Sådan vælger du en sikker leverandør til dit smarte kontor

Annonce – sponsoreret indhold.

At vælge sikker it-leverandør handler om mere end pris og design: Du skal vide, hvem der driver softwaren bag dit udstyr, hvordan sikkerhedsopdateringer leveres, og hvad der sker med dine data. Det gælder også, når du kun køber en smart lås, et overvågningskamera eller en router til hjemmekontoret. Her får du en praktisk fremgangsmåde i den rækkefølge, du skal handle, og en tjekliste med spørgsmål, du kan stille, før du betaler.

Sådan kan du vælge sikker it-leverandør, før du vælger gadget

De fleste starter med udstyret: Hvilket kamera har den bedste billedkvalitet, og hvilken lås ser pæn ud på en glasdør? Det er naturligt, især når man interesserer sig for premium gadgets. Men en smart enhed er en tjeneste, ikke et stykke hardware. Bag den ligger en app, en cloud-server, en opdateringsmekanisme og et firma, der skal eksistere og vedligeholde produktet i mange år.

Som selvstændig eller lille virksomhedsejer er du i praksis ansvarlig for det, der kører på dit netværk. Hvis et kamera i receptionen lækker billeder, eller en lås kan åbnes af uvedkommende, er det dig, kunderne henvender sig til. Det er ikke leverandøren i Shenzhen, Stockholm eller Californien.

Leverandørvalget overses, fordi det føles som et indkøb og ikke som en sikkerhedsbeslutning. Der er ingen it-afdeling, der stiller spørgsmål, og produktsiden fortæller sjældent noget om drift, opdateringer eller databehandling. Store virksomheder håndterer det med faste procedurer. Her bruges ISO 27001 leverandørstyring ofte som ramme: Man vurderer leverandører systematisk, stiller ensartede krav og følger op over tid. Du behøver ikke en certificering for at bruge tankegangen. Du kan stille de samme grundspørgsmål, før du binder dig.

Hvad der kan gå galt med usikre IoT-leverandører

Risikoen er konkret. Tre typiske scenarier:

Standardkoder og manglende opdateringer

Mange smarte enheder leveres med standardadgangskoder eller svage opsætningsvalg. Hvis producenten ikke udsender sikkerhedsopdateringer, bliver kendte sårbarheder stående åbne. Mirai-botnettet i 2016 er et velkendt eksempel: Det overtog store mængder internetforbundne kameraer og routere, især dem med uændrede standardlogin. Princippet er stadig det samme i dag.

Cloud-afhængighed og leverandører, der forsvinder

Mange låse, kameraer og assistenter virker kun via producentens cloud. Hvis leverandøren går konkurs, opkøbes eller stopper produktet, kan funktioner forsvinde, og enheden kan stå uden opdateringer. En smart lås, der ikke længere kan administreres, er et driftsproblem og en sikkerhedsrisiko.

Data, du ikke ved, hvor ligger

Kameraer optager medarbejdere og besøgende. Cloud-assistenter behandler samtaler, kalendere og dokumenter. Netværksudstyr kan sende driftsdata tilbage til producenten. Så snart personoplysninger er involveret, er du dataansvarlig efter GDPR. Hvis leverandøren behandler data for dig, skal der som udgangspunkt være en databehandleraftale. Datatilsynet har vejledning om dataansvar og databehandlere. Se den, hvis du er i tvivl om din rolle.

Dertil kommer, at leverandøren selv kan være et led i en kæde. Appen kan bruge en underleverandør til skylagring, og supporten kan sidde i et tredjeland. Hvis du ikke kan få et klart svar på, hvem der har adgang til hvad, er det i sig selv en information.

Trin 1-3: Sådan undersøger du leverandøren, inden du køber

Vurderingen behøver ikke tage lang tid. Gå frem i denne rækkefølge:

1. Kortlæg, hvad enheden gør. Hvilke data den indsamler, om den er forbundet til internettet, og om den kan tilgå dit interne netværk. Et kamera med skyoptagelse kræver mere end en offline kodelås.
2. Find ud af, hvem der står bag. Kig efter virksomhedens adresse, CVR- eller tilsvarende nummer, hvor længe produktet har eksisteret, og om der findes en supportside med versionshistorik. Anonyme webshops og mærker uden synligt firma er et advarselstegn.
3. Læs vilkår og privatlivspolitik med et formål. Se efter, hvor data opbevares, hvem de deles med, og om leverandøren kalder sig databehandler eller selv bruger data til egne formål.

Allerede her kan mange produkter sorteres fra. Hvis du ikke kan finde svar i åbne kilder, så spørg leverandøren direkte. En seriøs producent har svar klar eller kan hurtigt finde dem. Se ikke kun på, hvad de svarer, men også på, hvor hurtigt og konkret de gør det.

Dokumentation og certificeringer, der faktisk siger noget

Løfter som “bankniveau-kryptering” er markedsføring. Det, du kan bede om, er dokumentation:

• ISO 27001-certifikat: Viser, at leverandøren har et styret system for informationssikkerhed. Tjek, hvad certifikatets scope dækker. Det skal omfatte det produkt og den drift, du køber, ikke kun et enkelt kontor.
• SOC 2-rapport: Ses hos mange cloud-leverandører, især fra USA. Den bygger på en uafhængig revisors vurdering.
• CE-mærkning og overholdelse af EU-regler: Radioudstyr skal opfylde krav i EU. Med Cyber Resilience Act (CRA) stilles der gradvist skærpede cybersikkerhedskrav til produkter med digitale elementer, som sælges i EU. Det betyder, at producenter fremover skal kunne dokumentere, hvordan de håndterer sårbarheder i hele produktets levetid.
• Politik for sårbarheder: En offentlig kontaktadresse til sikkerhedsforskere, en beskrivelse af, hvordan fejl rapporteres og rettes, og gerne en security.txt-fil på hjemmesiden.
• Databehandleraftale: Skal beskrive formål, typer af data, sletning og eventuelle underdatabehandlere.

Et certifikat er ikke en garanti, men det viser, at der er en proces bag. Hvis leverandøren ikke har et, er det ikke nødvendigvis en diskvalificering for en lille smart enhed. Så bør du til gengæld få klare svar på de praktiske spørgsmål i næste afsnit. Til sikkerhedsrådgivning kan du også bruge Center for Cybersikkerhed (CFCS), som udgiver vejledninger målrettet danske virksomheder.

Tjekliste: Spørgsmål du skal stille, før du køber

Brug listen som udgangspunkt, når du skriver til en leverandør eller en forhandler. Gem svarene, så du kan dokumentere, hvorfor du valgte som du gjorde.

Opdateringer og levetid

• Hvor mange år garanterer I sikkerhedsopdateringer fra købsdatoen?
• Opdateres enheden automatisk, og kan jeg se, hvilken softwareversion den kører?
• Hvad sker der, når produktet udgår? Virker det stadig lokalt uden cloud?

Adgang og login

• Understøtter løsningen tofaktorlogin og individuelle brugere med forskellige rettigheder?
• Skal standardadgangskoden ændres ved opsætning, og tvinger systemet til det?
• Kan jeg se en log over, hvem der har åbnet låsen, set kameraet eller ændret indstillinger?

Data og placering

• Hvilke data indsamler enheden og appen, og hvor opbevares de (land og leverandør)?
• Bruger I underleverandører, og hvem er de?
• Kan jeg slette data og konto helt, og hvor hurtigt sker det?
• Kan I tilbyde en databehandleraftale?

Sikkerhedsstyring

• Har I ISO 27001, SOC 2 eller en tilsvarende uafhængig vurdering, og hvad dækker den?
• Hvordan håndterer I rapporterede sårbarheder, og hvor hurtigt retter I dem?
• Hvordan og hvornår orienterer I kunder, hvis der sker et sikkerhedsbrud?

Kontrakt og drift

• Hvad står der om ansvar, oppetid og support i aftalen?
• Hvad sker der med mine data og min opsætning, hvis I opsiger aftalen eller lukker?
• Hvilken support er der, hvis noget går galt uden for normal åbningstid?

Hvornår skal du have professionel hjælp til leverandørstyring?

Tjeklisten rækker langt, når du køber en enkelt enhed. Men behovet ændrer sig, når antallet vokser, eller når enhederne rører ved følsomme ting.

• Du har mange leverandører, og ingen har overblik over, hvem der har adgang til hvad.
• Dine kunder stiller krav til din informationssikkerhed, fx i udbud eller leverandørspørgeskemaer.
• Du leverer til virksomheder, der er omfattet af NIS2, og som derfor selv skal stille krav til deres leverandørkæde.
• Du behandler personoplysninger i større omfang, fx via kameraer, adgangskontrol eller cloud-baserede assistenter.
• Du overvejer at blive certificeret, eller du vil arbejde mere struktureret med sikkerhed.

Her kan en rådgiver hjælpe dig med at lave en risikovurdering af leverandørerne, skrive krav ind i aftalerne og sætte en rutine for opfølgning. Mange starter med en foranalyse, der viser, hvor man står, og hvad der bør prioriteres, før man investerer i et fuldt forløb. Vurdér altid, om omfanget står mål med din virksomheds størrelse og risiko. Det er ikke alle selvstændige, der har brug for et fuldt ledelsessystem.

Ofte stillede spørgsmål

Hvordan kan jeg hurtigt se, om en leverandør af smarte enheder er til at stole på?

Tjek, om firmaet er tydeligt identificerbart, om der er en offentlig politik for sikkerhedsopdateringer, og om der findes en databehandleraftale. Få skriftligt svar på, hvor længe produktet opdateres, og hvor data opbevares. Hvis leverandøren ikke kan eller vil svare, bør du vælge et andet produkt.

Skal en leverandør til mit kontor have ISO 27001?

Det er ikke et lovkrav for alle, og for små, simple enheder er det ikke altid nødvendigt. Men for cloud-tjenester, der behandler følsomme data eller styrer adgang til dit kontor, er certificeringen et stærkt signal. Husk at tjekke, hvad certifikatet faktisk dækker.

Er jeg ansvarlig, hvis min leverandør bliver hacket?

Det afhænger af situationen. Hvis der er tale om personoplysninger, er du som udgangspunkt dataansvarlig og skal kunne dokumentere, at du har valgt en databehandler med passende sikkerhed. Kontakt Datatilsynet eller en jurist, hvis du har konkrete spørgsmål om dit ansvar.

Hvad gør jeg med eksisterende enheder, jeg allerede har købt?

Lav en liste over alle forbundne enheder, find producent og softwareversion, og tjek, om der stadig udkommer opdateringer. Skift standardkoder, slå unødvendige cloud-funktioner fra, og placér enhederne på et separat gæste- eller IoT-netværk. Udskift udstyr, der ikke længere understøttes.

Ansvarsfraskrivelse: Indholdet i denne artikel er alene generel information og udgør ikke professionel rådgivning. Ved beslutninger om sundhed, økonomi eller jura bør du søge en kvalificeret fagperson.