3 grunde til at SMV’er er mål for it-kriminelle

SMV’er er attraktive mål for it-kriminalitet pga. begrænsede ressourcer og svag sikkerhed. Få råd om cybersikkerhed for mindre virksomheder her.

Små og mellemstore virksomheder (SMV’er) er særligt attraktive mål for it-kriminelle, fordi de ofte mangler specialiserede ressourcer til cybersikkerhed, selvom de har adgang til værdifulde data og større forsyningskæder. Data fra PWC’s Cybercrime Survey viser desuden, at mange SMV’er ikke har etableret en stærk sikkerhedskultur eller systematisk medarbejdertræning, hvilket øger risikoen markant. Vi anbefaler derfor, at du som SMV-ejer prioriterer simple, men effektive sikkerhedstiltag, som løbende træning, klare procedurer og grundlæggende tekniske kontroller, så du reducerer din sårbarhed betydeligt.

Key takeaways

• SMV’er investerer væsentligt mindre i it-sikkerhed end store virksomheder, hvilket skaber flere sårbarheder og giver kriminelle lettere adgang.

• Mangel på dedikeret it-personale og specialiseret viden betyder, at basale sikkerhedstiltag ofte bliver overset, selvom de kan forhindre mange angreb.

• Adgang til følsomme data og placering i forsyningskæder øger deres værdi for it-kriminelle og gør den potentielle skade ved angreb betydelig.

• En svag sikkerhedskultur og fravær af formelle beredskabsplaner gør, at SMV’er hurtigt kan blive ramt af alvorlige driftsforstyrrelser og økonomiske tab.

• 55 procent af SMV’er har ifølge PWC ikke gennemført cybersikkerhedstræning for medarbejderne det seneste år, hvilket gør dem ekstra udsatte for phishing.

Et let bytte for cyberkriminelle på grund af begrænsede ressourcer

SMV’er løber en større risiko for it-angreb, fordi de ofte må prioritere deres kerneforretning over investeringer i it-sikkerhed. Der mangler ofte både tid, budget og specialiseret viden. Ifølge Bitdefender har 71 procent af SMV’er ikke en dedikeret it-sikkerhedsmedarbejder. Samtidig viser CybSafe, at 60 procent ikke har en cyberforsvarsstrategi, der kan matche dagens trusselsbillede. Vi ser derfor, at SMV’ers it-afdeling mest består af enkelte medarbejdere, som balancerer drift, support og sikkerhed. Det efterlader dem ekstra sårbare, fordi de ikke har strukturer eller midler til at beskytte sig som større virksomheder.

Hvordan SMV’ers begrænsede ressourcer øger risikoen

Flere centrale forhold gør, at få penge og medarbejdere skaber ekstra indgange for cyberkriminelle. Her er nogle typiske udfordringer, vi oplever:

• Software, som ikke opdateres automatisk, bliver forældet, og usikre versioner ligger åbne for kendte angreb.

• Multifaktorautentificering aktiveres sjældent, selvom det kunne stoppe de fleste forsøg på datatyveri.

• Backupløsninger er ofte ikke testet, eller også ligger de på samme netværk, så alt ryger, hvis uheldet er ude.

• Rutinemæssige sikkerhedstjek og træning springes over, fordi ressourcerne ikke rækker.

PWC’s Cybercrime Survey fortæller tydeligt, at mindre virksomheder i Danmark i snit bruger under DKK 25.000 årligt på it-sikkerhed. Samtidig investerer store organisationer millioner i sikkerhedsopdateringer, specialiserede it-teams og løbende uddannelse. Vi kan se forskellen i praksis: Mens en stor virksomhed næsten dagligt træner folk i it-sikkerhed og opdaterer systemer løbende, må SMV’er ofte løbe risikoen og håbe på det bedste.

Konkrete løsninger med fokus på det mulige

Også med et stramt budget kan du hæve sikkerheden betydeligt. For at komme i gang vil vi anbefale SMV’er at udnytte ressourcerne bedst muligt og hente konkrete råd, eksempelvis fra vores guide med 6 nemme råd, der gør din virksomhed sværere at hacke. Selvom det ikke erstatter et fuldt sikkerhedsteam, kan simple tiltag skabe stor effekt:

1. Prioriter at opdatere alle programmer med det samme.

2. Aktiver multifaktorautentificering for alle brugerkonti.

3. Gennemfør jævnligt sikkerhedstjek på netværk og enheder.

4. Lav backup hyppigt og gem kopier offline.

5. Undervis kort og præcist medarbejderne i at spotte phishing og andre typiske angreb.

6. Udarbejd en elementær beredskabsplan, så du har styr på næste skridt, hvis skaden sker.

Vi oplever, at gennemsigtighed om begrænsede ressourcer gør det lettere at prioritere de mest kritiske områder først og opbygge bedre sikkerhed gradvist. Hvis du ønsker et solidt udgangspunkt, har du glæde af at læse videre om it-sikkerhed for mindre virksomheder eller hente inspiration i de erfaringer, andre SMV’er har gjort sig. Mange løsninger kræver ikke store investeringer, men kun fokus, disciplin og vilje til at handle på det niveau, det er realistisk.

