Så skyddar du ditt företags digitala tillgångar år 2026

Ganska ofta  Vi stöter på företag – framför allt nystartade företag och små och medelstora företag – som saknar kontroll över sina digitala tillgångar. Enbart för att de skapades av en anställd som inte längre arbetar inom organisationen, eller inte överlämnades till företagets digitala avdelning, vilket påverkar företagets tidsåtgång, kostnader och kontroll, och ibland skapar flaskhalsar i mycket kritiska situationer när en förändring behövs. För företag är tid pengar, och allt som kan få dig att förlora tid är i praktiken KRITISKT. Motivationen och syftet med att skriva den här artikeln utgår från detta behov – att ta fram en “Hygienchecklista för hantering av digitala tillgångar”, så att ni som företag inte begår samma misstag och kan vara bättre rustade för detta.

Eftersom begreppet ”digitala tillgångar” kan omfatta ett mycket brett spektrum, ska jag här begränsa mig till de tillgångar som rör de webb- och mobilapplikationer som ni använder, och för tillfället lämna andra digitala tillgångar åt sidan, såsom IT-tillgångar, digitala fysiska tillgångar osv. 

Vilka är de digitala tillgångar som webbapplikationer använder och vad är det bästa sättet att hantera ägandet av detta. Vilka är frågorna du bör känna till som företagsägare när du äger dessa digitala tillgångar, och vad finns det att göra och inte göra här.

• Hosting och DNS

Din app kan ligga på en delad webbhotellstjänst som GoDaddy eller på en dedikerad prisvärd VPS-hosting som Contabo, DigitalOcean eller Linode, eller en molnmiljö som AWS EC2 eller Azure. Oavsett vilken miljö det rör sig om är det viktigt att ROOT-kontot för webbhotellet ägs av en gemensam företags-e-postadress, med tvåfaktorsautentisering kopplad till ett mobilnummer som tillhör företaget.  Företagets ansvariga bör alltid få ALLA meddelanden från webbhotellskontot, eftersom kontot kan avslutas eller data raderas om faktureringen misslyckas tre månader i rad – vilket utgör en ENORM risk. I princip måste den e-postadress som konfigureras här ÖVERVAKAS hela tiden, och konsekvenserna blir allvarliga om du underlåter att göra detta.

Och lika viktigt som kontrollen över hosting är kontrollen över DNS eller domännamnsleverantören (kan vara GoDaddy, en välkänd plattform för domännamn, Mercaba eller andra). Huvudkontot hos domänregistratören måste vara kopplat till företagets gemensamma e-postadress, inklusive det mobilnummer som är kopplat till den för tvåfaktorsautentisering. Meddelandena om domännamns utgångsdatum måste vara korrekt inställda så att du får varningar i god tid, och detta måste följas upp för att undvika oväntade driftstopp eller avbrott.

• Din webbapplikation och API-gränssnitt 

Webbapplikationen kommer att finnas i din värdmiljö men det är viktigt att känna till

1. Hur många instanser kör du och faktureras för ?
2. Vad är den tekniska stacken varje instans kör, till exempel om dess PHP eller Nod eller Reagera eller en kombination av stack för backend och frontend. 
3. Var finns databasen värd och hur många databaser kör du.
4. Vilka är 3:e parts integrationer för appen, och har du kontroll över kontona som används för var och en av dessa.
5. Använder applikationen några andra tjänster som Elastic Search, S3 eller något annat som extra debiteras/faktureras och på vilken grund faktureras det. 
6. Viktigast av allt, vem som har tillgång till värdmiljön, hur kontrolleras den och vilken process används för att bevilja/återkalla åtkomst. Helst ska du ALDRIG dela root-kontots inloggning, det bästa sättet är att lägga till användare/bjuda in dem att använda kontot som en specifik typ av användare baserat på den åtkomstnivå som krävs. Eller ge åtkomst på en ssh eller specifik nivå för det arbete som krävs för att göras.

