Catena Valore

VIRKON - Cyber Security | Sikkerhedstjek

Oplysninger

Vi har brug for nogle oplysninger om jeres virksomhed for at kunne give jer specifikke anbefalinger til, hvordan I kan styrke jeres IT-sikkerhed.

Hvor mange ansatte er i ?

Hvad er den årlige omsætning ?

Hvor lang tid kan virksomheden fungere, hvis der ikke er adgang til IT-systemer, fx e-mail, kundedatabase, intranet, hjemmeside osv.?

Hvor mange personer gemmer i data på ?

Hvilke typer data opbevarer virksomheden?

Almindelige personoplysninger (Fx navne, adresser, økonomiske forhold, gæld, CV, boligforhold, stilling, ansættelsesdato.)

Følsomme personoplysninger (Fx helbredsoplysninger, straffeattest, race og etnicitet, religiøs eller filosofisk overbevisning, politisk overbevisning, seksuelle forhold eller orientering, genetiske data.)

Forretningsdata (Fx patenter, forretningshemmeligheder, designs og/eller anden intellektuel ejendom.)

Ledelse og risikohåndtering

I hvor høj grad har ledelsen taget stilling til, hvordan virksomheden arbejder med IT-sikkerhed?

Virksomheden har ingen ansatte, spørgsmålet er derfor mindre relevant.

Vi har ikke taget stilling til, hvordan IT-sikkerhed skal håndteres i virksomheden.

Vi har erkendt et behov på IT-sikkerhedsområdet, men prioriterer ikke tid eller ressourcer til at arbejde med IT-sikkerhed.

Vi er opmærksomme på IT-sikkerhed, og virksomheden har en medarbejder, som er ansvarlig for IT-sikkerhed. Det er dog et område, som vi kun tager op sporadisk.

Vi har IT-sikkerhed på dagsordenen og følger løbende op på, hvad status er for IT-sikkerheden i virksomheden.

Vi er meget synlig på IT-sikkerhedsområdet, og der arbejdes systematisk med IT-sikkerhed. Vi bidrager også til at skabe opmærksomhed om IT-sikkerhed blandt medarbejderne.

Har ledelsen dannet sig et overblik over virksomhedens vigtigste systemer og data?

Vi har ikke noget overblik over virksomhedens vigtige data og systemer.

Vi har enkelte medarbejdere, som kender de kritiske systemer og data for deres forretningsområde. Men der er ikke noget samlet overblik.

Vi har forsøgt at danne os et overblik over virksomhedens kritiske data og systemer, men vi er ikke helt i mål, og vi har endnu ikke lavet en skriftlig oversigt.

Vi har skrevet et godt overblik over kritiske data og systemer, men vi har ikke en plan for at opdatere den.

Vi har et samlet overblik over kritiske informationer og systemer i hele virksomheden. Overblikket er skrevet ned og opdateres løbende, og vi vurderer og tilpasser løbende indsatsen.

Har I lavet en risikovurdering for virksomheden?

Vi har ikke lavet en risikovurdering.

Vi taler nogle gange om, hvad der er af trusler – fx når der er sager i medierne om IT-sikkerhedsbrud. Vi har dog ikke taget stilling til, hvordan vi skal arbejde med de konkrete risici i virksomheden.

Vi har haft en eller flere grundige drøftelser af virksomhedens risiko i forhold til IT-sikkerhed og talt om, hvor vi bør gøre noget. Vi har dog ikke lavet en egentlig risikovurdering eller handlet på baggrund af vores drøftelser.

Vi har lavet en skriftlig risikovurdering. Den er dog ikke blevet opdateret eller afprøvet.

Vi har udarbejdet en skriftlig risikovurdering for virksomheden, som opdateres mindst én gang om året.

Sikkerhedsprocedurer

Har I skrevet en IT-sikkerhedspolitik eller andre regler for håndtering af IT-sikkerheden?

Vi har ikke en nedskrevet IT-sikkerhedspolitik.

Vi har nogle helt overordnede retningslinjer for arbejdet med IT-sikkerhed i virksomheden, men har ikke nedskrevet en konkret IT-sikkerhedspolitik.

Vi har skrevet nogle ting ned om, hvordan vi arbejder med IT-sikkerhed på udvalgte områder, men vi har ikke lavet en samlet IT-sikkerhedspolitik, der dækker hele virksomheden.

