Säkerhetstrategi för företag
Cyber-JitSu För arbetsplatsen

Anmäl dig till kursen

Här finner du som är småföretagare eller ansvarig för Internetsäkerheten på arbetsplatsen grundläggande information.

Välkommen att lära dig mer om hur du säkrar arbetsplatsens anslutning och användning av Internet!

1. Upprätta policy

Information är värd att skydda. Därför bör man formalisera hur man behandlar och säkerställer informationen. Det görs i en informationssäkerhetspolicy.

Detta avsnitt redovisar vilka delar som bör ingå i en informationssäkerhetspolicy och varför. Rekommendationerna beskriver en lägsta säkerhetsnivå men exakt vilken nivå som krävs bestäms naturligtvis av varje organisations särskilda behov och, i vissa fall, av lagstiftning. Avsnittet bygger till stora delar på Krisberedskapsmyndighetens skrift ”Basnivå för IT-säkerhet” (BITS) samt på ”Ledningssystem för informationssäkerhet” (SS-ISO/IEC 17799).

Texten har stort fokus på hur man med olika medel säkerställer och begränsar den digitala åtkomsten till information och system. Ett komplett säkerhetstänkande innefattar naturligtvis också rutiner för fysisk säkerhet.

Ledningens ansvar

Som ytterst ansvarig för verksamheten faller det på ledningens lott att se till att säkerheten inom IT-området säkerställs. En viktig uppgift för ledningen är att utveckla ett ledningssystem för informationssäkerheten. Detta bör behandla målen med informationssäkerheten, vilken säkerhetsnivå som ska gälla, hur organisationen arbetar med riskhantering samt styrmedel.

Det är också ledningens ansvar att se till att nödvändiga dokument, exempelvis informationssäkerhetspolicy, arbetas fram.

Policyns utformning

För att en informationssäkerhetspolicy ska fylla sitt syfte, att ange inriktningen för säkerhetsarbetet, gäller det att den är förankrad i ledningen, klart visar ambitionsnivå och riktning. Den ska också vara utformad på ett sådant sätt att den går att förankra i organisationen och hos eventuella samarbetspartners.

Policyns olika delar

Följande delar bör behandlas i en informationssäkerhetspolicy.

Riktlinjer för…

Behörighetsadministration/styrning av åtkomst

Riktlinjer för vem ska komma åt vad och hur arbetet med detta ska skötas i organisationen.

För att skydda informationen bör tillgången till den begränsas. Hoten finns både inom organisationen och utanför den, exempelvis leverantörer och konsulter. Hoten behöver inte vara medvetna. Ett misstag kan få stora konsekvenser. Det är därför mycket viktigt att åtkomst endast ges till de IT-system som respektive användarkategori behöver och kan använda.

Tänk på:
• Vem ska ha behörighet till IT-systemen
• Vad ska de få komma åt, ändra, radera i IT-systemen och sin egen dator
• Vem är ansvarig för att besluta om respektive ge behörigheter
• Rutiner för tilldelning, uppföljning och uppdatering av behörigheter

Behörighetskontroll

Riktlinjer för tekniska lösningar för åtkomst, både på applikations- och systemnivå, utifrån och in samt internt på det egna nätet, bör definieras. Riktlinjerna bör också behandla byggregler för intranät på en övergripande nivå. Eftersom området innefattar teknik-, system- och leverantörsval är det viktigt att dessa är medvetna och långsiktiga så att man slipper galopperande kostnader i form av omfattande uppgraderingar eller säkerhetssystem med separata lösningar per produkt.

Tänk på:
• Framtidssäkerhet
• Administrativ arbetsbörda
• Behörighetskontroll av de som ska serva systemen
• Kostnader för hyrda förbindelser/VPN-lösningar

Loggning och spårbarhet

Loggning är att spara data om vilka aktiviteter som ägt rum, vad som gjorts och vem som gjort dem. Spårbarhet är att genom loggning kunna identifiera och följa förloppet för olika aktiviteter. Detta är nödvändigt för att kunna finna den ansvarige vid säkerhetsrelaterade incidenter.

Tänk på att vissa sorters loggning kan innefattas av personuppgiftslagen eller innebära intrång i personers integritet.

Tänk på:
• Vad ska loggas
• Hur följs loggarna upp
• Vem följer upp loggarna
• Hur länge ska de sparas
• Hur ska de förvaras

Informationsklassning

Att klassificera information är en grundpelare i informationssäkerhetsarbete. På detta sätt fastställer man vilken skyddsnivå olika sorters information bör ha. Klassning bör ske utifrån tre aspekter: sekretess (att informationen inte kan nås av obehöriga), riktighet (att informationen inte är felaktig) samt tillgänglighet (att informationen kan nås av behöriga).

Tänk på:
• Skapa ett enkelt klassificeringssystem där antalet klasser är bestämt från början.
• Peka ut ägare för all information

Införande

Alla IT-system som införs bör innan de tas i bruk ha granskats utifrån de säkerhetskrav som finns för organisationen. Rutiner bör skapas för vad som ska göras i samband med att ett IT-system köps in och tas i drift.

Tänk på:
• Eventuella krav på att använda certifierade och evaluerade produkter
• Tester och testmiljö
• Löpande säkerhetsarbete för systemet

Systemsäkerhetsplan

Varje IT-system bör ha en plan som specificerar vilka säkerhetskrav som ställs på den. Olika system behandlar olika data och uppgifter och därför skiljer sig kraven från system till system. En riskanalys med hot och konsekvenser bör göras för varje system. Utifrån riskanalysen formuleras sedan systemsäkerhetsplanen.

Systemsäkerhetsplaner kan brytas ut ur policyn och vara separata dokument.

Tänk på:
• Peka ut systemägare
• Definiera säkerhetskrav för att säkra sekretessen
• Definiera säkerhetskrav för att säkra riktigheten
• Definiera säkerhetskrav för att säkra tillgängligheten
• Ta hänsyn till lagstiftning som eventuellt omfattar systemet

IT-säkerhetsinstruktioner

IT-säkerhetsinstruktioner är handfasta regler och rutiner för vad och hur olika användargrupper får använda IT-systemen. Tre sorters IT-instruktioner bör finnas: användarinstruktion – för användare, förvaltningsinstruktion – för förvaltningspersonal samt driftinstruktion – för driftpersonalen.

IT-säkerhetsinstruktioner kan brytas ut ur policyn och vara separata dokument.

