Skip to main content

Stikkord: Datasikkerhet

Illustrasjon som viser forskjellen mellom skylagring og egen serverinfrastruktur

Cloud vs egen server – hva lønner seg?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Cloud vs egen server – hva lønner seg?

Valget mellom skyløsninger og egen server dukker opp i nesten alle virksomheter før eller siden. Skal man legge dataene hos en global leverandør, eller drifte infrastrukturen selv? Svaret avhenger ikke bare av pris. Det handler også om kontroll, sikkerhet, fleksibilitet og langsiktig strategi.

Denne artikkelen forklarer forskjellene mellom cloud og egen server, hva de faktisk koster, og når de ulike modellene gir mest mening.

Hva betyr egentlig cloud?

Når man snakker om «cloud», mener man vanligvis tjenester levert fra datasentre som eies av selskaper som Microsoft, Google eller Amazon. I stedet for å eie serverne selv, leier man kapasitet og programvare over internett.

Eksempler er:

  • Microsoft 365
  • Google Workspace
  • Dropbox
  • AWS eller Azure servere

Fordelen er at alt allerede er satt opp. Man trenger ikke kjøpe maskinvare, installere servere eller tenke på drift i særlig grad.

Men det betyr også at infrastrukturen kontrolleres av noen andre.

Dette er et viktig tema i hovedartikkelen hvem kontrollerer egentlig dataene dine.

Hva betyr egen server?

Egen server betyr at virksomheten selv eier eller kontrollerer infrastrukturen som lagrer dataene. Serveren kan stå i egne lokaler, hos et datasenter eller hos en norsk leverandør.

Dette kan være:

  • en fysisk server i eget serverrom
  • en leid server i et datasenter
  • en privat sky driftet for virksomheten

I slike løsninger har virksomheten langt større kontroll over både data og systemer.

Teknologier som Nextcloud brukes ofte i slike oppsett fordi de gir mange av de samme funksjonene som kommersielle skyløsninger.

Pris – hva er egentlig billigst?

Cloud markedsføres ofte som billig. I starten kan det også stemme.

Man slipper investering i maskinvare, og man kan starte med en lav månedlig kostnad per bruker.

Problemet oppstår ofte over tid.

Abonnementsmodellen

De fleste skyløsninger bruker abonnement per bruker per måned.

Eksempel:

  • 50 ansatte
  • 150–250 kr per bruker

Dette kan raskt bli:

90 000 – 150 000 kr per år.

Og kostnaden stopper aldri. Den fortsetter så lenge løsningen brukes.

Egen server

En egen server innebærer vanligvis en høyere startkostnad.

Maskinvare, installasjon og oppsett må på plass. Men når systemet først er etablert, kan driftskostnaden være langt lavere.

For mange virksomheter vil totalkostnaden over 3–5 år være lavere enn en ren abonnementsløsning.

Kontroll over data

Dette er en av de største forskjellene.

Når data lagres i en global skyløsning, ligger infrastrukturen hos leverandøren. Selv om dataene fysisk kan ligge i Europa, kan juridisk kontroll ligge et annet sted.

Dette er blant annet bakgrunnen for diskusjonen rundt CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt.

Med egen server eller privat sky kan virksomheten ha langt bedre kontroll over:

  • hvor data lagres
  • hvem som har tilgang
  • hvordan systemet konfigureres

Dette er også tett knyttet til begrepet [hva er datasuverenitet].

Sikkerhet

Mange antar automatisk at cloud alltid er sikrere. Det er ikke nødvendigvis riktig.

Store leverandører har svært sterke sikkerhetsmiljøer. Samtidig gjør størrelsen dem også til attraktive mål for angrep.

Et sikkerhetsproblem i en global plattform kan potensielt påvirke millioner av brukere.

Med egen infrastruktur blir angrepsflaten annerledes. Risikoen er mer begrenset til den enkelte virksomhet.

Det betyr ikke at egen drift er automatisk sikkert. Dårlig drift kan være farlig.

Men riktig konfigurert kan en privat løsning være svært robust.

Fleksibilitet

Cloud-tjenester er ofte standardiserte.

Man får funksjonene leverandøren tilbyr, og ikke nødvendigvis mer.

Med egen server kan systemer tilpasses langt mer:

  • integrasjoner
  • lagringsstruktur
  • sikkerhetsnivå
  • tilgangsregler

Open-source plattformer som Nextcloud er populære nettopp fordi de gir stor fleksibilitet.

Vendor lock-in

En faktor mange først oppdager etter noen år er vendor lock-in.

Når hele organisasjonen bruker én plattform til:

  • e-post
  • dokumenter
  • samarbeid
  • lagring

kan det bli svært vanskelig å flytte til noe annet senere.

Dataformater, integrasjoner og arbeidsflyt blir knyttet til leverandøren.

Dette kan gjøre migrering både dyr og komplisert.

Med egen infrastruktur og åpne løsninger er det vanligvis enklere å bytte systemer senere.

Når cloud gir mest mening

Det finnes mange situasjoner hvor cloud er et fornuftig valg.

For eksempel:

  • små virksomheter uten IT-kompetanse
  • oppstartsbedrifter
  • organisasjoner som trenger rask oppstart
  • team som jobber helt uten egen infrastruktur

I slike tilfeller kan ferdige skyløsninger være både praktiske og effektive.

Når egen server kan være smartere

Egen server eller privat sky kan være et bedre valg når:

  • virksomheten håndterer sensitiv informasjon
  • man ønsker kontroll over data
  • kostnader over tid er viktig
  • man vil unngå avhengighet til globale plattformer

Mange virksomheter velger også en hybridmodell hvor enkelte tjenester ligger i skyen, mens kritiske systemer kjøres på egen infrastruktur.

Det viktigste spørsmålet

Diskusjonen om cloud vs egen server handler egentlig om ett spørsmål:

Hvem kontrollerer infrastrukturen virksomheten er avhengig av?

Teknologi er aldri bare teknologi. Den påvirker også eierskap, risiko og langsiktig handlingsrom.

Hvis du vil forstå hvorfor dette spørsmålet blir stadig viktigere, bør du lese hovedartikkelen [hvem kontrollerer egentlig dataene dine].

FAQ

Er cloud billigere enn egen server?

På kort sikt kan cloud være billigere. Over flere år kan abonnementskostnader gjøre løsningen dyrere enn egen infrastruktur.

Er cloud sikrere?

Ikke nødvendigvis. Store leverandører har sterke sikkerhetsmiljøer, men egen infrastruktur kan også være svært sikker hvis den driftes riktig.

Må man velge enten cloud eller egen server?

Nei. Mange virksomheter bruker en hybridmodell hvor noen tjenester ligger i skyen og andre kjøres lokalt eller i privat sky.

Hva bruker de fleste bedrifter?

Mange små og mellomstore virksomheter bruker i dag kommersielle skyløsninger. Samtidig øker interessen for private og self-hosted alternativer blant organisasjoner som ønsker mer kontroll over data.

Illustrasjon av bedrift som velger mellom ulike skyløsninger

Hvordan velge riktig skyløsning for bedriften

Skrevet av Svein Tore den . Publisert i Teknologi. Ingen kommentarer til Hvordan velge riktig skyløsning for bedriften

Bedrifter lagrer mer data enn noen gang. Dokumenter, kundedata, prosjekter, kommunikasjon og interne systemer ligger ofte i en eller annen form for skyplattform. Problemet er at mange velger løsning før de egentlig har tenkt gjennom hva de trenger – eller hvem som faktisk kontrollerer infrastrukturen.

Valg av skyløsning handler ikke bare om pris og funksjoner. Det handler også om kontroll, sikkerhet, juridiske forhold og hvor avhengig virksomheten blir av leverandøren.

Denne artikkelen forklarer hvilke faktorer bedrifter bør vurdere før de velger skyløsning.

Hva mener vi egentlig med en skyløsning?

En skyløsning betyr i praksis at data og tjenester kjøres på servere som ikke står lokalt i virksomheten. Disse serverne kan være driftet av en ekstern leverandør eller av virksomheten selv i et datasenter.

De vanligste typene skyløsninger er:

  • Offentlig sky
  • Privat sky
  • Hybrid sky
  • Self‑hosted løsninger

Forskjellen mellom disse handler først og fremst om hvem som eier infrastrukturen og hvem som har kontroll over dataene.

Hvis du vil forstå dette bedre, kan du lese [hva er en privat sky for bedrifter].

1. Hvem kontrollerer dataene?

Det første spørsmålet en virksomhet bør stille er enkelt:

Hvem kontrollerer egentlig dataene våre?

I mange globale skyløsninger lagres data i datasentre som tilhører internasjonale selskaper. Selv om dataene fysisk ligger i Europa, kan juridiske forhold gjøre at andre land kan kreve tilgang.

Dette er bakgrunnen for debatten rundt blant annet [CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt] og [hva betyr Schrems II for skylagring].

For mange virksomheter er dette ikke bare et teoretisk spørsmål. Hvis du håndterer kundedata, personopplysninger eller sensitiv informasjon, kan valg av plattform ha juridiske konsekvenser.

