En incidentplan för IT beskriver vad företaget ska göra när ett konto kapas, en dator smittas eller uppgifter hamnar hos fel mottagare. För ett mindre företag i Stockholm behöver planen vara begriplig även när kontorschefen inte kan nå den vanliga IT-kontakten. Den ska ange vem som leder arbetet, vilka system som är viktigast och vilka första åtgärder personalen får utföra.
Målet är att begränsa skadan utan att förstöra information som behövs för utredningen. En kort, förankrad plan som går att nå även utan företagets mejl är mer användbar än ett omfattande dokument som ingen har läst. Här går vi igenom en praktisk struktur för företag utan egen säkerhetsavdelning. Juridiska bedömningar behöver göras separat med stöd av aktuella myndighetsråd och vid behov jurist.
Bestäm roller och kontaktvägar innan något händer
Utse en incidentansvarig och en ersättare. På ett mindre företag kan det vara VD eller kontorschef. Den personen samordnar beslut och verksamhetsinformation, medan IT-partnern hanterar teknisk analys och åtgärder. Bestäm också vem som bedömer personuppgiftsfrågor och vem som får uttala sig till kunder. Roller kan kombineras, men ansvar och mandat måste vara tydliga.
Kontaktlistan måste fungera utan vanlig inloggning
Spara verifierade telefonnummer till IT-partner, berörda systemleverantörer, ledning och juridiskt stöd på en skyddad plats utanför den vanliga arbetsmiljön. Ha en tillgänglig reservkopia och håll den uppdaterad. Listan ska innehålla kontaktvägar, inte lösenord. Om företagets mejl misstänks vara kapad behöver ni kunna samordna arbetet genom en annan, överenskommen kanal.
- Ange vem som får stänga åtkomst och pausa verksamhetssystem.
- Dokumentera vem som kontaktar leverantörer och följer upp deras svar.
- Bestäm vem som för incidentlogg och samlar underlag för beslut.
- Ordna ersättare när ansvariga är bortresta eller inte går att nå.
Första timmen: bekräfta, begränsa och dokumentera
Ett misstänkt intrång behöver inte vara bekräftat för att rapporteras internt. Be personalen beskriva vad de sett, när det började och vilken enhet eller vilket konto det gäller. Skuldbelägg inte den som rapporterar. Om medarbetare väntar av rädsla för kritik förlorar företaget möjligheten att agera tidigt.
- Kontakta incidentansvarig och IT-partner via en betrodd kontaktväg.
- Notera tidpunkt, symtom, enhet, konto och vilka system som verkar berörda.
- Vid misstänkt smitta: koppla bort den berörda datorns nätverkskabel och wifi om det kan göras säkert.
- Låt IT avgöra fortsatta åtgärder och hur tekniska spår ska bevaras.
- Informera berörda medarbetare om vad de ska undvika och vilken reservrutin som gäller.
Starta inte om, ominstallera eller kör egna rensningsverktyg på den misstänkta datorn. Ta inte bort mejl eller loggar i försök att städa. Avstängning kan ibland behövas för att stoppa pågående skada, men kan också förstöra spår i minnet; låt därför IT bedöma det när situationen medger. Nätverksisolering är inte samma sak som att stänga av enheten.
När ett konto misstänks vara kapat
Ett kapat mejlkonto kan användas för att läsa företagsinformation, skicka bluffmeddelanden och ändra betalningsinstruktioner. Be IT att begränsa inloggningen, återkalla sessioner och säkra kontot från en betrodd enhet. Ett lösenordsbyte ensamt räcker inte alltid eftersom befintliga sessioner eller andra åtkomstvägar kan finnas kvar.
Kontrollera fler vägar än lösenordet
Granska registrerade verifieringsmetoder, vidarebefordran, inkorgsregler, appbehörigheter och relevanta inloggningsloggar. Spara underlag innan obehöriga inställningar tas bort. Undersök om kontot har använts för att skicka meddelanden till kollegor eller kunder. Ekonomiansvarig behöver veta om betalningsuppgifter kan ha ändrats, och misstänkta betalningar bör hanteras med banken genom kända kontaktvägar.
Gå igenom hur intrånget kunde ske innan åtkomsten öppnas igen. Vår artikel om att känna igen nätfiskebrev kan användas i personalens genomgång, men utbildning ersätter inte tekniska kontroller och säkra rutiner för inloggning.
Smittad dator och ransomware kräver samordning
Om filer börjar krypteras eller ett utpressningsmeddelande visas ska ni behandla händelsen som en möjlig större incident. Flera enheter, delade mappar och molnkonton kan vara berörda även om bara en dator visar symtom. Anslut inte backupdiskar till den misstänkta miljön och försök inte återställa filer medan angreppet fortfarande kan pågå.
Låt IT kartlägga vilka system som behöver isoleras och vilka som kan hållas igång. Spara utpressningsmeddelanden och relevanta tekniska underlag utan att öppna okända länkar eller kontakta angriparen på eget initiativ. Samordna även eventuell polisanmälan och kontakt med försäkringsgivaren. Läs om förebyggande åtgärder i skydd mot ransomware.
