Det korta svaret: Ja – men kanske inte på det sätt du tror
”Vi är ju bara tio anställda, vem skulle vilja hacka oss?”
Det är en av de vanligaste invändningarna vi möter när vi pratar med små och medelstora företag om informationssäkerhet. Och det är fullt förståeligt – bilden av cyberattacker som ett storföretagsproblem är seglivad. Verkligheten ser annorlunda ut.
Faktum är att små och medelstora företag i dag är bland de mest attraktiva målen för cyberkriminella, just för att de ofta saknar de skydd som större organisationer har på plats.
Vad är egentligen en IT- och informationssäkerhetspolicy?
Många blandar ihop begreppen, så låt oss reda ut det:
IT-policy beskriver hur företagets IT-resurser ska användas – datorer, mobiler, molntjänster, e-post och så vidare. Det handlar om regler för anställda och rutiner för IT-drift.
Informationssäkerhetspolicy är bredare och omfattar all information i verksamheten: digital och fysisk, kund- och personaldata, affärshemligheter, avtal, ritningar. Den beskriver hur informationen ska skyddas mot obehörig åtkomst, förlust och manipulation.
I praktiken hänger de ihop, och många mindre företag väljer att samla rutinerna i ett dokument anpassat efter verksamhetens storlek och bransch.
Varför är det viktigt även för mindre företag?
1. Hotbilden har förändrats
Tidigare handlade cyberattacker ofta om enskilda hackare som ville göra sig ett namn. I dag drivs den kriminella sidan som industri – med ransomware-as-a-service, phishing-kit och AI-genererade bedrägerier. För angriparen spelar det ingen roll om ni har 5 eller 5 000 anställda; det som räknas är hur lätt ni är att komma åt.
2. Lagkrav som faktiskt berör er
GDPR har funnits ett tag, men många underskattar fortfarande vad det kräver i praktiken. Sedan 2024 har dessutom NIS2-direktivet börjat tillämpas i Sverige, vilket dramatiskt utvidgar kretsen av företag som omfattas av krav på informationssäkerhet – inklusive många medelstora aktörer i bland annat tillverkning, livsmedel, post, avfallshantering och digitala tjänster.
3. Era kunder kommer att fråga
Större kunder och offentliga upphandlingar ställer i dag som regel krav på leverantörers säkerhetsarbete. Kan ni inte visa upp grundläggande policies och rutiner riskerar ni att tappa affärer – inte nödvändigtvis för att ni är osäkra, utan för att ni inte kan dokumentera att ni inte är det.
4. En policy är en livförsäkring den dagen något händer
När en incident inträffar – en anställd klickar på en phishing-länk, en laptop försvinner, ett konto blir kapat – är skillnaden mellan kaos och kontroll oftast om någon i förväg har bestämt vem som gör vad.
Måste det vara komplicerat?
Nej. Det är här många mindre företag fastnar – de tror att en informationssäkerhetspolicy måste se ut som ett 80-sidigt ISO 27001-dokument. Det måste den inte.
För ett företag med 15 anställda kan en bra grund vara:
- En övergripande informationssäkerhetspolicy på 2–4 sidor som beskriver ert förhållningssätt
- En användarpolicy för anställda om hur datorer, mobiler och e-post ska hanteras
- En lösenords- och åtkomstpolicy
- En incidenthanteringsrutin – vad gör vi om något händer?
- En rutin för säkerhetskopiering och återställning
Det viktiga är inte längden, utan att dokumenten är förankrade hos medarbetarna och faktiskt följs i vardagen.
Tre vanliga misstag att undvika
1. Att kopiera en mall utan att anpassa den. En policy som inte speglar er verksamhet hjälper varken medarbetarna eller en revisor.
2. Att skriva dokumentet och sedan lägga det i en mapp. Policys som ingen läst eller utbildats i ger en falsk trygghet.
3. Att glömma uppföljningen. Hot, teknik och verksamhet förändras. En policy som inte uppdaterats på tre år är troligen redan inaktuell.
Hur kommer ni igång?
Börja inte med dokumentet utan börja med en kartläggning. Vilken information har ni som verkligen är värdefull eller känslig? Var finns den? Vem har tillgång? Vad skulle hända om den läckte, försvann eller manipulerades?
När den bilden är klar blir policyarbetet både enklare och mer relevant. Då skriver ni inte regler för reglerna skull, utan rutiner som faktiskt skyddar det som är viktigt för er.
Klykk – er partner i resan
På Klykk arbetar vi dagligen med små och medelstora företag som vill ta sitt digitala arbete på allvar utan att drunkna i jargong eller överarbetade dokument. Vi hjälper er att kartlägga, prioritera och bygga ett säkerhetsarbete som passar just er verksamhet.
Och eftersom vi också arbetar med digitalisering och digital marknadsföring ser vi helheten: säkerhet, system och synlighet hänger ihop. Ett företag som är tryggt på insidan kan satsa offensivt på utsidan.
Är ni nyfikna på var ni står i dag? Hör av er, så bjuder vi på ett första samtal om var era styrkor och risker finns.
Lämna ett svar