Cybersäkerhetspolicyer: tre mallar för småföretag

De flesta småföretag vet ganska väl hur man ska bete sig med företagets datorer och konton. Nästan ingen har skrivit ner det. Det märks den dag en medarbetare slutar, en laptop blir stulen eller en kund vill veta vilka regler som gäller för deras uppgifter.

En policy är inte byråkrati i första hand. Brandväggsregeln och den skrivna regeln är samma beslut uttryckt två gånger: en gång i konfiguration, en gång i klartext. Saknas den skriftliga halvan finns det inget att hänvisa till när något går fel.

Här är tre policyer som täcker merparten av vardagen, med innehåll, ägare och granskningsfrekvens.

Varför policyn kommer före tekniken

Ni kan köpa brandvägg, slutpunktsskydd och säkerhetskopiering, och ni bör göra det. Men om en medarbetare återanvänder sitt privata lösenord i VPN:en eller kopplar in en oinkrypterad laptop i kontorsnätet finns ingen teknisk kontroll som räddar er – tekniken har inget regelverk att verkställa.

Policyn definierar också vad som är normalt. Utan en skriven bild av hur åtkomst och delning ska se ut går det inte att upptäcka avvikelser. Samma logik ligger bakom vår lista över tio tecken på att ett företag är komprometterat.

Vad en policy ska göra – och inte göra

Fyra till sex sidor räcker. Överst står version, datum, senast granskad, policyägare, godkännare och granskningsfrekvens – det som gör dokumentet trovärdigt om två år.

Texten ska svara på fem frågor: vem policyn gäller, vad som är tillåtet och förbjudet, vem som beviljar undantag och vad som händer vid överträdelse. Den sista saknas oftast – utan den är policyn en rekommendation.

Håll dokumenten åtskilda. En enda samling är besvärlig när revisorn efterfrågar just BYOD-policyn, och en ändring av lösenordsreglerna ska inte kräva nytt godkännande av allt.

Mall 1: Acceptabel användning

Dokumentet säger vad resurserna får användas till och var gränsen mot privatlivet går.

Omfattning. Anställda, konsulter, praktikanter och inhyrd personal, alla konton och enheter, även privat utrustning som används i tjänsten.

Tillåten användning. Verksamheten först. Begränsad privat användning tillåts om den inte stör arbetet, inte tar märkbar bandbredd och inte bryter mot resten av policyn. Skriv ut gränsen, annars gissar medarbetarna – åt olika håll.

Förbjudet. Programvara utan godkännande, delade kontouppgifter, kringgång av VPN eller antivirus, företagsdata till privat e-post, okända enheter i nätet och känsliga uppgifter i molntjänster ni inte godkänt.

E-post. Nätfiske rapporteras till en namngiven adress som bevakas. Automatisk vidarebefordran till extern adress är avstängd.

Datahantering. Klassa uppgifterna som öppna, interna, konfidentiella eller begränsade. Konfidentiellt material bara i godkända, krypterade system.

Övervakning. Skriv vad ni faktiskt gör, inte vad ni skulle kunna göra. Loggar ni e-post och filåtkomst ska det stå, och medarbetarna ska ha informerats i förväg.

Konsekvenser. En trappa som är känd i förväg: samtal och utbildning, skriftlig varning, indragen behörighet, uppsägning. Den måste tillämpas konsekvent, annars styr den ingenting.

Bekräftelse. Signeras vid anställning och därefter årligen. Listan med signaturer är det första revisorn frågar efter.

Mall 2: BYOD

Styr privata telefoner, surfplattor och laptops i arbetet. Den behövs även om ni inte uppmuntrar BYOD, för de flesta läser jobbmejl på sin privata telefon ändå.

Enheter. Operativsystem som fortfarande får säkerhetsuppdateringar. Jailbreakade eller rootade enheter tillåts inte.

Registrering. Enheten enrollas i MDM innan den får åtkomst. Ingen efterlevnad, ingen åtkomst.

Krav. Diskkryptering, skärmlås med PIN eller biometri, automatisk låsning efter fem minuter, inga sidoladdade appar, VPN på publika nät och MFA i alla företagsappar.

Data. Företagsdata tillhör företaget. Ingen synk till privata molnkonton, ingen lokal lagring utan kryptering.

Borttappad enhet. Anmäl till IT via telefonnummer, inte en e-postadress som ingen läser på kvällen. Företagets data fjärraderas och lösenorden byts.

Avslut. Företagsdata och appar tas bort, MDM-registreringen avslutas och åtkomsten stängs samma dag. Rutinen finns i vår checklista för avslut av anställda.

Integritet. Skriv exakt vad MDM ser: efterlevnad, operativsystemversion, kryptering och installerade företagsappar. Inte privata foton, meddelanden eller webbläsarhistorik. Stämmer det inte ska det inte stå i policyn.

