Tölvuárás byrjar oft í pósthólfinu

• Veiðipóstur í nafni Skattsins

  Falsaðir póstar í nafni Skattsins, Landspítalans og banka, oft mjög sannfærandi, plata starfsfólk inn á svikasíður og hirða lykilorð á örfáum sekúndum.

• Raddklónun með gervigreind í síma

  Tölvuþrjótar nota gervigreind til að herma eftir rödd forstjóra eða maka og biðja um millifærslu „núna strax“. Fimm sekúndur af raddupptöku af samfélagsmiðlum duga til að búa til sannfærandi eftirhermu.

• Gagnagíslataka á litlum fyrirtækjum

  Lítil og meðalstór fyrirtæki eru orðin eftirsótt skotmark, af því að varnir þeirra eru veikari en hjá stórum fyrirtækjum. Einn smellur á rangt viðhengi getur lamað fyrirtæki vikum saman.

• Kennitölusvindl og falskar opinberar síður

  Falskar síður sem þykjast vera ökutækjaskráning, endurnýjun ökuskírteinis eða Þjóðskrá safna kennitölum og bankaupplýsingum sem síðan eru notaðar í auðkennisþjófnað.

Sameiginlegt með þessum árásum er að þær fara í gegnum fólkið, ekki tæknina. Þú leysir þetta ekki með því að kaupa nýjan eldvegg.

1. 1

   NIS2 er á leiðinni

   NIS2 gerir mun ríkari kröfur en eldri reglur um netöryggi, þjálfun starfsfólks og ábyrgð stjórnenda, og margfalt fleiri fyrirtæki falla undir hana. Í ESB hefur tilskipunin þegar tekið gildi; á Íslandi er innleiðing í undirbúningi með breytingum á netöryggislögunum. Fyrirtæki sem kemur reglulegri, skjalfestri þjálfun í gang núna er betur undirbúið þegar kröfurnar taka gildi hér, og gagnvart viðskiptavinum í ESB sem starfa þegar eftir þeim.

2. 2

   Netvátryggingar krefjast þjálfunar

   Iðgjöld netvátrygginga hafa hækkað mikið og tryggingafélög spyrja í auknum mæli um öryggisþjálfun starfsfólks í umsóknar- og endurnýjunarferlum. Skjalfest þjálfun styrkir stöðu fyrirtækisins í því samtali.

3. 3

   Viðskiptavinir spyrja

   Stórir viðskiptavinir senda öryggisspurningalista með tilboðsbeiðnum. „Hvaða öryggisþjálfun fær starfsfólkið þitt?“ er stöðluð spurning. Ef svarið vantar er samningurinn í hættu.

Lesa meira um NIS2-skyldur Eða haltu áfram, það sem eftir er af síðunni fer yfir hvernig Varhugi virkar.

1. 1

   Hún er á ensku. Starfsfólkið rennir kannski augum yfir annað hvert orð. Sumir kunna að standast prófið, en hegðunin breytist ekki.

2. 2

   Námskeiðin eru klukkutími hvert. Fáir klára þau og þau sem fólk klárar gleymast fljótt.

3. 3

   Þjálfunin er einu sinni á ári. Svo kemur tölvuþrjóturinn í október og fólkið sem var þjálfað í janúar er búið að gleyma því.

4. 4

   Engin mæling. Þú veist ekki hver kláraði, hver féll og hver á eftir. Einfaldri beiðni frá endurskoðanda er erfitt að svara.

5. 5

   Verðlagt fyrir bandarísk stórfyrirtæki. Smærri fyrirtæki borga annaðhvort of mikið fyrir eitthvað sem þau nota ekki, eða gefast upp og gera ekki neitt.

• Á íslensku, með raunhæfum dæmum

  Veiðipóstur í nafni Skattsins, kennitölusvindl og raddklónun á íslensku. Efni sem starfsmaðurinn þekkir úr eigin pósthólfi.

• Fimm mínútur, einu sinni á mánuði

  Hvert námskeið er fimm mínútur og endar á stuttu prófi. Heildartími á ári er ein klukkustund. Þetta er tími sem flest starfsfólk ræður vel við, og endurtekningin er það sem skilar þjálfuninni.

