Internett virker. Helt til det ikke gjør det

Det som gjør historien over verdt å lese to ganger, er at hvert ledd i kjeden er en helt vanlig teknisk sammenheng. Ingen av dem er en feil. Sammen blir de et sammenbrudd.

1. Domenet er adressen til alt. «lilje.no» er ikke bare nettsiden. Det er også det som står etter krøllalfa i e-postadressene. Når domenet ikke fornyes, slutter det å svare, og alt som bruker navnet slutter med det.
2. DNS er telefonkatalogen. Det er DNS-oppslaget som forteller nettleseren hvor nettsiden ligger, og e-postservere hvor posten skal leveres (MX-oppføringen). Uten domenet finnes det ingen katalog å slå opp i. E-post til bedriften kommer ikke i retur med en gang, den blir stående i kø hos avsenderen i dager, og så forsvinner den.
3. Innloggingen bruker e-posten som bevis. Nesten alle skytjenester sender engangskoder og tilbakestillingslenker til e-postadressen. Er e-posten nede, er du låst ute av alt som stoler på den: kassesystemet, regnskapet, bookingen, sosiale medier.
4. Sikkerhetskopien lever i samme konto. Skylagringen er knyttet til den samme innloggingen. Den er trygg, men du kommer ikke til den akkurat når du trenger den.
5. Kontaktinformasjonen til de som kan hjelpe, lå i e-posten. Byrået, regnskapsføreren, IT-hjelpen. Det siste leddet er det få tenker på, og det er det som gjør at en times problem blir en dags stopp.

Merk hva som ikke skjedde: ingen ble hacket, ingen server brant, ingen gjorde noe galt den dagen. Årsaken var en avhengighet ingen hadde skrevet ned. Det er poenget med hele artikkelen.

Test selv: slå opp bedriftens domene på norid.no (for .no) eller i et whois-oppslag. Hvem står som kontakt, hvilken e-post, og når utløper det? Vet du ikke svaret på under to minutter, er du i samme situasjon som blomsterbutikken.

Her er de åtte lagene de fleste småbedrifter hviler på, i den rekkefølgen de bør kartlegges. For hvert lag: hva som ryker når det faller, og én test du kan gjøre selv i dag.

Domenet er navnet alt annet bruker. Det ligger hos en registrar (Domeneshop, One.com, GoDaddy og mange flere), fornyes årlig og har én kontaktadresse. DNS-oppføringene, som forteller verden hvor nettsiden og e-posten din er, kan ligge hos registraren eller et helt annet sted, for eksempel Cloudflare. Faller dette laget, faller alt under.

Test selv: finn ut hvor domenet er registrert, hvem som er kontakt, hvilken e-post fakturaen går til og når det utløper. Sett kontaktadressen til en felles bedriftsadresse på et annet domene, eller til to personer.

E-posten er både kommunikasjonskanal og nøkkelknippe. Den leveres til en tjeneste (Google Workspace, Microsoft 365, Domeneshop) via MX-oppføringen i DNS, og den eies av en administratorkonto. Faller den, mister du kundene i innboksen, og du mister engangskodene til alt annet.

Test selv: sjekk hvem som er administrator for e-postkontoen. Er det én person, legg til en til. Finn gjenopprettingsadressen og telefonnummeret som ligger på administratorkontoen. Peker de til noen som har sluttet, er du ett passord unna å låse deg ute.

Tofaktor er riktig, og det redder bedrifter hver dag. Men koden må komme fra et sted: en app på én telefon, en SMS til ett nummer, eller en e-post. Mister du det stedet, er sikkerheten snudd mot deg. Nasjonal sikkerhetsmyndighet setter «kartlegg brukere og behov for tilgang» som grunnprinsipp 1.3 av en grunn.

Test selv: for hver viktig tjeneste: hvor kommer engangskoden fra, og hva er reserveløsningen? Skriv ut gjenopprettingskodene og legg dem i safen. Bruk en autentiseringsapp som kan sikkerhetskopieres, og ha minst to administratorer.

