Cybersikkerhet i regnskapsbransjen: trusler, beste praksis og fremtidige trender

Regnskapsbyråer er et attraktivt mål for dataangrep på grunn av de private økonomiske opplysningene de forvalter. Hvis slike data blir stjålet eller lekket, kan det sette kundenes sikkerhet og regnskapsbyråenes omdømme i fare. Samtidig øker antallet dataangrep i takt med populariteten til skybasert IT og programvare.

Den gode nyheten er at det har skjedd en innovativ utvikling for å forhindre disse angrepene. Regnskapsbyråer må likevel være proaktive når det gjelder å beskytte kundedata ved å være oppmerksomme på trusler og implementere de riktige sikkerhetstiltakene for å avverge dem.

Denne artikkelen beskriver cybertrusler du bør kjenne til, beste praksis for å bekjempe dem og fremtidige trender du bør være oppmerksom på – slik at du kan skaffe deg verktøyene og kunnskapen du trenger for å beskytte virksomheten din og kundene dine.

De største truslene mot cybersikkerhet i regnskapsbransjen

Visste du at finanssektoren er 300 ganger mer utsatt for cyberangrep enn noen annen sektor?

I regnskapsbransjen er noen dataangrep mer vanlige enn andre, og de involverer kalkulerte metoder for å få tilgang til og stjele sensitiv finansiell informasjon.

Et vellykket angrep kan føre til at et selskap blir konfrontert:

• Driftsforstyrrelser
• Tap av prestisje
• Tap av data
• Økonomisk tap

Derfor er det viktig å forstå de ulike truslene og risikoen de utgjør.

Phishing

Phishing-angrep er spesielt utformet for å lure offeret til å gi fra seg sensitiv informasjon. Det kan dreie seg om økonomiske data, påloggingsinformasjon og personlig informasjon.

Phishing er vanlig i finansbransjen, og angrepene er ofte spesialtilpasset i et forsøk på å vinne offerets tillit.

Phishing-metoder kan være:

• E-poster fra en avsender som utgir seg for å være noen du kjenner
• Lenker til falske nettsteder som ser legitime ut

Både kunder, bedriftsmedlemmer og bedriftseiere kan bli utsatt for phishing, noe som gjør dette til en trussel mot cybersikkerheten som krever konstant årvåkenhet.

Ransomware

Ransomware er en type skadelig programvare som er utformet for å stjele verdifull informasjon fra et system. Når den er hentet inn, kan den gjøre dataene utilgjengelige til eieren betaler løsepenger.

Denne trusselen kan være vanskelig å oppdage, ettersom prosessen kan skje “i bakgrunnen” etter at et mål ubevisst har lastet ned og installert løsepengeviruset – ofte via phishing-metoder.

Ettersom et løsepengevirusangrep vanligvis fører til at offeret mister kontrollen over systemet sitt (og dataene som er lagret på det), kan det føre til at et regnskapsbyrå opplever totalt tap av data hvis løsepenger ikke betales.

Insider-trusler

Med innsidetrusler menes datainnbrudd som kan oppstå på grunn av utilsiktede eller utilsiktede handlinger utført av nåværende og tidligere ansatte i en organisasjon.

For regnskapsbyråer kan dette omfatte:

• Uaktsomhet med passord
• Uforsiktig utlevering av sensitiv informasjon
• Medlemmer av selskapet følger ikke standard sikkerhetsprosedyrer

Innsidertrusler refererer også til nåværende eller tidligere ansattes bevisste handlinger som truer cybersikkerheten, og som kan være motivert av tyveri eller sabotasje.

Beste praksis for cybersikkerhet for regnskapsbyråer

Du kan redusere risikoen for cyberangrep betraktelig ved å sørge for at bedriften din følger bransjens beste praksis for cybersikkerhet.

Kort sagt handler det om å utstyre teamet ditt med både kunnskap og verktøy for å håndtere finansielle data på en sikker måte og sørge for at bedriften og kundene dine er beskyttet så godt som mulig.

Hold deg oppdatert om nye trusler og sikkerhetstiltak

Det første du må gjøre, er å holde deg oppdatert på utviklingen innen cybersikkerhet. Dette inkluderer de nyeste truslene og de nødvendige tiltakene organisasjonen din må iverksette for å motvirke dem.

