Er din virksomhed hacket, så gør du fire ting i denne rækkefølge: Kortlæg, hvad der er ramt, og isolér de berørte systemer. Skift adgangskoder fra en enhed, du stoler på. Skriv løbende ned, hvad du ser og gør. Kontakt derefter it-hjælp. Indeholder hændelsen personoplysninger, skal du vurdere, om den skal anmeldes til Datatilsynet. Reglen er, at en anmeldelse sker uden unødig forsinkelse og om muligt inden 72 timer via Virk.dk, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder. Ingen rækkefølge kan garantere, at skaden afværges, men den gør det lettere at begrænse den.
Sådan kan det se ud, når noget er galt
Et angreb melder sig ikke altid med en løbeseddel på skærmen. Typiske tegn er, at du eller en kollega pludselig ikke kan logge ind, at kunder får mærkelige mails fra din adresse, eller at filer er flyttet, slettet eller ikke længere kan åbnes. Det samme gælder en krav om betaling på skærmen, ændrede indstillinger du ikke selv har rørt, og bankbeskeder om overførsler, du ikke kender. Er du i tvivl, så behandl det som et angreb, indtil en kyndig har sagt andet.
De første timer i rækkefølge
- Stop og noter tidspunktet. Skriv ned, hvornår du opdagede det, og hvad du så. Sluk ikke i panik og slet ikke noget; spor kan gå tabt.
- Kortlæg og isolér. DI anbefaler at identificere angrebets omfang og isolere de berørte systemer, så det ikke spreder sig. I praksis kan det være at tage en mistænkt computer af netværket og lukke adgang for en konto, der opfører sig mærkeligt.
- Skift adgangskoder. Hvis du mistænker, at en adgangskode er hacket, skal den skiftes med det samme. Bruges den på flere tjenester, skal den skiftes på dem alle. Begynd med e-mail, administratorkonti, bank og skylagring, og brug en enhed, du ikke har grund til at mistro.
- Kontakt it-hjælp. Har du en aftale, så ring nu. Har du ikke, så find en kyndig, mens du dokumenterer videre.
- Underret dem, der kan stoppe tab. Det er fx banken, hvis der er tale om betalinger, og dit forsikringsselskab, hvis du har en police, der kan dække it-hændelser.
- Vurdér Datatilsynet. Se næste afsnit.
Sådan dokumenterer du hændelsen
Dokumentationen hjælper it-hjælpen, forsikringen og senere en eventuel anmeldelse. Lav ét samlet dokument på en enhed, som ikke er ramt, og skriv:
- hvornår du opdagede det, og hvad der fik dig til at opdage det
- hvilke systemer, konti og enheder der er berørt, og hvilke du har isoleret
- hvilke data der kan være i spil, fx kunde-, medarbejder- eller regnskabsoplysninger
- hvem der har gjort hvad, og hvornår: ændrede adgangskoder, kontakt til bank, it-hjælp med mere
- skærmbilleder af beskeder, afpresningskrav og mistænkelige mails, gerne med afsender og tidspunkt
Behold de mistænkelige mails og filer, i stedet for at slette dem. Gem det, du faktisk ved, adskilt fra det, du gætter på.
Virksomhed hacket og personoplysninger: hvornår Datatilsynet og politiet kommer ind
Hvis hændelsen har ramt personoplysninger, er det et brud på persondatasikkerheden. Som dataansvarlig skal du vurdere, om det skal anmeldes. Datatilsynets regel er, at anmeldelsen sker uden unødig forsinkelse og om muligt inden 72 timer, men at den ikke er nødvendig, hvis det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder. Anmeldelsen foregår via Virk.dk. Skriv din vurdering og begrundelsen ned, også hvis du lander på, at du ikke anmelder.
Politiet er en anden vej. Afpresning, svindel med betalinger eller tyveri af data er forhold, du kan melde til politiet. Spørg din it-hjælp eller dit forsikringsselskab, om de har brug for en politianmeldelse, og hvad den skal indeholde. Center for Cybersikkerhed (CFCS) og Datatilsynet har egne vejledninger, som du kan søge frem, når akutfasen er overstået.
