Hackad: Vad ska du göra?

Steg för att återhämta sig efter en cyberattack: Vad du som företag ska göra om du blir hackad?

Vet du om att du blivit hackad, har du redan lyckats med steg 1, att identifiera att det finns ett problem. Grattis! I snitt tar det ett år att identifiera ett intrång, så desto förr desto bättre. Att bli hackad är en skrämmande upplevelse för både individer och företag. I den här guiden går vi igenom de kritiska stegen som ska vidtas efter att man blivit mål för en cyberattack.

Omedelbara åtgärder

• Identifiera intrånget: Det första steget för företaget är att snabbt identifiera och verifiera säkerhetsintrånget. Det inkluderar att företaget fastställer vilka system, data eller nätverk som har påverkats.
• Isolera systemet: För att förhindra ytterligare spridning, behöver företaget isolera de drabbade systemen från resten av nätverket.
• Säkra bevis: Det är också viktigt att företaget säkrar loggar och annan relevant information som kan användas för en framtida utredning.

Lösningen ser olika ut beroende på vad eller vem som hackats, men målet är att företaget ska isolera händelsen och begränsa skadan. Om du upptäcker ett hack på din arbetsplats ska du alltid kontakta IT eller säkerhetsansvarig som första steg. Om du själv är ytterst ansvarig så finns det olika aktörer du kan kontakta beroende på vad som har hänt. Gäller det bankkonton eller kreditkort så kontaktar du din bank för att spärra allt.

Är det obehörig åtkomst till konton? Då uppdaterar du alla accessuppgifter och sparkar ut inloggade enheter. Är det skadlig kod eller filer på din dator? Då aktiverar du funktionen för karantän i ditt antivirusprogram och kontrollerar att ingen spridning har hunnit ske. Därefter behöver du identifiera vilka andra som kan ha påverkats, kollegor, kunder eller kanske leverantörer?

Det finns också specialisthjälp att få när olyckan är framme, men det är alltid bäst att jobba så förebyggande som möjligt. Känner du eller ditt företag en osäkerhet för hur ni skulle hantera ett angrepp, då rekommenderas ni att ta hjälp redan idag.

Kommunikation och rapportering efter intrånget: Informera drabbade parter

Betydelsen av transparent kommunikation med kunder och andra intressenter och hur man genomför en effektiv incidentutredning för att förstå vad som hänt.

• Informera interna team: Informera ditt IT-säkerhetsteam och ledning om intrånget. Är det något som man måste gå ut med offentligt ska kommunikationsteamet involveras tidigt.
• Rapportera till myndigheter: Det är viktigt att företaget rapporterar incidenten till relevanta myndigheter och tillsynsorgan. Det kan också vara ett juridiskt krav beroende på verksamhet och incident.
• Meddela berörda parter: Om känslig information som kunddata har påverkats, är det viktigt att företaget meddelar berörda parter så snabbt och transparent som möjligt.

Nästa steg handlar om kommunikation och rapportering. Det får företaget gärna hantera parallellt med steg 1 om möjligt. Du som upptäckt problemet ska hålla ansvarig för IT-säkerhet uppdaterad och följa den krisplan som finns på företaget. Kanske är det kommunikationsavdelningen som ansvarar för att kommunicera och varna?

Om du blivit hackad privat kan du istället behöva varna familj och vänner. Men även din arbetsgivare behöver känna till intrånget om det skett via ett nätverk som du också arbetar från, eller på en enhet du även använder i ditt arbete. Det är bättre att du varnar en gång för mycket, än tvärtom.

Ett olagligt intrång bör företaget också polisanmäla. Trots att du och företaget inte alltid kan förvänta er att få hjälp i ert fall, är det viktigt att föra statistik över de brott som begås. Det material som ni säkrat kan också bidra till underlag i en större utredning, eftersom att organiserad brottslighet även begår cyberbrott. Ibland är ett företag också juridiskt skyldigt att rapportera incidenter. Gäller det personuppgifter ska företagets dataskyddsombud meddelas och företaget ansvarar för att meddela IMY, Integritetsskyddsmyndigheten.

Återhämtning och återuppbyggnad

• Återställ system: Se till att företaget alltid använder säkra backups för att återställa förlorad eller skadad data.
• Utvärdera och förstärka säkerheten: Företaget ska utvärdera hur säkerhetsbrottet skedde och stärka säkerhetsprotokollen för att förhindra framtida intrång.

När allt är under kontroll är det inte dags att pusta ut. Först ska företaget utreda orsak och tillvägagångssätt för incidenten, så att det går att dra lärdomar från händelsen. Angriparnas tillvägagångssätt är sällan unika och återanvänds gärna. Därför är det viktigt att företaget drar lärdomar av en attack. Det görs bäst genom att ni idenifierar kunskapsbrister och sårbarheter i hårdvara, mjukvara och processer på företaget.

Förstärkning av cybersäkerhet efter en attack: efteranalys och förebyggande insatser

• Genomför en post-Incident report: Analysera händelsen så att företaget förstår och lär sig av det som hänt.
• Utbilda personalen: Genomför utbildning och övningar för att öka personalens medvetenhet om säkerhet och på så sätt förebygga framtida attacker.
• Upprätta en Incidenthanteringsplan: Om ni inte redan har en plan, ska företaget skapa en plan för att hantera era framtida säkerhetsintrång.

När återhämtning och återuppbyggnad är klar behöver företaget en åtgärdsplan. Planen ska tydliggöra för företaget hur alla brister och sårbarheter tas omhand, vem som ansvarar för vad, och hur snabbt förbättringarna behöver komma på plats. Är det så att intrånget orsakades av åtkomst till ett lösenord? Då behöver organisationen se över er lösenordspolicy och möjligheten att stärka inloggningen genom en flerstegsautentisering. Användes bedrägeri vid angreppet? Då är det viktigt att företaget undersöker hur identifieringen av dessa kan förbättras och om accesser kan försvåras genom att företaget sätter in fler kontrollsteg, till exempel attestering på flera nivåer.

Att agera snabbt och metodiskt är avgörande för att företaget ska minimera skadan av ett säkerhetsintrång och återuppbygga förtroende bland kunder och partners. Att ha en plan på plats gör skillnad i hur effektivt ditt företag kan hantera och återhämta sig från en cyberattack.