Cybersäkerhet för SMB — grunderna som stoppar 90 % av attackerna
Merparten av cyberattacker mot små och medelstora företag använder inte avancerad teknik. De utnyttjar grundläggande brister som saknad MFA, oskyddade endpoints, förlorad backup eller obehandlade sårbarheter. Att stänga dessa hål kräver ingen säkerhetsavdelning — men det kräver att någon tar ansvar för dem. Den här guiden bygger på MSB:s vägledning för små och medelstora företag samt Microsofts säkerhetsbaslinje.
1. Multifaktorautentisering (MFA) överallt
MFA är den enskilt viktigaste åtgärden. Microsoft har rapporterat att MFA blockerar den absoluta merparten av identitetsbaserade attacker. Kräv MFA på alla konton — utan undantag för administratörer eller VD. Använd helst app-baserad MFA (Authenticator) eller FIDO2-nycklar; SMS är sista utvägen.
2. Villkorlig åtkomst
MFA räcker inte i sig 2026 eftersom även MFA kan förbi går genom sociala tricks. Villkorlig åtkomst kräver att inloggning sker från en hanterad enhet, ett godkänt land eller ett känt nätverk. Utan detta räcker det att en angripare får tag på användarens uppgifter och lurar dem att godkänna en MFA-prompt.
3. Endpoint Detection & Response (EDR)
Klassiskt antivirus letar efter kända signaturer. EDR (Microsoft Defender for Endpoint, CrowdStrike, SentinelOne m.fl.) övervakar beteende och stoppar attacker som aldrig setts förut. För SMB räcker Defender for Endpoint i Business Premium eller E3-planer i de flesta fall.
4. Backup enligt 3-2-1
Ingen skyddsåtgärd är hundraprocentig. Backup är sista försvarslinjen mot ransomware. 3-2-1-regeln (tre kopior, två media, en off-site) är minimum; komplettera med minst en immutable kopia som inte kan raderas av angripare. Se separat guide om backup.
5. Patchhantering
Kritiska sårbarheter i operativsystem, webbläsare och tredjepartsapplikationer ska patchas inom 14 dagar. Automatisera det som går via Intune, WSUS eller motsvarande. Manuell patchning fungerar aldrig långsiktigt.
6. Säkerhetsutbildning
Phishing är fortfarande vanligaste ingångsvägen. Kort utbildning vid onboarding, årlig repetition och phishing-simuleringar varje kvartal är rimlig ambitionsnivå för SMB. Mät klickfrekvens över tid — det ska sjunka.
7. Incidentplan
En dokumenterad plan för vad som händer vid misstänkt intrång: vem larmar vad, vem stänger vad, vem kommunicerar externt. Öva två gånger per år. När det brinner har ni inte tid att läsa manualen. MSB har mallar för mindre organisationer.
Vanliga misstag hos SMB
- Delade administratörskonton utan MFA
- Öppna SharePoint- och OneDrive-delningar
- Legacy autentisering aktiverad i Microsoft 365
- Backup som aldrig testats
- Ingen policy för hur bortappade telefoner hanteras
- Skuggkonton kvar för tidigare anställda
Vanliga frågor
Behöver ett företag med 15 anställda cyberförsäkring?
Allt oftare ett krav från kunder och leverantörer. Cyberförsäkring är dock ingen ersättning för grundläggande skydd — försäkringsbolagen kräver numera baslinjer som MFA och EDR för att teckna avtalet.
Räcker det med Microsoft Defender?
För de flesta SMB — ja. Defender for Endpoint (Plan 1 eller 2) i Business Premium är fullt tillräckligt om det är korrekt konfigurerat. Konfiguration är dock ofta bristen.
Hur ofta bör man göra säkerhetsgranskning?
Grundläggande baslinjekontroll månadsvis, extern penetrationstest en gång per år för verksamheter med känsliga data. NIS2-omfattade bolag har striktare krav.