Skydda återställningsmöjligheten
Kontrollera att backupen inte har påverkats och att återläsning kan ske till en betrodd miljö. Versionshistorik och synkronisering är inte samma sak som en separat återställningslösning. Vår guide om backup för företag hjälper er att formulera vilka data och system som måste kunna återskapas.
Dataläckor och när IMY behöver kontaktas
En personuppgiftsincident kan innebära att uppgifter röjs, ändras, förstörs eller blir otillgängliga. Även ett feladresserat mejl eller en förlorad enhet kan behöva bedömas. Dokumentera vilken typ av uppgifter som berörs, vilka personer som kan påverkas och hur händelsen kan skada dem. Samla bara det underlag som behövs och begränsa åtkomsten till utredningen.
Den personuppgiftsansvariga ska bedöma om incidenten måste anmälas till IMY. Anmälningspliktiga incidenter ska som huvudregel anmälas utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter att den ansvariga fått vetskap. Vid sannolik hög risk kan även de registrerade behöva informeras. Ett personuppgiftsbiträde behöver underrätta den ansvariga utan onödigt dröjsmål; rollerna måste klarläggas.
Kontrollera alltid aktuell vägledning hos [IMY](https://www.imy.se/) och ta juridisk hjälp för bedömningen. Alla personuppgiftsincidenter ska dokumenteras, även när de inte anmäls. För teknisk beredskap finns stöd hos [CERT-SE](https://www.cert.se/) och [Myndigheten för civilt försvar, tidigare MSB](https://metodstod-informationssakerhet.msb.se/sv/utforma/incidenthantering/). Se också vår artikel om GDPR och IT-säkerhet. Detta är inte juridisk rådgivning.
Kommunicera sakligt och återställ kontrollerat
Berätta vad ni vet, vad som ännu är oklart och vad mottagaren behöver göra. Undvik att säga att allt är säkert innan utredningen ger stöd för det. Använd en utsedd kontaktperson så att personal, kunder och leverantörer får samma information. Skicka inte känsliga utredningsuppgifter i en kanal som kan vara komprometterad.
Återställ först när angreppsvägen har hanterats och IT bedömt miljön som lämplig. Prioritera system utifrån verksamhetens behov, testa återlästa uppgifter och kontrollera behörigheter innan användarna släpps tillbaka. Följ upp tecken på fortsatt obehörig åtkomst. Dokumentera vilka åtgärder som gjorts och vem som godkänt återgången.
Checklista och efteranalys för nästa incident
Kontrollera företagets incidentberedskap
- Incidentansvarig, ersättare och mandat är utsedda.
- Kontaktlistan går att nå när mejl och datorer inte fungerar.
- Personal vet hur misstänkta händelser rapporteras och enheter isoleras.
- Incidentlogg, beslut och tekniska underlag hanteras skyddat.
- Ansvar för personuppgiftsbedömning och extern kommunikation är tydligt.
- Backup och reservrutiner har provats i en kontrollerad övning.
Efter händelsen går ni igenom orsaken, besluten och vilka hinder som uppstod. Uppdatera kontaktlistan, säkerhetsinställningarna och planen utifrån konkreta lärdomar. Prova sedan ett enkelt scenario tillsammans med ledningen och IT-partnern. Använd vår checklista för IT-säkerhet i småföretag för det förebyggande arbetet.
Sammanfattning: gör planen användbar i vardagen
En fungerande incidentplan kombinerar tydligt ansvar, säkra första åtgärder och kontrollerad återställning. Vi hjälper med IT-support i Solna, IT-säkerhet och backup och helpdesk och fjärrsupport. IT Support Stockholm drivs av Tele-Byrån i Kalmar AB. Kontakta oss för att gå igenom företagets tekniska beredskap.
Vanliga frågor
Behöver ett litet företag en incidentplan för IT?
Ja, en enkel plan hjälper er att fördela ansvar och begränsa skador. Den bör innehålla kontaktvägar, säkra första åtgärder, reservrutiner och ansvar för dokumentation och återställning.
Ska en misstänkt smittad dator stängas av?
Isolera nätverksanslutningen om det kan göras säkert och kontakta IT. Avstängning kan behövas för att begränsa skada men kan också förstöra tekniska spår. Låt IT bedöma nästa åtgärd när situationen medger.
När måste en personuppgiftsincident anmälas till IMY?
Den personuppgiftsansvariga bedömer risken för de registrerade. Anmälningspliktiga incidenter ska som huvudregel anmälas utan onödigt dröjsmål och om möjligt inom 72 timmar från vetskap. Kontrollera aktuell vägledning hos IMY och ta juridiskt stöd.
Räcker backup efter ransomware?
Backup hjälper vid återställning men ersätter inte utredning, säkring av konton eller hantering av eventuell dataläcka. Angreppsvägen behöver hanteras och återställningen göras till en betrodd miljö.
Fördjupning: Checklista IT-säkerhet · Backup för företag. Vi hjälper företag i bland annat Solna.