| Hvem | Hvornår | Hvorfor |
|---|---|---|
| It-hjælp | Med det samme | Kortlægning, isolering og oprydning |
| Bank | Ved mistænkelige betalinger eller kontoadgang | Stop af overførsler |
| Forsikringsselskab | Hurtigt, hvis policen kan dække | Vilkår kan stille krav til underretning |
| Datatilsynet | Hvis personoplysninger er berørt, og risikoen ikke er usandsynlig | Lovpligtig anmeldelse |
| Politiet | Ved afpresning, svindel eller tyveri | Anmeldelse af forbrydelsen |
| Medarbejdere og kunder | Når du ved, hvad de skal gøre | Undgå at flere falder for falske mails |
Et tænkt eksempel på de første timer
Eksemplet er vores eget, og alle tal og tidspunkter er opdigtede. En lille tegnestue har fem ansatte. Mandag kl. 8.40 ringer en kunde og siger, at hun har fået en mail med et link fra tegnestuens ejer, som ejeren ikke har sendt. Ejeren skriver tidspunktet ned og tager sin egen computer af netværket. Fra sin telefon skifter hun adgangskode til e-mail og skylager, og hun skifter den samme adgangskode på en tredje tjeneste, fordi hun har brugt den begge steder. Kl. 9.30 ringer hun til sin it-hjælp, der finder ud af, at to konti er logget ind fra en ukendt placering. Tegnestuen har kundelister med navne og e-mailadresser, så ejeren skriver sin vurdering ned og tager stilling til anmeldelse til Datatilsynet i samme dokument. Hun gør det sammen med it-hjælpen, mens hun stadig har 72 timer at arbejde med.
It-hjælp til en lille virksomhed: hvad du kan forvente
Mange små virksomheder har ingen fast it-aftale, før noget går galt. Det er nemmere at ringe efter hjælp, når du har aftalt vilkårene. Spørg, før du vælger:
- Hvornår kan jeg få fat i jer, og gælder det også uden for almindelig arbejdstid?
- Hjælper I med at kortlægge og isolere under en hændelse, eller kun med almindelig drift?
- Hvem tager backup, hvor gemmes den, og er gendannelse testet?
- Får jeg en skriftlig rapport om, hvad der skete, som jeg kan bruge til forsikring og eventuel anmeldelse?
- Hvordan afregnes: fast abonnement, timebetaling eller en blanding, og hvad er ikke inkluderet?
Prisen afhænger af virksomhedens størrelse og aftalens omfang. Bed om et skriftligt tilbud, der viser, hvad der er inkluderet, og hvad der afregnes ekstra. Er der ikke en aftale, så vær på vagt over for den, der lover at løse alt hurtigt uden at kunne forklare, hvad de gør.
Det afhænger af, hvad der er ramt, og hvornår du skal have fagfolk ind
Guiden dækker de første timer: overblik, isolering, adgangskoder, dokumentation, kontakt til hjælp og vurderingen af anmeldelse. Den dækker ikke teknisk oprydning, juridisk rådgivning om ansvar og erstatning eller forhold i din forsikringspolice, og den kan ikke afgøre, om netop din hændelse skal anmeldes. Det afhænger af, hvilke data der er berørt, og hvor stor risikoen er for dem, det handler om.
Få it-folk ind, så snart du ikke selv kan afgrænse angrebet. Brug en jurist eller Datatilsynets vejledning, hvis du er i tvivl om anmeldelsen. Hænger et angreb sammen med falske betalinger, er regnskabet næste sted at kigge, og her kan guiden om virksomhedens regnskab hjælpe dig med at holde styr på bilag. Skal teamet vide, hvad det skal gøre, kan guiden om ledelse af små teams give ideer til den samtale. Flere emner om digital sikkerhed finder du under Synlighed og digitalt.
Spørgsmål om en hacket virksomhed
Skal jeg altid anmelde et hackerangreb til Datatilsynet?
Nej. Kun et brud på persondatasikkerheden skal anmeldes, og ikke hvis det er usandsynligt, at det medfører en risiko for personers rettigheder eller frihedsrettigheder. Skriv din vurdering ned, uanset hvad du kommer frem til.
Skal jeg slukke for computerne?
Du skal isolere de berørte systemer, så angrebet ikke spreder sig. Hvad det betyder i praksis, afhænger af angrebet. Spørg din it-hjælp, før du sletter eller geninstallerer noget, så du ikke ødelægger spor.
Skal jeg betale, hvis nogen kræver penge?
Det kan guiden ikke afgøre for dig. Tag kontakt til it-hjælp og politi, før du beslutter noget, og gem kravet som dokumentation.
Hvor starter jeg med adgangskoderne?
Start med e-mail, administratorkonti, bank og skylagring, og skift fra en enhed, du ikke har grund til at mistro. Bruger du den samme adgangskode flere steder, skal den skiftes alle steder.