Utkontraktering av cybersäkerhet eller gör‑det‑själv‑säkerhet – vad passar ditt småföretag?

De flesta småföretag gör redan någon form av DIY säkerhetsarbete, även om det inte är någon officiell roll. Cybersäkerhetutkontraktering (outsourcing) innebär att man betalar ett externt företag för att ta över en del eller allt sådant arbete, från att installera uppdateringar till att övervaka misstänkta inloggningar. Det är inte samma sak som att köpa säkerhetsprogramvara som ni själva kör.

Vad är utkontraktering av cybersäkerhet?

Ett företag som utkontrakterar cybersäkerhet betalar en extern leverantör för att hantera en del eller allt av sin säkerhet. Det kan omfatta att övervaka larm, hantera enheter och säkerhetsteknik, köra sårbarhetsscanningar och hantera incidenter.

Det finns två typer av leverantörer som utför det mesta av detta arbete:

• En Managed Service Provider (MSP) sköter dagliga IT‑rutiner, som att sätta upp datorer, ta hand om nätverket och åtgärda problem. En Managed Service Provider (MSP) — leverantör av hanterade IT‑tjänster är en vanlig väg för IT‑utkontraktering för småföretag.
• En Managed Security Service Provider (MSSP) fokuserar på informationssäkerhet, med tjänster som hotdetektion, övervakning utanför kontorstid och incidenthantering. Managed Security Service Provider (MSSP) — leverantör av hanterad säkerhet.

Småföretag väljer vanligtvis en av tre uppsättningar:

• DIY, eller intern (in‑house), säkerhet betyder att din egen personal hanterar allt, med säkerhetsprogramvara och sin egen tid.
• Utkontrakterad säkerhetinnebär att en leverantör, vanligtvis en Managed Service Provider (MSP) eller Managed Security Service Provider (MSSP), utför arbetet istället.
• En hybridlösningdelar upp arbetet mellan DIY och utkontraktering.

Du behöver inte utkontraktera all din säkerhet. Ett företag kan lägga ut enstaka uppgifter, som en årlig säkerhetsgranskning eller hjälp efter en attack, och själva hantera resten internt.

Kan småföretag sköta cybersäkerheten själva?

Många småföretag driver sin egen IT‑säkerhet utan specialist på heltid. Det fungerar bra för enkla miljöer, som några bärbara datorer, moln‑mejl och inga servrar på plats.

Vad kräver DIY cybersäkerhet?

För att driva DIY cybersäkerhet behöver ett litet företag vanligtvis någon med grundläggande teknisk kunskap, regelbunden tid avsatt för säkerhetsarbete, en utsedd ansvarig för varje uppgift och säkerhetsprogram som täcker alla företagets enheter.

Små team hoppar ofta över den tredje punkten, och uppgifter utan någon klar ansvarig riskerar falla mellan stolarna. Varje uppgift behöver en namngiven person som installerar uppdateringar, skapar konton och hanterar larm.

Många företagsprodukter för säkerhet låter små team styra skyddet via en centraliserad instrumentpanel. Det gör det enklare att kontrollera enheters säkerhet, applicera uppdateringar och hantera inställningar utan att utföra varje uppgift manuellt.

Var brister DIY cybersäkerhet?

DIY cybersäkerhet kan sakna expertis och tillgänglighet. Ett litet team kan sakna kompetens att upptäcka en svårupptäckt attack eller begränsa ransomware, och larm som kommer på natten eller under helger kan missas.

Den ansvarige för säkerheten har ofta även ett annat jobb. Om personen är ledig när ett larm kommer kan det dröja flera dagar innan det upptäcks. Vid en allvarlig incident kanske de inte har de färdigheter som krävs för att ta reda på vad en angripare kom åt eller vad ni måste informera kunder eller myndigheter om.

Vilka cybersäkerhetsuppgifter kan småföretag hantera internt?

De flesta småföretag kan hantera dagligt enhetsskydd, kontosäkerhet, personalens phishing‑utbildning och backup:er internt. Dessa uppgifter följer fasta rutiner, och företagssäkerhet automatiserar mycket av det, från schemalagda genomsökningar till att trycka ut uppdateringar.

Ett litet företag kan vanligtvis täcka grunderna med dessa fyra steg:

• Installera säkerhetsprogram (Small Office Security trial link) på varje dator och mobil. Det blockerar känd skadlig kod, flaggar riskfyllda nedladdningar och varnar för nätfiske. Slå dessutom på automatiska uppdateringar. Många attacker utnyttjar kända sårbarheter som redan finns åtgärdade i patchar. Om personal använder privata telefoner för arbete, bestäm vilka som får åtkomst till företagsdata.
• Använd multifaktorautentisering (MFA) för mejl, banktjänster och moln‑appar. Ett stulet lösenord räcker då inte nödvändigtvis för att ta sig in. Ge varje person endast de åtkomsträttigheter deras roll kräver och ta bort åtkomsten sista arbetsdagen. En kort uppfräschning i nätfisketräning en‑två gånger per år hjälper personal att känna igen en av de vanligaste hoten.
• Sätt upp en backup‑rutin och kontrollera att den fungerar. Behåll minst en kopia offline eller separerad från huvudnätverket och testa en återställning var tredje månad. Skriv sedan en en‑sidig plan för stulen laptop eller en ransomware‑attack. Den bör ange vem som ska kontaktas, vad som ska kopplas bort och var backuperna finns.
• Övervaka den centrala instrumentpanelen. Många lösningar för företag erbjuder en panel för att kontrollera enheters skydd, hantera uppdateringar och gå igenom säkerhetslarm. Kontrollera rutinrapporter, misslyckade uppdateringar och licensutgångar regelbundet, men se till att kritiska larm granskas omedelbart istället för att vänta på veckokontroll.

