I en virksomhed med 15 ansatte er IT-chefen som regel også bogholder, indkøber eller indehaver. Sikkerhed bliver klaret, når der er tid, og det er der sjældent. Samtidig bruger de kriminelle automatiserede værktøjer, der sender de samme falske fakturaer og loginforsøg til tusindvis af firmaer ad gangen, uanset størrelse. En lille virksomhed bliver altså ramt af de samme angreb som en stor, men har færre hænder til at tage imod dem.
Til gengæld er de tiltag, der virker bedst, også de billigste. Det meste af det følgende kan klares på et par eftermiddage.
Begynd med det, der koster mindst
Erhvervsstyrelsen og Digitaliseringsstyrelsen har samlet syv råd om it-sikkerhed til netop små og mellemstore virksomheder. Fire af dem kan I sætte i værk uden at købe noget nyt.
To-trins-login på mail og regnskab. Det er indbygget i de mest udbredte mail- og kontorpakker og i de fleste regnskabsprogrammer. Slå det til for alle, også ejeren. En stjålet adgangskode er den mest almindelige vej ind, og to-trins-login lukker den vej for langt de fleste forsøg.
Automatiske opdateringer. Sæt computere, telefoner og routeren til at opdatere selv. Gamle versioner af Windows eller en router fra 2017 er åbne døre.
Backup, der er testet. En backup er kun noget værd, hvis den kan genskabes. Prøv én gang om året at hente en mappe tilbage, og sørg for, at mindst én kopi ligger et sted, som ikke er koblet til jeres netværk.
Adskilte brugere. Alle har deres eget login, og ingen arbejder til daglig som administrator. Når en medarbejder stopper, lukkes kontoen samme dag.
Er I i tvivl om, hvor I står, kan I tage Sikkerhedstjekket på sikkerdigital.dk. Det er gratis, tager omkring et kvarter og giver en liste med anbefalinger, der passer til jeres størrelse.
Aftal ansvaret med jeres IT-leverandør
De fleste små virksomheder køber drift hos en lokal IT-leverandør eller en cloud-udbyder. Det er fornuftigt, men det flytter ikke ansvaret. Spørg leverandøren helt konkret: Hvem tager backup, og hvor tit? Hvem holder øje med alarmer uden for arbejdstid? Hvor hurtigt reagerer I, hvis vi bliver ramt? Svarene bør stå i aftalen.
Skriv også telefonnummeret til leverandørens vagt ned på papir. Hvis systemerne er nede, er det ikke sikkert, at I kan slå det op.
Den del, leverandøren ikke kan klare
Når de tekniske grundting er på plads, er den største tilbageværende risiko den samme som i store virksomheder: en medarbejder, der bliver snydt. I den årlige Data Breach Investigations Report 2025 indgik et menneskeligt element i omkring 60 procent af bruddene.
I små virksomheder har det en særlig drejning. Der er korte beslutningsveje og stor tillid, og det er en styrke i det daglige. Det betyder også, at én person ofte kan oprette en betaling og godkende den, og at en mail fra “direktøren” om en hasteoverførsel ikke bliver set af andre. Den type svindel kræver intet teknisk indbrud.
To enkle regler dækker det meste:
- Ændringer i kontonumre og betalinger over et aftalt beløb bekræftes altid med et opkald til et nummer, I kender i forvejen.
- Den, der klikker forkert eller er i tvivl, siger det med det samme, og bliver takket for det.
Træning, der passer til en lille virksomhed
Regler på et opslag bliver hurtigt usynlige. De skal øves, og her har små virksomheder typisk tre muligheder.
Gratis materiale findes, blandt andet medarbejderpakken fra sikkerdigital.dk. Det er et fint sted at begynde, hvis budgettet er nul, men det er generelt og kræver, at nogen i virksomheden driver det.
Et færdigt standardkursus er hurtigt at tage i brug. Ulempen er, at eksemplerne er skrevet til alle brancher på én gang, og en tømrer og en revisor genkender sig sjældent i de samme situationer.
Den tredje mulighed er e-læring, der er tilpasset virksomheden. Mange tror, at det kun er for store organisationer. Hos Grape kan I købe et færdigudviklet kursus, som er kvalitetssikret af fageksperter, og få det tilpasset jer. Scenarierne kan tilpasses jeres egen hverdag, så en lille virksomhed får træning, der ligner dens egne situationer, uden at betale for et forløb udviklet fra bunden. I vælger selv mellem standardforløbet, en tilpasset udgave eller et helt eget forløb, når I ser på vores løsning til it sikkerhed i virksomheden.
For en virksomhed med få ansatte er det ofte nok med de moduler, der rammer hverdagen: svindelbeskeder, adgangskoder, mobile enheder og hvad man gør ved et sikkerhedsbrud. Fire korte moduler fordelt over et halvt år er lettere at få gennemført end ét langt forløb.
En plan for de første 30 dage
- Uge 1: Slå to-trins-login til på mail og regnskab. Tag Sikkerhedstjekket.
- Uge 2: Gennemgå backup og brugerkonti med IT-leverandøren. Luk gamle konti.
- Uge 3: Indfør reglen om opkald ved ændrede kontonumre. Skriv en kort liste over, hvem der ringes til, hvis noget går galt.
- Uge 4: Sæt medarbejdertræning i kalenderen, og aftal en fast dato for opfølgning.
Har I ikke en beredskabsplan, har vi beskrevet medarbejdernes del af den i artiklen om, hvad medarbejderne gør, når der sker et sikkerhedsbrud. Og vil I høre, hvordan træningen kan tilpasses en virksomhed på jeres størrelse, kan I skrive til os.