• Áminningar og endurskoðunarskýrslur eru sjálfvirkar

  Kerfið minnir starfsfólk á þegar nýtt námskeið er á dagskrá, gefur út skírteini sjálfvirkt þegar prófið er staðist og býr til mánaðarlega endurskoðunarskýrslu fyrir stjórnendur. Engin Excel-skjöl til að halda utan um.

• Þrjár mínútur í uppsetningu

  Skráðu þig inn með Microsoft, Google eða pósttengli, sláðu inn nafn fyrirtækisins og deildu skráningartengli í Teams. Starfsfólkið kemst inn sjálft og þú þarft ekki að senda boð á 50 manns.

• Tungumál

  Hefðbundin þjálfun

  Enska, oft með lélegri þýðingu

  Varhugi

  Íslenska, enska og pólska, með raunhæfum íslenskum dæmum

• Tími

  Hefðbundin þjálfun

  Klukkutími eða meira einu sinni á ári

  Varhugi

  Fimm mínútur á mánuði, sami heildartími en miklu meira situr eftir

• Uppsetning

  Hefðbundin þjálfun

  Innleiðingarsamtal og margra klukkutíma uppsetning

  Varhugi

  Sjálfsafgreiðsla, klárað á þremur mínútum

• Endurskoðunarskýrslur

  Hefðbundin þjálfun

  Excel-skjal, ef nokkur tími gefst

  Varhugi

  Sjálfvirk mánaðarskýrsla, tilbúin fyrir NIS2

• Verð

  Hefðbundin þjálfun

  Verð á starfsmann í dollurum, lágmarkssamningar

  Varhugi

  Sanngjarnt fast verð, ókeypis fyrir einn notanda

• Bókari fær póst frá „forstjóra“ kl. 16:45 á föstudegi

  Án Varhuga

  „Anna, getur þú samþykkt þessa millifærslu núna áður en bankinn lokar? Trúnaðarmál, ekki spyrja aðra.“ Anna millifærir 1,2 milljónir króna á reikning sem reynist vera á Bahamaeyjum.

  Með Varhuga

  Anna man eftir námskeiði um forstjórasvindl frá síðasta mánuði. Hún hringir í forstjórann í símanúmerið sem hún þekkir, fær staðfest að hann sendi ekkert slíkt og lætur tæknideildina vita. Tap: ekkert.

• Starfsmaður hleður óvart upp lánasamningi á ókeypis vef til að vinna með skjöl á PDF-sniði

  Án Varhuga

  Hann finnur síðu á Google og hleður upp skjalinu með kennitölum, fjárhagsupplýsingum og samningstextanum. Vefurinn geymir gögnin í heilt ár og selur þau áfram til markaðsfyrirtækja. Persónugögnin eru komin til Singapúr þegar lekinn uppgötvast.

  Með Varhuga

  Námskeiðið um ósamþykkt tæknitól í síðasta mánuði sagði honum að nota Microsoft 365, sem fyrirtækið er þegar með samning við. Það tekur 30 sekúndum lengur og engin gögn fara út fyrir EES.

• Síminn hringir og „Microsoft tæknideild“ biður um staðfestingarkóða

  Án Varhuga

  Sölumaður les upp kóðann. Tölvuþrjóturinn fær aðgang að Microsoft 365-reikningi fyrirtækisins, dreifir veiðipósti á alla viðskiptavini úr þeim reikningi og notar tengilistana til að ráðast á samstarfsaðila.

  Með Varhuga

  Sölumaður man að engin alvöru tæknideild biður um staðfestingarkóða í síma. Hann leggur á, hringir í tæknideildina í þekkta númerið og tilkynnir tilraunina. Reikningurinn er enn öruggur.

1. Í dag, þrjár mínútur

   Þú skráir þig inn með Microsoft, Google eða pósttengli, slærð inn nafn fyrirtækisins og afritar skráningartengil.

2. Dagur 1 til 3

   Þú sendir tilbúna tilkynningu í Teams eða tölvupósti. Starfsfólkið smellir, skráir sig inn og fyrsta námskeiðið bíður, fimm mínútur með stuttu prófi.

3. Vika 2 til 4

   Áminningar fara sjálfar á þá sem eiga eftir. Þú sérð stöðuna í stjórnborðinu, hverjir eru á eftir og hverjir þurfa eftirfylgni.

