Cybersikkerhed inden for regnskab: trusler, bedste praksis og fremtidige tendenser

Regnskabsfirmaer er et attraktivt mål for cyberangreb på grund af de private finansielle data, de administrerer. Hvis sådanne data bliver stjålet eller lækket, kan det bringe klienternes tryghed samt regnskabsfirmaernes anseelse i fare. Samtidig stiger antallet af cyberangreb i takt med populariteten af cloudbaseret IT og software. 

Den gode nyhed er, at der er sket en innovativ udvikling for at forhindre disse angreb. Alligevel skal regnskabsfirmaer være proaktive i forhold til at beskytte klienternes data ved at være opmærksomme på trusler og implementere de rigtige sikkerhedsforanstaltninger for at afværge dem.

Denne artikel beskriver cybertrusler, du bør kende til, bedste praksis mod dem samt fremtidige tendenser, der er værd at holde øje med – så du kan bevæbne dig med både værktøjer og viden til at beskytte dit firma og dine klienter.

De største cybersikkerhedstrusler inden for regnskab

Vidste du, at den finansielle sektor er 300 gange mere udsat for cyberangreb end nogen anden sektor?

I regnskabsbranchen er nogle cyberangreb mere almindelige end andre, og de involverer beregnede metoder til at få adgang til og stjæle følsomme økonomiske oplysninger.  

Et vellykket angreb kan resultere i, at en virksomhed bliver konfronteret:

• Driftsforstyrelse
• Prestigetab
• Tab af data
• Økonomisk tab

Derfor er det vigtigt at forstå de forskellige trusler og de risici, de udgør.

Phishing

Phishing-angreb er specielt designet til at narre et offer til at udlevere følsomme oplysninger. Det kan være økonomiske data, login-oplysninger og personlige oplysninger.

Phishing er almindeligt i finansbranchen, og angrebene er ofte tilpassede specifikt i et forsøg på at vinde offerets tillid.

Phishing-metoder kan være:

• E-mails fra en afsender, der udgiver sig for at være en bekendt
• Tilknytninger til falske hjemmesider, der ser legitime ud

Klienter, firmamedlemmer og virksomhedsejere kan være mål her, hvilket gør phishing til en cybersikkerhedstrussel, der kræver konstant bevågenhed.

Ransomware

Ransomware er en type malware (ondsindet software), der er designet til at få fat i værdifulde oplysninger fra et system. Når de er indhentet, kan de gøre dataene utilgængelige, indtil ejeren betaler en løsesum.

Denne trussel kan være svær at opdage, da processen kan foregå “i baggrunden”, efter at et mål har downloadet og installeret ransomwaren uden at vide det – ofte via phishing-metoder.

Da et ransomware-angreb typisk resulterer i, at offeret mister kontrollen over sit system (og de data, der er gemt på det), kan det føre til, at et regnskabsfirma oplever totalt datatab, hvis der ikke betales en løsesum. 

Insider-trusler

Insider-trusler henviser til databrud, der kan opstå på grund af utilsigtede eller utilsigtede handlinger fra en organisations nuværende og tidligere medarbejdere.

For regnskabsfirmaer kan dette omfatte:

• Uagtsomhed med adgangskoder
• Skødesløs videregivelse af følsomme oplysninger
• Medlemmer af firmaet følger ikke standardprocedurer for sikkerhed

Insidertrusler henviser også til nuværende eller tidligere ansattes bevidste handlinger, der truer cybersikkerheden, og som kan være motiveret af tyveri eller sabotage.

Bedste praksis inden for cybersikkerhed for regnskabsfirmaer

Du kan i høj grad reducere risikoen for et cyberangreb ved at sørge for, at dit firma følger branchens bedste praksis for cybersikkerhed.

Kort sagt handler det om at udstyre dit team med både viden og værktøjer til at håndtere finansielle data sikkert og sikre, at dit firma og dine klienter er beskyttet i videst muligt omfang.

Hold dig opdateret om nye trusler og sikkerhedsforanstaltninger

Det første, du skal gøre, er at holde dig orienteret om udviklingen inden for cybersikkerhed. Det omfatter de seneste trusler og de nødvendige foranstaltninger, din virksomhed skal træffe for at imødegå dem. 