Vi har en nedskrevet IT-sikkerhedspolitik, som dækker alle områder af vores virksomhed, men den opdateres sjældent.

Vi har en IT-sikkerhedspolitik, som har separate afsnit for hvert forretningsområde, som vi opdaterer løbende. Vi evaluerer periodisk vores IT-sikkerhedspolitik og justerer de områder, hvor evalueringen viser et behov.

Hvordan sikrer I, at personoplysninger håndteres forsvarligt?

Vi har ikke taget stilling til reglerne for håndtering af personoplysninger.

Vi er opmærksomme på, at der gælder særlige regler for håndtering af personoplysninger, men det er op til den enkelte medarbejder at leve op til dem.

Vi har kigget på reglerne for håndtering af personoplysninger og lavet retningslinjer for medarbejderne. Retningslinjerne er dog ikke nedskrevet, men fortælles mundtligt.

Vi holder os orienteret i reglerne for håndtering af personoplysninger og har skrevet en plan for, hvordan vi skal overholde dem.

Vi er godt inde i reglerne for håndtering af personoplysninger i forhold til GDPR og har en nedskrevet plan for at efterleve reglerne, som vi løbende evaluerer og justerer.

Hvordan har I sikret den fysiske adgang til virksomhedens data og systemer?

Vi har ikke gjort noget særligt for at beskytte den fysiske adgang til vores data.

Yderdøre, vinduer og andre adgangsveje er låste.

Bygningerne er låst af og forsynet med alarmer. Der er desuden lås på rum med kritiske data, fx serverrum og arkiver.

Bygningerne er sikret med låse og alarmer på yderdørene, og døre til kritiske data er låst af. Kun medarbejdere, som har behov for adgang til rummene, kan komme ind.

Bygningerne er sikret med videoovervågning, alarmer og er låst af, og vi tester løbende den fysiske sikkerhed. Kun udvalgte medarbejdere har adgang til rum med kritiske data.

Har I en beredskabsplan for, hvordan I opdager og håndterer et brud på IT-sikkerheden?

Vi har ikke nogen plan for, hvordan vi håndterer et brud på IT-sikkerheden.

Vi har talt om, hvordan vi skal håndtere IT-sikkerhedsbrud, men vi har på nuværende tidspunkt ingen fast beredskabsplan.

Vi har lavet retningslinjer for, hvad medarbejdere skal gøre, hvis de opdager et brud på IT-sikkerheden. Retningslinjerne er ikke skrevet ned, men bliver fortalt til nye medarbejdere.

Vi har skrevet en beredskabsplan, som beskriver opgaver, ansvarsfordeling, kontaktoplysninger osv., som vi kan bruge ved et brud på IT-sikkerheden.

Vi har skrevet en beredskabsplan og udpeget en ansvarlig, som skal teste og justere planen efter behov.

Medarbejdere

Hvordan styrer I medarbejdernes adgang til data og systemer?

Vi har ikke nogen styring af eller viden om de adgangsrettigheder, vores medarbejdere har.

Medarbejderne har bl.a. kode på deres computer og arbejdstelefon, men vi har ingen yderligere begrænsning af adgang til data.

Adgangsrettigheder tildeles efter en vurdering fra situation til situation, men rettighederne skrives ikke ned, og vi følger ikke op på dem.

Vi har et regelsæt, der klart definerer, hvilke medarbejdergrupper der skal have adgangsrettigheder til konkrete data og systemer. Adgangsrettigheder kontrolleres ikke, efter de er tildelt.

Vi har et regelsæt, der afgør, hvilke medarbejdere der tildeles adgangsrettigheder til data og systemer. Adgangsrettigheder efterses med faste intervaller og mindst én gang om året.

Har I sikret virksomheden mod medarbejdere, der bevidst forsøger at tilegne sig adgang til data og systemer på en måde, som kan skade virksomheden?

Vi har ikke taget stilling til, hvordan vi sikrer os mod tidligere eller nuværende medarbejderes skadelige handlinger.

Vi har erkendt behovet for at sikre os mod nuværende eller tidligere medarbejderes handlinger, men vi har ikke fundet en løsning på, hvordan vi gør.

Vi er opmærksomme på behovet for at sikre, at nuværende eller tidligere medarbejdere ikke kan gøre skade på virksomhedens data og systemer. Vi har lavet enkelte procedurer (fx slettes tidligere medarbejderes login til virksomhedens IT-systemer). Men vi har ikke skrevet en plan for, hvordan vi håndterer det.

