På Fortnox finns säkerhetstänket med på alla nivåer

– Vi märker det tydligt. När effekterna av de här attackerna kryper allt närmare individen och påverkar både staten och kända aktörer får vi fler frågor, säger Peter Hall, Head of IT and Operations.

Han fortsätter:

– Med tanke på mängden information som finns där ute, det oroliga världsläget och uppfinningsrikedomen bland dem som ligger bakom, finns det inget som tyder på att problemen kommer att minska. Snarare tvärtom. Sätten angriparna jobbar på och attackerar olika system ändras hela tiden.

Övervakning 24/7

Peter berättar att Fortnox har ett helt team som enbart jobbar med informations- och cybersäkerhet och att medarbetarna där har en genomsnittlig yrkeserfarenhet på 12 år. Samtliga nätverk och system övervakas 24/7 via ett Security Operations Center (SOC) för att upptäcka eventuella incidenter.

– Vi jobbar systematiskt och riskbaserat. Siktet är inställt på att minimera riskerna eftersom de inte går att eliminera. Därför är det här ett arbete som aldrig blir klart. Metoden är säkerhet i lager på lager, som hela tiden kompletteras och utvecklas för att matcha kreativiteten hos de som planerar och utför cyberattackerna.

– Med olika lager som skyddar oss är syftet att förhindra och fördröja eventuella attacker och – om något skulle hända – både upptäcka och respondera i tid. Då ska vi snabbt kunna säkra driften och upprätthålla kontinuiteten, säger Peter.

Gedigen återställningsplan

Därför finns såväl säkra backuper ner på sekundnivå som en gedigen återställningsplan. Det är traditionella backuper på olika platser och även så kallad Air Gap Backup, en backup som inte kan raderas ens av Fortnox. Med en stabil organisation, där olika team löpande övar på att hantera olika situationer och scenarier kopplat till cyberattacker, är beredskapen för att snabbt kunna återställa driften och tillgängligheten god.

– Säkerhetstänket finns med på alla nivåer. Från säker kodning och testning av våra system, pentester och löpande kontroller av säkerheten till hur vi är organiserade och vilka regelverk, policys och riktlinjer vi har och jobbar efter, berättar Peter.

De vanligaste angreppen mot organisationer i dag är ransomware- och supply chain-attacker. Ransomware är när skadlig kod krypterar och låser filer och angriparen kräver en lösensumma av ägaren för att låsa upp dem och ge dem tillbaka. I en supply chain-attack riktar angriparen i stället in sig på mindre säkra delar av it-leveranskedjan, det kan vara både hård- och mjukvara, alltid med målet att skada.

– Samtidigt som dagens läge kan kännas nedslående, händer det också positiva saker kopplat till cyberkriminalitet. Att det kommer ny lagstiftning på området – Dora, Nis 2, Cyber Resilience Act och Cyber Security Act – gör att frågorna nu är uppe på bordet och förhoppningsvis kan bidra till att göra skillnad framåt, säger Peter.

Mänskliga faktorn

Parallellt med det som görs på samhällsnivån och systemleverantörssidan har enskilda individer också ett ansvar för IT-säkerheten.

– Så är det. I det här fallet är vi människor den svagaste länken. Därför finns det mycket som både redovisningsbyråer och företagen kan göra själva för att motverka attacker och läckor, avslutar Peter Hall.

IT-säkerhet – 5 tips för din byrå

1. Uppdaterade system

Se till att datorer, servrar, brandväggar och tredjepartsprogram alltid har den senaste säkerhetsuppdateringen. Att vissa system och hårdvaror inte behöver uppgraderas är en myt och det finns alltid en risk med att inte installera de senaste säkerhetsuppdateringarna.

2. Antivirusprogram

Skaffa ett bra antivirusprogram – eller helst antingen XDR (Extended detection and response) eller EDR (Endpoint detection and response). Se även till att ha någon som kollar på eventuella larm, en tjänst som det kan vara värt att köpa in.

3. Multifaktorautentisering

Det är inte ovanligt att lösenord läcker. Genom att ha multifaktorautentisering (MFA) på alla inloggningar där det finns möjlighet höjer du skyddet mot obehöriga inloggningar rejält.

4. Lösenordspolicy

Ju längre ett lösenord är, desto mer säkert är det. Innehåller det även versaler, specialtecken och/eller siffror är det ännu svårare att knäcka. Sätt upp en lösenordspolicy för hur medarbetarnas lösenord ska se ut, att de ska vara olika för olika inlogg, hur ofta de ska bytas – och säkerställ att policyn följs.

5. Utbilda användarna

Genom att utbilda användarna så att de kan identifiera till exempel phishing-mail och konstiga länkar blir de mer på tårna och kan ifrågasätta om avsändaren är verifierad eller om den bifogade filen ser suspekt ut.