Sådan styrker du informationssikkerheden i din webshop

Annonce – sponsoreret indhold.

Informationssikkerhed i webshop handler om tre ting: at du ved, hvilke kundedata og systemer du har, at kun de rette personer har adgang til dem, og at du har en plan, når noget går galt. Du behøver hverken en IT-afdeling eller en certificering for at komme i gang. Der findes dog en anerkendt standard, ISO 27001, som du kan bruge som rettesnor. Her får du en guide i den rækkefølge, du faktisk skal handle: først forståelsen af truslen, så de systemer du skal kigge på, så afgrænsningen og til sidst de konkrete første skridt.

Hvorfor informationssikkerhed i webshop er en forretningsopgave

Mange webshop-ejere tænker, at kun store kæder bliver ramt. Angreb er sjældent målrettede mod en bestemt butik. De er automatiserede: Scripts leder efter kendte sårbarheder i forældede plugins, svage adgangskoder og åbne administrationspaneler. Din shop bliver fundet, fordi den er online, ikke fordi den er stor.

En webshop samler det, angribere er interesserede i:

• Personoplysninger: navne, adresser, e-mails, telefonnumre og ordrehistorik, som kan bruges til phishing og identitetsmisbrug.
• Loginoplysninger: mange genbruger adgangskoder, så en lækket kundedatabase kan give adgang til helt andre tjenester.
• Betalingsflowet: hvis en angriber kan indsætte skadelig kode på din betalingsside, kan kortoplysninger blive opsnappet, mens kunden taster dem.
• Adgang til din egen forretning: en overtaget administratorkonto eller e-mailkonto kan bruges til at omdirigere udbetalinger, ændre priser eller sende svindelmails fra dit domæne.

Konsekvenserne rammer både økonomi og tillid. Hvis personoplysninger kommer ud, har du som dataansvarlig efter GDPR pligt til at anmelde bruddet til Datatilsynet uden unødig forsinkelse og som udgangspunkt senest 72 timer efter, at du er blevet opmærksom på det. Kunder, der har fået deres data kompromitteret hos dig, handler sjældent der igen. Derfor er sikkerhed ikke et IT-projekt, men en del af driften på linje med lager og kundeservice.

Findes der en standard at læne sig op ad?

Ja. ISO 27001 er den internationale standard for et ledelsessystem for informationssikkerhed. Den foreskriver ikke bestemte produkter, men et arbejdsmønster: Du kortlægger, hvad du skal beskytte, vurderer risici, vælger passende kontroller, dokumenterer det nødvendige og følger løbende op. Netop fordi den er proces- og ikke teknologibaseret, kan den bruges af både en enkeltmandsvirksomhed og en stor organisation.

Mange tror, at det er alt-eller-intet. Det er det ikke. Du behøver ikke certificere hele virksomheden på én gang, og du behøver slet ikke certificere dig for at have glæde af standarden. Hvis din webshop kun er en del af en større forretning, kan du starte med at afgrænse et ISO 27001 scope, der dækker de systemer og processer, som håndterer kundedata og betalinger. Resten kan komme med senere. På den måde får du struktur på det, der betyder mest, uden at bruge måneder på dokumentation af områder med lav risiko.

Hvis du er i tvivl om, hvor langt dit nuværende niveau er fra standardens krav, kaldes den første vurdering en GAP-analyse. Den sammenholder det, du allerede gør, med kravene og peger på manglerne. Mere om det længere nede.

Hvilke systemer og processer skal din webshop kigge på?

Tag udgangspunkt i, hvor data bliver oprettet, opbevaret og flyttet. For de fleste små webshops er det de fem områder herunder.

Webshopplatformen og dens udvidelser

Uanset om du bruger Shopify, WooCommerce, Magento eller en anden løsning, skal platformen holdes opdateret. Det gælder især tilføjelser og plugins, som ofte er den svageste del. Spørg dig selv: Hvem opdaterer? Hvor ofte? Og hvilke plugins bruger du reelt? Fjern dem, du ikke bruger. Hver ekstra udvidelse er en potentiel indgang.