2. Hvor lagres dataene fysisk?

Mange tror at data automatisk lagres i Norge eller Europa dersom leverandøren oppgir det. Virkeligheten er ofte mer komplisert.

Data kan replikeres mellom flere datasentre for redundans og ytelse. Samtidig kan administrasjonssystemer, support eller analyseverktøy være plassert i andre jurisdiksjoner.

Derfor er det viktig å forstå hvor data faktisk behandles og hvem som har tilgang.

Artikkelen hvor lagres dataene i Microsoft 365 går mer detaljert inn i dette.

3. Hvor avhengig blir du av leverandøren?

Mange skyplattformer skaper sterk leverandøravhengighet – ofte kalt vendor lock‑in.

Når en virksomhet først har flyttet dokumenter, arbeidsprosesser og integrasjoner inn i en plattform, kan det bli både dyrt og teknisk vanskelig å flytte senere.

Spør derfor:

  • Hvor enkelt er det å eksportere data?
  • Kan løsningen integreres med andre systemer?
  • Finnes det åpne standarder?

Open source‑baserte plattformer kan i mange tilfeller gi større fleksibilitet fordi infrastrukturen ikke er låst til én leverandør.

Hvis du vil forstå dette bedre, kan du lese [self‑hosted skylagring – hva betyr det egentlig].

4. Sikkerhet og backup

En skyløsning er ikke automatisk sikker bare fordi den ligger i skyen.

Mange virksomheter antar at leverandøren tar ansvar for alt. I praksis er sikkerhet nesten alltid et delt ansvar mellom leverandør og kunde.

Det betyr at virksomheten fortsatt må tenke på:

  • backup
  • tilgangskontroll
  • logging
  • ransomware‑beskyttelse

En enkel regel mange bruker er hva er 3‑2‑1 backup regelen.

Dette innebærer at man alltid har flere kopier av dataene, lagret på ulike steder.

5. Kostnader på lang sikt

Skyplattformer markedsføres ofte som billige og enkle å komme i gang med. Det stemmer til en viss grad.

Men kostnadsbildet kan endre seg over tid.

Abonnementsmodeller betyr at kostnader øker i takt med:

  • antall brukere
  • lagringsmengde
  • ekstra funksjoner

Mange virksomheter opplever derfor at kostnadene blir høyere etter noen år enn de forventet.

Det betyr ikke nødvendigvis at skyen er feil valg – men det er viktig å forstå økonomien før man flytter hele virksomheten inn i en plattform.

6. Drift og kompetanse

En annen viktig faktor er hvor mye teknisk kompetanse virksomheten selv har.

Ferdige skyløsninger er populære fordi de krever lite drift. Oppdateringer, sikkerhetsarbeid og infrastruktur håndteres av leverandøren.

Self‑hosted løsninger eller private skyer kan gi større kontroll, men krever også mer kompetanse eller en driftspartner.

Det betyr at riktig løsning ofte avhenger av:

  • størrelse på virksomheten
  • teknisk kompetanse
  • krav til kontroll

7. Samarbeid og arbeidsverktøy

For mange virksomheter er ikke skyløsningen bare et lagringssted. Den fungerer også som arbeidsplattform.

Dette gjelder spesielt løsninger som inkluderer:

  • dokumentredigering
  • chat
  • videomøter
  • prosjektverktøy

Her har store plattformer ofte et bredt økosystem av integrasjoner og apper.

Samtidig finnes det også alternativer som kan gi mer kontroll over dataene, for eksempel open source‑baserte samarbeidsplattformer.

En sammenligning finner du i [Nextcloud vs Microsoft 365].

Det finnes ikke én riktig skyløsning

Mange leter etter «den beste» skyløsningen. I praksis finnes det ikke ett riktig svar.

Valget handler om prioriteringer.

Noen virksomheter prioriterer enkelhet og ferdige tjenester. Andre prioriterer kontroll over data og infrastruktur.

Det viktigste er at valget tas bevisst.

Altfor mange virksomheter velger plattform fordi «alle andre bruker den» uten å analysere konsekvensene.

Hvis du vil forstå dette temaet grundigere, anbefales hovedartikkelen hvem kontrollerer egentlig dataene dine.

FAQ

Hva er den tryggeste skyløsningen?

Det finnes ingen universelt tryggeste løsning. Sikkerheten avhenger av hvordan plattformen er konfigurert, hvilke sikkerhetsrutiner virksomheten har og hvilke juridiske forhold som gjelder.

Er Microsoft 365 en skyløsning?

Ja. Microsoft 365 er en offentlig skyløsning der Microsoft drifter infrastrukturen og leverer tjenester som e‑post, dokumenter og samarbeidssystemer.

Når bør en virksomhet velge privat sky?

Privat sky kan være aktuelt når virksomheten har høye krav til kontroll over data, spesifikke regulatoriske krav eller ønsker å unngå sterk leverandøravhengighet.

Er self‑hosted løsninger tryggere?

De kan gi mer kontroll over data og infrastruktur, men sikkerheten avhenger fortsatt av hvordan systemene driftes og vedlikeholdes.

E-post som passerer tre kontroller for avsender, signatur og domene-policy.

SPF, DKIM og DMARC: e-postsikkerhet uten mystikk

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til SPF, DKIM og DMARC: e-postsikkerhet uten mystikk

Oppdatert 8. september 2026.

`r`n`r`n

E-post er fortsatt en av de viktigste arbeidsflatene i små virksomheter. Den brukes til tilbud, fakturaer, kundehenvendelser, passordreset, møter, dokumenter og intern avklaring. Derfor blir e-post også misbrukt.

Et vanlig problem er at en svindler prøver å sende e-post som ser ut til å komme fra et kjent domene. Det kan være et forsøk på phishing, fakturasvindel eller innloggingstyveri. SPF, DKIM og DMARC er tre tekniske tiltak som gjør dette vanskeligere.

De løser ikke all e-postsikkerhet alene. De stopper ikke alle falske meldinger, og de erstatter ikke tofaktor, opplæring eller godt spamfilter. Men de gir mottakende e-postsystemer bedre grunnlag for å vurdere om en melding faktisk er sendt på vegne av domenet ditt.

Først: avsenderfeltet i e-post kan lyve

E-post ble ikke opprinnelig laget med sterk identitetskontroll. En melding kan vise en avsenderadresse som ser riktig ut, selv om meldingen teknisk kommer fra et annet sted.

Det betyr ikke at alle e-poster er upålitelige. Det betyr at domenet trenger noen ekstra kontroller. De viktigste er:

  • SPF: hvilke systemer har lov til å sende e-post for domenet?
  • DKIM: er meldingen signert av et system som har nøkkel for domenet?
  • DMARC: hva skal mottakere gjøre når SPF eller DKIM ikke stemmer med avsenderdomenet?

Tenk på dette som tre lag. SPF peker på godkjente sendekilder. DKIM signerer meldingen. DMARC knytter kontrollene til domenet mottakeren faktisk ser i Fra-feltet.

SPF: en liste over godkjente sendekilder

SPF står for Sender Policy Framework. I praksis er det en DNS-post som forteller hvilke servere eller tjenester som kan sende e-post for domenet.

For en virksomhet som bruker Microsoft 365, vil SPF ofte inneholde Microsoft sin e-postplattform. Hvis virksomheten også sender fra et nyhetsbrevverktøy, et regnskapssystem, en nettbutikk eller et kontaktskjema, må det vurderes om disse også er legitime sendekilder.

SPF handler derfor ikke bare om å lime inn en standardtekst. Det handler om å vite hvor e-post faktisk sendes fra.

Vanlige feil med SPF er:

  • domenet har ingen SPF-post
  • domenet har flere SPF-poster i stedet for én samlet
  • gamle tjenester står fortsatt som godkjente
  • nye tjenester mangler og får leveringsproblemer
  • hoveddomenet brukes til mange tredjepartstjenester uten ryddig oversikt

SPF er nyttig, men ikke komplett. Blant annet sjekker SPF den tekniske konvoluttavsenderen, ikke nødvendigvis domenet brukeren ser i Fra-feltet. Derfor trengs også DKIM og DMARC.

DKIM: en signatur på meldingen

DKIM står for DomainKeys Identified Mail. Med DKIM signeres utgående e-post kryptografisk. Mottakeren kan kontrollere signaturen mot en offentlig nøkkel som ligger i DNS.

Poenget er å vise at meldingen er sendt gjennom en løsning som har lov til å signere for domenet, og at viktige deler av meldingen ikke er endret underveis.

I Microsoft 365 krever DKIM for eget domene vanligvis at det legges inn CNAME-poster i DNS, og at DKIM aktiveres i riktig administrasjonsportal. Andre e-postleverandører har egne fremgangsmåter.

DKIM er spesielt nyttig fordi det tåler enkelte situasjoner bedre enn SPF, for eksempel når e-post videresendes. Men DKIM alene er heller ikke nok. En angriper kan signere e-post med et annet domene og likevel vise et annet navn i meldingen. DMARC hjelper med å kontrollere sammenhengen.

DMARC: policyen som binder det sammen

DMARC står for Domain-based Message Authentication, Reporting and Conformance. Det er også en DNS-post.

