Sikkerhed på sociale medier drejer sig særligt om to helt fundamentale områder inden for informationssikkerhed: adgang og indhold. Hvem skal have adgang til virksomhedens sociale mediekonti? Hvem fjerner denne adgang, hvis personerne skifter rolle eller forlader arbejdspladsen? Hvem fører kontrol med, hvem der har adgang? Disse spørgsmål er gode at have styr på for at sikre, at din virksomhed har god SoMe sikkerhed. 

Giv hver medarbejder deres egen konto

I stedet for at dele et login mellem medarbejderne, bør man anvende de tilgængelige værktøjer (fx Tweetdeck) til at give hver medarbejder sin egen konto, som får adgang til at lægge opslag på den officielle konto. Det betyder ganske vist, at der er flere konti, som kan angribes, men antallet af enheder med adgang til den officielle konto er det samme.

Brug stærke passwords og del dem ikke med andre

En social mediekonto er et attraktivt mål for hackere, som ønsker enten at stille virksomheden i et dårligt lys eller demonstrere utilstrækkelig sikkerhed omkring kontoen. Derfor er det vigtigt at bruge stærke passwords, der er lange og unikke, og som ikke deles med andre eller bruges andre steder.

Brug to-trins-login, hvor det er muligt

Der bør altid anvendes to-trins-login  eller multifaktor-login, hvor det er tilgængeligt. Du kan her orientere dig om, hvordan I slår to-trins-login til på Facebook, Google, Instagram og LinkedIn. Der bør ligeledes være en procedure for at fjerne en brugers adgang og nedlægge brugerens konto, når brugeren skifter funktion eller forlader organisationen. 

Slå notifikation om login fra nye enheder til

Der bør være en organisatorisk enhed, som har ansvaret for at holde styr på, hvilke konti organisationen har på sociale medier, og hvilke enheder der har adgang til login. Det er derfor en god ide at slå notifikation om login fra nye enheder til. Dette gælder også, hvis en konto gøres inaktiv, da den potentielt stadig kan overtages og misbruges. Der bør derfor fortsat være knyttet en mailadresse til kontoen, som kan modtage notifikation om for eksempel forsøg på at nulstille password.

Lav en proces for at revidere adgange

Hvis man vælger at dele et login til en konto mellem flere medarbejdere, skal man være opmærksom på, at det indebærer en væsentlig risiko. Man skal derfor skifte password, når medarbejdere forlader afdelingen. Dette nye password skal distribueres til de medarbejdere, som fortsat skal have adgang. Man skal dog undgå at det nye password bliver sendt via mail eller chat.

Lav et beredskab for at genvinde kontrollen over en konto

Skulle mediekontoen blive kompromitteret, bør kontrollen hurtigst muligt genetableres. Her er det utilstrækkeligt at forlade sig på mediets supportfunktion. Det er derfor nødvendigt at forberede sig på, at det sker. Der bør derfor være mere end én tilknyttet e-mailadresse, telefonnummer eller anden kanal, som kan anvendes til at nulstille passwordet. Læg derudover en plan, som dækker over de trin, der skal til for at genetablere kontrollen.

 Pas på virksomhedens følsomme informationer

Gennem sociale medier kan man utilsigtet komme til at lække oplysninger, som burde være holdt inden for virksomheden. Oplysninger, som kan identificere medarbejdere og deres fysiske arbejdssted, kan potentielt udgøre en risiko, og selv brug af en medarbejders fornavn i svar fra virksomheden til brugere på sociale medier kan potentielt misbruges i målrettede phishing-forsøg. Derfor bør virksomheder vurdere, hvilke typer information der er sensitive, og tage stilling til, om disse typer information kan risikere at blive delt direkte eller som metadata via sociale mediekonti. Virksomheden kan overveje at have en SoMe-politik, som dikterer hvad medarbejdere må dele fra arbejdspladsen. Det kan inkludere et forbud mod at dele billeder fra arbejdspladsen som afslører:

• Sensitiv information fra papirer som ligger på skrivebordet eller står skrevet på whiteboard
• Medarbejdernes adgangskort
• Fysiske sikkerhedsinstallationer

Se hvordan to danske virksomheder håndterede hackerangreb på deres sociale medier: