Sikkerhet i økonomisystemer

1. Hvorfor økonomi og regnskap krever mer

Mens generell IT-sikkerhet handler om å holde uvedkommende ute, har økonomisystemer flere tilleggsdimensjoner. I tillegg til å tilby et sikkert «hvelv» må systemet ha fleksibel rollestyring, dokumentere alle handlinger, og oppfylle krav fra lovverk og bransje for hvordan data rapporteres, håndteres og lagres.

Dette er noen av faktorene som gjør økonomisystemer spesielt utsatt:

Samlet risiko: Siden alt ligger ett sted – fra lønn og bank til produkter, ansatte og prosjekter – vil et angrep eller en systemfeil raskt kunne ramme hele virksomheten.

Mange kokker: Systemet er ikke lenger forbeholdt økonomiavdelingen. Prosjektledere, timelønnede, regnskapsfører og systemleverandør kan alle ha en form for tilgang – og hver tilgang er en potensiell svakhet.

Lang lagringsplikt: Dataene har ikke bare en verdi her og nå, men må sikres for oppbevaring i mange år frem i tid for å oppfylle lovkrav.

2. Ansvarsfordeling, ikke ansvarsfraskrivelse

Overgangen til skybaserte tjenester løser mange tradisjonelle sikkerhetsutfordringer, som gamle servere og manglende oppdateringer. Men det kan skape en farlig misforståelse: at sikkerheten er outsourcet.

I praksis er ansvaret todelt:

Leverandørens ansvar: Infrastruktur, fysisk sikring av datasentre, kodesikkerhet og oppetid.

Ditt ansvar: Hvem som får tilgang, hvordan ansatte håndterer data, og hvilke systemer dere kobler på.

Enkelt sagt: Leverandøren garanterer for styrken i hvelvet, men dere bestemmer hvem som får nøkkel.

3. Slik vurderer du løsningens sikkerhetsnivå

Det er lett å si at sikkerheten er ivaretatt. Det er vanskeligere å dokumentere det. Her er fire områder som viser om en løsning faktisk holder mål:

Kontinuerlig testing

Tradisjonell årlig sikkerhetsrevisjon er ikke lenger nok. Modne teknologimiljøer betaler eksterne, godkjente sikkerhetseksperter for å forsøke å finne svakheter i systemet kontinuerlig. Dette sikrer at hull tettes før de kan utnyttes av andre.

Sertifiseringer og tredjeparts revisjon

Spør om leverandøren kan dokumentere sikkerhetsnivået gjennom uavhengige sertifiseringer som ISO 27001 eller ISAE 3402. Det er ikke en garanti i seg selv, men det viser at noen utenfra har etterprøvd rutinene – og at leverandøren tar det seriøst nok til å la seg vurdere.

Kryptering i alle ledd

Data må være uleselige for utenforstående både når de sendes over nettet og når de ligger lagret. Be om bekreftelse på at dataene er sikret selv ved fysisk tyveri av lagringsmedier.

Dataflyttbarhet

Hva skjer med dataene dine hvis leverandøren rammes av et alvorlig angrep – eller går konkurs? En ofte oversett sikkerhetsmekanisme er muligheten til å hente ut alt i standardformater og komme seg videre.

4. Intern kontroll

De fleste sikkerhetsbrudd skyldes ikke tekniske feil hos leverandøren, men svakheter i interne rutiner. Tre områder er særlig kritiske:

Arbeidsdeling

For å motvirke underslag og interne feil må systemet støtte reell arbeidsdeling. For eksempel bør ikke samme bruker ha mulighet til både å opprette en leverandør, endre kontonummer og godkjenne utbetaling. Systemet bør loggføre alle slike endringer automatisk.

Tilgangsstyring etter behov

Unngå at nye ansatte får vide tilganger ukritisk. En streng styring der ansatte kun ser det de trenger for å utføre jobben, begrenser skaden hvis noe går galt.

Totrinnsbekreftelse (2FA)

Dette er det mest effektive enkelttiltaket mot at uvedkommende tar over en brukerkonto. Det bør være et absolutt krav at økonomisystemet støtter 2FA – og at det er obligatorisk for alle brukere med tilgang.

5. Integrasjoner og eksporter

Økonomisystemet står sjelden alene – data kan flyte inn fra banker og kassasystemer, eller ut til rapporter og andre systemer. Hver kobling er nyttig, men også en potensiell svakhet.

Integrasjoner som bakdør

Koblinger mot eksterne løsninger skjer via tilgangsnøkler. Hvis disse havner i feil hender, eller hvis et integrert system blir angrepet, kan det gi uvedkommende tilgang til data i systemet ditt. Dere må ha oversikt over hvilke systemer som er koblet på til enhver tid, og jevnlig fjerne koblinger som ikke er i bruk.

Regneark-fellen

Sikkerheten i økonomisystemet blir irrelevant i det øyeblikket sensitive data eksporteres til et ukryptert regneark og sendes på e-post. Velg et system med gode nok verktøy innebygget, slik at behovet for lokal lagring og manuelle filoverføringer reduseres til et absolutt minimum.

6. Den sårbare mellomfasen: Når du bytter løsning

Å bytte system innebærer alltid en sårbar overgangsfase. Sitter du med en eldre løsning som føles trygg, men som henger etter på sikkerhet, er risikoen enda høyere.

Det gamle systemet som risiko

Det gamle systemet skal fases ut, og vedlikeholdet prioriteres ofte ned. Men så lenge systemet er tilgjengelig via nett, er det sårbart. Angripere kan bruke svakheter i det gamle systemet som en bakvei inn.

Data under flytting

Flytting av data innebærer ofte at store filer med hele bedriftens historikk sendes mellom konsulenter og leverandører. Disse filene må behandles som ferskvare og slettes umiddelbart etter import – de skal aldri bli liggende i en «Nedlastinger»-mappe.

Arkivfellen

Etter byttet velger mange å beholde lesetilgang til det gamle systemet «for sikkerhets skyld». Dette blir ofte en sovende sikkerhetsrisiko som ingen passer på. Eksporter heller nødvendig historikk til et sikkert arkiv, og avvikle den gamle løsningen fullstendig.

Et moderne system løser ikke disse problemene automatisk – men det gir deg en god mulighet til å etablere nye, trygge rutiner fra dag én.