Om någon tog sig in i ert affärssystem i dag, skulle ni veta det?

”Vi skriver för att informera dig om en säkerhetsincident.”

De flesta av oss har fått ett sådant mejl någon gång. Ett företag vi handlar av eller en digital tjänst vi använder har utsatts för ett intrång. Obehöriga kan ha fått tillgång till namn, e-postadresser eller annan information.

Vi läser. Kontrollerar vad som kan ha läckt. Byter kanske lösenord. Och går vidare.

Men tänk om vi vänder på perspektivet.

Om någon obehörig tog sig in i ert affärssystem i dag, hur snabbt skulle ni upptäcka det?

Och vad skulle ni göra sedan?

När vi tänker på cyberattacker är det lätt att föreställa sig låsta datorer, system som ligger nere och meddelanden från ransomware-angripare.

Verkligheten behöver inte vara lika dramatisk.

Obehörig åtkomst kan innebära att någon befinner sig i ett system utan att verksamheten märker något alls. Användarna loggar in som vanligt. Order registreras. Fakturor skickas. Produktionen fortsätter.

Det är just därför frågan om upptäckt är så viktig.

Ett modernt affärssystem innehåller dessutom långt mer än ekonomiska siffror. Där kan finnas kund- och leverantörsuppgifter, avtal, prissättning, orderhistorik, produktinformation och personuppgifter. I vissa verksamheter finns även information kopplad till produktion, kvalitet, spårbarhet och regulatoriska krav.

Det är med andra ord inte bara ett IT-system.

Det är en central del av företagets verksamhet och samlade data.

En av de första frågorna handlar därför egentligen inte om hackare.

Den handlar om användare.

Hur många personer har tillgång till ert ERP-system? Vilka behörigheter har de? Finns det gamla konton kvar? Har externa konsulter eller tidigare medarbetare fortfarande åtkomst? Hur många har administrativa rättigheter?

Och kanske viktigast:

Vet ni det, eller tror ni att ni vet det?

I Microsoft Dynamics 365 Business Central används Microsoft Entra ID för autentisering. Microsoft rekommenderar bland annat MFA och möjligheten att använda Conditional Access för att ställa ytterligare krav på inloggningen. [learn.microsoft.com]

Men tekniken hjälper bara om processerna runt omkring fungerar.

En medarbetare som byter roll ska inte automatiskt behålla alla sina gamla behörigheter. En konsult som avslutar sitt uppdrag behöver tas bort. Administrativa rättigheter bör inte delas ut ”för säkerhets skull”.

Över tid kan annars många små undantag utvecklas till en stor säkerhetsrisk.

Anta att IT-avdelningen en måndagsmorgon konstaterar att någon obehörig har haft tillgång till en del av systemmiljön.

Vad händer nu?

Kan ni snabbt svara på:

• Vilka system och integrationer kan vara berörda?
• Vilken information finns där?
• Vilka användare och behörigheter behöver spärras?
• Kan åtkomsten isoleras utan att hela verksamheten stannar?
• Finns det loggar som visar vad som faktiskt har hänt?
• Vilken backup finns och vet ni att den går att återställa?
• Vem leder incidenthanteringen?
• När behöver ledning, kunder eller myndigheter informeras?

Här blir cybersäkerhet plötsligt något mycket större än en fråga för IT.

Det blir en fråga om verksamhetens motståndskraft.

När något väl händer är de första timmarna viktiga.

Microsofts rekommenderade arbetsflöde för incidenthantering bygger på att först prioritera och undersöka incidenten, därefter begränsa hotet, återställa påverkade resurser och slutligen dokumentera och följa upp vad som hänt. 

Checklista: de första stegen vid ett misstänkt intrång

1. Aktivera incidentplanen och samla rätt personer

IT och säkerhetsansvariga behöver snabbt få en gemensam bild av situationen. Beroende på omfattningen kan även ledning, dataskyddsansvarig, juridik och kommunikation behöva involveras.

Utse vem som leder arbetet och vem som dokumenterar de beslut och åtgärder som görs.

2. Begränsa intrånget, men bevara bevis

Identifiera berörda användare, enheter, system och integrationer.

Komprometterade användare kan behöva spärras, berörda enheter isoleras och skadliga IP-adresser blockeras. Det är exempel på begränsningsåtgärder som ingår i incidenthanteringen med Microsoft Defender XDR. [learn.microsoft.com]

Var samtidigt försiktig med att radera loggar eller omedelbart återställa allt. Informationen kan behövas för att förstå vad angriparen faktiskt har gjort.

