Næsten 6 ud af 10 virksomheder har ikke testet deres cyberforsvar. Hvad med din?

17 % af virksomhederne i itm8's undersøgelse har haft mindst ét sikkerhedsbrud de seneste 12 måneder. Og 73 % ønsker at forbedre deres IT-sikkerhed.

Alligevel har 58 % ikke testet deres forsvar i samme periode. De baserer med andre ord deres cyberforsvar på en antagelse om, at det holder, frem for på viden om, at det faktisk gør det.

For ejerlederen, der ikke er IT-specialist, er spørgsmålet ikke, om cybersikkerhed er vigtigt. Det ved alle. Spørgsmålet er, hvor man begynder.

Den hyppigste årsag til cyberangreb er manglende viden om egne systemer

itm8 har analyseret sine Incident Response-sager fra 2022 til 2025 og identificeret de 10 hyppigste årsager til, at virksomheder bliver ramt. Øverst på listen står: ufuldstændig viden om forretningskritiske systemer og udstyr.

Det er ikke en teknisk fejl. Det er et overbliksproblem. Virksomheden ved ikke præcist, hvilke systemer der er kritiske, hvem der har adgang til dem, og hvad der sker, hvis de er nede.

De øvrige årsager på listen er i høj grad konsekvenser af det samme grundproblem: svage adgangskodepolitikker, manglende opdateringer, utilstrækkelig adgangskontrol og ubekræftede sikkerhedskopier. Alle er symptomer på, at der ikke er overblik over den digitale infrastruktur.

Tre tal, der siger noget konkret

Undersøgelsen er baseret på 192 danske beslutningstagere, heraf 146 i SMV'er. Tre fund er særligt relevante for ejerledere.

Det første: 58 % har ikke foretaget tekniske sikkerhedstests eller organisatoriske øvelser det seneste år. Det betyder, at langt de fleste virksomheder ikke ved, om forsvaret holder i praksis.

Det andet: 35 % har ingen beredskabsplan. Og af de 40 %, der har en plan, er det kun en femtedel, der har testet den. En beredskabsplan, der aldrig er afprøvet, er ikke et forsvar. Det er et dokument.

Det tredje: 28 % træner medarbejdere i IT-sikkerhed sjældnere end én gang om året eller aldrig. Phishing og ransomware er de to trusler, virksomhederne frygter mest, og begge kræver, at en medarbejder begår en fejl for at lykkes. Træning er ikke en luksus. Det er den billigste del af forsvaret.

Cybersikkerhed starter ikke med teknologi. Det starter med overblik.

Den mest udbredte misforståelse om cybersikkerhed er, at det primært handler om at købe de rette systemer. Det gør det ikke. Det handler om at vide, hvad du har, hvem der har adgang, og hvad der er kritisk for virksomhedens drift.

Spørg dig selv: kan du på fem minutter sige, hvilke systemer virksomheden ikke kan fungere uden? Hvem har adgangsrettigheder til dem? Er der medarbejdere, der har fået adgang til systemer, som de ikke længere har brug for, fordi de skiftede rolle eller forlod virksomheden?

Hvis svaret er nej på et eller flere af de spørgsmål, er problemet ikke teknologi. Det er dokumentation.

Adgangsstyring er den del, ejerledere oftest overser

Af de 10 hyppigste årsager til cyberangreb handler to direkte om adgangsstyring: utilstrækkelig vedligeholdelse af adgangskontrol og tilladelser samt begrænset fokus på at reducere antallet af konti med forhøjede rettigheder.

I praksis betyder det: medarbejdere, der har adgang til systemer, de ikke længere bruger. Tidligere ansatte, der aldrig er blevet fjernet. Adgangskoder, der deles mundtligt og aldrig dokumenteres. Og systemer, der er opsat med administrative rettigheder til for mange brugere, fordi ingen har gennemgået det siden opsætningen.

Det er ikke avancerede angreb, der udnytter det. Det er simple angreb, der lykkes, fordi ingen har lukket de åbne døre.

Hvad du kan gøre nu

itm8 giver fire konkrete råd i rapporten. Det første er at identificere virksomhedens vigtigste systemer, dem driften er afhængig af. Det andet er at teste, om forsvaret holder. Det tredje er at beslutte, hvad der sker ved et angreb, og hvem der ringer til hvem. Det fjerde er at øve beredskabsplanen.

Alle fire starter med det samme: du skal vide, hvad du har.

Ejerblik hjælper dig med den kortlægning. Du registrerer virksomhedens systemer, adgangsforhold og ansvarlige ét sted, og platformen viser dig, hvor der er huller: systemer uden dokumenterede adgangsforhold, kontrakter der snart skal fornyes, og aktiver uden ansvarlig tilknyttet.

Det fjerner ikke behovet for en IT-sikkerhedspartner. Men det giver dig det grundlag, en IT-sikkerhedsgennemgang kræver, og det overblik, der er forudsætningen for at handle.

Kortlæg dine digitale aktiver og find hullerne, inden andre gør det.