Tänk på:
• Alla system ska ha någon slags instruktion
• Instruktionerna ska vara beslutade av ledningen

Skydd mot skadlig programkod

Riktlinjer för vilket skydd som bör finnas mot skadlig kod såsom virus, maskar trojaner och dylikt bör finnas. Skydd och rutiner bör finnas i sådan utsträckning att man ska kunna upptäcka skadlig kod, förebygga smitta, förhindra spridning samt återställa system som är smittade.

Se även det separata avsnittet Skydda mot skadlig kod.

Tänk på:
• Anpassa skyddet efter hotbilden
• Installera skydd på flera nivåer i IT-miljön
• Begränsa genom regler användning av icke-godkända program och nedladdning av filer från externa källor

IT-nätverk (internt)

Riktlinjer för hur det interna nätet ska handhas bör finnas. En organisations nätverk bör delas upp i olika delar beroende på vilka tjänster som finns och vilken säkerhet dessa kräver. Ansvaret för IT-nätverket bör skiljas från ansvaret för IT-driften.

Se även det separata avsnittet Regler för infrastruktur.

Tänk på:
• En ansvarig person per nätdel
• Bygg åtkomstkontroll baserat på säkerhetsdomäner
• Användarnas tillgång till nätverkstjänsterna bör begränsas med hjälp av åtkomstkontroll
• Begränsa administratörernas rättigheter till vad de behöver för att sköta jobbet

IT-nätverk (externt)

Externa anslutningar innebär exponering för potentiellt stora risker. Det är därför mycket viktigt att ha kontroll över vem som får ansluta och hur.

Se även det separata avsnittet Regler för infrastruktur.

Tänk på:
• Bestäm vilka typer av anslutningar som tillåts
• Dokumentera (och uppdatera) en förteckning över anslutningar
• Autentisering vid externa anslutningar

Brandväggar

Brandväggen kontrollerar och begränsar trafiken mellan två datanät, vanligtvis det interna nätet och Internet, och är ett måste.

Se även separat avsnitt Regler för infrastruktur.

Tänk på:
• Det enda sättet för IP-kommunikation att ta sig till och från organisationen ska vara genom brandväggen
• Brandväggen ska innehålla skydd mot skadlig kod
• Riktlinjer för loggning av trafiken (Se även avsnittet ovan: Loggning och spårbarhet)

Elektronisk post

Genom att vara ett effektivt och enkelt sätt att kommunicera har e-post blivit ett allt populärare arbetsverktyg. Eftersom det handlar om en kommunikationsmetod som använder Internet innebär e-posten vissa hot: e-brev kan avlyssnas och innehåll eller avsändare kan ändras av obehöriga. Dessutom är e-post ett mycket vanligt sätt att sprida skadlig kod.

Tänk på:
• Vilka ska ha tillgång till e-post
• Vilken information får skickas med e-post
• Skydd mot skadlig kod
• Hantering av bifogade filer
• Kryptering

Distansarbete och mobildatoranvändning (Ansluta på distans)

Det innebär särskilda risker att arbeta utanför den ordinarie arbetsplatsen, vare sig det handlar om mobil datoranvändning, på exempelvis en konferens, eller att arbeta hemifrån.

Se även separat avsnitt Ansluta på distans.

Tänk på:
• Stöldrisk/brandrisk
• Risk för obehörig insyn och användning
• Säkerhetskopiering
• Skydd mot skadlig kod och intrång
• Riktlinjer för support på distans
• Kryptering vid överföring och för lagrad information
• Hantering av utskrifter
• Autentisering vid uppkoppling mot arbetsplatsen

Kontinuitetsplanering

Riktlinjer för vad som ska göras om IT-systemen drabbas av störning eller avbrott bör finnas. Det finns två sorters planer som bör upprättas: avbrottsplan och katastrofplan. Avbrottsplanen hanterar avbrott och störningar medan katastrofplanen handlar om omständigheter som anses vara katastrofala. Detta kan naturligtvis också handla om avbrott eller störningar i verksamhetskritiska system.

Tänk på:
• Ge IT-systemen en prioriteringsordning – utgå från systemsäkerhetsplanerna
• Klarlägg vad som anses vara katastrofalt

Incidenthantering (Hantera IT-incidenter)

För att på bästa sätt förebygga och hantera IT-incidenter bör riktlinjer finnas för såväl vanliga användare som för IT-personalen.

Se även separata avsnittet Hanteringen av IT-incidenter.

Tänk på:
• Förebyggande arbete
• Krishantering
• Efterarbete – följ upp och ta vara på erfarenheterna

Säkerhetskopiering och lagring

Säkerhetskopiering ska göras regelbundet. Det är viktigt att bestämma vilken information ska säkerhetskopieras och hur ofta detta ska ske.

Läs mer i det separata avsnittet Skapa säkerhetskopior.

Tänk på:
• Vilken information som ska säkerhetskopieras
• Hur ofta säkerhetskopiering ska ske
• Hur många versioner bakåt i tid som ska sparas
• Hur och var kopiorna ska förvaras
• Informationen ska vara läsbar under hela sin lagringstid

Anmäl dig till kursen

2. Regler för infrastruktur

Ett nätverk som är anslutet till Internet är ett potentiellt mål för en mängd hot, exempelvis skadlig kod, överbelastningsattacker och intrångsförsök. Detta avsnitt handlar om vad man bör tänka på när man bygger ett nätverk som är anslutet till Internet.

• Kartlägg organisationens behov

• Filtrera trafiken tidigt
• Känslighetsklassa nätverket

• Dela upp nätverket i säkerhetszoner

• Konfigurera brandväggen aktivt

• Använd intrångsdetekteringssystem

Inventera

En säker infrastruktur byggs kring brandväggen. Den separerar och skyddar på så sätt organisationens nätverk från Internet. Beroende på IT-tjänsternas beskaffenhet har de olika behov att vara exponerade utåt, mot Internet. Filservrar, skrivarservrar eller de anställdas datorer behöver exempelvis oftast inte vara tillgängliga utifrån medan det är viktigt att webbservrar och e-postservrar är det. Arbetet med att bygga en IT-infrastruktur bör börja med en kartläggning av organisationens behov. Vilken sorts trafik måste gå mellan omvärlden och det egna nätverket? Vilken sorts trafik måste gå till organisationens externa servrar? Vilka servrar måste exponeras inåt respektive utåt?

Närmast Internet

Det är vanligt att den ”yttersta” delen av ett privat nätverk kopplat till Internet är en router. Här påbörjas den första filtreringen av trafiken. Det är bra att använda så kallad ingress- och egress-filtrering i denna router. Filtreringen granskar vilken trafik som är tillåten in och ut och kan på så vis motverka att exempelvis en angripare använder routern i en attack mot någon annan med syftet att få den attackerade att tro att det var routerns ägare som utförde anfallet.