Kundedatabasen

Her ligger kundernes oplysninger. Overvej, om du faktisk har brug for alt, du gemmer. Data, du ikke har, kan ikke lække. Sæt regler for, hvor længe du opbevarer ordre- og kundeoplysninger, og sørg for, at sikkerhedskopier også er beskyttede. En typisk fejl er eksportfiler med kundelister, der ligger i en downloadmappe eller sendes rundt i e-mail.

Betalingsløsningen

Brug en anerkendt betalingsudbyder, hvor kortoplysninger indtastes på udbyderens side eller i en integreret formular fra udbyderen. Så kommer kortdata aldrig ind på din egen server, og du reducerer både risiko og krav. Branchens kortstandard hedder PCI DSS, og din betalingsudbyder kan fortælle, hvilke krav der gælder for netop din opsætning. Gem aldrig kortnumre selv.

Adgang og brugerkonti

Brug to-faktor-login på administratorkonti, e-mail, domæneudbyder og betalingsportal. Giv medarbejdere og freelancere kun de rettigheder, de skal bruge. Undgå fælles logins, for så kan du ikke se, hvem der har gjort hvad. Når nogen stopper, skal adgangen lukkes samme dag.

Leverandører og samarbejdspartnere

Hosting, betalingsgateway, fragtsystem, lagerløsning, nyhedsbrevsværktøj og bogholderi har alle adgang til dele af dine data. Skriv en simpel liste over leverandører: hvad de har adgang til, og hvem hos dem der kan kontaktes ved en hændelse. Hvis du deler persondata med en leverandør, skal der som regel være en databehandleraftale. Tjek også, hvad leverandøren selv gør for sikkerheden, fx om de kan dokumentere en certificering eller en revisionserklæring.

Sådan afgrænser du dit ISO 27001-scope i praksis

Scope er den grænse, du trækker omkring det, ledelsessystemet skal dække. Det er den vigtigste beslutning i hele forløbet, for et for stort scope drukner dig i arbejde, og et for småt scope giver et falsk billede af sikkerheden. Brug disse tre trin.

1. Identificér dine forretningskritiske processer. For en webshop er det typisk ordremodtagelse, betaling, kundeservice og forsendelse. Resten, fx intern HR eller et separat fysisk udsalg, kan ofte vente.
2. Find de informationsaktiver, processerne afhænger af. Det er kundedatabasen, ordresystemet, betalingsportalen, e-mailkonti, sikkerhedskopier og de enheder, dine medarbejdere bruger.
3. Medtag de afhængigheder, du ikke selv styrer. Hosting og betalingsudbyder ligger uden for din virksomhed, men de er en del af kæden. De indgår i scopet som leverandørstyring, selv om du ikke kan styre deres systemer direkte.

Skriv scopet ned i få linjer, fx: “Webshoppen, tilhørende kundedata, betalings- og forsendelsesprocesser samt de medarbejdere og leverandører, der har adgang hertil.” Det er langt mere håndterbart end “hele virksomheden”. Du kan altid udvide, når du har fået rutinen.

Pointen med en afgrænsning er også, at den gør risikovurderingen konkret. Du spørger ikke “hvad kan gå galt?” i almindelighed, men “hvad sker der, hvis vores kundedatabase bliver utilgængelig i tre dage, eller hvis administratorlogin kommer på afveje?”. Derefter vælger du kontroller, der står mål med risikoen, og du dokumenterer valgene. Det er kernen i standarden.

Første skridt: Kom i gang uden at drukne i teori

Du kan gøre rigtig meget med et regneark og en eftermiddag. Her er en rækkefølge, der virker.

1. Lav en simpel kortlægning af data og systemer

Opret et ark med fire kolonner: hvad (fx kundedatabase), hvor (platform, skytjeneste, e-mail), hvem har adgang, og hvad sker der, hvis det går tabt eller kommer ud. Medtag også de steder, hvor data egentlig ikke burde ligge, som eksportfiler, skærmbilleder og private e-mailkonti.