Säkerhet byggd för små kontor

Kaspersky Small Office Security hjälper till att skydda datorer, filservrar och mobila enheter mot skadlig kod, ransomware och nätfiske. Den är byggd för småföretag utan dedikerad IT‑personal och kan hanteras av er själva från en plats.

Skaffa Kaspersky Small Office Security

✓

Oberoende testad och prisbelönt av branschens ledande laboratorier.

Vilka är för- och nackdelarna med att utkontraktera cybersäkerhet?

En extern leverantör kan tillföra specialistkompetens, extra verktyg, mindre arbete för personalen och tryggheten i att proffs sköter säkerheten. Nackdelen är beroende av leverantören, mindre direkt kontroll och potentiella luckor i vad avtalet täcker.

Analytiker hos en Managed Security Service Provider (MSSP) hanterar attacker över flera organisationer och kan känna igen hot som intern personal inte stött på tidigare. Vissa leverantörer erbjuder dessutom kontinuerlig säkerhetsövervakning och incidenthantering som är svårförståeligt och kostsamt för ett litet företag att upprätthålla på egen hand. Utkontrakterad IT‑säkerhet kan därför minska behovet av att anställa dedikerade cybersäkerhetsspecialister.

När en leverantör sköter er säkerhet blir ni beroende av dess personal, svarstider och beslut, och tjänstekvaliteten kan variera mellan leverantörer. Granska avtalen noga för att se vad som ingår — exempelvis täcker leverantören era laptoppar kanske inte de molnkonton som lagrar kunddata.

Här är en jämförelse mellan intern IT och utkontraktering:

Utkontraktering kräver också intern samordning. Ert företag behöver någon som kan granska leverantörens arbete, godkänna viktiga säkerhetsbeslut och samordna insatsen vid en incident.

Hur mycket kostar utkontraktering av cybersäkerhet jämfört med DIY?

DIY cybersäkerhet innebär vanligtvis programvaruabonnemang och personaltid, medan utkontraktering lägger till leverantörsavgifter men kan minska intern arbetsbelastning. Vilken metod som blir billigast beror på företagsstorlek, antal enheter, säkerhetsbehov och vilka tjänster som ingår.

Leverantörer tar oftast en månadsavgift per enhet eller per användare, men två företag av samma storlek kan ändå få olika offerter. En plan som täcker uppdateringar och antivirus kostar vanligtvis mindre än en med dygnet‑runt‑övervakning och incidenthantering. Extra kontor, distanspersonal och servrar på plats ökar också kostnaden, så en generell prislista visar sällan den verkliga kostnaden för ett litet företags cybersäkerhet.

För att jämföra de två rättvist, lista först vad ni behöver skydda, till exempel era enheter, konton och data. Notera vilka uppgifter er personal kan hantera och begär offerter för resten. Lägg sedan ihop ett år av programvara, personaltid och leverantörsavgifter för varje alternativ.

När bör ett småföretag utkontraktera cybersäkerhet?

En leverantör är ett bra alternativ när er miljö kräver mer kompetens eller tid än teamet kan avsätta. Många företag utan en IT‑specialist väljer att behålla sin IT‑säkerhet internt.

Vilka situationer kräver extern expertis?

Ett företag behöver oftare extern expertis när dess IT‑miljö är komplex, när branschregler ställer specifika krav på säkerhetskontroller eller testning, eller när en allvarlig incident, som ransomware eller ett dataintrång, kräver specialiststöd för att begränsa skadorna.

En vårdklinik med patientjournaler eller en nätbutik som tar betalkort kan behöva uppfylla regler för säkerhetskontroller, loggning eller testning. Vid en attack kan en incident‑specialist hjälpa till att begränsa skador, säkra bevis och utreda vilken data som nåtts eller stulits. Många små team saknar dessa förmågor och är därför sämre rustade att hantera en incident när den sker.

Hur väljer man mellan DIY och utkontraktering?

Jämför vad ert team kan hantera med vad verksamheten behöver: vilka kompetenser och timmar er miljö kräver, vilka regler som gäller och er budget. Behåll det personalen kan täcka internt och begär offerter för resten.