DMARC gjør to viktige ting:

  • den kontrollerer at domenet i SPF eller DKIM henger sammen med domenet mottakeren ser som avsender
  • den sier hva mottakende systemer bør gjøre når kontrollene feiler

DMARC kan settes opp gradvis. Mange starter med p=none, som gir rapportering uten at meldinger blokkeres. Når man har oversikt over legitime sendekilder, kan policyen strammes inn til quarantine eller reject.

For små virksomheter er dette viktig: ikke gå rett til streng blokkering hvis dere ikke vet hvilke systemer som faktisk sender e-post. Da kan kontaktskjema, fakturasystem, booking, nettbutikk eller gamle varsler plutselig slutte å levere.

Strengere krav fra store mottakere

E-postautentisering er ikke lenger bare en anbefalt forbedring for store utsendere. Googles krav til avsendere sier at alle som sender til personlige Gmail-kontoer må bruke SPF eller DKIM. Domener som sender mer enn 5 000 meldinger per dag til Gmail-kontoer, må bruke SPF, DKIM og DMARC, og minst SPF- eller DKIM-domenet må samsvare med domenet i Fra-feltet.

Microsoft innførte tilsvarende krav for domener som sender mer enn 5 000 meldinger per dag til forbrukeradresser hos Outlook, Hotmail og Live. Kravene omfatter SPF, DKIM og DMARC, med minst p=none for DMARC.

Disse tersklene gjelder store utsendelser til bestemte mottakertjenester. De betyr ikke at mindre virksomheter kan hoppe over autentisering. SPF, DKIM og DMARC beskytter også små domener mot etterligning og gjør feilsøking av leveringsproblemer enklere.

Hvorfor dette betyr noe for små virksomheter

Små virksomheter tenker ofte at dette er et problem for store selskaper. Det stemmer ikke. Et lite domene kan være attraktivt nettopp fordi mottakere stoler på det lokalt.

Hvis domenet misbrukes i falsk e-post, kan konsekvensen bli:

  • kunder får svindelmeldinger som ser ut til å komme fra virksomheten
  • ansatte blir lurt av meldinger som ser interne ut
  • e-post havner oftere i søppelpost
  • leverandører og kunder mister tillit
  • oppryddingen tar tid selv om virksomheten ikke ble teknisk kompromittert

God e-postautentisering handler derfor både om sikkerhet og om leveringskvalitet. Det hjelper andre e-postsystemer å skille legitim e-post fra misbruk.

Start med kartlegging, ikke DNS-endring

Den tryggeste starten er å lage en enkel liste over alle steder virksomheten sender e-post fra.

Sjekk særlig:

  • Microsoft 365, Google Workspace eller annen primær e-postløsning
  • webhotell eller gammel mailserver
  • kontaktskjema på nettsiden
  • WordPress, WooCommerce eller andre publiseringssystemer
  • regnskap, faktura og betalingsløsninger
  • nyhetsbrev og markedsføringsverktøy
  • CRM, supportsystem og booking
  • skrivere, skannere, overvåking og varsling

For hvert punkt bør dere spørre:

  • sender systemet e-post med vårt domene som avsender?
  • sender det direkte, via Microsoft 365, via webhotellet eller via en tredjepart?
  • finnes det dokumentasjon fra leverandøren om SPF, DKIM eller DMARC?
  • kan tjenesten heller sende fra et eget underdomene?

Denne kartleggingen er ofte mer verdifull enn selve DNS-endringen. Den viser også hvor det finnes gamle løsninger ingen lenger eier tydelig.

Ikke bruk hoveddomenet ukritisk til alt

Hvis mange tredjepartstjenester sender som firma.no, blir SPF og DMARC fort vanskeligere å kontrollere. For nyhetsbrev, kampanjer eller systemutsending kan det være bedre å bruke et underdomene, for eksempel nyheter.firma.no eller post.firma.no.

Det beskytter hoveddomenet bedre. Hvis en ekstern utsending feiler, påvirker det ikke nødvendigvis den vanlige e-posten fra ansatte like mye.

Dette må planlegges. Et underdomene som sender e-post trenger også riktig SPF, DKIM og DMARC. Poenget er ikke å skjule noe, men å skille ulike typer e-post tydeligere.

Vær forsiktig med gamle og doble DNS-poster

E-postproblemer oppstår ofte fordi DNS har blitt endret mange ganger over flere år. En virksomhet kan ha byttet webhotell, flyttet e-post til Microsoft 365, beholdt et kontaktskjema, lagt til et nyhetsbrevverktøy og senere glemt hva som fortsatt er i bruk.

Typiske faresignaler er:

  • flere TXT-poster som starter med v=spf1
  • SPF-poster med gamle leverandører ingen kjenner igjen
  • DMARC satt til p=none uten at noen leser rapportene
  • manglende DKIM for eget domene
  • tjenester som sender e-post uten å være dokumentert
  • ingen vet hvor DNS faktisk administreres

Rydding bør gjøres kontrollert. Ta vare på nåværende verdier før endring, og test sending fra viktige systemer etterpå.

En praktisk rekkefølge

For en liten virksomhet er en god rekkefølge ofte:

  1. Finn hvor DNS administreres.
  2. Lag liste over alle systemer som sender e-post.
  3. Kontroller eksisterende MX, SPF, DKIM og DMARC.
  4. Rett åpenbare feil, men ikke fjern ukjente sendekilder før de er vurdert.
  5. Aktiver eller kontroller DKIM hos primær e-postleverandør.
  6. Sett opp DMARC med rapportering.
  7. Følg med på rapporter og leveringsproblemer.
  8. Stram inn DMARC-policyen gradvis når legitime sendere er kartlagt.
  9. Dokumenter hvem som har ansvar for fremtidige endringer.

Dette er ikke et engangsprosjekt som aldri må sees på igjen. Hver gang virksomheten tar i bruk et nytt system som sender e-post, bør e-postautentisering vurderes.

Hva bør ikke gjøres i blinde?

Unngå disse snarveiene:

  • ikke kopier SPF fra en tilfeldig guide uten å vite egne sendekilder
  • ikke legg inn flere SPF-poster
  • ikke sett DMARC rett til reject uten kartlegging
  • ikke fjern gamle DNS-poster før du vet om de fortsatt brukes
  • ikke anta at webhotell, DNS og e-post ligger hos samme leverandør
  • ikke glem kontaktskjema, fakturasystem, nettbutikk og skannere

Det er også lurt å skille mellom e-postautentisering og innholdssikkerhet. SPF, DKIM og DMARC gjør domenemisbruk vanskeligere, men de garanterer ikke at en melding er trygg. En legitim konto kan fortsatt bli misbrukt hvis passordet er stjålet.

Kort oppsummert

SPF, DKIM og DMARC er grunnmuren for tryggere e-postdomener.

SPF sier hvilke systemer som kan sende. DKIM signerer meldinger. DMARC binder kontrollene til avsenderdomenet og gir en policy for hva mottakere bør gjøre når noe ikke stemmer.

For små virksomheter er beste start å kartlegge alle sendekilder, rydde gamle DNS-poster forsiktig, aktivere DKIM hos e-postleverandøren og bruke DMARC gradvis. Da blir domenet vanskeligere å misbruke, samtidig som legitim e-post får bedre sjanse til å komme frem.

Videre lesing

Illustrasjon av småbedrift med flere IT-sikkerhetsproblemer og varsler på dataskjermer

10 sikkerhetsfeil små bedrifter gjør i IT-drift

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til 10 sikkerhetsfeil små bedrifter gjør i IT-drift

Mange små bedrifter tror at IT-sikkerhet først og fremst er et problem for store selskaper. Realiteten er ofte det motsatte. Små virksomheter har gjerne mindre ressurser, færre sikkerhetsrutiner og svakere kontroll over hvor data faktisk lagres.

Resultatet er at enkle feil i IT-driften kan få store konsekvenser.

Denne artikkelen går gjennom ti vanlige sikkerhetsfeil små bedrifter gjør – og hva man bør gjøre i stedet.

1. Ingen tydelig kontroll over hvor data lagres

Mange virksomheter bruker skyløsninger uten egentlig å vite hvor dataene lagres eller hvilke lover som gjelder for leverandøren.

Når data lagres i globale skyløsninger kan de være underlagt andre lands lovgivning. Dette kan påvirke både personvern, datasikkerhet og hvem som i praksis kan få tilgang til informasjonen.

Derfor bør alle virksomheter ha oversikt over:

  • hvor data lagres
  • hvem som kontrollerer infrastrukturen
  • hvilken jurisdiksjon leverandøren opererer under

Dette er et sentralt tema i artikkelen hvem kontrollerer egentlig dataene dine.

2. Manglende backup-strategi

Overraskende mange små bedrifter har enten ingen backup – eller en backup som ikke faktisk fungerer.

Vanlige problemer inkluderer:

  • backup som lagres på samme server som originaldata
  • backup som aldri testes
  • manuelle backup-rutiner som glemmes

En god tommelfingerregel er å følge 3-2-1 backup regelen. Den reduserer risikoen for både tekniske feil og ransomware-angrep.