Vi har en dokumenteret procedure, så nuværende og tidligere medarbejdere ikke kan gøre skade på virksomhedens data og systemer. Fx har vi begrænset antallet af medarbejdere, der har adgang til de vigtigste data. Proceduren er dog ikke blevet testet eller evalueret.

Vi har en dokumenteret procedure, så nuværende og tidligere medarbejdere ikke kan forvolde skade mod virksomhedens data og systemer. Proceduren bliver løbende testet og justeret.

Hvad gør I for, at virksomhedens medarbejdere er bevidste om IT-sikkerhed?

Vi oplyser eller uddanner ikke vores medarbejdere i sikker håndtering af data og IT-systemer.

Vi taler af og til med vores medarbejdere om, at de skal være opmærksomme på IT-sikkerhed. Men vi har ikke skrevet retningslinjer ned og følger ikke struktureret op på området.

Vi har IT-sikkerhed som et fast punkt på dagsordenen i virksomheden, når vi taler om medarbejderudvikling. Vi har haft enkeltstående uddannelses- og/eller oplysningsaktiviteter, men vi har ingen skriftlig vejledning eller fast procedure på området.

Vi har skrevet en vejledning om IT-sikkerhed til vores medarbejdere, og vi har med faste intervaller uddannelses- og oplysningsaktiviteter. Vi måler ikke medarbejdernes viden på området.

Vi har skrevet en vejledning om IT-sikkerhed til vores medarbejdere, og vi har med faste intervaller uddannelses- og oplysningsaktiviteter. Vi målretter undervisningen mod specifikke medarbejdergrupper.

Tekniske løsninger

Hvordan beskytter I virksomhedens interne og eksterne datanetværk?

Vi ved ikke, om vores netværk er beskyttet.

Vores netværk er beskyttet, men det er ikke sket efter en systematisk tilgang, og vi har ingen overordnet plan for arbejdet.

Vi er begyndt at danne os et overblik over vores interne og eksterne netværk, og hvordan vi bedst beskytter dem, men vi har ikke nedskrevet en plan.

Vi har skrevet en oversigt over vores interne og eksterne netværk og taget stilling til, hvilke sikkerhedstiltag der er nødvendige. Vi har endnu ikke implementeret alle de punkter, vi har skrevet i planen.

Vi har implementeret sikkerhedstiltag (fx antivirus, firewall m.m.) på baggrund af vores nedskrevne oversigt over interne og eksterne netværk. Vi har testet og efterfølgende tilpasset vores sikkerhedstiltag, hvis der har været behov for det.

Hvordan sikrer I, at virksomhedens styresystemer, programmer og andre softwareløsninger bliver opdateret?

Vi har ikke gjort noget for at sikre, at vores software bliver opdateret løbende. Vi er ikke klar over, om der er sårbarheder i vores IT-systemer og programmer.

Ansvaret for opdateringer af programmer og styresystemer ligger hos den enkelte medarbejder. Vi har dog ingen regler for, hvornår og hvordan det sker.

Vi er begyndt at arbejde med, at opdateringer bliver implementeret løbende. Men vores proces er ikke nedskrevet.

Vi har lagt en plan for at identificere sårbarheder i vores systemer og lave de nødvendige opdateringer. Planen er skrevet ned.

Vi har en dokumenteret plan for identificering af sårbarheder og opdateringer. Vi har implementeret og testet vores opdateringsplan og forbedret de processer, hvor det var nødvendigt.

Hvordan beskytter I virksomhedens IT-udstyr mod malware (dvs. virus og andet ondsindet software)?

Vi har ikke gjort noget for at undgå at blive ramt af malware.

Vi instruerer medarbejdere i at installere antivirus på deres arbejdscomputere. Vi kontrollerer ikke, om instruksen bliver fulgt, eller om den beskyttelse, der er installeret, virker.

Vi har placeret ansvaret for, at vores IT-udstyr er beskyttet mod malware hos en eller flere medarbejdere. Der findes ikke en nedskrevet oversigt over vores beskyttelse mod malware og virus.

Vi har placeret ansvaret for, at vores IT-udstyr er beskyttet hos en eller flere medarbejdere. Vi har også skrevet ned, hvilke tiltag vi har iværksat for at undgå, at vores IT-udstyr bliver inficeret af malware og virus.