Hvor enkelt det enn høres ut, er det å holde seg informert om nye trusler og sikkerhetstiltak en effektiv forsvarsstrategi i seg selv – ettersom det kan være forskjellen mellom å identifisere en potensiell cybertrussel på forhånd og å bli utsatt for et nytt cyberangrep som du ikke var forberedt på.

Det er også like viktig å holde seg oppdatert på regler og forskrifter for cybersikkerhet, noe vi kommer nærmere inn på senere.

Bestem sikkerhetskravene dine

Vurder organisasjonens virksomhet fra topp til bunn for å identifisere eventuelle områder som kan øke risikoen for datainnbrudd. Disse omfatter blant annet:

• Svake passord
• Deaktiverte spamfiltre
• Ukrypterte sikkerhetskopier av data
• Mangel på standard operasjonsprosedyrer for håndtering av sensitive data
• Manglende tilgangskontroll til sensitive systemdata
• Bruk av programvare med utilstrekkelige sikkerhetsfunksjoner
• Manglende bruk av oppdatert programvare, inkludert antivirus- og anti-malware-programmer
• Manglende bruk av multifaktorautentisering (MFA)
• Manglende bruk av brannmur
• Manglende bruk av sikre måter å dele filer på

Når du har identifisert eventuelle risikoområder, kan du begynne å finne ut hvilke sikkerhetskrav du må forbedre eller implementere.

Gi medarbeiderne dine opplæring

Bevisstgjøring av de ansatte kan være en effektiv første forsvarslinje. Siden et datainnbrudd kan skyldes menneskelige feil, er det viktig å lære opp de ansatte om cybertrusler og beste praksis. Dette omfatter blant annet: 

• Hvordan gjenkjenne sikkerhetstrusler
• Hvordan du håndterer sensitive data på en sikker måte
• Hvordan du opprettholder beste praksis for sikkerhet – for eksempel ved å bruke sterke passord og aktivere multifaktorautentisering

Du kan også lage en beredskapsplan som teamet ditt kan følge. Dette kan begrense skaden eller til og med avverge en trussel før den utvikler seg.

Vurder cyberforsikring

Cyberforsikring beskytter bedriften din mot økonomisk tap i tilfelle et cyberangrep, så det er verdt å vurdere.

Som med alle andre typer forsikringer varierer dekningsvilkårene, og det er derfor viktig å velge en forsikring basert på risikoen. Det er verdt å nevne at noen forsikringsselskaper vil gjennomføre en innledende risikovurdering for å hjelpe deg med å forstå bedriftens risikonivå.

I noen tilfeller sikrer cyberforsikringen også at virksomheten din oppfyller visse juridiske og regulatoriske krav. 

Velg pålitelig programvare med robust sikkerhet

I tillegg til å bruke antivirus-, anti-malware- og anti-phishing-programvare, er det viktig å velge bransjeledende programvare som gir omfattende sikkerhet.

TaxDome – vår programvare for virksomhetsstyring for skatte-, bokførings- og regnskapsfirmaer – bruker for eksempel en rekke sikkerhetstiltak av bransjestandard for å sikre beskyttelse av alle data, blant annet:

• Fysisk serversikkerhet og datalagring: TaxDome sikkerhetskopierer data på Amazon AWS, som regnes som verdens sikreste skyplattform . 
• SSL: TaxDome krypterer alle klientinteraksjoner via Secure Sockets Layer (SSL) og er rangert som A av Qualys SSL Labs.
• Overholdelse av standarder: TaxDome er i samsvar med PCI DSS, GLBA, SSAE 16 SOC, HITRUST, PIPEDA, FPIS, eIDAS og SOC 2, noe som øker sikkerhetspolicyene for håndtering av data betydelig.
• Tofaktorautentisering (2FA): TaxDome lar brukerne aktivere tofaktorautentisering, noe som gir et ekstra sikkerhetslag ved innlogging.
• Tilgangsrettigheter: Med TaxDome kan du administrere ansattes tilgang til klientkontoer og -data – inkludert konto- og kontaktinformasjon, chattetråder, SMS-tråder, e-post, timelister, oppgaver og mer.

