IT-sikkerhet for bedrifter

IT-sikkerhet i en bedrift, ofte også kalt datasikkerhet eller cybersikkerhet, handler om å beskytte brukerkontoer, PC-er, e-post og data mot angrep og feil, og om å komme raskt tilbake når noe likevel skjer. I Mørketallsundersøkelsen 2026 fra Næringslivets sikkerhetsråd (NSR) oppga 452 av 2 500 norske virksomheter, 18 prosent, at de hadde hatt minst én digital sikkerhetshendelse de siste tolv månedene. Sosial manipulering og nettfisking rammet 13 prosent. Nettfisking, også kalt phishing, er falske e-poster og meldinger som skal lure til seg passord eller penger. Samtidig mangler 38 prosent av virksomhetene en informasjonssikkerhetsansvarlig, og blant de minste er andelen 48 prosent.

NSM skriver i Risiko 2026 at cyberoperasjoner fortsatt rammer bredt, og at både små og store virksomheter må være forberedt på å håndtere hendelser. NSMs egne inntrengingstester i statlige virksomheter i 2025 viste at de samme svakhetene gikk igjen, blant annet svake administratorpassord og bred gjenbruk av passord for lokale administratorkontoer.

Vi hjelper bedrifter med å få sikkerheten på plass gjennom sikkerhetsanalyse, konkrete tiltak, overvåking, håndtering av hendelser og opplæring av de ansatte. Arbeidet bygger på NSMs grunnprinsipper for IKT-sikkerhet og kan leveres som en del av en fast avtale om IT-drift og brukerstøtte, eller som enkelttjenester ved siden av en egen IT-ansvarlig.

Mørketallsundersøkelsen er Næringslivets sikkerhetsråds kartlegging av digitale sikkerhetshendelser i norske virksomheter. Utgaven for 2026 bygger på svar fra 2 500 virksomheter, samlet inn av Norstat i januar og februar 2026, og halvparten av dem har mellom 10 og 49 ansatte. Sosial manipulering og nettfisking var den klart vanligste hendelsestypen. Bedrageri rammet 5 prosent, og blant dem som ble utsatt, dominerte fakturabedrageri (64 prosent) og direktørbedrageri (47 prosent), altså falske fakturaer og e-poster som utgir seg for å komme fra ledelsen.

Tallene er trolig for lave, og NSR påpeker at virksomheter med et fast rammeverk for sikkerhet rapporterer flere hendelser enn de uten, fordi de oppdager mer. Av dem som hadde en hendelse, visste 23 prosent ikke hva som forårsaket den, og bare 12 prosent anmeldte den til politiet. Blant de 85 virksomhetene som oppga et entydig beløp for tapet, var medianen 25 000 kroner og gjennomsnittet 165 000 kroner. Det høyeste enkelttapet var 5 millioner kroner.

NSM skriver i Risiko 2026 at mange av hendelsene i 2025 var knyttet til sosial manipulering som nettfisking, og at mer avanserte varianter gjør at tofaktorautentisering alene ikke lenger gir tilstrekkelig beskyttelse. Løsepengeangrep, der angriperen krypterer eller stjeler data og krever betaling, er ifølge NSM en av de mest utbredte angrepsmetodene mot norske virksomheter.

Nasjonal sikkerhetsmyndighet (NSM) har utarbeidet grunnprinsipper for IKT-sikkerhet som mange norske virksomheter bruker som rammeverk. Versjon 2.1 er delt i fire kategorier med til sammen 21 prinsipper. Poenget er at sikkerhet ikke er ett produkt, men en sammenheng mellom oversikt, beskyttelse, evne til å oppdage angrep og evne til å håndtere dem.

Identifisere og kartlegge

Hva har bedriften som må beskyttes, hvilke systemer og data er viktigst, og hvem har tilgang til hva? Uten denne oversikten blir resten av arbeidet tilfeldig.

Beskytte og opprettholde

Sikker konfigurasjon, kontroll med identiteter og tilganger, beskyttelse av e-post og nettleser, sikkerhetskopier og faste rutiner for endringer. Her ligger de fleste tiltakene en bedrift kjenner igjen.

Oppdage

Finne og lukke kjente sårbarheter, og overvåke systemene slik at uvanlig aktivitet blir sett. NSM skriver at slike evner kan bygges internt eller kjøpes.

