidelser med ansvar og kontaktperson for hver.
- ☐ En liste over alle konti med administratoradgang og en fast rytme for gennemgang.
- ☐ Konkrete sikkerhedskrav til leverandørerne, som kan følges op, se Sikkerhedskrav til jeres IT-leverandør.
- ☐ En beskrivelse af, hvem der vurderer og anmelder et brud på persondatasikkerheden.
- ☐ Uafhængighed af platformsvalget. Den eksterne bør hverken tjene på, hvilken platform I bruger, eller have partneraftaler med bureauer.
Første møde om webshoppen
Bed om en liste over alle, der i dag kan logge ind i shoppens administration, og tag den med på næste ledelsesmøde. Listen viser hurtigt, om ansvaret er fordelt. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Kilder
- Forordning (EU) 2016/679, databeskyttelsesforordningen (eur-lex): art. 32 om behandlingssikkerhed og art. 33 om anmeldelse af brud til tilsynsmyndigheden.
- Datatilsynet: myndighedens vejledning om brud på persondatasikkerheden.
Senest gennemgået: november 2026.
Næste skridt
Læs også: De første timer efter en sikkerhedshændelse · Sikkerhedsledelse i engros og distribution
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