3. Ta reda på hur angriparen kom in

Granska inloggningar, användare, enheter, applikationer och berörda resurser.

Oväntade MFA-förfrågningar, misstänkta inloggningar och exempelvis nya regler som vidarebefordrar e-post till okända adresser kan vara tecken på ett komprometterat konto. [learn.microsoft.com], [learn.microsoft.com]

4. Fastställ vad angriparen kan ha kommit åt

Frågan är inte bara:

Har någon varit inne?

Minst lika viktigt är:

Vad hade personen möjlighet att se, ändra, ladda ner eller ta med sig?

Kartlägg vilken information som kan ha exponerats, vilka system som berörts och under vilken tidsperiod.

5. Säkra identiteter och åtkomst

Om ett konto misstänks vara komprometterat behöver det säkras. Kontrollera samtidigt vilka andra system användaren har tillgång till.

Ett komprometterat Microsoft Entra ID-konto kan exempelvis ge angriparen tillgång till användarens Microsoft 365-postlåda, mappar i SharePoint och filer i OneDrive. [learn.microsoft.com]

6. Bedöm om incidenten behöver rapporteras

Om personuppgifter kan ha berörts behöver organisationen snabbt bedöma vilka skyldigheter som gäller kring incidentrapportering och information till berörda.

Involvera därför dataskyddsansvarig eller juridisk kompetens tidigt när personuppgifter kan vara påverkade.

7. Återställ först när miljön är säker

När hotet har begränsats kan berörda användare, enheter och system återställas till ett betrott tillstånd. Innan incidenten avslutas bör organisationen också verifiera att hotet inte längre är aktivt. [learn.microsoft.com]

Och sedan kommer frågan som lätt glöms bort:

Vad behöver vi förändra för att samma sak inte ska kunna hända på samma sätt igen?

Säkerhet handlar inte bara om att hålla angriparen ute

Ingen organisation kan lova att den aldrig kommer att utsättas för en cyberattack.

Därför är det problematiskt om säkerhetsstrategin huvudsakligen bygger på frågan:

Hur förhindrar vi att någon tar sig in?

Den behöver kompletteras med två andra:

Hur upptäcker vi det om någon ändå tar sig in?

Och:

Hur snabbt kan vi begränsa skadan och återgå till normal verksamhet?

Det är också kärnan i Microsofts Zero Trust-modell: verify explicitly, use least privilege och assume breach. [learn.microsoft.com]

Här möts IT-säkerhet, affärssystem och kontinuitetsplanering.

Backup är ett bra exempel. Att det finns en backup är en sak. Att veta vilka system som måste återställas först, vilka beroenden som finns mellan ERP, integrationer och andra tjänster och hur lång tid en fungerande återställning faktiskt tar är något helt annat.

Sju sätt att stärka säkerheten i en Microsoft-miljö

För företag som redan arbetar med Microsoft Dynamics 365 Business Central, Microsoft 365 och Azure finns flera möjligheter att både minska risken för intrång och upptäcka misstänkt aktivitet snabbare.

Här är sju områden som vi tycker är särskilt viktiga.

1. Gör MFA till ett krav, inte ett val

MFA bör vara en självklar basnivå. För Business Central rekommenderar Microsoft att MFA alltid krävs vid inloggning och att moderna autentiseringsmetoder används. [learn.microsoft.com]

Men vanlig MFA är inte nödvändigtvis slutmålet.

Microsoft rekommenderar phishing-resistent MFA, exempelvis passkeys, FIDO2-säkerhetsnycklar och Windows Hello for Business. Anledningen är att traditionella metoder som SMS-koder och push-notiser är mer känsliga för bland annat phishing och MFA fatigue. [learn.microsoft.com], [learn.microsoft.com]

Börja med de mest privilegierade kontona.

2. Låt inte alla logga in överallt

Med Microsoft Entra Conditional Access kan åtkomst styras utifrån olika villkor.

För Business Central kan Conditional Access exempelvis användas för att kräva MFA eller begränsa åtkomst till betrodda platser eller kompatibla enheter. [learn.microsoft.com]

Det innebär att ett stulet lösenord inte automatiskt behöver innebära fri väg in i affärssystemet.

3. Ge användarna minsta möjliga behörighet

En vanlig användare behöver inte administratörsbehörighet. Och en administratör behöver inte nödvändigtvis ha sina högsta privilegier aktiva hela arbetsdagen.

