Många företagare bär datasäkerhetsriskerna på egen hand – och det kan stå dem dyrt

Cyberbrottsligheten ökar, och utvecklingen accelererar särskilt på grund av artificiell intelligens. Kriminella är intresserade av företag i alla storlekar som inte är ordentligt skyddade.

Dataintrång, spridning av skadlig kod, nätfiske och överbelastningsattacker är former av cyberbrottslighet som hela tiden ökar. Cyberbrottslingar hittar ständigt nya sätt att lura människor. Artificiell intelligens har bidragit till denna utveckling, och bedragarna blir till exempel allt bättre på finska. Även skadeståndsrisker som anknyter till information får allt större betydelse.

– Många företagare tror att cyberbrottsligheten bara riktar sig mot stora och kända företag, och därför inte berör dem. Riskerna berör ändå alla företag, eftersom alla behöver använda informationsteknik i större eller mindre utsträckning. Bara för att ett företag är litet och har en enkel webbplats betyder det inte att brottslingar inte är intresserade. Brottslingarna är nämligen intresserade av företag i alla storlekar som inte tar hotet på allvar, och i takt med att tekniken utvecklas blir det allt lättare att hitta dem, säger Artturi Mikkonen, underwriter på Fennia.

Enligt en undersökning som genomfördes av Företagarna i Finland år 2022 ser tusentals företag inte dataintrång som en risk för sin verksamhet, och mer än hälften anser att risken är låg. Samtidigt upplever dock 61 procent av företagen hinder för informationssäkerheten. Typiska hinder är brist på kompetens och tid samt kostnader.

Ett sätt att förbereda sig för risker är genom försäkringar, där den ekonomiska risken delas med försäkringsbolaget. De flesta företagare bär dock datasäkerhetsrisken på egen hand, dvs. de har ingen försäkring som täcker säkerhetsrisker. Enligt Mikkonen beror detta troligen på att man inte fullt ut förstår de potentiella effekterna av och kostnaderna för säkerhetsöverträdelser.

– Vanliga försäkringar täcker ofta inte de risker som är förknippade med digitaliseringen. Cyberförsäkringen ersätter exempelvis skador i anslutning till avbrott i affärsverksamheten eller återställande av data och programvara samt skadeståndsskyldighet till följd av att konfidentiell information har röjts, säger Mikkonen.

Dataintrång och försök till dataintrång per år 2020–2024

Antalet dataintrång har ökat under de senaste åren. Antalet dataintrång under första halvåret i år är ungefär detsamma som under samma period förra året, men antalet incidenter varierar kraftigt från månad till månad och det är ännu inte möjligt att förutse det slutliga antalet för i år. Källa: Polisens statistik

Antalet infektioner med skadlig kod i datorer i finska nätverk 2019–2023

Traficoms observationer av skadeprogram beskriver antalet infektioner av skadlig kod i datorer i finska nätverk. Antalet varierar från år till år, men ligger på flera hundra tusen varje år. Källa: Traficoms cybersäkerhetscenter

Utpressning är vanligt i dagens cyberattacker

Dataintrång som i Case Vastaamo, där personer utpressas med stulna känsliga uppgifter, blir allt vanligare. Motsvarande fenomen bland företagare kan exempelvis vara fiske efter kunduppgifter eller affärshemligheter, och utpressning med hjälp av dem.

Även skadeprogram i synnerhet för utpressning ökar.

– Vid cyberutpressning kan skadeprogrammet till exempel låsa enheten, varefter brottslingarna kräver en lösesumma för att låsa upp den, berättar Mikkonen.

Den mänskliga faktorn är framträdande i dagens cyberattacker. Ett typiskt exempel kan vara en länk i ett e-postmeddelande, som öppnas på grund av ouppmärksamhet och som installerar ett skadeprogram på enheten. Det blir allt svårare att se skillnad på bluffmeddelanden och äkta meddelanden, särskilt om man läser dem i all hast.

En cyberattack kan orsaka ett långt avbrott i verksamheten och även orsaka skada för kunderna. Ett företag som drabbas av cyberbrottslighet utsätter också sina kunder för risker genom att kunduppgifter går förlorade.

– I de allra minsta fallen handlar det om skador på några tusen eller tiotusentals euro, men i större fall kan det röra sig om miljonbelopp. Detta kan lätt leda till ödesdigra konsekvenser för företagen, säger Mikkonen.

Beredskap för datasäkerhetshot kräver framför allt utbildning av personalen

Enligt Mikkonen förstår man inte alltid datasäkerhetsriskernas betydelse för företagsverksamheten tillräckligt väl.

– Till exempel har företagen i allmänhet inte i förväg bedömt eller beräknat den ekonomiska inverkan som en säkerhetsincident kan ha på deras verksamhet, eller förberett en särskild beredskapsplan, säger han.

Grundläggande säkerhetsåtgärder inkluderar brandväggar, automatiska uppdateringar, säkerhetskopior och multifaktorautentisering. Enligt Mikkonen är dessa ofta i ordning, men de är inte nödvändigtvis tillräckliga.

Utbildning av personalen, krisplaner och cyberförsäkringar är också en viktig del av hanteringen av säkerhetsrisker.

Enligt en nyligen genomförd undersökning beställd av Fortinet anser nästan 90 procent av IT-cheferna i USA att en kompetensbrist har orsakat cybersäkerhetsstörningar i deras organisationer. Denna siffra har ökat under de senaste åren, vilket tyder på att bristen på kunskaper och färdigheter inom cybersäkerhet blir allt mer kännbar för varje år. Enligt Mikkonen kan man se samma fenomen även i Finland.

–Det är viktigt att se till att endast de personer som verkligen behöver tillgång till kritisk information i sitt arbete har tillgång till den. Personalen bör också regelbundet utbildas i informationssäkerhet och dess hot, påminner Mikkonen.

Med hjälp av en cyberförsäkring kan företaget gardera sig mot kostnader och minimera skador som orsakas av skadeprogram, överbelastningsattacker, datastöld eller mänskliga misstag.