Känslighetsklassning

Brandväggen granskar all trafik som kommer in eller går ut från nätverket enligt förutbestämda regler, som definieras av systemägaren, för att kunna avgöra om trafiken är tillåten eller inte. Eftersom data är olika känslig är det vanligt att man delar upp nät i olika säkerhetszoner. Ett sätt är att dela nätet innanför brandväggen i DMZ och internt nät.

DMZ

DMZ, eller demilitarized zone, är placerad mellan det externa nätet (Internet) och det interna nätet. DMZ skyddas av brandväggen men tillåter vanligtvis flera sorters trafik utifrån. Detta eftersom man i DMZ ofta placerar tjänster som måste vara tillgängliga från Internet som exempelvis webbserver, FTP, DNS och e-post men som ändå måste ha ett visst skydd. Organisationer som har utvecklingsnät som behöver vara tillgängliga från Internet, exempelvis nät där man testar webbtjänster, placeras också ofta i DMZ.

Ett alternativ till att placera e-postservern i DMZ är att placera denna i det interna nätet och låta ett e-postrelä sköta e-postförmedlandet i DMZ. Fördelen med detta är att intern e-post inte behöver gå genom brandväggen vilket innebär mindre belastning på brandväggen. En nackdel är att man inte får den loggning som sker i brandväggen. Enligt samma resonemang fast tvärtom väljer vissa organisationer att placera sina interna servrar i DMZ för att få trafiken till dem loggad och skyddad av brandväggen.

Det går också att skapa flera DMZ om man har flera nätverksresurser som behöver skyddad exponering men är av olika art.

Internt nät

Reglerna för vilken trafik som tillåts till detta nät är striktare än för DMZ. Här placeras vanligen resten av organisationens IT-resurser, sådana som inte behöver vara tillgängliga för alla på Internet, såsom filservrar, intranät, affärssystem och de anställdas datorer.

Segmentering

Eftersom många säkerhetshot kommer inifrån, från någon i den egna organisationen, kan det vara en god idé att även dela upp det interna nätet i olika segment. Ett vanligt sätt att segmentera är att dela upp det interna nätet i server- och användarnät. På servernätet placeras de IT-tjänster som man bedömer inte behöver nås utifrån som affärssystem, filservrar, intranät och så vidare. Användarnätet består av de anställdas datorer. Ibland finns det skäl att segmentera ytterligare steg och exempelvis dela upp användarnätet i flera bitar. Detta kan till exempel vara lämpligt för att placera anställda som behandlar extra känslig information på en separat nätdel.

Ett rationellt sätt att segmentera näten är att använda switchar med VLAN-funktionalitet. Det innebär att man med mjukvara kan avskilja nät som är fysiskt ihopkopplade från varandra. För ökad säkerhet förekommer det också att man sätter brandväggar mellan de olika segmenten och i dessa sätter regler som begränsar trafiken.

Eftersom en rätt utförd segmentering gör mycket för säkerheten är det viktigt att verifiera att segmenteringen verkligen blev som man tänkt.

Ställa in brandväggen

Att konfigurera en brandvägg rätt är komplicerat och bör utföras av någon som är väl förtrogen med ämnet. Utgå från en inventering av nättrafiken och bestäm utifrån detta vad som ska vara tillåtet eller inte till DMZ respektive det interna nätet.

Kanske ska det gå att utifrån kunna komma åt interna servrar som affärssystem eller filservrar. Detta bör i så fall ske genom en VPN-anslutning (virtual private network). VPN innebär att man med hjälp av kryptering skapar sig en säker ”privat tunnel” på det annars så allmänt tillgängliga Internet. Detta kan ses som ett alternativ till att bygga egna dataförbindelser mellan exempelvis två lokalkontor inom samma företag.

Intrångsdetektering

Intrångsdetekteringssystem, IDS, är program som granskar nätverkstrafik efter kända signaturer eller avvikande fenomen i syfte att identifiera intrångsförsök. Till skillnad från en brandvägg, som också granskar trafiken, är IDS:er mer intresserade av trafikens innehåll. En vanlig placering av en IDS är mellan Internet och brandväggen. Om man bara vill ha larm för trafik som verkligen kommer in i nätverket bör IDS:en placeras innanför brandväggen.

Det är också vanligt att man placerar IDS:er på det interna nätverket eftersom många oönskade företeelser kommer inifrån organisationen. Beroende på intrångsdetekteringssystemets placering och hur allvarligt ett intrång skulle vara där kan systemet ställas in för att larma på olika sätt. Är risken låg kan det exempelvis räcka med att logga händelsen medan mer akuta fall kan innebära att ett system som är kopplat till IDS:en skickar ett SMS till någon ansvarig.

En IDS är dock bara ett larmredskap och för att säkerheten ska upprätthållas måste eventuella larm följas upp av åtgärder.

Anmäl dig till kursen

3. Ansluta till Internet

Majoriteten av de medelstora företagen och organisationerna har en fast anslutning till Internet, även om ISDN-uppkoppling fortfarande förekommer. För uppringda förbindelser hänvisas till avsnittet om anslutning för privatpersoner. Detta avsnitt redovisar hur den fysiska anslutningen kan göras så säker som möjligt samt hur företagets utrustning kan anslutas säkert.

• Dubblera anslutningen till Internet

• Ställ krav på tillgängligheten

• Avtala om ersättning vid ”nedtid”

• Säkra eventuella trådlösa anslutningar

• Skapa kluster för redundans

• Skydda viktiga servrar noggrant

• Arbeta aktivt med brandväggens inställningar

Dubbla förbindelser

Företagen har hittills lagt stora resurser på det inre säkerhetsarbetet men har i många fall fortfarande en alltför sårbar anslutning till Internet. Den enskilt viktigaste orsaken till Internetavbrott är avgrävda kablar, samtidigt som nätkapacitet är billigt idag, jämfört med för några år sedan. För att uppnå större säkerhet vid anslutningen kan man därför dubblera sin anslutning och säkerställa att anslutningskablarna dras i separata kanaler eller framföringsvägar ända fram till operatörens stamnät.

Ett alternativ är att dubblera med hjälp av en annan teknik – till exempel genom en trådlös förbindelse. Trådlösa förbindelser är mer känsliga för störningar. Likaså är risken att bli avlyssnad uppenbar, varför kryptering av trafiken rekommenderas.

