Stärk din digitala motståndskraft
Cyberhygien
Sammanfattning
Cyberhygien är de grundläggande rutiner och säkerhetsåtgärder som en organisation behöver sköta löpande för att skydda sina system och sin information. Det handlar om att hålla programvara uppdaterad, använda flerfaktorsautentisering, begränsa behörigheter, ha fungerande säkerhetskopior och utbilda medarbetare. God cyberhygien försvårar många av de vanligaste angreppen och är ett uttryckligt krav i NIS2-direktivet.
Vad är cyberhygien?
Cyberhygien är ett samlingsnamn för de grundläggande säkerhetsvanor som behöver finnas i varje organisation. Precis som med personlig hygien handlar det inte om enstaka insatser utan om rutiner som upprepas: att uppdatera, kontrollera, rensa och följa upp.
Många angrepp utnyttjar inte avancerade sårbarheter utan brister i grunderna, som ett system som inte har uppdaterats, ett konto utan flerfaktorsautentisering eller en behörighet som borde ha tagits bort. Cyberhygien handlar om att täppa till just de luckorna.
Grunderna i god cyberhygien
Utgångspunkten är att veta vilka enheter, system och konton som finns, eftersom det som inte är känt inte heller kan skyddas. Därefter kommer löpande patchhantering, flerfaktorsautentisering, minsta möjliga behörighet, säkra grundinställningar, säkerhetskopior som testas regelbundet och loggning som gör det möjligt att upptäcka avvikelser. Till det kommer utbildning, så att medarbetare känner igen till exempel nätfiske.
Ramverk som stöd
CIS Controls från Center for Internet Security pekar ut en grundnivå, Implementation Group 1, som beskrivs som essentiell cyberhygien och passar som startpunkt för de flesta organisationer. Även ISO/IEC 27001 innehåller krav som i praktiken handlar om cyberhygien. NIS2-direktivet nämner grundläggande cyberhygien och utbildning i cybersäkerhet uttryckligen bland de åtgärder som de verksamheter som omfattas ska vidta.
Från engångsinsats till rutin
Den vanligaste fallgropen är att behandla cyberhygien som ett projekt. En miljö som är i ordning i dag har brister om ett halvår om ingen följer upp. Därför behöver ansvar, rutiner och mätning vara på plats: vem som godkänner och tar bort behörigheter, hur snabbt kritiska uppdateringar ska installeras och hur det följs upp. Många organisationer låter en partner sköta delar av arbetet, till exempel patchhantering och övervakning.
Vanliga frågor om cyberhygien
Vad är skillnaden mellan cyberhygien och cybersäkerhet?
Cybersäkerhet är hela området för att skydda system, nätverk och information. Cyberhygien är den grundläggande och löpande delen av det arbetet, basen som mer avancerade åtgärder som säkerhetsövervakning och incidenthantering bygger på.
Krävs cyberhygien enligt NIS2?
Ja. NIS2-direktivet anger grundläggande cyberhygien och utbildning i cybersäkerhet som en av de riskhanteringsåtgärder som berörda verksamheter ska vidta. I Sverige genomförs direktivet genom cybersäkerhetslagen.
Var ska man börja med cyberhygien?
Börja med att inventera enheter, system och konton, och se sedan till att alla konton, särskilt administratörskonton, har flerfaktorsautentisering. Nästa steg är rutiner för uppdateringar och säkerhetskopior. Därefter kan arbetet byggas ut stegvis med stöd av ett ramverk som CIS Controls.