3. For stor tillit til standardinnstillinger

Standardinnstillinger i programvare er laget for å gjøre systemer enkle å ta i bruk – ikke nødvendigvis for maksimal sikkerhet.

Dette kan føre til:

  • åpne porter
  • svake passordregler
  • for brede brukerrettigheter

IT-systemer bør derfor alltid gjennomgås etter installasjon og tilpasses virksomhetens behov.

4. Alle ansatte har for mye tilgang

I mange små bedrifter har ansatte tilgang til langt mer informasjon enn de trenger.

Dette øker risikoen for:

  • interne feil
  • utilsiktet datalekkasjer
  • kompromitterte brukerkontoer

Et grunnprinsipp i IT-sikkerhet er «least privilege» – altså at brukere kun skal ha tilgang til det de faktisk trenger.

5. Manglende oppdateringer

Gamle systemer er en av de vanligste inngangsportene for angrep.

Programvare oppdateres kontinuerlig fordi sikkerhetshull oppdages. Hvis oppdateringer ikke installeres, blir disse hullene stående åpne.

Dette gjelder spesielt:

  • servere
  • nettverksutstyr
  • WordPress og plugins
  • operativsystemer

6. Ingen plan for ransomware

Ransomware er i dag en av de største truslene mot små og mellomstore virksomheter.

Mange organisasjoner oppdager først problemet når alle filer plutselig er kryptert.

En realistisk sikkerhetsstrategi bør derfor inkludere:

  • isolerte backup-løsninger
  • rutiner for gjenoppretting
  • begrensning av brukerrettigheter

Se også Ransomware – hvordan beskytte virksomhetens data.

7. Manglende logging og overvåkning

Hvis ingen overvåker systemene, er det også vanskelig å oppdage når noe faktisk går galt.

Logging gjør det mulig å se:

  • uvanlig innlogging
  • datatilgang
  • systemendringer

Uten logger kan det være nesten umulig å forstå hva som har skjedd etter et sikkerhetsbrudd.

8. Sky uten sikkerhetsvurdering

Mange bedrifter velger skyløsninger fordi de virker enkle og billige.

Men få vurderer:

  • hvor data behandles
  • hvilke lover leverandøren er underlagt
  • hvilke rettigheter leverandøren har til dataene

Dette er grunnen til at spørsmål om datasuverenitet og kontroll over data har blitt stadig viktigere.

9. Ingen sikkerhetsrutiner for ansatte

Teknologi alene løser ikke sikkerhetsproblemer.

Mange angrep starter med:

  • phishing
  • falske fakturaer
  • kompromitterte e‑postkontoer

Enkle tiltak kan redusere risiko betydelig:

  • korte sikkerhetskurs
  • tydelige rutiner
  • to-faktor autentisering

10. IT-sikkerhet ses som en kostnad

En av de største feilene små bedrifter gjør er å behandle IT-sikkerhet som en ren kostnad.

I realiteten handler sikkerhet om:

  • driftssikkerhet
  • tillit fra kunder
  • beskyttelse av virksomhetens data

Når sikkerhet først blir prioritert etter et angrep, er skaden ofte allerede skjedd.

Hva små bedrifter bør gjøre i stedet

IT-sikkerhet trenger ikke være komplisert, men det krever struktur.

Noen grunnleggende tiltak gir ofte svært stor effekt:

  • ha kontroll over hvor data lagres
  • implementer en fungerende backup-strategi
  • begrens brukerrettigheter
  • oppdater systemer jevnlig
  • bruk to-faktor autentisering

Små virksomheter trenger ikke nødvendigvis store sikkerhetsteam. Men de trenger bevissthet rundt hvem som kontrollerer infrastrukturen de bruker.

Derfor er det også viktig å forstå [hvem kontrollerer egentlig dataene dine].

FAQ

Er små bedrifter virkelig mål for cyberangrep?

Ja. Mange angrep er automatiserte og rammer alle systemer med sårbarheter – uavhengig av størrelse på virksomheten.

Hva er den vanligste sikkerhetsfeilen?

Manglende backup og for brede brukerrettigheter er to av de mest vanlige problemene.

Hvor bør små bedrifter starte?

Start med oversikt: hvor data lagres, hvem som har tilgang, og hvordan data kan gjenopprettes hvis noe går galt.

Illustrasjon av ransomware-angrep som låser bedriftsdata på server

Ransomware – hvordan beskytte virksomhetens data

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Ransomware – hvordan beskytte virksomhetens data

Ransomware er blitt en av de mest lønnsomme formene for digital kriminalitet. Angrepene rammer alt fra små bedrifter til store offentlige virksomheter, og konsekvensene kan være dramatiske: utilgjengelige systemer, tap av data og i verste fall full stans i driften. For mange virksomheter er spørsmålet ikke lenger om et angrep kommer, men når.

Denne artikkelen forklarer hvordan ransomware fungerer, hvorfor virksomheter blir rammet, og hvilke tiltak som faktisk reduserer risikoen.

Hva er ransomware?

Ransomware er skadevare som krypterer filer eller hele systemer slik at virksomheten mister tilgang til egne data. Angriperen krever deretter løsepenger for å gi tilgang tilbake.

Typisk skjer dette i tre steg:

  1. Angriperen får tilgang til systemet.
  2. Data kopieres eller krypteres.
  3. Virksomheten mottar et krav om betaling.

I mange moderne angrep stjeles data før kryptering. Dette gjør at angriperen kan true med å publisere sensitive opplysninger hvis løsepenger ikke betales.

Hvordan ransomware-angrep starter

De fleste ransomware-angrep starter ikke med avansert hacking. Ofte begynner det med helt vanlige sikkerhetshull.

Phishing

En ansatt mottar en e‑post med en lenke eller et vedlegg. Når filen åpnes, installeres skadevare.

Svake passord

Fjernaksess-systemer som RDP eller VPN kan bli kompromittert hvis passordene er enkle å gjette.

Uoppdaterte systemer

Programvare med kjente sårbarheter blir ofte brukt som inngangspunkt for angripere.

Leverandørkjeder

Hvis en IT-leverandør eller programvareplattform kompromitteres, kan angripere spre skadevaren videre til kundene.

Dette er en av grunnene til at mange virksomheter stiller spørsmål ved hvem som egentlig kontrollerer infrastrukturen de lagrer dataene sine i. Dette diskuteres nærmere i hovedartikkelen: hvem kontrollerer egentlig dataene dine.

Hva skjer når en virksomhet blir rammet

Når ransomware først er aktivt i et system, går det ofte svært raskt.

Filer blir kryptert, backup-systemer forsøkes slettet, og angriperen prøver gjerne å spre seg til flere servere før angrepet oppdages.

Vanlige konsekvenser er:

  • utilgjengelige systemer
  • tap av kritiske data
  • stans i produksjon eller tjenester
  • økonomiske tap
  • mulig datalekkasjer

I tillegg kommer juridiske konsekvenser dersom personopplysninger eller kundedata er involvert.

Hvorfor små og mellomstore bedrifter er attraktive mål

Mange tror at ransomware primært rammer store selskaper. I praksis er små og mellomstore virksomheter ofte mer utsatt.

Grunnen er enkel: sikkerhetsnivået er ofte lavere, mens betalingsviljen fortsatt kan være høy hvis driften stopper.

Angripere bruker automatiserte verktøy som skanner internett etter sårbare systemer. De bryr seg sjelden om hvem virksomheten er – bare om systemene er enkle å kompromittere.

De viktigste tiltakene mot ransomware

Det finnes ingen enkelt løsning som stopper alle angrep. Effektiv beskyttelse handler om flere lag med sikkerhet.

Backup som faktisk fungerer

Den viktigste beskyttelsen mot ransomware er gode backup-rutiner.

Hvis virksomheten har oppdaterte og isolerte sikkerhetskopier, kan systemene gjenopprettes uten å betale løsepenger.

Den klassiske modellen er 3-2-1 backup regelen, som innebærer:

  • tre kopier av data
  • lagret på to ulike medier
  • hvor minst én kopi er lagret offline eller utenfor hovedsystemet

Dette gjør det betydelig vanskeligere for angripere å ødelegge alle kopier.

Oppdateringer og patching

Mange ransomware-angrep utnytter kjente sikkerhetshull.

Regelmessige oppdateringer av operativsystemer, servere og programvare er derfor et av de mest effektive sikkerhetstiltakene.

Sterk autentisering

Passord alene er ikke tilstrekkelig sikkerhet.

Flerfaktorautentisering (MFA) reduserer risikoen betydelig, spesielt på tjenester som:

  • e‑post
  • VPN
  • fjernaksess
  • administrasjonspaneler

Begrensede rettigheter

Brukere bør kun ha tilgang til systemene de faktisk trenger.

Hvis en angriper kompromitterer én konto, skal ikke hele infrastrukturen være tilgjengelig.

Nettverkssegmentering

Ved å dele opp nettverket i mindre soner kan man begrense hvor langt et angrep sprer seg.

Dette kan gjøre forskjellen mellom et mindre sikkerhetsproblem og full systemkollaps.

