Sikkerheds-baseline for SMV'er: 8 ting du skal have styr på — uanset platform
"Vi er for små til at være et mål." Det er den mest udbredte — og mest farlige — misforståelse blandt SMV'er, når samtalen falder på IT-sikkerhed.
Sandheden er mindre trøstende: de fleste angreb er automatiserede. Robotter scanner internettet døgnet rundt efter kendte sårbarheder. De tjekker ikke din omsætning først. De finder huller — i din WordPress-installation, dit plugin, din server, din formular — og udnytter dem industrielt.
Den gode nyhed: Du behøver ikke et compliance-program eller en årlig penetrationstest for 30.000 kr. Langt de fleste angreb stoppes af en baseline, der er kedelig, billig og næsten helt automatiserbar. Her er de 8 punkter.
Baseline ≠ enterprisesikkerhed
Lad os skelne tingene ad, for ordene bliver brugt i flængen:
Enterprisesikkerhed handler om compliance, ISO-certificering, SOC 2-rapporter, zero trust-arkitektur og dedikerede sikkerhedsteams. Det giver mening når du har hundredvis af ansatte, kundekontrakter der kræver det, og data som regulatorer holder øje med.
Baseline handler om at lukke de huller, robotterne leder efter. Det er det niveau, hvor forskellen mellem "har styr på det" og "har ikke" er forskellen mellem en kedelig tirsdag og en katastrofe.
For en SMV med 5–50 ansatte er baseline 95% af værdien — til en brøkdel af prisen.
De 8 punkter
1. Opdateringer der kører uden at nogen husker det
Kendte sårbarheder i forældede plugins og biblioteker er den hyppigste indgangsdør. Ikke fordi hullerne er avancerede — men fordi ingen har opdateret siden i 14 måneder.
Baseline: opdateringer kører på fast skema, automatisk hvor det er sikkert, manuelt med test hvor det ikke er. Og vigtigst: noget registrerer, når noget springes over.
2. Backups du har bevist kan gendannes
En backup der aldrig er blevet testet, er et håb — ikke en backup. Jeg har set virksomheder opdage, at deres "daglige backup" havde fejlet lydløst i fire måneder, præcis da de skulle bruge den.
Baseline: automatisk backup mindst dagligt, opbevaret uden for serveren (ransomware krypterer gerne dine backups også), og en gendannelsestest mindst kvartalsvist. Testen tager en halv time. Uden den ved du ingenting.
3. To-faktor på alt, der kan skade dig
Admin-login, hosting-konto, domæne-registrator, mail. Et lækkret kodeord er stadig den nemmeste vej ind, og password-reuse gør ét hack til ti.
Baseline: 2FA på alle administratorkonti — især domænet og mailen. Taber du domænet, taber du sitet, mails og alt andet i én bevægelse.
4. Adgangsprincippet: færre folk med nøgler
Hvem har admin-adgang til jeres systemer i dag? Hvis svaret er "måske den gamle webmaster, og så Jan, men han er jo holdt op..." — så er det her dit største hul.
Baseline: ét kort over hvem der har adgang til hvad, adgang fjernet samme dag en person forlader virksomheden, og separate konti (ingen delte logins).
5. HTTPS og sikkerhedsheadere
HTTPS er bordet dækker i 2026. Men headere som Content-Security-Policy, X-Frame-Options og Strict-Transport-Security mangler stadig på de fleste SMV-sider — og de stopper hele angrebsklasser (script-injektion, clickjacking) næsten gratis.
Baseline: HTTPS håndhævet, sikkerhedsheadere sat på server-niveau, og en gennemgang af om formularer sender data krypteret end-to-end.
6. Overvågning: ved du det, hvis det går ned?
Her er spørgsmålet der får de fleste SMV'er til at tavse: Hvor lang tid ville gå, før du opdagede at din side var hacket eller nede?
Uden overvågning er svaret typisk "indtil en kunde klager" — hvilket kan være uger. En side der sender spam i kundernes navn, eller som Google har markeret som farlig, koster mere i tillid end selve reparationen.