Hvor enkelt det end lyder, er det at holde sig orienteret om nye trusler og sikkerhedsforanstaltninger en effektiv forsvarsstrategi i sig selv – da det kan være forskellen mellem at identificere en potentiel cybertrussel på forhånd og at blive udsat for et nyt cyberangreb, som man ikke var forberedt på.

Det er også lige så vigtigt at holde sig opdateret om overholdelse af cybersikkerhedsregler og -bestemmelser, som vi kommer nærmere ind på senere.

Fastlæg dine sikkerhedskrav

Vurder din virksomheds drift fra top til bund for at identificere eventuelle områder, der kan øge risikoen for et databrud. Disse omfatter:

• Svage adgangskoder
• Deaktiverede spamfiltre
• Ukrypterede sikkerhedskopier af data
• Mangel på standardprocedurer for håndtering af følsomme data
• Manglende adgangskontrol til følsomme systemdata
• Brug af software med utilstrækkelige sikkerhedsfunktioner
• Manglende brug af opdateret software, herunder antivirus- og anti-malware-programmer
• Ikke at bruge multifaktor-autentificering (MFA)
• Manglende brug af firewall 
• Ikke benytte sikre måder at dele filer på

Når du har fundet frem til eventuelle risikoområder, kan du begynde at fastlægge de sikkerhedskrav, du skal forbedre eller implementere.

Træn dine medarbejdere

Medarbejdernes bevidsthed kan være en effektiv første forsvarslinje. Da et databrud kan skyldes menneskelige fejl, er det vigtigt at oplære dine medarbejdere i cybertrusler og bedste praksis. Disse omfatter: 

• Sådan genkender du sikkerhedstrusler
• Hvordan man håndterer følsomme data sikkert
• Hvordan man opretholder bedste praksis for sikkerhed – f.eks. ved at bruge stærke adgangskoder og aktivere multifaktor-autentificering

Du kan også udarbejde en beredskabsplan, som dit team kan følge. Det begrænse skaden eller endda afværge en formodet trussel, før den udvikler sig.

Overvej cyberforsikring

Cyberforsikring beskytter dit firma mod økonomisk tab i tilfælde af et cyberangreb, så det er værd at overveje.

Som med alle andre typer forsikringer varierer dækningsbetingelserne, og det er derfor vigtigt at vælge en plan baseret på den involverede risiko. Det er værd at nævne, at nogle forsikringsselskaber vil foretage en indledende risikovurdering, som hjælper dig med at forstå din virksomheds risikoniveau.

I nogle tilfælde sikrer en cyberforsikring også, at din virksomhed lever op til visse juridiske og lovgivningsmæssige krav. 

Vælg pålidelig software med robust sikkerhed

Ud over at bruge antivirus-, anti-malware- og anti-phishing-software er det vigtigt at vælge brancheførende software, der giver omfattende sikkerhed.

Som et godt eksempel anvender TaxDome – vores software til firmastyring for skatte-, bogførings- og regnskabsfirmaer – en række sikkerhedsforanstaltninger af branchestandard for at sikre beskyttelse af alle data, herunder:

• Fysisk serversikkerhed og datalagring: TaxDome sikkerhedskopierer data på Amazon AWS, der betragtes som verdens mest sikre cloud computing-platform. 
• SSL: TaxDome krypterer alle klientinteraktioner via Secure Sockets Layer (SSL) og har fået karakteren A af Qualys SSL Labs.
• Overholdelse af standarder: TaxDome er i overensstemmelse med PCI DSS, GLBA, SSAE 16 SOC, HITRUST, PIPEDA, FPIS, eIDAS og SOC 2, hvilket øger sikkerhedspolitikkerne for håndtering af data betydeligt.
• To-faktor-autentificering (2FA): TaxDome giver brugerne mulighed for at slå to-faktor-autentificering til, hvilket giver et ekstra lag af sikkerhed ved logins.
• Adgangsrettigheder: TaxDome giver mulighed for at administrere medarbejdernes adgang til klienters konti og data – herunder konto- og kontaktoplysninger, chattråde, SMS-tråde, e-mails, tidsregistreringer, opgaver og meget mere.