Skyen beskytter deg ikke automatisk

Mange virksomheter antar at data er trygge bare fordi de ligger i en skyløsning.

Det er en farlig misforståelse.

Ransomware kan også kryptere filer som ligger i skybaserte lagringstjenester dersom angriperen får tilgang til brukerkontoer.

I tillegg kan synkroniserte filer gjøre at krypterte filer overskriver friske kopier.

Dette er en av grunnene til at spørsmål om kontroll over data og infrastruktur har blitt stadig mer diskutert. Se også: [self-hosted skylagring – hva betyr det egentlig].

Bør man betale løsepenger?

Sikkerhetsmyndigheter anbefaler generelt å ikke betale.

Det finnes flere grunner til dette:

  • det finnes ingen garanti for at data blir gjenopprettet
  • betaling finansierer videre kriminalitet
  • virksomheten kan bli et nytt mål senere

I praksis betaler likevel noen virksomheter fordi kostnaden ved nedetid kan være høyere enn løsepengekravet.

Det beste forsvaret er derfor å sørge for at man aldri havner i den situasjonen.

En realistisk sikkerhetsstrategi

Ransomware handler ikke bare om teknologi, men også om organisasjon og rutiner.

En realistisk strategi bør inkludere:

  • gode backup‑rutiner
  • sikker konfigurasjon av systemer
  • opplæring av ansatte
  • overvåking av systemer
  • klare beredskapsplaner

Virksomheter som kombinerer disse tiltakene reduserer risikoen dramatisk.

Oppsummering

Ransomware vil fortsette å være en av de største digitale truslene mot virksomheter.

Angrepene blir mer profesjonelle, mer automatiserte og mer målrettede.

Den gode nyheten er at de fleste angrep fortsatt utnytter kjente svakheter: dårlig backup, svake passord og manglende oppdateringer.

Virksomheter som tar kontroll over egen infrastruktur, sikkerhetsrutiner og datalagring står derfor betydelig bedre rustet.

Hvis du vil forstå den større diskusjonen om kontroll over data, skyløsninger og datasuverenitet, bør du også lese hovedartikkelen: hvem kontrollerer egentlig dataene dine.

Illustrasjon av 3-2-1 backup-regelen med tre kopier av data på ulike lagringsmedier og én offsite backup

Hva er 3-2-1 backup-regelen?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hva er 3-2-1 backup-regelen?

De fleste virksomheter tror de har backup. Likevel oppdager mange først problemet når filer er slettet, servere krasjer eller ransomware krypterer hele systemet. Da viser det seg ofte at backupen enten mangler, er ødelagt eller ligger på samme sted som originaldataene.

3-2-1-regelen er en enkel strategi som reduserer denne risikoen drastisk. Prinsippet er lett å forstå, men overraskende mange følger det ikke i praksis.

Hva betyr 3-2-1 backup?

3-2-1-regelen beskriver hvordan data bør sikkerhetskopieres for å redusere risiko for datatap.

Den består av tre enkle prinsipper:

  • 3 kopier av dataene dine
  • 2 ulike lagringsmedier
  • 1 kopi lagret utenfor hovedsystemet

Når disse tre prinsippene kombineres, får man en backupstrategi som tåler både tekniske feil, menneskelige feil og sikkerhetshendelser.

1. Tre kopier av data

Den første delen av regelen handler om redundans.

Du bør alltid ha minst tre kopier av viktige data:

  1. Originaldataene
  2. En lokal backup
  3. En ekstra kopi et annet sted

Hvis en fil slettes ved et uhell, kan du hente den tilbake fra backup. Hvis en harddisk krasjer, finnes det fortsatt en kopi et annet sted.

Mange bedrifter stopper imidlertid ved én backup. Problemet er at denne backupen også kan feile. Backup-filer kan bli korrupte, diskene kan dø, eller systemet kan bli kompromittert av ransomware.

Tre kopier gir en sikkerhetsmargin som reduserer risikoen betydelig.

2. To ulike lagringsmedier

Den andre delen av regelen handler om teknologisk risiko.

Hvis alle kopiene ligger på samme type lagring, kan en feil ramme alt samtidig.

Eksempler på ulike lagringsmedier kan være:

  • lokal server
  • ekstern harddisk
  • NAS
  • objektlagring
  • backup i datasenter

Poenget er at backupen ikke skal være avhengig av én enkelt teknologi.

Et vanlig problem er at både originaldata og backup ligger på samme server eller samme lagringssystem. Hvis dette systemet svikter, forsvinner både data og backup samtidig.

Ved å bruke minst to forskjellige lagringsmedier reduserer man denne risikoen.

3. Én kopi utenfor systemet

Den siste delen av regelen er ofte den viktigste.

Minst én kopi av backupen bør lagres utenfor hovedmiljøet.

Dette kalles ofte offsite-backup.

Grunnen er enkel: enkelte hendelser kan ramme hele infrastrukturen samtidig.

Eksempler kan være:

  • brann
  • tyveri
  • overspenning
  • ransomware
  • sabotasje

Hvis alle kopiene ligger i samme bygg eller samme nettverk, kan alle gå tapt samtidig.

En offsite-backup kan være:

  • et annet datasenter
  • en ekstern backup-tjeneste
  • en replisert server på en annen lokasjon

Poenget er at backupen fysisk eller logisk er adskilt fra systemet som produserer dataene.

Hvorfor 3-2-1-regelen fortsatt er relevant

Backupstrategier har utviklet seg mye de siste årene, men 3-2-1-regelen er fortsatt en av de mest brukte modellene i IT-bransjen.

Grunnen er at den adresserer tre ulike typer risiko samtidig:

  • maskinvarefeil
  • menneskelige feil
  • sikkerhetshendelser

Dette gjør regelen robust selv i moderne skyløsninger.

Selv om mange virksomheter bruker tjenester som Microsoft 365 eller Google Workspace, betyr ikke det nødvendigvis at dataene er fullstendig beskyttet. Mange skytjenester tilbyr tilgjengelighet, men ikke nødvendigvis full backup.

Derfor er det fortsatt viktig å ha en egen strategi for sikkerhetskopiering.

Eksempel på en 3-2-1 backupstrategi

La oss se på et realistisk eksempel for en liten eller mellomstor virksomhet.

Kopi 1 – originaldata
Filer lagres på virksomhetens primære server eller skyløsning.

Kopi 2 – lokal backup
Automatisk backup til en NAS eller backupserver i samme nettverk.

Kopi 3 – ekstern backup
Replikert backup til et eksternt datasenter eller en offsite lagringstjeneste.

Hvis ransomware krypterer filserveren, kan man gjenopprette fra backup. Hvis serverrommet blir ødelagt av brann, finnes fortsatt kopien utenfor bygget.

Vanlige feil i backupstrategier

Selv når virksomheter har backup, finnes det noen klassiske feil.

Backup lagres på samme system

Den mest vanlige feilen er at backup lagres på samme server eller samme lagringssystem som originaldataene.

Hvis serveren krasjer, mister man alt.

Backup testes aldri

En backup som aldri testes er i praksis bare en antakelse.

Mange oppdager først problemer når de faktisk trenger å gjenopprette data.

Ransomware krypterer også backup

Moderne ransomware prøver ofte å finne og kryptere backupfiler.

Hvis backupen ligger på samme nettverk uten beskyttelse, kan angriperen ødelegge både data og backup.

Man har bare én kopi

Én backup er bedre enn ingen, men det gir liten sikkerhetsmargin.

3-2-1-regelen er nettopp utviklet for å unngå denne situasjonen.

Hvordan 3-2-1 henger sammen med kontroll over data

Backup handler ikke bare om teknikk. Det handler også om kontroll.

Hvis alle data ligger i én skyløsning eller hos én leverandør, kan virksomheten bli sårbar for både tekniske problemer og leverandøravhengighet.

Ved å spre backup på flere systemer og lokasjoner reduserer man denne avhengigheten.

Dette er en viktig del av diskusjonen om hvem kontrollerer egentlig dataene dine.

Moderne utvidelser av 3-2-1

Noen miljøer bruker i dag utvidede varianter av regelen, for eksempel 3-2-1-1-0.

Den legger til to ekstra prinsipper:

  • én immutabel backup
  • null feil etter verifisering

En immutabel backup betyr at dataene ikke kan endres eller slettes i en periode. Dette gjør det langt vanskeligere for ransomware å ødelegge backupen.

Selv om slike utvidelser kan være nyttige, er den klassiske 3-2-1-regelen fortsatt et solid fundament.

Oppsummering

3-2-1-regelen er en enkel, men effektiv metode for å beskytte data.

Kort fortalt:

  • ha minst tre kopier av dataene
  • bruk minst to ulike lagringsmedier
  • lagre minst én kopi utenfor hovedsystemet

Mange datatap skjer ikke fordi teknologien mangler, men fordi backupstrategien er for svak.

En gjennomtenkt backupstruktur er derfor en av de viktigste investeringene en virksomhet kan gjøre i IT-sikkerhet.

FAQ

Er 3-2-1 backup fortsatt relevant i skyen?

Ja. Selv om mange bruker skyløsninger, er det fortsatt viktig å ha flere uavhengige kopier av data.