Ved å ha omfattende sikkerhetstiltak som de ovennevnte på plass, kan du og medarbeiderne dine trygt bruke programvaren i visshet om at dataene dine er beskyttet mot dataangrep og datainnbrudd.

Eksempler på cybersikkerhedcybersikkerhetshendelser i den virkelige verden

Konsekvensene av et cyberangrep kan være enorme, og noen ganger kan det få varige ettervirkninger.

Her er noen eksempler fra den virkelige verden på cybersikkerhetshendelser i regnskapsbransjen som belyser typen angrep og dataene som ble kompromittert:

Cyberangrep mot Deloitte

Deloitte, et av de verdensberømte Big Four-revisjonsselskapene, ble utsatt for et dataangrep i 2017. Angrepet førte til et datainnbrudd med e-postadresser, brukernavn, passord, IP-adresser og sensitive dokumenter – noe som utsatte Deloittes kunder for risiko for identitetstyveri.

Cyberangrepet, som skyldtes manglende tofaktorautentisering på en administratorkonto, resulterte i en langvarig og omfattende innsats fra Deloittes side. Det innebar å begrense cyberangrepet, varsle offentlige myndigheter, undersøke omfanget av og årsaken til cyberangrepet, samt en fullstendig revisjon av cybersikkerhetsinfrastrukturen.

Datainnbruddet reiste også spørsmål om Deloittes sikkerhet og skadet selskapets omdømme blant kunder og investorer.

“Acme”

Regnskapsbyråers kunder kan også være utsatt for risiko for dataangrep. Det er det CFO Selections, et finansselskap med base i Washington D.C., beskriver i denne sanne historien om en av sine kunder som nesten mistet 50 000 dollar på grunn av et datainnbrudd.

Acme, hvis navn er fingerte i historien for å beskytte selskapets identitet, oppdaget en leverandør på den skybaserte leverandørlisten som hadde en mistenkelig endring i bankopplysningene.

En etterforskning førte til oppdagelsen av et forsøk på økonomisk svindel. Svindleren bak angrepet hadde infiltrert Acmes system på grunn av en risikabel kombinasjon av svake passord, ingen multifaktorautentisering og minimale tilgangstillatelser.

Regnskap i dag: Når kunden din blir hacket

I denne historien om cyberangrep fra CPA-forsikringsselskapet Camico på Accounting Today brukte en hacker en klients identitet til å angripe et CPA-firma – noe som viser hvordan klienter, og ikke bare firmaets medlemmer, kan bli offer for phishing.

Ved hjelp av persontilpassede phishing-metoder og potensielt svake sikkerhetstiltak klarte hackeren å fange opp kommunikasjon mellom klienten og CPA-firmaet, slik at de kunne kommunisere ved hjelp av klientens e-postkonto.

Dette resulterte i at kundens midler ble overført til hackerens bankkonto. Betydelige beløp var allerede overført før selskapet innså at det hadde svart på de falske e-postene.

Cybersikkerhet og overholdelse av regelverk

Etterlevelse av cybersikkerhet innebærer å overholde lover og forskrifter som er utformet for å beskytte datasikkerhet og personvern. Disse forskriftene er fastsatt av styrende organer for å sikre at selskaper følger oppdaterte standarder for beskyttelse av sensitiv informasjon.

Kravene til etterlevelse varierer etter bransje og sted. For virksomheter som driver virksomhet i EU, er det avgjørende å sikre samsvar med relevante forskrifter som personvernforordningen (GDPR) for å unngå juridisk og økonomisk risiko.

Selv om det kan virke utfordrende å etterleve reglene, gir det store fordeler. Det bidrar til forebygging.

Selv om compliance kan høres skremmende ut, gir det mange fordeler. Ikke bare kan det hjelpe bedriften din med å forhindre dataangrep, men det kan også styrke omdømmet ditt – og øke kundenes tillit til bedriften din.

Nedenfor finner du noen av de viktigste forskriftene og standardene for cybersikkerhet som revisorer bør være oppmerksomme på:

GDPR

Personvernforordningen (GDPR) gjelder for selskaper som driver virksomhet i Den europeiske union (EU). Den er utformet for å beskytte personopplysninger og kundenes rettigheter. Noen av kravene for å overholde personvernforordningen er å utnevne et personvernombud, administrere og evaluere datainnsamlingen og jevnlig oppdatere personvernerklæringen.