Ved at have omfattende sikkerhedsforanstaltninger som ovenstående på plads kan du og dine teammedlemmer trygt bruge softwaren vel vidende, at jeres data er beskyttet mod cyberangreb og databrud.

Eksempler på hændelser med cybersikkerhed fra den virkelige verden

Konsekvenserne af et cyberangreb kan være enorme, nogle gange med varige eftervirkninger.

Her er et par eksempler fra den virkelige verden på cybersikkerhedshændelser i regnskabsbranchen, som fremhæver typen af angreb og de data, der blev kompromitteret:

Cyberangreb på Deloitte

Deloitte, et af de verdensberømte “Big Four”-regnskabsfirmaer, blev udsat for et cyberangreb i 2017. Det forårsagede et databrud af e-mailadresser, brugernavne, adgangskoder, IP-adresser og følsomme dokumenter – og udsatte Deloittes klienter for risiko for identitetstyveri.

Cyberangrebet, der skyldtes manglende to-faktor-autentificering på en administratorkonto, resulterede i en langvarig og omfattende indsats fra Deloittes side. Det involverede inddæmning af cyberangrebet, alarmering af offentlige myndigheder, undersøgelse af omfanget af og årsagen til cyberangrebet og en fuld revision af infrastrukturen for cybersikkerhed.

Databruddet rejste også spørgsmål om Deloittes sikkerhed og skadede dets omdømme blandt klienter og investorer.

“Acme”

Klienter hos revisionsfirmaer kan også være i fare for cyberangreb. Det er, hvad CFO Selections, et finansfirma med base i Washington, beskriver i denne sande historie om en af sine klienter, der næsten mistede 50.000 dollars på grund af et databrud.

Acme, hvis navn er falsk i historien for at beskytte virksomhedens identitet, bemærkede en leverandør på sin cloud-baserede leverandørliste, som havde en mistænkelig ændring af bankoplysningerne.

En undersøgelse førte til opdagelsen af et forsøg på økonomisk svindel. Svindleren bag angrebet havde infiltreret Acmes system på grund af en risikabel kombination af svage adgangskoder, ingen multifaktorgodkendelse og minimale adgangstilladelser.

Regnskab i dag: Når din klient bliver hacket

I denne historie om cyberangreb fra CPA-forsikringsselskabet Camico på Accounting Today brugte en hacker en klients identitet til at angribe et CPA-firma – hvilket understreger, hvordan klienter, ikke kun firmamedlemmer, kan blive ofre for phishing.

Gennem personaliserede phishing-metoder og potentielt svage sikkerhedsforanstaltninger var hackeren i stand til at opsnappe kommunikation mellem klienten og CPA-firmaet, så de kunne kommunikere ved hjælp af klientens e-mailkonto. 

Dette resulterede i, at klientens midler blev omdirigeret til hackerens bankkonto. Betydelige beløb var allerede overført, før firmaet indså, at det havde svaret på falske e-mails.

Overholdelse af cybersikkerhed og regler

Overholdelse af cybersikkerhed indebærer overholdelse af love og regler, der er designet til at beskytte datasikkerhed og privatliv. Disse regler er fastlagt af styrende organer for at sikre, at virksomheder følger opdaterede standarder for beskyttelse af følsomme oplysninger.

Kravene til overholdelse varierer efter branche og sted. For virksomheder, der opererer i Den Europæiske Union (EU), er det vigtigt at sikre overholdelse af relevante regler som den generelle forordning om databeskyttelse (GDPR) for at undgå juridiske og økonomiske risici.

Selv om det kan virke udfordrende at overholde reglerne, giver det store fordele. Det hjælper med at forebygge.

Selv om compliance kan lyde skræmmende, giver det mange fordele. Det kan ikke kun hjælpe dit firma med at forhindre cyberangreb, men også styrke dit omdømme – og øge klienternes tillid til dit firma.

Nedenfor er nogle af de vigtigste regler og standarder for cybersikkerhed, som revisorer bør være opmærksomme på:

GDPR

Den generelle forordning om databeskyttelse (GDPR) gælder for virksomheder, der opererer i Den Europæiske Union (EU). Den er designet til at beskytte persondata og kundernes rettigheder. Nogle af kravene til efterlevelse af GDPR compliance omfatter udnævnelse af en databeskyttelsesansvarlig, styring og evaluering af dataindsamling og regelmæssig opdatering af privatlivspolitikker.