Vi har lavet et overblik over vores tiltag for at beskytte IT-udstyr mod malware og virus, og skrevet det ned. Derudover oplyser vi vores medarbejdere om, hvordan de bedst muligt kan undgå, at deres computere bliver inficeret med virus, og hvad de skal gøre, hvis uheldet er ude.

Har I en effektiv backup-proces i tilfælde af datatab eller nedbrud i virksomhedens IT-systemer?

Vi tager ikke backup.

Det er op til de enkelte medarbejdere at vurdere, hvilke data der skal tages backup af, og hvor ofte det er nødvendigt.

Vi tager løbende backup af virksomhedens data, men vi har ikke skrevet et regelsæt, og vi kontrollerer ikke, om vores backup virker efter hensigten.

Vi tager løbende backup af virksomhedens data og har nedskrevet et regelsæt. Vi kontrollerer og tester ikke vores procedurer for backup.

Vi tager løbende backup af virksomhedens data og har et nedskrevet regelsæt. Vi tester jævnligt vores procedurer for backup.

Har I implementeret logning af aktiviteter og overvågning af sikkerheden i virksomhedens IT-systemer?

Vi foretager ikke overvågning eller logning af vores IT-systemer.

Vi logger aktiviteter på computere og servere, men vi analyserer ikke log-aktiviteten for at finde mistænkelig aktivitet.

Vi logger aktiviteter for at kunne bruge det i vores arbejde med IT-sikkerhed. Vi har dog ikke nogen fast procedure for, hvordan loggene anvendes, og vi har ingen medarbejdere med IT-sikkerhedskompetencer til at identificere sikkerhedshændelser.

Vi har nedskrevet faste procedurer for sikkerhedslogning og for, hvordan vi opdager brud på IT-sikkerheden.

Vi har faste procedurer for sikkerhedslogning. Vi har medarbejdere med IT-sikkerhedskompetencer, som har ansvaret for, at sikkerhedslogningen fungerer, og som justerer logningen efter behov.

Partnere

Har I taget stilling til sikkerhedskrav i de virksomheder, I har outsourcet IT-drift til?

Vi outsourcer ikke noget af vores IT, spørgsmålet er derfor ikke relevant.

Vi har ikke taget stilling til, hvordan vores samarbejdspartnere håndterer IT-sikkerhed.

Vi har talt om IT-sikkerhed med vores underleverandør, men vi har ikke en formel, skriftlig aftale med krav til sikkerheden, som de skal overholde.

Vi har nogle retningslinjer, som vi bruger til at stille krav til sikkerheden hos samarbejdspartnere. Disse er dog ikke nedskrevet og implementeres ad hoc i vores kontrakter.

Vi har specifikke krav til IT-sikkerheden hos vores samarbejdspartnere, som er skrevet ind i vores aftaler og kontrakter. Vi følger ikke løbende op på, om kravene bliver overholdt.

Vi har specifikke krav til IT-sikkerheden hos vores underleverandører, og vi kræver løbende dokumentation for, at de bliver overholdt.

Har I lavet databehandleraftaler med de underleverandører, som håndterer personoplysninger for jer?

Vi behandler ikke personoplysninger gennem underleverandører, spørgsmålet er derfor ikke relevant.

Vi har ikke taget stilling til, om vi har brug for en databehandleraftale med nogen af vores samarbejdspartnere.

Vi har erkendt behovet for at lave databehandleraftaler. Ansvaret for, at det bliver gjort, ligger hos den enkelte medarbejder.

Vi har lavet en standard for databehandleraftaler, som vores medarbejdere kan bruge. Vi følger ikke op på de enkelte aftaler.

Vi har skrevet en proces for, hvordan vores medarbejdere vurderer behovet for en databehandleraftale. Derudover har vi en eller flere medarbejdere med de nødvendige kompetencer, som gennemgår alle databehandleraftaler, inden de underskrives. Vi følger ikke op på, om vores underleverandører lever op til kravene i databehandleraftalen.

Vi har en dokumenteret proces for, hvordan vi sikrer, at vi får lavet databehandleraftaler, hvor det er nødvendigt. Aftalerne gennemgås af medarbejdere med de nødvendige kompetencer. Vi følger løbende op på vores underleverandørers håndtering af persondata.