Mall 3: Lösenord och flerfaktor

Många kör fortfarande krav på byte var nittionde dag och på versal, siffra och symbol. Det försvagar skyddet, eftersom människor byter ett tecken i slutet. Riktmärket är NIST SP 800-63B-4: längd slår komplexitet.

Längd. Femton tecken rekommenderas, åtta är minimum och sextiofyra är taket. Alla tecken och mellanslag tillåtna. »kaffe cykel dimma tjugo« slår »K4ff3!«.

Rotation. Byt vid misstanke om röjning, vid läckagebesked eller på IT:s begäran. Aldrig på schema.

Spärrlista. Läckta lösenord, ordboksord, sekvenser, företagsnamn och användarnamn blockeras och uppdateras löpande.

Lagring. Lösenordshanterare är obligatorisk. Unikt lösenord per konto, delade funktionskonton i teamvalv, aldrig i kalkylark.

Flerfaktor. MFA för admin-konton, fjärråtkomst, e-post utanför nätet och molnappar. App eller FIDO2 i första hand, SMS sist.

Kontrollfrågor. Kunskapsbaserad autentisering används inte som faktor eller återställning.

Admin. Tjugo tecken, eget valv, kvartalsvis genomgång och byte när någon med adminbehörighet slutar.

Fem regler att stryka

Påtvingad rotation var nittionde dag.
Komplexitetskrav i stället för längd.
Säkerhetsfrågor vid återställning av konto.
Förbud mot lösenordshanterare.
SMS som primär andra faktor.

Varje rad låter ansvarsfull och sänker skyddet.

Så får policyn ett liv

Ägaren. En namngiven person, inte en avdelning, med tid i kalendern för årlig genomgång. Genomgången triggas också av incident, ny molntjänst, nytt kundkrav och när någon i nyckelroll slutar.

Utbildningen. Korta kvartalsvisa genomgångar slår en lång introduktionsdag. Använd exempel från er egen inkorg och följ upp med nätfisketest som underlag för samtal. Samma princip gäller när ni härdar Microsoft 365: policy och konfiguration måste säga samma sak.

Konsekvenserna. Tillämpa trappan även när det är obekvämt, och uppmuntra den som rapporterar ett felklick i tid.

Vad en revisor och en kund frågar efter

ISO 27001 pekar i A.5 mot organisatoriska styrningar och i A.8 mot tekniska kontroller. SOC 2 vilar på Trust Services Criteria, där CC6 handlar om logisk åtkomst. GDPR kräver lämpliga tekniska och organisatoriska åtgärder, och IMY förväntar sig att ni kan visa vad ni gjort. Skillnaden mellan ramverken beskrivs i vår jämförelse av SOC 2 och ISO 27001 för växande bolag.

Dokumentet är bevis på avsikt, inte på efterlevnad. Granskaren vill se signerade bekräftelser, utbildningsloggar, undantag med datum och skäl, protokoll från genomgångar och tekniska kontroller som matchar texten.

Vanliga misstag

Policyn är fyrtio sidor och ingen har läst den.
Ingen namngiven ägare.
Ingen konsekvenstrappa, alltså ingen konsekvens.
Undantag beviljas muntligt och går aldrig ut.

Vanliga frågor

Vilka policyer behöver ett litet företag? Börja med tre: acceptabel användning, BYOD och lösenord. De täcker merparten av de vardagliga situationerna. Därefter incidenthantering, dataklassning och leverantörskrav i den takt verksamheten växer.

Ska lösenord fortfarande bytas var nittionde dag? Nej. NIST SP 800-63B-4 avråder från schemalagd rotation eftersom påtvingade byten leder till förutsägbara varianter av samma lösenord. Byt vid misstanke om röjning eller läckage och lägg energin på längd, spärrlista och flerfaktor i stället.

Vad ska BYOD-policyn innehålla? Vilka enheter som tillåts, registrering i MDM, kryptering och skärmlås, vilken data som får nås, MFA, rutin vid borttappad enhet, avslutsrutin och en tydlig beskrivning av vad MDM ser och inte ser.

Hur ofta ska policyerna ses över? Minst en gång per år, gärna på ett fast datum, och dessutom vid incident, nytt lag- eller kundkrav och när nyckelpersoner byts ut. Skriv in nästa granskningsdatum i dokumentet.

Räcker mallarna för ISO 27001 eller SOC 2? Nej, inte i sig. Mallarna ger struktur som ligger nära kraven, men certifiering handlar om hur policyn tillämpas: signeringar, utbildning, undantagshantering och tekniska kontroller som stämmer med texten. Anpassa dem till er miljö och bransch.

Vill ni ha hjälp att skriva om mallarna till er verksamhet, eller att kontrollera om det som står i dem faktiskt gäller i praktiken? Prata med teamet för en genomgång av policyer, ägarskap och revideringstakt.

Policyer för cybersäkerhet: tre mallar att börja med