Cybersikkerhed handler ikke om at ligne en bank. Det handler om at vise kunderne, at du har styr på de grundlæggende processer omkring data, adgang og hændelser. Man bør fra starten få cybersikkerhed indarbejdet som en naturlig del af virksomhedskulturen. For mange startups bliver cybersikkerhed først en prioritet, når den første større kunde begynder at […]
Cybersikkerhed handler ikke om at ligne en bank. Det handler om at vise kunderne, at du har styr på de grundlæggende processer omkring data, adgang og hændelser. Man bør fra starten få cybersikkerhed indarbejdet som en naturlig del af virksomhedskulturen.
For mange startups bliver cybersikkerhed først en prioritet, når den første større kunde begynder at stille spørgsmål.
Har I multifaktor-login? Hvordan håndterer I sikkerhedshændelser? Er I ISO 27001-certificerede? Har I en SOC 2-rapport? Hvad sker der med vores data, hvis en medarbejder forlader virksomheden?
På det tidspunkt er det ofte for sent – og så mister man en potentiel kunde.
Husk en risikoanalyse
Anders Bryde Thornild er Head of Marketing hos sikkerhedsspecialisten Cyberpilot. Han mener, at man som founder af et nyt startup bør huske, at man ikke kan have styr på alt fra start.
”Få styr på det fundamentale først,” siger han og uddyber:
”Det kan være ting som SSO, to-faktor, password managers, backups mm. Men det afhænger alt sammen af, hvad din forretning laver, og hvordan den er bygget op. Derfor vil det også altid være en god ide, at starte med en risikoanalyse, hvor man kortlægger, hvad ens risici er.”
Hvad er vigtigst?
”Det vigtigste er, at du først fokuserer på det, der skaber størst værdi for dig. Derfor er en risikoanalyse en god start, da det sikrer, at du bruger kræfterne bedst muligt via en risikobaseret tilgang,” siger Anders Bryde Thornild.
Komplekst trusselsbillede
Samtidig bliver trusselsbilledet stadig mere komplekst. Nye tal fra cybersikkerhedsvirksomheden ESET viser, at kun 21 procent af danske virksomheder helt eller delvist outsourcer deres cybersikkerhed.
Resten håndterer området internt, selv om moderne cybertrusler kræver specialiseret viden, løbende overvågning og konstant opmærksomhed. Ifølge ESET kan det være problematisk, hvis virksomheder overvurderer deres egne ressourcer og kompetencer på området.
Undersøgelsen viser også, at cybersikkerhed hos mange virksomheder blot er en del af it-afdelingens øvrige ansvar. Konsekvensen kan være, at sikkerhedsarbejdet drukner mellem supportopgaver, driftsproblemer og produktudvikling.
For startups er udfordringen endnu større. De færreste har råd til et dedikeret sikkerhedsteam, og de fleste founders har vigtigere ting at bruge tiden på end at læse hundredvis af sider compliance-dokumentation.
Den gode nyhed er, at det sjældent er nødvendigt. Hvis du driver en dansk B2B SaaS-virksomhed og er på vej mod større kunder, er der et relativt begrænset sæt af sikkerhedstiltag, som vil bringe dig langt.
Hvornår bliver cybersikkerhed et problem?
Mange startups tror fejlagtigt, at cybersikkerhed først bliver relevant, når virksomheden når 50 eller 100 medarbejdere. Men behovet opstår ofte langt tidligere – typisk i takt med at kunderne bliver større, og kravene til dokumentation stiger.
For de fleste B2B SaaS-virksomheder kommer det første møde med cybersikkerhed ikke i form af et hackerangreb, men som en del af salgsprocessen.
En potentiel kunde vil måske se dokumentation for jeres sikkerhedsarbejde, en investor spørger til risikostyring, eller en enterprise-kunde sender et omfattende security questionnaire som led i deres leverandørgodkendelse. Det kan også være en offentlig kunde, der efterspørger dokumentation for informationssikkerhed
I den situation er det sjældent avancerede tekniske kontroller, der afgør sagen. Det handler først og fremmest om at kunne dokumentere, at virksomheden arbejder struktureret med sikkerhed og har styr på de grundlæggende processer.
De fem vigtigste ting at få på plads
Hvis ressourcerne er begrænsede, er der ingen grund til at forsøge at implementere alt på én gang. De fleste sikkerhedsproblemer kan reduceres markant med nogle få relativt enkle tiltag, som både kunder og sikkerhedseksperter forventer er på plads.
1. Multifaktor-login på alle kritiske systemer
Hvis en medarbejders adgangskode bliver kompromitteret, er multifaktor-login ofte den vigtigste barriere mod et egentligt sikkerhedsbrud. Derfor bør det være aktiveret på alle kritiske systemer, herunder e-mail, cloud-platforme, CRM-systemer, kode-repositories og administrative konti.
MFA (Multi-Factor Authentication) betyder således, at brugeren skal bekræfte sin identitet med mere end et password, eksempelvis via en autentifikator-app, SMS-kode eller sikkerhedsnøgle.
2. En password manager
Overraskende mange virksomheder opbevarer stadig adgangskoder i delte dokumenter eller regneark. En password manager gør det muligt at generere stærke unikke adgangskoder og dele dem sikkert internt. Det er en af de billigste og mest effektive sikkerhedsforbedringer, en startup kan implementere.
3. Styr på adgangsrettigheder
En klassisk fejl i vækstvirksomheder er, at tidligere medarbejdere fortsat har adgang til systemer længe efter deres afgang. Derfor bør der være en enkel proces for oprettelse, ændring og lukning af brugeradgange.