Er én skylagring nok som backup?

Nei. Hvis alt ligger i samme skyløsning, kan både data og backup påvirkes av samme hendelse.

Hvor ofte bør backup tas?

Det avhenger av hvor kritiske dataene er. Mange virksomheter tar daglige eller kontinuerlige sikkerhetskopier.

Må backup lagres offline?

Ikke nødvendigvis, men minst én kopi bør være isolert eller lagret utenfor hovedsystemet for å redusere risiko.

Sikker datalagring for bedrifter illustrert med servere og datasikkerhet

Den komplette guiden til sikker datalagring for bedrifter

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Den komplette guiden til sikker datalagring for bedrifter

Bedrifter lagrer mer data enn noen gang. Kundeinformasjon, kontrakter, økonomi, e‑post, interne dokumenter og prosjektfiler. Samtidig har datainnbrudd, løsepengevirus og datalekkasjer blitt en av de største risikoene virksomheter står overfor.

Denne guiden forklarer hva sikker datalagring faktisk innebærer, hvilke løsninger som finnes, og hvilke vurderinger virksomheter bør gjøre før de bestemmer hvor dataene skal lagres. Hvis du vil forstå den større diskusjonen om eierskap og kontroll over data, bør du også lese hvem kontrollerer egentlig dataene dine.

Hva betyr sikker datalagring?

Sikker datalagring handler om mer enn bare å lagre filer et sted. Det handler om hvordan data beskyttes mot:

  • uautorisert tilgang
  • datatap
  • hacking
  • løsepengevirus
  • tekniske feil
  • juridiske konflikter rundt data

Mange virksomheter tror at sikkerhet først og fremst handler om passord eller antivirus. I praksis er det infrastrukturen rundt lagringen som avgjør hvor trygge dataene faktisk er.

Tre spørsmål bør alltid stilles:

  1. Hvor lagres dataene fysisk?
  2. Hvem kontrollerer infrastrukturen?
  3. Hvem kan juridisk kreve tilgang til dataene?

Disse spørsmålene er spesielt viktige når virksomheter bruker globale skyløsninger.

De vanligste lagringsmodellene

Det finnes flere måter å lagre bedriftsdata på. Hver modell har sine fordeler og ulemper.

Lokal lagring

Tradisjonelt har mange bedrifter lagret data på egne servere i egne lokaler.

Fordeler:

  • full kontroll over infrastrukturen
  • data forlater ikke virksomheten
  • ingen ekstern leverandør

Ulemper:

  • krever teknisk kompetanse
  • ansvar for backup og sikkerhet
  • sårbart ved brann, tyveri eller strømbrudd

Lokal lagring kan fungere godt for enkelte virksomheter, men krever disiplinert drift.

Offentlig sky

Offentlige skyløsninger som Microsoft 365, Google Workspace og lignende plattformer har blitt standard for mange virksomheter.

Fordeler:

  • enkel oppstart
  • lite teknisk drift
  • høy tilgjengelighet

Ulemper:

  • begrenset kontroll over infrastrukturen
  • data kan være underlagt utenlandsk lovgivning
  • risiko for vendor lock‑in

Diskusjonen rundt dette handler ofte om datasuverenitet og kontroll. Hvis dette er nytt for deg kan du lese hva er datasuverenitet.

Privat sky

En privat sky er en skyløsning hvor infrastrukturen er dedikert til én virksomhet eller en begrenset gruppe kunder.

Dette kan være driftet:

  • i eget datasenter
  • hos en norsk leverandør
  • i et kontrollert hostingmiljø

Fordelen er at virksomheten kan få mange av fordelene fra skyen, samtidig som kontrollen over infrastrukturen er langt større.

Hvis du vil forstå dette bedre kan du lese hva er en privat sky for bedrifter.

Self‑hosted skyløsninger

En stadig mer diskutert modell er self‑hosted skyløsninger.

Her bruker virksomheten programvare som gir skylagringsfunksjoner, men infrastrukturen kontrolleres av virksomheten selv eller en lokal leverandør.

Et kjent eksempel er Nextcloud.

Hvis du vil forstå modellen bedre kan du lese self-hosted skylagring – hva betyr det egentlig.

De største risikoene for bedriftsdata

Når man snakker om sikker datalagring, er det viktig å forstå hva de reelle truslene er.

Løsepengevirus

Ransomware har blitt en av de mest ødeleggende cybertruslene for bedrifter.

Angrepet fungerer ofte slik:

  1. En ansatt åpner en e‑post
  2. Skadelig programvare installeres
  3. Alle filer krypteres
  4. virksomheten må betale løsepenger

Uten gode sikkerhetskopier kan konsekvensene bli katastrofale.

Feilkonfigurasjon

Mange datalekkasjer skjer ikke fordi noen hacker seg inn, men fordi systemer er feil konfigurert.

Eksempler:

  • åpne skylagringsmapper
  • feil tilgangsrettigheter
  • delte lenker uten passord

Dette skjer oftere enn mange tror.

Manglende backup

Backup er den enkleste måten å redusere risiko på, men også en av de mest oversette.

En god backupstrategi bør inkludere:

  • automatiske sikkerhetskopier
  • versjonshistorikk
  • offline backup
  • regelmessig testing

Backup som aldri testes, er i praksis verdiløs.

Juridiske utfordringer ved skylagring

Sikker datalagring handler ikke bare om teknologi. Juridiske forhold spiller også en stor rolle.

Et av de mest diskuterte temaene er amerikansk lovgivning og hvordan den påvirker data lagret i globale skytjenester.

Lover som CLOUD Act gjør at amerikanske myndigheter i visse situasjoner kan kreve tilgang til data hos amerikanske selskaper.

Dette er en av grunnene til at mange europeiske virksomheter diskuterer alternativer til globale skyløsninger.

En annen viktig milepæl var EU‑dommen kjent som [hva betyr Schrems II for skylagring].

Denne dommen satte spørsmålstegn ved overføring av persondata mellom EU og USA.

Hvordan velge riktig lagringsstrategi

Det finnes ingen universell løsning som passer alle virksomheter.

Men noen vurderinger går igjen.

Kartlegg hvilke data dere faktisk har

Start med å kartlegge hvilke typer data virksomheten lagrer:

  • persondata
  • kundedata
  • økonomidata
  • interne dokumenter
  • tekniske filer

Ulike typer data kan ha ulike krav til lagring.

Vurder hvor kritiske dataene er

Hvis alle filer forsvinner i morgen, hva skjer?

Noen virksomheter kan gjenopprette driften raskt. Andre vil stoppe helt opp.

Jo mer kritiske dataene er, jo mer kontroll bør virksomheten ha over infrastrukturen.

Unngå å bli låst til én leverandør

Vendor lock‑in er en reell risiko.

Når hele virksomheten bygges rundt én plattform, kan det bli både dyrt og komplisert å flytte senere.

Dette gjelder særlig for skyløsninger.

Tenk langsiktig

Valg av lagringsplattform tas ofte raskt når en virksomhet starter.

Men beslutningen kan påvirke organisasjonen i mange år fremover.

Derfor bør man ikke bare vurdere hva som er enklest i dag, men også hva som gir mest fleksibilitet på sikt.

Et mer strategisk spørsmål: Hvem kontrollerer dataene?

Når virksomheter diskuterer lagring handler samtalen ofte om pris, funksjoner og brukervennlighet.

Men det viktigste spørsmålet er ofte et annet:

Hvem kontrollerer infrastrukturen dataene ligger på?

Hvis du vil forstå hvorfor dette spørsmålet er så viktig, anbefales hovedartikkelen [hvem kontrollerer egentlig dataene dine].

Den går dypere inn i hvordan globale skyløsninger fungerer, og hvorfor stadig flere virksomheter begynner å diskutere alternativer.

Oppsummering

Sikker datalagring handler ikke bare om teknologi. Det handler om kontroll, risiko og langsiktige valg.

Bedrifter bør derfor vurdere:

  • hvor dataene lagres
  • hvem som kontrollerer infrastrukturen
  • hvilke lover som gjelder
  • hvordan backup håndteres
  • hvor avhengig man blir av leverandører

Det viktigste er ikke nødvendigvis hvilken løsning man velger, men at valget tas bevisst.

Når virksomheter faktisk forstår hvor dataene ligger og hvem som kontrollerer dem, blir det også langt enklere å ta gode beslutninger om sikkerhet.

Illustrasjon av globale datastrømmer mellom servere i USA og Europa som symboliserer jurisdiksjon og CLOUD Act.

CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Amerikanske skytjenester brukes av millioner av virksomheter over hele verden. Samtidig har en amerikansk lov skapt betydelig debatt om hvem som egentlig kan få tilgang til data som lagres i slike systemer. Denne loven heter CLOUD Act.

For mange organisasjoner handler diskusjonen ikke bare om teknologi, men om kontroll, jurisdiksjon og tilgang til data.

Hva er CLOUD Act?

CLOUD Act står for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt i USA i 2018 og gir amerikanske myndigheter mulighet til å kreve tilgang til data som lagres av amerikanske selskaper.