Ställ er följande frågor:

• Kan någon i personalen konfigurera säkerhetsprogram, läsa larm och upptäcka när något ser fel ut?
• Har den personen ett par timmar i veckan avsatt för säkerhet, skyddat från andra arbetsuppgifter?
• Driver ni egna servrar, flera platser eller en stor distansstyrd personalstyrka?
• Förväntar sig kunder, försäkringsgivare eller myndigheter särskilda kontroller eller regelbunden testning?
• Skulle en leverantör bli billigare än den tid personalen annars lägger ner?

Om ert team har kompetensen och tiden att sköta vardaglig säkerhet kan DIY räcka. Om ni bara behöver hjälp med specifika uppgifter kan en hybridlösning ge extra expertis utan ett heltidsavtal. Löpande utkontraktering är oftare aktuell när säkerhetskraven konsekvent överstiger teamets förmåga eller tillgänglighet.

Exempel från småföretag

Redovisningsbyrå

Denna fyramannafirma använder laptops, molnmejl och en delad molndisk, utan servrar att underhålla. En partner lägger en timme varje fredag på att kontrollera säkerhetspanelen och bekräfta att veckans backup körts. Med säkerhetsprogram och multifaktorautentisering (MFA) på varje konto behöver byrån kanske ingen extern hjälp alls.

Arkitektbyrå

En 15‑personersbyrå kör en egen filserver, och flera arkitekter arbetar hemifrån och ansluter till den. Kontorschefen sköter dagliga kontroller, men ingen har kollat om personalen kopplar upp sig säkert till servern. En specialist kan granska säkerhetsuppsättningen en gång per år för att hitta sådana luckor, utan att byrån behöver teckna ett månatligt avtal.

Nätbutik

Butiken har 40 anställda, tar kortbetalningar och kör flera molntjänster. Säkerhetsprogrammet flaggar fler larm än vad dess tvåpersoners IT‑team hinner granska, och butiken måste vara igång dygnet runt. Här kan hanterad cybersäkerhet för småföretag vara mer praktiskt eftersom det ger heltidövervakning och incidenthantering.

Kan småföretag kombinera DIY och utkontrakterad cybersäkerhet?

Småföretag kan kombinera de två i en hybridmodell, där personal hanterar rutinsysslor som uppdateringar, konton och backuper. Externa specialister tar hand om det teamet saknar tid eller kompetens för, till exempel övervakning och incidenthantering.

Kom överens om vem som gör vad innan ni skriver på ett avtal. Avtalet bör lista vilka enheter och konton leverantören täcker och vilka uppgifter som blir kvar hos er personal. Det bör även ange vem som kontaktar vem när ett larm ska eskaleras och leverantörens överenskomna svarstider.

Om ni redan betalar en Managed Service Provider (MSP), använd samma arbetsfördelning som utgångspunkt när ni granskar avtalet. Lista vad ni betalar för och markera vilka tjänster ni faktiskt använder. Kontrollera vilka uppgifter er personal kan ta hand om själva och leta efter luckor, som personaltelefoner eller nya enheter som leverantören inte täcker. Fråga även hur leverantören rapporterar om den utkontrakterade IT‑hanteringen så att ni kan se vad som utförs varje månad.

Relaterade artiklar:

• Hur du förenklar IT‑säkerhet för företag utan ett IT‑team
• En komplett guide till cybersäkerhet för småföretag
• E‑post‑säkerhet för småföretag
• Vad är de viktigaste skillnaderna mellan EDR och antivirus?

Rekommenderade produkter:

• Kaspersky Small Office Security
• Ladda ned Kaspersky Small Office Security Gratis provversion
• Ladda ned en gratis 30‑dagars provperiod för vår Premium‑plan

FAQs

Kan ni börja med DIY cybersäkerhet och senare byta till hanterade tjänster?

Ja. Många leverantörer tar ombord företag som redan sköter sin egen säkerhet. En uppdaterad lista över enheter, konton och säkerhetsinställningar kan påskynda överlämningen, även om vissa leverantörer kan vilja byta ut era befintliga verktyg.

Hur kan man avgöra om en hanterad säkerhetsleverantör gör sitt jobb?

Jämför dess rapporter med de servicenivåer som anges i ert avtal, till exempel överenskomna svarstider. Bra rapporter visar vilka larm som hanterats, vilka uppdateringar som applicerats och vilka incidenter som utretts. Långsamma svar, vaga sammanfattningar eller enheter som saknas i leverantörens register kan tyda på brister.

Vilka cybersäkerhetsansvar kvarstår hos ert företag efter utkontraktering?

Ert företag behåller ansvaret för att skydda kunddata, hantera medarbetares åtkomst, utbilda personal och uppfylla gällande säkerhetskrav. Att lägga ut tekniska uppgifter tar inte bort dessa ansvar, även om leverantören kan ha egna juridiska och avtalsenliga skyldigheter.

Behöver ett småföretag ett Security Operations Center?

Vanligtvis inte ett eget. Ett Security Operations Center (SOC) är ett team som övervakar och svarar på säkerhetslarm dygnet runt. Få småföretag kan bemanna ett sådant, så de som behöver 24/7‑täckning köper det ofta via en Managed Security Service Provider (MSSP).