4. Mánuður 1

   Fyrsta mánaðarskýrslan er tilbúin: hverjir luku, hvenær, með skírteinum sem hver sem er getur sannreynt. Næsta námskeið fer sjálfkrafa á dagskrá.

• Framkvæmdastjórn

  Eitt atvik getur stöðvað rekstur, skaðað orðspor og kostað margfalt meira en allar varnir til samans. Langflestar árásir hefjast hjá starfsfólki, svo þjálfun starfsfólks er einföld leið til að lækka áhættu án mikillar röskunar á rekstri.

  • Kostar brot af tjóninu af einu atviki
  • Ein klukkustund á starfsmann á ári, engin röskun á rekstri
  • Svarar öryggisspurningalistum viðskiptavina og lækkar iðgjöld netvátrygginga

• Öryggisstjóri og IT

  Kerfið sér um úthlutanir, áminningar og skírteini. Stjórnborðið sýnir jafnóðum hverjir hafa lokið þjálfun, hvar veikleikarnir liggja og hverjir þurfa eftirfylgni, án þess að halda utan um neitt í Excel.

  • Sjálfvirkar áminningar, skírteini og endurskoðunarskýrsla
  • Stjórnborð með stöðu, veikustu efnum og fólki sem þarf athygli
  • Innskráning með Microsoft eða Google, engin ný lykilorð og engin innleiðing

• Stjórn

  NIS2 leggur ábyrgðina á stjórnina: hún samþykkir öryggisráðstafanir, hefur eftirlit með þeim og situr sjálf þjálfun. Vanræksla getur varðað persónulegri ábyrgð stjórnarmanna. Skjalfest þjálfun er sönnunin um að eftirlitshlutverkið sé rækt.

  • Sinnir þjálfunarþætti 21. greinar NIS2 og skjalfestir hann
  • Stjórnin getur sjálf setið sömu þjálfun og starfsfólkið
  • Staða þjálfunar alltaf tilbúin fyrir stjórnarfund og endurskoðun

Við erum með tölvuþjónustu sem sér um öryggið.

Gott, hún ver kerfin. Varhugi ver fólkið, og þar byrja langflestar árásir. Þetta tvennt bætir hvort annað upp: eldveggurinn stöðvar ekki starfsmann sem gefur upp lykilorðið sitt í síma.

Starfsfólkið gerir þetta ekki.

Fimm mínútur á mánuði er beiðni sem fólk segir já við. Kerfið sendir áminningar sjálft, stjórnborðið sýnir hverjir eru á eftir og deildarstjóri sér sína deild. Þú sendir eina tilbúna tilkynningu og lætur kerfið um eftirfylgnina.

Dugar þetta fyrir NIS2?

Fyrir þjálfunarskylduna, já: reglubundin og skjalfest þjálfun með skírteinum, mánaðarskýrslu og vörpun á kröfur tilskipunarinnar, grein fyrir grein. NIS2 gerir líka aðrar kröfur, um áhættustjórnun, atvikatilkynningar og fleira, sem Varhugi leysir ekki og segist ekki leysa.

Hvað verður um gögnin okkar?

Nöfn, netföng og námsárangur, hýst innan EES. Vinnslusamningur gildir sjálfkrafa, undirvinnsluaðilar eru birtir og ef þið hættið eru gögnin afhent eða þeim eytt innan 30 daga.

Er þetta dýrt?

Lite kostar 9.900 kr. á mánuði fyrir allt að 25 manns, undir 400 kr. á starfsmann á mánuði þegar sætin eru fullnýtt. Þjálfunin sjálf tekur eina klukkustund á starfsmann á ári. Eitt atvik kostar margfalt meira en árið allt.

Við erum með öryggisstefnu og héldum fyrirlestur.

Fyrirlestur einu sinni gleymist, það er einmitt vandinn sem síðan lýsir hér að ofan. Stefnuna geturðu sett inn í Varhuga og látið hvern starfsmann staðfesta að hafa lesið hana, með dagsetningu sem birtist í skýrslunni.

Lesa um NIS2-skyldurnarÖryggi og gagnaverndSjá verðskrá