SMV’ers data og adgang til forsyningskæder som guldrandede mål

Mange små og mellemstore virksomheder opbevarer store mængder kritiske data. Vi ser ofte, at SMV’er har adgang til og ansvar for information som kundeoplysninger, økonomiske statistikker, medarbejderdetaljer og intellektuel ejendom. Disse data udgør en attraktiv mulighed for it-kriminelle, der kan omsætte CPR-numre og kreditkortinformation til mellem 50 og 1.000 kroner pr. datasæt på det sorte marked.

Vi oplever desuden, at SMV’er særligt bliver sårbare, fordi de ofte indgår i større virksomheders forsyningskæder. PWC Cybercrime Survey og IBM viser tydeligt, hvor store risici det medfører. Et kompromitteret led kan være adgangsbillet for et angreb mod større aktører, hvilket åbner døren for tab i hele kæden. IBM’s tal siger, at gennemsnitsomkostningen ved et enkelt databrud globalt ligger på 4,45 millioner dollars, hvor 19 procent af bruddene kan spores til brist hos forsyningskædepartnere.

Dataansvar og forsyningskæder: Hvorfor SMV’er vælges som mål

SMV’ers rolle i forsyningskæder og ansvaret for følsomme data gør dem til primære mål for it-kriminalitet. Her er de vigtigste grunde:

• SMV’er har som regel adgang til kritisk information, men mangler ofte de avancerede forsvar, store virksomheder har.

• Mange større virksomheder kræver adgang eller integration med leverandørers systemer, hvilket giver en potentiel indgang for cyberangreb.

• Et brud hos en enkelt SMV kan skade både samarbejdspartnere, kundernes tillid og virksomhedens fremtidige mulighed for kontrakter.

Vi anbefaler derfor, at SMV’er prioriterer cybersikkerhed som et nøgleområde for deres forretning, uanset størrelse. Det kan gøre en afgørende forskel for beskyttelsen af både dine egne og samarbejdspartneres data.

Manglende sikkerhedskultur og katastrofale konsekvenser ved angreb

For mange små og mellemstore virksomheder hersker der en udbredt misforståelse: De ser sig selv som for små til at interessere it-kriminelle. Denne attitude betyder ofte, at basale tiltag inden for cybersikkerhed nedprioriteres. Vi ser, at kun 28 procent af de små virksomheder faktisk har en formel plan for cyberberedskab, rapporterer Cyber Readiness Institute 2022. Når sikkerhedskulturen halter, og forberedelsen svigter, sætter virksomhederne sig selv i en risikabel situation.

Vi bør også fremhæve, at medarbejdertræning er et overset område. Ifølge PwC’s Cybercrime Survey fra 2023 har hele 55 procent af SMV’er ikke gennemført cybersikkerhedstræning for deres ansatte det seneste år. Dermed forbliver medarbejderne et oplagt mål for angreb og fejl, der kan give adgang til følsomme data eller kritisk infrastruktur.

Konsekvenser og anbefalinger

Konsekvenserne ved et vellykket cyberangreb er voldsomme, både økonomisk og driftsmæssigt. Her er nogle forhold, vi lægger særlig vægt på:

• Efter et ransomware-angreb varer driftsstop typisk mellem 18 og 24 dage. Det kan koste op til 200.000 kroner per dag i tab og genopretningsomkostninger.

• Uden en tydelig hændelses- og genopretningsplan kan lang nedetid tvinge virksomheden til at lukke permanent. Konkurs på grund af manglende forberedelse er desværre ikke ualmindeligt.

• For SMV’er er der særligt behov for at tænke proaktivt og tage ansvar for deres egne svagheder.

Vores klare råd er at få foretaget et grundigt it-sikkerhedstjek. Det afdækker eksisterende sårbarheder og gør det lettere at udvikle en realistisk beredskabsplan. Med en god plan og løbende uddannelse af personalet kan man mindske risikoen for store tab markant. Hvis du vil vide mere om lovgivning og forpligtelser for cybersikkerhed, så tjek også gerne vores information om NIS2-regler for virksomheder.

Kilder:
Bitdefender: SMB Business Security Report
CybSafe: Cybersecurity for SMEs Report 2022
IBM: Cost of a Data Breach Report
Cyber Readiness Institute: 2022 Small Business Cyber Readiness Report
PwC: Digital Trust Insights