Baseline: oppetids-overvågning med besked inden minutter, og log-overvågning der fanger mistænkelige login-forsøg.
7. Formularer og leads: døren både ind og ud
Jeres kontaktformular er tovejsrisiko: ind modtages spam og forsøg på at udnytte serveren; ud tabes leads, hvis formularen fejler stille.
Jeg har tidligere skrevet om en kontaktformular, der tabte henvendelser i måneder, uden at nogen opdagede det — fordi fejlen lå i, at afsendelsen fejlede uden at give fejl. Det er ikke en hypotetisk risiko.
Baseline: spam-beskyttelse (honeypot + turnstile), server-side validering, og verificering af at afsendelsen faktisk lykkedes — med alarm når den ikke gør. Døde leads er den dyreste sikkerhedsfejl, fordi ingen ser den ske.
8. En plan for de første 24 timer
Det går galt alligevel. Forskellen mellem en hændelse og en katastrofe er, om du skal improvisere mens siden ligger og sender phishing til dine kunder.
Baseline: et dokument på én side — hvem ringer du til, hvor er backups/hosting/login, hvordan tager du sitet offline, hvem informerer du. Skriv det nu, mens du er rolig.
Hvorfor SMV'er alligevel dropper det
Ikke fordi punkterne er svære. Alle otte kan sættes op på få dage. Problemet er, at:
- Ingen belønner dig for det. Sikkerhed ses først, når den mangler.
- Det kræver vedholdenhed. Opsætningen er én ting; at holde den kørende i år 3 er en anden.
- Ansvarligt menneske findes ikke. Ingen har det som job, så det er alle sammen alles ansvar — og dermed ingenens.
Det er den samme struktur som teknisk gæld: billig at forebygge, dyr at reparere, og den vokser stille i baggrunden.
Hvad AI ændrer ved regnestykket
Tidligere var løbende sikkerhedsdrift dyr, netop fordi den kræver vedholdenhed: scanne, lappe, teste, overvåge, rapportere — hver uge, for evigt. Det er rutinearbejde, og rutinearbejde er dét, AI har gjort billigt.
I min drift betyder det konkret:
- Automatiserede scanninger for kendte sårbarheder ved hver ændring — ikke én gang om året
- Afvigelser i logs og oppetid flagges med det samme, i stedet for at blive fundet ved næste manuelle kig
- Sikkerhedsopdateringer testes og rulles ud hurtigere, fordi selve testcyklussen er kortere
Dømmekraften — hvad der er en reel trussel for lige din virksomhed, og hvad der er støj — kan AI ikke tage. Men udførelsen af basalen er blevet så billig, at argumentet "det er for dyrt for os" i praksis er dødt.
Regnestykket
Sammenlign tre scenarier for en typisk SMV:
- Gør ingenting: 0 kr./md — indtil dagen hvor siden er hacket, leads er tabt, og Google viser en advarsel. Reparation + tabt tillid + tabt trafik: typisk titusinder af kroner, plus uger med kaos.
- Baseline opsat én gang, ingen vedligeholdelse: virker i 3–6 måneder. Herefter glider opdateringer og tests bagud, og du er tilbage i scenarie 1 med falsk tryghed.
- Løbende drift med baseline som fundament: fra ca. 2.500–10.000 kr./md afhængigt af omfang (Drift Light eller Drift+). Basalen holdes kørende, afvigelser fanges, og du får en kvartalsrapport du kan vise bestyrelsen.
Scenarie 3 koster mindre pr. år end én enkelt hændelse i scenarie 1.
Vil du have basalen på plads — uden selv at skulle huske den?
Det er kernen i vedligeholdelsespakkerne: opdateringer, testede backups, overvågning og en kvartalsrapport. Er jeres setup mere sammensat end en standard-hjemmeside, så kig på teknisk partner-modellen — eller skriv to linjer, så gennemgår jeg jeres baseline og siger ærligt, hvad der mangler.
