Artikkel 32 krever at virksomheten og databehandlerne sikrer et egnet sikkerhetsnivå. De fleste sikkerhetsbrudd skjer ikke gjennom avanserte angrep, men gjennom vanlige feil. Her er vanene som gjør mest forskjell.
Tilgang og passord
- Bruk lange og unike passord. En lang setning er bedre enn et kort, komplisert ord. Bruk aldri samme passord på jobb og på private kontoer.
- Bruk en passordbehandler hvis virksomheten tilbyr det.
- Slå på tofaktorinnlogging der det er mulig. Del aldri kodene dine, heller ikke med kolleger eller IT.
- Lås skjermen når du forlater plassen din.
- Du kan bare åpne opplysninger du trenger i jobben din. Å slå opp en kjent person eller en kollega av nysgjerrighet er ikke arbeid, og det kan være et brudd på reglene.
E-post
- Sjekk mottakeren før du trykker send. Autofullføring velger lett feil person med samme fornavn.
- Når du sender til mange som ikke kjenner hverandre, bruk Bcc. Ellers deler du alles e-postadresser.
- Fortrolige og sensitive opplysninger skal som utgangspunkt være kryptert når de sendes med e-post over internett. Det er Datatilsynets vurdering av hva som er egnet sikkerhet. Bruk den sikre e-postløsningen virksomheten har valgt.
- Skriv ikke personopplysninger i emnefeltet.
Papir, enheter og hjemmekontor
- Hold skrivebordet ryddig. Legg papirer med personopplysninger i en lukket skuff.
- Bruk virksomhetens makulering eller en låst avfallsbeholder, ikke den vanlige papirkurven.
- Ikke lagre opplysninger på private enheter, USB-pinner eller private skytjenester, med mindre virksomheten har tillatt det.
- Ikke bruk eksterne KI-verktøy, og kopier ikke kunde- eller medarbeideropplysninger inn i dem, med mindre virksomheten har godkjent verktøyet til formålet. Det du skriver inn, forlater ofte virksomheten.
- Hjemmefra: bruk en sikker tilkobling, ikke la familien se skjermen, og ikke la enheten stå ulåst i bilen eller på kafeen.
- Ikke snakk høyt om kunder eller pasienter, for eksempel på toget.
Phishing
Phishing er falske e-poster, tekstmeldinger eller anrop som skal få deg til å gi fra deg opplysninger, klikke på en lenke eller betale. Typiske tegn:
- tidspress («kontoen stenges i dag») eller trusler
- en avsender som ligner en kjent, men har en litt annen adresse
- en lenke der adressen ikke passer til avsenderen
- vedlegg du ikke ventet
- en «sjef» som plutselig vil ha en rask betaling eller gavekort, eller en kollega som ber om kodene dine
Dette gjør du:
- Ikke klikk, ikke åpne og ikke svar.
- Sjekk via en annen kanal. Ring avsenderen på et nummer du kjenner.
- Meld fra om e-posten til IT eller sikkerhetskontakten hos dere. Hvis du allerede har klikket eller skrevet inn noe, si fra med en gang. Rask melding kan begrense skaden.
Styrelsen for Samfundssikkerhed (tidligere Center for Cybersikkerhed, den danske samfunnssikkerhetsstyrelsen) har råd om phishing på samsik.dk.
Oppdateringer og ukjente programmer
Installer sikkerhetsoppdateringer når IT-avdelingen ber om det. Mange angrep utnytter feil som det for lengst finnes en oppdatering for. Ikke installer programmer, apper eller utvidelser på egen hånd, og koble ikke til ukjente USB-pinner. Hvis noe ser rart ut på datamaskinen din, meld fra før du prøver å fikse det selv.
Si fra uten å skamme deg
Alle kan bli lurt. Det verste er å tie. Virksomheten kan bare gripe inn hvis den hører om feilen i tide.