Det som gjør loven kontroversiell er at den ikke bare gjelder data som ligger fysisk i USA. Den kan også gjelde data som lagres i andre land, så lenge selskapet som kontrollerer tjenesten er amerikansk.

Med andre ord: Hvis en virksomhet bruker en skyløsning fra et amerikansk selskap, kan amerikanske myndigheter i visse situasjoner kreve tilgang til dataene – selv om serveren står i Europa.

Hvorfor ble loven innført?

Bakgrunnen for CLOUD Act var et juridisk problem amerikanske myndigheter møtte i en sak mot Microsoft. I denne saken ønsket amerikanske etterforskere tilgang til e-postdata som var lagret på en server i Irland.

Microsoft argumenterte for at amerikansk lov ikke burde gjelde for data lagret utenfor USA. Myndighetene mente derimot at selskapet burde kunne pålegges å levere ut dataene siden selskapet var amerikansk.

CLOUD Act ble innført for å avklare denne typen situasjoner.

Resultatet ble en lov som tydelig sier at amerikanske selskaper kan bli pålagt å utlevere data de har kontroll over – uavhengig av hvor dataene er lagret.

Hvorfor skaper dette debatt i Europa?

Problemet oppstår fordi europeisk personvernlovgivning og amerikansk lov ikke alltid er kompatible.

EU har strenge regler for behandling av personopplysninger gjennom GDPR. Disse reglene begrenser hvem som kan få tilgang til data og hvordan de kan behandles.

Hvis amerikanske myndigheter krever tilgang til data gjennom CLOUD Act, kan det i noen tilfeller komme i konflikt med europeisk personvernlovgivning.

Dette er en av grunnene til at spørsmålet om jurisdiksjon har blitt så viktig i diskusjoner om skylagring.

Jurisdiksjon – hvem sine lover gjelder egentlig?

Når en virksomhet lagrer data i en skyløsning, er det lett å tenke at landet serveren står i avgjør hvilke lover som gjelder.

Virkeligheten er ofte mer komplisert.

Flere faktorer kan spille inn:

  • Hvilket land selskapet bak tjenesten tilhører
  • Hvor selskapet har juridisk hovedkontor
  • Hvor infrastrukturen fysisk befinner seg
  • Hvilke internasjonale avtaler som gjelder

Dette betyr at data kan være underlagt flere juridiske systemer samtidig.

For mange virksomheter er dette grunnen til at spørsmålet om hvem kontrollerer egentlig dataene dine har blitt stadig mer aktuelt.

Gjelder CLOUD Act alle skytjenester?

Nei. Loven gjelder først og fremst selskaper som er underlagt amerikansk jurisdiksjon.

Dette inkluderer blant annet:

  • amerikanske teknologiselskaper
  • selskaper med hovedkontor i USA
  • selskaper som opererer under amerikansk lov

Mange av verdens største skytjenester faller inn i denne kategorien.

Eksempler inkluderer plattformer for e-post, dokumentlagring, samarbeid og backup.

Derfor har diskusjonen rundt CLOUD Act blitt særlig relevant for tjenester som brukes bredt i næringslivet.

Betyr dette at data automatisk deles med myndigheter?

Nei.

CLOUD Act betyr ikke at myndigheter har fri tilgang til data. Det kreves fortsatt juridiske prosesser og rettslige beslutninger.

Men loven åpner for at slike krav kan rettes direkte mot selskaper som kontrollerer tjenestene.

Det er denne muligheten som skaper bekymring for enkelte virksomheter – særlig i sektorer som håndterer sensitive data.

Hvordan påvirker dette virksomheter i praksis?

For mange organisasjoner betyr ikke CLOUD Act nødvendigvis at de må slutte å bruke amerikanske skytjenester.

Men loven gjør at flere virksomheter vurderer følgende spørsmål:

  • Hvem har juridisk kontroll over infrastrukturen?
  • Hvilke lover kan potensielt gi tilgang til dataene?
  • Hvor viktig er datasuverenitet for virksomheten?

I enkelte bransjer – som helse, offentlig sektor og forskning – kan slike spørsmål være avgjørende når nye systemer skal velges.

Et økende fokus på datasuverenitet

Debatten rundt CLOUD Act har bidratt til økt oppmerksomhet rundt datasuverenitet.

Datasuverenitet handler om hvem som faktisk har kontroll over data, hvilke lover som gjelder, og hvem som kan kreve innsyn.

For noen virksomheter betyr dette at de ønsker løsninger der infrastrukturen ligger i Europa eller i nasjonale datasentre.

Andre velger løsninger der de selv kontrollerer plattformen.

Dette kan for eksempel være ulike former for self-hosted skylagring – hva betyr det egentlig.

Er europeiske alternativer løsningen?

Noen mener at europeiske skyløsninger er en måte å redusere juridisk usikkerhet på.

Hvis leverandøren ikke er underlagt amerikansk jurisdiksjon, vil heller ikke CLOUD Act gjelde på samme måte.

Det betyr likevel ikke at europeiske løsninger automatisk er bedre eller mer sikre. Teknologi, drift og sikkerhetsnivå varierer betydelig mellom leverandører.

Poenget er først og fremst at virksomheter bør forstå hvilke juridiske rammer de opererer innenfor.

Et spørsmål om bevisste valg

CLOUD Act handler i praksis om én ting: hvem som kan kreve tilgang til data.

For mange organisasjoner har dette blitt en strategisk vurdering, ikke bare et teknologisk spørsmål.

Noen prioriterer enkelhet og funksjonalitet i globale skyløsninger. Andre legger større vekt på kontroll over infrastruktur og juridisk jurisdiksjon.

Begge tilnærminger kan være riktige – så lenge beslutningen tas med åpne øyne.

Hvis du vil forstå hvorfor dette spørsmålet har blitt så sentralt i diskusjoner om moderne skylagring, bør du også lese artikkelen om [hvem kontrollerer egentlig dataene dine].

FAQ

Hva er CLOUD Act?

CLOUD Act er en amerikansk lov som gir myndighetene mulighet til å kreve tilgang til data lagret av amerikanske selskaper – også hvis dataene ligger på servere utenfor USA.

Gjelder CLOUD Act europeiske selskaper?

Som hovedregel gjelder loven selskaper som er underlagt amerikansk jurisdiksjon. Hvis et europeisk selskap bruker en tjeneste fra et amerikansk selskap, kan dataene likevel bli omfattet.

Er det ulovlig å bruke amerikanske skytjenester i Europa?

Nei. Mange europeiske virksomheter bruker slike tjenester. Men juridiske forhold som GDPR, Schrems II og CLOUD Act gjør at noen organisasjoner vurderer alternative løsninger.

Hvorfor diskuteres dette så mye nå?

Fordi stadig mer av virksomheters data ligger i skyløsninger. Når data flyttes ut av egne serverrom, blir spørsmålet om jurisdiksjon og kontroll mer relevant.

Illustrasjon av self-hosted skyløsning der en virksomhet kontrollerer egne servere og lagring.

Fordeler og ulemper med self-hosted skyløsninger

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Fordeler og ulemper med self-hosted skyløsninger

Når virksomheter vurderer skylagring, ender mange opp med et grunnleggende spørsmål: Skal dataene ligge hos en global skyleverandør – eller skal virksomheten ha kontroll over infrastrukturen selv?

Self-hosted skyløsninger betyr i praksis at virksomheten selv kontrollerer hvor dataene lagres og hvordan systemene driftes. Det kan være på egne servere, i et datasenter eller hos en leverandør som tilbyr dedikert drift.

For mange starter vurderingen med ønsket om bedre kontroll over data. Men som med de fleste teknologivalg finnes det både fordeler og ulemper.

Hva betyr egentlig self-hosted skylagring?

I en self-hosted skyløsning kjører programvaren på infrastruktur virksomheten selv kontrollerer. Plattformen kan fortsatt fungere akkurat som en moderne skyplattform – med filsynkronisering, deling, tilgang fra mobil og nettleser – men infrastrukturen er ikke kontrollert av en global leverandør.

Et typisk eksempel er løsninger som Nextcloud, hvor programvaren kan installeres på egne servere eller hos en driftspartner.

Hvis du vil forstå begrepet mer detaljert kan du også lese artikkelen om hva self-hosted skylagring egentlig betyr.

Denne typen løsninger blir ofte vurdert i sammenheng med spørsmålet om hvem som egentlig kontrollerer virksomhetens data.

Fordeler med self-hosted skyløsninger

Full kontroll over data

Den mest åpenbare fordelen er kontroll. Data lagres på infrastruktur virksomheten selv bestemmer over.

Det betyr også at virksomheten i større grad kan bestemme:

  • hvor dataene lagres
  • hvem som har fysisk tilgang til infrastrukturen
  • hvordan sikkerhetskopiering håndteres
  • hvilke sikkerhetsrutiner som brukes

For organisasjoner med krav til datasuverenitet eller regulatoriske hensyn kan dette være avgjørende.

Mindre risiko for juridiske gråsoner

Når data lagres hos globale leverandører kan jurisdiksjon bli komplisert. Lover som Cloud Act kan i enkelte situasjoner gi amerikanske myndigheter tilgang til data som lagres hos amerikanske selskaper.

