I kan ikke forhindre, at en medarbejder tager data med, men I kan gøre det sværere, opdage det hurtigere og sikre, at sporene er der, når det sker. Efter en datasag er det tre ting, ledelsen typisk skal tage stilling til: hvem der har adgang til hvad, hvilke alarmer der skal være slået til, og hvilke regler og aftaler der skal gælde. Det er ledelsens beslutninger, ikke kun IT’s.
Denne artikel er skrevet til ledelsen efter en sag, hvor data er taget med eller sendt ud. Den handler ikke om at overvåge medarbejderne mere. Den handler om at lukke de huller, sagen afslørede, med det mindst indgribende middel. Regler om kontrol med medarbejdere, persondata og en eventuel overenskomst eller kontrolaftale skal altid tjekkes, før nye tiltag indføres.
Start med evalueringen
Den bedste forebyggelse bygger på det, sagen faktisk viste. Hvordan kom data ud? Hvor lang tid gik der, før I opdagede det? Hvilke spor manglede? Svarene giver en kort liste over konkrete huller, som er mere værd end en generel sikkerhedsplan. → Evaluering efter en bevissag
1. Adgange: mindre er mere
Mange datasager handler om data, som medarbejderen aldrig skulle have haft adgang til. Det er ofte ikke en bevidst beslutning, men noget, der er vokset over tid.
- ☐ Gennemgå, hvem der har adgang til kundelister, prislister, tegninger og kildekode.
- ☐ Fjern adgange, der ikke bruges i det daglige arbejde.
- ☐ Begræns, hvem der kan eksportere hele kundedatabasen fra CRM.
- ☐ Gennemgå administratoradgange, og fjern dem, der ikke er nødvendige.
- ☐ Indfør en fast proces for at ændre adgange, når en medarbejder skifter rolle.
Gennemgangen er en ledelsesopgave, fordi det er ledelsen, der ved, hvem der har brug for hvad. Gentag den mindst én gang om året. IT kan levere listen, men ikke afgøre behovet.
2. Teknik, der lukker de oplagte veje
Nogle veje ud af virksomheden kan lukkes uden at overvåge nogen:
- Automatisk videresendelse til private mails · Blokeres i mailsystemet
- Deling af filer med eksterne · Begrænses eller kræver godkendelse
- USB-nøgler · Blokeres eller logges
- Private cloudtjenester · Begrænses på arbejdsudstyr
- Synkronisering til private enheder · Kræver administreret enhed
Hvert tiltag har en pris i form af besvær for medarbejderne. Vælg dem, der passer til jeres risiko. → Blokér videresendelse til private adresser
3. Alarmer og DLP
DLP står for data loss prevention. Det er funktioner, der kan advare, når følsomme data forlader virksomheden, fx når en fil med mange kundenumre sendes til en ekstern adresse. Mange virksomheder har funktionerne i deres licens uden at have slået dem til.
For ledelsen er de vigtige spørgsmål:
- Hvilke data er så vigtige, at vi vil have en alarm?
- Hvem modtager alarmen, og hvad gør vedkommende?
- Hvordan undgår vi, at alarmer drukner i falske advarsler?
- Er medarbejderne orienteret om, at funktionen findes?
En alarm, som ingen reagerer på, er værre end ingen alarm. Den skaber en falsk tryghed, og den kan senere blive brugt mod virksomheden. → DLP-alarmen gik: hvad gør I nu?
4. Logning, der er klar, når I får brug for den
Sagen viste måske, at loggen manglede, var for kort eller krævede en anden licens. Slå den logning til, der gør det muligt at svare på de spørgsmål, sagen stillede: hvem loggede ind, hvem hentede filer, hvem sendte hvad. Sørg for, at loggen gemmes længe nok til, at I kan nå at opdage en sag. → Minimumslogning: hvad bør være slået til, før noget sker?
Logning er ikke det samme som overvågning. Loggen bruges kun, når der er en konkret anledning, og efter de regler, medarbejderne er orienteret om.
5. Regler og aftaler
- ☐ Opdatér IT-reglerne med det, sagen viste, fx om private konti eller beskedapps.
- ☐ Gennemgå ansættelseskontrakter og fratrædelsesaftaler for klausuler om data og udstyr.
- ☐ Indfør en fast offboarding med karantæne for udstyr og bevarelse af konti.
- ☐ Aftal med IT-leverandøren, hvad de skal gøre, når I beder om bevarelse.
5a. Offboarding som fast proces
I mange datasager er det fratrædelsen, der er det svage punkt. Opsigelsesperioden er ofte den tid, hvor data bliver taget med, og den dag, hvor kontoen lukkes, er ofte den dag, hvor sporene forsvinder. Gør derfor offboarding til en fast proces med en tjekliste, som HR og IT følger hver gang: hvilke adgange lukkes hvornår, hvad bevares, hvordan modtages udstyret, og hvem godkender, at konto og udstyr må slettes. Det er ikke et signal om mistanke, når det sker hver gang. → Offboarding uden at miste beviser
6. Kultur og ledelse
Den mest effektive forebyggelse er ofte den mindst tekniske. Medarbejdere, der ved, at data er virksomhedens, at der er regler, og at reglerne bliver fulgt, tager sjældnere data med. Ledere, der reagerer roligt og korrekt på en mistanke, forhindrer, at en sag eskalerer. Det kræver, at ledelsen selv følger reglerne og taler om dem.
Prioritér: hvad først?
Efter en sag er der ofte en lang liste over ønsker. Ikke alt kan gøres på én gang, og ikke alt er lige vigtigt. En enkel prioritering:
- Det, der kunne have stoppet sagen: fx en blokeret videresendelse eller en begrænset eksport fra CRM.
- Det, der kunne have afsløret sagen tidligere: fx en alarm ved store eksporter eller ved deling med eksterne.
- Det, der kunne have gjort beviserne bedre: fx længere logning eller karantæne for udstyr.
- Resten: generelle forbedringer af sikkerheden.
Sæt en ansvarlig og en dato på hvert punkt, og gennemgå listen igen efter et halvt år. Læg de faste opgaver i jeres årshjul.
Hvem gør hvad?
- Ledelse · Prioriterer tiltag, godkender regler og budget
- HR · Kontrakter, offboarding, orientering af medarbejdere
- IT · Gennemfører tekniske tiltag og logning
- Advokat · Gennemgår regler og kontrakter
- IT-sagkyndig · Vurderer, om sporene vil være der næste gang
Det skal I lade være med
- Indføre overvågning, der går ud over det nødvendige, som reaktion på én sag.
- Indføre tiltag uden at orientere medarbejderne.
- Købe et værktøj, før I har besluttet, hvad det skal opdage.
- Glemme at teste, om tiltagene virker.
Advokatsitet beskriver, hvordan virksomheden kan dokumentere, at et forbud overholdes efter en sag. Det er en anden opgave end forebyggelsen, men den hænger sammen med den. → Dokumentation af, at et forbud overholdes
Kort sagt
Byg forebyggelsen på det, sagen viste. Ryd op i adgange, luk de oplagte veje ud, slå alarmer og logning til med en klar plan for, hvem der reagerer, og opdatér regler og aftaler. Orientér medarbejderne, og test, at det virker.
Læs også: Udstyr tilbage i drift: hvornår og hvordan? · Mistanken holdt ikke: sådan lukker I sagen ordentligt
→ Sådan foregår et forløb for en virksomhed · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