Två operatörer

Det finns också möjlighet att använda två eller fler operatörer som tillhandahåller förbindelserna, och som uttryckligen garanterar att deras nät inte konvergerar på ett sådant sätt att den eftersträvade redundansen uteblir. Detta minskar risken för avbrott och minskar sårbarheten vid konkurser i operatörsledet. Det kanske enklaste för ett enskilt företag är att upphandla den tillgänglighet man anser sig behöva och fastslå detta i SLA (servicenivåavtal) med leverantören. Då är det upp till operatören att se till att den redundans finns som krävs för att klara avtalad tillgänglighetsnivå, till exempel med dubbla förbindelser.

Avtal med operatörer

I de avtal som operatörerna tecknar med sina kunder specificeras ofta den ersättning som utgår vid utebliven anslutningstid. Kostnader och intäktsbortfall som drabbar verksamheten vid avbrott är dock ofta mångdubbelt större. Företagen bör i avtalen ta hänsyn till detta, även om det kan vara svårt att få fullständig täckning för verkliga kostnader och förluster.

Företagen har stora möjligheter att ställa krav på operatören att viktiga transaktioner garanteras en viss tillgänglighet från sändare till mottagare. Avtalen mellan leverantör och företag kan till exempel specificera vissa orter mellan vilka tillgängligheten ska garanteras. Detta handlar om att skydda de transaktioner som företaget ser som mest affärskritiska. De egenskaper företaget önskar att förbindelsen ska ha, till exempel viss nivå av tillgänglighet och bandbredd, kan regleras genom avtal.

Trådlös anslutning

I trådlösa nätverk existerar i princip inga fysiska hinder för att en obehörig angripare ska kunna lyssna av trafiken. Data kan tränga genom väggar och tak till exempelvis gatan utanför byggnaden som det trådlösa nätet installerats i. Många av de säkerhetsproblem som någorlunda väl kan kontrolleras i trådbunden miljö blir allvarligare och svårare att hantera.

Exempel på sådana problem är:

avlyssning
obehörigt intrång
manipulering av information
störning

Därför är det viktigt att använda säkra metoder för autentisering, behörighetskontroll, förändringsskydd och skydd mot läsning. Den kryptering som finns inbyggd i de trådlösa nätverksstandarder som används idag ger ett relativt gott krypteringsskydd. Det är viktigt att det finns instruktioner om hur krypteringen används och att krypteringen verkligen är igång.

Ett annat sätt att skydda det trådlösa nätverket är att endast tillåta de nätverkskort som ska finnas i nätverket att komma in. Ethernet-tekniken som används i dagens lokala datornätverk använder MAC-adresser (Media Access Control) och varje nätverkskort som är kopplat till nätverket har en sådan adress. Genom att identifiera de adresser som är tillåtna skyddas nätverket från obehörigt intrång.

Den basstation som är anslutningspunkt för det trådlösa nätverket bör döpas till ett krångligt namn. Det gör den svårare att hitta för potentiella inkräktare. Den bör också placeras och riktas på ett sätt att den inte strålar utanför byggnaden där den ska användas.

Ett problem som företag och organisationer bör vara uppmärksamma på är att anställda kan installera trådlösa anslutningspunkter utan att rådfråga IT-avdelningen, vilket kan öppna det interna nätverket för omvärlden.

Intern struktur

Exempel på utrustning som är vital för anslutningen, förutom de fysiska förbindelser som kopplar samman företaget med nätet är webb-, namn- och e-postservarna samt företagets brandvägg.

Redundans för servrar

För att skapa redundanta system måste serverkapaciteten garanteras. Den vanligaste tekniken för att uppnå detta är att skapa klustrade system, det vill säga att flera servrar kopplas samman. Servrarna innehåller samma information och om en server går ned kan de övriga samarbeta för att ersätta den och klara trafikvolymen. Anycast är en standard i IP-protokollet som används tillsammans med klustrade system för att balansera och omfördela trafiken. Flera servrar i ett kluster kan då ha samma IP-adress och anycast-protokollet tar reda på vilka servrar som alls går att nå och beräknar därefter vilken server som har minst belastning och fördelar trafiken dit. På så sätt uppnår man både redundans och fördelning av trafiken med högre tillgänglighet och bättre svarstider som resultat. Servrarna kan placeras var som helst i företagets nätverk och med fördel på geografiskt åtskilda platser.

Exempel på servrar som är viktiga att skydda är webbservrarna, namnservrarna som hanterar DNS och e-postservrarna. Eftersom e-post är en av de allra viktigaste applikationerna på Internet för många företag måste både namnservrarnas och e-postservrarnas funktion skyddas väl. När det gäller namnservrar rekommenderas det att ha minst två stycken. En vanlig lösning är att ha en på företaget och en annan hos sin Internetoperatör, alternativt att ha namnservrarna hos två olika operatörer.

E-postservrarna kan separeras så att in- och utgående e-post hanteras av olika servrar. Om ett virus kommer in i företagets e-postserver och den måste stängas av kan de anställda fortfarande skicka e-post eftersom servern för utgående post fortfarande fungerar.

Brandväggen

Brandväggen är utrustning som kontrollerar trafik. Den används för att släppa igenom önskad trafik mellan två nät och stoppa övrig trafik. Brandväggen kan vara hårdvaru- eller mjukvarubaserad. Skillnaden mellan dessa är inte så stor – den hårdvarubaserade är en fysisk maskin som är en brandvägg, medan den mjukvarubaserade är en dator med brandväggsprogramvara. Man bör placera brandväggen så snart efter anslutningen till Internet som möjligt, för att stoppa oönskad trafik innan den kommit in i nätverket. Dessa brandväggslösningar ska inte förväxlas med brandväggsprogramvara som placeras lokalt på klientdatorerna i nätverket.

Det är viktigt att med hjälp av intern eller extern säkerhetsexpertis se vilka behov som finns och konfigurera brandväggen efter dessa behov. Se till att de applikationer eller program som tillåts kommunicera med Internet är uppdaterade, detta gäller programvaror på både klienter och servrar.

En vanlig lösning är att placera en router med filter mellan den egna datorn och anslutningen till Internet. Denna kan stoppa en hel del av den oönskade trafiken. De paketlösningar som erbjuds idag och som innehåller såväl brandväggs- som routerfunktioner kan medföra vissa problem då företagets experter på routrar och nätverk inte alltid har rätt kompetens för att också hantera brandväggsfunktionen. Därför är det bra att ha dessa funktioner tydligt separerade.