NIS2-direktivet

EUs direktiv om nett- og informasjonssikkerhet 2 utvider kravene til cybersikkerhet til å omfatte et bredere spekter av bransjer. Det fokuserer på å styrke risikostyringen, rapporteringen av hendelser og den generelle robustheten.

ISO/IEC 27001

Denne globalt anerkjente standarden for informasjonssikkerhetsstyring tilbyr et rammeverk for beskyttelse av sensitive data. Den er tatt i bruk i Europa for å sikre robuste cybersikkerhetstiltak.

PCI DSS (The Payment Card Industry Data Security Standard)

Payment Card Industry Data Security Standard er avgjørende for virksomheter som håndterer kredittkorttransaksjoner. Etterlevelse av standarden sikrer sikker behandling av betalingsdata og minimerer risikoen for sikkerhetsbrudd.

Fremtidige trender innen cybersikkerhet å ta hensyn til

For å beskytte virksomheten din mot dataangrep er det like viktig å holde et øye med fremtidige trender som å holde seg oppdatert på nye trusler og sikkerhetstiltak.

Her er noen interessante fremtidige cybersikkerhetstrender som det er verdt å holde øye med i 2024:

Cybersikkerhetsforsikring

Vi nevnte cybersikkerhetsforsikring ovenfor som en måte å beskytte virksomheten din på, ettersom den kan gi økonomisk dekning i tilfelle et cyberangrep.

Men hvis du ikke har gjort det eller ikke vurderer det ennå, er det en trend som er verdt å nevne her, ettersom det globale markedet for cyberforsikring forventes å vokse til 22 milliarder dollar innen 2025 (Statista).

Denne veksten kan tilskrives økningen i cyberkriminalitet, som forventes å koste verden 9,5 billioner dollar innen 2024 (Cybersecurity Ventures).

Blockchain

I regnskapsbransjen diskuterer man stadig oftere bruken av blokkjedeteknologi – digitale hovedbøker som først og fremst brukes til å lagre kryptovaluta-transaksjoner.

Dette skyldes ikke bare populariteten til blockchain, som forventes å generere mer enn 94 milliarder dollar i inntekter innen 2027 (CompTIA), men også hvordan det kan hjelpe regnskapsførere med å redusere vedlikehold av hovedbok og kostnader takket være blockchains manipuleringssikre «blokker» som permanent lagrer transaksjonsoppføringer.

Med andre fordeler som tydelige revisjonsspor, smartkontrakter og AI-funksjoner for rapportering, samsvar og mer, kan blokkjedeteknologi spille en større rolle i regnskapet raskere enn forventet.

Atferdsbiometri

AI-algoritmer for dyp læring produserer stadig mer overbevisende deepfake-medier, og det er derfor ikke sikkert at ansikts- og stemmegjenkjenning vil være så trygt i årene som kommer – spesielt ikke i finanssektoren.

Heldigvis er det her atferdsbiometri – en ny teknologi som kan analysere brukeratferd for å skille den fra nettkriminell aktivitet – kan gi finans- og regnskapsbedrifter verktøy for å forebygge slike trusler.

Markedet for atferdsbiometri er i dag anslått til 2,13 milliarder og det forventes å nå 7,22 milliarder dollar innen 2029 (Mordor Intelligence). 

Konklusjon

Cyberangrepene øker – men det gjør også cybersikkerhetstiltakene du har iverksatt for å beskytte virksomheten din og kundene dine.

Til syvende og sist handler det om å utstyre organisasjonen proaktivt med kunnskap og teknologi for å forebygge dataangrep. Det betyr at du må lære opp de ansatte i beste praksis, holde deg oppdatert på nye trusler og bruke programvare for virksomhetsadministrasjon med omfattende sikkerhetsfunksjoner og retningslinjer for databeskyttelse.

Ønsker du å øke sikkerheten i virksomheten din? Bestill en gratis demo for å finne ut hvorfor TaxDomes innovative funksjoner ikke bare vil forenkle regnskapsprosessene dine, men også beskytte bedriftens data.