Med en self-hosted løsning kan virksomheter i større grad velge hvor infrastrukturen fysisk befinner seg og hvilke lover som gjelder.

Redusert vendor lock-in

Mange globale plattformer bygger sterke økosystemer som gjør det vanskelig å flytte data senere.

Self-hosted løsninger – spesielt open source-plattformer – gjør det ofte enklere å migrere data eller endre leverandør uten å måtte bytte hele arbeidsplattformen.

For virksomheter med et langsiktig perspektiv kan dette være en viktig strategisk fordel.

Fleksibilitet og tilpasning

Self-hosted plattformer gir ofte langt større mulighet til å tilpasse funksjonalitet, integrasjoner og sikkerhet.

I praksis betyr det at løsningen kan bygges rundt virksomhetens behov, i stedet for at virksomheten må tilpasse seg en ferdig plattform.

Ulemper med self-hosted skyløsninger

Selv om kontroll og fleksibilitet kan være attraktive egenskaper, finnes det også noen klare utfordringer.

Drift og vedlikehold

Noen må ha ansvar for oppdateringer, sikkerhet og overvåking av systemene.

I en kommersiell skyløsning håndteres dette av leverandøren. I en self-hosted løsning må virksomheten enten gjøre dette selv eller kjøpe driftstjenester.

Krever teknisk kompetanse

Implementering og drift krever ofte mer teknisk kompetanse enn ferdige skyløsninger.

For små virksomheter uten IT-ressurser kan dette være en utfordring.

Ansvar for sikkerhet

Når infrastrukturen kontrolleres lokalt følger også ansvaret for sikkerhet.

Det inkluderer blant annet:

  • patching av systemer
  • tilgangskontroll
  • overvåking
  • backup

Dette er oppgaver som må håndteres strukturert for at løsningen skal være trygg i drift.

Oppstart kan være mer krevende

Self-hosted løsninger kan kreve mer planlegging i starten.

Servere må settes opp, lagring må dimensjoneres og sikkerhetsrutiner må etableres.

Til gjengjeld får virksomheten mer kontroll over infrastrukturen på lang sikt.

Når gir self-hosted skyløsninger mest mening?

Self-hosted skyløsninger passer ofte best for virksomheter som:

  • ønsker kontroll over hvor data lagres
  • har krav til datasuverenitet
  • ønsker å unngå vendor lock-in
  • har IT-kompetanse internt eller via en driftspartner

For andre virksomheter kan ferdige skyløsninger fortsatt være det mest praktiske valget.

Poenget er ikke at én modell alltid er riktig – men at virksomheter bør forstå konsekvensene av valgene de tar.

Hvis du vil forstå bakgrunnen for denne problemstillingen mer i dybden, bør du også lese hovedartikkelen om hvem som egentlig kontrollerer dataene dine.

illustrasjon som viser forskjellen mellom Nextcloud og Microsoft 365 og kontroll over data

Nextcloud vs Microsoft 365 – hvem kontrollerer egentlig dataene?

Skrevet av Svein Tore den . Publisert i Teknologi. Ingen kommentarer til Nextcloud vs Microsoft 365 – hvem kontrollerer egentlig dataene?

Hva er Microsoft 365

Microsoft 365 er en komplett skyløsning levert av Microsoft. Plattformen inkluderer tjenester som e‑post, dokumentbehandling, Teams, SharePoint og skylagring via OneDrive. For mange bedrifter er dette en svært praktisk løsning fordi alt leveres ferdig konfigurert i skyen. Det betyr også at infrastrukturen driftes av Microsoft i deres datasentre. Brukere får tilgang til tjenestene via nettleser eller apper, mens dataene lagres i Microsofts skyplattform. Fordelen er enkelhet. Oppsettet er raskt, oppdateringer skjer automatisk og administrasjonen er relativt enkel for små og mellomstore virksomheter. Ulempen er at kontrollen over infrastrukturen ligger hos leverandøren. Selv om virksomheten eier sine egne data juridisk, er det Microsoft som kontrollerer plattformen dataene lagres i.

Hva er Nextcloud

Nextcloud er en open source‑plattform for filsynkronisering, samarbeid og skylagring. Den kan i stor grad gjøre mange av de samme tingene som kommersielle skyløsninger, men med én viktig forskjell: løsningen kan hostes og kontrolleres av virksomheten selv. Nextcloud kan installeres på egne servere, i privat sky eller hos en leverandør som tilbyr dedikert hosting. Det betyr at organisasjonen selv bestemmer hvor dataene lagres, hvordan systemet konfigureres og hvilke sikkerhetstiltak som skal brukes. I tillegg er koden åpen. Det gjør at sikkerhetseksperter kan inspisere hvordan plattformen fungerer, og det gir større transparens enn lukkede systemer. Hvis du vil forstå plattformen bedre kan du lese mer i artikkelen «Hva er Nextcloud – og hvordan fungerer det?».

Den viktigste forskjellen: kontroll over infrastrukturen

Den største forskjellen mellom Nextcloud og Microsoft 365 handler ikke om funksjoner, men om kontroll. Med Microsoft 365 ligger infrastrukturen i Microsofts globale sky. Selv om selskapet har strenge sikkerhetsrutiner og høy driftssikkerhet, er det fortsatt leverandøren som kontrollerer plattformen. Med Nextcloud kan virksomheten selv kontrollere infrastrukturen. Det betyr at servere kan plasseres i eget datasenter, hos en lokal leverandør eller i et miljø som er underlagt nasjonale lover og regler. For noen organisasjoner spiller dette liten rolle. For andre – særlig virksomheter som håndterer sensitive data – kan det være avgjørende.

Personvern og datasuverenitet

Et tema som stadig oftere diskuteres er datasuverenitet. Dette handler om hvem som faktisk har jurisdiksjon over dataene. Store internasjonale skyløsninger opererer på tvers av mange land, og data kan i praksis være underlagt ulike lovverk. For europeiske virksomheter har dette blitt spesielt relevant etter diskusjoner rundt internasjonale dataoverføringer. Self‑hosted løsninger som Nextcloud gir i mange tilfeller mer kontroll over hvor dataene fysisk lagres. Det kan gjøre det enklere å følge lokale krav til personvern og datasikkerhet. Denne problemstillingen er også sentral i fagartikkelen «Hvem kontrollerer egentlig dataene dine?», som går dypere inn i hvordan digitale plattformer påvirker kontroll over informasjon.

Funksjoner og samarbeidsverktøy

Når det gjelder funksjonalitet er Microsoft 365 svært omfattende. Plattformen inkluderer velkjente verktøy som Word, Excel, PowerPoint og Teams, som mange virksomheter allerede er vant til. Nextcloud har også utviklet et økosystem av apper. Dette inkluderer dokumentredigering, kalender, oppgavehåndtering, videosamtaler og filsynkronisering. Mange av disse funksjonene leveres gjennom integrasjoner med andre open source‑prosjekter. Forskjellen ligger ofte i hvor mye som er ferdig integrert fra start. Microsoft 365 er designet som en komplett kommersiell pakke, mens Nextcloud er mer modulært og kan tilpasses etter behov.

Når Microsoft 365 kan være riktig valg

For små virksomheter uten tekniske ressurser kan Microsoft 365 være et svært godt valg. Løsningen er enkel å ta i bruk, krever lite drift og gir tilgang til et bredt sett av verktøy som fungerer godt sammen. For mange bedrifter er det nettopp denne enkelheten som gjør skyløsninger attraktive.

Så lenge bedriften ikke lagrer data som er sensetiv så er det greit. Men husk at all data hos Microsoft er tiljengelig for tredjepart uansett datasenter. Med Microsoft har du ikke data suvereniteten i behold!

Når Nextcloud kan være et bedre alternativ

Nextcloud blir ofte valgt av organisasjoner som ønsker mer kontroll over data, infrastruktur og sikkerhet. Det gjelder blant annet virksomheter med høye krav til personvern, offentlige organisasjoner eller bedrifter som ønsker å redusere avhengigheten av globale teknologiselskaper. En annen fordel er fleksibiliteten. Fordi plattformen er open source kan den tilpasses, integreres med andre systemer og utvides etter behov. Hvis du også vurderer andre skyløsninger kan det være nyttig å lese sammenligningen «Nextcloud vs Google Drive«.

Hva bør virksomheter egentlig velge

Det finnes ikke ett riktig svar som passer for alle. Valget mellom Nextcloud og Microsoft 365 handler først og fremst om prioriteringer. Hvis enkelhet, ferdig integrerte verktøy og minimal drift er viktigst, vil Microsoft 365 ofte være det mest praktiske valget. Hvis kontroll over data, fleksibilitet og uavhengighet fra globale skyløsninger er viktigere, kan Nextcloud være et mer strategisk alternativ. Det viktigste er at virksomheter faktisk tenker gjennom hvem som kontrollerer infrastrukturen de lagrer dataene sine i. Før du tar et endelig valg kan det derfor være nyttig å forstå et mer grunnleggende spørsmål: hvem kontrollerer egentlig dataene dine?.