Är det dags att bocka av punkterna på din checklista eller skjuter du upp till imorgon det du skulle ha gjort igår? Säker IT-infrastruktur kräver god IT-hygien, kontinuerligt underhåll av hårdvara, mjukvara och processer samt koll på säkerhetsrekommendationer som CIS-kontroller.
Vårstädning – det är en trivial och tråkig uppgift, som måste utföras varje år. Även om frekvensen är högre är trivial och tråkig en etikett många IT-avdelningar sätter på allmän IT-hygien. Triviala och tråkiga arbetsuppgifter är de vi tenderar att skjuta upp om och om igen, vilket ökar risken för sårbarheter som i värsta fall kan leda till ännu mer arbete.
Vanligt underhåll
Många system används endast under kortare perioder eller vid specifika tidpunkter. Kanske är systemen avstängda resten av tiden, men med stor sannolikhet körs de på ”tomgång” tills kapaciteten, tjänsterna eller resurserna behövs igen. Det är inte ovanligt att system får leva vidare, även om det inte längre finns ett behov, eller när de har ersatts av nyare och bättre system. Risken minskar om systemen uppdateras och konfigureras med säkerhetsrekommendationer i åtanke, men det scenariot är ovanligt eftersom regelbundet underhåll är en uppgift som ofta skjuts upp eller undviks.
Kom ihåg god IT-hygien
På Conscia ser vi tyvärr ofta hur bortglömda system eller icke uppdaterade system öppnar dörren för intrång. Det beror vanligen inte på att någon inte är bra på sitt jobb, utan på att det saknas processer för hur det här ska gå till. Så sensmoralen här är att god IT-hygien stärker IT-säkerheten. Faktum är att just grundläggande IT-hygien är den första rekommendationen i säkerhetsramverket CIS Controls (Center for Internet Security), som består av 18 huvudkontrollpunkter med totalt 153 prioriterade säkerhetsrekommendationer uppdelade i de tre implementeringsgrupperna IG1, IG2 och IG3.
Viktiga CIS-kontroller
IG1 är grundläggande IT-hygienen. Implementeringsgruppen består av 18 kontrollpunkter och 56 säkerhetsrekommendationer som, när de har implementerats, avsevärt stärker säkerheten. Enligt CIS skyddar IG1 mot 74 % av MITER ATT&CK-teknikerna och de undertekniker som ofta används vid malware, ransomware och phisingattacker.
Det speciella med CIS-rekommendationerna under IG1 är att de riktar sig specifikt till små eller medelstora företag, med begränsad eller ingen dedikerad IT-säkerhetskompetens. Det betyder att små och medelstora företag kan komma långt med relativt små medel och relativt liten ansträngning.
Av de totalt 56 rekommendationerna under IG1 har jag här valt att lyfta fram några som jag särskilt gillar:
- Identifiera dina IT-tillgångar och gör en lista som du underhåller. Exakt kunskap om IT-tillgångar är väsentligt, eftersom du inte kan skydda det som du inte känner till.
- Identifiera användarkonton och skapa en lista som du underhåller. Det är viktigt att endast nödvändiga konton är aktiva och att konton som inte längre används avaktiveras.
- Begränsa administratörsrättigheter till dedikerade administratörskonton. Vanliga uppgifter utförs på vanliga användarkonton och administratörsuppgifter utföras på dedikerade administratörskonton. Det lokala administratörskontot bör vi göra oss av med!
- Få kontroll över din säkerhetskopia och se till att du sköter den ordentligt. Säkerställ att din säkerhetskopia fungerar.
- Ge dina anställda löpande utbildning kring potentiella IT-hot. Det är viktigt att de kan se skillnad på riktig affärskommunikation och phishing-försök och inte litar på allt som hamnar i inkorgen. Conscia erbjuder effektiva säkerhetsutbildningar med Knowbe4.
Vill du läsa mer om CIS-kontroller? Missa inte vårt whitepaper
Kontrollerna i CIS-ramverket hjälper dig att strukturera de triviala och tråkiga uppgifterna, som är så nödvändiga för att öka IT-säkerheten. Om du har svårt att hinna med är vi på Conscia redo att hjälpa dig på vägen. Vårstädningen får du tyvärr sköta själv!
Har du frågor om CIS-kontroller eller god IT-hygien?
