Sjekkliste for nettstedssikkerhet

Hvorfor nettstedssikkerhet avgjør tillit og overlevelse

Et sikkert nettsted beskytter tre ting på én gang: de besøkendes data, merkevarens omdømme og omsetningen din. Sikkerhet blir vanligvis først merkbar når den mangler, enten gjennom en nettleservarsel, en kapret forside eller dagevis nedetid. Skaden spenner fra tapt tillit og tapt omsetning til juridiske konsekvenser når persondata er berørt. De fleste hendelsene skyldes ikke sofistikerte angrep, men unngåelig forsømmelse som utløpte sertifikater, utdatert programvare eller manglende sikkerhetskopier. God cybersikkerhet for nettstedet ditt betyr derfor først og fremst å lukke de kjente inngangspunktene konsekvent. En strukturert sjekkliste avdekker hvor nettstedet ditt er sårbart, før noen andre gjør det. Den som tar sikkerhet på alvor, beskytter ikke bare teknikk, men forholdet til hver eneste besøkende.

Kryptering og oppdatert programvare som grunnlag

I bunnen av ethvert sikkert nettsted ligger HTTPS-kryptering. Hele nettstedet bør kjøre over https, forespørsler via http bør omdirigeres automatisk, og sertifikatet må alltid være gyldig og fornyet i tide, for et utløpt sertifikat stenger i praksis besøkende ute. Like viktig er oppdatert programvare. System, plugins og temaer må være oppdatert fordi oppdateringer lukker kjente sårbarheter. Ubrukte eller utdaterte utvidelser bør fjernes, siden hver ekstra komponent øker angrepsflaten. En fast oppdateringsplan der en sikkerhetskopi lages før større oppdateringer, gjør driften forutsigbar og forebygger ubehagelige overraskelser. Disse grunnleggende tiltakene krever lite innsats, men forhindrer flertallet av typiske hendelser. Automatiske oppdateringsvarsler hjelper i tillegg med å sikre at ingen viktig oppdatering overses.

Sikre tilganger lukker det vanligste inngangspunktet

De fleste vellykkede angrep retter seg ikke mot komplekse sårbarheter, men mot svake tilganger. Administratorkontoer bør derfor bruke sterke, unike passord og helst beskyttes av tofaktorautentisering, fordi det andre steget stopper en stor andel automatiserte angrep. Bare de som virkelig trenger tilgang bør ha det, noe som betyr at gamle eller inaktive kontoer må slettes konsekvent og rettigheter gjennomgås jevnlig. I tillegg bør en konto midlertidig sperres etter flere feil passord for å hindre automatisert gjetting av kombinasjoner. Å følge disse få reglene lukker klart det vanligste inngangspunktet og gjør det vesentlig vanskeligere for angripere. En passordbehandler gjør det enkelt for teamet å bruke et sterkt, unikt passord for hver konto.

Skjemaer, angrepsbeskyttelse og overvåking

Skjemaer er et populært mål fordi data kommer inn i systemet ditt gjennom dem. Inndata bør derfor valideres før de lagres eller sendes, og sensitive opplysninger må utelukkende overføres kryptert og aldri lagres i klartekst. Effektiv spambeskyttelse, for eksempel en usynlig CAPTCHA, holder roboter borte uten å plage ekte besøkende. I tillegg lønner det seg med et enkelt beskyttelseslag, for eksempel en sikkerhetsplugin eller tjeneste som blokkerer kjente angrep tidlig. Mistenkelige tilganger som mange mislykkede forsøk eller forespørsler fra uvanlige regioner bør dessuten logges og gjennomgås jevnlig. Slik oppdager du mistenkelig atferd tidlig i stedet for å oppdage den først etter at skade har skjedd. Det er viktig at dette beskyttelseslaget leverer regelmessige rapporter som noen faktisk gjennomgår.

Sikkerhetskopier og beredskapsplan som sikkerhetsnett

Selv den beste beskyttelsen gir ingen hundre prosent garanti, og derfor er sikkerhetskopier den viktigste reserveløsningen. Fornuftig praksis er regelmessige automatiske sikkerhetskopier av filer og database der den ferskeste versjonen ikke er eldre enn én til to uker. Minst én kopi bør lagres på et annet sted, for eksempel i skyen, slik at den ikke går tapt sammen med serveren. Det avgjørende er å ha testet gjenopprettingsprosessen minst én gang, for bare en verifisert sikkerhetskopi hjelper virkelig i en nødsituasjon. En kort beredskapsplan som fastsetter hvem som gjør hva, hvem man ringer og i hvilken rekkefølge, sørger for at fart og klarhet råder i stedet for panikk. Regelmessig nettstedsvedlikehold holder alle disse forholdsreglene varig funksjonelle. Slik blir et truende totalt utfall i verste fall bare et kort, håndterbart avbrudd.