Håndtere og gjenopprette

Forberede seg på hendelser, vurdere og begrense dem, gjenopprette normal drift og lære av det som skjedde.

For en bedrift med 20 ansatte betyr ikke dette tunge prosesser. Det betyr at noen har oversikt, at de viktigste tiltakene er på plass, og at alle vet hva de skal gjøre når noe skjer. NSM tilbyr også Cybersjekk på cybersjekk.no, et verktøy som gir en rask vurdering av sikkerhetsnivået og forslag til tiltak.

Tofaktorautentisering

Tofaktorautentisering betyr at påloggingen krever noe mer enn passord, for eksempel en kode eller en godkjenning i en app. Microsoft oppgir at tofaktor kombinert med blokkering av eldre påloggingsmetoder stopper mer enn 99,9 prosent av vanlige identitetsrelaterte angrep. NSM advarer samtidig om at mer avanserte former for nettfisking kan omgå tofaktor. Administratorkontoer bør derfor ha de sterkeste metodene som er tilgjengelige.

Sikkerhetsoppdateringer og utstyr

NSM anbefaler et sentralt styrt regime for sikkerhetsoppdateringer, der oppdateringer installeres så fort som mulig, og at nettverksutstyr, servere og PC-er som ikke lenger får sikkerhetsoppdateringer, skiftes ut.

Sikkerhetskopi

Etter NSMs grunnprinsipper bør sikkerhetskopier være atskilt fra produksjonsmiljøet, ha begrenset tilgang og testes jevnlig ved faktisk gjenoppretting. Les mer om backup av Microsoft 365, servere og filer.

Opplæring og simulert phishing

NSR fant at ansatte som reagerer på mistenkelige e-poster, og oppmerksomme medarbeidere er blant de vanligste måtene hendelser blir oppdaget på. Simulerte nettfiskingsforsøk gjør opplæringen konkret. I Microsoft 365 heter funksjonen Attack simulation training, og den krever ifølge Microsoft lisensen Microsoft 365 E5 eller Defender for Office 365 Plan 2.

Logging og overvåking

NSM anbefaler å overvåke egne systemer for å avdekke uvanlig eller mistenkelig aktivitet, og å lagre logger sikkert og lenge nok til at et hendelsesforløp kan analyseres i etterkant.

Herding av Microsoft 365

Microsofts sikkerhetsstandarder (security defaults) krever at alle brukere registrerer tofaktor, og de blokkerer eldre påloggingsmetoder. De er slått på som standard i Microsoft 365-miljøer (leietakere) opprettet 22. oktober 2019 eller senere, og krever ingen ekstra lisens. Eldre miljøer bør kontrolleres. Har bedriften Microsoft Entra ID P1, kan betinget tilgang gi mer finmasket kontroll, men da må sikkerhetsstandardene slås av og erstattes av egne regler. Microsoft Secure Score i Microsoft Defender-portalen måler hvor mange av Microsofts anbefalte tiltak som er gjennomført. Microsoft presiserer selv at poengsummen ikke er noen garanti mot sikkerhetsbrudd. Se også siden om Microsoft 365 og Teams.

Et dataangrep er ofte også et brudd på personopplysningssikkerheten, for eksempel når en e-postkonto med kundeopplysninger blir overtatt. Da gjelder personvernforordningen (GDPR) artikkel 33. Den behandlingsansvarlige skal melde bruddet til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter å ha blitt kjent med det, med mindre det er lite sannsynlig at bruddet medfører risiko for dem det gjelder. Meldingen sendes via Altinn, og har dere ikke all informasjon innen fristen, kan bruddet meldes trinnvis.

Alle brudd skal dokumenteres, også de som ikke meldes. Er det sannsynlig at bruddet gir høy risiko for de berørte, skal de også informeres så raskt som mulig. En IT-leverandør som behandler personopplysninger på vegne av bedriften, skal varsle bedriften uten ugrunnet opphold.

NSM oppfordrer virksomheter til å varsle politiet, PST, NSM eller andre relevante myndigheter om uønskede hendelser, og til å ha rutiner slik at alle ansatte vet hva de skal gjøre. Virksomheter som tilbyr samfunnsviktige tjenester etter digitalsikkerhetsloven, som trådte i kraft 1. oktober 2025, har i tillegg en egen varslingsplikt med første varsel innen 24 timer. Den gjelder de færreste små bedrifter direkte, men lignende krav kan komme gjennom kunder som selv er omfattet.