DMZ

Anmäl dig till kursen

4. Konfigurera system

Installation av nya IT-system och förändringar i befintliga ställer en hel del krav på säkerhetstänkande. Många förändringar i systemen är också föranledda av säkerhetshänsyn, till exempel uppdateringar som täpper igen upptäckta säkerhetshål. Detta avsnitt berör bland annat hur IT-systemen kan installeras och konfigureras samt förändras säkrare.

• Installera endast de nödvändiga komponenterna

• Minimera den tillåtna trafiken genom brandväggen

• Dokumentera systemet och de förändringar som sker

• Tänk över rutinerna för uppdateringar av programvaror

• Genomför penetrationstester vid större systemförändringar eller efter viss tid

Installation och konfiguration

Vid systeminstallationer bör endast de nödvändiga komponenterna installeras. Genom att inventera vilken funktionalitet ett system ska fylla i verksamheten kan onödiga komponenter uteslutas från installationen. Ofta innehåller installationspaketen många komponenter och tjänster som inte kommer att användas i företaget och vanligast är att det förinställda valet innebär att allting installeras och öppnas.

När installationen är klar, kontrollera att endast de funktioner som är kritiska för systemet är påslagna. Övriga funktioner konfigureras som avstängda.

Ett vanligt problem är organisationer som omedvetet tillåter så kallad open relay i sin e-postserver. Det innebär att vem som helst kan skicka e-post via servern, en möjlighet som kan utnyttjas av personer som vill skicka spam. Vissa e-postservrar levereras förinställda så att open relay tillåts. Det är därför viktigt att kontrollera om e-postservern är inställd på detta sätt och fundera på om open relay fyller någon funktion för organisationen.

Minimera den tillåtna trafiken till och från systemet genom inställningar i företagets eller organisationens brandvägg. Bara för att det finns en brandvägg innebär detta inte att den trafik som tillåtits där är säker eller till för alla. Systemet kan därför kompletteras med en så kallad hostbaserad brandvägg som finns inne i systemet och kontrollerar och filtrerar den trafik som brandväggen släppt igenom.

Systemdokumentation och övervakning

Dokumentation av vad som gjorts i systemet är mycket viktig och systemdokumentationen ska uppdateras när ändringar görs.

Den manuella dokumenteringen kan underlättas genom att använda ett system, en databas, som kan ställas in för att övervaka filerna i systemet regelbundet. Om någon av dessa filer modifieras larmar databasen. Förutom systemfiler kan övervakningen gälla webbsidor eller filer som bedöms som känsliga och som ska vara statiska.

Systemet bör konfigureras så att filer skickas till den centrala loggservern. Att använda en central loggserver som tar emot loggar från maskinerna i systemet gör att eventuella inkräktare inte kan sopa igen sina spår – eftersom dessa också sparas på loggservern. Det gör arbetet att övervaka loggarna lättare eftersom detta kan ske i ett gränssnitt där det går att följa hela systemet. Frekvensen för läsning av loggar bör bestämmas utifrån organisationens behov och bör dokumenteras.

Genom att spela in den nätverkstrafik som skickas till och från Internet får företaget möjlighet att se vilka filer som ändrats eller vilken information som försvunnit. Utrustningen bör placeras mellan Internetroutern och brandväggen och en vanlig pc med gratis program fyller denna funktion väl. Informationen kan användas som bevisföring mot inkräktare.

Uppdateringstjänster

Systemleverantörerna erbjuder ofta automatiska uppdateringstjänster. Uppdateringarna hämtas från leverantören och installeras ofta direkt i företagets system. Eftersom det tar tid att verifiera varje ändring får företaget väga risk mot enkelhet. Fungerar inte en uppdatering så går det alltid att backa tillbaka till föregående systemkonfiguration om systeminformationen sparats.

Vissa företag har specialiserat sig på att utifrån det system och den utrustning företaget har leta reda på säkerhetsuppdateringar och leverera dem som en tjänst. Samma riskbedömning som när det gäller övriga uppdateringstjänster måste göras.

Se även avsnittet Köpa säkerhetstjänster

Penetrationstester

Penetrationstester går ut på att försöka hitta och forcera det egna systemets säkerhetshål. Det är ofta att föredra att låta en extern part göra penetrationstester, eftersom det är svårt att hitta sina egna säkerhetshål. En rad företag har specialiserat sig på sådana tjänster. Penetrationstester bör göras efter stora systemförändringar men också efter en viss tid. De flesta system uppvisar sårbarheter eller brister som uppkommer när tekniken utvecklas, speciellt om företaget missar i sina rutiner för patchhantering och uppgradering. Någon gång årligen eller minst vartannat år bör penetrationstester genomföras. Det rekommenderas att ta referenser och begära metodbeskrivningar av leverantören så att testerna blir verkningsfulla. Beroende på verksamhetstyp kan man också behöva efterfråga olika typer av säkerhetsklassningar och –certifikat för de människor som ska utföra jobbet.

Anmäl dig till kursen

5. Skapa säkerhetskopior

En säkerhetskopia är en kopia av en fil eller andra data som sparas för att användas om originalet blir förstört eller förvanskat. Ofta används den engelska termen backup. Detta avsnitt ger tips på rutiner för säkerhetskopiering.

Säkerhetskopiering och test av återstart från säkerhetskopia bör genomföras regelbundet
I säkerhetsplanen ska det framgå

vad som ska kopieras
hur ofta kopiering ska ske
hur länge och på vilket sätt kopiorna ska lagras
om vissa kopior kräver särskilda förvaringsrutiner
hur kopiorna ska märkas och förtecknas

Säkerhetskopior med väsentlig information för verksamheten bör förvaras i säkerhetsskåp

Skydd av data

Det finns flera orsaker till att information som är lagrad i ett datorsystem kan förstöras eller förvanskas. Att drabbas av en hårddiskkrasch eller virus kan innebära att all data som lagrats försvinner. Andra hot är stöld, brand, översvämning och åsknedslag. Även misstag av den som använder systemet kan få förödande konsekvenser. Att spara en kopia av den information som finns lagrad är därför en viktig säkerhetsåtgärd.

Rutiner

Vanligtvis är det systemägaren, tillsammans med verksamhetsansvarig, som ansvarar för att fastställa reglerna för säkerhetskopiering av information. Rutinerna bör vara nedtecknade i ett dokument och man bör se till att flera personer i organisationen kan utföra arbetet. Rutinerna bör också vara så enkla och regelmässiga som möjligt för att undvika slarv.

Hur ofta säkerhetskopieringen ska genomföras bestäms av hur aktuell säkerhetskopian måste vara när förlorad information ska återskapas. Om samma rutin ska användas för flera IT system är det viktigt att intervallet för säkerhetskopiering utgår från den verksamhet som har de högst ställda kraven på informationens aktualitet.

