Myten om at cyberangrep bare rammer storselskaper er nettopp det — en myte. Tall fra NSM viser at 6 av 10 norske SMB-er ble truffet av et målrettet angrep i 2025, og snittkostnaden for et brudd var 870 000 NOK. Det er nok til å sette en mellomstor bedrift ut av drift.
Hvorfor SMB-er er prefererte mål
Angriperne har gjort matematikken: et storselskap har sikkerhetsavdeling, SOC, og krise-plan. En SMB har én IT-ansatt (kanskje) og en revisor som sier nei til ekstra budsjett. Forholdet kost/avkastning for angriperen er bedre med SMB-er, særlig for ransomware.
Det vanligste mønsteret vi ser: phishing-epost til regnskapsavdelingen, kompromittert konto, tilgang til Microsoft 365 / Google Workspace, og deretter enten datatyveri eller ransomware med krav i bitcoin.
Sjekkliste: minimum du må ha på plass
1. Tofaktorautentisering på alt
Dette er det enkleste tiltaket med størst effekt. Microsoft har estimert at 2FA stopper 99,9 % av kontokompromittering. Bruk det på e-post, regnskapssystem, CRM, bank, og hvilken som helst tjeneste som har sensitive data.
Bruk en authenticator-app (Microsoft Authenticator, Google Authenticator, Authy) — ikke SMS, som kan SIM-swappes. For administrator-kontoer: hardware security key (YubiKey) er gullstandarden.
2. Passordhåndtering — ikke i et regneark
De fleste SMB-bruddene starter med et gjenbrukt eller svakt passord. Innfør en passordbehandler (1Password, Bitwarden) for hele bedriften, og krev unike passord på 20+ tegn for alle tjenester.
3. Backup som ikke kan krypteres
Ransomware krypterer alt den når — inkludert nettverks-backups. 3-2-1-regelen er fortsatt gyldig: 3 kopier, 2 forskjellige medier, 1 offsite. Det offsite-kopiet må være offline eller immutable (S3 Object Lock, Backblaze B2 immutable). Hvis ransomware kan nå backupen, har du ingen backup.
4. Endpoint-beskyttelse, ikke "antivirus"
Tradisjonell antivirus er ikke nok mot moderne trusler. Bruk EDR (Endpoint Detection & Response) — Microsoft Defender for Business, CrowdStrike Falcon Go, eller SentinelOne. Disse oppdager også atferd, ikke bare kjente filer.
5. Oppdatert programvare
Patch alt. Operativsystem, nettlesere, plug-ins, ruters firmware, NAS, hva som helst som er tilkoblet nettverket. De fleste ransomware-utbrudd utnytter sårbarheter som har en patch utgitt for måneder siden.
6. E-postsikkerhet
Aktiver SPF, DKIM, og DMARC på domenet ditt — dette stopper at andre kan utgi seg for å være deg. Aktiver også anti-phishing-policyer i Microsoft 365 / Google Workspace (de er av som standard for mange tenanter).
Trening: det svakeste leddet
All teknologien i verden hjelper ikke hvis ansatte klikker på phishing-lenker. Konkret:
- Kjør månedlige (kortfattede) phishing-simulering — 5-minutters opplæring etterpå for de som klikker
- Innfør en kultur hvor "jeg er usikker" alltid er riktig svar — bedre å ringe enn å klikke
- Ha en konkret prosedyre for "noen ber meg overføre penger raskt" (CEO-fraud)
Hva som ikke trengs (ennå)
For en typisk SMB med 5–50 ansatte trenger du ikke:
- En dedikert SOC (Security Operations Center)
- Egen CISO i full stilling
- Zero-trust-arkitektur med micro-segmentering
- Penetrasjonstesting hver kvartal
Disse er overkill for de fleste SMB-er og koster mer enn det de gir tilbake. Fokuser på grunnmuren først.
Når noe går galt: en hendelses-plan
Når (ikke hvis) noe skjer, må du vite hva du gjør i de første 60 minuttene:
- Isoler — koble den infiserte maskinen fra nettverket fysisk
- Vurder omfang — hva har angriperen tilgang til? Hvilke kontoer er kompromittert?
- Kontakt NSM hvis det er ransomware eller stort databrudd
- Reset passord for alle berørte kontoer, inkludert "service accounts"
- Restore fra clean backup — aldri betal ransomware, særlig hvis du har backup
- Anmeld til politiet — det er kostnadsfritt og gir deg dokumentasjon mot forsikring
Skriv denne planen ned, øv på den én gang i året. Det er forskjellen mellom 4 timers nedetid og 4 ukers nedetid.
Vår anbefaling
Cybersikkerhet for SMB i 2026 trenger ikke å være kompleks. 80 % av angrepene kan stoppes med 6 enkle tiltak: 2FA, passordbehandler, EDR, oppdaterte systemer, immutable backup, og opplæring av ansatte.
Investeringen er typisk 30 000 – 80 000 NOK første år for en bedrift med 10–30 ansatte. Sammenlignet med 870 000 NOK i snittskade er det god ROI.
Hvis du vil ha en gjennomgang av hvor du står, gjør vi en 20-minutters sikkerhetsvurdering gratis. Vi sier ifra om hvor du er sårbar — uten salgspitch.
