Nasjonal sikkerhetsmyndighet (NSM) i Norge har hevet cyberrisikonivået til høyt. Vi vil gjerne dele noen konkrete tiltak som ideelle organisasjoner bør sjekke nå for å beskytte giver- og medlemsdata.
De siste ukene har vist hvor fort det kan gå. 21. oktober varslet NSM om to kritiske sårbarheter i PHP. Det er programmeringsspråket bak rundt sju av ti nettsider, blant annet alle som bygger på WordPress. Hullene gjør det mulig å ta over en server via internett uten å logge inn. Oppdateringene kom samme dag, og det hastet å få dem på plass.
Den 27. oktober hevet NSM det nasjonale cyberrisikonivået til «høyt», nest høyeste nivå. De sier de har sett en tredobling av vellykkede cyberangrep mot norske virksomheter det siste halvåret, og peker på at AI gir angriperne nye verktøy.
Ideelle organisasjoner er ikke blant sektorene NSM trekker fram spesielt. Men dere tar vare på opplysninger om givere og medlemmer, og det er tilliten deres som står på spill hvis noe går galt.
Vi vil trekke frem noen ting dere bør ta tak i med en gang:
Oppdater PHP-løsninger med en gang. Nettsider, innsamlingsløsninger og utvidelser. Spør leverandøren om dere er oppdatert etter PHP-varselet. (Er du hos ProFundo, kan vi bekrefte her og nå at JA det er oppdatert)
Få alle i organisasjonen til å oppdatere software jevnlig. Nettlesere må oppdateres ukentlig. OS/O365 månedlig. Slett gamle programvarer dere ikke lenger bruker. Siste tidens hendelser er en påminnelse om å ikke bruke gammelt software. Eldre versjoner av Windows f.eks. Det gjelder også mobiltelefoner.
Slå på tofaktorinnlogging overalt. I e-post-løsninger, CRM, nettsider, betalingsløsninger og annonsekontoer.
Ikke gjenbruk passord. Har du mange å huske på, bruk et sikkert passordhvelv/bank. Og husk, passordet til malen din både på jobb og privat er trolig det viktigste du har.
Gi folk bare tilgangene de trenger. Rydd i brukerne, særlig tidligere ansatte, frivillige og innleide.
Tren ansatte i sikkerhet jevnlig. Alle ansatte og frivillige med tilganger! Alle som har tilgang til løsningene deres er potensielle sikkerhetsrisiko.
Ha en plan for når uhellet er ute. Hvem gjør hva, og hvem varsler Datatilsynet hvis personopplysninger er rammet? Det er viktig å innarbeide en trygghet om at varsling er bra, ikke flaut.
Still krav til leverandørene. Vit hvilke systemer dere har, hvem som drifter dem, og hvordan de jobber med sikkerhet.
There are two ‘i’s’ in Fundraising – they should stand for inspiration and innovation, not imitation and irritation.
Ken Burnett
