Antagelsen om, at angribere kun interesserer sig for store navne med store pengekasser, kan få en mindre virksomhed til at skubbe sikkerheden foran sig. Den bygger på et billede af angreb som noget, der planlægges mod et udvalgt offer, og det billede er kun en del af virkeligheden.
Nogle angreb vælger ikke deres mål på forhånd. De søger bredt og automatisk efter kendte svagheder i det, der er tilgængeligt fra internettet, og rammer dem, hvor svaghederne findes. For den slags angreb er virksomhedens størrelse uden betydning. Det afgørende er, hvad I viser frem, og om det er sårbart.
Hvor myten kommer fra
Myten er forståelig. Nyheder om angreb handler om kendte virksomheder og myndigheder, fordi det er dem, der bliver skrevet om. En lille rådgivningsvirksomhed eller en lokal webshop, der bliver ramt, når ikke avisen.
Dertil kommer en rimelig tanke: hvorfor skulle nogen bruge tid på os, når der er større og mere værdifulde mål? Tanken forudsætter, at angriberen bruger tid på at vælge. Det er ikke altid tilfældet.
Myten overser også, hvad der har værdi. Enhver virksomhed har data, den ikke kan undvære: bogføringen, kundelisten, ordrerne i ERP-systemet og mailen. Et angreb, der gør data utilgængelige eller lækker dem, rammer derfor også den lille virksomhed. Værdien for angriberen ligger ikke kun i virksomhedens størrelse, men i hvor meget virksomheden har brug for at få sine data tilbage.
Angreb, der ikke vælger
Det britiske NCSC skelner mellem målrettede og ikke-målrettede angreb. Ved de ikke-målrettede angreb rammer angriberen bredt og uden at vælge et bestemt offer, fx ved at sende samme falske mail til mange modtagere eller ved at søge store dele af internettet igennem efter kendte svagheder.
For den, der står bag, er det billigt at søge bredt. Når en svaghed i et udbredt system bliver kendt, kan alle, der bruger systemet uden at have opdateret, blive ramt, uanset om de er store eller små. Angriberen behøver ikke vide, hvem I er, før svagheden er fundet.
Det er derfor, størrelsen ikke beskytter. En lille virksomhed med en forældet fjernadgang er lige så synlig for en automatisk søgning som en stor virksomhed med samme svaghed.
Det, der kan nås udefra, kan findes
Alt, hvad virksomheden har tilgængeligt fra internettet, kan findes af andre: hjemmesiden, webshoppen, kundeportalen, mailsystemet, fjernadgangen til kontornettet og de systemer, som hostingfirmaet eller driftsleverandøren har sat op på jeres vegne.
Mindre virksomheder kan have mindre overblik over, hvad der faktisk er synligt. En gammel testside, som et webbureau satte op for år tilbage, eller en fjernadgang, som en tidligere leverandør åbnede, kan stadig stå der. Det er den slags glemte indgange, en bred søgning kan finde. → Angrebsflade
Det første skridt er derfor at få en liste over, hvad I har tilgængeligt, og hvem der har ansvaret for hver del. → IP-adresser og domæner i opgaven
Lille virksomhed, store forbindelser
En lille virksomhed kan også være interessant på grund af dem, den arbejder for. En underleverandør med adgang til en større kundes systemer, en rådgiver med kunders fortrolige dokumenter eller en webshop med kundernes betalingsoplysninger kan være en vej videre.
Det er en af grundene til, at større kunder kan stille krav til deres leverandørers sikkerhed, også når leverandøren er lille. Kravet kan komme gennem en kontrakt, et spørgeskema eller et ønske om at se en testrapport, og det kan komme, før virksomheden selv har overvejet behovet. → Når en kunde stiller NIS2-krav
Hvad størrelsen faktisk ændrer
Størrelsen beskytter ikke, men den ændrer forudsætningerne. En mindre virksomhed kan have færre systemer, færre folk og ingen egen sikkerhedsfunktion. Det kan gøre det sværere at opdage et angreb og sværere at komme på fode igen bagefter.
Til gengæld er overblikket lettere at skabe. Med færre systemer kan en enkelt gennemgang dække en større del af det, der betyder noget. Og beslutningerne kan træffes hurtigt, fordi der er kort vej til ledelsen. → Små virksomheder uden IT-afdeling
Ansvaret ligger også et andet sted. I en lille virksomhed er det ejeren eller direktøren, der står med beslutningen. Den kan ikke uddelegeres til en sikkerhedsafdeling, der ikke findes, men den kan støttes af den eksterne IT-leverandør. Afklar, hvad leverandøren faktisk står for, og hvad der ligger hos jer selv. Det er ikke givet, at en aftale om drift også dækker overvågning, opdateringer af alle systemer eller hjælp, hvis noget går galt.
En test i den rigtige størrelse
En penetrationstest behøver ikke dække alt. For en mindre virksomhed kan det give mening at starte med det, der er synligt fra internettet, eller med det ene system, der ville gøre mest skade, hvis det blev ramt, fx webshoppen eller adgangen til kontornettet. → Den første penetrationstest
Inden testen bestilles, kan en del gøres uden en tester: få overblik over, hvad der er synligt, luk det, der ikke bruges, sørg for opdateringer, og slå to trin til login til, hvor det er muligt. En test giver mest værdi, når det grundlæggende er på plads, fordi den så kan bruge tiden på det, I ikke selv kan se. Resultatet kan også bruges over for kunder, der spørger til jeres sikkerhed, så længe det er klart, hvad testen dækkede.
Det skal I lade være med
- At lade størrelsen erstatte en vurdering · det afgørende er, hvad I viser frem, ikke hvor store I er.
- At glemme de indgange, andre har sat op · leverandørers adgange og gamle testsider er også jeres.
- At overse jeres kunder · en lille virksomhed kan være vejen til en større.
- At tro, at en test skal være stor · en afgrænset test af det vigtigste kan være et fornuftigt første skridt.
- At vente på et konkret varsel · ikke-målrettede angreb kommer uden varsel.
Hvad kan og ikke kan konkluderes
Størrelsen alene siger ikke noget om, hvor udsat en virksomhed er. Det, der afgør det, er, hvad der er tilgængeligt, og om det har kendte svagheder. Det kan undersøges.
En penetrationstest kan vise, om de systemer, der indgik, kan udnyttes på den måde, testen afprøvede. Den kan ikke vise, om I vil blive angrebet, eller hvornår. Ingen test kan forudsige det.
Tjekliste: hvad viser vi frem?
- ☐ Har vi en liste over alt, der er tilgængeligt fra internettet?
- ☐ Ved vi, hvem der har ansvaret for hver del?
- ☐ Er gamle sider, testmiljøer og adgange lukket?
- ☐ Er systemerne opdateret?
- ☐ Er to trin til login slået til, hvor det er muligt?
- ☐ Ved vi, hvilke kunders systemer vi har adgang til?
- ☐ Er det besluttet, hvilket område en første test skal dække?
Kilder
- NCSC (UK): How cyber attacks work: forskellen på målrettede og ikke-målrettede angreb.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Ejerledede virksomheder · Derfor penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