Av rutinerna för säkerhetskopiering ska det framgå vad som ska kopieras. För att kunna bedöma vilken information som ska säkerhetskopieras bör informationen klassas. Klassningen bör utgå från verksamhetens krav och det värde som informationen har för verksamheten samt gällande lagar och föreskrifter. Även andra intressenters krav bör beaktas.

Det är en bra rutin att göra regelbundna totalbackuper och att däremellan göra backuper på den information som har förändrats sedan det senaste kopieringstillfället. Tänk även på att säkerhetskopiera information som finns på bärbara datorer som inte är anslutna till något nätverk.

Det är viktigt att regelbundet kontrollera om det är något lagrat på säkerhetskopiorna och om det går att återskapa systemet med hjälp av kopian. Vid testerna kan man upptäcka felaktigheter i kopian som gör det omöjligt att återskapa systemet från kopian. Man bör också testa hur lång tid det tar att göra en återstart. I många fall är det viktigt att snabbt få upp systemet igen och då är det bra att ha inövade rutiner för att återstarta systemet från säkerhetskopian.

Tänk på att markera kopiorna med systemtillhörighet och en unik identitetsuppgift så att kopiorna inte förväxlas.

Förvaring

Vilken förvaring som krävs beror på hur känslig informationen är samt vilka konsekvenser en informationsförlust kan få. Förvaringen kan exempelvis ske i ett säkerhets- eller värdeskåp som endast behöriga personer har tillgång till. De datamedia som säkerhetskopiorna förvaras på är ofta känsliga för värme och rök och bör därför lagras på en brandskyddad plats, exempelvis i ett brandskyddat säkerhetsskåp.

Säkerhetskopiorna bör förvaras på en annan plats än där det kopierade filsystemet normalt finns. Om kopian förvaras nära, eller tillsammans med originalet är det stor risk att även kopian förstörs vid en brand eller stjäls vid ett inbrott.

Filer med särskilt känslig information bör krypteras om de ska förvaras på okontrollerade platser eller transporteras på osäkert sätt.

Anmäl dig till kursen

6. Ansluta på distans

Allt fler anställda erbjuds möjligheten att arbeta på distans, antingen från hemmet eller vid affärsresor. Hanteringen av den utrustning som används bör regleras och en säker uppkoppling till företagets eller organisationens nätverk är en förutsättning för att distansarbete ska fungera säkert. Detta avsnitt pekar på vilka risker som är förknippade med distansanslutning och vad man kan tänka på för att minimera dessa risker.

• Skapa policy för användning av datorer på distans

• Ge anställda tydliga instruktioner

• Ställ krav på användarna

• Kryptera känslig lokal information

• Uppdatera lokalt antivirus- och brandväggsskydd

• Uppdatera lokala program

• Säkerhetskopiera

• Kryptera hela anslutningen

• Skapa betryggande autentiseringslösning

Risker vid distansanslutning

De största riskerna är att obehöriga försöker använda den befintliga distansuppkopplingen för att göra intrång i företagets system och att användarens beteende skapar säkerhetsproblem, till exempel genom att inte skydda sig mot skadlig kod. En stor risk är att den anställde använder den bärbara datorn på ett vårdslöst sätt eller i miljöer där den kan utsättas för intrång och sedan ansluter den, på distans eller direkt i företagsnätverket. Då finns risken att skadlig kod sprids – innanför brandväggar och andra säkerhetssystem.

Kontroll över utrustningen

Säkerhetsarbetet underlättas betydligt om de anställda utrustas med datorer från sin arbetsgivare, och samtidigt får ta del av policy för konfiguration och regelverk för privat användning. På så sätt har IT-avdelningen kontroll över vilka program som används på datorn, vilket gör administrationen lättare. Det gör också att IT-avdelningen kan ställa större krav på användarna. Sådana krav kan vara att:

Datorn ska förvaras på ett betryggande sätt
Användaren inte själv får installera program på datorn
Datorn endast får användas i tjänsten
Ingen konfidentiell information får lagras i datorn, utan ska sparas över på arbetsgivarens nätverk där den kan säkerhetskopieras.
Användaren i de fall det inte sker automatiskt gör regelbundna uppdateringar av antivirusprogram.

Företaget bör ha en policy för utrustning och användning vid distansarbete och kan också skriva avtal med användarna om hur datorn får användas.

Skydd av lokal information

Man kan välja att kryptera delar av informationen eller hela datorns hårddisk för att skydda den lagrade informationen vid stöld.

Hantering av lokala program

De datorer som befinner sig utanför organisationen bör utrustas med personlig brandvägg och lokalt antivirusprogram. Dagens brandväggslösningar kan konfigureras så att de lokala brandväggarna tar emot nya regelverk från moderbrandväggen i det centrala nätverket när datorn ansluts. Antivirusprogrammet bör vara inställt så att det hämtar uppdateringar automatiskt, utan att användaren behöver göra något. Större företag kan använda centrala brandväggar och antivirusprogram som kommunicerar med de lokala datorerna.

Uppdateringar av program kan kompliceras genom att distansanvändarna ansluter till det centrala nätverket med uppkopplingar med olika hastighet. Modemanslutningar kan vara för långsamma för att ta emot större uppdateringar och då får IT-avdelningen antingen ta in datorerna och göra uppdateringar eller skicka ut uppdateringar på cd eller diskett.

Säkerhetskopiering

Genom att ha som policy att all känslig information ska sparas på centrala servrar kan även distansanvändares data säkerhetskopieras på samma sätt som övrig information. Olika leverantörer har olika system för säkerhetskopiering av informationen på den lokala datorn. Det gäller att välja en lösning som passar företaget eller organisationen.

Anslutning och informationsöverföring

Den vanligaste tekniken för säker distansanslutning är VPN-tekniken. Äldre lösningar som egna modempooler på företag håller på att fasas ut till förmån för VPN, som utnyttjar det publika Internet för att transportera information. VPN-tekniken innebär att en ”tunnel” mellan två anslutningspunkter upprättas och att informationen som skickas i tunneln krypteras och därmed skyddas från obehörig avlyssning.

Det finns ett stort antal lösningar som använder VPN-teknik och ett baskrav kan vara att hela anslutningen ska vara krypterad.