2. Ryd op i adgange

Gå alle konti igennem: Hvem har administratoradgang, og har de stadig brug for den? Slå to-faktor-login til alle steder, hvor det er muligt. Brug en adgangskodeadministrator, så ingen genbruger kodeord.

3. Sørg for opdateringer og sikkerhedskopier

Beslut, hvem der har ansvaret for opdateringer af platform og plugins, og hvor ofte det sker. Tag sikkerhedskopier af shop og database, opbevar dem adskilt fra selve shoppen, og test mindst én gang, at du kan genskabe fra dem. En backup, du aldrig har prøvet at gendanne, er ikke en garanti.

4. Skriv en lille hændelsesplan

Én side er nok: Hvem kontaktes først, hvem kan lukke shoppen ned, hvordan underretter du betalingsudbyder og hosting, og hvem tager stilling til anmeldelse til Datatilsynet og information til kunder? Det er langt nemmere at handle roligt, hvis planen findes, før noget sker.

5. Gør sikkerhed til en rutine

Planlæg en fast gennemgang et par gange om året af adgange, leverandørlisten og opdateringer. Det er i bund og grund det, ISO 27001 kalder løbende forbedring. Center for Cybersikkerhed under Forsvarets Efterretningstjeneste udgiver vejledninger og trusselsvurderinger, som er gode at bruge som supplement. Datatilsynet har vejledning om behandlingssikkerhed og brud på persondatasikkerheden.

Hvornår giver det mening at søge ekstern rådgivning?

Du kan komme langt selv, men der er situationer, hvor en specialist sparer dig tid og dyre fejl:

• Kunder eller samarbejdspartnere stiller krav om dokumenteret informationssikkerhed, fx i forbindelse med B2B-salg eller større aftaler.
• Du overvejer certificering, men ved ikke, hvor langt du er fra kravene.
• Du mangler overblik og ved ikke, om du skal bruge kræfterne på adgangsstyring, leverandører eller dokumentation først.
• Virksomheden vokser, og flere medarbejdere eller eksterne får adgang til data.
• Du har oplevet en hændelse og vil sikre, at det ikke gentager sig.

Et naturligt første skridt er en foranalyse eller GAP-analyse. Den gennemgår dine politikker, processer og kontroller, vurderer de væsentligste risici og ender i en prioriteret handlingsplan, så du ved, hvad der skal gøres først. Hos fx Nesp.ONE starter en foranalyse fra 10.000 kr., og de tilbyder en uforpligtende samtale op til. Uanset hvem du vælger, så spørg efter erfaring med virksomheder af din størrelse, hvad du får udleveret, og om rådgiveren kan hjælpe videre med implementeringen, hvis du ønsker det. Mængden af dokumentation bør stå i forhold til din virksomheds størrelse.

Ofte stillede spørgsmål

Skal en lille webshop være ISO 27001-certificeret?

Nej, det er ikke et generelt lovkrav. Certificering bliver typisk relevant, hvis kunder eller partnere forlanger det, eller hvis du vil dokumentere modenhed over for dem. Du kan dog bruge standardens metode uden at søge om certificering.

Hvad er forskellen på ISO 27001 og GDPR?

GDPR er lovgivning om behandling af personoplysninger og gælder for alle, der behandler persondata. ISO 27001 er en frivillig standard for, hvordan du styrer informationssikkerhed i organisationen. De overlapper, fordi god sikkerhed hjælper dig med at overholde GDPR’s krav til passende sikkerhed, men det ene erstatter ikke det andet.

Skal jeg selv leve op til PCI DSS?

Det afhænger af din opsætning. Hvis kortoplysninger udelukkende håndteres af en godkendt betalingsudbyder, og du aldrig selv modtager eller gemmer dem, er dine krav typisk mindre omfattende. Spørg din betalingsudbyder, hvilke krav der gælder for din integration.

Hvad er det første, jeg bør gøre i dag?

Slå to-faktor-login til på administratorkontoen i din webshop, din e-mail og din domæneudbyder. Det er hurtigt, gratis og lukker en af de mest almindelige indgange for angribere. Derefter kan du lave den simple kortlægning af data og systemer.