I denne udgave af vores DILEMMA-serie kommer vi med gode råd til, hvordan man som ledelse minimerer risikoen for cyberkriminalitet, samt hvordan man skal forholde sig, hvis uheldet alligevel er ude.

Problemstillingen er særligt aktuel i ferieperioderne, hvor forretningen kører på lavt blus - og med nedsat bemanding. Ferieperioderne er derfor højsæson for cyberkriminalitet, herunder navnlig i form af direktørsvindel, også kaldet ”CEO fraud”.

Ved CEO fraud narres en medarbejder - typisk via en mail (Phishing), som er fabrikeret til at fremstå, som var den fremsendt af f.eks. en direktør i virksomheden - til at overføre et pengebeløb til en konto, som intet har med hverken direktøren eller virksomheden at gøre, eller til at købe online gavekort for et bestemt beløb og oplyse koderne til disse i en svarmail. Ofte vil ordlyden i den fremsendte mail antyde, at opgaven er af en særdeles hastende karakter, i håb om at medarbejderen ikke bruger den nødvendige tid på at tænke sig om.

CEO fraud kan blive en dyr affære for din virksomhed, og det er derfor en god idé at sikre sig, at der styr på IT-sikkerheden i virksomheden, inden sommerferien banker på døren. For at være godt beskyttet mod cyberkriminalitet i ferien, er det vigtigt at være klar over, hvem der er ansvarlige for IT-sikkerheden, hvordan man minimerer risikoen for angreb, samt hvad man skal gøre, hvis uheldet alligevel måtte være ude.

Har I styr på det i din virksomhed?

Ansvaret for IT-sikkerhed:

Det er virksomhedens ledelse, der i sidste ende har ansvaret for IT-sikkerheden, og dermed også for at virksomheden har et tilstrækkeligt IT-sikkerhedsniveau. Forud for sommerferien er det derfor en god idé, at ledelsen sikrer sig, at virksomhedens IT-sikkerhedspolitik og eventuelle IT-retningslinjer er opdateret og i frisk erindring hos medarbejderne.

Gode råd:

I relation til CEO fraud kan ledelsen blandt andet sørge for, at visse overførsler – f.eks. beløb over en vis størrelse eller beløb, der overføres til en udenlandsk bankkonto - skal godkendes, og at de medarbejdere, der kan foretage overførsler på vegne af virksomheden, er særligt opmærksomme på, hvad CEO fraud er, samt hvilke advarselstegn de skal holde øje med.

Der er stor forskel på ”kvaliteten” af phishing-angreb, men det vil som udgangspunkt altid være en god idé, at man som modtager af en mail, hvori afsenderen anmoder om oplysninger eller overførsel af et pengebeløb, forholder sig kritisk over for følgende:

1. Hvilken mailadresse er mailen sendt fra, og er der brugt den typiske mailsignatur?
2. Stemmer stavemåden, grammatikken og det øvrige sprogbrug overens med, hvordan der normalt kommunikeres i virksomheden?
3. Ved anmodning om overførsel af et pengebeløb: Hvor stort et beløb er der tale om, hvem skal pengene overføres til, og er der tale om en udenlandsk overførsel?
4. Er det sædvanligt for den pågældende medarbejder at foretage pengeoverførsler eller lave udlæg for virksomheden?
5. Ved den mindste tvivl: Slå koldt vand i blodet, og forsøg at få en pålidelig bekræftelse fra afsenderen enten ved at kontakte dem telefonisk, eller ved at oprette en ny mail uden at bruge svarfunktionen, hvor du sender spørgsmålet til deres sædvanlige mailadresse.

Er uheldet sket?

Hvis en medarbejder er faldet for CEO fraud, er det vigtigt først og fremmest at forsøge at stoppe skaden ved eksempelvis at kontakte banken og bede dem stoppe eller tilbageføre overførslen, samt spærre eventuelle kort eller konti, som måtte være blevet kompromitteret. Dernæst er det vigtigt at orientere alle berørte og relevante ledere og medarbejdere, herunder virksomhedens IT-afdeling eller økonomiafdeling. Endelig bør hændelsen anmeldes til politiet.

Persondatabrud?

CEO fraud eller phishing kan efter omstændighederne udgøre et brud på persondatasikkerheden, der skal anmeldes til Datatilsynet. I relation til CEO fraud og phishing generelt, vil der f.eks. være tale om et persondatabrud, hvis der er sket en uautoriseret adgang til virksomhedens systemer, herunder personoplysninger, eller hvis den pågældende medarbejder – enten ved at besvare en phishing-mail eller klikke på et link i mailen, har indtastet eller videregivet personoplysninger. Persondatabrud skal som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden for 72 timer. Det er den dataansvarlige, der har pligt til at foretage anmeldelsen.

DAHL BoardExcellence® – nyttig viden om bestyrelsesarbejde

Denne artikel er en del af vores DILEMMA-serie, som belyser nogle af de problemstillinger, der kan opstå i et ellers velfungerende samarbejde mellem bestyrelse og direktion. Ordet ”dilemma” stammer fra græsk og udtrykker den situation, at en person skal træffe et valg, typisk mellem to eller flere lige gode eller lige ringe muligheder. Dilemmaer løses som oftest gennem ledelse. Det juridiske regelsæt er ofte ude af stand til at anvise en vej i løsningen af de konflikter, der udspringer heraf.

Har du konkrete spørgsmål til dilemmaet, som vi har behandlet i denne artikel eller generelle spørgsmål omhandlende bestyrelsesarbejde, er du altid velkommen til at kontakte en af vores eksperter.

God sommerferie fra DAHL.