Autentisering

En nyckelfråga vid anslutning på distans är att det finns betryggande system som förhindrar obehöriga från att kunna ansluta till företagets nätverk. Det finns flera metoder för att autentisera användaren vid distansanslutning: till exempel via lösenord eller genom olika typer av PKI-lösningar (det vill säga digitala certifikat). Säkerheten är högst med PKI-lösningar, medan enkel lösenordsautentisering är mest sårbar. Det har hittills varit komplicerat att bygga in PKI-lösningar i systemen men utvecklingen visar att dessa lösningar blir allt vanligare. Ett råd är att använda någon av de standardlösningar för autentisering som marknaden erbjuder.

I avsnittet E-identifiering och transaktioner finns mer information om de metoder för autentisering som kan vara aktuella.

Anmäl dig till kursen

7. Ansluta affärspartner

Företag vars verksamhet på något sätt är beroende av operativt samarbete med andra, till exempel underleverantörer i en tillverkningsprocess, vill ofta skapa kopplingar till sin partners IT-system. Kopplingar till lager-, inköps- och ekonomisystem kan ge en smidig administration av tillverkningsprocessen. Kommunikation av känslig data mellan företagen kan också skyddas genom att man upprättar väl kontrollerade förbindelser mellan IT-systemen. Detta avsnitt ger en kort introduktion till olika sätt att koppla ihop sig med leverantörer eller partners.

• Säkraste sättet att koppla samman företag är genom direkta förbindelser

• Om det publika Internet används måste förbindelsen krypteras

• Ha en tillförlitlig autentiseringsform

• All kritisk information ska krypteras, oavsett typ av förbindelse

• All trafik ska gå genom brandväggen

• Ju mer företaget kan kontrollera förbindelsen desto säkrare är den – till exempel kan företaget köpa in och installera den utrustning som ska finnas hos partnern

• Ställ krav på den del av partnerns IT-miljö som är kopplad till företaget och kontrollera att den inte förändras

• Avtala med partnern om hur förbindelsen ska användas samt om ansvarsfrågor

Via det publika nätet

Grundläggande säkerhetskrav för alla externa förbindelser är att det ska finnas en tillförlitlig autentiseringsform, oavsett vilka resurser som man ska dela ut tillgång till, och att den information som klassats som kritisk ska vara krypterad vid överföringen oavsett typ av förbindelse. Alla förbindelser som använder det publika Internet bör vara krypterade. All trafik bör också gå genom brandväggen.

Det publika Internet kan användas för att koppla samman företag. För att uppfylla grundläggande säkerhetskrav måste förbindelsen då krypteras. VPN-tekniken kan användas för att skapa en krypterad förbindelse, en virtuell tunnel via Internet. Denna lösning är billigare, och ger en relativt god säkerhet för normala affärstransaktioner om krypteringen är tillräckligt stark.

Många företag använder också extranät för kommunikation med underleverantörer eller kunder. Extranätet är en skyddad webbplats. En sådan lösning bör skyddas av autentisering, minst via lösenord men gärna med hjälp av starkare autentiseringsformer. Man kan kombinera detta med att se till att de IP-adresser som är tillåtna filtreras till det nätsegment där extranätet finns.

I avsnittet Regler för infrastruktur, finns mer information om hur de delar av företagets IT-system som kommunicerar med Internet kan skyddas.

Punkt-till-punkt-förbindelser

När ett företag och dess underleverantör endast kommunicerar sinsemellan, och inget behov finns för att underleverantörer ska ha kontakt med varandra kan man upprätta en punkt-till-punktförbindelse. Denna kan upprättas med hjälp av många olika tekniker, till exempel VPN, MPLS, hyrda förbindelser, Frame Relay, ISDN.

Viktigt att betona när det gäller MPLS-tekniken är att det är en form av "alla-till-alla"-kommunikation. Man bör därför noggrant överväga om alla partners ska kunna nå alla noder i nätet och säkerställa att all trafik passerar genom någon form av säkerhetskontroll.

Dessutom kan man använda modempooler som underleverantören får ringa upp. Den sistnämnda tekniken blir dock allt mindre vanlig.

Större företag kan använda flera av dessa tekniker samtidigt, och valet av teknik beror ofta på pris och tillgänglighetskrav.

Kontroll över förbindelsen

Idealet för ett företag som vill kontrollera sina externa förbindelser med partners är att självt äga förbindelsen, det vill säga att tillhandahålla och installera den utrustning som finns hos underleverantören och handla upp själva förbindelsen. På så sätt kan man säkerställa att utrustningen lever upp till de krav företaget ställer på sin IT-miljö, och att endast de programvaror som är tillåtna används, samt att förbindelsen har en tillgänglighet som bedömts som tillräcklig. Även om företaget inte har möjlighet att köpa in och installera partnerns utrustning kan man ställa krav på att partnerns IT-miljö uppfyller de krav som finns fastställda i företagets egen IT-policy.

Det finns möjlighet att ställa andra krav på underleverantörernas miljö – till exempel att utrustningen ska vara inlåst och passerkortsskyddad och att utrustningen inte ska vara kopplad till något annat nätverk än partnerns. Där behov av koppling till andra nätverk finns kan en särskild brandvägg sättas upp.

Möjligheten finns att avskilja den del av IT-miljön som kommunicerar med partners med hjälp av segmentering, till exempel genom att sätta upp en DMZ. (Se avsnittet Regler för infrastruktur).

Avtal och certifiering

Parterna bör avtala om hur förbindelsen ska användas och utrustningen hanteras. Det kan gälla till exempel vilka applikationer som får köras och vilka regler som ska finnas i brandväggen. Speciallösningar kan ibland vara nödvändiga och dessa bör noggrant regleras i avtal. Ansvarsfrågorna är också viktiga att reglera. En lösning för att öka kontrollen över hur underleverantörer hanterar säkerheten är att skapa ett certifieringsprogram för att utbilda leverantören. I programmet kan uppföljningar i form av besök hos underleverantören för att kontrollera att IT-utrustningen inte ändrats ingå.

Anmäl dig till kursen

8. Skydda mot skadlig kod

Att skydda sig mot skadlig programkod kan liknas vid ett evighetsarbete, eftersom hundratals nya exempel på skadlig kod dyker upp varje år. Skyddet bör anpassas efter vilka skador ett angrepp kan förorsaka. Detta avsnitt ger tips på förebyggande arbete och på vad man kan göra när man drabbats.

De typer av åtgärder som ett företag eller en organisation kan vidta bidrar till att:

förebygga smitta
upptäcka skadlig kod
förhindra smittspridning
återställa smittade system

• Uppdatera antivirusskyddet

• Se till att hela nätverket lever upp till en grundläggande skyddsnivå

• Filtrera bort misstänkt trafik

• Uppdatera brandvägg och program

• Säkerhetskopiera

• Isolera den skadliga koden genom att segmentera nätverket eller genom att dra ut nätverkssladdar

• Ta reda på så mycket som möjligt om den skadliga koden och använd verktyg från leverantören av antivirusskydd för att rensa drabbade system

• I sista hand – återställ systemet från säkerhetskopior

Förebygga smitta och upptäcka skadlig kod

Antivirusskyddet ska hållas uppdaterat. Det är svårt att ge ett generellt råd om hur ofta man aktivt ska uppdatera sitt system. Krisberedskapsmyndigheten ger i sin skrift Basnivå för IT-säkerhet rådet att uppdatera minst en gång per vecka. Antivirusskyddet skyddar endast mot gammal skadlig kod, det vill säga kod som är känd sedan mer än några timmar. Det är en fördel om det uppdaterade antivirusskyddet kan ”pushas” ut till alla klienter, så att alla delar av nätverket har samma skyddsnivå.

Använd gärna antivirusskydd från flera leverantörer i större organisationer. Antivirusprogram bör också installeras på flera ställen i IT-miljön. Programmen kan vara aktiva eller passiva. De aktiva programmen startas automatiskt, till exempel när användaren loggar på sin dator, medan de passiva kan aktiveras vid speciella tidpunkter för att göra schemalagda körningar.

Det är viktigt att se upp när systemunderhåll eller till exempel planerade och oplanerade återstarter sker. Risken är att antivirusskyddet då går tillbaka till en gammal skyddsnivå och de senaste uppdateringarna tappas bort.

Man bör också skilja på antivirusskyddet och rena filterfunktioner. Redan med enkla filter kan filer med ”misstänkta” ändelser (till exempel .exe, .vbs, .shs, .pif) filtreras bort. Vid större utbrott av e-postspridd skadlig kod kan filtreringen ske på ämnesraden i meddelandet och om samma avsändare under längre tid skickar smittade filer kan denna avsändare blockeras.

Antivirusskyddet är som sagt inte ett heltäckande skydd. Det bör kompletteras med till exempel ett uppdaterat brandväggsskydd, regelbundet införande av säkerhetsuppdateringar till det program som används samt att det finns tydliga policies som styr hur användarna och personalen ska agera. Dessutom ska informationen skyddas med hjälp av genomtänkta rutiner för säkerhetskopiering.

Förhindra smittspridning

Det är mycket svårt att stoppa spridning om organisationen drabbats av skadlig kod, eftersom det som den skadliga koden ställer till med i nätverket ofta uppfattas som legitim trafik av de brandväggar som finns installerade. Antivirusskydd på alla system är en säkerhetsåtgärd som kanske inte kan ta bort den skadliga koden om den är hittills okänd, men ofta är koden en variant av ett redan känt virus. I så fall kan antivirusskyddet känna igen virustypen, larma och låsa systemets filer.

En möjlighet för att begränsa skadeverkningarna om organisationen drabbats av skadlig kod är att dela upp nätverket i mindre enheter eller segment och snabbt stänga av kopplingarna mellan segmenten, så att en attack endast drabbar en begränsad del av nätverket.

En handgriplig metod för att stoppa ett virus är att dra ut de drabbade servrarnas nätverkssladdar och på så sätt förhindra spridning – alternativt att göra samma sak på de servrar som inte drabbats och som man vill skydda.

Återställa det smittade systemet

Om skadlig kod varit aktiv i organisationens nätverk bör man ta reda på så mycket som möjligt om viruset och kontakta sin leverantör av antivirusskydd för att få tillgång till de verktyg som krävs för att rensa systemet från virus.

Leverantörens information kan till exempel visa vilka plattformar som angrips av viruset, vilket kan ge vägledning om vilka system som måste rensas.

En sista utväg är att återställa hela systemet från säkerhetskopior. Detta är en omständlig procedur. Idag finns bra system för säkerhetskopiering som regelbundet tar ögonblicksbilder (snapshots) av systemet. Denna typ av backupsystem är i praktiken mest tillgängliga för stora och resursstarka organisationer.

Anmäl dig till kursen

9. Hantera IT-incidenter

En IT-miljö kan hotas av såväl oavsiktliga som avsiktliga händelser. En definition av en IT-incident är att det är en möjlig, oönskad händelse som kan vara avsiktlig eller oavsiktlig (källa: KBM). Oavsiktliga händelser kan vara av typen bränder, elfel, maskinvarufel medan de avsiktliga händelserna handlar om att någon har för avsikt att göra något som påverkar IT-miljön negativt. Denna typ av incidenter kan handla om att någon försöker förändra information, forcera systemets säkerhetsfunktioner, få tillgång till information, störa informationsförsörjningen, förstöra information, manipulera information, stjäla maskin- eller programvara eller olovligt utnyttja IT-resurser.

· Behåll lugnet, var eftertänksam inför varje handling.

· Analysera och förstå situationen och incidentens omfattning.

· Handla inte på eget bevåg.

· Var försiktig vid efterforskning och kontroll.

· Begränsa och kontrollera informationsspridning.

· För anteckningar och se till att alla viktiga steg och händelser dokumenteras.

· Prioritera arbetet efter vad som sägs i policy och andra kravdokument.

· Använd säkra kommunikationssätt.

· Lokalisera källorna till problemet, inte symptomen, och eliminera dessa.

· Utvärdera, analysera och lär av det inträffade.

Planerad IT-incidenthantering

En organisations förmåga att förbereda sig inför och reagera på incidenter kan förbättras genom att incidenthanteringen blir en naturlig del i IT-säkerhetsarbetet.

Den del av IT-verksamheten som står för incidenthanteringen håller reda på vilka hot och risker som finns, den begränsar skadorna vid incidenter och förhindrar olika former av ryktesspridning om inträffade incidenter.

Rutiner ska finnas fastlagda för hur användare ska reagera vid misstanke om intrång, hur incidenter ska hanteras och hur uppföljningen av incidenter ska ske. Utsedda ansvariga ska finnas i alla led så att värdering kan göras och beslut kan fattas.

Sveriges IT-incidentcentrum, Sitic

PTS driver Sveriges IT-incidentcentrum, Sitic, som stödjer samhället i arbetet med skydd mot IT-incidenter. Sitic tillhandahåller ett system för informationsutbyte om IT-incidenter mellan samhällets organisationer, och kan snabbt sprida information och råd och ge ut statistik.

På Sitics webbplats www.sitic.se

finns information om incidenthantering och länkar till handböcker och styrdokument i frågan.