• Web Application Code Base

Det är viktigt när du kör en webb eller mobil-app att du har ett källkodsförrådskonto för ditt företag, oavsett om det är Github eller Bitbucket eller liknande tjänster. E-postadressen som används för att skapa kontot MÅSTE ägas av företaget, och för varje projekt kan den nödvändiga åtkomstnivån ges till utvecklarna. Det måste finnas en process för att lägga till användare/återkalla användare baserat på inträde/utgångar till projekt. Och det är också möjligt att ge läsbehörighet till någon att se koden, om du vill arbeta med ett nytt utvecklingsföretag och ge dem tillgång att kontrollera koden.

För ytterligare skydd är det bra att lägga till ytterligare skyddslager för huvud-/huvudgrenen som har produktionskoden, så att den kräver godkännande för eventuell kodsammanfogning till denna gren, och skydda grenen från radering etc. Om du ser sätt att aktivera filialskydd för Git, du får bra insikter om detta.

• Tredje parts integrationer

De flesta webbapplikationer har många tredjepartsintegrationer idag, de vanligaste av dem är Google Maps, Google Analytics, Payment Gateways, SMS Gateways för OTP-validering, Mailchimp för nyhetsbrevprenumerationer etc. Det är viktigt att se till att alla konton som används av företaget är från den vanliga affärse-posten, med 2-faktorsautentisering kopplad till ett mobilnummer som tillhör företaget . För att också säkerställa att alla API-nycklar som används för integration genereras med det specifika projektnamnet och ges till utvecklings-/integrationsteamet. Det kommer att vara ett problem om du tillåter utvecklare att använda sina konton, skapa dessa referenser och låter dem användas, även i fall av en Google-karta eller en gratistjänst. Vid någon tidpunkt kommer företaget att behöva byta till de betalda kontona baserat på användning, och det kommer att vara jobbigt att sömlöst byta eller uppgradera kontot.

• Google Analytics, sociala inloggningar eller andra

Det är bra att alltid planera och integrera analysverktyg för alla digitala kanaler som ni driver, särskilt om de riktar sig direkt till kunderna. Företaget bör dessutom äga det Google Analytics-konto som ni kommer att använda, på samma sätt som företaget bör äga alla sociala mediekonto som det använder för sina integrationer.

• Säkerhetskopiering och ögonblicksbilder

Även om säkerhetskopior och ögonblicksbilder är en del av värdstrategin, beroende på typen av värd är det viktigt att kontrollera om du har dessa tillgängliga hela tiden. Molnplattformar som AWS och Azure, underhåller ögonblicksbilder men inte alla värdleverantörer kanske upprätthåller kontinuerliga säkerhetskopieringar av data, och det är alltid en bra strategi att underhålla regelbundna FJÄRR-säkerhetskopior.

När det kommer till mobilappar

• Inloggningsuppgifter för PlayStore och Apple Store

Dessa är inloggningsuppgifter som utvecklare använder för att publicera apparna i Google Play Store eller Apples App Store, och de måste ägas av företaget – utvecklare får inte använda sina egna. På så sätt har du alltid kontroll över appanalyser och uppdateringar, och du får meddelanden om eventuella föråldrade versioner och uppgraderingar som kan behövas för apparna. De enskilda utvecklarna kan ges åtkomst endast via inbjudan till de projekt de arbetar med, och inget ytterligare krävs här. 

• Push-meddelanden – inloggningsuppgifter

De flesta mobilappar använder en tredjepartstjänst för push-meddelanden, till exempel Firebase eller andra. Vilken du än använder är det viktigt att ha kontroll över kontot som används här.

• Kodbas för mobilapplikationer

Mobile App Code Base precis som webbapplikationer kodbas måste underhållas i ett kodversionskontrollverktyg som Git eller Bit hink. Samma regler som gäller för webbkodshantering kommer att gälla även här. 

I dagens läge kan vi inte ta lätt på digitala tillgångar, eftersom de alltid utgör företagets livsnerv, och det är oerhört viktigt att förstå hur man skyddar och säkrar dem under alla omständigheter. Ovanstående är bara en början, ur ett grundläggande och nödvändigt perspektiv, och när vi gräver djupare finns det ytterligare bästa praxis och standarder som kan följas. Men det viktigaste är att se till att vi har detta på plats redan från början!

VILL SAMRÅDGA MED OSS….KONTAKTA OSS NU!