Det behøver ikke være kompliceret. Det vigtigste er, at nogen har ansvaret, og at der findes en fast procedure, hver gang en medarbejder starter eller stopper.
4. Backup og gendannelse
Backup er kun værdifuldt, hvis det virker. Derfor bør virksomheden ikke blot tage backup af sine data, men også regelmæssigt teste, om data faktisk kan genskabes inden for en rimelig tidsramme.
Mange virksomheder opdager først problemer med deres backup, når de får brug for den. På det tidspunkt er det for sent.
5. En plan for sikkerhedshændelser
Ingen virksomhed er immun over for fejl, nedbrud eller cyberangreb. Det afgørende er derfor ikke, om noget går galt, men hvordan virksomheden reagerer, når det sker.
En Incident Response-plan beskriver, hvordan virksomheden opdager, håndterer og kommunikerer sikkerhedshændelser såsom databrud, ransomware-angreb eller kompromitterede brugerkonti.
Dokumenterne kunderne forventer
Mange founders forestiller sig, at enterprise-kunder forventer mapper fyldt med politikker og compliance-dokumenter. I praksis er kravene ofte langt mere jordnære. Kunderne vil først og fremmest se, at virksomheden har tænkt over sikkerheden og kan dokumentere sine vigtigste processer.
De fleste større kunder forventer typisk at se:
• informationssikkerhedspolitik
• adgangspolitik
• passwordpolitik
• Incident Response-plan
• databehandleraftale
• leverandørpolitik
Det vigtigste er ikke længden på dokumenterne, men at de afspejler den måde, virksomheden faktisk arbejder på. En sikkerhedspolitik på fire sider, som alle følger, er ofte mere værd end et dokument på 80 sider, som ingen læser.
SOC 2 eller ISO 27001?
På et tidspunkt vil kunder begynde at spørge efter SOC 2 eller ISO 27001. Det får mange startups til straks at undersøge certificeringsprojekter til flere hundrede tusinde kroner. Men for langt de fleste virksomheder er det ikke det første sted, man bør bruge sine ressourcer.
SOC 2 er en amerikansk revisionsstandard, som dokumenterer virksomhedens sikkerhedskontroller og processer. Den anvendes især af amerikanske SaaS-virksomheder og efterspørges ofte af amerikanske kunder.
ISO 27001 er en international standard for ledelse af informationssikkerhed. Den anvendes bredt i Europa og blandt større virksomheder samt offentlige organisationer.
Som tommelfingerregel spørger amerikanske kunder oftere efter SOC 2, mens europæiske virksomheder typisk er mere fortrolige med ISO 27001. Uanset hvilken standard der senere bliver relevant, er det afgørende, at de underliggende processer allerede er på plads. Certificeringen kommer som regel bagefter.
Hvad betyder NIS2 for startups?
NIS2 er blevet et af de mest omtalte begreber inden for cybersikkerhed i Europa, og mange founders frygter, at direktivet automatisk pålægger dem omfattende nye krav.
Så enkelt er det dog ikke.
NIS2 er EU’s direktiv om cybersikkerhed, som stiller skærpede krav til sikkerhedsarbejde, risikostyring og hændelsesrapportering hos kritiske og samfundsvigtige virksomheder.
Langt de fleste startups er ikke direkte omfattet af NIS2. Til gengæld vil mange af deres kunder være det. Derfor vil kravene ofte bevæge sig ned gennem leverandørkæden, hvilket betyder, at kunder kan begynde at stille spørgsmål om risikostyring, leverandørkontrol, sikkerhedspolitikker, beredskabsplaner og adgangsstyring.
For mange startups bliver NIS2 derfor først og fremmest et kommercielt spørgsmål. Hvis kunderne er underlagt kravene, vil de også forvente dokumentation fra deres leverandører.
Når kunden sender et security questionnaire
Mange founders får et mindre chok, første gang de modtager et Excel-ark med hundredvis af sikkerhedsspørgsmål. Men der er gode nyheder: De fleste spørgsmål går igen.
Typisk handler de om:
• kryptering
• adgangsstyring
• backup
• logging
• sårbarhedshåndtering
• Incident Management
• databeskyttelse
Derfor kan det betale sig at opbygge et internt dokument med standardsvar. Efter få kundeprocesser vil størstedelen af svarene kunne genbruges, hvilket både reducerer svartiden og gør salgsprocessen mindre smertefuld.
Hvad du ikke behøver på seed- eller Serie A-stadiet
Cybersikkerhed er et område, hvor mange startups risikerer at overinvestere for tidligt. Når man læser om sikkerhedsarbejde i store virksomheder, kan det være fristende at tro, at man skal bygge det samme setup.
Det er sjældent tilfældet.
Du behøver sandsynligvis ikke:
• en fuldtidsansat CISO
• et Security Operations Center
• døgnbemandet overvågning
• ISO 27001-certificering fra dag ét
• kvartalsvise penetrationstests til sekscifrede beløb
• omfattende governance-programmer
Kunderne forventer normalt ikke, at en startup ligner en global bank. De forventer, at virksomheden tager sikkerhed alvorligt og har styr på de mest grundlæggende kontroller. De større kunder leder efter tegn på modenhed.
Kan virksomheden kontrollere adgangen til data? Har den en plan, hvis noget går galt? Kan den dokumentere sine processer? Og tager ledelsen cybersikkerhed alvorligt?
Hvis svaret er ja, er du allerede langt. For cybersikkerhed for startups handler ikke om at implementere alt.
Det handler om at implementere det rigtige.
Læs mere: