Du blir ikke valgt ut. Du blir funnet.

Hvorfor ingen er for små til å bli funnet, og hvorfor det grunnleggende betyr mer nå enn før.

Tirsdag 27. oktober gjorde Nasjonal sikkerhetsmyndighet noe de aldri har gjort før. De gikk ut offentlig med et nasjonalt cyberrisikonivå, og satte det til HØYT. Jeg ble sittende og tenke litt etter at jeg hadde lest det.

Overrasket var jeg egentlig ikke. Vi som jobber med IT ser jo at angrepene blir flere og bedre laget. Men det er noe annet når NSM skriver svart på hvitt at antallet vellykkede angrep mot norske virksomheter er tredoblet på et halvt år. Tredoblet. Det er mye.

Normalen er allerede at noen prøver

Det er én ting i artikkelen jeg har tenkt mest på. NSM har en skala fra «svært lav» til «ekstremt høy», og normalen er moderat. Altså regner NSM med at noen prøver seg mot norske virksomheter selv på en helt vanlig dag. Nå er vi et hakk over det igjen.

Vi blir mer digitale for hver dag som går, og det er stort sett bra. Men det gjør oss også mer sårbare, og det tror jeg mange glemmer litt i en travel hverdag.

Hjelm og refleksvest

Jeg pleier å sammenligne det med sykling. Med refleksvest blir du sett, så sjansen for at noe skjer blir mindre. Med hjelm går det bedre hvis det skjer likevel. Ingen av delene er noen garanti, men jeg kjenner ikke mange som sykler hjem i novembermørket uten.

Sånn er det med IT-sikkerhet også. Noe handler om å gjøre det vanskeligere å komme inn, som god innlogging og utstyr som er oppdatert. Annet handler om å tåle et smell hvis noen kommer inn likevel. Har dere en backup som faktisk fungerer? Vet dere hva dere gjør hvis det smeller? De fleste tenker mest på det første, men jeg tror det andre er like viktig.

«Vi er for små til å være interessante»

Den hører jeg ofte, og jeg skjønner godt hvor den kommer fra. Men sånn fungerer det sjelden. De fleste angrep er ikke rettet mot noen spesielle. Det er verktøy som går gjennom internett døgnet rundt og leter etter dører som står på gløtt, og de bryr seg ikke om hvem som eier døra. NSM skriver også at kunstig intelligens kan finne svakheter raskere enn mennesker, og at det er med på å trekke risikoen opp.

Så du blir ikke nødvendigvis valgt ut. Du blir funnet.

Du er en døråpner

Det jeg tror flest undervurderer, er tilliten. Kundene dine åpner e-postene du sender. Leverandørene betaler fakturaene dine uten å stille så mange spørsmål. Det er jo bra, helt til noen andre får tak i e-postkontoen din.

For da kommer den falske fakturaen fra din ekte adresse, til folk som kjenner deg. Den er mye vanskeligere å avsløre enn en e-post fra en ukjent avsender. Og da er det ikke bare du som blir rammet. NSM trekker selv fram leverandørkjeden som et svakt punkt, og jeg skjønner godt hvorfor.

Så selv om dere tenker at det ikke er noe å hente hos dere, kan det hende de ikke er ute etter dataene deres i det hele tatt. Det kan like gjerne være tilliten andre har til dere.

Det grunnleggende er ikke nytt, men det må gjøres

Heldigvis sier NSM selv at rådene ikke er nye. Det er ikke snakk om dyre systemer eller avanserte løsninger. Det handler om grunnmuren, og den får de fleste til, også små bedrifter.