NIS2 Direktiv

Direktivet om net- og informationssikkerhed 2 udvider EU’s krav til cybersikkerhed til at omfatte en bredere vifte af brancher. Det fokuserer på at styrke risikostyring, hændelsesrapportering og generel modstandsdygtighed.

ISO/IEC 27001

Denne globalt anerkendte standard for styring af informationssikkerhed tilbyder en ramme for beskyttelse af følsomme data. Den er bredt vedtaget i Europa for at sikre robuste cybersikkerhedsforanstaltninger.

PCI DSS (The Payment Card Industry Data Security Standard)

Datasikkerhedsstandarden for betalingskortindustrien er afgørende for virksomheder, der håndterer kreditkorttransaktioner. Overholdelse sikrer sikker behandling af betalingsdata og mindsker risikoen for brud.

Fremtidige tendenser inden for cybersikkerhed til regnskab

For at beskytte din virksomhed mod cyberangreb er det lige så vigtigt at holde øje med fremtidige tendenser, som det er at holde sig ajour med nye trusler og sikkerhedsforanstaltninger.

For 2024 er her et par interessante fremtidige cybersikkerhedstendenser, der er værd at holde øje med:

Cybersikkerhedsforsikring

Vi nævnte cybersikkerhedsforsikring ovenfor som en metode til at beskytte din virksomhed, da den kan tilbyde økonomisk dækning i tilfælde af et cyberangreb. 

Men hvis du ikke har det eller ikke overvejer det endnu, er det en tendens, der er værd at nævne her, da det globale marked for cyberforsikring forventes at vokse til 22 milliarder dollars i 2025 (Statista).

Denne vækst kan tilskrives stigningen i cyberkriminalitet, som forventes at koste verden 9,5 billioner dollars i 2024 (Cybersecurity Ventures).

Blockchain

Diskussionerne i regnskabsbranchen om brugen af blockchain-teknologi – digitale hovedbøger, der især bruges til at gemme kryptovaluta-transaktioner – er stigende.

Det skyldes ikke kun blockchains popularitet, som forventes at generere en omsætning på mere end 94 milliarder dollars inden udgangen af 2027 (CompTIA), men også hvordan det kan hjælpe revisorer med at reducere vedligeholdelse af hovedbøger og omkostninger takket være blockchains manipulationssikre “blokke”, der permanent gemmer transaktionsoptegnelser.

Med andre fordele, som f.eks. klare revisionsspor, smarte kontrakter og AI-funktioner til rapportering, overholdelse og meget mere, kan blockchain-teknologi spille en større rolle i regnskaber hurtigere end forventet.

Adfærdsmæssig biometri

Med AI-deep-learning-algoritmer, der producerer stadig mere overbevisende deepfake-medier, er ansigts- og stemmegenkendelse måske ikke så sikker i de kommende år – især i finanssektoren.

Heldigvis er det her, at adfærdsbiometri – en ny teknologi, der kan analysere brugeradfærd for at skelne den fra cyberkriminel aktivitet – kan give værktøjer til finansielle servicevirksomheder og revisionsfirmaer til at forhindre sådanne trusler.

Som det ser ud nu, anslås markedet for adfærdsbiometri til 2,13 milliarder dollars med forventninger om at nå op på 7,22 milliarder dollars i 2029 (Mordor Intelligence). 

Konklusion

Cyberangrebene bliver måske flere og flere – men det gør de cybersikkerhedsforanstaltninger, du har til rådighed for at beskytte dit firma og dine klienter, også.

Når alt kommer til alt, handler det om proaktivt at udstyre dit firma med viden og teknologi til at forhindre cyberangreb. Det indebærer, at du uddanner dit personale i bedste praksis, holder dig orienteret om nye trusler og bruger software til administration af firma med omfattende sikkerhedsfunktioner og databeskyttelsespolitikker.

Ønsker du at øge sikkerheden i dit firma? Book en gratis demo for at finde ud af, hvorfor TaxDomes innovative funktioner ikke bare vil forenkle dine regnskabsprocesser, men også beskytte dit firmas data.