Med Microsoft Entra Privileged Identity Management går det att minska permanenta privilegier och i stället låta administrativa roller aktiveras när de behövs. Microsoft pekar särskilt på behovet att minska så kallade standing privileges. [learn.microsoft.com]

Samma princip gäller i Business Central. Autentisering avgör vem användaren är, medan behörigheterna i systemet avgör vilken funktionalitet och data personen får tillgång till. [learn.microsoft.com]

4. Se vad som faktiskt händer

Att skydda systemet är bara ena halvan.

Den andra är att upptäcka när något inte stämmer.

Inloggningsförsök mot Business Central kan följas genom Microsoft Entra-loggar, och Microsoft beskriver även hur loggar kan integreras med Azure Monitor för vidare analys och övervakning. [learn.microsoft.com]

Administrativa händelser från Business Central kan dessutom skickas till Microsoft Purviews granskningslogg och användas vid exempelvis säkerhetsincidenter och forensiska utredningar. [learn.microsoft.com]

5. Skydda vägen in via mejlen

Många attacker börjar fortfarande med något till synes väldigt enkelt: ett trovärdigt mejl.

Microsoft Defender for Office 365 ger skydd mot bland annat phishing, malware och Business Email Compromise i e-post och samarbetsverktyg och erbjuder även funktioner för undersökning och hantering av hot. [learn.microsoft.com]

Tekniken ersätter inte medarbetarnas vaksamhet.

Men medarbetaren ska heller inte behöva stå ensam mellan angriparen och företagets data.

6. Skydda själva informationen

Säkerhet handlar inte bara om vem som kommer in, utan också om vad personen får göra med informationen.

Med DLP-policyer i Microsoft Purview kan organisationer identifiera, övervaka och skydda känslig information. Det kan omfatta information i bland annat Exchange, SharePoint, OneDrive, Teams och Office-applikationer. [learn.microsoft.com]

Det skapar ytterligare ett skyddslager. Bara för att en användare har legitim tillgång till information betyder det inte att den ska kunna delas hur som helst.

7. Öva på dagen ni hoppas aldrig kommer

Det här är kanske det enklaste rådet att förstå och ett av de viktigaste att faktiskt genomföra.

Tekniken kan vara korrekt konfigurerad, men när larmet går måste människor veta vad de ska göra.

Vem har mandat att spärra ett konto?

Vem isolerar ett system?

Vem kontaktar leverantören?

Vem bedömer vilken data som berörts?

Vem fattar beslut om kundkommunikation?

Microsofts vägledning för incidenthantering rekommenderar en dokumenterad process med bland annat definierade triggers, beslutspunkter, eskaleringsvägar, roller och ansvar anpassade efter den egna miljön. [learn.microsoft.com]

Incidentplanen behöver alltså inte bara finnas.

Den behöver testas.

Från säkerhetsprojekt till löpande arbete

Den kanske största risken är därför att betrakta cybersäkerhet som något man ”fixar”.

Inför MFA. Klart.

Uppdatera systemet. Klart.

Gör en säkerhetsgenomgång. Klart.

Men företag förändras hela tiden. Nya användare tillkommer. Medarbetare byter roller. Integrationer byggs. Nya applikationer kopplas in. Leverantörer får åtkomst. Data rör sig mellan system.

Säkerheten behöver utvecklas tillsammans med verksamheten.

För företag som arbetar med Microsoft Dynamics 365 Business Central, Microsoft 365 och Azure innebär det att säkerhetsfrågan behöver ses som en del av den löpande förvaltningen av plattformen, inte som ett separat projekt vid sidan av.

Gör ett enkelt test

Nästa gång ett mejl om ännu en cyberincident landar i inkorgen, stanna upp en minut innan du klickar bort det.

Ställ samma fråga om den egna verksamheten:

Om någon obehörig tog sig in i vårt affärssystem i dag, hur snabbt skulle vi veta det?

Men stanna inte där.

Fråga också:

Har vi rätt identitets- och behörighetsskydd?

Kan vi upptäcka avvikande aktivitet?

Vet vi vilken information som är mest känslig?

Vet alla vem som gör vad om något händer?

Cybersäkerhet handlar trots allt inte om att kunna lova att en incident aldrig kommer att inträffa.

Det handlar om att göra det så svårt som möjligt att ta sig in, upptäcka intrånget så tidigt som möjligt och begränsa konsekvenserna om någon ändå lyckas.