Filene ligger i Google Drive, OneDrive, Dropbox eller regnskapssystemet. Det er tryggere enn en PC under pulten. Men tilgangen går via lag 2 og 3, og delte lenker, eksterne kontoer og gamle ansatte har ofte fortsatt tilgang.

Test selv: logg inn på lagringstjenesten som administrator og se på lista over brukere og delinger. Finn én person som har sluttet og fortsatt har tilgang. De fleste finner flere.

Nettsiden består av minst tre avhengigheter som ofte ligger hos tre ulike leverandører: domenet, hostingen (hvor filene ligger) og publiseringsløsningen (WordPress, Squarespace, Shopify). Legg til sertifikatet som gir hengelåsen i nettleseren, som også må fornyes. Byrået som satte det opp har gjerne passordene.

Test selv: be om innloggingen til hosting og publiseringsløsning, og legg dem i bedriftens passordhvelv. Sjekk når sertifikatet utløper (klikk på hengelåsen i nettleseren). Se også artikkelen om Cloudflare for hva som ligger foran nettsiden.

Kassesystemet, betalingsterminalen, Vipps og nettbutikkens betalingsløsning er hver sin avhengighet, med hver sin innlogging og hver sin leverandør. Terminalen trenger nett. Kassen i skyen trenger innlogging. Nettbutikken trenger alt over.

Test selv: spør leverandøren av kassesystemet hva som skjer uten nett, og prøv det: slå av wifi i to minutter en rolig ettermiddag. Ha en skrevet rutine for kontant og manuell kvittering. Blomsterbutikken hadde ikke det.

Bookingen som legger avtaler i kalenderen, nettbutikken som sender ordre til regnskapet, skjemaet som oppretter kunder i CRM-et, automatiseringen i Zapier eller Make. Hver av dem er en kobling med en nøkkel (API-nøkkel) som noen opprettet, og som slutter å virke når personen, kontoen eller planen forsvinner.

Test selv: lag en liste over hva som snakker med hva. Ta en tjeneste, åpne innstillingene og se etter «tilkoblede apper» eller «integrasjoner». Skriv ned hver kobling og hvem som opprettet den.

Sikkerhetskopien er det siste laget, og det er meningsløst hvis den ligger i samme konto som det den skal redde. Følg 3-2-1-regelen: tre kopier, to ulike medier, én et annet sted, med egen innlogging som ikke går via bedriftens e-post.

Test selv: prøv å gjenopprette én fil fra sikkerhetskopien uten å logge inn med bedriftens vanlige e-post. Klarer du ikke det, har du ikke en sikkerhetskopi. Du har en kopi.

Du trenger et regneark og en ettermiddag. Én rad per avhengighet, sju kolonner. Det er alt.

1. Tjeneste. Navn og hva den gjør for dere («Domeneshop: domenet lilje.no»).
2. Eier. Hvem i bedriften har administratortilgang. Skal være to personer.
3. Kontaktadresse. Hvilken e-post og hvilket telefonnummer leverandøren bruker. Skal ikke være en privat adresse, og ikke en adresse på domenet tjenesten selv leverer.
4. Betaling. Hvordan betales den, når fornyes den, og hva skjer hvis betalingen feiler.
5. Avhenger av. Hvilke andre rader må virke for at denne skal virke. Her ser du kjedene.
6. Hvis den faller. Én setning om konsekvensen, og én om nødløsningen.
7. Sist testet. Datoen dere sist prøvde nødløsningen. Tom celle betyr aldri.

Start med de tre første lagene (domene, e-post, identitet). Der ligger nesten alle kjedereaksjonene. Resten kan fylles ut over noen uker. Legg arket i passordhvelvet, ikke i en mappe som selv er en av radene.

Vil du ha hjelp, er dette et godt avgrenset oppdrag for en IT-konsulent: «kartlegg våre digitale avhengigheter, finn de tre farligste kjedene og foreslå tiltak». En til to dager for de fleste småbedrifter. Sammenlign gjerne med lista over prioriterte tiltak i artikkelen om cybersikkerhet.